GHID

DE BUNE PRACTICI
PENTRU SECURITATE
CIBERNETICĂ

WWW.SRI.RO
GHID
DE BUNE PRACTICI
PENTRU SECURITATE
CIBERNETICĂ
 3
DE CE AR TREBUI LUATE
MĂSURI DE SECURITATE?
În fiecare zi, suntem expuşi, atât acasă cât şi la locul de muncă, la ameninţări ce îşi au
originea în spaţiul virtual. În majoritatea cazurilor nici măcar nu suntem conştienţi de acest
lucru, sau dacă-l realizăm, nu reacţionăm la aceste ameninţări într-o manieră adecvată. În
media apar zilnic articole referitoare la incidente de securitate şi la impactul pe care acestea
îl au asupra noastră, ca indivizi sau organizaţii deopotrivă.

Aceste incidente relatate sunt de fapt doar vârful iceberg-ului, în realitate fiind cu mult
mai expuşi decât credem noi că suntem având în vedere că, din nefericire, riscurile asociate
mediului virtual sunt în continuă creştere.

Cu toate că mediul virtual, reprezentat de infrastructurile cibernetice, incluzând conţinutul

informaţional procesat, stocat sau transmis, şi acţiunile derulate de utilizatori, este deja o
parte integrantă a vieții personale și profesionale, securitatea sa este un element luat în
calcul mult prea rar și poate insuficient. Acest aspect este potenţat de complexitatea noilor
tehnologii, care implică noi riscuri ce pot afecta grav individul sau organizația, în condițiile în
care există numeroase acţiuni ostile desfăşurate în spaţiul cibernetic de natură să afecteze
funcţionarea sistemelor informatice precum şi datele vehiculate prin intermediul acestora.

ACŢIUNILE OSTILE VIZEAZĂ, ÎN PRINCIPAL:

3 perturbarea, blocarea, distrugerea, degradarea sau controlarea în mod maliţios a unui

sistem / infrastructură informaţională;
3 afectarea integrităţii disponibilităţii, confidenţialităţii, autenticităţii şi non-repudierii
datelor sau sustragerea informaţiilor cu acces restricţionat.

De exemplu, date sensibile (contracte, proiecte etc.) pot fi exfiltrate de atacatori informatici
sau recuperate de aceștia cu ajutorul unor programe specializate în cazul pierderii sau
furtului unui dispozitiv portabil (telefon inteligent, tabletă, laptop etc.).
 GHID
DE BUNE PRACTICI
PENTRU SECURITATE
CIBERNETICĂ

În consecinţă, securitatea cibernetică trebuie să reprezinte o prioritate pentru buna

funcționare a sistemelor guvernamentale sau de control industrial (producția și distribuția
de energie electrică, distribuția de apă etc.). Un atac cibernetic asupra unui sistem de control
industrial (Superviasory Control and Data Acquisition System - SCADA) poate determina
pierderea controlului, oprirea, deteriorarea instalațiilor sau alterarea produsului final.
Aceste incidente sunt însoțite adeseori de urmări grave în termeni de securitate, de pierderi
economice și financiare și de afectare a imaginii organizației.

Pericolele pot fi totuși reduse semnificativ prin aplicarea unei serii de bune practici puțin
costisitoare, chiar gratuite, și ușor de aplicat. Conștientizarea riscurilor de către angajați este
foarte eficientă pentru a limita o mare parte din riscuri. Măsurile proactive şi reactive pot
include politici, concepte, standarde şi ghiduri de securitate, managementul riscului, activităţi
de instruire şi conştientizare, implementarea de soluţii tehnice de protejare a infrastructurilor
cibernetice, managementul identităţii, managementul consecinţelor.

Acest ghid își propune să sintetizeze o serie de informaţii cu privire la riscurile existente și
prezintă câteva metode utile pentru a determina reflexe simple pentru folosirea în siguranță
a sistemelor informatice, pentru a veni în întâmpinarea nevoilor tale de cunoaştere, atât în
calitate de cetăţean, utilizator al tehnologiei moderne, cât şi în calitate de funcţionar (public
sau nu) care utilizează infrastructura cibernetică a unei organizații, din moment ce, în ambele
ipostaze, suntem toți dependenţi de resurse informatice şi de comunicaţii.
 5

ASPECTE CONCEPTUALE
Un element important în configurația de securitate cibernetică este antivirusul. Acesta este
un program informatic conceput să detecteze, să prevină și să elimine instalarea oricăror
forme de malware (viruşi, troieni, adware, spyware etc.) pe sistemele de calcul. Actualizarea
acestuia este deosebit de importantă pentru a putea face față celor mai noi (versiuni ale unor)
programe malițioase.

Un exemplu de malware este troianul (trojan horse), a cărui denumire provine din mitologia
greacă. Acest tip de program pare a avea o funcţie utilă, legitimă, dar deţine şi una ascunsă,
potenţial maliţioasă, care scapă mecanismelor de securitate, uneori exploatând vulnerabilităţi
ale sistemelor vizate. Astfel, odată rulat, programul poate iniţia activităţi maliţioase, precum
sustragerea de informații, afectarea calculatorului gazdă sau crearea unor căi disimulate de
acces de la distanţă la sistemul infectat.

ALTE EXEMPLE DE PROGRAME MALIȚIOASE:

3 virusul informatic: program care se poate autoreplica în cadrul unui sistem şi propaga
în alte calculatoare din reţea fără ştiinţa utilizatorului. Acesta poate afecta negativ
funcţionalitatea, integritatea, disponibilitatea sistemului sau a datelor conţinute de
acesta;
3 viermele informatic: un malware ce dispune de capacitatea de a se autoreplica şi
propaga într-o reţea de calculatoare şi dincolo de aceasta (alte sisteme sau reţele),
folosind resursele reţelei, fără a se ataşa unui alt program sau proces.
 GHID
DE BUNE PRACTICI
PENTRU SECURITATE
CIBERNETICĂ

În urma infectării sistemului informatic, acesta poate deveni, de exemplu, parte a unui
botnet - o rețea de calculatoare infectate prin diverse metode de către o persoană/entitate
rău-intenţionată în vederea utilizării acesteia în folosul celui care controlează reţeaua
(botmaster), pentru sustragerea de date confidenţiale sau bancare, pentru iniţierea de atacuri
de tip DdoS, pentru spargerea parolelor sau pentru căutarea şi exfiltrarea de informaţii.

