Progresul tehnologic nu poate fi planificat sau prevăzut. În toată istoria noastră progresul pur și simplu s-a ”întîmplat”.

Lecția 1. Nu evaluăm riscurile doar după probabilitatea atacului, ci și după capacitatea de recuperare

Nici o organizație nu poate obține de la nimeni asigurări rezonabile că nu va fi compromisă. Și atunci întrebarea relevantă devine: Cât de repede își poate relua activitatea?

În audit și cybersec folosim indicatori precum:

• Mean Time to Detect (MTTD)
• Mean Time to Respond (MTTR)
• Recovery Time Objective (RTO)
• Recovery Point Objective (RPO)

Omul obișnuit nu este interesat de ”chinezismele” astea sau dacă atacul a fost sofisticat sau nu. El vrea să știe: „Cînd îmi pot obține extrasul de carte funciară?”. Și răspunsul la această întrebare încă nu există!!!

Lecția 2. Continuitatea activităților organizației este parte a securității (cibernetice)

Există firewall-uri. Există antivirus. Există SIEM. Există….Întrebarea rămîne: Poți reconstrui complet serviciul în 24/48/72 de ore?

Dacă răspunsul este nu, atunci reziliența este insuficientă. Orice organizație trebuie să aibă un plan de continuitate REALIST și FUNCȚIONAL. Nu pentru că așa ”zice legea” ci pentru că acesta determină capacitatea de a rezista, de a răspunde, de a reconstrui, de a SUPRAVIEȚUI!

Lecția 3. Backup-ul trebuie demonstrat, nu declarat

Foarte multe organizați spun: „Avem politică. Avem procedură. Avem backup.” Dar întrebările unui auditor sînt altele:

• când a fost ultimul restore complet?
• cât a durat?
• cine l-a executat?
• a fost restaurată întreaga aplicație?
• au fost restaurate și bazele de date?
• au fost restaurate configurațiile?

Dacă nu există aceste dovezi, backup-ul este doar o presupunere, o poveste, o bifă într-un tabel.

Lecția 4. Digitalizarea fără reziliență nu există

ANCPI gestionează una dintre infrastructurile informaționale cele mai importante ale statului. Blocarea ei încă afectează:

• piața imobiliară;
• băncile;
• notarii;
• executorii judecătorești;
• instanțele;
• investițiile.
• ….

Aici apare o lecție strategică: orice proiect de digitalizare trebuie să fie însoțit de un proiect de reziliență. Nu poți digitaliza servicii critice fără să investești simultan în:

• continuitate;
• recuperare;
• redundanță;
• TESTARE.

Lecția 5. Serviciile critice trebuie tratate diferit

Nu toate sistemele au aceeași importanță. Căci din acest motiv facem BIA. În multe organizații toate serverele sînt administrate aproape identic. Nu ar trebui să se înîmple asta pentru că există sisteme:

• critice;
• importante;
• suport.
• test

Pentru cele critice trebuie aplicate măsuri cum scrie ”la carte”:

• segmentare dedicată;
• administrare separată;
• monitorizare permanentă;
• backup offline;
• testare
• exerciții periodice de restaurare.

Lecția 6. Managementul trebuie să fie implicat

O lecție importantă este că securitatea nu poate rămâne exclusiv în responsabilitatea IT. Conducere este cea care trebuie să răspundă la întrebări precum:

• Ce servicii sînt esențiale?
• Cât timp pot fi indisponibile?
• Ce risc acceptăm?
• Ce investiții sînt obligatorii?

Acestea nu sînt decizii tehnice. Sînt decizii manageriale. Exact aceasta este și filosofia Directivei NIS2. Responsabilitatea nu mai poate fi pasată altora.

Lecția 7. Auditul trebuie schimbat

Auditul trebuie să fie bazat pe dovezi tehnice (Test of Effectiveness), nu doar pe documente (Test of Design). Activitatea de audit trebuie să fie liberă de conflicte de interese și influență nejustificată în toate aspectele legate de misiunile de audit și trebuie să aibă o relație de raportare administrativă care să susțină îndeplinirea nestingherită de către auditor a responsabilităților sale. 

Lecția 8. Furnizorii trebuie integrați în managementul riscului

În sectorul public există o dependență foarte mare de furnizorii IT. Întrebările importante devin:

• cine deține codul sursă?
• cine poate reconstrui aplicația?
• există documentație?
• există proceduri de predare?
• există clauze de escrow?
• cât durează reinstalarea?
• timpii din SLA corespund RTO declarat?

Dacă răspunsurile lipsesc, instituția devine dependentă de un singur furnizor. Acesta este un risc strategic.

Lecția 9. Comunicarea în timpul incidentului contează aproape la fel de mult ca răspunsul tehnic

În orice incident major apare un vid informațional. Dacă instituția comunică greu, spațiul este umplut de:

• zvonuri;
• speculații;
• informații neverificate.

Un plan de răspuns trebuie să includă și comunicarea publică, nu doar procedurile tehnice. Iar comunicarea o face un angajat priceput în ale comunicării, nu juridicul, nu IT-ul.

Lecția 10. Organizațiile trebuie să investească în reziliență, nu doar în conformitate

Cred că aceasta este lecția cea mai importantă. Ani la rând am măsurat succesul în sectorul public prin:

• cîte strategii avem;
• cîte politici avem;
• cîte proceduri avem;
• cîte proiecte de digitalizare avem

Criza ANCPI arată că indicatorul corect este altul: Cât de repede poate statul să continue furnizarea serviciilor CRITICE după un atac?

Aceasta este adevărata măsură a maturității guvernanței IT.

Insituțiile publice trebuie să treacă de la paradigma „protejăm infrastructura” la paradigma „asigurăm funcționarea serviciului public”. Atacurile vor continua să existe. Diferența dintre o administrație matură și una vulnerabilă nu este dacă este atacată, ci dacă poate continua să funcționeze. Din această perspectivă, cazul ANCPI nu este doar un incident de securitate cibernetică, ci un test de reziliență instituțională pentru administrația publică românească. Test care s-a soldat cu un eșec de poveste ce va fi dat ca exemplu mult timp de acum încolo.