SECURITATE CIBERNETICĂ:

SECURITATEA REŢELELOR ŞI A SISTEMELOR INFORMATICE

Capitolul 1
1. INTRODUCERE

Tehnologia deschide un întreg univers de noi oportunități. Noi produse și servicii

devin tot mai populare și ajung să formeze o parte integrantă din viața noastră de zi cu
zi. Cu fiecare nouă evoluție, crește însă și dependența noastră tehnologică, ceea ce înseamnă
că securitatea cibernetică devine tot mai importantă. Cu cât postăm mai multe date personale
online și cu cât suntem mai conectați, cu atât suntem mai expuși riscului de a fi victime ale
diferitor forme de criminalitate informatică sau de atac cibernetic.
În ultimul deceniu, odată cu creșterea diversității și importanței amenințărilor din
spațiul cibernetic și a gradului de conștientizare a acestora, au fost dezvoltate diferite
metodologii, proceduri și ghiduri de bune practici în ceea ce privește răspunsul la incidentele
de securitate cibernetică. De asemenea, au fost dezvoltate tot mai multe tehnologii,
proprietare sau libere („free”, „open-source”), menite să prevină și să limiteze efectele
incidentelor de securitate survenite în cadrul rețelelor și sistemelor informatice.
Majoritatea standardelor de prevenire și răspuns la incidentele de securitate
cibernetică, cât și tehnologiile dezvoltate în acest scop, au în vedere sistemele informatice și
rețelele dintr-un mediu bine definit, cum ar fi: sisteme informatice independente, rețele locale
de calculatoare (LAN) și inter-rețele (WAN). Protejarea infrastructurilor cibernetice bine
definite împotriva atacurilor este facilitată de faptul că, de obicei, acestea sunt administrate de
aceeași organizație, respectă aceleași standarde tehnologice și respectă politici de securitate
comune.
Gestionarea incidentelor de securitate cibernetică la nivel național, spre deosebire de
cazul infrastructurilor cibernetice din medii bine definite, se caracterizează printr-un grad
ridicat de complexitate, datorat unui cumul de factori: imposibilitatea definirii de granițe
statale în mediul cibernetic, standarde tehnologice și de securitate ne-uniforme, infrastructuri

1
cibernetice utilizate în sectoare economice diferite, proprietari diferiți și, nu în ultimul rând,
atribuții împărțite între mai multe autorități naționale.
La nivelul UE sunt întreprinse demersuri în privința adoptării unei strategii europene
pentru securitatea cibernetică, care să armonizeze eforturile statelor membre în abordarea
provocărilor de securitate din spațiul cibernetic și protecția infrastructurilor informatice
critice. Totodată, la nivelul UE, s-a conturat necesitatea adoptării unei politici privind lupta
împotriva criminalității informatice. Inițiativele subsecvente au pornit de la constatarea
creșterii numărului de infracțiuni informatice, a tot mai amplei implicări a grupurilor de
criminalitate organizată în criminalitatea informatică, precum și a necesității unei coordonări
a eforturilor europene în direcția combaterii acestor acte. Având în vedere că atacurile
cibernetice pe scară largă, bine coordonate și direcționate către infrastructurile cibernetice
critice ale statelor membre, constituie o preocupare crescândă a UE, întreprinderea de acțiuni
pentru combaterea tuturor formelor de criminalitate informatică, atât la nivel european, cât și
la nivel național, a devenit o necesitate stringentă.
Statul Român, în concordanță cu demersurile inițiate la nivelul Uniunii Europene și
NATO, „își asumă rolul de coordonator al activităților desfășurate la nivel național pentru
asigurarea securității cibernetice”. Mai mult, România recunoaște existența amenințărilor
cibernetice și „susține o abordare comună, integrată și coordonată, atât la nivelul NATO, cât
și la nivelul UE, pentru a putea oferi un răspuns oportun la atacurile cibernetice”.

Ce este securitatea cibernetică?

Nu există o definiție standard, universal acceptată, a securității cibernetice1. În mare
spus, acest concept acoperă toate garanțiile și măsurile adoptate pentru a apăra sistemele
informatice și pe utilizatorii lor împotriva accesului neautorizat, a atacurilor și a prejudiciilor,
cu scopul de a asigura confidențialitatea, integritatea și disponibilitatea datelor.
Securitatea cibernetică implică prevenirea sau detectarea incidentelor cibernetice,
răspunsul la acestea și redresarea ulterioară. Incidentele pot fi provocate intenționat sau nu și
acoperă situații foarte diverse, de exemplu de la divulgări accidentale de informații până la
atacuri asupra întreprinderilor și a infrastructurilor critice, furtul de date cu caracter personal
și chiar ingerințe în procesele democratice. Toate aceste incidente pot avea efecte negative de
amploare asupra persoanelor, a organizațiilor și a comunităților.
Așa cum este înțeles la nivelul factorilor de decizie din UE, conceptul de securitate
cibernetică nu se limitează la securitatea rețelelor și a informațiilor, ci acoperă orice activitate

2
ilegală care implică utilizarea tehnologiilor digitale în spatial cibernetic. Prin urmare, acest
concept poate include infracțiuni informatice precum lansarea de atacuri cu viruși informatici
sau fraudele cu mijloace de plată fără numerar și poate viza atât sistemele, cât și conținutul,
cum se întâmplă de exemplu în cazul diseminării online a materialelor care conțin abuzuri
sexuale asupra copiilor. De asemenea, securitatea cibernetică poate să acopere campaniile de
dezinformare care urmăresc să influențeze dezbaterile pe internet, precum și acțiunile
suspectate de ingerință în alegeri. Pe lângă aceasta, Europol consideră că există o convergență
între criminalitatea informatică și terrorism.
Există diferiți actori – inclusiv state, grupuri infracționale și hacktiviști – care, din diferite
motive, instigă incidente cibernetice. Efectele acestora se resimt la nivel național, european și
chiar mondial. În același timp, natura intangibilă și în mare măsură fără frontiere a
internetului, precum și instrumentele și tacticile utilizate complică adesea identificarea
autorului unui atac (așa-numita „problemă a atribuirii”).
Numeroasele tipuri de amenințări cibernetice pot fi clasificate în funcție de efectele lor asupra
datelor (divulgare, modificare, distrugere sau refuzul accesului) ori în funcție de principiile de
bază privind securitatea informațiilor care sunt încălcate, astfel cum se arată în figura 1. Pe
măsură ce gradul de sofisticare al atacurilor asupra sistemelor informatice crește,
mecanismele noastre de apărare devin mai puțin eficace.

Figura 1 – Tipuri de amenințări și principiile de securitate pe care acestea le pun în pericol

1.1. PARTICULARITĂŢI ALE SECURITĂŢII SISTEMELOR

INFORMAŢIONALE

3
 Odată cu trecerea spre prelucrarea masivă a datelor cu ajutorul calculatoarelor
electronice, ca urmare a volumului mare al investiţiilor şi a transferării „grijii” informaţiei
către sistemele electronice de calcul, s-a pus într-un alt context problema protejării noilor
averi, fizice şi informaţionale. Totul trebuie pornit de la schimbarea opticii privind gestiunea
fizică a noilor averi, dar şi de la valorificarea pe multiple planuri a datelor memorate,
încercându-se să se obţină alte dimensiuni ale funcţiei de informare a conducerii, prin
utilizarea informaţiilor arhivate şi păstrate în alte condiţii.
În vederea obţinerii noilor performanţe, datele prelucrate sunt supuse unor operaţiuni
suplimentare în faza de culegere, astfel încât să poată fi valorificate ulterior pe mai multe
planuri. Preluarea datelor din două sau mai multe documente operative în unul sau mai multe
fişiere, având suportul de înregistrare specific noii variante de prelucrare, constituie o
îndepărtare vizibilă de modul tradiţional de păstrare a documentelor primare, de gestionare a
lor, şi duce la apariţia mai multor persoane care pot accesa aceleaşi date. Mai mult, prin
agregarea înregistrărilor anterioare, pot rezulta chiar noi informaţii.
Cum noile resurse fizice ale sistemelor de calcul sunt destul de scumpe, se constată o
tendinţă de centralizare a prelucrărilor de date, din motive de economie, dar, în acelaşi timp,
sporeşte grija asigurării securităţii lor, întrucât riscul pierderii lor sau al consultării
neautorizate este şi mai mare. Într-un astfel de caz, nu trebuie uitat principiul dominant al
prelucrării automate a datelor, GIGI (Gunoi la Intrare, Gunoi la Ieşire), conform căruia o
eroare strecurată într-un sistem integrat se propagă cu o viteză inimaginabilă, în zeci sau sute
de locuri din sistem, generând, la rândul ei, o multitudine de erori în rapoartele ce se vor
obţine ulterior.
Alt element, deosebit de important, îl constituie factorul uman. Dacă în vechile
sisteme erau uşor de controlat locurile de păstrare a informaţiei, acum, într-un mediu puternic
informatizat, persoanele cu atribuţii de urmărire a modului de realizare a securităţii datelor au
o misiune mult mai dificilă. Se pot înregistra două cazuri: fie că nu pot intui căile prin care
datele pot fi accesate pe ascuns, în vederea sustragerii sau modificării lor, fie că nu reuşesc să
descopere de unde şi cine, cu ajutorul unui calculator aflat la distanţă de locul păstrării
datelor, are acces neautorizat în sistem. Surpriza poate veni tocmai de la persoanele care
lucrează cu cea mai mare asiduitate la anumite aplicaţii. Loialitatea excesivă, în acest caz,
poate da de gândit.

4
 Prin trecerea la prelucrarea automată a datelor (p.a.d.) s-au schimbat şi suporturile
informaţiei, precum şi mijloacele de lucru, situaţie în care apar noi aspecte, şi anume:
• Densitatea informaţiei este mult mai mare în mediul informatic decât în sistemele clasice,
bazate pe hârtie. Prin utilizarea discurilor optice sau a stick-urilor USB, zeci de volume,
însumând zeci de mii de pagini de hârtie, pot fi introduse cu multă uşurinţă într-un
buzunar. CD-urile, DVD-urile, cardurile, memoriile flash, hard-discurile portabile şi alte
suporturi moderne pot fi astfel subtilizate discret, cu eforturi minime dar cu efecte
distructive majore.
• Obscuritatea sau invizibilitatea constituie o altă problemă, întrucât conţinutul
documentelor electronice şi al rapoartelor derivate stocate pe suporturile enumerate mai
sus nu poate fi sesizat pe cale vizuală la un control de rutină. De multe ori, cei puşi să
controleze nu au pregătirea informatică şi nici echipamentele necesare pentru a observa o
eventuală sustragere de fişiere.
• Accesibilitatea datelor din sistemele de calcul este mai mare, cel puţin pentru o nouă
categorie de infractori, catalogaţi „hoţi cu gulere albe”, făcându-se trimitere vădită la
nivelul de cultură, în primul rând informatică, al acestora.
• Lipsa urmelor eventualelor atacuri criminale constituie un alt element îngrijorător al
noului mediu de lucru. Ştersăturile din vechile documente pentru schimbarea sumelor,
precum şi adăugările de noi înregistrări „cu creionul” nu mai există, modificările în
fişierele electronice sunt efectuate cu multă lejeritate şi foarte greu de depistat ulterior.
• Remanenţa suporturilor, după ce au fost şterse, poate constitui o cale sigură de intrare în
posesia informaţiilor memorate anterior. Se cunosc numeroase programe de restaurare a
fişierelor şterse.
• Agregarea datelor. Puse laolaltă, datele capătă altă valoare decât cea avută prin păstrarea
lor în mai multe locuri separate unele de altele. Uneori, informaţiile de sinteză sunt
valorificate prin programe speciale în vederea obţinerii, tot cu ajutorul calculatorului, a
strategiei şi tacticii firmei într-un anumit domeniu. Edificator este cazul benzilor
magnetice ale firmei IBM, care conţineau direcţiile de cercetare pe următorii 15 ani,
intrate în posesia unei firme dintr-o ţară concurentă.
• Necunoaşterea calculatoarelor. Pentru foarte multe persoane, îndeosebi de vârstă
înaintată, calculatorul este investit cu forţe supraomeneşti, ceea ce le conferă o încredere
oarbă în datele obţinute prin intermediul lui. De asemenea, din motive de nepricepere,
aceşti anagajaţi pot fi victime uşoare ale corupătorilor informatizaţi.

5
• Progresul tehnologic. Rezultatele cercetărilor tehnico-ştiinţifice se transformă zi de zi în
tehnologii din ce în ce mai performante de accesare a datelor. Nu acelaşi lucru se poate
spune şi despre progresele înregistrate în domeniul securităţii datelor.
• Comunicaţiile şi reţelele, devenind tot mai performante, au extins aria utilizatorilor, atât
din punct de vedere numeric, cât şi al dispersiei în teritoriu, întregul spaţiu terestru fiind
accesibil reţelelor foarte mari. Odată cu noile progrese, şi aria utilizatorilor rău
intenţionaţi s-a mărit, precum şi variantele de furt informatizat.
• Integrarea puternică a sistemelor apare ca o consecinţă a îmbunătăţirii formelor de
comunicaţie şi a proliferării reţelelor de calculatoare. Pe acelaşi canal de comunicaţie
sunt transmise tot felul de date. În plus, introducând o dată eronată în sistem, de la un
banal punct de vânzare, ea pătrunde cu rapiditate în zeci de fişiere şi, implicit, aplicaţii
ale firmei. Comerţul şi afacerile electronice au deschis şi mai mult apetitul
„specialiştilor” în fraudă.
• Apariţia utilizatorilor finali informatizaţi constituie un veritabil succes, dar sporeşte şi
riscul pierderii datelor importante din calculatorul principal al companiilor.

Standardele de securitate, în pofida atâtor altor domenii în care se înregistrează mutaţii

vizibile în intervale scurte de timp, nu se concretizează în forme general valabile şi, cât timp
un lucru nu este interzis prin reguli scrise, el ori se consideră că nu există, ori se trage
concluzia că este permis.

1.2.VULNERABILITATEA MICROCALCULATOARELOR

Odată cu lansarea IBM-ului în producţia de microcalculatoare, în 1981, acest domeniu a

înregistrat progrese uluitoare. Dacă la început nu au fost luate în seamă, acum s-a ajuns ca un
microcalculator de câteva sute de dolari să efectueze ceea ce, cu doar câteva zeci de ani în
urmă, efectuau doar calculatoarele mari, de milioane de dolari.
Apariţia milioanelor de utilizatori a dus la constituirea unei adevărate bresle de specialişti
în „butonat” – a se citi apăsarea tastelor –, cu destul de puţine cunoştinţe despre teoria
sistemelor informaţionale şi cu nici o teamă de implicaţiile posibile ale unui sistem fără
securitate. De la utilizatorii izolaţi s-a trecut la constituirea de reţele puternice, care au
împânzit orice colţ al organizaţiilor. Următoarele trepte au constat în depăşirea graniţelor
firmei, ale oraşului, respectiv ale ţării. S-a creat, astfel, posibilitatea ca sistemele bazate pe

6
calculatoare mari să fie accesate din sute sau mii de locuri, afectând substanţial integritatea,
confidenţialitatea şi accesibilitatea datelor.
Datorită microcalculatoarelor, se poate spune că s-a înregistrat un progres colosal pe linia
domeniilor de aplicabilitate ale informaticii. Ele rezolvă rapid şi ieftin o mulţime de probleme
de planificare tehnico-economică, de exploatare, de administrare, procesare de texte,
comunicaţii şi alte facilităţi de lucru în reţea. În aceste condiţii, microcalculatoarele aduc şi
noi forme de manifestare a slăbiciunii sistemelor electronice de calcul şi a vulnerabilităţii lor.
Hazardul joacă un rol din ce în ce mai mare, astfel:
1. De la bun început ele au fost concepute mult mai prietenoase decât vechile sisteme,
deci destul de tentante în a fi utilizate şi de copiii şi de funcţionarii fără prea multe
cunoştinţe tehnice, aceasta concretizându-se în:
a. apariţia numeroaselor eşecuri sau erori în operaţiunea de creare a copiilor de
siguranţă – de exemplu, realizarea lor pe suportul intern de memorare al
aceluiaşi microcalculator, chiar pe aceeaşi partiţie de disc;
b. eşecuri în controlul accesului sistemului. Sistemele de protecţie prin parole nu
se folosesc la toate microcalculatoarele, iar când există nu sunt folosite
corespunzător, parolele fiind cunoscute de mai mulţi utilizatori, şi nu numai
atât, ele aflându-se scrise pe o bucată de hârtie, lipită pe colţul monitorului sau
pe masa de lucru;
c. tratarea tuturor datelor la fel, omiţându-se cele de o importanţă deosebită, care
ar trebui să aibă cu totul alt regim;
d. greşeli în păstrarea şi utilizarea resurselor sistemului. Discurile de orice tip,
casetele, benzile sunt împânzite prin toată unitatea, prin toate birourile, putând
fi folosite sau sustrase cu multă uşurinţă de alte persoane. Un suport din afară
poate fi introdus printre cele deja existente, strecurându-se astfel şi viruşii
distructivi. Hârtia de imprimantă (de regulă cea care conţine mici greşeli sau a
doua copie a unei lucrări efectuate în două exemplare), benzile tuşate ale
acesteia (riboanele), celelalte „resturi” sunt accesibile noilor „scormonitori în
gunoaie informatice”, cu scopul de a găsi „un colţ de pâine” printre
informaţiile conţinute de aceste materiale;
e. scrutarea cu uşurinţă a sistemului. Deseori, din pură curiozitate, un coleg, un
prieten, un copil venit în vizită la biroul părinţilor, având cunoştinţe limitate
despre calculatoare, încep să „se joace” cu tastele unui microcalculator pornit,

7
 situaţie în care se pot distruge date foarte importante. Mai periculos este cazul
în care „joaca” are un scop anume;
2. Calculatoarele nu mai sunt doar la dispoziţia specialiştilor, ci şi a altor persoane, care
nu cunosc prea multe lucruri despre alte tipuri de sisteme. Odată cu apariţia
Microcalculatoarelor, problemele de instruire informatică se pun într-un alt mod;
3. Prin politica de instaurare a unor restricţii în utilizare, apelându-se la sistemul
parolelor multiple, din faza de iniţializare a sistemului până la accesul la căi şi fişiere,
se reduce dramatic viteza de prelucrare, deci scade productivitatea sistemului;
4. Fiind plasate în aproape toate birourile, iar condiţiile de păstrare puternic
diversificate, riscul defectării este diferit de la un birou la altul;
5. Resursele întregului sistem fiind împrăştiate prin toate colţurile unităţii, securitatea
tradiţională a sălii calculatorului unic dispare, aceasta având ca rezultat:
a. documentaţia sistemului, softul, manualele de utilizare sunt ineficient folosite
sau în condiţii de risc sporit;
b. pierderea cheilor de deschidere a PC-urilor le poate face inutilizabile o
perioadă de timp;
c. softul de aplicaţii se realizează în mod haotic, ducând uneori la lucrul în
paralel la aceeaşi problemă, neexistând o evidenţă centralizată a preocupărilor;
d. parolele nu se înregistrează, deci nu poate fi vorba de un control al lor;
e. manualele de utilizare sunt păstrate neglijent, iar când sunt necesare nu mai
sunt de găsit;
6. Actele cu scop de fraudă pot fi săvârşite cu mai multă uşurinţă şi de către mai multe
persoane, ceea ce diminuează eficienţa controlului;
7. Prin preluarea de către calculator a activităţilor prestate anterior de mai multe
persoane, posibilitatea de furt, fără complotul mai multor angajaţi, devine mult mai
lejeră;
8. Persoanele care în condiţiile prelucrării clasice aveau grija şi posibilitatea de a lucra
doar într-un domeniu, destul de limitat, pot să-şi extindă aria „cunoaşterii” asupra
întregii baze de date a unităţii;
9. Pe suporturile cu capacitate de memorare foarte mare, fiind ascunse datele deosebit de
importante, acestea erau mai greu de găsit, în schimb, pe un disc optic sau video disc
operaţiunea este mult mai uşoară;

8
 10. Sistemele de operare ale microcalculatoarelor nu dispun de aceleaşi performanţe de
protecţie precum sistemele mari;
11. Slaba securitate, însoţită de facilităţile de lucru în reţea, conduce la sporirea
posibilităţilor de accesare neautorizată a sistemului;
12. Datele pot fi preluate pe un PC fie din reţea, fie din calculatorul mare şi tipărite sau
transferate pe diverse tipuri de discuri, cu scopul sustragerii lor;
13. Resursele locale ale unui PC pot fi folosite de către utilizatorii lor pentru a ataca
reţeaua sau calculatorul central;
14. Prin dimensiunile lor reduse şi greutatea mică, PC-urile sunt uşor de mutat dintr-un
loc în altul, ceea ce sporeşte riscul defectării lor;
15. Posibilitatea defectării sau întreruperii temporare a sursei de alimentare cu energie
electrică este mult mai mare decât în cazul unei singure săli a calculatoarelor.

Vulnerabilitatea este o slăbiciune a unui sistem hardware sau software ce permite

utilizatorilor neautorizați să obțină acces asupra sa. Principalele vulnerabilități în cadrul
sistemelor informatice sunt de natură fizică, hardware, software sau umană.
Sistemele informatice sunt vulnerabile în primul rând la atacurile clasice, atunci când un
atacator reușește să pătrundă fizic în incinta sistemelor de calcul și să sustragă
informații confidențiale. Pentru a preîntâmpina acest lucru trebuie să se asigure
securitatea fizică a echipamentelor de calcul prin plasarea acestora în zone sigure,
restricționate personalului neautorizat. Accesul la aceste zone trebuie făcut prin folosirea
interfoanelor, cardurilor de acces sau dispozitivelor de scanare a datelor biometrice pentru
autentificarea utilizatorilor cu permis de intrare.
O altă vulnerabilitate a sistemelor informatice o reprezintă dezastrele naturale
(cutremure, inundații, incendii) sau accidentele precum căderile de tensiune sau
supratensiunile ce pot duce la distrugerea fizică a echipamentelor de calcul. De aceea
trebuie avute în vedere și amplasarea echipamentelor pentru reducerea riscului față de
amenințările mediului înconjurător.
O atenție deosebită trebuie acordată componentelor hardware pentru ca acestea
să nu afecteze ulterior buna funcționare a sistemelor informatice. În cazul serverelor ce
furnizează servicii în Internet trebuie alese componente hardware tolerante la defectări
pentru a oferi disponibilitate serviciilor și datelor partajate în rețea și pentru a reduce riscul
vulnerabilităților de tip hardware. Aceste vulnerabilități sunt întâlnite cel mai des la

9
sistemele de stocare a datelor, fiind cele mai sensibile componente hardware. Din acest punct
de vedere se recomandă salvările de siguranță atât la nivelul informațiilor, cât și la
nivelul sistemului de operare, pentru repunerea rapidă a acestuia și a serviciilor
configurate în caz de defecțiune. Comunicațiile prin rețeaua Internet sunt nesigure.
Oricine se poate conecta la linia de comunicație și poate intercepta, altera sau chiar devia
traficul de date. Pentru a înlătura aceste vulnerabilități se recomandă folosirea metodelor
moderne de criptare astfel încât, în cazul în care sunt interceptate, datele să nu poată fi
decriptate.

Din punct de vedere software există mai multe tipuri de vulnerabilități:

• care măresc privilegiile utilizatorilor locali fără autorizație;
• care permit utilizatorilor externi să acceseze sistemul în mod neautorizat;
• care permit implicarea sistemului într-un atac asupra unui terț utilizator,
de exemplu atacul DDoS (Distributed Denial of Service).

O clasificare poate fi făcută după gradul de pericol pe care îl reprezintă

vulnerabilitățile pentru sistemul informatic supus atacului.
Vulnerabilitățile de clasă C, cele care permit atacuri prin refuzul serviciilor, sunt
vulnerabilități ale sistemului de operare, în special ale funcțiilor de rețea. Aceste
vulnerabilități permit utilizatorilor externi să altereze serviciile de rețea ale unui sistem
informatic, sau, în anumite cazuri, transformă sistemul victimă într-un sistem zombie ce va
putea fi implicat ulterior într-un atac de tip DDoS. Aceste vulnerabilități, dacă sunt
exploatate, duc la încetinirea sau la oprirea temporară a serviciilor de rețea oferite, cum este
cazul unor servere HTTP, FTP sau de poștă electronică.
Vulnerabilitățile de clasă C nu sunt considerate foarte grave deoarece implică doar alterarea
serviciilor, nu și a datelor. Cu toate acestea, în anumite domenii în care se pune accent mare
pe disponibilitatea datelor, aceste vulnerabilități reprezintă un risc ridicat.Vulnerabilitățile ce
permit utilizatorilor locali să-și extindă privilegiile fără autorizație, vulnerabilitățile de
clasă B, ocupă o poziție medie pe scara consecințelor. Prin aceste vulnerabilități, un utilizator
cu un cont limitat va putea obține privilegii de administrator în sistemul informatic respectiv.
Tipurile de atac care permit mărirea privilegiilor unui utilizator într-un sistem informatic sunt
atacurile buffer overflow. În urma unor erori de programare, unele aplicații alocă un spațiu
insuficient de memorie pentru stocarea informațiilor. În momentul în care spațiul de memorie

10
este total ocupat, informațiile ce depășesc spațiul alocat sunt stocate la o altă adresă din
memorie.
Prin manevrarea acestor adrese, un atacator poate executa diverse comenzi cu aceleași
drepturi ca ale programului respectiv. Cum programul de regulă are drepturi de administrator
în sistemul de operare, atacatorul care exploatează vulnerabilitatea buffer overflow poate
executa comenzi în sistem cu drepturi de administrator. Vulnerabilitățile de clasă B sunt
considerate vulnerabilități grave deoarece pot permite accesul unor utilizatori neautorizați la
informații importante din sistem.
Vulnerabilitățile de tip A, cele mai grave pe scara consecințelor, permit utilizatorilor externi
accesul la sistemul informatic. Prin atacuri cu troieni sau viermi informatici se pot deschide
breșe în securitatea sistemului informatic prin care un utilizator extern se poate conecta
în mod neautorizat la sistem. Sunt considerate vulnerabilități deosebit de grave deoarece
permit accesul utilizatorilor la sistemul de operare și la baza de date a sistemului, aceștia
putând fura sau chiar șterge datele importante.

Cauzele apariției vulnerabilităților într-un sistem informatic sunt multiple, câteva dintre
acestea fiind:
• erorile existente la nivelul sistemelor de operare sau al aplicațiilor;
• configurarea necorespunzătoare a sistemului de operare sau a aplicațiilor;
• cunoștințele limitate ale administratorilor de sistem sau de rețea;
• lipsa suportului dezvoltatorilor de software în rezolvarea erorilor identificate
în aplicațiile software.

Nu în ultimul rând, cele mai mari vulnerabilități sunt cele umane, date de personalul
ce se ocupă de configurarea și administrarea sistemelor informatice. Prin lipsa experienței sau
printr-o documentare inadecvată privind anumite configurări ale sistemului de operare sau ale
aplicațiilor instalate, securitatea cibernetică poate fi total compromisă. Un tip aparte îl
reprezintă vulnerabilitățile de tip zero-day, necunoscute dezvoltatorilor și furnizorilor de
software și care potfi exploatate de criminalii cibernetici.Orice sistem informatic are
vulnerabilități, astfel că putem spune că nu există un sistem 100% sigur. Aceste
vulnerabilități sunt folosite de multe tipuri de atacuri ce vizează un sistem informatic în
mod direct, cum ar fi atacurile de tip malware, sau indirect, în cazul implicării
sistemului informatic într-un atac de tip DDoS.

11
 1.3. CONTROLUL ACCESULUI ÎN SISTEMELE INFORMAŢIONALE

După fatidica zi de 11 septembrie 2001, sensul controlului accesului în sistem s-a

schimbat radical, atât prin prisma mijloacelor de exercitare, cât şi a domeniilor de aplicare. În
privinţa mijloacelor, dominantă a fost discuţia de la sfârşitul anilor ’90, dacă trebuie să se
introducă sau nu sistemele de identificare biometrică a persoanelor, făcându-se asocierea cu
luarea amprentelor digitale doar pentru elucidarea unor cazuri criminale. Opoziţia cea mai
puternică venea din partea sistemului bancar, dar nu numai. Alte instrumente păreau
incomode sau periculoase şi, ca atare, erau refuzate în serie. După data susmenţionată
lucrurile s-au schimbat radical, în privinţa identificării biometrice – tendinţă ce va fi
demonstrată într-un paragraf distinct al prezentului capitol. Domeniile de aplicare s-au extins,
totul venind din convingerea intimă a proprietarilor şi administratorilor de sisteme, văzându-
se astfel alte modalităţi de verificare a persoanelor ce doresc accesul în mai toate instituţiile
prezidenţiale, guvernamentale şi altele de tip public sau privat, iar aeroporturile şi-au extins
zonele supuse unei atenţii speciale.
Nici sistemele informaţionale nu au rămas aceleaşi. Doar simpla trimitere la ceea ce a
făcut Microsoft pe linia securizării este destul de elocventă, căci aproape orice mişcare a
personalului este sub control, apelându-se la dependenţa totală a acestuia de carduri speciale.
În acest spirit, dorim ca, la finalul parcurgerii capitolului de faţă, studenții să:
• dobândească suficiente cunoştinţe pentru stabilirea tipurilor de control al accesului
adecvate pentru o anumită organizaţie şi pentru implementarea acestora;
• cunoască modele de control şi a modalităţile de combinare a lor;
• deţină suficiente informaţii pentru stabilirea modalităţilor de identificare şi
autentificare a persoanelor necesare unei anumite organizaţii.

1.3.1. Tipuri de control al accesului în sistem

De regulă, controalele sunt introduse pentru diminuarea riscurilor la care sunt expuse
sistemele şi pentru reducerea potenţialelor pierderi. Controalele pot fi preventive, detective
sau corective.
Controalele preventive, după cum sugerează şi numele lor, au ca scop preîntâmpinarea
apariţiei unor incidente în sistem; cele detective vizează descoperirea unor apariţii ciudate în

12
sistem, iar controalele corective sunt folosite pentru readucerea la normalitate a sistemului
după anumite incidente la care a fost expus.
Ca să poată fi atinse obiectivele enumerate, controalele pot fi administrative, logice sau
tehnice şi fizice.
Controalele administrative sunt exercitate prin politici şi proceduri, instruire cu scop
de conştientizare, verificări generale, verificări la locurile de muncă, verificarea pe timpul
concediilor şi o supraveghere exigentă.
Controalele logice sau tehnice cuprind restricţiile de accesare a sistemului şi măsurile
prin care se asigură protecţia informaţiilor. Din această categorie fac parte sistemele de
criptare, cardurile inteligente, listele de control al accesului şi protocoalele de transmisie.
Controalele fizice încorporează, în general, gărzile de protecţie şi pază, securitatea
clădirilor,cum sunt: sistemele de încuiere a uşilor, securizarea camerelor cu servere şi laptop-
uri, protecţia cablurilor, separarea atribuţiilor de serviciu, precum şi realizarea copiilor de
siguranţă a fişierelor.
Controalele vizează responsabilizarea persoanelor care accesează informaţii sensibile.
Responsabilizarea este înfăptuită prin mecanisme de control al accesului care necesită, la
rândul lor, exercitarea funcţiilor de identificare, autentificare şi auditare. Controalele trebuie
să fie în deplină concordanţă cu politica de securitate a organizaţiei, iar procedurile de
asigurare au scopul de a demonstra că prin mecanismele de control se implementează corect
politicile de securitate pentru întregul ciclu de viaţă al sistemului informaţional.
Prin combinarea controlului preventiv şi detectiv cu mijloacele celorlalte tipuri de
control – administrativ, tehnic (logic) şi fizic – se obţin următoarele perechi:
• preventiv/administraitv;
• preventiv/tehnic;
• preventiv/fizic;
• detectiv/administrativ;
• detectiv/tehnic;
• detectiv/fizic.
Schematic, aceste perechi sunt redate în figura 2.

