Penetration test: încearcă să spargă ușa.

Vulnerability assessment: caută yale defecte.

Consultantul: recomandă o ușă și o yală mai bune.

Auditul: verifică dacă organizația are un proces adecvat pentru alegerea, instalarea, verificarea și monitorizarea ușilor și yalelor și dacă acestea funcționează în mod consecvent.

Standardele profesionale (cele de la ISACA) impun ca auditorul să își fundamenteze planificarea pe o evaluare a riscurilor și pe o înțelegere a contextului organizației, inclusiv a obiectivelor acesteia, a cadrului legal aplicabil și a sistemului de control intern. Cu alte cuvinte, înainte de a verifica existența unui XDR/SIEM sau configurația unui firewall, auditorul trebuie să înțeleagă ce obligații avea instituția, ce servicii critice furniza, ce riscuri trebuia să gestioneze și ce controale ar fi trebuit să existe. Numai în acest context concluziile unui audit pot fi considerate complete și fundamentate. (IT Audit Framework (ITAF), 5th Edition)

______________________________________________________________________________________________________________

Controlul intern managerial și obligațiile ANCPI

A fost făcută publică Analiză tehnică intermediară cu privire la incidentul de securitate cibernetică produs în infrastructura ANCPI.

Atenția mea se îndreaptă acum către obligațiile pe care le avea ANCPI.

Chiar dacă OUG nr. 155/2024 nu ar fi existat, ANCPI nu era lipsită de obligații privind gestionarea riscurilor informatice. Ordinul SGG nr. 600/2018 impunea deja tuturor entităților publice un sistem formal de control intern managerial bazat pe identificarea, evaluarea și tratarea riscurilor. Securitatea cibernetică nu era reglementată printr-un standard distinct, însă riscurile informatice trebuiau integrate în procesul general de management al riscurilor și supuse acelorași cerințe de monitorizare, control și audit.

ANCPI avea obligația de a respecta și cadrul general privind controlul intern managerial, reglementat de ordinul susmenționat? Opinia mea este că da (juriștii pot confirma sau infirma):

• ANCPI este o entitate publică.
• Conducătorul fiecărei entități publice dispune (…) măsurile necesare pentru implementarea și dezvoltarea sistemului de control intern managerial…(Art.2)
• Art. 3 obligă conducătorul fiecărei entități publice să constituie, prin act administrativ intern, Comisia de monitorizare a sistemului de control intern managerial, responsabilă cu monitorizarea și coordonarea implementării standardelor. 

Codul controlului intern managerial cuprinde 16 standarde, grupate în cinci componente (arhicunoscutul cadru de lucru COSO):

• Mediul de control: Etica și integritatea; Atribuții, funcții și sarcini; Competența și performanța; Structura organizatorică; Obiective.

• Performanțe și managementul riscului: Planificarea; Monitorizarea performanțelor; Managementul riscului.

• Activități de control: Proceduri; Supravegherea; Continuitatea activității.

• Informarea și comunicarea: Informarea și comunicarea; Gestionarea documentelor; Raportarea contabilă și financiară.

• Evaluare și audit: Evaluarea sistemului de control intern managerial; Auditul intern.

Deși, așa cum am menționat,  nici un standard nu este dedicat exclusiv securității cibernetice, mai multe dintre ele sînt direct relevante pentru modul în care o instituție publică gestionează riscurile informatice.

Standardul 8 – Managementul riscului

Acesta este standardul cu cea mai mare relevanță în cazul unui incident cibernetic. Ordinul prevede că fiecare entitate publică trebuie să organizeze un proces de management al riscurilor care să sprijine atingerea obiectivelor instituției în condiții de eficiență, eficacitate și economicitate.Conducătorii compartimentelor au obligația să identifice și să evalueze riscurile, să stabilească măsuri de control, să urmărească implementarea acestora și să raporteze periodic rezultatele (Nota bene: Conducătorii comaprtimentelor și nu ”colegii/băieții de la IT” ). Toate aceste informații sînt consemnate într-un Registru de riscuri, care cuprinde riscurile considerate semnificative pentru activitatea instituției. În cazul ANCPI, dacă vulnerabilități precum lipsa unor măsuri adecvate de protecție antivirus la nivelul serverelor, retenția insuficientă a jurnalelor de securitate pe WAF, lipsa segmentării rețelei sau alte deficiențe ale infrastructurii informatice NU au fost apreciate ca riscuri semnificative, ce era reflectat în Registrul de riscuri?