Componenta software a unui botnet este formată din 2 părţi: clientul şi serverul de comandă
şi control (C&C). În general, modulele client au implementate modalități de asigurare a
persistenţei în sistemul infectat prin autocopierea în zona de start-up a sistemului de operare.
Botmasterul este cel care controlează, prin intermediul serverului C&C, maşinile infectate
(boți). El poate, în funcţie de tipul botnet-ului, să administreze, monitorizeze şi să obţină
diverse statistici privind activitatea boţilor prin intermediul unui panou de comandă şi control.

PRUDENȚA
ÎN NAVIGAREA PE INTERNET
Securitatea cibernetică este un subiect discutat frecvent în ultimii ani pentru că mediul
virtual este unul dinamic, aflat în permanentă schimbare, pentru că tehnologiile folosite sunt
înlocuite, actualizate și modificate constant, apărând astfel noi și noi provocări și pentru că
nivelul de conștientizare al utilizatorilor este încă unul foarte scăzut.
Mediul online are din ce în ce mai multe conexiuni cu spațiul fizic. Iar multe dintre
lucrurile pe care le facem în primul au implicații în cel de-al doilea: atunci când securitatea
este compromisă în spațiul virtual, utilizatorii pot avea parte de consecințe dintre cele mai
neplăcute în spațiul fizic.
Acele informații vitale vizate de spionii cibernetici ni se par, de cele mai multe ori, uzuale,
banale, inofensive: acestea încep de la datele personale, completarea de diverse formulare
online pentru concursuri și ajung la date financiare şi contractuale, informaţii despre angajaţi
şi baze de date.
7
 GHID
DE BUNE PRACTICI
PENTRU SECURITATE
CIBERNETICĂ

Furtul de identitate în mediul online nu mai este o legendă urbană sau subiectul unui serial
TV polițist. Accesul unor terţi la date confidențiale creează avantaje strategice, iar blocarea
accesului utilizatorilor la un set de date poate aduce prejudicii financiare considerabile, prin
simpla lipsă a accesului la documente într-un anumit moment dat. În funcție de specificul
instituţiei, pierderile nu sunt numai de natură financiară în momente de criză.
În general, utilizatorii de Internet care sunt conștienți de riscuri adoptă unele măsuri care, în
opinia lor, bazată pe experiențele anterioare, ar trebui să fie suficiente pentru o bună protecție.
Departe de a oferi garanția unei securități impenetrabile, întrebările următoare și comentariile
aferente fiecăreia te vor ajuta să înțelegi mai bine multiplele fațete ale securității în spațiul
virtual.

REGULI PENTRU O NAVIGARE MAI SIGURĂ:

3 utilizează ultima versiune de browser;
3 având în vedere că cele mai multe aplicaţii maliţioase afectează Microsoft Internet
Explorer (utilizat de peste 50% dintre utilizatori), orientează-te şi spre alte tipuri de
browser (ex. Google Chrome, Opera, Firefox, Safari etc.), mai ales când accesezi pagini
web posibil nesigure (încearcă să foloseşti opţiunea NotScript sau NoScript);
3 verifică secţiunea de contact a site-urilor web (adresă, număr de telefon, e-mail);
3 verifică destinaţia reală a link-urilor prin trecerea cursorului mouse-lui peste acesta şi
vizualizarea adresei reale în partea stângă-jos a browser-ului;
3 atenţie la ce plugin-uri instalezi, de multe ori acestea vin însoţite de software maliţios;
3 nu apăsa pe link-urile din cadrul ferestrelor de tip pop-up;
3 verifică existenţa „https://” în partea de început a adresei web, înainte de a introduce
informaţii personale.
 9

INSTALEZI SOFTURI DIN INIȚIATIVA

TA SAU LA PROPUNEREA UNOR TERȚI?
Principiul ar fi următorul: dacă nu l-ai căutat de la început, nu-l instala! Multe amenințări
online vin sub forma cererilor de a da click pe un anumit link sau de a deschide atașamentul
unui mesaj e-mail. Altele îți deschid ferestre pop-up care îți cer sa rulezi un scanner de
securitate sau să instalezi un codec ori un player pentru a putea vizualiza diverse conținuturi.
Evită să dai curs unor asemenea cereri. Dacă dorești totuși să instalezi o astfel de
aplicație, fă o verificare înainte pe site-uri web specializate și recunoscute. Iar dacă este
necesar să instalezi acel soft, încearcă să îl descarci direct de la sursă (de pe site-ul web al
producătorului) și nu de pe site-uri web terțe.
 GHID
DE BUNE PRACTICI
PENTRU SECURITATE
CIBERNETICĂ

DEZINSTALEZI APLICAȚIILE DE CARE

NU MAI AI NEVOIE?
Daca nu mai ai nevoie de un anumit soft, dezinstalează-l! Astfel, vor fi mai ușor de urmărit
aplicațiile care necesită a fi actualizate, iar de multe ori acest lucru va permite o executare rapidă
a sarcinilor de către calculator (sunt frecvente aplicațiile de mici dimensiuni și add-on-urile care
se instalează împreună cu diverse softuri și care pornesc odată cu computerul, ocupând memoria
acestuia și afectându-i performanțele).

ÎȚI PROTEJEZI CONEXIUNEA LA INTERNET?

Dacă folosești un router pentru a te conecta la Internet, asigură-te că ai schimbat parolele
implicite ale acestuia (de cele mai multe ori, astfel de dispozitive au parole standard de genul
„1234”, „0000”, „admin”, „root”). De asemenea, actualizează firmware-ul și instalează patch-urile
de securitate.
Asigură-te că router-ul este configurat să ofere conexiuni criptate. Tehnologia de criptare WPA2
este cea mai puternică formulă disponibilă în majoritatea routerelor moderne.
Urmând acești pași, vei reduce considerabil riscul ca agresorii cibernetici să preia sub control
conexiunea ta de Internet, folosind-o pentru a-ți compromite computerul, pentru a-ți afla
credențialele de acces la diferite conturi sau pentru a o folosi ca paravan („proxy”) pentru
derularea altor atacuri informatice.
De asemenea, o regulă general valabilă subliniază faptul că nu se utilizează aceleaşi credenţiale
de acces pentru router, mesagerie electronică, reţele de socializare etc.