13
 Fig. 2. Perechile formelor de control

Controlul preventiv/administrativ:
În această variantă, accentul se pune pe resposabilităţile administrative care contribuie
la atingerea obiectivelor controlului accesului. Aceste mecanisme cuprind politicile şi
procedurile organizaţionale, verificările de fond înainte de angajare, practicile de încetare a
contractului de muncă în condiţii normale şi anormale, planificarea plecărilor în concediu,
etichetarea sau marcarea materialelor speciale, supravegherea mai exigentă, cursuri de
instruire în scopul conştientizării importanţei securităţii, conştientizarea modului de
comportare, precum şi procedurile de semnare a contractului în vederea obţinerii accesului la
sistemul informaţional şi la reţea.
Controlul preventiv/tehnic:
Împerecherea preventiv-tehnic vizează utilizarea tehnologiilor pentru consolidarea
politicilor de control al accesului. Controlul tehnic se mai numeşte şi control logic şi poate fi
realizat prin sistemele de operare, prin aplicaţii sau printr-o componentă suplimentară
hard/soft. Dintre controalele preventive/tehnice fac parte protocoalele, criptarea, cardurile
inteligente, biometria (cu scopul de autentificare), pachetele software pentru realizarea
controlului accesului local sau de la distanţă, parolele, meniurile, softul de scanare a viruşilor

Controlul preventiv/fizic:
În cea mai mare parte, măsurile de control preventiv/fizic sunt de tip intuitiv. Ele
vizează restricţionarea accesului fizic în zonele ce conţin informaţii sensibile ale sistemului.

14
Zonele respective sunt definite printr-un aşa-zis perimetru de securitate, aflat sub controlul
accesului.
În această categorie intră împrejmuirile cu gard, ecusoanele, uşile multiple (după trecerea
printr-o uşă, aceasta se blochează automat, iar la următoarea trebuie cunoscut sistemul de
deschidere, persoana fiind captivă între două uşi, motiv pentru care se numesc şi uşi-
capcană), sistemele de intrare pe bază de cartelă magnetică, aparatura biometrică (pentru
identificare), servicii de pază, câini de pază, sisteme de controlare a mediului (temperatură,
umiditate ş.a.), schiţa clădirii şi a căilor de acces, locurile special amenajate pentru
depozitarea suporturilor de informaţii.
Controlul detectiv/administrativ:
Câteva dintre controalele detective/administrative se suprapun controalelor
preventive/administrative pentru că ele pot fi exercitate cu scopul prevenirii posibilelor
violări ale politicilor de securitate sau pentru detectarea celor în curs. Din această categorie
fac parte procedurile şi politicile de securitate, verificările de fond, planificarea plecărilor în
concediu, marcarea sau etichetarea materialelor speciale, o supraveghere mai exigentă,
instruiri cu scopul conştientizării importanţei securităţii. În plus, cu scop
detectiv/administrativ sunt controalele ce vizează rotirea personalului la locurile de muncă,
exercitarea în comun a unor responsabilităţi, precum şi revizuirea înregistrărilor cu scop de
auditare.
Controlul detectiv/tehnic:
Măsurile controlului detectiv/tehnic vizează scoaterea în evidenţă a violării politicii de
securitate folosindu-se mijloace tehnice. Aceste măsuri se referă la sistemele de detectare
a intruşilor şi la rapoartele privind violările securităţii, generate automat, pe baza
informaţiilor colectate cu scopul de a fi probă în auditare. Rapoartele pot evidenţia abaterile
de la funcţionarea „normală” sau pot detecta semnături cunoscute ale unor episoade de acces
neautorizat.
Datorită importanţei lor, informaţiile folosite în auditare trebuie să fie protejate la cel mai
înalt nivel posibil din sistem.
Controlul detectiv/fizic:
De regulă, aceste controale necesită intervenţia omului pentru evaluarea a ceea ce
oferă senzorii sau camerele pentru a stabili dacă există un pericol real pentru sistem. În acest
caz, controlul se exercită prin camere video, detectoare termice, de fum, de mişcare.

15
 1.3.2. Identificarea şi autentificarea

În orice sistem de bariere fizice, sistemul de securitate trebuie să discearnă care sunt
persoanele autorizate şi care sunt vizitatorii şi alte categorii neautorizate. Autentificarea poate
să o facă corpul de pază, alte persoane care se ocupă de controlarea accesului sau sistemele
automate investite cu această funcţie.
De regulă, identificarea şi autentificarea persoanelor se efectuează prin analiza a patru
elemente:
1. Ceva aflat în posesia persoanei. De regulă, se posedă lucruri cum sunt: chei, cartele
magnetice, cartele speciale, echipamente de identificare personală şi jetoane. Ele permit un
prim pas de accesare a sistemului. Există marele pericol al pierderii lor sau de dare spre
folosinţă altor persoane.
2. Ceva care individualizează persoana. Identificările biometrice sunt o altă variantă
de condiţionare a accesului. Ele pot fi: amprentele degetelor, buzelor, semnătura, vocea,
forma mâinii, imaginea retinei, venele de pe faţa externă a mâinii, liniile din palmă, imaginea
feţei ş.a. Toate aceste tehnici sunt foarte scumpe, în comparaţie cu cele clasice, şi deseori sunt
incomode sau neplăcute la utilizare. Există suficiente tehnici eficiente care să fie folosite până
când cele enumerate vor fi mai ieftine.
3. Ceva ce persoana ştie. O parolă, de exemplu, numai că ea se află la discreţia
oamenilor şi, de modul de păstrare a secretului ei sau de uşurinţa cu care poate fi aflată,
depinde soarta întregului sistem.
4. Locul geografic unde este înregistrat calculatorul.

Metodele de controlare a accesului trebuie să se bazeze pe cel puţin două dintre cele
patru căi enumerate; deseori se apelează la combinaţiile cartelă-parolă, cheie-parolă, jeton-
parolă. În ultimul timp se recomandă ca în sistemele de protecţie să se folosească tot mai mult
un al treilea element, cel biometric.

1.3.3. Principii de bază ale controlului accesului

Ca principiu general, simpla posesie a unui element de control al accesului nu trebuie

să constituie şi proba accesului privilegiat la informaţiile importante ale firmei, întrucât el
poate fi dobândit şi pe căi ilegale sau poate fi contrafăcut.

16
Un al doilea principiu arată că atunci când valorile patrimoniale sunt deosebit de importante
şi mecanismul de protecţie trebuie să fie pe măsură, iar persoanele cu drept de acces să fie cât
mai puţine, deci de principiul „trebuie să ştie” să beneficieze cât mai puţine persoane.
Al treilea principiu, de regulă aplicat informaţiilor secrete, este acela că nici unei persoane nu
trebuie să i se garanteze accesul permanent, gestiunea sau cunoaşterea informaţiilor secrete
numai pe motivul poziţiei ierarhice pe care o deţine. Este o replică la principiul „trebuie să
ştie”.
Fiecare centru de prelucrare automată a datelor cu mai mult de 25 angajaţi trebuie să apeleze
la sistemul ecusoanelor şi la biometrie, ca măsuri suplimentare faţă de protecţiile realizate
prin alte metode privind accesul în clădire. Ecusoanele trebuie să fie purtate prinse pe rever
sau la gât. La modă sunt ecusoanele inteligente, care, de la distanţă, oferă informaţii despre
posesor.
Locurile care nu dispun de uşi ce pot fi încuiate trebuie să aibă intrările supravegheate, iar o
persoană, ofiţer de serviciu, să răspundă de această operaţiune, punându-i-se la dispoziţie şi
un sistem de comunicaţie cu forţele de ordine. Cu acelaşi scop, poate fi folosită şi
televiziunea cu
circuit închis, utilizată de forţele de ordine, cu condiţia ca o persoană să nu supravegheze mai
mult de trei monitoare. Similar pot fi folosite camerele de luat vederi cu supraveghere
continuă a principalelor încăperi ale clădirii, îndeosebi unde pătrund vizitatori.
Pentru vizitatori vor fi camere special amenajate, fără ca aceştia să aibă acces în zona
prelucrării automate a datelor.
Controlul accesului prin obiecte:
Pentru a pătrunde într-o clădire sau o sală a ei, deseori se apelează la mai multe metode de
autentificare, folosite alături de o cartelă de plastic sau un jeton. Cu acestea se oferă
informaţii suplimentare despre purtător, cum ar fi numele, adresa, contul bancar, contul
cardului de debit sau credit, informaţii medicale, drepturi de acces ş.a. Toate informaţiile
menţionate pot fi codificate prin coduri bară, peliculă magnetică, microprocesoare. Unele
dintre carduri conţin şi o fotografie a proprietarului, realizată, prin noile tehnologii, direct pe
card.
Există şi carduri inteligente care se utilizează pentru criptarea şi decriptarea datelor, semnarea
mesajelor şi introducerea sistemelor de plăţi electronice. Se pot folosi carduri care să aibă
fotografia deţinătorului şi două microprocesoare folosite în scopuri diferite. Primul, pentru
sisteme de plată, prin implementarea Master sau Euro sau Visa Cash, şi pentru aplicaţii de

17
protejare a datelor cu care lucrează angajatul respectiv. Al doilea microprocesor este folosit
pentru înlesnirea accesului în clădire şi la locurile de parcare. În ultimul timp, prin carduri
inteligente se controlează accesul în organizaţie, în sălile ei, la calculator, la datele personale
din clasicele buletine de identitate, din paşapoarte, din carnetul de şofer şi la datele medicale.
Practica oferă şi ecusoane-active, care apelează la identificarea prin frecvenţe radio (RFID -
Radio-frequency identification), fără să fie nevoie de trecerea cartelei prin faţa unui cititor
special. De asemenea, prin tehnologiile infraroşu se poate realiza citirea conţinutului unei
cartele de la câţiva metri.
Cele mai multe carduri sunt auto-expirante; prin tehnologii termice speciale se realizează
carduri cărora li se anulează scrisul după o anumită perioadă de expunere la lumină. Altele
folosesc cerneluri ce-şi schimbă culoarea după un timp bine controlat, astfel încât să nu mai
poată fi

1.3.4. Controlul accesului prin biometrie:

Primele forme de identificare s-au bazat pe descrieri din memorie, făcute de alte
persoane, enumerându-se anumite trăsături sau semne particulare ale celui identificat, de cele
mai multe ori reperarea făcându-se prin descrierea feţei persoanei sau a vocii. După mii de
ani s-au menţinut aceste forme de identificare, întrucât şi astăzi portretele-robot sunt realizate
tot pe această cale, dar cu ajutorul calculatoarelor.
Un moment important l-a constituit inventarea fotografiei. Ea încă se foloseşte la identificarea
şi autentificarea persoanei prin plasarea pe buletinele de identitate, paşapoarte, legitimaţii ş.a.
Sistemul este util poliţiei, lucrătorilor de la frontieră, organizaţiilor comerciale, bancare,
diverselor instituţii ş.a.
Invenţia amprentelor digitale a condus la apariţia altui mod de identificare şi autentificare,
prin culegerea probelor de pe obiectele constatate la locul înfăptuirii unui delict.
Până la 11 septembrie 2001 metodele de identificare biometrică erau respinse cu duritate de
potenţialii beneficiari direcţi supuşi unor metode de identificare ce le-ar fi afectat sănătatea
sau intimitatea. Cum invenţiile şi inovaţiile din domeniu nu au ţinut cont de părerile lor, au
apărut o mulţime de tehnologii biometrice în sistemele de securitate a organizaţiilor. Unele
dintre realizări sunt de-a dreptul stranii, deşi nu au nimic în comun cu biometria. Ne referim
la viitoarele camere de luat vederi presărate peste tot: pe străzi, pe holurile instituţiilor, acasă,
în mijloacele de transport

18
Revenind la biometrie, am putea face referire şi la angajaţii Microsoft, care depind de o
cartelă inteligentă, cu elemente biometrice incluse, de la intrarea în campusul unde se află
locul de muncă, până la pătrunderea în birou, în restaurantul companiei, în orice loc unde îi
este permis accesul persoanei, dar cu ea se poate realiza şi identificarea celui ce doreşte să
lucreze la un calculator. Sistemul a cam bulversat angajaţii lui Bill Gates, dar se pare că s-au
obişnuit cu el.
Se preconizează că vor avea un demaraj foarte puternic tehnologiile bazate pe recunoaşterea
feţei şi a amprentelor digitale, cărora li se va alătura, într-o mai mică măsură, recunoaşterea
irisului. Oricum acestea sunt şi cele trei elemente biometrice recomandate de Organizaţia
Internaţională de Aviaţie Civilă, cu sediul la Montreal, din care fac parte peste 188 de ţări.
Prin progresele înregistrate în domeniul realizării noilor chipuri, ele pot fi plasate pe filele
tuturor documentelor personale.
Consiliul de Conducere al Asociaţiei Internaţionale a Industriei Biometrice, după 11
septembrie 2001, făcea următoarele remarci:
• biometria şi intimitatea nu se exclud reciproc; de fapt, tehnologiile, în mod inerent,
protejează identitatea împotriva dezvăluirilor neautorizate;
• nici o tehnologie nu este mai bună decât celelalte în cazul tuturor domeniilor de
aplicaţii în care este folosită. În funcţie de aplicaţie, există mai multe opţiuni pentru
soluţia biometrică optimă, astfel încât să fie diminuate ameninţările la care este supus
sistemul;
• în ceea ce priveşte problema complexă a securităţii informaţionale, cercetările în
dezvoltare vor oferi soluţii ce vor fi supuse testelor, ele constituind variante
biometrice integrate pentru asigurarea protecţiei şi securităţii noilor sisteme;
• tot pe linia preocupărilor internaţionale, se vor realiza standarde şi produse biometrice
care să acopere o cât mai largă paletă a cerinţelor beneficiarilor şi ale aplicaţiilor.
Toate cele de mai sus sunt puse la dispoziţia statelor sau organizaţiilor publice şi private
pentru a diminua cât mai mult posibil efectul distructiv al actelor de vandalism şi terorism.

1.3.5. Controlul accesului prin parole

Principiul parolelor, cunoscut din lumea basmelor, într-o oarecare măsură este
asemănător întrebuinţat şi în lumea calculatoarelor. Uneori, dintr-o dragoste excesivă faţă de
trecut, utilizatorii greşesc, rămânând în aceeaşi lume, şi, ca atare, apelează şi în acest caz la

19
arhicunoscutele cuvinte magice ale copilăriei. Un astfel de comportament este intuit şi de
spărgătorii de sisteme, care, nu de puţine ori, reuşesc să le acceseze pe această cale. Multe
„uşi informatice” s-au deschis la aflarea parolei „SESAM”, dar, oricât de drag ne-ar fi
cuvântul, utilizarea lui este total neinspirată.
Aşadar, parolele sunt utilizate pentru a ni se permite accesul la un calculator, fie ca
utilizatori, fie sub forma grupurilor de utilizatori, fie ca personal al sistemului de prelucrare
automată a datelor. După identificarea sau „legitimarea” persoanei, prin metodele amintite
anterior, şi, eventual, oferirea unui jeton de acces, cei interesaţi prezintă sistemului propria lor
parolă, fie prin tastarea de la un terminal, fie prin introducerea într-un echipament special al
unui document care să conţină parola. Calculatorul compară parola cu o listă aprobată a
acestora, aflată în softul sistemului, permiţându-i-se accesul şi garantându-i-se respectarea
privilegiilor predefinite la anumite resurse ale sistemului, astfel:
• Execuţie. Poate lansa în execuţie un program, dar nu i se permite să umble la structura
acestuia, prin adăugarea sau modificarea unor linii.
• Citire. Se poate citi un fişier, dar nici o altă operaţiune nu mai este permisă.
• Scriere. Se oferă posibilitatea de scriere a datelor în fişierul deschis, dar se interzic
alte operaţiuni.
• Citire-Scriere. Se poate citi fişierul şi, de asemenea, se oferă dreptul de scriere în el.
• Adăugare. Dreptul este mai limitat, constând numai în posibilitatea de adăugare a noi
date la cele existente, dar nu se pot citi sau schimba datele fişierului deschis.
• Ştergere. Utilizatorul poate efectua ştergerea unor date din fişier.

Menţionăm că sistemul parolelor, cât de complex ar fi el, nu realizează şi o securitate

totală, ea depinzând în mod substanţial de modul de păstrare a secretului parolei. Să nu uităm
că şi cele mai solide uşi, cu cele mai inteligente lacăte, sunt vulnerabile în faţa celor care au
intrat în posesia cheilor.
Problema parolelor nu este încă suficient de bine înţeleasă de utilizatorii lor, apelându-se la
forme foarte scurte, la nume ale eroilor din filme, din basme, la numele soţiei sau soţului, al
copiilor, la numărul autoturismului ş.a. – toate vulnerabile în faţa unor spărgători calificaţi. O
altă greşeală, amintită şi într-un paragraf anterior, constă în scrierea parolelor de teamă de a
nu fi uitate, dar suportul lor este lăsat la vederea oricăror persoane ce ajung în cameră.
Parolele trebuie să fie eliberate doar persoanelor autorizate să exercite anumite funcţii în
sistem şi nu trebuie să fie un proces generalizat, dându-se tuturor celor ce deţin poziţii

20
importante în conducerea firmei. În cazul sistemelor ce conţin informaţii speciale, parolele se
atribuie de ofiţerul cu securitatea sistemului. A da astfel de parole în folosinţa unor persoane
echivalează cu permisiunea acestora de a accesa cele mai importante averi ale firmei.
Parolele pot fi create şi de utilizatori pentru datele mai puţin importante, dar există unele
probleme care se repetă în numeroase cazuri, şi anume:
1. utilizatorii nu-şi schimbă la timp parolele, iar dacă o fac nu aduc modificări de
substanţă în structura lor;
2. utilizatorii îşi păstrează parolele, din precauţia de a nu le uita, pe bucăţi de hârtie
lăsate în văzul tuturor;
3. pentru o memorare uşoară se apelează la formele, amintite anterior, de atribuire a
cuvintelor-parolă, ceea ce le face deosebit de vulnerabile.

Printr-un recent studiu efectuat în Anglia, s-a constatat că, totuşi, cele mai uzuale
parole date după celebrul mesaj al sistemului PASSWORD, ceea ce înseamnă parola sau
cuvântul de trecere, sunt ... PASSWORD (ceea ce în româneşte ar însemna folosirea
cuvântului PAROLA) şi SECRET.
În rândul specialiştilor români, deseori s-a constatat că parolele reprezintă numele
copiilor, ale soţiilor, numele lor citite de la sfârşit la început, nume istorice, cuvinte
bombastice din limba engleză (SMART, CLEVER, DUMMY, CRAZY ş.a.) sau banalul
cuvânt GHICI.
Din cele relatate, rezultă că o parolă este şi o cheie şi trebuie să i se poarte de grijă ca
şi obiectelor sau valorilor protejate prin ea. Din această cauză se impun câteva reguli de
controlare a parolelor:
1. parolele trebuie să fie schimbate cam la şase luni, dar pentru datele deosebit de
importante se impun termene şi mai scurte;
2. parolele comune trebuie schimbate imediat ce o persoană părăseşte grupul sau nu mai
are dreptul utilizării lor;
3. parolele trebuie să fie schimbate imediat ce se constată unele bănuieli privind
cunoaşterea lor de persoane neautorizate sau atunci când, din motive de forţă majoră,
secretul lor a trebuit să fie dezvăluit pentru redresarea unei stări anormale temporare;
4. parolele trebuie să fie ţinute minte şi nu scrise pe oriunde, cu excepţia următoarelor
cazuri:
a. trebuie să fie scrise pentru intervenţii de urgenţă;

21
 b. fiecare parolă scrisă va fi introdusă într-un plic sigilat şi marcat în exterior cu
scurte detalii privind calculatorul la care poate fi folosită şi numele celor
autorizaţi a le folosi;
c. plicul respectiv are tratamentul asemănător averilor protejate sau al categoriei
de informaţii accesate prin parolă. După ruperea sigiliului, pe plic vor fi scrise
data şi numele celor ce au aflat-o;
d. plicurile cu parole se păstrează de către responsabilul cu securitatea
sistemului;
5. dacă parolele-duplicat se păstrează prin intermediul calculatorului, astfel de fişiere
trebuie să fie protejate împotriva accesului neautorizat şi create copii de siguranţă.
Accesul la acest fişier trebuie să fie înlesnit doar persoanelor autorizate, respectându-
se principiul „niciodată singur”. Listele cu parole vor fi memorate în formă criptată;
6. parolele nu vor fi afişate niciodată pe echipamentele din configuraţia sistemului, iar la
introducerea lor de la tastatură nu trebuie să se afle persoane străine în preajmă;
7. parolele, în cele mai multe cazuri, au cel puţin opt caractere. Ele sunt caractere
alfanumerice - litere (mari şi mici), cifre şi spaţii, folosite în ordine aleatoare, ceea ce
ar însemna câteva mii de cuvinte de opt sau mai puţine caractere, care pot fi testate cu
ajutorul calculatorului, în doar câteva minute, deci sunt suficient de vulnerabile pentru
„profesioniştii” în spargeri de sisteme;
8. pentru blocarea operaţiunilor de încercare repetată, de ordinul miilor, calculatoarele
trebuie să permită un număr limitat de încercări de introducere a acestora, uzual trei.
Dacă limita a fost depăşită de către utilizator, intenţia trebuie să fie raportată
conducătorului sistemului sau responsabilului cu securitatea, însoţită de un semnal
sonor specific de avertizare. În acest timp trebuie să se blocheze terminalul de la care
s-au efectuat prea multe încercări eşuate. Repunerea lui în funcţiune stă la îndemâna
conducătorului sistemului. În cazul sistemelor speciale, se recomandă şi blocarea sălii
sau a locului de unde s-a încercat accesarea prin parole eronate repetate, pentru
identificarea persoanei respective;
9. odată ce au pătruns în sistem, utilizatorilor nu trebuie să li se permită să-şi schimbe
identitatea cu care au efectuat deschiderea sesiunii şi nici să nu poată pătrunde în
partiţiile alocate altor utilizatori;
10. dacă un terminal funcţionează o perioadă lungă de timp, procesul de autentificare
trebuie să aibă loc la intervale regulate de timp pentru a se asigura că nu foloseşte

22
 altcineva sistemul. Dacă terminalul rămâne neutilizat, dar deschis, el trebuie să se
închidă automat după un anumit interval de timp, de exemplu, 10 minute;
11. la deschiderea unei noi sesiuni de lucru, utilizatorului trebuie să i se aducă la
cunoştinţă ultimul timp de accesare a sistemului cu parola respectivă, pentru a se
verifica dacă altcineva a folosit-o între timp.

În cazul accesării bazelor de date deosebit de importante, cum sunt sistemele de operare,
listele cu parole, se impune controlul dual al parolei, pe principiul „niciodată singur”. Dar,
cele două persoane nu trebuie să fie tot timpul aceleaşi şi ambele să fie la fel de bune
cunoscătoare ale consecinţelor declanşării unor operaţiuni de la calculator.
Pentru preîntâmpinarea unor aspecte vulnerabile din sistemul de protecţie prin parole, se
recomandă apelarea la un semn special sau la o dovadă de recunoaştere a utilizatorului. Ele
pot fi: o cheie de descuiere a consolei, o cartelă magnetică bazată pe microprocesor, astfel
încât să poată stabili cine, cum, când şi de unde să o folosească. Doar costul foarte mare nu
duce la generalizarea acestui sistem.
De ultimă oră sunt produsele care apelează la echipamente ce acţionează pe principiul
calculatoarelor portabile. Ele sunt sisteme speciale de criptare, care generează valori (parole)
de autentificare personală a utilizatorilor şi care se preiau de la tastatura terminalelor, ca la
sistemul clasic, pentru a se compara cu ceea ce generează un echipament similar aflat în
calculator. Pe o astfel de cale nu mai sunt necesare cartele speciale de acces, totul fiind
controlat prin calculator, îmbunătăţindu-se substanţial principiul simplu al parolelor.

1.3.6. Controlul geografic al accesului în sistem

Într-o declaraţie a unui cunoscut om de afaceri din Rusia, Kasperski, se punea

problema legitimării persoanelor utilizatoare de servicii informatice şi comunicaţii din spaţiul
global, tocmai pentru a se asigura responsabilizarea şi conştientizarea participanţilor la noul
tip de trafic. El făcea asemănarea cu sistemul de conducere a automobilelor de la începutul
secolului XX, când, fiind atât de puţine, în caz de accident, era foarte uşor de identificat
proprietarul – de cele mai multe ori el fiind şi conducătorul. Odată cu explozia de automobile
de pe piaţă s-a simţit nevoia identificării proprietarului maşinii, prin cartea de identitate a
maşinii şi prin certificatul de înmatriculare, dar şi a conducătorului auto, prin permisul de
conducere.

23
 La fel trebuie să se întâmple şi cu deţinătorii şi utilizatorii de calculatoare, deoarece,
în prezent, multe acţiuni maliţioase se înfăptuiesc de persoane necunoscute, aflate în locuri
învăluite în mister.
Autentificarea bazată pe localizarea geodezică (location-based authentification) este o
metodă de autentificare a entităţilor din spaţiul cibernetic bazată pe localizarea geodezică
(latitudinea, longitudinea şi altitudinea unui loc geografic bine definit). Aceasta va avea ca
efect delimitarea porţiunii din spaţiul cibernetic de unde se declanşează un anumit eveniment.
Se face astfel breşă într-un sistem destul de întrebuinţat de atacatorii sistemelor aflaţi într-un
colţ al planetei, săvârşind fărădelegi în al colţ al acesteia, susţinând că se află în cu totul altul.
În literatură sunt prezentate realizările corporaţiei International Series Research, Inc.
din Boulder, Colorado, care a realizat tehnologia autentificării locaţiei. Ea se numeşte
CyberLocator, iar sistemul foloseşte semnalele bazate pe microunde transmise printr-o
constelaţie de 24 de sateliţi ai GPS (Global Positioning System) pentru calcularea şi validarea
unei semnături a locaţiei, care este unică pentru fiecare loc de pe pământ în fiecare moment
solicitat. Fiecare utilizator al unui sistem protejat are un senzor al semnăturii locaţiei (SSL),
care este un tip special al receptorului GPS. SSL interceptează semnalele GPS şi transmite
semnătura sa către o gazdă ce va face autentificarea. Gazda foloseşte semnalele GPS
colectate de propriul SSL, plus informaţiile despre fiecare utilizator memorate într-o bază de
date pentru a determina dacă acesta este conectat la un site aprobat anterior. Tehnologiile au
ajuns la performanţe de acurateţe până la nivelul câtorva metri sau chiar şi mai bune (zeci de
centimetri). Pentru că observaţiile GPS ale unui site anume sunt impredictibile prin simulări
anticipate, la un nivel cerut de acurateţe, schimbate constant, unice oriunde ar fi, este practic
imposibil de contrafăcut semnătura.
Autentificarea prin localizarea geodezică are câteva caracteristici esenţiale. Ea asigură
o protecţie continuă împotriva celor rău intenţionaţi aflaţi la distanţă. Semnătura locaţiei
poate fi folosită ca un mijloc comun de autentificare. Ştiindu-se reperele unui utilizator, se
poate identifica uşor un intrus, dar se pot oferi şi probe că o persoană nu a fost în locaţia
respectivă în momentul săvârşirii unei fapte condamnabile. O astfel de protecţie este
recomandată pentru site-urile fixe, în care se poate plasa un senzor pe acoperiş sau la
fereastră, cu condiţia orientării spre cer. Facem menţiunea că semnalele GPS nu trec prin
ziduri şi acoperişuri. Deocamdată sunt unele limite tehnologice ale utilizării senzorilor în
cazul utilizatorilor mobili.

24
 Un dezavantaj al autentificării geodezice a locaţiei este acela al refuzului serviciului,
în cazul bruierii semnalului sau al furtului senzorului. Alt dezavantaj se referă la uşurinţa
localizării unei persoane în cazul unui război informaţional ofensiv, motiv pentru care accesul
la datele geodezice trebuie să fie strict limitat.

1.4.AMENINTARI
Securitatea cibernetică reprezintă starea de normalitate a informațiilor digitale, resurselor și
serviciilor oferite de către entitățile publice sau private în spațiul cibernetic. Această stare
presupune asigurarea următoarelor obiective:
• confidențialitatea - proprietatea ca informațiile, serviciile sau resursele sistemelor
informatice să nu fie disponibile unor persoane sau procese neautorizate;
• integritatea - proprietatea de păstrare a acurateței informațiilor, serviciilor sau
resurselor sistemelor informatice;
• disponibilitatea - proprietatea ca informațiile, serviciile sau resursele sistemelor
informatice să fie accesibile persoanelor sau proceselor autorizate;
• autenticitatea - proprietatea de asigurare a identificării și autentificării
persoanelor, dispozitivelor și serviciilor sistemelor informatice și de comunicații;
• non-repudierea - proprietatea ca o acțiune sau un eveniment să nu poată fi repudiat
(negat, contestat) ulterior.

Starea de securitate cibernetică poate fi obținută prin aplicarea unor măsuri de securitate
proactive și reactive ce includ politici, standarde și modele de securitate, prin
managementul riscului și prin implementarea unor soluții pentru protecția rețelelor și
sistemelor informatice.

Studiul amenințărilor la adresa securității cibernetice

Tehnologia este omniprezentă și tot mai complexă pentru aproape fiecare aspect al societății
moderne. Progresul exponențial în ultima jumătate de secol în ceea ce privește puterea de
procesare și capacitatea de memorare a făcut hardware-ul IT nu numai mai rapid, dar și mai
mic, mai ușor, mai ieftin și mai ușor de utilizat. Industria IT inițială a convers tot mai
mult cu industria comunicațiilor într-un sector combinat, denumit în mod obișnuit
Tehnologia Informației și Comunicațiilor (TIC).