Standardul 10 – Supravegherea

Acest standard impune monitorizarea permanentă a modului în care activitățile instituției sînt desfășurate și verificarea respectării procedurilor interne. Aplicat domeniului IT, el presupune existența unor mecanisme prin care conducerea să verifice periodic dacă măsurile de securitate sînt implementate și funcționează în mod efectiv, nu doar la nivel formal.

Standardul 11 – Continuitatea activității

Continuitatea activității urmărește menținerea funcționării serviciilor esențiale chiar și în situații de criză. În practică, aceasta presupune existența unor planuri de continuitate și recuperare în caz de dezastru (Disaster Recovery), copii de siguranță, proceduri de restaurare și testarea periodică a acestor mecanisme. În măsura în care indisponibilitatea prelungită a sistemului e-Terra a fost influențată de lipsa sau funcționarea necorespunzătoare a unor asemenea măsuri, din perspectiva respectării acestui standard, ce concluzii au existat anterior?

Standardul 16 – Auditul intern

Auditul public intern are rolul de a evalua eficacitatea sistemului de control intern managerial. Deși Ordinul nr. 600/2018 nu impune auditarea periodică a securității cibernetice ca obligație distinctă, planificarea misiunilor de audit trebuie realizată în funcție de analiza riscurilor. În consecință, dacă riscurile informatice erau apreciate ca fiind semnificative, era firesc ca acestea să fie evaluate în cadrul unor misiuni de audit de sistem/IT. Dacă riscurile informatice au fost apreciate ca fiind nesemnificative, ce a avut la bază această apreciere?

Lipsa unor cerințe tehnice explicite nu înseamnă lipsa obligațiilor

Un argument pe care îl aud des este că legislația nu prevedea expres obligații precum instalarea unei soluții SIEM, păstrarea jurnalelor de securitate pentru un număr minim de zile sau utilizarea unei anumite arhitecturi de backup. Însă aceasta nu este logica OUG nr. 155/2024. Legislația privind securitatea cibernetică nu funcționează pe baza unei liste rigide de verificare, ci pe baza managementului riscului. Cu alte cuvinte, legea nu stabilește în detaliu ce produs trebuie utilizat sau ce configurație tehnică trebuie implementată, ci obligă fiecare entitate să analizeze propriile riscuri și să adopte măsuri adecvate pentru prevenirea și limitarea impactului acestora.

Din această perspectivă, lipsa unei obligații exprese privind o anumită măsură tehnică nu exonera ANCPI de responsabilitate. Dacă un risc cibernetic era previzibil și putea afecta funcționarea serviciilor esențiale, instituția avea obligația să îl identifice, să îl evalueze, să stabilească măsuri de control și să urmărească eficacitatea acestora. Ordinul SGG nr. 600/2018 obliga instituția să documenteze întregul proces de management al riscurilor și să îl supună monitorizării și auditului intern.

În consecință, analiza incidentului de la ANCPI trebuie să pornească de la întrebarea: instituția și-a îndeplinit obligația legală de a identifica riscurile informatice relevante și de a implementa măsuri proporționale pentru gestionarea acestora?

Aceasta este filosofia reglementărilor moderne în materie de securitate cibernetică (GDPR, NIS2, AI Act): responsabilitatea pentru administrarea riscurilor proprii, nu simpla bifare a unor cerințe documentare sau tehnice prestabilite.

Dar, așa cum am declarat pentru Ziarul Financiar, România nu are nevoie de ”mai multe hîrtii” ci să respecte măcar lucrurile scrise în cele existente….