PROTECŢIE ANTI-MALWARE MULTIPLĂ:

Combinarea mecanismelor de filtrare web cu aplicaţii antivirus, firewall-uri, anti-malware,
politici de securitate respectiv o instruire adecvată a utilizatorilor, reduce considerabil riscul unei
infectări. Utilizează produse antivirus/antispyware dezvoltate de companii diferite și actualizează
frecvent atât sistemul de operare, cât şi celelalte aplicaţii utilizate.
 11

FOLOSEŞTI UN PROGRAM FIREWALL?

Programele firewall sunt destinate protejării calculatorului / serverului / router-ului /
telefonului /tabletei împotriva atacurilor informatice, încercării de pătrundere neautorizată,
instalării de aplicaţii software maliţioase.
Firewall-ul poate bloca accesul persoanelor neautorizate la informaţiile stocate pe
echipamentul conectat la Internet.
Un firewall poate fi un dispozitiv hardware sau o aplicaţie software.
 GHID
DE BUNE PRACTICI
PENTRU SECURITATE
CIBERNETICĂ

EȘTI ATENT LA DATELE TALE PERSONALE?

Nu completa formulare primite via e-mail, prin care ți se cer date cu caracter personal, parole,
coduri secrete sau PIN-uri. Când vine vorba de date sensibile, instituțiile publice, băncile sau
marile companii sunt mai... „conservatoare” și nu solicită să le fie transmise prin banalul e-mail.
Așa că, cel mai probabil, acel mesaj prin care ți se spune că banca ta dorește să actualizeze
datele clienților și are nevoie și de ale tale, inclusiv numărul cardului bancar, codul PIN și parola
de conectare la contul de Internet Banking... nu este de la bancă!
În privința realizării unei achiziții online, trebuie acordată o atenție sporită nivelului de
securitate al paginii, dacă se optează pentru plata online cu un card bancar.
Dacă pagina care solicită datele bancare nu utilizează protocolul HTTPS (ex: https://www.
site-de-cumpărături/finalizarea_tranzacţiei/...), ci HTTP, care facilitează transmiterea datelor în
clar, atunci se recomandă optarea pentru plata ramburs sau orientarea către un alt site web care
deține produsul dorit.

RECOMANDĂM UN SET MINIM DE REGULI:

3 cumpărăturile să se realizeze doar de pe site-uri web recunoscute şi securizate;
3 contravaloarea unui produs achiziţionat nu trebuie transmisă înainte de verificarea
existenţei şi funcţionalităţii acestuia, prin folosirea unui serviciu de escrow recunoscut;
3 nu se folosesc servicii financiare de transfer rapid WesternUnion sau MoneyGram
înainte de recepţionarea produsului achiziţionat, mai ales când această operaţiune este
solicitată de vânzător;
3 verificarea site-ului web (există magazine online fictive care au ca scop atragerea de
clienţi şi reţinerea datelor bancare ale acestora).
3 respectarea unei simple metode de verificare, respectiv compararea link-urilor
receptate prin mesaje de tip „spam“ cu cele legitime ale instituţiilor bancare.
 13

OBSERVI CU UȘURINȚĂ SCHEMELE DE

INGINERIE SOCIALĂ?
În ce constă ingineria socială? De exemplu, un banner pe un site web unde scrie că este
nevoie doar să dai click pe un link dacă vrei să afli cum s-a produs cel mai recent accident
aviatic ori să vezi în ce ipostaze incendiare a fost surprinsă o celebritate. Tot inginerie socială
este și atunci când ești anunțat că tocmai ai câștigat o suma de bani, o excursie sau o cină
romantică, în urma unei trageri la sorți la care nu îți amintești să te fi înscris, apoi ești rugat
să transmiți datele personale ori să depui ceva bani într-un cont pentru a intra în posesia
premiului. Indiferent de promisiune, ingineria socială îți va cere ceva: să deschizi un fișier
atașat în e-mail sau transmis prin Instant Messaging, să urmezi un link, să instalezi un soft, să
completezi cu datele tale un formular. Privește cu suspiciune astfel de cereri și nu te lăsa atras
în schemă.
Asigurarea unui nivel ridicat de securitate în mediul online nu este o sarcină ușoară.
Dar costurile insecurității se pot dovedi a fi mult mai greu de suportat.
 GHID
DE BUNE PRACTICI
PENTRU SECURITATE
CIBERNETICĂ

PRUDENȚĂ
CU OCAZIA FOLOSIRII E-MAILULUI

E-mailurile și atașamentele acestora au un rol foarte important în facilitarea atacurilor

informatice.
Rețelele de criminalitate informatică, prin acţiuni de manipulare a persoanelor (inginerie
socială), distribuie către mai mulţi utilizatori mesaje electronice nesolicitate (spam), cu caracter
aparent comercial, de publicitate pentru produse şi servicii, cu scopul de a infecta utilizatorii.

SECURITATEA E-MAILULUI:
3 evită transmiterea sau recepţionarea de informaţii sensibile prin e-mail;
3 evită încercările de inginerie socială sau phishing (tehnică utilizată de infractorii cibernetici
pentru a obţine informaţii sensibile care implică de regulă existenţa unui link maliţios în cadrul
mesajului; odată accesat, acesta trimite utilizatorul spre un site web de unde se va descărca
automat un malware);
3 orientează-te spre un provider de e-mail ce oferă o filtrare puternică anti-spam;
3 nu răspunde la spam şi evită e-mailurile în cascadă sau piramidale;
3 configurează corect clientul de e-mail;
3 nu folosi acelaşi nume pentru contul de e-mail personal şi pentru cel de serviciu; utilizarea
 15
de nume distincte pentru aceste conturi diminuează riscul ca acestea sa fie ținta unui atac
informatic;
3 evită stocarea informaţiilor critice în conturile personale de e-mail sau în alte reţele din afara
instituţiei/ companiei în care îţi desfăşori activitatea.