25
Dispozitivele și componentele TIC sunt, în general, complexe și interdependente, iar
întreruperea unuia poate afecta funcționarea celorlalte. În ultimii ani, experții și factorii de
decizie și-au exprimat îngrijorarea din ce în ce mai mare cu privire la protejarea sistemelor
TIC în fața atacurilor cibernetice, acțiuni deliberate ale unor persoane neautorizate de a
accesa sistemele în scopuri de furt, întrerupere, distrugere sau alte acțiuni ilegale.
Activitatea de protejare a sistemelor TIC și a conținutului acestora a devenit cunoscută sub
numele de securitate cibernetică. Un concept larg și, probabil, insuficient explicat,
securitatea
cibernetică poate fi un termen util, dar nu poate fi identificat printr-o definiție precisă.
De obicei se referă la unul sau mai multe din următoarele aspecte:
• un set de activități și măsuri menite să protejeze - de atacuri, întreruperi ale
funcționării
• sau alte amenințări - sistemele de calcul, rețelele de calculatoare,
componentele hardware/software aferente și informațiile pe care acestea le conțin
sau transmit (inclusiv aplicații software, date și alte elemente din spațiul
cibernetic);
• starea sau calitatea de a fi protejat împotriva acestor amenințări;
• domeniul extins de eforturi menite să pună în aplicare și să îmbunătățească
aceste activități și calitatea serviciilor.

Securitatea cibernetică este legată, fără a fi în general considerată identică, cu conceptul de

securitate a informațiilor. Acest ultim termen poate fi definit drept activitatea de
protejare a informațiilor și a sistemelor informatice împotriva accesului neautorizat,
utilizării, dezvăluirii, întreruperii, modificării sau distrugerii, pentru a asigura
integritatea, confidențialitatea și disponibilitatea informațiilor.
Uneori, securitatea cibernetică este necorespunzător asociată cu alte concepte, cum ar
fi confidențialitatea, schimbul de informații, colectarea de informații și supravegherea.
Cu toate acestea, securitatea cibernetică este un instrument important în protejarea
vieții private și prevenirea supravegherii neautorizate, iar schimbul de informații și
colectarea de informații pot fi instrumente utile pentru asigurarea securității informatice.
Gestionarea riscului pentru sistemele informatice este considerată fundamentală pentru
asigurarea unei securități informatice eficiente. Riscurile asociate cu orice atac depind

26
de trei factori: amenințările (cine atacă), vulnerabilitățile (punctele slabe pe care le atacă) și
impactul (ceea ce face atacul).
Amenințările cibernetice pot proveni de la persoanele care practică sau ar putea
efectua atacuri cibernetice. Atacatorii se încadrează în una sau mai multe din următoarele
categorii:
• criminali care intenționează să obțină câștiguri financiare din activități precum furtul
sau extorcarea;
• spioni care intenționează să fure informații clasificate sau proprietare, utilizate de
entități guvernamentale sau private;
• războinici la nivel guvernamental, care dezvoltă capacități și realizează atacuri
cibernetice în sprijinul obiectivelor strategice ale unei țări;
• „hacktiviști” care realizează atacuri cibernetice din alte motive decât cele financiare;
• teroriști care se angajează în atacuri cibernetice ca o formă de război , susținut sau nu
la nivel de stat.

Securitatea cibernetică este în multe privințe o cursă între atacatori și apărători. Atacatorii
analizează constant punctele slabe, care pot apărea în diferite contexte. Apărătorii trebuie
să reducă punctele slabe, dintre acestea deosebit de importante și provocatoare fiind actele
(intenționate sau nu) produse de persoane din interiorul sistemului (insiders) și
vulnerabilitățile necunoscute anterior (zero-day vulnerability). Totuși, în cazul unora dintre
vulnerabilitățile cunoscute, la care există metode de rezolvare, acestea nu pot fi
implementate în multe cazuri din cauza constrângerilor bugetare sau operaționale.
Un atac reușit poate compromite confidențialitatea, integritatea și disponibilitatea unui
sistem TIC și ale informațiilor pe care acesta le gestionează. Fenomene precum furtul sau
spionajul cibernetic pot duce la obținerea unor informații financiare, personale sau
profesionale, adesea fără cunoștința victimei. Atacurile de tip DoS (Denial-of-Service) pot
încetini sau împiedica accesul utilizatorilor legitimi la un sistem informatic. Printr-un
malware de tip botnet, un atacator poate comanda un sistem pentru a fi utilizat în atacuri
cibernetice asupra altor sisteme. Atacurile asupra sistemelor de control industriale pot duce la
distrugerea sau întreruperea echipamentelor pe carele controlează (generatoare, pompe,
centrale), cu efecte grave la nivel regional sau statal.
Cele mai multe atacuri cibernetice au un impact limitat, însă un atac de succes asupra
anumitor componente ale infrastructurii critice ar putea avea efecte semnificative asupra

27
securității naționale, economiei, mijloacelor de subzistență și siguranței cetățenilor.
Reducerea acestor riscuri implică, de obicei, eliminarea surselor de amenin țare, abordarea
vulnerabilităților și diminuarea impactului.
Deși este recunoscut că atacurile cibernetice pot fi costisitoare pentru indivizi și organizații,
impactul economic poate fi dificil de măsurat, iar estimările acestor impacturi variază foarte
mult.
Dacă în 2004 piața produselor și a serviciilor în domeniul securității cibernetice la nivel
global a fost de 3,5 miliarde dolari, în 2017 se estimează la circa 120 miliarde dolari (o
creștere de aproape 35 ori în decursul a 13 ani). Cybersecurity Ventures estimează o sumă de
1000 miliarde dolari, cumulată pe perioada 2017 - 2021, alocată pieței securității
cibernetice. Se observă o creștere substanțială, datorată în special extinderii continue a
infrastructurii TIC prin intermediul IoT (Internet of Things) și al altor platforme noi și
emergente.

Gestionarea riscurilor generate de atacurile cibernetice implică de obicei:

• eliminarea sursei amenințării (de exemplu, prin închiderea rețelelor de tip botnet);
• abordarea vulnerabilităților prin întărirea activelor TIC (prin patch-uri software
sau instruirea angajaților);
• diminuarea impactului prin atenuarea daunelor și restabilirea funcțiilor (de exemplu,
prin disponibilitatea unor resurse de rezervă pentru continuitatea operațiilor ca
răspuns la un atac).

Nivelul optim de reducere a riscurilor va varia în funcție de sectoare și organizații.

De exemplu, nivelul de securitate cibernetică pe care îl așteaptă clienții poate fi mai mic
pentru o companie din sectorul de divertisment decât pentru o bancă, un spital sau o agenție
guvernamentală.
Acțiunile legislative și executive sunt concepute în mare măsură pentru a aborda
câteva necesități bine stabilite pe termen scurt și mediu în domeniul securității cibernetice:
prevenirea dezastrelor și a spionajelor cibernetice, reducerea impactului atacurilor
reușite, îmbunătățirea colaborării inter și intra sectoriale, clarificarea rolurilor și a
responsabilităților agențiilor și combaterea criminalității informatice.

28
Aceste nevoi există în contextul provocărilor mai dificile pe termen lung legate de proiectare,
stimulente economice, consens și mediu:
• Proiectare: Experții consideră că o securitate eficientă trebuie să fie parte integrantă a
design-ului TIC. Cu toate acestea, din motive economice, dezvoltatorii se
concentrează în mod tradițional mai mult pe caracteristici și facilități și mai puțin pe
securitate. De asemenea, multe dintre nevoile viitoare de securitate nu pot fi estimate,
ceea ce reprezintă provocare dificilă pentru proiectanți.
• Stimulente: Structura stimulentelor economice pentru securitatea cibernetică este
distorsionată. Criminalitatea informatică este considerată ieftină, profitabilă și
relativ sigură pentru criminali. În schimb, securitatea informațiilor poate fi
costisitoare, este prin natura ei imperfectă, iar rentabilitatea economică a investițiilor
este adesea nesigură.
• Consens: Securitatea cibernetică înseamnă lucruri diferite pentru diferiții actori
interesați, adesea fără o înțelegere totală și comună asupra sensului,
implementării și riscurilor. Există și impedimente culturale importante, nu numai
între sectoare, ci și în interiorul aceluiași sector sau în cadrul organizațiilor.
Abordările tradiționale ale securității pot fi insuficiente în spațiul cibernetic, dar
consensul asupra alternativelor s-a dovedit evaziv.
• Mediu: Spațiul cibernetic a fost numit cel mai rapid spațiu tehnologic în
evoluție din istoria omenirii, atât ca scară, cât și ca proprietăți. Proprietățile și
aplicațiile noi și emergente - în special echipamentele mobile și concepte precum
social media, big data, cloud computing sau IoT - complică și mai mult mediul
amenințărilor cibernetice, dar pot reprezenta și posibile oportunități de îmbunătățire a
securității informatice, de exemplu prin economiile oferite de cloud computing și
analizele big data.

Cercetarea și dezvoltarea în domeniul securității informatice pot îmbunătăți proiectarea TIC,

cadrul NIST (National Institute of Standards and Technology) poate facilita realizarea
unui consens privind securitatea cibernetică, iar inițiativele legislative în domeniul IT
(managementul și transferul datelor, media share, cloud computing și alte noi componente ale
spațiului virtual) pot contribui la îmbunătățirea securității cibernetice.

29
 1.4.1. Tipuri de atacuri cibernetice
Ori de câte ori un dispozitiv nou se conectează online sau la alte dispozitive, crește și
așa-numita „suprafață de atac” în materie de securitate cibernetică. Dezvoltarea exponențială
a internetului obiectelor, a tehnologiilor de tip cloud, a sistemelor de tip big data și a
digitalizării industriei este însoțită de o creștere a expunerii vulnerabilităților, permițând
actorilor rău-intenționați să vizeze din ce în ce mai multe victime. Având în vedere varietatea
tipurilor de atacuri și gradul lor tot mai mare de sofisticare, a ține pasul cu noile evoluții este
o adevărată provocare.

Programele malware (software rău-intenționat) sunt concepute cu scopul de a

perturba funcționarea dispozitivelor sau a rețelelor. Acestea includ viruși, troieni,
ransomware, viermi informatici, adware și spyware. Programele ransomware criptează
datele, împiedicând utilizatorii să aibă acces la fișierele lor până când este plătită o
răscumpărare, de regulă în criptomonedă, sau până când se efectuează o anumită acțiune.
Potrivit Europol, atacurile de tip ransomware sunt predominante, iar numărul tipurilor de
programe informatice din această categorie a explodat în ultimii ani. De asemenea, sunt în
creștere atacurile de tip DDoS (Distributed Denial of Service), care urmăresc să blocheze
anumite servicii sau resurse prin inundarea lor cu mai multe cereri decât pot fi tratate. În
2017, o treime din organizații s-au confruntat cu acest tip de atac.
Utilizatorii pot fi manipulați astfel încât să efectueze în mod neintenționat o anumită
acțiune sau să divulge informații confidențiale. Această stratagemă poate fi utilizată în cazul
furtului de date sau al spionajului cibernetic și este cunoscută sub denumirea de „inginerie
socială”. Există mai multe mijloace utilizate în acest scop, o metodă răspândită fiind cea a
phishingului: prin e-mailuri care par să provină din surse de încredere, utilizatorii sunt
păcăliți să dezvăluie informații sau să deschidă linkuri care le vor infecta dispozitivele cu
programe malware descărcate. Peste jumătate din statele membre au raportat investigații cu
privire la atacuri de rețea.
Cele mai nefaste tipuri de amenințări par să fie însă așa-numitele „amenințări
persistente avansate” (APT - advanced persistent threats). Este vorba de acțiuni sofisticate,
în care atacatorii sunt angajați în activități pe termen lung de monitorizare și de furt de date,
urmărind uneori și scopuri de distrugere. Obiectivul urmărit aici este ca atacatorii să rămână
nedetectați cât mai mult timp posibil.

30
Amenințările de tip APT sunt adesea asociate unui stat și vizează sectoare deosebit de
sensibile, cum ar fi tehnologia, apărarea și infrastructura critică. Se estimează că spionajul
cibernetic reprezintă cel puțin un sfert din numărul total de incidente cibernetice, fiind în
același timp responsabil de majoritatea costurilor.

1.5.Acțiunile UE în domeniul securității cibernetice

În 2001, UE a dobândit statut de observator în cadrul Comitetului Convenției Consiliului

Europei privind criminalitatea informatică (Convenția de la Budapesta). De atunci, Uniunea a
utilizat politici, legislație și fonduri pentru a-și îmbunătăți reziliența cibernetică. În contextul
unui număr tot mai mare de atacuri și incidente cibernetice majore, activitatea s-a accelerat
începând din 2013. În paralel, statele membre au adoptat (și, în unele cazuri, au actualizat)
primele lor strategii naționale în materie de securitate cibernetică.
Piatra de temelie a politicii UE în materie este Strategia de securitate cibernetică
din 2013. Aceasta urmărește ca mediul digital al UE să devină cel mai sigur din lume,
apărând în același timp valorile și libertățile fundamentale. Strategia are cinci obiective
principale:
• creșterea rezilienței cibernetice;
• reducerea criminalității cibernetice;
• dezvoltarea politicilor și a capabilităților de apărare cibernetică;
• dezvoltarea resurselor industriale și tehnologice în materie de securitate cibernetică; și
• instituirea unei politici internaționale privind spațiul cibernetic, aliniată la valorile
fundamentale al UE.

În ultimii ani, întrucât spațiul cibernetic a devenit din ce în ce mai militarizat și este
transformat pe zi ce trece într-o armă, acesta a ajuns să fie considerat al cincilea câmp de
luptă. Apărarea cibernetică protejează sistemele, rețelele și infrastructurile critice din spațiul
cibernetic împotriva atacurilor militare și de alt tip. În 2014 a fost adoptat un cadru de
politici pentru apărarea cibernetică, care a fost actualizat în 2018. Cadrul actualizat în
2018 identifică șase priorități, printre care se numără dezvoltarea capabilităților de apărare
cibernetică și protecția rețelelor de comunicații și de informații din cadrul politicii de
securitate și apărare comună (PSAC) a UE. Apărarea cibernetică face parte, de asemenea, din
cadrul de cooperare structurată permanentă (PESCO) și din cooperarea UE-NATO.

31
 CURS SECURITATE CIBERNETICĂ:
SECURITATEA REŢELELOR ŞI A SISTEMELOR INFORMATICE

Capitolul 2

2. LEGISLAȚIE

Începând din 2002, au fost adoptate diferite acte legislative cu grade variate de relevanță
pentru securitatea cibernetică.
În rolul său de principal pilon al strategiei din 2013 în materie de securitate cibernetică,
elementul central al cadrului juridic în materie este Directiva din 2016 privind securitatea
rețelelor și a informațiilor („Directiva NIS”), primul act legislative privind securitatea
cibernetică aplicabil la nivelul de ansamblu al UE. Directiva, care urma să fie transpusă până
în mai 2018, vizează atingerea unui nivel minim de capabilități armonizate, obligând statele
membre să adopte strategii naționale privind securitatea rețelelor și a informațiilor și să
creeze puncte unice de contact și echipe de intervenție în caz de incidente de securitate
informatică („echipe CSIRT”). Directiva stabilește totodată cerințe de securitate și notificare
pentru operatorii de servicii esențiale din sectoarele critice și pentru furnizorii de servicii
digitale.
În paralel, Regulamentul general privind protecția datelor (RGPD) a intrat în vigoare în 2016
și se aplică începând din mai 2018. Obiectivul acestui regulament este de a proteja datele cu
caracter personal ale cetățenilor europeni prin stabilirea de norme cu privire la prelucrarea și
la diseminarea acestora. Regulamentul acordă persoanelor vizate anumite drepturi și
stabilește obligații pentru operatorii de date (furnizorii de servicii digitale) în ceea ce privește
utilizarea și transferul de informații. Totodată, regulamentul impune cerințe de notificare în
caz de încălcare a securității datelor și, în unele cazuri, prevede aplicarea de amenzi.

2.1. CADRUL LEGISLATIV NAŢIONAL

32
În prezent, România nu dispune de o lege a securității cibernetice, însă în ultimii ani au fost
intensificate eforturile de adoptare a unei asemenea legi. Astfel, o primă inițiativă de adoptare
a unei legi a securității cibernetice a existat în anul 2014, însă aceasta a fost declarată
neconstituțională de către Curtea Constituțională a României. În anul 2015 au fost reluate
eforturile de elaborare a unei noi forme a legii securității cibernetice.
De asemenea, în România nu a fost încă desemnată o autoritate națională în domeniul
securității cibernetice. Se așteaptă ca noua formă a legii securității cibernetice să stabilească
inclusiv una sau mai multe autorități naționale în domeniul securității cibernetice, cum de
altfel s-a încercat și prin inițiativa de lege din anul 2014.
Cu toate acestea, multe aspecte referitoare la asigurarea securității cibernetice a României,
gestionarea incidentelor de securitate cibernetică și instituțiile cu atribuții în acest domeniu,
sunt reglementate prin:
- H.G. nr. 494 din 2011, privind înființarea Centrului Național de Răspuns la Incidente
de Securitate Cibernetică – CERT-RO și
- H.G. nr. 271 din 2013, prin care a fost aprobată “Strategia de securitate cibernetică a
României” și “Planul de acțiune la nivel național privind implementarea Sistemului național
de securitate cibernetică”.

Hotărârea de Guvern nr. 271/2013 – Strategia de Securitate Cibernetică a României

Strategia de securitate cibernetică a României pornește de la prezentarea contextului care a

generat de fapt nevoia elaborării unui astfel de document, făcând referire la dezvoltarea
rapidă a tehnologiilor moderne, caracteristicile spațiului cibernetic (lipsa frontierelor,
dinamism şi anonimat), beneficiile informatizării la nivelul societății moderne, dar și la
vulnerabilitățile introduse.
Scopul Strategiei de securitate cibernetică a României este de a defini și de a menține un
mediu virtual sigur, cu un înalt grad de reziliență și de încredere, bazat pe infrastructurile
cibernetice naționale, care să constituie un important suport pentru securitatea națională și
buna guvernare, pentru maximizarea beneficiilor cetățenilor, mediului de afaceri și ale
societății românești, în ansamblul ei. De asemenea, Strategia urmărește îndeplinirea
obiectivului național de securitate privind "asigurarea securității cibernetice", cu respectarea

33
principiilor și caracteristicilor Strategiei naționale de apărare și Strategiei naționale de
protecție a infrastructurilor critice.
Obiectivele Strategiei de securitate cibernetică a României sunt:

a) adaptarea cadrului normativ și instituțional la dinamica amenințărilor specifice

spațiului cibernetic;
b) stabilirea și aplicarea unor profile și cerințe minime de securitate pentru
infrastructurile cibernetice naționale, relevante din punct de vedere al funcționării corecte a
infrastructurilor critice;
c) asigurarea rezilienței infrastructurilor cibernetice;

d) asigurarea stării de securitate prin cunoașterea, prevenirea și contracararea

vulnerabilităților, riscurilor și amenințărilor la adresa securității cibernetice a României;
e) valorificarea oportunităților spațiului cibernetic pentru promovarea intereselor,
valorilor și obiectivelor naționale în spațiul cibernetic;
f) promovarea și dezvoltarea cooperării între sectorul public și cel privat în plan
național, precum și a cooperării internaționale în domeniul securității cibernetice;
g) dezvoltarea culturii de securitate a populației prin conștientizarea fată de
vulnerabilitățile, riscurile și amenințările provenite din spațiul cibernetic și necesitatea
asigurării protecției sistemelor informatice proprii;
h) participarea activă la inițiativele organizațiilor internaționale din care România face
parte în domeniul definirii și stabilirii unui set de măsuri destinate creșterii încrederii la nivel
internațional privind utilizarea spațiului cibernetic.

Una dintre problemele identificate de majoritatea experților în domeniul securității

cibernetice este cea legată de lipsa sau ne-uniformitatea terminologiei în acest domeniu.
Pornind de la acest aspect, Strategia de securitate cibernetică a României conține un întreg
capitol în care sunt definite diferite concepte și termeni, astfel:
- infrastructuri cibernetice - infrastructuri de tehnologia informației și comunicații,
constând în sisteme informatice, aplicații aferente, rețele și servicii de comunicații
electronice;

34
- spațiul cibernetic - mediul virtual, generat de infrastructurile cibernetice, incluzând
conținutul informațional procesat, stocat sau transmis, precum și acțiunile derulate de
utilizatori în acesta;
- securitate cibernetică - starea de normalitate rezultată în urma aplicării unui ansamblu
de măsuri pro-active și reactive prin care se asigură confidențialitatea, integritatea,
disponibilitatea, autenticitatea și non-repudierea informațiilor în format electronic, a
resurselor și serviciilor publice sau private, din spațiul cibernetic. Măsurile pro-active și
reactive pot include politici, concepte, standarde și ghiduri de securitate, managementul
riscului, activități de instruire și conștientizare, implementarea de soluții tehnice de protejare
a infrastructurilor cibernetice, managementul identității, managementul consecințelor;
- apărare cibernetică - acțiuni desfășurate în spațiul cibernetic în scopul protejării,
monitorizării, analizării, detectării, contracarării agresiunilor și asigurării răspunsului oportun
împotriva amenințărilor asupra infrastructurilor cibernetice specifice apărării naționale;
- operații în rețele de calculatoare - procesul complex de planificare, coordonare,
sincronizare, armonizare și desfășurare a acțiunilor în spațiul cibernetic pentru protecția
controlul și utilizarea rețelelor de calculatoare în scopul obținerii superiorității informaționale,
concomitent cu neutralizarea capabilităților adversarului;
- amenințare cibernetică - circumstanță sau eveniment care constituie un pericol
potențial la adresa securității cibernetice;
- atac cibernetic - acțiune ostilă desfășurată în spațiul cibernetic de natură să afecteze
securitatea cibernetică;
- incident cibernetic - eveniment survenit în spațiul cibernetic ale cărui consecințe
afectează securitatea cibernetică;
- terorism cibernetic - activitățile premeditate desfășurate în spațiul cibernetic de către
persoane, grupări sau organizații motivate politic, ideologic ori religios ce pot determina
distrugeri materiale sau victime, de natură să determine panică ori teroare;
- spionaj cibernetic - acțiuni desfășurate în spațiul cibernetic, cu scopul de a obține
neautorizat informații confidențiale în interesul unei entități statale sau non-statale;
- criminalitatea informatică - totalitatea faptelor prevăzute de legea penală sau de alte
legi speciale care prezintă pericol social și sunt săvârșite cu vinovăție, prin intermediul ori
asupra infrastructurilor cibernetice;

35
- vulnerabilitatea în spațiul cibernetic - slăbiciune în proiectarea și implementarea
infrastructurilor cibernetice sau a măsurilor de securitate aferente care poate fi exploatată de
către o amenințare;
- riscul de securitate în spațiul cibernetic - probabilitatea ca o amenințare să se
materializeze, exploatând o anumită vulnerabilitate specifică infrastructurilor cibernetice;
- managementul riscului - un proces complex, continuu și flexibil de identificare,
evaluare și contracarare a riscurilor la adresa securității cibernetice, bazat pe utilizarea unor
tehnici și instrumente complexe, pentru prevenirea pierderilor de orice natură;
- managementul identității - metode de validare a identității persoanelor când acestea
accesează anumite infrastructuri cibernetice;
- reziliența infrastructurilor cibernetice - capacitatea componentelor infrastructurilor
cibernetice de a rezista unui incident sau atac cibernetic și de a reveni la starea de
normalitate;
- entități de tip CERT - structuri specializate în înțelesul art. 2 lit. a) din Hotărârea
Guvernului nr. 494/2011 privind înființarea Centrului Național de Răspuns la Incidente de
Securitate Cibernetică - CERT-RO.

Referitor la asigurarea securității cibernetice, Strategia de securitate cibernetică a României

definește următoarele principii:
- coordonarea - activitățile se realizează într-o concepție unitară, pe baza unor
planuri de acțiune convergente destinate asigurării securității cibernetice, în conformitate cu
atribuțiile și responsabilitățile fiecărei entități;
- cooperarea - toate entitățile implicate (din mediul public sau privat) colaborează, la
nivel național și internațional, pentru asigurarea unui răspuns adecvat la amenințările din
spațiul cibernetic;
- eficiența - demersurile întreprinse vizează managementul optim al resurselor
disponibile;
- prioritizarea - eforturile se vor concentra asupra securizării infrastructurilor
cibernetice ce susțin infrastructurile critice naționale și europene;
- diseminarea - asigurarea transferului de informații, expertiză și bune practici în scopul
protejării infrastructurilor cibernetice;

36
- protejarea valorilor - politicile de securitate cibernetică vor asigura echilibrul între
nevoia de creștere a securității în spațiul cibernetic și prezervarea dreptului la intimitate și alte
valori și libertăți fundamentale ale cetățeanului;
- asumarea responsabilității - toți deținătorii și utilizatorii de infrastructuri cibernetice
trebuie să întreprindă măsurile necesare pentru securizarea infrastructurilor proprii și să nu
afecteze securitatea infrastructurilor celorlalți deținători sau utilizatori;
- separarea rețelelor - reducerea probabilității de manifestare a atacurilor cibernetice,
specifice rețelei internet, asupra infrastructurilor cibernetice care asigură funcțiile vitale ale
statului, prin utilizarea unor rețele dedicate, separate de internet.

Conform strategiei, eforturile pentru asigurarea securității cibernetice la nivel național se vor
focaliza pe următoarele direcții de acțiune:
1. Stabilirea cadrului conceptual, organizatoric și de acțiune necesar asigurării securității
cibernetice
• constituirea și operaționalizarea unui sistem național de securitate cibernetică;

• completarea și armonizarea cadrului legislativ național în domeniu, inclusiv stabilirea

și aplicarea unor cerințe minimale de securitate pentru infrastructurile cibernetice
naționale;
• dezvoltarea cooperării între sectorul public și cel privat, inclusiv prin stimularea
schimbului reciproc de informații, privind amenințări, vulnerabilități, riscuri, precum
și cele referitoare la incidente și atacuri cibernetice;
2. Dezvoltarea capacităților naționale de management al riscului în domeniul securității
cibernetice și de reacție la incidente cibernetice în baza unui program național, vizând:
• consolidarea, la nivelul autorităților competente potrivit legii, a potențialului
de cunoaștere, prevenire și contracarare a amenințărilor și minimizarea
riscurilor asociate utilizării spațiului cibernetic;
• asigurarea unor instrumente de dezvoltare a cooperării dintre sectorul public și
cel privat, în domeniul securității cibernetice, inclusiv pentru crearea unui
mecanism eficient de avertizare și alertă, respectiv de reacție la incidentele
cibernetice;
• stimularea capabilităților naționale de cercetare-dezvoltare și inovare în
domeniul securității cibernetice;

37
 • creșterea nivelului de reziliență a infrastructurilor cibernetice;
• dezvoltarea entităților de tip CERT, atât în cadrul sectorului public, cât și în
sectorul privat;
3. Promovarea și consolidarea culturii de securitate în domeniul cibernetic

• derularea unor programe de conștientizare a populației, a administrației

publice și a sectorului privat, cu privire la amenințările, vulnerabilitățile și
riscurile specifice utilizării spațiului cibernetic;
• dezvoltarea de programe educaționale, în cadrul formelor obligatorii de
învățământ, privind utilizarea sigură a internetului și a echipamentelor de
calcul;
• formarea profesională adecvată a persoanelor care își desfășoară activitatea în
domeniul securității cibernetice și promovarea pe scară largă a certificărilor
profesionale în domeniu;
• includerea unor elemente referitoare la securitatea cibernetică în programele
de formare și perfecționare profesională a managerilor din domeniul public și
privat;
4. Dezvoltarea cooperării internaționale în domeniul securității cibernetice

• încheierea unor acorduri de cooperare la nivel internațional pentru îmbunătățirea

capacității de răspuns în cazul unor atacuri cibernetice majore;
• participarea la programe internaționale care vizează domeniul
securității cibernetice;
• promovarea intereselor naționale de securitate cibernetică în formatele de cooperare
internațională la care România este parte.

Hotărârea de Guvern nr. 494/2011 privind înfiinţarea CERT-RO

Activitatea CERT-RO se concentrează pe realizarea prevenirii, analizei, identificării și

reacției la incidente în cadrul infrastructurilor cibernetice ce asigură funcționalități de utilitate
publică ori asigură servicii ale societății informaționale.
CERT-RO reprezintă un punct național de contact cu structurile de tip CERT care
funcționează în cadrul instituțiilor sau autorităților publice ori al altor persoane juridice de

38
drept public sau privat, naționale ori internaționale, cu respectarea competențelor ce revin
celorlalte autorități și instituții publice cu atribuții în domeniu, potrivit legii.
CERT-RO are următoarele atribuții:

i) oferă servicii publice de tip preventiv, de tip reactiv și de consultanta;

j) organizează și întreține un sistem de baze de date privind amenințările,

vulnerabilitățile și incidentele de securitate cibernetică identificate sau raportate, tehnici și
tehnologii folosite pentru atacuri, precum și bune practici pentru protecția infrastructurilor
cibernetice;

k) asigură cadrul organizatoric și suportul tehnic necesar schimbului de informații dintre

diverse echipe de tip CERT, utilizatori, autorități, producători de echipamente și soluții de
securitate cibernetică, precum și furnizori de servicii în domeniu;
l) organizează, desfășoară sau participă la activități de instruire în domeniul securității
cibernetice;
m) organizează simpozioane, dezbateri pe teme de securitate cibernetică și asigură
diseminarea unor informații specifice prin mass-media;
n) desfășoară activități de cercetare-dezvoltare în domeniu și elaborează proceduri și
recomandări privind securitatea cibernetică, potrivit prevederilor legale privind cercetarea
științifică și dezvoltarea tehnologică;
o) asigură MCSI suportul tehnic și de specialitate pentru elaborarea politicilor de
securitate cibernetică necesar a fi respectate de furnizorii de rețele și servicii de comunicații
electronice publice pentru obținerea autorizării de funcționare a acestora, precum și la
evaluarea modului de implementare a acestora;
p) asigură consultanță de specialitate autorităților publice responsabile, stabilite conform
Ordonanței de urgență a Guvernului nr. 98/2010 privind identificarea, desemnarea și protecția
infrastructurilor critice, aprobată cu modificări prin Legea nr.18/2011, cu privire la produsele
și sistemele de securitate cibernetică care deservesc infrastructurile critice naționale și
europene;
q) asigură puncte de contact pentru colectarea sesizărilor și a informațiilor despre
incidente de securitate cibernetică atât automatizat, cât și prin comunicare directă securizată,
după caz;

39
r) identifică, analizează și clasifică incidentele de securitate din cadrul infrastructurilor
cibernetice, conform ariei de competență;
s) elaborează propuneri pe care le înaintează către MCSI sau Consiliului Suprem de
Apărare a Țării, denumit în continuare CSAT, privind modificarea cadrului legislativ în
vederea stimulării dezvoltării securității infrastructurilor cibernetice ce asigură funcționalități
de utilitate publică ori asigură servicii ale societății informaționale;
t) planifică și programează în proiectul de buget propriu resursele financiare necesare în
vederea realizării politicilor în domeniile sale de competență;

u) coordonează derularea proiectelor, ale căror beneficiari sunt MCSI și/sau instituțiile
din subordinea acestuia, cu finanțare națională sau internațională în domeniul securității
infrastructurilor cibernetice ce asigură funcționalități de utilitate publică, ori asigură servicii
ale societății informaționale, care vizează capacitatea instituțională operațională a CERT-RO;
v) asigură MCSI suportul tehnic și de specialitate pentru urmărirea și controlul aplicării
prevederilor cuprinse în actele normative în vigoare sau în acordurile internaționale în
domeniul de competență şi notifică organele competente pentru demararea procedurilor
legale în vederea cercetării și sancționării, după caz.
Una dintre atribuțiile importante CERT-RO este aceea de a stabili „criteriile și cerințele
minime pe care trebuie să le îndeplinească un centru de tip CERT pentru a fi inclus în
Comunitatea CERT din România, precum și procedurile de colaborare”, prin decizie a
directorului general CERT-RO, cu avizul Comitetului de coordonare.
Comitetul de coordonare al CERT-RO, al cărui președinte este chiar directorul instituției, este
format din reprezentanți ai următoarelor instituții:
a) Ministerul pentru Societatea Informațională;

b) Ministerul Apărării Naționale;

c) Ministerul Administrației și Internelor;

d) Serviciul Român de Informații;

e) Serviciul de Informații Externe;

40
f) Serviciul de Telecomunicații Speciale;

g) Serviciul de Protecție și Pază;

h) Oficiul Registrului Național al Informațiilor Secrete de Stat;

i) Autoritatea Națională pentru Administrare și Reglementare în Comunicații.