În momentul în care primești un e-mail, acordă atenție următoarelor:

3 identitatea expeditorului nu este garantată: verifică relația dintre expeditor și conținutul
mesajului;
3 nu deschide atașamente provenind de la persoane necunoscute sau asociate unor conturi
legitime, dar având mesaje cu subiect şi conţinut suspect. Acestea pot conține software maliţios
(malicious software sau malware, cum ar fi viermi, troieni, spyware, forme de adware etc.);
3 dacă este absolut necesară deschiderea unui ataşament, chiar şi din e-mailuri legitime,
acesta trebuie, în prealabil, descărcat şi scanat cu soluţia antivirus instalată şi, ulterior, deschis
cu aplicaţia asociată;
3 în cazul e-mailurilor care conţin link-uri, nu accesa direct acel link din corpul mesajului;
eventual, poate fi copiat acel link şi deschis din altă filă (tab) a browser-ului;
3 nu răspunde e-mailurilor conținând solicitări de date personale sau confidențiale (de
exemplu codul PIN și numărul cardului bancar).

PROTEJEAZĂ-ŢI INFORMAŢIILE:
Pe piaţă sunt accesibile diferite tipuri de criptare a datelor, ce şi-au dovedit eficienţa
în numeroase situaţii: criptarea mediilor de stocare sau a mesajelor expediate prin poşta
electronică (în locul transmiterii prin e-mail a unor date sensibile în format text, conţinutul poate
fi criptat cu una dintre soluţiile existente pe piaţă, de exemplu „pgp“).

DE UNDE ŞTII CĂ E-MAILUL TĂU A FOST „ACCESAT“ DE PERSOANE

NECUNOSCUTE?
3 contactele tale spun că au primit e-mailuri spam de la tine;
3 primeşti multe e-mailuri cu erori;
3 apar mesaje în dosarul „trimise” fără ca tu să le trimiţi;
3 istoricul localizării contului în operaţia de login nu corespunde cu activitatea ta curentă.

CUM SECURIZĂM CONTUL DE E-MAIL CARE A FOST „ACCESAT“ DE PERSOANE

NECUNOSCUTE?
3 recuperarea contului şi schimbarea parolei;
3 schimbarea parolelor de securitate, setarea verificării prin utilizarea telefonului;
3 verificarea conturilor de acces la bănci sau plăţi online şi notificarea acestora cu privire la
spargerea contului de e-mail;
3 notificarea contactelor din e-mail că ar putea exista un risc de securitate şi că e-mailul
(contul) a fost accesat de persoane necunoscute;
3 efectuarea operaţiei de back-up la fişierele importante.
 GHID
DE BUNE PRACTICI
PENTRU SECURITATE
CIBERNETICĂ

ALEGEREA CU ATENȚIE A UNEI

PAROLE
Parola este un instrument de autentificare folosit pentru a dobândi acces la un echipament
și la datele sale. Pentru protecția datelor tale, alege parole dificil de identificat de atacator cu
ajutorul instrumentelor automatizate („brute force”) sau de ghicit de către acesta.

Atacurile urmăresc identificarea parolei şi accesul la informaţia restricţionată prin acea

parolă. Cele mai folosite metode de atac de acest tip sunt „dictionary attacks“ şi „brute force“.
3 „Dictionary attack“ urmăreşte accesarea neautorizată a unor resurse sau sisteme
informatice, prin încercarea succesivă a parolelor / cheilor de decriptare aflate într-o listă
predefinită de cuvinte sau fraze.
3 Un atac „brute force” reprezintă o metodă de acces neautorizat la un sistem informatic sau
de decodare a conţinutului criptat (cum ar fi parolele) folosind „forţa brută” de calcul – prin
programe care aplică metoda încercare – eroare (trial and error). Metoda constă în încercarea
succesivă a tuturor combinaţiilor posibile de caractere, fără un algoritm elaborat. Este
aplicabilă într-un număr limitat de situaţii, când sistemele nu sunt protejate cu parole sigure (de
ex. sunt formate din prea puţine caractere) sau nu au implementate mecanisme anti-brute force
(de ex.: sistemul captcha, temporizarea accesului după un număr de accesări eşuate).
 17
În măsura în care acest lucru este posibil, alege parole compuse din minim 12 caractere de tip
diferit (majuscule, minuscule, cifre, caractere speciale de ex. #, &, %, $, @) fără legătură cu tine
(nume, data nașterii etc.) sau cu instituţia / compania în care îţi desfăşori activitatea, și care să nu
existe în dicționar.

UTILIZEAZĂ PAROLE PUTERNICE ŞI PĂSTREAZĂ-LE ÎN SIGURANŢĂ:

3 utilizează ID-uri şi parole unice şi nu le comunica altor utilizatori;
3 lungimea parolei şi complexitatea acesteia trebuie alese astfel încât să fie dificil de ghicit dar
uşor de ţinut minte;
3 schimbarea periodică a parolelor (la un interval de 1-3 luni);
3 utilizarea unor parole diferite, pentru aplicaţii diferite;
3 utilizarea unor metode multiple de autentificare (PIN, amprentă, mesaje alertă, etc);
3 evitarea utilizării unor parole similare acasă şi la locul de muncă.

CÂTEVA METODE SIMPLE TE POT AJUTA SĂ REALIZEZI PAROLE SOLIDE:

3 metoda fonetica: „Știu sigur ca am un DVD Blu-Ray!”: St1u100%km1DVDBLr!
3 metoda primelor litere: „Știu sigur ca am un DVD Blu-Ray!”: „sSka1DVDBr!”
3 metoda substituției (de obicei a vocalelor): „Ador concediile”: „@d0rc0nc#d11l#”
3 metoda scrierii inverse și substituței: „Ador concediile”: „r0d@3l11d3cn0c”
3 metoda alternării literă mare/mică, cifră/simbol și substituției: „Ador concediile”:
„@D0rC)nC3d11L3”
3 particularizarea metodelor în funcție de site-uri web în vederea creării unui sistem personal
de generare a parolelor: Gmail - „G@D0rC)nC3d!1L3MAIL”, Yahoo - „YA@D0rC)nC3d!1L3HOO”,
Wizzair - „WIZZ@D0rC)nC3d!1L3AIR”.
De asemenea, pentru a păstra în siguranţă parolele tale, poţi utiliza suporţi externi de memorie
criptaţi. Deşi pare o metodă mai complicată, este mai sigură.

Folosește o parolă unică pentru fiecare serviciu sensibil. Parolele care protejează conținut
sensibil (internet banking, e-mail profesional etc.) nu trebuie niciodată refolosite pentru alte
destinații. Este preferabil să nu folosești instrumentele de reținere a parolelor, cel puțin nu pe
aceeași stație de lucru sau nu afișate la vedere.

PE SCURT:
3 identifică reguli de realizare a parolelor și aplică-le;
3 modifică întotdeauna credențialele (utilizator și parolă) inițiale ale echipamentelor (servere,
imprimante, routere etc.), cum ar fi: admin/admin;
3 nu păstra parolele în fișiere pe stația de lucru sau pe notițe (post-it);
3 nu transmite niciodată parolele prin e-mail sau prin ataşamente necriptate;
3 manifestă atenţie la introducerea parolelor în prezenţa altor persoane, pentru a nu fi
observate de acestea.
 GHID
DE BUNE PRACTICI
PENTRU SECURITATE
CIBERNETICĂ

NIVELUL DE ACCES AL
UTILIZATORILOR
În momentul în care ai acces la calculator, beneficiezi de drepturi de utilizare, care pot fi la
nivel „utilizator” sau „administrator”:
3 la utilizarea cotidiană a calculatorului (navigare Internet, citirea e-mailului, folosirea soft-
urilor profesionale etc.) este indicată folosirea unui cont de utilizator, cu drepturi restrânse;
3 contul de administrator nu trebuie utilizat decât pentru a interveni asupra funcționării
calculatorului (instalarea de conturi de utilizatori, modificarea politicii de securitate, instalare
sau modificare de software etc.).
În măsura în care un agresor va obține acces la contul tău de utilizator, va fi foarte dificil
pentru acesta să preia controlul stației sau al rețelei.

PE SCURT, SE RECOMANDĂ:
3 folosirea dreptului de administrator revine structurii IT, dacă aceasta există;
3 deschiderea conturilor de utilizator, fără a utiliza contul de administrator pentru navigarea
pe Internet;
3 identificarea precisă a utilizatorilor rețelei informatice și a drepturilor acordate;
3 eliminarea conturilor anonime și generice (stagiar, presa, contact etc.) în vederea asocierii
activităților din rețea unor utilizatori nominali;
3 realizarea unei proceduri pentru intrarea și ieșirea din schema de personal a angajaților
pentru a acorda drepturi în funcție de responsabilități și pentru a le revoca la plecarea persoanei
din organizație.

ACTUALIZARE
SOFTWARE PERIODICĂ
În cadrul fiecărui sistem de operare (Windows, Linux, IOS, MacOS, Android etc.) există
vulnerabilități. Acestea pot fi corectate de producător, care, după identificarea acestora, poate
emite actualizări de securitate ale softului. Cunoscând faptul că mulți utilizatori nu actualizează
software-ul, atacatorii exploatează aceste vulnerabilități, reușind să deruleze activități pe
 19

sistemul țintă mult după descoperirea și corectarea vulnerabilităților de către producător.

Producătorii evaluează în general vulnerabilitățile software-ului și realizează patch-
uri - actualizări ale software-ului în vederea înlăturării unor defecţiuni / vulnerabilităţi
anterioare ale acestuia. Din punct de vedere informatic, vulnerabilitatea este un punct slab
în proiectarea şi implementarea infrastructurilor cibernetice sau a măsurilor de securitate
aferente care poate fi exploatată de către un atacator.
Există însă și vulnerabilități de tip „zero day”, cele care nu sunt cunoscute de autor
astfel încât să poată fi remediate, dar care pot fi descoperite de un individ / entitate rău
intenţionat/ă şi care le poate exploata în scopuri maliţioase.
Aceste vulnerabilități sunt utilizate în atacurile de tip Advanced Persistent Threat (APT),
agresiuni cibernetice derulate, de regulă, de state, ce vizează ţinte din domeniul politic,
militar, industrial, al securităţii naţionale, al cercetării şi/sau al afacerilor. Prin nivelul
tehnologic ridicat, aceste agresiuni pot fi menținute în secret o perioadă lungă de timp.
Scopul constă în obţinerea neautorizată de informaţii confidenţiale în interesul unei entităţi
statale sau nonstatale (spionaj cibernetic).
Actualizarea sistemului de operare trebuie să se realizeze cât mai des, astfel încât
echipamentul (calculator, laptop, server, router, telefon, tabletă etc) să ruleze optim şi să fie
cât mai puţin vulnerabil la atacuri cibernetice.

ASTFEL, SE IMPUNE APLICAREA UNEI SERII DE REGULI:

3 definirea și aplicarea unei politici privind actualizările periodice;
3 configurarea softurilor ce au capabilităţi de actualizare automată;
3 utilizarea exclusivă a site-urilor web ale producătorului pentru operarea actualizărilor.
GHID
DE BUNE PRACTICI
PENTRU SECURITATE
CIBERNETICĂ
 21

BACK-UP
LA INTERVALE PERIODICE
Pentru a asigura securitatea datelor tale, este recomandat să efectuezi back-up la intervale
periodice (zilnic sau săptămânal) astfel încât să poți reveni la date în cazul unei probleme
în funcționarea sistemului de operare sau al unui atac. Pentru a salva datele, pot fi folosiți
suporți de memorie (hard-disk extern dedicat, stick-uri de memorie sau CD/DVD). Având în
vedere creșterea exponențială a atacurilor cu ransomware din ultimii doi ani, se recomandă ca
dispozitivul de back-up să nu fie mappat în rețea (mappare - alocarea unei litere în organizarea
logică a sistemului pentru partiții/dispozitive de stocare).

Ransomware - specie de malware care blochează / restricţionează total accesul utilizatorului

la sistemul informatic (prin blocarea ecranului) sau la datele în format electronic (prin criptare),
până când acesta plăteşte o răscumpărare către un terţ.

Adiţional, dat fiind faptul că suporţii de memorie folosiţi pentru stocarea copiilor de rezervă
a datelor sunt vulnerabili la un acces neautorizat, trebuie să te asiguri că datele sensibile /
confidenţiale sunt protejate prin criptarea copiilor de rezervă.
O metodă de asigurare a integrității datelor este cloud computing, un model de furnizare a
resurselor informaţionale care se bazează pe partajarea prin intermediul Internetului a unor
resurse (servere, capabilităţi de stocare, aplicaţii), ce diferă de modelul tradiţional al serverelor
şi aplicaţiilor locale. Astfel pot fi stocate (cloud storage) date pe servere virtuale, utilizatorii
având acces la datele stocate din orice locaţie în condiţiile existenţei unei conexiuni la reţea. De
cele mai multe ori presupune autentificare pe bază de nume de utilizator şi parolă unice.