CERT-RO prezintă un raport anual în cadrul CSAT, în timp ce activitatea instituției este
analizată semestrial în Comitetul de coordonare, pe baza raportului elaborat în acest sens de
către directorul general.

2.2. METODE DE GESTIONARE A INCIDENTELOR DE

SECURITATE CIBERNETICĂ LA NIVEL NAŢIONAL

Conform Strategiei de securitate cibernetică a României, asigurarea securității cibernetice la

nivel național se realizează prin intermediul Sistemului național de securitate cibernetică
(SNSC), reprezentând „cadrul general de cooperare care reunește autorități și instituții
publice, cu responsabilități și capabilități în domeniu, în vederea coordonării acțiunilor la
nivel național pentru asigurarea securității spațiului cibernetic, inclusiv prin cooperarea cu
mediul academic și cel de afaceri, asociațiile profesionale și organizațiile neguvernamentale”.
Centrul Național de Răspuns la Incidente de Securitate Cibernetică - CERT-RO, asigură
elaborarea și diseminarea politicilor publice de prevenire și contracarare a incidentelor din
cadrul infrastructurilor cibernetice, potrivit ariei de competență.

Sistemul naţional de securitate cibernetică (SNSC)

Sistemul Naţional de Securitate Cibernetică funcționează ca un mecanism unitar și eficient de
relaționare și cooperare interinstituțională, în vederea adoptării și aplicării cu celeritate a
deciziilor.
Coordonarea unitară a SNSC se realizează de către Consiliul operativ de securitate
cibernetică (COSC), din care fac parte, în calitate de membri permanenți, reprezentanți din
cadrul următoarelor instituții:

41
 - Ministerul Apărării Naționale,
- Ministerul Afacerilor Interne,
- Ministerul Afacerilor Externe,
- Ministerul pentru Societatea Informațională,
- Serviciul Român de Informații,
- Serviciul de Telecomunicații Speciale,
- Serviciul de Informații Externe,
- Serviciul de Protecție și Pază,
- Oficiul Registrului Național pentru Informații Secrete de Stat,
- secretarul Consiliului Suprem de Apărare a Țării.

La nivel strategic, activitatea SNSC este coordonată de Consiliul Suprem de Apărare a Țării
(CSAT) care avizează Strategia de securitate cibernetică a României și aprobă Regulamentul
de organizare și funcționare al Consiliului operativ de securitate cibernetică (COSC).
În figura de mai jos este reprezentată schematic procedura utilizată de SNSC pentru
investigarea atacurilor ce implică infrastructuri din spațiul cibernetic național.

Figur1 1. Procedura SNSC de investigare a atacurilor cibernetice

42
Ministerul pentru Societatea Informațională are rolul de a coordona autoritățile publice care
nu sunt reprezentate în COSC, în vederea realizării coerenței politicilor și implementarea
strategiilor guvernamentale în domeniul comunicațiilor electronice, tehnologiei informației și
al serviciilor societății informaționale și societății bazate pe cunoaștere. În plus, prin Centrul
Național de Răspuns la Incidente de Securitate Cibernetică - CERT-RO, asigură elaborarea și
diseminarea politicilor publice de prevenire și contracarare a incidentelor din cadrul
infrastructurilor cibernetice, potrivit ariei de competență.

Structuri specializate de răspuns la incidente de securitate cibernetică

În România, pe lângă instituțiile reprezentate în Consiliul operativ de securitate cibernetică

(COSC), există și structuri specializate de răspuns la incidentele de securitate cibernetică, de
tip CERT/CSIRT, atât publice cât și din mediul privat.
Între structurile publice de tip CERT din România se regăsesc:

• CERT-RO (Centrul Național de Răspuns la incidente de Securitate Cibernetică) –

CERT național cu rol de coordonator al comunității CERT din România;
• CERTMIL-CTP (Centrul Tehnic Național de Răspuns la Incidente de Securitate
Cibernetică) – CERT militar, din cadrul Ministerului Apărării Naționale, cu
capabilități și responsabilități în domeniul apărării cibernetice;
• RoCSIRT – CERT academic, dedicat protejării instituțiilor conectate la rețeaua
RoEduNet;
• CERT-INT – structură de tip CERT din cadrul Ministerului Administrației și
Internelor.

În contextul desemnării de către CSAT ca autoritate națională în domeniul CyberIntelligence,

SRI a constituit o structură specializată denumită Centrul Național Cyberint2. Principala
misiune a Centrului Național Cyberint este corelarea sistemelor tehnice de apărare cu
capacitățile informative în vederea identificării și furnizării, către beneficiarii legali, a
informațiilor necesare prevenirii, stopării și/sau limitării consecințelor unei agresiunii asupra
sistemelor TIC care reprezintă infrastructuri critice.

43
Procedura CERT-RO de gestionare a incidentelor de securitate cibernetică

Conform prevederilor H.G. nr. 494/2011 CERT-RO oferă o serie de servicii de tip pro-activ,
reactiv sau de suport printre care: gestiunea incidentelor de securitate cibernetică la nivel
național, transmiterea de alerte și atenționări privind apariţia unor activităţi premergătoare
atacurilor și diseminarea rezultatelor investigaţiilor incidentelor de securitate cibernetică.
La baza activității de răspuns la incidente de securitate cibernetică stau următoarele principii:

1. principiul eficienței și coordonării în gestionarea situației;

2. principiul reducerii rapide la minim a efectelor incidentului/evenimentului;
3. principiul diseminării informațiilor doar către părțile afectate, părțile ce pot fi
afectate sau cele cu responsabilități în domeniu;
4. principiul clasificării informațiilor conform protocolului TLP sau conform
legislației naționale referitoare la protecția informațiilor clasificate;
5. principiul legalității;
6. principiul confidențialității;
7. principiul nevoii de a cunoaște;
8. principiul prevenirii evenimentelor/incidentelor de securitate în sistemele
informatice și de comunicații.
O serie de obiective sunt urmărite în cadrul activității de răspuns la incidente de securitate
cibernetică. Prin atingerea acestor obiective în activitatea de răspuns la incidente de securitate
cibernetică, se respectă mandatul CERT-RO precum și prevederile Strategiei Naționale de
Securitate Cibernetică:
1. stoparea imediată sau reducerea la minimul posibil a efectelor incidentului;
2. stabilirea preliminară a impactului incidentului/evenimentului;
3. identificarea si alertarea tuturor părților afectate sau care
pot fi afectate de incidentul/evenimentul de securitate precum
și a celor responsabile de remedierea situației;
4. identificarea si alertarea tuturor instituțiilor sau autorităților publice
responsabile de gestionarea situației;
5. furnizarea de informații complete care să ajute părțile implicate în activitatea de
răspuns la incident/eveniment;
6. furnizarea de suport tehnic pentru părțile afectate, la cerere;

44
 7. diseminarea de documente de natură tehnică referitoare la metode de detecție și
tratare ale incidentului/evenimentului de securitate, pentru alte entități ce pot fi
vizate de un incident similar;
8. dezvoltarea culturii de securitate a populației prin conștientizarea fată de
vulnerabilitățile, riscurile și amenințările provenite din spațiul cibernetic și
necesitatea asigurării protecției sistemelor informatice proprii.
Activitatea de răspuns la incidente de securitate cibernetică se bazează pe primirea de alerte
de către CERT-RO, respectiv semnalări asupra identificării unor incidente sau evenimente de
securitate cibernetică. Acestea pot fi transmise prin orice mijloc, de către orice entitate
(persoană fizică sau juridică), atât timp cât se asigură confidențialitatea comunicării, iar
datele transmise sunt coerente și complete.
O serie de etape sunt parcurse odată cu primirea alertei, astfel:

1. Înregistrarea şi investigarea inițială a alertei

Personalul responsabil cu activitatea de răspuns la alertele de securitate are obligația de a lua

în considerare toate datele transmise și în orice format. Acesta va verifica corectitudinea
datelor transmise și se va asigura că acestea sunt complete și se pot folosi în rezolvarea
alertei.
De regulă orice alertă trebuie să conțină cel puțin următoarele date: date de identificare ale
petentului; adrese IP, adrese de email, timestamp și servicii afectate ale victimei; adrese IP,
adrese de email sau surse generatoare ale atacului; fișiere de tip log care să demonstreze
existența și identificarea incidentului/evenimentului sau orice alte fișiere ce pot constitui
probe.
În cadrul acestei etape, personalul responsabil se asigură că deține date suficiente pentru
identificarea sursei atacului, a victimei și a tipului de incident/eveniment cu care se confruntă.
În cazul în care petentul nu furnizează suficiente date pentru exploatarea incidentului sau în
cazul în care sursa nu este credibilă, se solicită detalii suplimentare. În lipsa detaliilor
suplimentare sau a neconfirmării alertei, cazul poate fi închis direct din această etapă.
2. Identificarea entităților afectate de incident/eveniment

Pe baza informațiilor complete și corecte referitoare la alertă, personalul responsabil poate

trece la identificarea entităților reale ce reprezintă sursa precum și victima

45
incidentului/evenimentului. Acesta poate folosi orice surse disponibile public pe internet
(servicii de tip whois, DNS lookup, ping, traceroute, reverse IP, diverse site-uri etc.) precum
și surse cu acces restricționat disponibile în baza parteneriatelor dezvoltate de CERT-RO.
În cadrul acestei etape, este obligatorie identificarea persoanelor fizice sau juridice ce trebuie
contactate pentru rezolvarea incidentului (ISP, deținători domenii .ro sau clase de adrese IP,
persoane fizice juridice etc.)
3. Determinarea probabilității impactului incidentului/evenimentului pentru
securitatea spațiului cibernetic național

În această etapă se face o analiză asupra impactului incidentului/ evenimentului de securitate

cibernetică.
Se consideră amenințări la adresa securității naționale următoarele tipuri de alerte,
concretizate de obicei în atacuri cibernetice:
a) Atacuri ce afectează o serie de instituții publice, din același domeniu de
activitate sau care folosesc aceleași tehnologii;
b) Atacuri asupra mai multor organizații din același domeniu de activitate sau care
folosesc aceleași tehnologii;
c) Atacuri persistente (APT) asupra instituțiilor publice sau a unor companii
reprezentative în economia României;
d) Atacuri asupra unor furnizori de servicii publice online cu importanță deosebită
în spațiul cibernetic românesc (ISP volum mare de trafic, magazine online,
servicii de certificare, rețele sociale, sisteme de plăți online etc.);
e) Atacuri asupra unor instituții ce procesează informații clasificate sau informații
de importanță deosebită pentru economia României (planuri sisteme industriale
etc.);
f) Atacuri asupra infrastructurilor critice sau a operatorilor de infrastructuri
critice;

g) Vulnerabilități ale unor produse IT ce pot afecta categorii aparte de utilizatori

din România.

4. Identificarea instituțiilor și autorităților publice cu responsabilități în gestionarea

incidentului/evenimentului.

46
Odată identificate sursa și victima incidentului/evenimentului se va stabili și tipul
incidentului de securitate precum și metodologia de atac. În baza acestor date se va stabili
dacă, pentru rezolvarea alertei, este desemnată o altă autoritate sau instituție publică. În cazul
în care este identificată o astfel de autoritate, iar rezolvarea incidentul/evenimentul cade în
responsabilitatea acesteia, va fi pregătită transmiterea unei alerte și către instituția
responsabilă.
5. Alertarea urgentă a entităților afectate precum și a instituțiilor cu responsabilități

În momentul în care sunt colectate date suficiente despre victimă, sursa atacului, entitățile
implicate, instituțiile publice responsabile, tipul de incident precum și date care să confirme
existența acestuia, personalul responsabil transmite urgent alerte de notificare către toate
părțile implicate.
În cadrul activității de notificare se aplică principiile enumerate mai sus, entitatea afectată
fiind prima alertată despre existența incidentului/evenimentului. În cazul în care
responsabilitatea rezolvării incidentului/evenimentului cade în sarcina altei
instituții/autorități, iar acea instituție/autoritate consideră necesar ca alerta să nu fie transmisă
către părțile afectate, pentru a nu perturba activitățile post-incident/eveniment, atunci
personalul responsabil va respecta întocmai decizia instituției/autorității.
Alertele transmise către părțile implicate trebuie să conțină următoarele informații:

• Date relevante despre CERT-RO și baza legală în urma căreia se transmit

alertele;
• Date despre resursele tehnice ce fac parte din incident/eveniment (resurse
afectate sau resursele ce produc atacul);
• Fișiere log, sau orice alte probe ce pot susține existența atacului;
• Măsurile exprese ce trebuie luate de către destinatarul alertei;
• Date de contact pentru comunicări ulterioare asupra incidentului/
evenimentului;
• Solicitare de feedback cu privire la măsurile luate de părțile afectate;
• Detalii despre cum au fost obținute datele despre incident/eveniment (doar în
cazul în care este neapărat necesar; dezvăluirea sursei nu reprezintă un obiectiv
al activității de alertare).

47
 6. Lansarea investigației detaliate (dacă este cazul)

În cazul în care o parte afectată solicită date suplimentare despre incidentul/evenimentul de

securitate, personalul responsabil contactează părțile ce pot oferi aceste informații,
solicitându-le în scopul finalizării investigației.
În acest caz investigații suplimentare pot fi demarate, putând fi folosite orice surse
disponibile.
7. Publicarea de documente tehnice și rapoarte asupra incidentului / evenimentului

Pentru restrângerea numărului posibilelor victime ale amenințării ce a generat incidentul de

securitate, personalul responsabil transmite alerte de atenționare către toți partenerii vizați,
sau chiar către publicul larg în caz că se impune.
Alertele sunt transmise prin email, notificări oficiale sau sunt publicate pe pagina de Internet
a CERT-RO. Alertele conțin date relevante despre tipul amenințării, modalități de detecție
precum și modalități de protecție.
8. Închiderea/clasarea alertei de securitate

Alerta de securitate este considerată închisă/clasată în momentul în care au fost alertate toate
părțile responsabile precum și cele afectate (sursă și victimă), acestea confirmând primirea
mesajelor și demararea activităților de remediere a problemelor. Pentru ca alerta să poată fi
considerată închisă/clasată trebuie ca toate posibilitățile de acțiune ale CERT-RO să fie
epuizate.
În cazul în care părțile notificate nu dau curs solicitării CERT-RO timp de o săptămână,
incidentul/evenimentul este considerat închis/clasat.
9. Automatizarea activității de răspuns la alerte de securitate cibernetică

Activitatea de răspuns la incidente de securitate cibernetică este automatizată pe cât mai mult
posibil. În cazul în care alertele sunt transmise, de către un partener, într-un format
standardizat, ușor accesibil, sunt dezvoltate aplicații automate care să identifice părțile
implicate cât și autoritățile competente și să le transmită notificări automate sub formă de
email.

48
Toate notificările automate transmise sunt înregistrate în cadrul sistemului de gestionare a
alertelor folosit în cadrul CERT-RO.
Din punct de vedere tehnic, gestionarea evenimentelor, alertelor și incidentelor de securitate
cibernetică se realizează prin intermediul unei aplicații de ticketing și a unei aplicații
dezvoltate intern pentru colectarea, procesarea, normalizarea, analizarea și diseminarea
informațiilor.

În spațiul cibernetic național, securitatea rețelelor și sistemelor informatice este asigurată prin
utilizarea unor tehnologii consacrate, prin implementarea de proceduri și politici de securitate
organizaționale și prin intermediul sistemelor implementate de autoritățile naționale cu
atribuții în acest sens.

Tehnologii şi soluţii de securitate

Cele mai utilizate tehnologii/soluții pentru asigurarea securității rețelelor și sistemelor
informatice sunt următoarele:
- Antivirus/Antimalware;
- HIDS (Host Intrusion Prevention System);
- Firewall;
- NIDS (Network Intrusion Prevention System);
- IPS (Intrusion Prevention System);
- Web Application Firewall;
- Web/Email Gateway;
- DLP (Data Lost Prevention);
- VPN (Virtual Private Networks);
- UTM (Unified Threat Management);
- SIEM (Security Information and Event Management).

În prezent, nu există definite standarde de securitate la nivel național privind asigurarea

securității rețelelor și sistemelor informatice utilizate în cadrul diferitelor sectoare ale
economiei. De asemenea, nu există prevederi legale care să impună entităților din diferite
sectoare economice respectarea anumitor standarde de securitate informatică.
În continuare sunt prezentate măsurile recomandate pentru asigurarea securității rețelelor și
sistemelor informatice din cadrul unei organizații, în baza „Codului de bune practici pentru

49
Securitatea Sistemelor Informatice şi de Comunicaţii”, întocmit de Asociaţia Naţională
pentru Securitatea Sistemelor Informatice (ANSSI), cuprinzând o serie de măsuri
recomandate pentru asigurarea securităţii informatice, referindu-se la securitatea fizică,
securitatea logică şi controlul accesului (securitatea personalului).

Securitatea fizică
O practică frecventă a grupurilor infracționale constă în utilizarea tehnicilor de scanare
continuă a spațiilor de adrese IP ale organizațiilor țintă, urmărind conectarea sistemelor noi
și/sau neprotejate, ori laptop-uri cu definiții sau pachete de securitate (patch-uri) neactualizate
datorită faptului că nu sunt conectate frecvent la rețea. Unul din atacurile comune profită de
sistemele nou instalate și care nu sunt configurate și securizate din punct de vedere al
pachetelor de securitate decât în ziua următoare, fiind ușor de identificat și exploatat prin
intermediul Internetului de către atacatori. În ceea ce privește sistemele informatice aflate în
interiorul rețelelor protejate, atacatorii care au obținut deja acces pot viza și compromite acele
sisteme insuficient sau necorespunzător securizate.
O atenție deosebită trebuie acordată echipamentelor și sistemelor care nu sunt incluse în
inventarul organizațiilor, cum ar fi diversele dispozitive mobile personale, sisteme de test,
etc. și care nu sunt conectate în mod permanent la rețea. În general, aceste tipuri de
echipamente tind să nu fie securizate în mod corespunzator sau să nu aibă controale de
securitate care să răspunda cerințelor de securitate. Chiar dacă aceste echipamente nu sunt
utilizate pentru a procesa, stoca sau accesa date sau informații critice, odată introduse în rețea,
pot oferi atacatorilor o cale de acces spre alte resurse și un punct de unde pot fi lansate atacuri
avansate.
Conform ghidului publicat de SANS Institute, intitulat „Systems and Network
Documentation”, menținerea unui inventar precis și actual, controlat prin monitorizare activă
și managementul configurației, poate reduce șansele ca atacatorii să identifice și să exploateze
sistemele neprotejate. Procedurile de inventariere stabilesc proprietarii de informații și
sisteme informatice, documentând responsabilitățile pentru menținerea inventarului pentru
fiecare componentă a sistemelor. În funcție de complexitatea fiecărei organizații, se pot
utiliza instrumente specializate de monitorizare și inventariere a resurselor sistemelor
informatice, care pot efectua “descoperirea” de noi sisteme, odată conectate la rețeaua
sistemului informatic, prin intermediul datelor obținute de la echipamentele de rețea. De
asemenea, se pot utiliza instrumente de identificare pasivă a resurselor (care “ascultă” în mod

50
pasiv la interfețele de rețea echipamentele care își anunță prezența prin modificarea
traficului). Aceste instrumente de monitorizare și inventariere ar trebui să includă
funcționalități precum:
• Identificarea echipamentelor noi neautorizate conectate la rețea într-un interval de
timp predefinit;
• Alertarea sau transmiterea mesajelor de notificare către o listă predefinită cu
personal administrativ;
• Izolarea sistemului neautorizat;

Grupurile infracționale utilizează tehnici de scanare a spațiilor de adrese ale

organizațiilor vizate în scopul de a identifica versiuni vulnerabile de software care pot fi
exploatate de la distanță. Astfel de atacuri pot fi inițiate prin distribuirea de pagini de web
ostile, documente, fișiere media și alte tipuri de conținut web prin intermediul propriilor
pagini web sau al altor pagini web demne de încredere. Atacurile complexe pot fi și de tipul
zero-day, exploatând vulnerabilități în aceeasi zi sau înainte ca acestea sa fie cunoscute
public.
Fără cunoștințele corespunzătoare sau controlul software-ului implementat în organizație,
nu se poate asigura protecția necesară pentru resursele informatice. Capacitatea de
inventariere și controlul neadecvat asupra programelor care sunt instalate și autorizate a rula
pe echipamentele organizațiilor, fac mai vulnerabile aceste medii informatice. Astfel de
echipamente inadecvat controlate sunt pasibile să execute software care nu este necesar
pentru specificul activității, inducând breșe potențiale de securitate sau rulând programe de
tip malware induse de către un atacator, după ce sistemul a fost compromis. Odată ce un
echipament a fost exploatat, adesea este utilizat ca și un punct de plecare pentru atacuri
ulterioare și pentru colectarea de informații sensibile din sistemul compromis și din alte
sisteme conectate la acesta. Echipamentele vulnerabile sunt utilizate ca puncte de lansare
pentru “avansarea” în rețea și rețele partenere. Organizațiile care nu utilizează inventarierea
completă a pachetelor software nu vor reuși să descopere sistemele pe care rulează software
vulnerabil sau malițios și mai departe să reducă problemele sau atacurile.
Software-ul comercial și instrumente specializate de inventariere a resurselor informatice sunt
utilizate pe scară largă pentru a facilita verificarea simultană a aplicațiilor utilizate în
organizații, extragând informații despre nivelul pachetelor de update al fiecărui program
software instalat pentru a se asigura utilizarea celei mai recente versiuni.

51
Sistemele de monitorizare utilizate ar trebui să includă și funcționalități precum:
• Capacitatea de identificare a software-ului neautorizat prin detectarea tentativelor de
instalare sau executare a acestuia;
• Alertarea personalului administrativ într-un interval de timp predefinit;
• Blocarea instalării, prevenirea executării sau trecerea în carantină.

Controlul echipamentelor wireless

În absența unor măsuri eficiente de securitate implementate pentru rețelele fără fir, se pot
iniția atacuri care vizează în principal furtul de date importante pentru orice tip de
organizație.
Deoarece rețelele fără fir nu necesită conexiuni fizice directe, echipamentele wireless oferă
atacatorilor un vector convenabil pentru obținerea accesului în mediul țintă.Tehnicile de atac
dezvoltate pot fi inițiate din exterior, evitandu-se perimetrele de securitate ale organizațiilor.
Astfel, echipamentele portabile pot fi infectate prin exploatare la distanță în intervalul în care
acestea sunt scoase din perimetrul de securitate în afara organizației și apoi utilizate ca „back
doors” odată intoarse în organizație și reconectate la rețea.
Măsurile de protejare impotriva atacurilor desfășurate prin intermediul rețelelor fara fir
vizează utilizarea atât a instrumentelor de scanare, detectare și decoperire a rețelelor cât și a
sistemelor de detectare a intruziunilor. Echipa de securitate trebuie să efectueze captura
traficului wireless desfășurat în zonele de perimetru pentru a determina dacă sunt utilizate
protocoale mai permisive de transmitere sau criptare decât cele impuse. În plus, se pot utiliza
instrumente de administrare de la distanță în cadrul rețelelor pentru a colecta informații
despre capabilitățile wireless ale dispozitivelor conectate la sistemele administrate.
Instrumentele utilizate trebuie să includă următoarele funcționalități:

▪ capacitatea de a identifica configurațiile dispozitivelor autorizate sau dispozitivele

wireless neautorizate din cadrul ariei de acoperire a organizației și care sunt
conectate în aceste rețele;
▪ identificarea dispozitivelor fără fir noi, neautorizate, conectate recent;
▪ alertarea personalului administrativ;
▪ identificarea zonei și izolarea punctului de acces în rețea.

Proiectarea securității rețelelor

52
Măsurile de securitate, chiar bine implementate la nivelul sistemelor informatice, pot fi
eludate în rețele concepute deficitar. Fără o arhitectura de rețea atent planificată și
implementată în mod corespunzător, atacatorii pot ocoli măsurile de securitate din diferite
sisteme, pătrunzând în rețea pentru a obține acces către sistemele țintă.
Atacatorii vizează în mod frecvent hărțile rețelelor pentru a identifica conexiuni neutilizate
între sisteme, filtrare necorespunzătoare și rețele fără segregare. Prin urmare, o arhitectură de
rețea robustă și securizată poate fi realizată prin implementarea unui proces care să furnizeze
și măsurile de securitate necesare.
Pentru a se asigura un mediu robust și ușor de securizat, arhitectura fiecărei rețele trebuie să
se bazeze pe modele care descriu structura generală a acesteia și a serviciilor pe care le oferă.

Organizațiile trebuie să documenteze diagrame pentru fiecare rețea în care să fie evidențiate
componentele de rețea împreună cu grupurile semnificative de servere și sisteme client.

CURS SECURITATE CIBERNETICĂ:

SECURITATEA REŢELELOR ŞI A SISTEMELOR INFORMATICE

Capitolul 3
3.1. POLITICI, STANDARDE, NORME ŞI PROCEDURI DE SECURITATE

Orice organizaţie care doreşte să-şi apere valorile informaţionale trebuie să conceapă
o modalitate logică şi coerentă de protejare a acestora, ţinând seama de recomandările legale
în domeniu şi de realităţile specifice activităţii sale. Ea va analiza pe de o parte pericolele
interne şi externe, iar pe de altă parte metodele disponibile de contracarare a lor. Demersurile
sale se vor concretiza, printre altele, în politici, standarde, norme şi proceduri de securitate.
Obiectivele capitolului curent sunt:
• cunoaşterea principalelor modele ale politicilor de securitate;
• identificarea elementelor care trebuie să stea la baza dezvoltării programelor
de securitate;
• dobândirea cunoştinţelor necesare pentru a realiza politici de securitate pentru
diverse zone ale unei organizaţii.

53
 Modele de politici de securitate

Situaţia definirii politicilor de securitate a devenit complicată atunci când sistemul

militar de clasificare a informaţiilor a fost preluat ca model de domenii civile, cum sunt cel
economic, politic, medical ş.a., informaţiile fiind grupate în două mari categorii: clasificate
(confidenţiale, secrete, strict secrete) şi neclasificate (sau publice). Lucrurile s-au complicat şi
mai tare după ce britanicii au mai introdus un nivel, RESTRICŢIONATE, între informaţiile
NECLASIFICATE şi cele CONFIDENŢIALE. Şi în SUA a existat acest nivel dar, odată cu
promulgarea legii accesului liber la informaţii (Freedom of Information Act, FOIA), el a
dispărut. Ca atare, America are două marcaje suplimentare: numai pentru utilizare oficială
(For Official Use Only, FOUO), care se referă la date neclasificate dar care nu pot fi făcute
publice prin efectul legii accesului liber la informaţii, în timp ce informaţiile neclasificate, dar
sensibile (Unclassified but sensitive) includ FOUO plus datele ce pot fi făcute publice, ca
efect al FOIA.
În Marea Britanie, informaţiile restricţionate, în practică, sunt făcute publice, dar
marcajul aplicat, RESTRICŢIONATE, face ca jurnaliştii şi alte categorii interesate de
scurgeri de informaţii să fie sancţionaţi dacă le fac publice, ca efect al legii secretului oficial.
Este o ciudăţenie care se adaugă alteia: documentele neclasificate din SUA care traversează
oceanul în Marea Britanie devin automat RESTRICŢIONATE, iar dacă se transmit înapoi în
SUA devin CONFIDENŢIALE – motiv serios pentru realizatorii sistemelor militare
clasificate americane să acuze politica din Marea Britanie că ar fi una ce sparge schema
clasificării SUA.
În plus, există sistemul bazat pe cuvinte-cod, prin care informaţiile de orice tip pot fi
supuse altor restricţii, numite clasificare compartimentală (în varianta americană) sau
securitate multilaterală (în varianta europeană). Se utilizează în acest scop descriptori,
cuvinte-de-avertizare şi marcaje internaţionale de apărare (International Default Organization,
IDO).
Toate aceste aspecte sunt tratate ştiinţific prin modelele de politici de
securitate, grupate în modele de securitate multinivel şi în modele de securitate multilaterală.

3.1.1 Modele de securitate multinivel

54
 Când privim un sistem, din punct de vedere al securităţii lui, întregul este separat în
părţi, prin linii orizontale, realizându-se aşa-zisa securitate pe niveluri multiple (multinivel)
prin care se face o delimitare netă între categoriile de informaţii din sistem (publice,
confidenţiale, secrete, strict secrete). O astfel de delimitare asigură certitudinea citirii
informaţiilor dintr-o anumită clasificare numai de persoanele care au autorizarea cel puţin
egală cu clasificarea informaţiilor citite. Într-o formă schematică, sistemul este structurat ca
în figura 2.

Fig. 2 Model de securitate multinivel

Politicile de controlare a accesului sunt foarte clare: o persoană poate citi un

document numai dacă autorizarea sa este cel puţin egală cu clasificarea informaţiei citite. Ca
efect, informaţiile vor circula doar de jos în sus, de la nivelul CONFIDENŢIAL, la SECRET,
STRICT SECRET ş.a., iar de sus în jos nu au voie să circule decât dacă o persoană autorizată
le declasifică.
Modelul Bell-LaPadula:
Cel mai cunoscut model al politicilor de securitate este cel propus de David Bell şi
Len LaPadula, în 1973, ca răspuns la preocupările Forţelor Aeriene ale Statelor Unite de
securizare a sistemelor de partajare a timpului, bazate pe mainframe-uri. Modelul este
cunoscut sub numele Bell-LaPadula sau modelul de securitate multinivel. Sistemele ce le
adoptă sunt numite şi „sigure multinivel” sau MLS (MultiLevel Secure). Proprietatea de bază
a acestor sisteme este aceea că informaţiile pot circula în jos.
Formal, modelul Bell-LaPadula a introdus trei principii:
• principiul (sau proprietatea) securităţii simple, prin care nu-i este permis nici
unui proces să citească date aflate pe un nivel superior lui. Este cunoscut şi ca
Nu citi deasupra (No Read Up, NRU);

55
 • principiul * (se citeşte stea): nici un proces nu poate să scrie date pe un nivel
aflat sub el. Este cunoscut şi ca Nu scrie dedesubt (No Write Down, NWD);
• principiul securităţii discreţionare introduce o matrice de acces pentru a
specifica controlul accesului discreţionar. Este cunoscut şi ca Trusted Subject
(subiect de încredere). Prin acest principiu, subiectul de încredere violează
principiul *, dar nu se abate de la scopul său.