Înainte de a efectua salvări pe platforme online („în cloud”), trebuie sa fii conștient de faptul
că acestea pot fi ținta unor atacuri cibernetice și că aceste soluții implică o serie de riscuri
specifice:
3 la adresa confidențialității, integrității și disponibilității datelor;
3 juridice, legate de incertitudinea cu privire la situarea datelor sau ireversibilitatea
contractelor.

De asemenea, trebuie să consulţi cu atenţie termenii contractuali stabiliţi cu furnizorii de

servicii cloud pentru a te asigura că datele sunt protejate cu acelaşi grad de securitate pe care
l-ai implementat pe dispozitivele proprii.
 GHID
DE BUNE PRACTICI
PENTRU SECURITATE
CIBERNETICĂ

SECURIZAREA ACCESULUI LA WI-FI

Utilizarea Wi-Fi, în cazul în care conexiunea nu este securizată sau este securizată incorect,
comportă unele riscuri, precum accesul la date al unor persoane neautorizate sau utilizarea
acestei conexiuni în scopuri răuvoitoare. Din acest motiv, trebuie evitată folosirea conexiunii
wireless în organizații, în favoarea celei cu fir, care rămâne mai sigură și mai performantă.

În cazul în care varianta wireless este singura opțiune, la momentul configurării conexiunii,
este indicată activarea criptării tip WPA2 sau, varianta inferioară, WPA-AES. Nu folosi criptarea
WEP deoarece aceasta poate fi decriptată în numai câteva minute. De asemenea, este indicat să
configurezi o parolă de mai mult de 12 caractere, pe care o vei modifica periodic (vezi capitolul
1. Alegerea cu atenție a unei parole).

De asemenea, în reţelele interne ale organizaţiilor este indicată securizarea accesului la

conexiunea wireless prin filtrarea după adresa MAC a echipamentului folosit pentru conectare.
Este contraindicată folosirea conexiunilor publice (rețele publice din aeroporturi, restaurante,
hoteluri etc.) din punct de vedere al securității și confidențialității. Dacă aceasta este singura
posibilitate de conectare, trebuie evitată transferarea oricăror date personale sau confidențiale
(cum ar fi tranzacțiile bancare).
 23
Este imperios necesar ca fiecare utilizator de Internet să evite, pe cât posibil, conexiunile
publice (din baruri, restaurante, etc.), deoarece acestea nu asigură securitatea şi
confidenţialitatea datelor vehiculate şi, în plus, marea majoritatea păstrează datele de
conectare ale utilizatorilor.

FOLOSIREA ÎN SIGURANȚĂ A TELEFONULUI

INTELIGENT (SMARTPHONE) SAU
A TABLETEI
PROTECŢIA SISTEMELOR MOBILE:
Smartphone-urile sunt practic niște minicalculatoare la purtător. Le folosim nu numai
pentru a efectua apeluri, ci și pentru operațiuni bancare, cumpărături online, poștă electronică,
navigare pe Internet, etc. Cei mai mulți dintre utilizatori păstrează o mare parte dintre datele
importante sau personale pe telefonul mobil.

Creșterea exponențială a numărului de aplicații descărcate, partajate sau instalate, face

ca aceste telefoane inteligente să devină tot mai vulnerabile la diverse tipuri de malware.
Operațiunile bancare derulate de pe dispozitivele mobile au devenit tot mai populare, fără însă
de a beneficia de mecanisme de protecție comparabile cu cele de pe PC-uri, încurajând astfel
criminalitatea informatică.

Telefoanele inteligente au un nivel de securizare scăzut. Prin urmare trebuie aplicate o serie
de reguli elementare de securitate informatică:
3 nu instala decât aplicații necesare și verifică la ce date au acces înainte de le descărca
(poziționare geografică, contacte, apeluri telefonice etc.). Evită instalarea aplicațiilor care
solicită acces la informaţii care nu le sunt necesare pentru a funcționa;
3 în plus față de codul PIN care protejează cartela SIM, folosește o parolă sau un cod
pentru a securiza accesul la telefon și configurează-l astfel încât să se blocheze automat după
(re)pornire sau la un interval de timp cât mai scurt în cazul inactivităţii;
3 instalează software-uri de securitate special concepute pentru dispozitive mobile; acestea
pot detecta şi elimina viruşii, bloca mesajele spam multimedia sau alte ameninţări cibernetice;
3 criptează memoria internă a telefonului sau tabletei dacă aceastea conţin informaţii
sensibile; dacă dispozitivul mobil este pierdut, persoana care intră în posesia acestuia nu va
putea accesa datele respective;
3 realizează salvări periodice ale datelor pe un suport extern pentru a le putea restaura;
3 nu permite salvarea parolelor, în special pentru aplicațiile bancare sau cele puse la
dispoziție de furnizorii de servicii pentru gestionarea consumului și plata facturilor;
3 aplică, periodic, actualizările de securitate furnizate de producătorii software-urilor
instalate pe dispozitivele mobile.
 GHID
DE BUNE PRACTICI
PENTRU SECURITATE
CIBERNETICĂ

PROTECȚIA DATELOR PE DURATA

CĂLĂTORIILOR
Utilizarea dispozitivelor mobile (laptop,
smartphone, tabletă) este importantă
în cazul călătoriilor profesionale,
simplificând transportul și schimbul de
date. Există totuși o serie de riscuri în
condițiile în care datele vehiculate sunt
sensibile - date a căror pierdere sau
furt pot genera consecințe importante
asupra activităților organizației.

ÎNAINTE DE PLECAREA ÎN
DELEGAȚIE
3 nu folosi decât echipamente
dedicate delegației (laptop, telefon,
suporți de memorie) și care conțin doar
strictul necesar de date;
3 realizează un back-up al datelor
pentru a le putea restaura în caz de
pierdere;
3 dacă trebuie să lucrezi în timpul
călătoriei, folosește un filtru de protecție
pentru ecran și o conexiune securizată
pentru accesarea resurselor companiei
de la distanță;
3 aplică un semn distinctiv
dispozitivelor tale pentru a fi sigur/ă că
nu a avut loc o substituire;
3 nu permite salvarea parolelor;
3 șterge istoricul conexiunilor de
pe tabletă / telefon; acestea ajută un
potențial agresor să identifice o serie de
date despre tine (locații, obiceiuri, cerc
relațional etc.)
 25
PE DURATA DELEGAȚIEI
3 păstrează dispozitivele (echipamentele și suporții de memorie) permanent asupra ta;
3 dezactivează funcțiile Wi-Fi și Bluetooth;
3 îndepărtează cartela SIM și bateria dacă trebuie să lași telefonul nesupravegheat;
3 informează reprezentanții organizației de care aparții în caz de inspecție a bagajelor sau de
confiscare a dispozitivelor de către autorități străine;
3 nu folosi echipamente primite cadou dacă nu le poți verifica înainte;
3 evită conectarea echipamentelor tale la cele ale altor entități. Dacă trebuie să scoți fișiere
(prezentări etc.) din laptop, folosește un stick USB dedicat, pe care îl vei formata ulterior cu un
software specializat;
3 nu permite conectarea altor echipamente (smartphone, stick USB, MP3 player, cameră foto
etc.) la cele cu care călătorești;
3 este recomandat să utilizezi modemuri mobile, provenite de la operatori de telefonie mobilă;
3 implementează mecanismele software de dezactivare de la distanţă a dispozitivului mobil şi
de protejare a informaţiilor stocate împotriva intruziunii, în cazul unei pierderi sau al unui furt.

LA ÎNTOARCEREA DIN DELEGAȚIE

3 șterge istoricul apelurilor și al navigației GPS;
3 schimbă parolele folosite pe durata delegației;
3 predă echipamentele la verificare, dacă este posibil;
3 nu folosi/scana/verifica stick-uri de memorie/telefoane/laptop-uri/tablete/cd-uri cu
prezentări/servicii VPN/VPS care ți-au fost oferite pe durata delegației deoarece ar putea conține
software malițios.
3 dacă se impune, pentru o mai mare siguranţă, foloseşte funcţia de resetare a dispozitivului
mobil, care permite ca toate datele existente / aplicaţii software instalate ulterior, să fie şterse şi
distruse, cu revenire la setările iniţiale ale producătorului.

UTILIZAREA SIGURĂ A
UNITĂŢILOR EXTERNE DE
MEMORIE
3 Asigură-te că sunt introduși în
echipamentul informatic doar suporţi
de memorie externă (USB stick,
card memory, CD/DVD) verificaţi
în prealabil cu aplicaţii antivirus
actualizate.
3 Ţine apăsată tasta „Shift“ în
momentul în care introduci suportul
de memorie externă, pentru a bloca
rularea automată („autorun“) a
software-urilor maliţioase.
 GHID
DE BUNE PRACTICI
PENTRU SECURITATE
CIBERNETICĂ

PLATFORMELE SOCIALE ȘI COPIII

Cu toții utilizăm platformele sociale, în special Facebook, un mediu preferat de infractori
pentru a culege date despre țintele lor. Dacă adulții sunt, în general, mai prudenți în activitatea
online, copiii nu conștientizează anumite necesități de autoprotecție.

SE RECOMANDĂ:
3 evitarea publicării informațiilor personale, precum ziua de naștere, adresa de e-mail sau
adresa fizică;
3 atunci când postezi fotografii, asigură-te că o faci doar cu persoanele cunoscute, iar
acestea nu surprind locații exacte (ex.: adrese de domiciliu);
3 nu dezvălui niciodată informații referitoare la perioadele în care părăsiți locuința;
3 în cazul în care ai copii care au voie să folosească calculatorul familiei, nu le oferi privilegii
de administrator asupra respectivului computer;
3 instalează o soluție antivirus cu control parental, filtru de conținut și filtru pentru rețelele
sociale. Dată fiind ponderea conținutului pornografic și a violenței online, este de datoria
părinților să își păstreze copilul în siguranță;
3 informează-te despre cyber-bullying şi poartă discuții cu copilul tău.
 27

CONSIDERAŢII
FINALE
Acest document nu se doreşte a fi un ghid absolut împotriva ameninţărilor cibernetice, are
un caracter general şi nu oferă garanţii pentru o protecţie sigură (nu poate înlocui expertiza în
domeniu şi nu este neapărat complet sau actualizat), dar poate contribui la dezvoltarea unei
culturi şi crearea unor reflexe în ceea ce priveşte securitatea informaţiei, într-un mediu digital
caracterizat printr-o continuă transformare şi dezvoltare.

PENTRU CREȘTEREA NIVELULUI DE SECURITATE CIBERNETICĂ A UNEI

ORGANIZAȚII SUNT IMPORTANTE:
3 crearea unei viziuni şi a unor principii ce ar trebui translatate într-o politică a securităţii
informaţiei;
3 implementarea acestei politici în cadrul organizaţiei şi definirea clară a rolurilor şi
responsabilităţilor;
3 dezvoltarea unei culturi şi a unei stări de spirit adecvate, prin implementarea corectă a
principiilor ce privesc securitatea informaţiei.

Utilizatorul reprezintă primul zid de apărare împotriva ameninţărilor din spatele monitorului,
primul şi uneori ultimul senzor în identificarea pericolelor şi, în funcţie de caz, semnalarea
acestora responsabilului IT al instituţiei. Utilizatorul este, totodată, cel care poate preveni
crearea unor prejudicii substanţiale atât pentru sine, cât şi pentru instituţia în care activează.