Cele trei principii sunt redate în figura 3.

Fig. 3 Modelul Bell-LaPadula, cu cele trei principii

Modelul matricei de control al accesului:

Printr-o matrice de acces se oferă drepturi de acces pentru subiecte de încredere la
obiectele sistemului. Drepturile de acces sunt de tipul citeşte, scrie, execută ş.a. Un subiect de
încredere este o entitate activă care îşi caută drepturile de acces la resurse sau obiecte.
Subiectul poate fi o persoană, un program sau un proces. Un obiect este o entitate pasivă,
cum sunt fişierele sau o resursă de stocare. Sunt cazuri în care un element poate fi, într-un
anumit context, subiect şi, în alt context, poate fi obiect. O matrice de acces este redată în
figura 4.
Coloanele se numesc Liste de control al accesului, iar liniile, Liste de competenţe.
Modelul matricei de control al accesului acceptă controlul discreţionar al accesului pentru că
intrările în matrice sunt la discreţia persoanelor care au autorizaţia de a completa tabelul. În

56
matricea de control al accesului, competenţele unui subiect sunt definite prin tripleta (obiect,
drepturi, număr aleator).

Fig. 4 Matrice de control al accesului

Modelul Biba:
În multe cărţi este amintit şi modelul Biba, al lui Ken Biba, ocupându-se doar de
integritatea sistemelor, nu şi de confidenţialitate. El se bazează pe observaţia că în multe
cazuri confidenţialitatea şi integritatea sunt concepte duale: în timp ce prin confidenţialitate
se impun restricţii celor ce pot citi un mesaj, prin integritate sunt controlaţi cei ce pot să scrie
sau să modifice un mesaj.
În unele organizaţii guvernamentale sau comerciale există aplicaţii în care integritatea
datelor este mult mai importantă decât confidenţialitatea, ceea ce a făcut să apară modele
formale ale integrităţii.
Integritatea vizează trei scopuri principale:
• protejarea datelor împotriva modificărilor efectuate de utilizatorii neautorizaţi;
• protejarea datelor împotriva modificărilor neautorizate efectuate de utilizatori
autorizaţi;
• asigurarea consistenţei interne şi externe a datelor.

Modelul a fost realizat în 1977 ca unul al integrităţii datelor, aşa cum modelul Bell-
LaPadula este cunoscut ca modelul confidenţialităţii datelor. Modelul Biba este unul de tip
reţea şi foloseşte relaţia mai mic sau egal. O structură a reţelei este definită ca un ansamblu
parţial ordonat cu cea mai mică limită superioară, LUB (Least Upper Bound), şi cea mai mare
limită inferioară, GLB (Greatest Lower Bound).
O reţea reprezintă un ansamblu de clase de integritate (CI) şi de relaţii ordonate între
aceste clase. Ea poate fi definită astfel:
(CI, <=, LUB, GLB).

57
 Aşa cum Bell-LaPadula operează cu niveluri diferite de sensibilitate, modelul Biba
clasifică obiectele în diferite niveluri de integritate. Modelul enunţă trei axiome ale
integrităţii:
1. axioma integrităţii simple. Ea stabilişte că unui subiect aflat pe un anumit
nivel de integritate nu-i este permis să observe (citească) un obiect de o
integritate mai joasă (No Read Down, Nu citi dedesubt).
2. axioma integrităţii * (se citeşte stea) stabileşte că unui obiect situat pe un
anumit nivel de integritate nu-i este permis să modifice (scrie) alt obiect situat
pe un nivel mai înalt de integritate (No Write Up, Nu scrie deasupra);
3. un subiect de pe un anumit nivel de integritate nu poate solicita un subiect
situat pe un nivel de integritate superior.
Axiomele şi modelul Biba sunt redate în figura 5.

Fig. 5 Modelul Biba, cu axiomele lui

În practică au fost implementate mai multe tipuri de sisteme de securitate multinivel,

cum sunt SCOMP, Blocker, MLS Unixe, CMWs, NRL Pump, MLS Logistics, Purple
Penelope ş.a.

3.2 Programul de securitate

Organizaţiile au nevoie să-şi protejeze valorile patrimoniale vitale, începând cu

resursele umane, continuând cu clădiri, terenuri, utilaje, echipamente speciale şi încheind cu
una dintre cele mai importante averi ale noului mileniu, informaţia. Tocmai din această cauză
se concep programe de securitate informaţională. Înainte ca acest program să fie abordat, se
cuvine efectuată structurarea iniţiativei încă din faza intenţională, realizându-se sau

58
definindu-se politicile, standardele, normele şi procedurile. În acest context, programul de
securitate trebuie să se supună elementelor enunţate anterior.
Fără politici riguroase, programele de securitate vor fi aproape fără suport, ineficiente
şi nu se vor alinia strategiei şi obiectivelor organizaţiei. Politicile, standardele, normele şi
procedurile constituie fundaţia programului de securitate al organizaţiei. Politicile eficiente,
clar formulate, vor servi proceselor de auditare şi eventualelor litigii. Combinând elementele
specificate, o entitate poate implementa controale specifice, procese, programe de
conştientizare şi multe altele, tocmai pentru a-i aduce un plus de linişte.

3.2.1 Politicile

O politică, deseori, înseamnă mai multe lucruri, atunci când ne referim la securitatea
informaţională a unei organizaţii. Cineva poate să se rezume doar la firewall-urile folosite
pentru controlarea accesului şi a traseelor pe care circulă informaţiile, altcineva se gândeşte la
lacătele, cardurile de acces, camerele de luat vederi ce înregistrează totul din perimetrele
controlate. Dar, câte alte accepţiuni nu i se pot da!
Atunci când discutăm despre politici de securitate, trebuie pornit de la vârful
piramidei manageriale, unde se află top managerii. Ei au misiunea de a formula Declaraţia
politicii organizaţiei (Statement of Policy). Aceasta este o formulare generală, o declaraţie din
care să reiasă:
• importanţa resurselor informaţionale pentru atingerea obiectivelor strategice
ale organizaţiei;
• formularea clară a sprijinului acordat tehnologiilor informaţionale în unitate;
• angajamentul top managerilor de a autoriza sau coordona activităţile de
definire a standardelor, procedurilor şi normelor de securitate de pe nivelurile
inferioare.
În afara declaraţiei politicii de securitate la nivelul top managerilor, există şi politici
obligatorii, politici recomandate şi politici informative.
Politicile obligatorii sunt politici de securitate pe care organizaţiile sunt obligate să le
implementeze ca efect al acordurilor, regulamentelor sau al altor prevederi legale. De regulă,
aici se încadrează instituţiile financiare, serviciile publice sau orice alt tip de organizaţie care
serveşte interesului public. Aceste politici sunt foarte detaliate şi au elemente specifice, în
funcţie de domeniul de aplicare.

59
 De regulă, politicile obligatorii au două scopuri de bază:
• asigurarea că o organizaţie urmează procedurile standard sau politicile de bază
din domeniul ei de activitate;
• de a oferi încredere organizaţiilor că ele urmează standardele şi politicile de
securitate din domeniul de activitate.
Politicile recomandate, prin definiţie, nu sunt obligatorii, dar sunt puternic susţinute,
cu prezentarea consecinţelor foarte dure în cazul înregistrării eşecurilor. O organizaţie este
direct interesată ca toţi angajaţii ei să considere aceste politici ca fiind obligatorii. Cele mai
multe politici se încadrează în această categorie. Ele sunt foarte clar formulate la toate
nivelurile. Cei mai mulţi angajaţi vor fi riguros controlaţi prin astfel de politici, definindu-le
rolurile şi responsabilităţile în organizaţie.
Politicile informative au scopul de a informa cititorii. Nu poate fi vorba de cerinţe
specifice, iar interesaţii de aceste politici pot să se afle în interiorul organizaţiei sau printre
partenerii ei.
După aceste descrieri, putem să facem o scurtă prezentare a elementelor comune
tuturor politicilor de securitate, astfel:
• domeniul de aplicare: declararea domeniului de aplicare înseamnă prezentarea
intenţiei vizate de politică şi ea va scoate în relief şi legăturile existente cu
întreaga documentaţie a organizaţiei. Formularea trebuie să fie scurtă şi se
plasează la începutul documentului;
• declararea politicii top managerilor se include la începutul documentului şi are
dimensiunea unui singur paragraf, specificând scopul global al politicii;
• responsabilităţile constituie conţinutul unei secţiuni distincte şi cuprind
persoanele implicate în asigurarea bunei funcţionări a politicii;
• consecinţele: printr-o astfel de formulare se prezintă pierderile posibile dacă
politica nu va fi respectată;
• monitorizarea: se specifică modul în care se monitorizează respectarea şi
actualizarea continuă a politicii;
• excepţiile: se menţionează cazurile în care apar excepţii şi modalităţile de
tratare a lor; de regulă, au o durată limitată de aplicare, de la un caz la altul.

3.2.2 Standardele, normele şi procedurile de securitate

60
 Pe nivelul inferior politicilor se află trei elemente de implementare a politicii:
standardele, normele şi procedurile. Ele conţin detaliile politicii, cum ar fi posibilităţile de
implementare, ce standarde şi proceduri să fie întrebuinţate. Ele sunt făcute publice la nivel
de organizaţie, prin manuale, Intranet, cărţi, cursuri ş.a.
De cele mai multe ori, standardele, normele şi procedurile sunt tratate laolaltă, dar nu
este cea mai inspirată idee, fiindcă tratarea separată a lor este justificată de următoarele
argumente:
• fiecare dintre ele serveşte unei funcţii diferite şi are propria audienţă; chiar şi
distribuţia lor fizică este mai lejeră;
• controalele securităţii pe linia confidenţialităţii sunt diferite pentru fiecare tip
de politică;
• actualizarea şi întreţinerea politicii ar deveni mai anevoioase, prin prisma
volumului documentaţiei, dacă s-ar trata nediferenţiat.
Standardele:
Standardele specifică utilizarea anumitor tehnologii, într-o viziune uniformă. De
regulă, standardele sunt obligatorii şi sunt implementate la nivel de unitate, tocmai pentru
asigurarea uniformităţii.
Elementele principale ale unui standard de securitate informaţională sunt:
• scopul şi aria de aplicare, prin care se oferă o descriere a intenţiei standardului
(realizarea unui tip de server pe o anumită platformă);
• roluri şi responsabilităţi la nivel de corporaţie pe linia definirii, execuţiei şi
promovării standardului;
• standardele cadrului de bază, prin care sunt prezentate declaraţiile de pe cel
mai înalt nivel, aplicabile platformelor şi aplicaţiilor;
• standardele tehnologiei conţin declaraţiile şi descrierile aferente (configuraţia
sistemului sau serviciile nesolicitate de sistem);
• standardele administrării reglementează administrarea iniţială şi în timpul
exploatării platformei şi aplicaţiilor.
Normele:
Normele sunt oarecum asemănătoare standardelor, referindu-se la metodologiile
sistemelor securizate, numai că ele sunt acţiuni recomandate, nu obligatorii. Sunt mult mai
flexibile decât standardele şi iau în considerare naturile diverse ale sistemelor informaţionale.

61
Ele specifică modalităţile de dezvoltare a standardelor sau garantează aderenţa la principiile
generale ale securităţii.
Elementele principale ale unei norme de securitate informaţională sunt:
• scopul şi aria de aplicare, descriindu-se intenţia urmărită prin regula
respectivă;
• roluri şi responsabilităţi pe linia definirii, execuţiei şi promovării normei;
• declaraţii de orientare: este un proces pas-cu-pas de promovare a tehnologiilor
respective;
• declaraţii de exploatare: se definesc obligaţiile zilnice, săptămânale sau lunare
pentru o corectă exploatare a tehnologiei respective.
Procedurile:
Procedurile prezintă paşii detaliaţi ce trebuie să fie parcurşi pentru execuţia unei
activităţi. Se descriu acţiunile concrete pe care trebuie să le efectueze personalul. Prin ele se
oferă cele mai mici detalii pentru implementarea politicilor, standardelor şi normelor. Uneori
se foloseşte în locul acestui concept cel de practici.

3.2.3 Exemple de politici de securitate

Încă de la început, trebuie să spunem că nu există două organizaţii care să aibă politici
de securitate identice. Din multitudinea lor, vom prezenta, în continuare, o sinteză a formelor
existente, reunind ceea ce se regăseşte în mai multe locuri.
De regulă, se începe cu un program de securizare a sistemelor informaţionale, situaţie
în care se foloseşte conceptul de politica programului de securitate informaţională. Ea este
acoperişul sub care se vor realiza politici tehnice de securitate, standarde şi norme de
aplicare. Într-o unitate sunt necesare politici speciale pentru utilizarea Internetului şi a e-mail-
ului, pentru accesarea de la distanţă a sistemului, pentru modurile de utilizare a unui sistem
informatic, pentru protecţia informaţiilor ş.a. Aşadar, se poate spune că printr-o politică a
programului de securitate informaţională se defineşte politica de ansamblu a organizaţiei în
acest domeniu, precum şi responsabilităţile din sistem.
În aceste condiţii, politicile ce se vor emite sunt componente esenţiale ale programului
şi ele trebuie să răspundă la cinci obiective majore:
1. prevenire: abilitatea de prevenire a accesului neautorizat la valorile
patrimoniale ale organizaţiei;

62
 2. asigurare: asigurarea că politicile, standardele şi normele sunt în concordanţă
cu intenţiile organizaţiei pe linia protejării valorilor patrimoniale
informaţionale;
3. detectare: abilitatea de a detecta intruşii din sistem şi de a lansa arsenalul de
contramăsuri corespunzătoare;
4. investigare: capacitatea de a folosi tehnici adecvate pentru obţinerea
informaţiilor despre posibilii intruşi din sistem;
5. continuitate: posibilitatea de a garanta funcţionarea neîntreruptă prin existenţa
unui plan de acţiune în cazul dezastrelor, dezvoltat şi testat în organizaţie.
În continuare, vom face o descriere succintă a câtorva politici. Politica utilizării
adecvate. O astfel de politică trebuie să analizeze şi să definească utilizarea corespunzătoare a
resurselor informatice din organizaţie. Utilizatorii trebuie să o citească şi semneze atunci când
îşi exprimă intenţia de deschidere a unui cont de utilizator. Responsabilităţile utilizatorului
pentru protejarea informaţiilor, memorate în conturile lor, trebuie să fie formulate explicit, ca
şi nivelurile de utilizare a Internetului şi e-mail-ului.
Politica, de asemenea, trebuie să răspundă următoarelor întrebări:
• Trebuie ca utilizatorii să citească şi copieze fişiere care nu sunt ale lor, dar la
care au acces?
• Trebuie ca utilizatorii să modifice fişierele la care au drept de scriere, dar nu
sunt ale lor?
• Trebuie ca utilizatorii să facă copii ale fişierelor de configurare a sistemului, în
scopul folosirii personale sau să le dea altora?
• Trebuie ca utilizatorii să folosească în comun conturile deschise?
• Trebuie ca utilizatorii să aibă dreptul de a face oricâte copii de pe softul care e
procurat cu licenţă de utilizare?

Politica privind conturile utilizatorilor:

Politica vizează normele după care se formulează cererile de deschidere a conturilor
din sistem şi cum se efectuează întreţinerea lor. Este foarte utilă în organizaţiile mari, în care
utilizatorii au conturi în mai multe sisteme. Este recomandată modalitatea de citire şi semnare
a politicii de către utilizator.
O astfel de politică trebuie să ofere răspunsuri la întrebări de genul:
• Cine are autoritatea aprobării cererilor de noi conturi-utilizator?

63
 • Cui (angajaţilor, soţiilor/soţilor, rudelor, copiilor, vizitatorilor ş.a.) îi este
permis să folosească resursele informatice ale organizaţiei?
• Poate un utilizator să aibă mai multe conturi în acelaşi sistem?
• Pot folosi utilizatorii în comun aceleaşi conturi?
• Care sunt drepturile şi obligaţiile utilizatorilor?
• Când va fi dezactivat şi arhivat un cont?
Politica accesului de la distanţă:
Prin ea se definesc modalităţile de conectare de la distanţă la reţeaua internă a
organizaţiei. Ea este necesară în organizaţiile care au utilizatori şi reţele dispersate geografic.
Politica trebuie să răspundă următoarelor întrebări:
• Cine poate să aibă dreptul accesării de la distanţă?
• Ce metode sunt acceptate de organizaţie (dial-up, modem)?
• Este permis accesul din afară la reţeaua internă prin modem?
• Se impun anumite condiţii, cum ar fi soft antivirus şi de securitate, pentru
accesarea de la distanţă?
• Pot alţi membri ai familiei să acceseze reţeaua?
• Sunt restricţii privind tipul datelor ce pot fi accesate de la distanţă?
Politica protecţiei informaţiilor
Printr-o astfel de politică se aduc la cunoştinţa utilizatorilor condiţiile prelucrării,
stocării şi transmiterii informaţiilor sensibile. Scopul principal al acestei politici este
asigurarea că informaţiile sunt protejate, în mod corespunzător, împotriva modificărilor sau
dezvăluirii neautorizate. O astfel de politică trebuie semnată de toţi angajaţii. Ea trebuie să
dea răspuns cel puţin la următoarele întrebări:
• Care sunt nivelurile de sensibilitate ale informaţiilor?
• Cine poate să aibă acces la informaţiile sensibile?
• Cum sunt stocate şi transmise informaţiile sensibile?
• Ce niveluri de informaţii sensibile pot fi listate pe imprimante publice?
• Cum trebuie să fie şterse informaţiile sensibile de pe suporturi (tocarea şi
arderea hârtiilor, curăţirea discurilor ş.a.)?

Politica gestionării firewall-urilor:

64
 Politica gestionării firewall-urilor descrie modul în care sunt gestionate hardul şi
softul şi cum sunt formulate şi aprobate cererile de schimbare din sistem. O astfel de politică
trebuie să dea răspuns la următoarele întrebări:
• Cine are acces la sistemele firewall?
• Cine trebuie să primească solicitările de efectuare a schimbărilor în
configuraţia firewall-urilor?
• Cine trebuie să aprobe efectuarea schimbărilor în configuraţia firewall-urilor?
• Cine poate să vadă normele şi listele de acces la configuraţia firewall-ului?
• Cât de des trebuie efectuată revizia firewall-urilor?

Politica accesului special:

Prin ea se definesc condiţiile formulării cererilor de obţinere a dreptului de utilizare a
unor conturi speciale din sistem (root, Administrator ş.a.). Ea trebuie să ofere răspunsurile la
următoarele întrebări:
• Cine trebuie să primească cererile pentru acces special?
• Cine trebuie să aprobe cererile pentru acces special?
• Care sunt regulile parolelor pentru conturile cu acces special?
• Cât de des se schimbă parolele?
• Care sunt motivele sau situaţiile ce vor conduce la revocarea privilegiului de a
avea acces special?

Politica de conectare la o reţea locală:

Prin ea se definesc condiţiile adaugării de noi echipamente la reţea şi trebuie să
răspundă la întrebările:
• Cine poate instala o resursă nouă în reţea?
• Cine trebuie să aprobe instalarea de noi echipamente?
• Cui trebuie să i se aducă la cunoştinţă faptul că au fost adăugate noi
echipamente în reţea?
• Sunt unele restricţii pe linia securităţii în legătură cu echipamentele adăugate
în reţea?

Politica partenerului de afaceri:

65
 O astfel de politică stabileşte ce măsuri de securitate trebuie să respecte fiecare
companie parteneră. Ea este o politică cu atât mai necesară acum când organizaţiile oferă
reţeaua lor internă partenerilor, clienţilor, furnizorilor. Deşi o astfel de politică este diferită de
la o organizaţie la alta, ea, totuşi, trebuie să ofere răspunsuri la următoarele întrebări:
• I se cere fiecărei organizaţii să aibă scrisă o politică de securitate?
• Trebuie ca fiecare organizaţie să aibă un firewall sau alte echipamente de
securitate a perimetrului?
• Cum se vor realiza comunicaţiile (linie închiriată, VPN prin Internet ş.a.)?
• Cum se vor formula cererile pentru accesarea resurselor partenerului?

Politica managementului parolelor:

Deseori este inima politicilor de securitate dintr-o organizaţie. De regulă, ea
reglementează problemele expirării parolelor, ale lungimii lor şi altor verificări necesare. Iată
câteva recomandări de surprins printr-o astfel de politică:
• lungimea minimă a unei parole trebuie să fie de cel puţin opt caractere;
• parola nu trebuie să fie un cuvânt din dicţionar;
• ea trebuie să fie o combinaţie de litere şi simboluri speciale;
• parola trebuie să expire după o anumită perioadă de timp predeterminată;
• parolele administratorilor de reţele trebuie să expire mult mai repede şi trebuie
să fie mai lungi;
• parolele din organizaţie trebuie să difere de cele folosite în alte sisteme;
• trebuie să fie păstrată o listă cu vechile parole pentru a preveni reutilizarea
(ultimele şase parole nu trebuie să se repete);
• parolele utilizatorilor noi trebuie să fie unice şi greu de ghicit.

Politica folosirii Internetului:

Politica utilizării Internetului, referită deseori prin acronimul I-AUP (Internet
Acceptable Use Policy), este documentul prin care se detaliază modurile în care utilizatorii
unei reţele a organizaţiei trebuie să folosească serviciul public Internet. Politica va descrie
softul folosit pentru filtrare şi blocare, cu scopul protejării organizaţiei, dar şi activităţile
specifice permise, precum şi cine sunt beneficiarii acestor drepturi de acces şi cui i se interzic.
Ea este bine să se refere şi la metodele de autentificare înaintea accesării Internetului în afara

66
organizaţiei/ţării pentru a preveni personalul că foloseşte reţeaua organizaţiei în scopuri
ilegale.
Protocoalele specifice acoperite printr-o politică de utilizare a Internetului sunt
următoarele:
• Poşta electronică. Aceasta vizează toate formele de e-mail utilizate de o
organizaţie, definindu-se ceea ce se acceptă a se folosi, declarându-se softul
utilizat pentru filtrare şi scanare. Ea trebuie să sublinieze cerinţele specifice
referitoare la datele ce nu pot fi transmise prin e-mail şi procedurile de urmat
în cazul în care un utilizator primeşte mesaje cu date de acest gen. Prin această
politică trebuie prevăzute şi măsurile luate în cazul nerespectării condiţiilor de
utilizare a e-mail-ului;
• Web. Politica va prevedea condiţiile specifice de realizare a traficului Web.
Cât timp WWW (World Wide Web) foloseşte HTTP-ul (HyperText Transport
Protocol) pentru transferarea informaţiilor, prin politica de faţă vor fi definite
clar tipurile de site-uri Web care sunt strict interzise, de genul celor porno,
jocurilor de noroc ş.a.;
• FTP. Permiţând utilizatorilor accesul la FTP (File Transfer Protocol), se
deschide calea descărcării cu uşurinţă în sistemul organizaţiei a viruşilor, dar
şi transmiterea pe serverele din afara orgnizaţiei a unor informaţii
confidenţiale. Pentru specialiştii organizaţiei trebuie să se asigure un nivel de
acces FTP pentru efectuarea unor descărcări de fişiere în vederea actualizării
softului existent, dar politica de faţă trebuie să stabilească autorizările de
utilizare FTP;
În general, prin politica Internet se face referire la următoarele aspecte:
• acceptarea folosirii şi condiţiile de accept pentru:
• descărcările de fişiere;
• newsgroup-uri;
• comunicarea datelor sensibile;
• tipurile de fişiere ataşate;
• dimensiunea mesajelor;
• softul fără licenţă;
• pachete de aplicaţii soft neaprobate;
• exportul informaţiilor sensibile;

67
 • protecţia fişierelor;
• protecţia împotriva viruşilor;
• managementul schimbărilor din sistem;
• practicile de stocare a datelor;
• siguranţă şi disponibilitate;
• protecţia informaţiilor prin clasificarea lor;
• controlul accesului;
• e-mail-ul şi datele ce pot fi reţinute/stocate în unitate;
• monitorizarea;
• excepţiile şi amendamentele.

Mediul cibernetic, aflat în plină evoluție, generează deopotrivă oportunități de

dezvoltare a societății informaționale, dar și riscuri la adresa funcționării acesteia. Existența
vulnerabilităților sistemelor informatice, ce pot fi exploatate de grupări organizate, face ca
asigurarea securității spațiului cibernetic să constituie o preocupare majoră pentru toate
entitățile implicate.
La nivel european au fost întreprinse demersuri pentru a adopta noi politici privind
lupta
împotriva criminalității informatice și asigurarea securității cibernetice. Directiva NIS
privind
securitatea rețelelor și a sistemelor informatice, adoptată de Parlamentul European și
Consiliul
Uniunii Europene la data de 6 iulie 2016, a intrat în vigoare în luna august a
aceluiași an și beneficiază de o perioadă de 21 de luni pentru a fi implementată de
statele membre. Scopul Directivei NIS este de a asigura un nivel comun de securitate a
rețelelor și a sistemelor informatice în Uniunea Europeană și cere operatorilor, respectiv
furnizorilor de servicii digitale, să adopte măsuri adecvate pentru prevenirea atacurilor
cibernetice și managementul riscului, și să raporteze incidentele grave de securitate către
autoritățile naționale competente. Pentru implementarea directivei NIS până în toamna
anului 2018, România are obligația de a institui autorități naționale competente, puncte
unice de contact și echipe de intervenție în caz de incidente de securitate cibernetică,

68
precum și să se stabilească cerințele de securitate și de notificare a incidentelor care se
aplică operatorilor de servicii esențiale și furnizorilor de servicii digitale.

La nivel național a fost adoptată Strategia de securitate cibernetică a României în

anul 2013, cu scopul de a defini și a menține un mediu cibernetic sigur, cu un înalt grad de
siguranță și de încredere. Această strategie își propune adaptarea cadrului normative și
instituțional la dinamica amenințărilor mediului virtual, stabilirea și aplicarea unor cerințe
minimale de securitate pentru infrastructurile cibernetice naționale, asigurarea rezilienței
acestora și dezvoltarea cooperării în plan național și internațional. Realizarea strategiei de
securitate cibernetică are la bază principii de coordonare a planurilor de acțiune destinate
asigurării securității cibernetice, de cooperare între toate entitățile implicate, atât din mediul
public, cât și din cel privat, de prioritizare a securizării infrastructurilor critice naționale și de
diseminare a informațiilor, a expertizei și a bunelor practici în scopul protejării
infrastructurilor cibernetice.
O atenție sporită este acordată atât capacității de răspuns la atacurile cibernetice, cât
și
prevenirii și combaterii acestor atacuri. Combaterea fenomenului de criminalitate
informatică
reprezintă o prioritate pentru noi toți, atât în ceea ce privește intruziunile în sfera noastră
privată
sau în datele cu caracter personal, cât și în cazul furtului de identitate sau al fraudei.
Prevenirea
acestor atacurilor reprezintă o necesitate pentru autoritățile publice, care trebuie să aibă
capacitatea de a proteja infrastructura critică pe care cetățenii României se bazează în
activitatea lor zilnică.
Obiectivul general al acestui proiect de cercetare îl reprezintă analiza provocărilor
actuale prezente în domeniul spațiului cibernetic, identificându-se amenințările,
vulnerabilitățile șiriscurile la adresa securității cibernetice. Este studiată capacitatea
României de reacție la amenințările prezente în mediul virtual, atât la nivel național, cât și
la nivel european și regional, România participând în calitate de stat-lider la Fondul de
Sprijin pentru dezvoltarea capacității de apărare cibernetică a Ucrainei.
Obiectivele specifice ale proiectului sunt identificarea și clasificarea
vulnerabilităților și riscurilor prezente în mediul cibernetic, analiza evoluției și structurii

69
atacurilor cibernetice, identificarea bunelor practici privind prevenirea și limitarea efectelor
acestor atacuri, cercetarea gradului de pregătire a României pentru contracararea riscurilor și
provocărilor prezente în spațiul cibernetic, analiza cooperării dintre sectorul public și cel
privat în domeniul securității cibernetice Directiva (UE) 2016/1148 privind măsuri pentru un
nivel comun ridicat de securitate a rețelelor și a sistemelor informatice în Uniunea
Europeană.și propunerea unor politici de securitate cibernetică privind armonizarea cadrului
normativ din România cu recomandările europene în domeniu.
Actualitatea temei de cercetare este dată de analiza necesității transpunerii
prevederilor Directivei NIS în legislația națională, Ministerul Comunicațiilor și Societății
Informaționale lansând în dezbatere publică, la data de 3 octombrie 2017, Proiectul de Lege
privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice.
Cercetările realizate în cadrul acestui studiu au utilizat atât metode calitative, cât și metode
cantitative. Metodele folosite în cadrul cercetărilor calitative au fost observația participativă,
studii de caz, studii comparative și analiza bibliografiei de specialitate.Cercetările cantitative
au fost orientate spre verificarea teoriilor obținute prin intermediul cercetărilor calitative și
au utilizat sondajele ca metode de cercetare. Sondajul realizat în cadrul studiului (a se
vedea Anexa) a tratat stadiul de maturitate a proceselor din domeniul securității cibernetice
la nivelul instituțiilor din administrația publică din România având în vedere
următoarele direcții: responsabilități și sarcini în domeniul securității cibernetice,
managementul riscului de securitate (politici, planuri și proceduri), instrumente și
automatisme la nivelul infrastructurii, cadrul privind stabilirea obiectivelor, indicatorilor și a
mecanismelor de cooperare, cultura organizațională (dezvoltarea de expertiză la nivelul
organizațiilor prin programe de instruire, conștientizare și comunicare).

Securitatea cibernetică reprezintă starea de normalitate a informațiilor digitale,

resurselor și serviciilor oferite de către entitățile publice sau private în spațiul cibernetic.
Această stare
presupune asigurarea următoarelor obiective:
• confidențialitatea - proprietatea ca informațiile, serviciile sau resursele sistemelor
informatice să nu fie disponibile unor persoane sau procese neautorizate;
• integritatea - proprietatea de păstrare a acurateței informațiilor, serviciilor sau resurselor
sistemelor informatice;
• disponibilitatea - proprietatea ca informațiile, serviciile sau resursele sistemelor

70
 informatice să fie accesibile persoanelor sau proceselor autorizate;
• autenticitatea - proprietatea de asigurare a identificării și autentificării persoanelor,
dispozitivelor și serviciilor sistemelor informatice și de comunicații;
• non-repudierea - proprietatea ca o acțiune sau un eveniment să nu poată fi repudiat
(negat, contestat) ulterior.

Starea de securitate cibernetică poate fi obținută prin aplicarea unor măsuri de securitate
proactive și reactive ce includ politici, standarde și modele de securitate, prin
managementul riscului și prin implementarea unor soluții pentru protecția rețelelor și
sistemelor informatice.

3.3 Studiul amenințărilor la adresa securității cibernetice

Tehnologia este omniprezentă și tot mai complexă pentru aproape fiecare aspect al
societății
moderne. Progresul exponențial în ultima jumătate de secol în ceea ce privește puterea de
procesare și capacitatea de memorare a făcut hardware-ul IT nu numai mai rapid, dar și mai
mic, mai ușor, mai ieftin și mai ușor de utilizat. Industria IT inițială a convers tot mai
mult cu industria comunicațiilor într-un sector combinat, denumit în mod obișnuit
Tehnologia Informației și Comunicațiilor (TIC).
Dispozitivele și componentele TIC sunt, în general, complexe și
interdependente, iar întreruperea unuia poate afecta funcționarea celorlalte. În ultimii ani,
experții și factorii de decizie și-au exprimat îngrijorarea din ce în ce mai mare cu privire la
protejarea sistemelor TIC în fața atacurilor cibernetice, acțiuni deliberate ale unor persoane
neautorizate de a accesa sistemele în scopuri de furt, întrerupere, distrugere sau alte acțiuni
ilegale.
Activitatea de protejare a sistemelor TIC și a conținutului acestora a devenit cunoscută sub
numele de securitate cibernetică. Un concept larg și, probabil, insuficient explicat,
securitatea
cibernetică poate fi un termen util, dar nu poate fi identificat printr-o definiție precisă.
De obicei se referă la unul sau mai multe din următoarele aspecte:
• un set de activități și măsuri menite să protejeze - de atacuri, întreruperi ale
funcționării

71
 • sau alte amenințări - sistemele de calcul, rețelele de calculatoare, componentele
hardware/software aferente și informațiile pe care acestea le conțin sau transmit
(inclusiv aplicații software, date și alte elemente din spațiul cibernetic);
• starea sau calitatea de a fi protejat împotriva acestor amenințări;
• domeniul extins de eforturi menite să pună în aplicare și să îmbunătățească
aceste activități și calitatea serviciilor.

Securitatea cibernetică este legată, fără a fi în general considerată identică, cu

conceptul de securitate a informațiilor. Acest ultim termen poate fi definit drept
activitatea de protejare a informațiilor și a sistemelor informatice împotriva accesului
neautorizat, utilizării, dezvăluirii, întreruperii, modificării sau distrugerii, pentru a
asigura integritatea, confidențialitatea și disponibilitatea informațiilor.
Uneori, securitatea cibernetică este necorespunzător asociată cu alte concepte, cum ar
fi
confidențialitatea, schimbul de informații, colectarea de informații și supravegherea. Cu
toate acestea, securitatea cibernetică este un instrument important în protejarea vieții
private și prevenirea supravegherii neautorizate, iar schimbul de informații și colectarea de
informații pot fi instrumente utile pentru asigurarea securității informatice.
Gestionarea riscului pentru sistemele informatice este considerată fundamentală pentru
asigurarea unei securități informatice eficiente. Riscurile asociate cu orice atac depind
de trei factori: amenințările (cine atacă), vulnerabilitățile (punctele slabe pe care le atacă) și
impactul (ceea ce face atacul).
Amenințările cibernetice pot proveni de la persoanele care practică sau ar putea
efectua atacuri cibernetice. Atacatorii se încadrează în una sau mai multe din următoarele
categorii:
• criminali care intenționează să obțină câștiguri financiare din activități precum furtul sau
extorcarea;
• spioni care intenționează să fure informații clasificate sau proprietare, utilizate de entități
guvernamentale sau private;
• războinici la nivel guvernamental, care dezvoltă capacități și realizează atacuri
cibernetice în sprijinul obiectivelor strategice ale unei țări;
• „hacktiviști” care realizează atacuri cibernetice din alte motive decât cele financiare;

72
• teroriști care se angajează în atacuri cibernetice ca o formă de război , susținut sau nu la
nivel de stat.

Securitatea cibernetică este în multe privințe o cursă între atacatori și apărători.

Atacatorii analizează constant punctele slabe, care pot apărea în diferite contexte.
Apărătorii trebuie să reducă punctele slabe, dintre acestea deosebit de importante și
provocatoare fiind actele (intenționate sau nu) produse de persoane din interiorul
sistemului (insiders) și vulnerabilitățile necunoscute anterior (zero-day vulnerability).
Totuși, în cazul unora dintre vulnerabilitățile cunoscute, la care există metode de rezolvare,
acestea nu pot fi implementate în multe cazuri din cauza constrângerilor bugetare sau
operaționale.
Un atac reușit poate compromite confidențialitatea, integritatea și disponibilitatea
unui sistem TIC și ale informațiilor pe care acesta le gestionează. Fenomene precum furtul
sau spionajul cibernetic pot duce la obținerea unor informații financiare, personale sau
profesionale, adesea fără cunoștința victimei. Atacurile de tip DoS (Denial-of-Service) pot
încetini sau împiedica accesul utilizatorilor legitimi la un sistem informatic. Printr-un
malware de tip botnet, un atacator poate comanda un sistem pentru a fi utilizat în atacuri
cibernetice asupra altor sisteme. Atacurile asupra sistemelor de control industriale pot duce la
distrugerea sau întreruperea echipamentelor pe carele controlează (generatoare, pompe,
centrale), cu efecte grave la nivel regional sau statal.
Cele mai multe atacuri cibernetice au un impact limitat, însă un atac de succes
asupra anumitor componente ale infrastructurii critice ar putea avea efecte semnificative
asupra securității naționale, economiei, mijloacelor de subzistență și siguranței cetățenilor.
Reducerea acestor riscuri implică, de obicei, eliminarea surselor de amenin țare, abordarea
vulnerabilităților și diminuarea impactului.
Deși este recunoscut că atacurile cibernetice pot fi costisitoare pentru indivizi și organizații,
impactul economic poate fi dificil de măsurat, iar estimările acestor impacturi variază foarte
mult.
Dacă în 2004 piața produselor și a serviciilor în domeniul securității cibernetice la nivel
global a
fost de 3,5 miliarde dolari, în 2017 se estimează la circa 120 miliarde dolari (o creștere de
aproape 35 ori în decursul a 13 ani). Cybersecurity Ventures estimează o sumă de 1 000
miliarde dolari, cumulată pe perioada 2017 - 2021, alocată pieței securității cibernetice.

73
Se observă o creștere substanțială, datorată în special extinderii continue a
infrastructurii TIC prin intermediul IoT (Internet of Things) și al altor platforme noi și
emergente.

Gestionarea riscurilor generate de atacurile cibernetice implică de obicei:

• eliminarea sursei amenințării (de exemplu, prin închiderea rețelelor de tip botnet);
• abordarea vulnerabilităților prin întărirea activelor TIC (prin patch-uri software sau
instruirea angajaților);
• diminuarea impactului prin atenuarea daunelor și restabilirea funcțiilor (de exemplu, prin
disponibilitatea unor resurse de rezervă pentru continuitatea operațiilor ca răspuns la un
atac).

Nivelul optim de reducere a riscurilor va varia în funcție de sectoare și

organizații. De exemplu, nivelul de securitate cibernetică pe care îl așteaptă clienții poate fi
mai mic pentru o companie din sectorul de divertisment decât pentru o bancă, un spital sau o
agenție guvernamentală.
Acțiunile legislative și executive sunt concepute în mare măsură pentru a aborda
câteva
necesități bine stabilite pe termen scurt și mediu în domeniul securității cibernetice:
prevenirea
dezastrelor și a spionajelor cibernetice, reducerea impactului atacurilor reușite,
îmbunătățirea colaborării inter și intra sectoriale, clarificarea rolurilor și a
responsabilităților agențiilor și combaterea criminalității informatice.
Aceste nevoi există în contextul provocărilor mai dificile pe termen lung legate de
proiectare, stimulente economice, consens și mediu:
• Proiectare: Experții consideră că o securitate eficientă trebuie să fie parte integrantă a
design-ului TIC. Cu toate acestea, din motive economice, dezvoltatorii se concentrează
în mod tradițional mai mult pe caracteristici și facilități și mai puțin pe securitate. De
asemenea, multe dintre nevoile viitoare de securitate nu pot fi estimate, ceea ce
reprezintă provocare dificilă pentru proiectanți.
• Stimulente: Structura stimulentelor economice pentru securitatea cibernetică este
distorsionată. Criminalitatea informatică este considerată ieftină, profitabilă și
relativ sigură pentru criminali. În schimb, securitatea informațiilor poate fi costisitoare,

74
 este prin natura ei imperfectă, iar rentabilitatea economică a investițiilor este adesea
nesigură.
• Consens: Securitatea cibernetică înseamnă lucruri diferite pentru diferiții actori
interesați, adesea fără o înțelegere totală și comună asupra sensului, implementării
și riscurilor. Există și impedimente culturale importante, nu numai între sectoare, ci și
în interiorul aceluiași sector sau în cadrul organizațiilor. Abordările tradiționale ale
securității pot fi insuficiente în spațiul cibernetic, dar consensul asupra alternativelor s-a
dovedit evaziv.
• Mediu: Spațiul cibernetic a fost numit cel mai rapid spațiu tehnologic în
evoluție din istoria omenirii, atât ca scară, cât și ca proprietăți. Proprietățile și
aplicațiile noi și emergente - în special echipamentele mobile și concepte precum
social media, big data, cloud computing sau IoT - complică și mai mult mediul
amenințărilor cibernetice, dar pot reprezenta și posibile oportunități de îmbunătățire a
securității informatice, de exemplu prin economiile oferite de cloud computing și
analizele big data.

Cercetarea și dezvoltarea în domeniul securității informatice pot îmbunătăți proiectarea TIC,

cadrul NIST (National Institute of Standards and Technology) poate facilita realizarea
unui consens privind securitatea cibernetică, iar inițiativele legislative în domeniul IT
(managementul și transferul datelor, media share, cloud computing și alte noi componente ale
spațiului virtual) pot contribui la îmbunătățirea securității cibernetice.

3.4 Vulnerabilitățile infrastructurilor cibernetice

Vulnerabilitatea este o slăbiciune a unui sistem hardware sau software ce permite

utilizatorilor neautorizați să obțină acces asupra sa. Principalele vulnerabilități în cadrul
sistemelor informatice sunt de natură fizică, hardware, software sau umană.
Sistemele informatice sunt vulnerabile în primul rând la atacurile clasice, atunci când un
atacator reușește să pătrundă fizic în incinta sistemelor de calcul și să sustragă
informații
confidențiale. Pentru a preîntâmpina acest lucru trebuie să se asigure securitatea fizică
a

75
echipamentelor de calcul prin plasarea acestora în zone sigure, restricționate
personalului
neautorizat. Accesul la aceste zone trebuie făcut prin folosirea interfoanelor, cardurilor de
acces
sau dispozitivelor de scanare a datelor biometrice pentru autentificarea utilizatorilor cu
permis de
intrare. O altă vulnerabilitate a sistemelor informatice o reprezintă dezastrele naturale
(cutremure, inundații, incendii) sau accidentele precum căderile de tensiune sau
supratensiunile ce pot duce la distrugerea fizică a echipamentelor de calcul. De aceea
trebuie avute în vedere și amplasarea echipamentelor pentru reducerea riscului față de
amenințările mediului înconjurător.
O atenție deosebită trebuie acordată componentelor hardware pentru ca acestea
să nu afecteze ulterior buna funcționare a sistemelor informatice. În cazul serverelor ce
furnizează servicii în Internet trebuie alese componente hardware tolerante la defectări
pentru a oferi disponibilitate serviciilor și datelor partajate în rețea și pentru a reduce riscul
vulnerabilităților de tip hardware. Aceste vulnerabilități sunt întâlnite cel mai des la
sistemele de stocare a datelor, fiind cele mai sensibile componente hardware. Din acest punct
de vedere se recomandă salvările de siguranță atât la nivelul informațiilor, cât și la
nivelul sistemului de operare, pentru repunerea rapidă a acestuia și a serviciilor
configurate în caz de defecțiune. Comunicațiile prin rețeaua Internet sunt nesigure.
Oricine se poate conecta la linia de comunicație și poate intercepta, altera sau chiar devia
traficul de date. Pentru a înlătura aceste
vulnerabilități se recomandă folosirea metodelor moderne de criptare astfel încât, în cazul în
care sunt interceptate, datele să nu poată fi decriptate.

Din punct de vedere software există mai multe tipuri de vulnerabilități:

• care măresc privilegiile utilizatorilor locali fără autorizație;
• care permit utilizatorilor externi să acceseze sistemul în mod neautorizat;
• care permit implicarea sistemului într-un atac asupra unui terț utilizator, de
exemplu atacul DDoS (Distributed Denial of Service).

O clasificare poate fi făcută după gradul de pericol pe care îl reprezintă

vulnerabilitățile

76
pentru sistemul informatic supus atacului.
Vulnerabilitățile de clasă C, cele care permit atacuri prin refuzul serviciilor, sunt
vulnerabilități ale sistemului de operare, în special ale funcțiilor de rețea. Aceste
vulnerabilități
permit utilizatorilor externi să altereze serviciile de rețea ale unui sistem informatic,
sau, în anumite cazuri, transformă sistemul victimă într-un sistem zombie ce va putea fi
implicat ulterior într-un atac de tip DDoS. Aceste vulnerabilități, dacă sunt exploatate, duc la
încetinirea sau la oprirea temporară a serviciilor de rețea oferite, cum este cazul unor servere
HTTP, FTP sau de poștă electronică. Vulnerabilitățile de clasă C nu sunt considerate foarte
grave deoarece implică doar alterarea serviciilor, nu și a datelor. Cu toate acestea, în
anumite domenii în care se pune accent mare pe disponibilitatea datelor, aceste
vulnerabilități reprezintă un risc ridicat.Vulnerabilitățile ce permit utilizatorilor locali să-și
extindă privilegiile fără autorizație, vulnerabilitățile de clasă B, ocupă o poziție medie pe
scara consecințelor. Prin aceste vulnerabilități, un utilizator cu un cont limitat va putea obține
privilegii de administrator în sistemul informatic respectiv. Tipurile de atac care permit
mărirea privilegiilor unui utilizator într-un sistem informatic sunt atacurile buffer overflow.
În urma unor erori de programare, unele aplicații alocă un spațiu insuficient de memorie
pentru stocarea informațiilor. În momentul în care spațiul de memorie este total ocupat,
informațiile ce depășesc spațiul alocat sunt stocate la o altă adresă din memorie.
Prin manevrarea acestor adrese, un atacator poate executa diverse comenzi cu
aceleași drepturi ca ale programului respectiv. Cum programul de regulă are drepturi de
administrator în sistemul de operare, atacatorul care exploatează vulnerabilitatea buffer
overflow poate executa comenzi în sistem cu drepturi de administrator. Vulnerabilitățile
de clasă B sunt considerate vulnerabilități grave deoarece pot permite accesul unor utilizatori
neautorizați la informații importante din sistem.
Vulnerabilitățile de tip A, cele mai grave pe scara consecințelor, permit utilizatorilor
externi accesul la sistemul informatic. Prin atacuri cu troieni sau viermi informatici se pot
deschide breșe în securitatea sistemului informatic prin care un utilizator extern se
poate conecta în mod neautorizat la sistem. Sunt considerate vulnerabilități deosebit de
grave deoarece permit accesul utilizatorilor la sistemul de operare și la baza de date a
sistemului, aceștia putând fura sau chiar șterge datele importante.

77
 Cauzele apariției vulnerabilităților într-un sistem informatic sunt multiple, câteva
dintre acestea fiind:
• erorile existente la nivelul sistemelor de operare sau al aplicațiilor;
• configurarea necorespunzătoare a sistemului de operare sau a aplicațiilor;
• cunoștințele limitate ale administratorilor de sistem sau de rețea;
• lipsa suportului dezvoltatorilor de software în rezolvarea erorilor identificate în
aplicațiile software.

Nu în ultimul rând, cele mai mari vulnerabilități sunt cele umane, date de personalul
ce se ocupă de configurarea și administrarea sistemelor informatice. Prin lipsa experienței sau
printr-o
documentare inadecvată privind anumite configurări ale sistemului de operare sau ale
aplicațiilor
instalate, securitatea cibernetică poate fi total compromisă. Un tip aparte îl reprezintă
vulnerabilitățile de tip zero-day, necunoscute dezvoltatorilor și furnizorilor de software și
care potfi exploatate de criminalii cibernetici.Orice sistem informatic are vulnerabilități,
astfel că putem spune că nu există un sistem 100% sigur. Aceste vulnerabilități sunt
folosite de multe tipuri de atacuri ce vizează un sistem informatic în mod direct, cum ar fi
atacurile de tip malware, sau indirect, în cazul implicăr implicării sistemului informatic
într-un atac de tip DDoS.

CURS SECURITATE CIBERNETICĂ:

SECURITATEA REŢELELOR ŞI A SISTEMELOR INFORMATICE

Capitolul 4

4. ASIGURAREA SECURITĂŢII SISTEMELOR INFORMAŢIONALE

PUBLICE ŞI PRIVATE

Cunoscută fiind importanţa securităţii fizice, în capitolul de faţă vor fi tratate iniţial
subcomponentele ei – amplasarea centrelor de prelucrare automată a datelor, securitatea

78
echipamentelor –, după care vor fi abordate aspecte ale securităţii softului şi personalului.
Sistemul, în integritatea sa, va avea un tratament special, într-un paragraf distinct, iar altul va
prezenta responsabilităţile dintr-o organizaţie pe linia prelucrării automate a datelor. Ca
obiective, ne dorim de la cititorii noştri:
• dobândirea de cunoştinţe privind securitatea locului de amplasare a centrelor
de prelucrare;
• cunoaşterea modalităţilor de asigurare a securităţii echipamentelor şi softului;
• familiarizarea cu măsurile ce vizează securitatea pe linia personalului;
• identificarea principalelor metode de asigurare a securităţii la nivelul
sistemului informatic;
• crearea suportului necesar pentru aplicarea măsurilor administrative pe linia
securităţii.

4.1 Securitatea locului de amplasare a centrelor de prelucrare a datelor

Despre măsuri speciale de asigurare a securităţii centrelor de prelucrare automată a

datelor există numeroase materiale în literatura de specialitate, îndeosebi străină. Nu ne
propunem să prezentăm în detaliu toate aspectele legate de această problemă, ci doar pe cele
mai edificatoare.

4.1.1 Alegerea amplasamentului centrelor de calcul

Problema amplasării corecte a centrului de calcul nu intră în atribuţiile responsabilului

cu securitatea sistemului. De regulă, centrele de calcul se amplasează în clădiri special
construite, preferându-se terenurile virane. Totuşi, practica demonstrează că, de cele mai
multe ori, centrele de calcul se amplasează în clădiri construite cu alt scop, în care au mai fost
sau nu folosite calculatoare şi care dispun sau nu de sisteme de protecţie speciale. De
asemenea, clădirile sunt folosite şi în alte scopuri, găzduind mai multe servicii ale aceleiaşi
unităţi sau chiar mai multe unităţi, cu activităţi diferite, uneori chiar de ordinul sutelor, cum a
fost cazul World Trade Center. În astfel de situaţii, apar anumite restricţii, unele
imperfecţiuni, motiv pentru care trebuie să se ia în considerare următoarele aspecte:

79
 1. Locul de amplasare să fie pe un teren solid, fără riscul alunecărilor, nu deasupra
tunelurilor, a sistemelor principale de colectare a apei reziduale sau a altor
elemente de risc.
2. Nivelul faţă de cotele de inundaţie trebuie să fie evident.
3. Mediul de amplasare, de asemenea, nu trebuie să fie afectat de cutremure,
zgomote, vibraţii, câmpuri electromagnetice (ale radarelor) sau de poluare a
aerului. Zona trebuie să fie liniştită, şi nu una cunoscută pentru numeroasele
incidente sociale. Vecinii sunt liniştiţi? Cu ce se ocupă?
4. Cum funcţionează serviciile de utilităţi în zona de amplasare? Curentul şi apa au
un regim sigur de funcţionare? Drumurile în ce stare sunt? Serviciile speciale de
intervenţie (pompieri, salvare, poliţie) sunt amplasate în apropiere? Au experienţa
pentru a interveni în cazul unor incidente dintr-un centru de calcul?
5. Zona de amplasare trebuie să fie suficient de mare, astfel încât în preajma clădirii
să existe, pe orice latură, cel puţin 10 metri de spaţiu liber, iar parcările să nu fie
mai aproape de 30 de metri.
Dacă ar fi posibil, se recomandă ca întreaga clădire a centrului de calcul să fie
înconjurată din toate părţile de clădirile firmei, izolând-o, în acest mod, de lumea din afară.

4.1.2 Proiectarea centrului de calcul

După alegerea locului de amplasare, se poate trece la schiţarea machetei clădirii care
să găzduiască sistemul electronic de calcul. Cât ar fi de entuziaşti proiectanţii, îndeosebi
arhitecţii, uneori, în afara gustului lor deosebit pentru estetic, trebuie rugaţi să mai respecte şi
alte elemente, şi anume:
1. Clădirea trebuie să fie una solidă, realizată din materiale neinflamabile. Sala
calculatorului central (a serverelor) se recomandă să nu aibă ferestre şi pe absolut
toate părţile să fie înconjurată de alte săli ale centrului de prelucrare respectiv.
2. Numărul intrărilor şi ieşirilor din clădire trebuie să fie minim, respectându-se,
totuşi, normele pe linie de stingere a incendiilor. Pentru introducerea în clădire a
echipamentului şi a mobilierului mare se poate proiecta o intrare specială, dar ea
nu va fi folosită şi pentru persoane. Intrarea principală a acestora trebuie să

80
 dispună şi de o aşa-zisă „zonă tampon”, unde să aibă loc procedurile de control şi
acceptare a intrării în unitate.
3. Cheile, îndeosebi cele ce înlesnesc accesarea mai multor puncte de intrare, trebuie
să fie tratate cu acelaşi interes ca şi lucrurile sau informaţiile protejate. Toate
cheile se dau numai sub semnătură persoanelor ce le primesc, întocmindu-se, în
acelaşi timp, şi un registru special al posesorilor de chei, care, la rândul lor, vor
prezenta şi autorizarea posesiei cheilor.
4. Parterul şi etajul întâi, pe cât posibil, nu trebuie să aibă ferestre externe pentru a
se evita intrarea prin forţarea lor, iar, dacă există, se recomandă ca ele să fie
realizate din cărămizi de sticlă, cărora li s-ar putea adăuga măsuri suplimentare
(cadre metalice) de protecţie.
5. Sălile cu calculatoare nu se recomandă să fie amplasate la demisolul clădirii.
Locul ideal de amplasare începe cu parterul, el fiind cel mai lejer mod de accesare
din punctul de vedere al personalului, dar şi de eventualii intruşi, motiv pentru
care etajul unu este cel mai sigur.
6. În interiorul centrului trebuie să se efectueze o judicioasă compartimentare a
spaţiului, nepermiţându-se accesul direct al nici uneia dintre camere. Este cazul
bibliotecii de suporturi, sălii calculatorului, celei de pregătire date, al zonei
imprimantelor, al birourilor administrative, al birourilor programatorilor ş.a. Se
recomandă ca accesul în astfel de zone să fie facilitat prin sisteme de chei
electronice.
7. Clădirile trebuie să fie prevăzute cu sisteme de alarmă în caz de incendiu sau de
pătrundere neautorizată. Sistemele de alarmă trebuie să fie amplasate în zona
intrării principale în clădire şi din motivul supravegherii continue a lor.
Supravegherea zonei exterioare a clădirii şi a principalelor locuri din interior se
va realiza prin sistemul de televiziune cu circuit închis sau prin monitoare de
supraveghere continuă. Lor li se adaugă şi corpuri speciale de pază.
8. Un rol deosebit îl vor avea procedurile de verificare a sistemelor de alarmă,
precum şi cele de răspuns în caz de incident, numindu-se comandamente speciale
în acest scop. Foarte importantă este descoperirea alarmelor false de incendiu,
produse numai cu scopul creării condiţiilor de derută în sistem, astfel încât acesta
să fie atacat cu uşurinţă de către intruşi.

81
 9. Se impune crearea unui sistem sigur de control al securităţii transportului unor
resurse (suporturi magnetice, rapoarte, documentaţie ş.a.). Persoana care
efectuează transportul trebuie să aibă autorizare specială.
10. . Un control special se impune şi pentru preîntâmpinarea deplasării neautorizate a
unor componente din sistem.
11. Sistemele de asigurare a serviciilor de furnizare a apei, energiei electrice, gazului
şi facilităţile de comunicaţii trebuie să fie amplasate subteran. Canalele de acces
la ele trebuie să fie, de asemenea, încuiate şi supravegheate. Conductele de apă şi
sistemul de canalizare nu trebuie să traverseze spaţiile ce găzduiesc averile
informatice ale firmei, ci să le înconjoare. Dacă ocolirea nu este posibilă, se
impune montarea unor ventile suplimentare.
12. Copiile de siguranţă trebuie să fie păstrate în clădiri speciale, la cel puţin 100 de
metri de cea a centrului de prelucrare a datelor.
13. O atenţie deosebită se va acorda şi tablourilor de control căldură, aer condiţionat,
linii telefonice şi transformatoarelor de curent electric.
14. Hârtia va fi depozitată departe de sala calculatorului, iar resturile de hârtie trebuie
să aibă tratamentul descris anterior.
15. . În sala calculatorului sunt interzise fumatul şi consumul de lichide şi mâncare.
Pentru păstrarea ţigărilor, chibriturilor, brichetelor vor fi create locuri speciale, în
afara sălii calculatorului.
16. Sistemele de control al prafului sunt deosebit de importante, îndeosebi în sala
calculatorului, recomandându-se pardoseala electrostatică din policlorură de
vinil şi evitându-se lemnul din configuraţia sălii, precum şi covoarele şi perdelele.
Echipamentele, care prin funcţionare produc şi impurităţi, trebuie să fie amplasate
cât mai departe de echipamentele foarte sensibile.

4.1.3. Protecţia şi securitatea mediului de lucru al calculatoarelor

Serviciile şi utilităţile dintr-un centru de prelucrare automată a datelor joacă un rol

foarte important în configuraţia sistemelor, constituind de multe ori punctele nevralgice ale
acestora. Proasta funcţionare a lor paralizează şi cele mai performante echipamente de
prelucrare automată a datelor şi din această cauză se recomandă luarea unor măsuri
suplimentare, dintre care amintim:

82
 1. Lumina. Comutatoarele şi tablourile electrice trebuie să fie numai sub controlul
personalului sistemului, iar generatoarele proprii de energie trebuie să intervină în
cazul căderii sistemului normal de furnizare a ei. Printre măsurile şi mai riguroase
figurează apelarea la acumulatoare sau baterii, folosite numai pentru iluminat, când
toate sursele de curent alternativ nu mai pot fi utilizate.
2. Căldura. Limitele de temperatură trebuie să fie respectate cu stricteţe, conform
recomandărilor producătorilor, de regulă între 19-24 grade Celsius.
3. Sistemul de aer condiţionat. Chiar şi sistemele foarte moderne funcţionează optim
numai în anumite condiţii de temperatură şi umiditate. Se recomandă un sistem
propriu de aer condiţionat pentru întreaga zonă de prelucrare automată a datelor.
4. Furnizarea energiei electrice. De regulă, sistemul energetic este destul de sigur, dar
se impune utilizarea unor generatoare suplimentare de energie, a UPS-urilor, a
filtrelor de tensiune ş.a.

Una dintre recomandările anterioare se referea la evitarea construirii clădirilor din

materiale uşor inflamabile. În plus, mai pot fi adăugate următoarele sfaturi:
• evitarea depozitării hârtiei în sala calculatorului;
• păstrarea loturilor mari de hârtie în locuri îndepărtate de sala calculatorului, iar
pentru prelucrările zilnice ele să fie cât mai mici;
• asigurarea unei curăţenii exemplare în sala calculatorului.

Paza împotriva incendiilor trebuie să fie în responsabilitatea unor persoane special

desemnate, dar, la fel de bine, se va conta pe sprijinul autorizat al comandamentului
pompierilor din localitate. Numai cu acceptul acestora vor fi iniţiate toate măsurile de pază
împotriva incendiilor, cum sunt:
1. Utilizarea uşilor şi pereţilor rezistenţi la incendiu. Ele trebuie să reziste sub foc
cel puţin o oră. Uşile trebuie să fie suficiente ca număr pentru a asigura
părăsirea cât mai rapidă a clădirii, dispunând de semnale optice luminoase,
indicatoare de sens, care să funcţioneze pe bază de baterii. Sistemul de aer
condiţionat, dacă devine un real pericol prin funcţionarea sa, trebuie să se
blocheze automat, dar să se şi deblocheze atunci când este necesară eliminarea
fumului.

83
 2. Se va întocmi un plan de intervenţie în caz de incendiu, în care se vor cuprinde
condiţiile de evacuare, de stingere a incendiului şi de protejare a valorilor
deosebite din sistem. Personalul va fi instruit în acest sens.
3. Asigurarea cu echipamente şi materiale speciale pentru intervenţie în caz de
incendiu, un rol aparte avându-l stingătoarele de incendii electrice şi ne-
electrice. Personalul trebuie să le cunoască. De regulă, pentru incendiile la
instalaţiile electrice se recomandă stingătoarele bazate pe bioxid de carbon, iar
gazul se stinge cu apă.
4. Instalarea în toată clădirea a detectoarelor de fum şi de temperaturi foarte
ridicate. Ele au rol de semnalizare şi depistare a momentului în care să se
declanşeze sistemul de luptă împotriva incendiilor (în sala calculatorului este
cunoscut sistemul de stingere bazat pe gaz halogen, cu rol de protejare a
echipamentelor de prelucrare automată a datelor). Se recomandă şi
stingătoarele cu apă, dar numai atunci când incendiul ia proporţii şi nu mai
contează dacă echipamentele vor fi afectate mai mult sau mai puţin.
5. Orientarea preocupărilor şi spre celelalte zone importante ale centrului, nu
numai asupra sălii calculatorului. Uneori sursele de incendii sunt mai
numeroase în afara sălii calculatorului.

4.2 Securitatea echipamentelor

Datorită importanţei lor deosebite, componentele sistemelor electronice de calcul

trebuie să beneficieze de un tratament aparte.
Se ştie că o cale sigură de compromitere a securităţii unui sistem electronic de calcul
este de natură fizică, modificându-i anumite elemente din configuraţie astfel încât, faţă de
configurarea dată de utilizator, să se creeze căi de acces pentru cei rău intenţionaţi sau să se
blocheze mijloacele de asigurare a securităţii sistemului. În acest sens, se pot modifica
circuitele electronice, se pot adăuga mici „şmecherii” (circuite cu rol special, emiţătoare,
microfoane), se pot realiza derivaţii ale canalelor de comunicaţie, pot fi scurt-circuitate
componentele cu rol de protecţie, citirea pe ascuns a memoriei în care sunt păstrate parolele
sistemului, scoaterea controlului existent pe terminale pentru depistarea pătrunderilor
neautorizate.