CULTURA ÎN SECURITATEA INFORMAȚIEI PRESUPUNE:

3 comunicare sigură şi responsabilă;
3 utilizarea înţeleaptă a reţelelor de socializare;
3 transferul conţinutului digital într-o manieră sigură;
3 utilizarea adecvată a parolelor;
3 evitarea pierderii informaţiilor importante;
3 asigurarea că doar anumite persoane au acces la informaţii;
3 protecţia împotriva viruşilor sau a altor aplicaţii malware.
 GHID
DE BUNE PRACTICI
PENTRU SECURITATE
CIBERNETICĂ

GLOSAR
Aplicaţii care modifică şi îmbunătăţesc funcţionarea navigatorului web Internet Explorer. Aceste mici
add-on programe ajută la personalizarea browserului cu unele caracteristici care pot uşura şi îmbunătăţi
experienţa online.
ameninţare Circumstanţă sau eveniment care constituie un pericol potenţial la adresa securităţii cibernetice.
cibernetică
Program conceput să detecteze, elimine şi să prevină instalarea oricăror forme de malware (viruşi,
antivirus
troieni, adware, spyware etc.) pe sistemele de calcul.
atac cibernetic Acţiune ostilă desfăşurată în spaţiul cibernetic de natură să afecteze securitatea cibernetică.
Procesul de verificare a identităţii sau a altor atribute presupuse a aparţine unei entităţi (utilizator,
autentificare
proces, dispozitiv).
Un program sau o bibliotecă de software, eventual chiar şi un echipament hardware corespunzător,
codec care asigură codarea şi decodarea unei informaţii. Cuvântul este un acronim care provine de la
codificare/decodificare.
Reprezintă un text special, deseori codificat, trimis de un server către browserul web, care este
reutilizat de acesta de fiecare dată când navigatorul accesează acel server pe durata unei sesiuni de
cookie
lucru a unui utilizator. Cookie-urile pot conţine şi anumite informaţii despre utilizatori, motiv pentru
care folosirea lor este supusă unor restricţii legale în SUA şi statele UE.
Reprezintă hărţuirea cibernetică, respectiv folosirea tehnologiilor informaţiei şi comunicaţiilor, cum ar
cyber-bullying fi e-mailul, telefoanele mobile, pager-ele, site-urile web defaimatoare, blog-urile etc. cu scopul de a
ataca, în mod deliberat, repetat şi ostil un individ sau un grup de indivizi.
Contul escrow este un instrument utilizat frecvent în tranzacţiile dintre părţi, mai ales când este
escrow vorba de sume mari de bani, însă beneficiile acestuia sunt la fel de importante pentru orice schimb
comercial şi în cazul oricărei tranzacţii, indiferent de valoare.
Un software sau o secvenţă de cod care foloseşte o vulnerabilitate a unei aplicaţii sau a unui sistem
exploit informatic cu scopul de a obţine controlul asupra acestuia sau de a derula atacuri de tip denial-of-
service (DOS).
Sistem (hardware sau software) proiectat cu scopul de a proteja un calculator sau o reţea internă
firewall (privată) de accesul neautorizat din exterior, prin implementarea unor politici de securitate, prin care
sunt filtrate cererile şi sunt respinse cele care nu respectă criteriile specificate.
hacker Specialist IT care caută şi exploatează vulnerabilităţi ale sistemelor informatice.
network mapping Efectuarea de operaţiuni electronice de inventariere a sistemelor şi serviciilor dintr-o reţea.
(maparea rețelei)
 29
O înşiruire de litere, cifre şi/sau caractere speciale, cu rol de protecţie, folosită (de regulă împreună
parolă cu un nume de utilizator) la autentificare sau pentru obţinerea accesului autorizat la anumite sisteme/
servicii/date.
player Reprezintă un program de calculator/software care redă înregistrări (fişiere) audio-vizuale.
Sistem de documente de tip hipertext interconectate care pot fi accesate prin reţeaua de Internet.
world wide web
Aceste documente pot fi vizualizate sau accesate cu ajutorului unui browser şi pot conţine text,
(„the web”, www
imagini, videoclipuri şi alte formate multimedia. Cu ajutorul browser-ului se poate naviga de la o
sau w3)
pagină la alta prin intermediul hiperlink-urilor.
Numele comercial al tehnologiilor construite pe baza standardelor de comunicaţie din familia IEEE
wi-fi 802.11 utilizate pentru realizarea de reţele locale de comunicaţie (LAN), fără fir (wireless) la viteze
echivalente cu cele ale reţelelor cu fir electric de tip Ethernet.
Memorie specială utilizată pentru stocarea temporară a datelor care asigură accesul rapid la anumite
cache date utilizate frecvent de procese sau componente ale sistemului. Termenul este folosit în două
accepţiuni: memorie cash şi disk cash.
Elemente utilizate în cadrul sistemelor informaţionale pentru accesul la informaţii sau alte resurse.
În general, termenul se referă la perechi de tip nume de utilizator – parolă. Drept credenţiale pot
credenţiale
fi utilizate şi: datele biometrice (amprentele, recunoaşterea vocală, scanarea retinei), certificatele
digitale etc.
Software realizat în scopuri nelegitime sau maliţioase (prescurtare a sintagmei malicious software;
exemple: viermi, troieni, spyware, forme de adware etc).
Alte exemple:
HAVIJ – aplicaţie software folosită în atacuri tip SQLi;
malware
SLOWLORIS – aplicaţie software ce permite unui computer să compromită un server web, folosind în
acest scop resurse minime;
PYLORIS – aplicaţie folosită la testarea nivelului de vulnerabilitate a unui serviciu, în vederea lansării
unui atac DdoS; foloseşte metoda Slowloris.
patch Actualizarea unui software în vederea înlăturării unor defecţiuni/vulnerabilităţi anterioare ale acestuia.
patching Procesul de actualizare a unei aplicaţii software cu o versiune îmbunătăţită.
Software creat pentru sustragerea de date (în special confidenţiale, de acces sau bancare) de pe
spyware
sistemele ţintă aparţinând unor persoane sau organizaţii
Program informatic care pare a avea o funcţie utilă, legitimă, dar deţine şi una ascunsă şi potenţial
maliţioasă, care scapă mecanismelor de securitate, uneori exploatând vulnerabilităţi ale sistemelor
(cal) troian vizate. Astfel, odată rulat, programul poate derula activităţi maliţioase, precum sustragerea de
informații, afectarea calculatorului gazdă sau crearea unor căi disimulate de acces de la distanţă la
sistemul infectat.
Program care se poate autoreplica în cadrul unui sistem şi propaga în alte calculatoare din reţea
virus informatic fără ştiinţa utilizatorului. Acesta poate afecta negativ funcţionalitatea, integritatea, disponibilitatea
sistemului sau datelor conţinute de acesta.
WWW.SRI.RO