84
 Echipamentele, în pofida reclamei făcute de producători, sunt predispuse la căderi, fie
datorită unor defecţiuni de fabricaţie, fie instalării greşite, fie datorită defectării în timpul
transportului. Dar, cel mai grav, echipamentele pot „cădea” în timpul exploatării lor,
devenind atât ele, cât şi datele conţinute în memorie inutilizabile. Uneori şi softul cu care se
lucrează poate fi pierdut.
Sunt dese cazurile când echipamentele nu au certificat de origine, fie în întregime, fie
numai pentru unele dintre miile de componente din structura lor. Incertitudinea aplanează
asupra a ceea ce s-a cumpărat şi consecinţele sunt şi mai grave atunci când distribuitorul este
un ilustru necunoscut.
Întreţinerea sau depanarea sistemului sunt asigurate, de regulă, de specialişti din afară.
Cu multă uşurinţă ei pot realiza toate operaţiunile menţionate anterior pentru paralizarea
sistemului.
Apărarea împotriva tuturor pericolelor descrise are un rol vital în buna funcţionare a
sistemului. Totuşi, trebuie pornit de la faptul că toate componentele sistemelor, la rândul lor,
pot dispune de elemente proprii de asigurare a securităţii.

4.2.1 Asigurarea echipamentelor împotriva intenţiilor de modificare a lor

Toate componentele sistemelor de prelucrare automată a datelor trebuie protejate, fie

împotriva hoţilor, fie a vandalilor. Sunt unele elemente care necesită însă o grijă deosebită.
De exemplu, terminalele nu sunt la fel de importante ca şi calculatorul central sau serverele
sistemului.
Echipamentele pot fi protejate împotriva modificării lor astfel:
• Birourile ce conţin hardware trebuie să fie încuiate, sigilate cu benzi de hârtie
sau cu plumb. Sigiliile vor fi verificate periodic pentru depistarea accesului
neautorizat. Cele mai moderne sigilii sunt cele holografice care conţin imagini
unice, imposibil de recreat.
• Echipamentele trebuie să fie, pe cât posibil, mai dispersate, îndeosebi în cazul
lucrului cu informaţii speciale.
• Elementele din configuraţia fizică a sistemului care sunt deosebit de
importante, cum ar fi cazul plăcii cu circuite, pot fi fotografiate la intervale
regulate de timp pentru a compara fotografiile mai multor perioade în vederea
depistării eventualelor modificări.

85
 Este posibil ca fiecare echipament periferic să aibă atribuit un număr unic de
identificare, interpretabil de către calculator la deschiderea sesiunii de lucru şi confirmat
ulterior când se solicită o operaţiune la/de la perifericul respectiv. Fiecare imprimantă,
terminal sau legătură din reţea trebuie să aibă definite categoriile de informaţii cu care pot
lucra sau funcţiile din sistem ce se realizează prin intermediul lor. Numerele unice de
identificare înlesnesc tratarea diferenţiată a perifericelor sau a celorlalte componente. De
exemplu, terminalele amplasate în diverse locuri din unitate, pentru a veni în sprijinul
oricărui utilizator comun al firmei, nu trebuie să aibă şi dreptul de accesare a sistemului de
operare al calculatorului central sau să restaureze date în scopul manipulării lor. De
asemenea, imprimantele din diverse birouri nu pot folosi datele secrete care au un regim sever
la tipărire.
O măsură suplimentară de control va consta în stabilirea momentelor din zi când un
echipament periferic sau un utilizator a accesat sistemul. Oricum nu este recomandat să se
permită angajaţilor firmei să lucreze peste program, iar când aceasta se impune va fi sub un
control riguros.

4.2.2 Controlul integrităţii echipamentelor

Calculatoarele pot să-şi verifice singure starea în care se află celelalte componente,
prin autodiagnoză, astfel încât să poată descoperi ce nu funcţionează cum trebuie. Printre
activităţile realizate de calculatoare vor fi verificarea modului de lucru, inclusiv urmărirea
funcţiilor de realizare a securităţii sistemului, precum şi facilităţile de control al accesului.
Autodiagnoza este utilă pentru:
• confirmarea cu precizie a identităţii echipamentelor, suporturilor şi
utilizatorilor -elementele de bază ale sistemului;
• verificarea dacă utilizatorii folosesc doar echipamentele, softul şi datele la care
ei au acces de drept şi preîntâmpinarea accesului neautorizat;
• asigurarea că orice tentativă de acces sau utilizare neautorizată a
echipamentelor, softului sau datelor este blocată şi că supraveghetorii
sistemului vor fi anunţaţi imediat.
Simpla realizare a funcţiilor de mai sus nu înseamnă neapărat şi perfecţiunea
sistemului de securitate, dar constituie suficiente măsuri de apărare a sistemului împotriva
atacurilor rău intenţionate.

86
 Există şi producători de calculatoare care asigură facilităţi de diagnoză de la distanţă a
stării sistemului, ceea ce în mod normal se realizează de către echipele de service, pentru a se
asigura că totul funcţionează corect şi că nu se conturează posibilitatea apariţiei unor
defecţiuni. O astfel de metodă este benefică pentru unitate, întrucât duce la reducerea
costurilor şi se realizează mult mai rapid decât în varianta apelării la inginerii de întreţinere.
Totuşi, diagnoza de la distanţă este destul de periculoasă pentru securitatea sistemului,
intruşilor oferindu-li-se o şansă în plus să acceseze orice element din configuraţie, aceştia
având la dispoziţie o linie specializată. Aşadar, aparentul cost redus poate să însemne pierderi
mult mai mari.

4.2.3 Proceduri de întreţinere a echipamentelor

Activităţile de întreţinere şi reparare a oricărui echipament pot genera o mulţime de

semne de întrebare privind siguranţa, securitatea şi disponibilitatea datelor din sistem. Din
această cauză este foarte important să se controleze accesul la echipamente şi software şi să
se supravegheze îndeaproape specialiştii care asigură întreţinerea sau repararea sistemului.
O primă măsură va consta în deschiderea unui registru de întreţinere, în care să se
înregistreze toate detaliile privind o astfel de activitate. Ele se vor referi la data şi timpul
efectuării lor, numele tehnicienilor, motivul vizitei lor, acţiunile şi reparaţiile ce au avut loc,
inclusiv componentele hard care au fost adăugate, reparate, înlocuite sau reînnoite. Fiecare
înregistrare din registru va fi contrasemnată de responsabilul cu securitatea sistemului.
Registrul trebuie să fie consultat periodic pentru descoperirea eventualelor nereguli.
Ca şi în cazul diagnozei de la distanţă, în timpul întreţinerii sau reparării sistemului
trebuie să fie scoase datele şi softul de pe benzi sau pe discuri de orice tip, iar cele din
memoria principală, de asemenea, salvate, reiniţializându-se sistemul numai în acest scop.
Specialiştilor ce efectuează întreţinerea nu trebuie să li se înlesnească accesul la datele
speciale ale unităţii, în mod deosebit la parolele acesteia.
Dacă sistemul este defect şi măsurile de precauţie enumerate nu mai pot fi luate, se
recomandă ca specialiştii unităţii să fie alături de cei ce asigură întreţinerea pentru a şti cu
exactitate ce anume efectuează. În acest scop, ei chiar pot fi întrebaţi de ce efectuează
operaţiunile respective.
Activităţile de întreţinere trebuie să aibă un plan, în totală concordanţă cu planul de
funcţionare al întregului sistem. De regulă, producătorii specifică termenele la care să se

87
realizeze întreţinerea fiecărei componente. Numai responsabilul sistemului poate accepta
efectuarea unor operaţiuni înainte de termen, precum şi repararea, înlocuirea sau înnoirea
unor elemente din sistem.
Se recomandă ţinerea evidenţei materialelor de rezervă, chiar a imprimantelor,
terminalelor sau monitoarelor, iar consumabilele să fie comandate la timp pentru a nu se
produce disfuncţionalităţi în sistem.
Testarea securităţii sistemului trebuie să se realizeze înainte ca acesta să înceapă
prelucrarea datelor reale ale unităţii.
Numele specialiştilor în întreţinere, precum şi al furnizorilor de utilităţi, trebuie să fie
afişate la vedere pentru o contactare a lor în orice moment, de către persoanele autorizate să
facă acest lucru.
Dacă inginerii de întreţinere solicită scoaterea din unitate a unor componente sau a
documentaţiei firmei, în primul rând, trebuie să ne asigurăm că ele nu conţin date importante
ale firmei. Este mult mai recomandat ca datele aflate pe unele suporturi să fie distruse, decât
să se mizeze pe discreţia specialiştilor. Costă mai mult, dar e mai sigur.
„Cârpirea” softului este o altă problemă importantă. Sunt cazuri când trecerea peste un
punct din program va duce la funcţionarea lui corectă în continuare, dar nimeni nu ştie exact
cum funcţionează. Şi încă ceva: depinde şi de cine face „cârpeala” programului şi cu ce scop.
Şi astfel de operaţiuni se scriu în registrul de întreţinere.

4.2.4 Toleranţa la cădere a echipamentelor

Cel mai cunoscut este sistemul din aviaţie care, în cazul când o componentă se
defectează, dispune de alta care să-i preia funcţia. Unele piese, cum sunt cele de control al
zborului sau a componentelor hidraulice, au câteva piese înlocuitoare, astfel încât o catastrofă
majoră ar putea să apară numai după ce toate aceste piese de siguranţă s-au defectat.
Toleranţa la cădere a avioanelor este asigurată astfel încât să nu aibă loc prăbuşirea lor.
În cazul calculatoarelor aceasta este o calitate foarte importantă, absolut vitală pentru
existenţa sistemelor performante. Toleranţa la cădere sau la defecte trebuie să contribuie la
prevenirea pierderilor sau denaturării datelor şi, pentru aceasta, orice apăsare de tastă trebuie
să fie înregistrată undeva, astfel încât să poată fi restaurată prin anumite proceduri. Toleranţa
la cădere trebuie să facă în aşa fel încât să permită funcţionarea sigură, controlată şi
supravegheată, în timpul reparării, asigurându-se astfel funcţionarea continuă a calculatorului

88
care a înregistrat o defecţiune, chiar şi una majoră, în timp ce se lucrează pentru îndepărtarea
ei. În practică, aşa-ceva este destul de greu de realizat, dar, dacă numărul componentelor cu
rol vital în existenţa sistemului s-ar reduce şi ar avea mai mulţi înlocuitori, operaţiunea este,
totuşi, posibilă.
În sensul celor spuse până acum, sunt tipuri de calculatoare care funcţionează cu două
unităţi centrale de prelucrare, în tandem, ambele prelucrând în acelaşi timp aceleaşi date şi
programe. Pe această cale, la eventuala cădere a uneia dintre ele, cealaltă va funcţiona singură
până când a doua va fi repusă în funcţiune. Echipamentele sunt amplasate în săli apropiate şi
folosesc aceleaşi condiţii de lucru, cum ar fi: aer condiţionat, linii de comunicaţie, tipuri de
unităţi de bandă şi de discuri, surse de energie electrică şi alte utilităţi. Cât timp majoritatea
sistemelor cad din cauza unei plăci de memorie sau de circuite logice sau din cauza unor mici
incidente înregistrate la softul de sistem sau de aplicaţii, funcţionarea în tandem evită căderea
sistemului în întregime.
Alte componente ale sistemelor electronice de calcul sunt astfel construite încât să-şi
exercite unele funcţii în formă dublă. Un exemplu îl oferă metoda înregistrării „în oglindă” pe
disc, prin care două discuri sunt scrise în acelaşi timp pentru prevenirea pierderilor de date,
dacă s-ar defecta capetele de citire-scriere ale unuia.
Echipamentele folosite în condiţii dificile, cum sunt cele mobile din domeniul militar,
sunt amplasate în containere speciale, deosebit de rezistente la şocuri, apă şi praf. Sistemul de
cablare va fi protejat prin ţevi metalice, iar căderile de energie vor fi suplinite de un sistem
energetic propriu.
Toate măsurile luate pentru eventualele căderi trebuie să fie în deplină concordanţă şi
cu importanţa întregului sistem de prelucrare automată a datelor.

4.2.5 Contractele

Unul dintre cele mai neplăcute momente referitoare la configuraţia sistemului îl

reprezintă lungile discuţii purtate cu cei ce le-au livrat, atunci când sistemul se defectează sau
nu funcţionează la parametrii aşteptaţi. Sunt cunoscute suficiente mici necazuri din lumea
calculatoarelor, numai că producătorii de sisteme n-au nici un interes să le popularizeze, fie
din dorinţa de a nu-şi păta reputaţia, fie mizând pe faptul că ele nu vor fi uşor sesizate.
Aproape că a devenit o regulă supraestimarea caracteristicilor calculatoarelor.
Vânzătorii sunt, de cele mai multe ori, nesinceri sau prea încrezători în produsele ce le

89
comercializează, imboldul venind de la producători, care îşi prezintă produsele ca fiind cele
mai bune, în raport cu ale concurenţilor de pe piaţă.
De vină sunt şi beneficiarii care, deseori, subestimează sau nu cunosc ceea ce vor. De
cele mai multe ori, vor sistemele cele mai ieftine, dar îşi schimbă părerea când le pun în
funcţiune, ajungând la concluzia că era mai bine dacă acesta ar dispune şi de nişte funcţii ale
căror beneficii le simte nevoia.
Totul s-ar termina cu bine dacă, din fazele incipiente ale procurării sistemului, s-ar
concepe contracte care să scutească toate părţile de discuţii interminabile.
Din prima fază, clientul trebuie să ofere distribuitorului de sisteme următoarele
elemente:

1. O foarte clară definire a sistemului dorit:

a) descrierea funcţiilor solicitate acestuia şi componentele cu rol
prioritar din structura sa. Dacă este nevoie de un procesor de texte,
atunci trebuie cerut aşa-ceva, dacă se cere un soft de birotică, trebuie
menţionat ca atare; oricum, nu trebuie să ne aşteptăm ca un soft de un
tip anume să ne onoreze toate pretenţiile de prelucrare automată a
datelor;
b) descrierea intenţiilor de extindere a sistemului în viitor,
îndeosebi dacă se vrea crearea unei reţele de calculatoare;
c) detalii privind gradul de încărcare a sistemului în perspectivă,
specificându-se numărul utilizatorilor, tipul activităţilor de executat,
cerinţele reţelei, importanţa ce o va avea sistemul şi, de aici, cerinţele
pe linie de întreţinere şi reparare a lui.
2. Stabilirea nivelului de securitate dorit în sistem, astfel încât furnizorul să ştie ce să
ofere.
3. Păstrarea tuturor documentelor referitoare la negocierile cu furnizorul de componente.
Se poate merge până acolo încât să se specifice minutele de întâlniri, comentariile şi
observaţiile de pe parcurs, conversaţiile telefonice, cu data corespunzătoare, cât timp
au durat şi cu cine s-au purtat, ce literatură s-a consultat, ce prezentări au fost făcute
de către furnizor ş.a.

90
 4. Cuantificarea, dacă este posibilă, a efectelor defectării totale a sistemului sau a
nefuncţionării lui la parametrii promişi. Furnizorii trebuie să ia cunoştinţă de aceste
efecte.
5. Se vor consemna toate elementele descrise anterior într-o comandă proforma sau într-
o cerere de ofertă, astfel încât furnizorul să ştie din timp ce trebuie să ofere sistemul şi
să facă promisiunea onorării tuturor cerinţelor.
6. De asigurat că serviciile garantate prin contract pot fi onorate într-un timp bine
determinat, stabilind cu exactitate ce misiuni revin specialiştilor, definind obligaţiile
contractuale, responsabilităţile şi termenele de plată. De toate aceste aspecte trebuie să
se ocupe o persoană ce va fi numită în acest sens.

4.3 Securitatea software-ului

Softul unui calculator cuprinde instrucţiunile sub care funcţionează întregul sistem.
Aceste instrucţiuni, sub formă de programe, îi vor spune calculatorului ce trebuie şi ce nu
trebuie să facă cu datele, cum să le păstreze, ce regim au ieşirile din prelucrările intermediare
sau finale. Întreaga activitate a calculatorului se va realiza prin intermediul programelor.
Calculatorul nu poate gândi nicidecum. Din această cauză în soft vor fi incluse şi unele
măsuri pe linia realizării securităţii.

4.3.1 Obiectivele securităţii prin software

Există trei funcţii principale pe care softul trebuie să încerce a le asigura. Ele se referă
mai de grabă la confidenţialitatea datelor, decât la integritatea sau disponibilitatea lor.
• Accesul. Softul trebuie să discearnă între utilizatorii autorizaţi şi intruşi, iar în
ultimul caz să le blocheze accesul.
• Delimitarea. Softul trebuie să delimiteze diversele activităţi ale utilizatorilor şi
să îi trateze după nivelul lor de autorizare la categoriile speciale de date ce
urmează a fi prelucrate. Ca atare, şi baza de date va fi compartimentată după
reguli foarte riguroase pe linia securităţii sistemului.
• Auditarea. Poate mai clar ar fi „proba auditării”, întrucât a treia funcţie se referă
la capacitatea sistemului de a reţine ce persoane, cât timp, cu ce date au lucrat şi
ce au urmărit.

91
Un soft de sistem eficient trebuie să blocheze relele intenţii, să prevină accesul neautorizat şi
să înregistreze tot ce efectuează pentru a avea ulterior forţă probantă.

4.3.2 Limitele softului pentru asigurarea securităţii

O lungă perioadă de timp, de problemele securităţii sistemelor electronice de calcul s-

au ocupat doar persoanele implicate în prelucrarea automată a datelor, însă de mai mult timp
se simţea nevoia transferării lor în zona softului sistemelor, mutaţie ce a avut loc, dar căreia
imediat a şi început să i se aducă obiecţiuni de genul:
• softul este foarte scump. Chiar şi programele destul de simple ocupă mii de
linii-program, toate realizate de către om, dar cele de asigurare a securităţii
sunt deosebit de complexe şi, firesc, de scumpe;
• de regulă, programele conţin şi erori;
• testele de verificare a lor nu sunt perfecte;
• softul pentru securitate diminuează capacităţile şi viteza de lucru a întregului
sistem;
• producătorii de hard şi soft nu dispun de standarde pe linia securităţii
sistemelor;
• utilizatorii nu au cunoştinţe suficient de detaliate despre hard şi soft încât să
poată sesiza cele mai inteligente subtilităţi cu intenţie de fraudă incluse în
softul cumpărat;
• eventualele disfuncţionalităţi ale softului pentru securitatea sistemului oferă
posibilitatea specialiştilor în întreţinerea sistemului să intre în intimitatea lui,
deci şi să-l poată influenţa;
• poate lucra perfect doar „la suprafaţă”, el conţinând aspecte esenţiale
compromiţătoare invizibile;
• softul poate să conţină pericole deosebit de mari care nu pot fi sesizate şi nici
nu sunt periculoase o lungă perioadă de timp de la instalarea lui (bombele
logice, caii troieni ş.a.);
• „loviturile” prin soft sunt insesizabile prin mijloacele obişnuite de percepţie
ale omului;
• în final, datorită curentului sistemelor deschise, a conectării într-o mare
varietate de reţele şi a gestionării unor baze de date masive de către mii de

92
 persoane, măsurile de realizare a securităţii prin software pentru aceste sisteme
gigant sunt extrem de greu de realizat.
În aceste condiţii, când cheltuielile sunt foarte mari, când cu mare greutate se asigură
o oarecare doză de încredere în soft, apar ca fiind mai ieftine şi mai eficiente alte măsuri de
realizare a securităţii sistemelor de prelucrare automată a datelor. Chiar dacă softul joacă un
rol destul de important, nicidecum nu trebuie neglijate şi alte modalităţi. Până şi furnizorii
spun că virtuţile softului sunt relativ dependente de calităţile beneficiarului, dar că măsuri
sigure sunt cele de încuiere a uşilor, de urmărire a personalului ş.a.
Cât timp nici cele mai importante sisteme de prelucrare automată a datelor, cum sunt
cele din domeniul militar sau bancar, nu au protecţie de 100%, apare ca o necesitate
stringentă apelarea şi la alte metode. Şi încă un detaliu: cât timp hoţii au demonstrat că sunt
mai puternici decât producătorii softului de securitate, cum să existe o încredere mai mare în
ultimii, deci şi în produsele lor !?!

4.3.3 Măsuri generale de asigurare a securităţii softului

Practica menţionează o întreagă serie de măsuri de protejare a sistemului de operare şi

a altor programe de la distrugeri sau acţiuni subversive, după cum urmează:
• toate activităţile de programare (modificare, scriere, utilizare etc.) trebuie să
fie executate sub cele mai riguroase norme de disciplină, consemnate în scris
la nivel de unitate şi prin contractul de angajare. Controlul activităţii de
programare este foarte important pentru viitorul unităţii;
• programele deosebit de importante şi documentaţia aferentă trebuie să fie
supuse aceloraşi reguli de protecţie fizică aşa cum au şi calculatoarele pe care
se rulează;
• copiile de siguranţă ale programelor şi datele corespunzătoare, bineînţeles că
nu trebuie uitată şi documentaţia, trebuie să fie păstrate în aceleaşi condiţii ca
şi originalele;
• etapele realizării programelor trebuie să fie derulate sub un riguros control,
verificate şi testate în toate stadiile de realizare, pentru asigurarea încrederii în
rezultatul final;
• întregul proces de elaborare a programelor trebuie să fie însoţit de
documentaţia aferentă;

93
• realizarea programelor se va efectua pe calculatoare care nu execută şi alte
activităţi în acelaşi timp;
• programele trebuie să fie însoţite de numele realizatorilor lor sau ale celor ce
le-au adus unele modificări;
• benzile şi discurile ce conţin sistemul de operare trebuie să fie identificabile
dintr-o privire din multitudinea de suporturi de date, iar accesul la ele trebuie
să fie foarte limitat, conform principiului „trebuie să ştie”;
• o copie de bază a sistemului de operare trebuie să fie păstrată în condiţii sigure
de către responsabilul sistemului şi cel cu securitatea, sistemul de operare în
uz fiind o copie a
• acesteia, cu care, din când în când, se confruntă pentru a se depista eventualele
modificări neautorizate;
• se impune utilizarea a cât mai multor teste şi rutine de securitate pentru a
verifica integritatea sistemului de operare în folosinţă;
• nu trebuie să se permită crearea copiilor softului sistemului de operare de către
personalul care utilizează sistemul, îndeosebi cel ce lucrează la distanţă. În
acest scop, chiar sistemul de operare trebuie să conţină măsuri de autoprotecţie
la intenţiile de copiere;
• orice „fisură” a sistemului de operare trebuie să fie adusă la cunoştinţă
proiectanţilor sistemului, producătorilor de echipamente, utilizatorilor, iar
gradul de expunere la riscuri trebuie să fie adus la cunoştinţă conducerii
firmei;
• normele interne trebuie să prevadă ca mai mult de o persoană să se ocupe de
implementarea şi testarea sistemului de operare, pentru reducerea riscului
realizării unor activităţi subversive la nivel de persoană;
• iniţializarea sistemului de operare şi oprirea lui, de asemenea, presupun
proceduri foarte riguroase de respectat. La fel se va proceda şi la reîncărcarea
sistemului după o defecţiune;
• registrul sistemului trebuie să consemneze absolut toate operaţiunile la care
acesta este supus în timpul funcţionării (defecţiuni, erori, căderi, reluări,
pauze, timp lung de răspuns, semnale sonore neobişnuite ş.a.);
• nu trebuie lăsat sistemul să funcţioneze cu aşa-zisele „defecte acceptabile”.

94
 Primele bariere ridicate prin softul calculatorului sunt cele concepute pentru
identificarea persoanelor care solicită permisiunea de utilizare a sistemului. Numai
persoanelor autorizate trebuie să li se faciliteze accesul în sistem şi numai la anumite
categorii de date. În acest context, un utilizator poate fi o persoană sau un grup de lucru la un
proiect comun sau cu drepturi de exercitare a aceloraşi funcţii, rutine sau programe pe
calculator.
4.4.1 Responsabilităţi manageriale pe linia personalului

Pe linia asigurării securităţii din punctul de vedere al personalului trebuie să se

urmărească următoarele aspecte:
• selecţia;
• verificarea prin prisma securităţii;
• supravegherea continuă;
• instruirea şi conştientizarea.

În mediile de lucru cu calculatoare, există principii fundamentale care guvernează

problematica măsurilor de securitate pe linie de personal, cum sunt:
1. Principiul „trebuie să ştie” face ca posesia sau cunoaşterea informaţiilor,
indiferent de categoria din care fac parte, să fie limitată strict şi să fie înlesnită
doar celor care au atât autorizarea, cât şi nevoia evidentă de a le şti, astfel încât
să-şi poată exercita corect sarcinile de serviciu. Statutul deosebit al unei
persoane în firmă nu-i conferă şi dreptul nelimitat de cunoaştere a informaţiilor
speciale. De asemenea, într-un astfel de caz nu va fi pusă problema „respectării
vârstei”.
2. Principiul „trebuie să meargă” limitează accesul personalului în zone diferite
de lucru din unitate, în special în centrele de prelucrare automată a datelor,
lăsând acces liber doar celor care trebuie să meargă în aceste locuri pentru
a-şi exercita sarcinile de serviciu. Controlul trebuie să fie la fel de riguros şi în
zonele unde sunt păstrate datele, chiar dacă unii invocă faptul că fac parte din
categoria utilizatorilor acestora.
3. Principiul „celor două persoane” vine să preîntâmpine posibilitatea ca o
singură persoană să comită acte ilegale în sistem, îndeosebi prin operaţiuni
importante. Chiar dacă o persoană răspunde de exercitarea unor atribuţii de

95
 serviciu, ea va efectua activităţi speciale numai în prezenţa unei persoane
autorizate. Aceasta nu înseamnă un membru al echipei de pază, ci o persoană
cu cel puţin aceleaşi cunoştinţe profesionale cu ale executantului de drept.
Activităţile speciale, neexecutabile de o singură persoană vor fi prezentate
ulterior. Pentru preîntâmpinarea „înţelegerilor” dintre cele două persoane, se
recomandă schimbarea lor cât mai des posibil.
4. Principiul schimbării obligaţiilor de serviciu consemnează că o persoană nu
trebuie să exercite o perioadă prea lungă de timp aceleaşi sarcini de serviciu.

4.4.2 Măsuri pe linia securităţii din punct de vedere al personalului

În vederea asigurării unor măsuri deosebite pe linia securităţii din punct de vedere al
personalului, se impune parcurgerea unor stadii:
Stadiul 1: Identificarea locurilor de muncă cu regim special şi a calităţilor persoanelor
îndreptăţite a le ocupa
Stadiul 2: Selecţia personalului
Operaţiunea se va realiza înainte de angajare, în timpul procesului de recrutare de personal
nou, dar şi retroactiv.
Dacă actele la angajare sunt completate corect, unitatea poate să-şi găsească suficiente
elemente pentru filtrarea personalului. Documentele de angajare vor conţine date medicale şi
informaţii generale despre persoană. Date suplimentare pot fi oferite de referinţele obţinute de
la precedentul loc de muncă şi apoi de la o persoană care să reprezinte o instituţie credibilă
(şcoală, justiţie, poliţie, armată). Dacă se consideră necesar pot fi efectuate şi investigări prin
firme private.
Totuşi, multe elemente edificatoare se pot obţine prin intervievarea solicitanţilor de
locuri de muncă. Aspectele urmărite pot fi structurate astfel:
1. Descrierea locului de muncă anterior, funcţia deţinută, evoluţia profesională. Se
vor urmări, îndeosebi, eventualele întreruperi de activitate, altele decât concediile
sau diverse motive obiective. Spitalizările şi arestările vor fi urmărite cu mare
atenţie pentru aflarea cauzei acestora.
2. Verificarea referinţelor şi a diplomelor depuse la dosar. Sunt foarte dese cazurile
de declaraţii false despre o vechime avută la unităţi inexistente sau diplome de la
aşa-zisele „şcoli ale vieţii”. Nimic nu va fi crezut fără probe suplimentare.

96
Se va continua cu determinarea:
• competenţei. Diplomele ataşate, cu note foarte mari pe ele, nu au acoperire în
calităţile profesionale ale persoanei – constatare efectuată prin probe de lucru
asemănătoare ultimului loc de muncă, precum şi rezolvarea unor stări
imprevizibile.
• punctualitatea şi absenteismul vor scoate în relief câtă încredere i se poate acorda
individului.
• abaterile disciplinare vor încerca să evidenţieze posibilitatea încadrării persoanei în
legalitate, în normele de conduită socială (dacă a fost amendat, dacă a avut procese
civile sau penale).
• situaţia medicală va scoate la lumină stările de instabilitate mentală, bolile cronice
care pot să aibă o motivaţie socială sau financiară pentru solicitanţii posturilor.
• Calea prin care se pot obţine aceste informaţii constă în oferirea unei poliţe de
asigurare de viaţă, plătită de firmă, care necesită o examinare medicală.
• care este cauza părăsirii vechiului loc de muncă?
• fostul loc de muncă l-ar primi din nou pe solicitant sau i-ar cere referinţe
suplimentare?
• există obligaţii ale solicitantului faţă de fosta unitate?
• persoana a mai fost angajată la companii private şi, dacă da, când şi de ce le-a
părăsit?
• care au fost relaţiile cu foştii colegi de muncă - a fost posibilă integrarea în echipă?
Era agreat şi respectat? Avea conflicte cu reprezentanţii unor grupuri de persoane?
Dacă este programator, există cazuri când din cauza unui program de-al său să se fi
blocat activitatea întregului centru de prelucrare?
3. Originea individului, modul său de existenţă, persoanele cunoscute, legăturile sale
de familie au ceva în comun cu concurenţii firmei la care cere angajarea? Pentru străini se pot
solicita şi actele doveditoare ale naţionalităţii.
4. Există unele indicii ale consumului abuziv de alcool sau droguri?
5. Solicitantul este membru în asociaţii profesionale sau economice? Are puncte de
vedere politice foarte puternic susţinute, care? A exercitat anterior unele activităţi publice sau
funcţionăreşti (consultant, reprezentant sindical ş.a.) care să-i fi întrerupt preocupările

97
profesionale sau să-l determine să fie uşor influenţabil în rezolvarea unor posibile conflicte
viitoare?
6. Care îi este viaţa de familie? Ce activităţi sociale şi sportive îi plac? Dau ele semne
de sănătate excesivă sau chiar inexplicabilă, indică o extravaganţă ieşită din comun?
7. Comportamentul la volan, în ipostaza de conducător auto, poate să scoată în relief
stări emotive sau de maturitate, controlabilitate, judecată rapidă ş.a.
8. Dacă este posibil, se va studia situaţia financiară a solicitantului (dacă are
împrumuturi pe perioade lungi sau scurte, dacă are cartele de credit sau de debit, dacă face
parte din cercuri financiare). Sunt servicii speciale care pot oferi astfel de informaţii.
9. Dacă a lucrat în poliţie sau armată, trebuie urmărită (cu probe) cauza întreruperii
acestor activităţi.

Literatura recomandă apelarea la companii private care să exercite astfel de activităţi

pentru aflarea informaţiilor reale despre solicitanţii locurilor de muncă. De asemenea, într-o
oarecare măsură, se poate folosi şi detectorul de minciuni, deşi nu trebuie să se pună prea
mare bază pe ceea ce indică acesta.
Se poate apela la formularea unor teste de personalitate sau psihometrice, din care să
rezulte calităţile de care dă dovadă individul. Testul este foarte bun dacă la sfârşit se va
comunica şi participanţilor rezultatul, pentru a-şi afla punctele tari sau slabe.
În final, câteva cuvinte despre referinţele aduse de angajaţi şi scrisorile de
recomandare:
1. Referinţele se află sub controlul candidatului la concurs, el rugând pe cineva să le
formuleze, deci sunt uşor părtinitoare.
2. Obiectivele urmărite de actuala firmă, interesată să angajeze, nu se pot regăsi
printre elementele referinţelor. Totuşi, o referinţă bună trebuie să scoată în relief
calităţile de care poate da dovadă persoana, iar cel mai des se întâmplă când se
încearcă a se scăpa de salariaţii slabi; o referinţă categoric proastă este cea care
scoate în relief calităţile deosebite ale persoanelor, dar care nu au posibilitatea să
fie demonstrate în mediul de lucru existent.
3. Referinţele sunt scrise în „limbaje” diferite, în funcţie de stilul persoanei, deseori
fiind necesară interpretarea cu atenţie a diverselor construcţii, de genul „a încercat
din greu” (eşec), „a obţinut rezultate mulţumitoare” (rezervă), „a demonstrat o
inteligenţă medie” (mai mulţi colţi decât idei), „în general s-a achitat de

98
 sarcinile…” (în loc de critică sau „despre cei plecaţi numai de bine”). La astfel
de exprimări angajările aproape că nu au motivaţie.

Stadiul 3: Atribuirea responsabilităţilor pe linia securităţii

După cum informaţiile unui sistem fac parte din categorii diferite, la fel şi persoanele
care lucrează cu ele trebuie să fie grupate ca atare. În vederea adjudecării posturilor-cheie pe
linie de securitate a datelor, trebuie să se ştie că există trei categorii de angajaţi:
1. Neverificabilii sunt acei angajaţi cu un statut nu prea clar, ei neputând fi verificaţi
în detaliu prin prisma onestităţii, încrederii, integrităţii, loialităţii faţă de unitate – motiv
pentru care lor nu li se poate acorda accesul la informaţiile speciale ale firmei.
2. Fără dubii. Într-o astfel de categorie intră persoanele care au trecut cu brio toate
verificările efectuate asupra lor (în limitele controalelor exercitate) şi li se pot oferi anumite
sarcini pe linia accesului la o parte a informaţiilor speciale.
3. Extrem de credibili. După verificări complexe asupra trecutului unei persoane, ale
familiei sale, vieţii personale, moralităţii şi rezultatelor înregistrate la vechile locuri de
muncă, dacă totul este perfect, aceasta poate fi considerată de încredere şi i se poate facilita
accesul la cele mai intime date ale firmei. Adevărul este că încrederea şi onestitatea pot fi
verificate pe parcurs, şi nu la data efectuării verificărilor, ceea ce înseamnă o oarecare doză
de risc din partea celor ce delegă astfel de responsabilităţi.

În orice caz, altfel vor fi trataţi angajaţii cu vechime în unitate şi altfel cei angajaţi de
curând sau cu regim sezonier, sau cu jumătate de normă.
Stadiul 4: Proceduri la angajare
Într-un contract de angajare a unui salariat trebuie să se stipuleze cu claritate
următoarele: 1. responsabilităţile persoanei şi sarcinile pe linia asigurării securităţii valorilor
patrimoniale şi, bineînţeles, a informaţiilor, astfel încât:
a) să dispară orice dubiu privind persoana care trebuie să exercite o funcţie anume;
b) să aducă la cunoştinţa angajaţilor, din faza de asociere cu unitatea, ce probleme
caracterizează activitatea firmei;
c) să-i pregătească pentru dobândirea unor calităţi noi, cerute de unitatea care
angajează;
2. regulamentul de ordine interioară a unităţii şi condiţiile în care încetează contractul de
muncă;

99
3. restricţii privind comportamentul persoanei în cazul încetării contractului de muncă,
îndeosebi pe linia nedezvăluirii informaţiilor speciale competitorilor actualei firme,
respectându-se aşa-zisa „clauză a confidenţialităţii”;
4. aducerea la cunoştinţă a documentaţiilor de specialitate, a documentelor, a situaţiilor de
întocmit, care trebuie să aibă aprobarea în avans a şefului său.

Angajatul trebuie să semneze contractul, ceea ce înseamnă că l-a citit, l-a înţeles, inclusiv că a
luat cunoştinţă de problemele securităţii sistemului. După acest moment, de regulă, urmează
o perioadă de probă, de până la trei-şase luni, după care se va face pronunţarea privind
statutul definitiv al persoanei.
Stadiul 5: Instruirea şi conştientizarea personalului
Pentru atingerea obiectivului acestui stadiu se stabilesc programe speciale de instruire şi
conştientizare pentru asigurarea încrederii în personalul unităţii pe linia asigurării securităţii
sistemului de prelucrare automată a datelor În acest scop, se pot folosi numeroase modalităţi
de ducere la îndeplinire a obiectivului: de la cursuri cu durate şi termene fixe, până la
pavoazări la tot pasul a interiorului unităţii ş.a.
Stadiul 6: Supravegherea
Unităţile mai mari au în uz sisteme programate de evaluare a performanţelor
angajaţilor, astfel încât să-i poată orienta profesional cât mai corect şi pentru a face
promovările cele mai motivate. Tot printr-un astfel de sistem se va efectua şi urmărirea
aspectelor referitoare la încrederea în persoane şi poziţia lor faţă de securitatea sistemului,
evitându-se incidentele nefericite din sistemele de prelucrare automată a datelor.
Cu caracter neplanificat sunt urmăririle şi supravegherile zilnice ale personalului,
pentru descoperirea potenţialelor pericole din partea salariaţilor.
În caz de promovare, se vor face reevaluări ale sarcinilor pe linia securităţii
informaţiilor. Programul de educaţie privind securitatea îşi propune să contribuie la creşterea
vigilenţeipersonalului şi să declare orice vede ca fiind împotriva securităţii firmei, indiferent
de poziţia persoanei implicate în aşa-ceva.

Stadiul 7: Încetarea contractului de muncă

Procedurile legale de încetare a contractului de muncă trebuie să fie introduse pentru
persoanele care părăsesc unitatea în astfel de condiţii, un rol esenţial revenind acordurilor

100
dintre părţi în regim post-angajare a persoanei, îndeosebi raportul fostului angajat cu
concurenţii firmei.
După recuperarea cheilor de acces urmează anularea parolelor de intrare în sistemele
de prelucrare automată a datelor. În acelaşi timp, restul angajaţilor trebuie să fie anunţaţi că
persoana respectivă nu mai are statutul de salariat al firmei, deci relaţiile lor de serviciu sunt
anulate. Se recomandă, chiar, efectuarea unor schimbări ale posturilor de lucru din mediul din
care a plecat o persoană.

4.5 Securitatea la nivelul întregului sistem informatic

Un sistem informatic de încredere este format din totalitatea echipamentelor,

programelor, componentelor fizice realizate prin soft (firmware) şi a mecanismelor
procedurale care concură la asigurarea securităţii prelucrării automate a datelor.
În SUA, Centrul de Apărare a Securităţii Calculatoarelor al Agenţiei Naţionale de
Securitate a emis unele recomandări astfel încât să se ştie ce înseamnă o bază informatică de
încredere. Prin intermediul lor, centrul a stabilit clase de evaluare în care să poată fi încadrate
produsele de realizare a securităţii sistemelor informatice, după ce sunt supuse unor teste
speciale. Astfel, au fost definite patru clase, de la D la A, şi câteva subclase, cum ar fi A1 şi
A2. Clasa D este cea mai de jos. În cadrul claselor, numerele mai mari sugerează un sistem
mai sigur.
Clasele şi subclasele stabilite sunt: D. Nesigure sau neevaluate.
C. Capabil să asigure controlul accesului discreţionar.
C1. Orice sistem de operare comercial care asigură separarea fazelor de execuţie ale
sistemului de cele ale utilizatorilor obişnuiţi.
C2. Orice sistem de operare comercial dublat de un pachet suplimentar pentru
asigurarea securităţii.
B. Capabil să realizeze controlul obligatoriu al accesului.
B1. Toate informaţiile sunt astfel etichetate încât să corespundă unei anumite categorii
de securitate.
B2. Securitatea organică. Echipamentele şi softul sunt concepute şi realizate astfel
încât să asigure o securitate obligatorie.
B3. Domenii de securitate. Similar cu B2, numai că este mai bună prin extinderea
componentelor cărora li se asigură securitatea.

101
 A. Securitatea verificată. Măsurile de securitate sunt consemnate în scris şi aprobate
ca fiind eficiente.
A1. Verificarea proiectării. De regulă, înseamnă controlul codurilor-sursă din
programele de sistem care au funcţii de securitate.
A2. Verificarea implementării. În acest caz sunt examinate programele de sistem
executabile şi se urmăreşte dacă ele coincid cu codul-sursă verificat.

4.5.1 Izolarea sistemelor informatice

Obiectivul principal al creării unor bariere izolatoare pentru sistemele informatice

constă în luarea unor măsuri care să prevină posibilitatea utilizatorilor de programe de a
efectua unele schimbări în condiţiile lor de execuţie sau a datelor prelucrate, de a specifica
statutul, actual şi viitor, al celorlalţi utilizatori ai programului sau de a prelua controlul asupra
datelor altora, ca o excepţie de la regulile normale de acces.
Pentru realizarea acestor obiective, fiecare adresă de program al utilizatorului, numele
programatorului, conţinutul registrelor, datele utilizatorilor trebuie să fie protejate împotriva
folosirilor neautorizate, în sensul neasigurării transparenţei lor atunci când altui utilizator i se
va aloca acelaşi spaţiu de lucru.

Pentru ca un sistem informatic să fie considerat asigurat din punctul de vedere al

izolării lui, trebuie să fie îndeplinite două condiţii:
1. să se folosească un anumit mod de asigurare a securităţii prelucrării
pentru a izola sistemul de inamicii săi din afară;
2. să se apeleze la strategii de apărare, prin izolarea utilizatorilor între ei şi
de sistemul de operare al calculatorului. Utilizatorii care prelucrează
date ce aparţin categoriilor speciale trebuie să fie izolaţi în mod
deosebit.
Sunt posibil de aplicat cel puţin şase strategii de izolare, ele putând fi mai multe. În
categoria celor şase intră:
• selectarea modului de prelucrare;
• izolarea temporară;
• izolarea spaţială;
• izolarea realizată prin caracteristicile arhitecturii sistemului;

102
 • izolarea criptografică;
• restricţii la privilegiile sistemului.

Selectarea modului de prelucrare. Atunci când prelucrarea se efectuează în mod local

sau în sistem de teleprelucrare, de către unul sau mai mulţi utilizatori în acelaşi timp (în mod
serial sau multiprogramare), accesul direct (on-line) sau prin programare sau neprogramare
influenţează, în mod vădit, gradul de izolare a sistemului.
Izolarea temporară se aplică, de regulă, în cazul prelucrărilor speciale, dar poate fi
folosită şi în modul multiprogramare asupra terminalelor ce intră sau ies într-o/dintr-o reţea,
în funcţie de un calendar, care se întocmeşte luând în considerare categoria datelor şi
principiul „trebuie să ştie”.
Izolarea spaţială se realizează prin dedicarea componentelor de prelucrare şi izolarea
lor faţă de un alt utilizator.
Arhitectura sistemului este cea care facilitează multiprogramarea, contribuind la
izolarea utilizatorilor faţă de sistemul de operare şi între ei înşişi, asigurându-se prelucrarea
datelor secrete pe niveluri de securitate.
Izolarea criptografică este folosită, în principal, pentru realizarea izolării prelucrărilor
de la distanţă de intruşii din afară, atunci când liniile de comunicaţie depăşesc perimetrul de
securitate. Ea poate fi folosită, de asemenea, pentru izolarea utilizatorilor din sistem, în
special atunci când aceştia au niveluri diferite de responsabilitate pe linia securităţii.
Restricţiile de privilegiu constituie o cale de identificare distinctă a utilizatorilor-
programatori de cei neprogramatori. Eficienţa procedurilor se realizează prin arhitectura
sistemului.

4.5.2 Controlul accesului sistemelor informatice

Controlul accesului la sistemele de prelucrare automată a datelor este un act de decizie

a conducerii. În ultimă instanţă, şeful unei companii are responsabilitatea definirii
informaţiilor care trebuie să se afle sub control, cine să-l efectueze, prin ce persoane şi în ce
condiţii se atribuie drepturi speciale de control şi cum pot fi ele revocate. În practică,
responsabilitatea se delegă spre nivelurile inferioare, spre şefii compartimentelor şi
administratori.
În fiecare regulă privind accesul trebuie să se reflecte două principii esenţiale:

103
 • Privilegiul minim. Numai acele informaţii sau operaţiuni de prelucrare pe care
utilizatorul trebuie să le exercite şi îi revin ca sarcini de serviciu vor fi lăsate la
dispoziţia sa, iar ele vor fi stabilite de responsabilii de drept, şi nu de utilizator.
• Expunerea minimă. Din momentul în care un utilizator are acces la informaţii
speciale sau la alte materiale cu regim similar, acesta are responsabilitatea de a
le proteja. Nici o altă persoană, în timpul sesiunii de lucru, nu va trebui să ia
cunoştinţă de ceea ce se prelucrează, se memorează sau se transmite în altă
parte. Mai mult chiar, o atenţie deosebită se va acorda restricţiilor referitoare
la măsurile de securitate, îndeosebi la caracteristicile deosebit de performante
sau la slăbiciunile pe care le au. În acest caz nu este loc de publicitate.
În general, controlul accesului se poate realiza prin modalităţi de genul tabelelor de
autorizare, al listelor de control al accesului, al profilurilor de securitate.
Tabelele de autorizare, numite şi tabele de securitate, există în formatul cod-maşină;
ele sunt componente ale sistemului de operare, alături de alte programe de control, cu rol de
urmărire a bunei funcţionări a sistemului. Importanţa lor rezidă şi în faptul că au un nivel de
protecţie similar celor mai bine protejate programe de control.
Tabelele de autorizare se află sub directa preocupare a unor veritabili specialişti, iar
pentru utilizatori este important să se cunoască faptul că tabelele trebuie să reflecte, în acest
mediu de lucru, ceva identic listelor de control al accesului la valorile deosebite ale firmei în
varianta prelucrării manuale a datelor şi a profilelor de securitate ale utilizatorilor.
Listele de control al accesului. Responsabilul cu securitatea sistemului trebuie să
actualizeze permanent o listă de control al accesului pentru fiecare program executat pe
calculator şi pentru fiecare fişier de date. Ele trebuie să conţină:
• elementele de identificare a anumitor valori patrimoniale;
• identificarea fără echivoc a oricărui utilizator autorizat;
• ceea ce se permite fiecărui utilizator să facă cu o anumită valoare
patrimonială;
• condiţiile în care se garantează accesul.
Profilurile de securitate trebuie să fie în atenţia responsabilului cu securitatea pentru
fiecare utilizator autorizat. Profilul va fi definit prin patru elemente:
1. identificarea utilizatorului;
2. identificarea tuturor proiectelor pe utilizatorii care le posedă;

104
 3. identificarea tuturor categoriilor în care se încadrează utilizatorii, inclusiv cele
referitoare la responsabilităţile pe linie de securitate a sistemului;
4. identificarea tuturor fişierelor la care utilizatorul poate să aibă acces şi ce anume
poate să efectueze asupra lor.

Noţiunile de „proiect” şi „categorie” din enunţurile de mai sus au acelaşi statut ca şi

utilizatorii şi, deci, trebuie să aibă şi ele profilul lor.
De fiecare dată când un utilizator intră în contact cu calculatorul de la un terminal
conversaţional sau printr-un lot de lucrări, operaţiunea de certificare a identităţii se impune cu
acuitate. Informaţia necesară identificării este parola.
Parolele sunt folosite pentru a permite accesul în sistemele de calcul, la fişierele şi
bazele de date ale acestuia. N-ar fi exclus ca ele să fie folosite în viitor şi pentru accesarea
înregistrărilor sau câmpurilor acestora, cu condiţia de a fi eficiente şi ieftine. Parolele trebuie
să fie asociate cu utilizatorii, proiectele şi categoriile de informaţii.
Despre parole s-a vorbit mai pe larg într-un capitol anterior.
În general, nu trebuie să se permită accesul în sistem până când nu se verifică dacă
parola face parte dintr-o listă de parole sau se certifică un alt element de identificare.
Trebuie instituite criterii de condiţionare a accesului local sau de la distanţă, precum şi
a celui intern (memorie primară, memorie virtuală, memorie secundară şi suporturi externe).
De o importanţă deosebită, după ce s-a autorizat accesul, este obţinerea unui
privilegiu de acces, prin intermediul codurilor speciale, consemnate în tabelele de autorizare.

4.5.3 Detecţia ameninţărilor şi supravegherea sistemului

Deşi pare nepotrivită, dar nu lipsită de adevăr, afirmaţia că fraudele din mediile
informatizate ar putea fi detectate este destul de riscantă. Ca argumente sunt aduse
preocupările de urmărire cu atenţie a ameninţărilor sistemului, analiza anumitor tendinţe,
cercetarea incidentelor înregistrate şi auditarea.

4.5.3.1 Urmărirea ameninţărilor

Toate sistemele trebuie să dispună de capacitatea de înregistrare a tentativelor de atac,

într-un format intern, să le supună, apoi, unor examinări riguroase şi să reconstituie

105
informaţiile principale pe baza a ceea ce s-a înregistrat în format-maşină. Cât timp este destul
de greu de spus ce înseamnă ameninţare şi ce nu, toate operaţiunile care ar putea afecta
securitatea sistemului trebuie să fie înregistrate, inclusiv intrările în sesiunile de lucru,
solicitările de fişiere şi tranzacţiile de la terminale.
Când operaţiunile principale referitoare la securitatea sistemului sunt înregistrate automat de
către sistemele de prelucrare automată a datelor, registrul trebuie să fie protejat împotriva
intervenţiei neautorizate a utilizatorilor sau operatorilor. Aceasta se poate realiza prin
înregistrarea datelor speciale pe discuri optice de tip WORM (imposibil de modificat) sau pe
benzi magnetice pe care se poate scrie, fără posibilitatea derulării benzii înapoi, sau prin
apelarea la calculatoare cu rol special, sub directa supraveghere a responsabilului cu
securitatea sistemului.
Referitor la recunoaşterea potenţialelor ameninţări, un bun sistem trebuie să fie
capabil să depisteze următoarele şase condiţii:
• terminarea anormală a unor lucrări;
• o cădere anormală a sistemului;
• defectarea mecanismului de asigurare a securităţii echipamentelor şi softului;
• tentativele de intrare în dialog cu sistemul, dar care nu sunt încununate de
succes;
• tentativele de obţinere a accesului neautorizat la fişierele ce conţin date
speciale;
• tentativele de utilizare neadecvată a unor instrucţiuni sau seturi de instrucţiuni
privilegiate.

Atunci când sistemul recunoaşte că sunt îndeplinite condiţiile de depăşire a securităţii

lui, el trebuie să fie capabil să identifice terminalul de la care se înregistrează tentativa de furt
şi categoria infracţiunii. De asemenea, va trebui să furnizeze identitatea utilizatorului care
încearcă să violeze sistemul de securitate, data şi ora evenimentului, precum şi ce fişier a fost
ţinta atacului.
De regulă, sunt monitorizate zece tipuri de violări ale sistemului de securitate:
1. a treia tentativă eşuată de deschidere a sesiunii de lucru a sistemului;
2. un răspuns eronat la cererea de reautentificare a utilizatorului;
3. folosirea greşită a unor instrucţiuni privilegiate;

106
 4. tentativa de depăşire a spaţiului de memorie alocat utilizatorului ce a deschis
sesiunea de lucru;
5. tentativa de folosire neautorizată a fişierelor cu date secrete;
6. defectarea oricărui mecanism de protecţie;
7. orice încercare de a citi mai întâi noua zonă de memorie care i-a fost alocată,
fără să fi scris ceva în ea;
8. incapacitatea sistemului de a încheia cu succes verificarea programelor
sistemului;
9. aceeaşi incapabilitate de a verifica tabelele de securitate ale sistemului;
10. tentativa eşuată de introducere a unui nivel mai mare al stării de exploatare
privilegiată.
În plus, responsabilul cu securitatea trebuie să încurajeze sistemul de întindere a
curselor
pentru eventualii intruşi, ceea ce ar însemna state de plată false, parole false şi altele
care să-i tenteze pe atacatori.
În acelaşi timp, din partea sistemului vor fi extrase cât mai variate tentative de înşelare
a sistemului de securitate, apelându-se la echipe speciale, numite „echipe de tigri”. Oricum şi
acestea vor fi urmărite îndeaproape, întrucât fără să se simtă supravegheate pot fi tentate să
săvârşească acte ilegale.

4.5.3.2 Analiza tendinţelor

A căuta ceva ce nu este într-un loc, deşi ar trebui să fie sau ceva ce este şi n-ar trebui,
presupune folosirea instrumentelor statistice în cazurile suspecte.
Parametrii statistici principali sunt media sau valoarea aşteptată (scontată) a timpului
scurs între incidente sau a capacităţii de utilizare a resurselor şi deviaţia standard a oricăreia
dintre mediile amintite. O informaţie preţioasă se obţine şi prin compararea mediilor în mai
multe perioade de timp, dacă ele se măresc sau se micşorează ori au o comportare explicabilă
în ciclu.
Datele supuse analizei pot fi obţinute pe patru căi:
• registrele componentei de supraveghere a sistemului şi documentele
ajutătoare;

107
 • registrele terminalelor sau datele consemnate în documentele întocmite
manual pentru o astfel de activitate, confirmate prin semnături;
• înregistrările contabile ale modului de utilizare a resurselor sistemului;
• date privind funcţionalitatea sistemului, inclusiv cele privind defectarea
hardului sau softului, precum şi măsurile luate sau reparaţiile efectuate.
În calculele de efectuat, media înseamnă însumarea valorilor observate şi împărţirea valorii
astfel obţinute la numărul valorilor observate.
Deviaţia standard este rădăcina pătrată a sumei diferenţelor la pătrat dintre medie şi
fiecare valoare observată, de împărţit la numărul valorilor observate minus unu.
Prin instrumentele statistice amintite pot fi descoperite cinci clase de deviaţii
relevante de la securitatea sistemului, după cum urmează:
1. pentru activitatea sistemului ca un tot;
2. activităţile utilizatorilor;
3. activitatea unor terminale anume;
4. operaţiunile cu fişierele ce conţin date secrete;
5. operaţiuni care implică utilizarea programelor cu regim special.

Prin reprezentarea grafică a valorilor obţinute se pot constata discrepanţe relevante privind:
1. timpul dintre două reparaţii ale sistemului;
2. timpul dintre două încercări eşuate de intrare în sistem;
3. timpul dintre întreruperi;
4. timpul scurs între erorile de comunicaţie;
5. folosirea timpului de prelucrare, măsurat în secunde, de înmulţit cu miile de cuvinte
ce au fost folosite (kilo-cuvinte);
6. timpul de conectare pe lucrare ş.a.

Există sisteme capabile să-şi măsoare randamentul, prin raportarea timpului folosit în
mod productiv la cel neproductiv al sistemului. Scăderea randamentului poate să constituie
un semnal de alarmă pe linia securităţii sistemului.
Relevant este şi numărul de lucrări abandonate într-o perioadă de timp, ceea ce ar
scoate în evidenţă fie proasta funcţionare a sistemului de operare, fie o greşită utilizare a lui
în intenţia de a avea acces la fişierele secrete ale firmelor.

108
 Pentru o uşoară controlabilitate a sistemului se recomandă constituirea unor aşa-zise
profiluri ale violatorilor sistemului. Ele sunt realizate pe utilizatori, tipuri de utilizatori
(ocazionali, moderaţi, puternici) şi lucrările foarte importante din sistem.
Profilul unui singur utilizator rezidă în evidenţierea unor aspecte ce pot să conducă la uşoara
descoperire a vinovatului. Ele se referă la înregistrarea codului de identificare a utilizatorului
şi tipul lui; numărul şi tipul actelor violente; identificarea fişierelor urmărite prin actele de
violenţă.
Tipurile utilizatorilor trebuie surprinse prin profiluri distincte, întrucât posibilităţile de
a greşi sunt direct proporţionale cu gradul de utilizare a sistemului, cu timpul în care
utilizatorul se află în legătură cu acesta.
Se poate porni de la ideea că numai cine nu munceşte nu greşeşte, deci dacă se înregistrează
mai multe greşeli la un utilizator deosebit al sistemului acesta ar fi un lucru normal. Din
cauza necesităţilor de efectuare a unor analize complexe, utilizatorii vor fi grupaţi pe tipuri,
ştiindu-se cam câţi aparţin fiecărui tip, iar violarea sistemului va fi urmărită prin numărul şi
tipul lor, precum şi atacurile la securitate pe fiecare utilizator.
Este de reţinut faptul că, dacă numărul atacurilor prin parole din cursul unei zile a
sporit, cauza o poate constitui schimbarea la termen a parolelor, când, firesc, mai multe
tentative de deschidere a sesiunii de lucru cu vechile parole vor fi sortite eşecului. Şi în acest
caz, dacă se ştie cam cât de multe erori s-au înregistrat în perioadele anterioare după
schimbarea parolelor, iar acum numărul lor este mult mai mare, s-ar putea trage concluzia că
intruşii consideră că acesta ar fi momentul propice să încerce vigilenţa sistemului.
Profilurile lucrărilor vor fi consemnate într-un registru special, în care se vor
înregistra:
1. identificatorul utilizatorului: pentru a se putea stabili responsabilităţile;
2. kilo-cuvintele-secundă esenţiale: pentru a se putea observa dacă s-au introdus
coduri neautorizate;
3. timpul de execuţie: pentru a ne asigura că nu au fost efectuate lucrări
neautorizate;
4. numele programelor apelate: pentru a se cunoaşte dacă s-au apelat numai
procedurile permise şi nici o altă acţiune n-a avut loc;
5. fişierele de date create şi accesate, precum şi numărul de citiri, scrieri sau
adăugări la sfârşit în fiecare fişier: se va urmări dacă s-au accesat fişiere
secrete;

109
 6. ieşirile obţinute: pentru a ne asigura că nu s-au copiat sau listat cantităţi mari
de date din fişierele secrete.

4.5.3.3 Investigarea

Cazurile anormale care pot fi supuse investigării le cuprind pe cele de excepţie,

considerate ca ieşite din comun faţă de tendinţa statistică a lor. Atât numărul prea mare de
violări ale sistemului, cât şi cel prea mic trebuie să fie supuse investigării. În primul caz fiind
semne de prea multe tentative eşuate de depăşire a sistemului de protecţie, în al doilea s-ar
putea trage concluzia depăşirii profesioniste a obstacolelor oferite de barierele protectoare.
Practica recomandă 20 de cazuri care trebuie să constituie motiv de investigare pentru
responsabilul cu securitatea sistemului:
1. compromiterea sau suspiciunea de compromitere a informaţiilor speciale ale
unităţii;
2. pierderea sau incapacitatea de a evidenţia corect orice valoare patrimonială;
3. intervenţia inexplicabilă a operatorului în execuţia lucrărilor;
4. prezenţa sau suspiciunea prezenţei în sistem a unui intrus;
5. absenţa inexplicabilă a persoanelor cu drept de acces la informaţiile speciale;
6. apariţia unor nume-capcană într-o listă de persoane;
7. creşterea inexplicabilă a gradului de utilizare a sistemului, îndeosebi după
program sau în regimul normal de lucru, de către utilizatori sporadici sau de la
terminale inactive o lungă perioadă de timp;
8. tentative de accesare sau solicitare a înregistrărilor, fişierelor capcană sau de
folosire a parolelor expirate;
9. pierderea sau folosirea neautorizată a identificatorilor utilizatorilor, a
sistemului de control al accesului sau a elementelor de recunoaştere de către
sistem;
10. plângeri repetate ale beneficiarilor referitoare la încărcarea nejustificată a
facturilor de plată a serviciilor de prelucrare automată a datelor, de folosire
greşită a adreselor, de apariţie a unor solduri eronate, de numeroase solduri
zero sau de omisiuni în listele de plată a drepturilor salariale;
11. imposibilitatea stabilirii soldului final al unui cont;
12. imposibilitatea onorării la plată a cecurilor, facturilor ş.a.;

110
 13. diminuarea inexplicabilă a nivelului stocurilor;
14. creşterea inexplicabilă a frecvenţei tentativelor eronate de obţinere a
permisului de acces în sistem sau de violare a protocoalelor de securitate;
15. cererea excesivă a serviciilor de introducere sau extragere a datelor;
16. schimbarea inexplicabilă a căilor traficului de comunicare a datelor;
17. apariţia surprinzătoare a unor coduri noi în sistemul de operare sau în alte
programe, a noi nume în listele de control al accesului, în statele de plată a
salariilor, a furnizorilor de plătit sau în lista beneficiarilor;
18. schimbări inexplicabile în profilurile lucrărilor sau utilizatorilor;
19. accesul inexplicabil la fişierele speciale sau creşterea surprinzătoare a gradului
de utilizare a unor fişiere sau conturi inactive o lungă perioadă de timp;
20. creşterea surprinzătoare a incidentelor produse de defectarea echipamentelor,
softului sau de terminarea anormală a lucrărilor, a reluărilor exagerate de
execuţii de programe, a restaurărilor multiple ş.a.

În plus, responsabilul cu securitatea sistemului poată să ceară informaţii suplimentare

de la operatorii calculatoarelor, de genul:
• numele fişierelor şi subrutinelor accesate de un program dat;
• lista numelor de constante şi variabile ale programelor;
• datele ce ocupă spaţiul memoriei primare selectate;
• listele utilizatorilor de programe şi a fişierelor de date;
• exemplarele ce conţin mesaje de eroare;
• imaginea înregistrărilor bazelor de date înainte şi după actualizarea lor;
• lista suspendărilor din prelucrare (erori) a unor operaţiuni ce nu pot fi
prelucrate pentru efectuarea actualizărilor fişierelor nomenclator;
• modificări ale bazelor de date declanşate de la un terminal conversaţional;
• schimbarea locului adresei utilizatorului după ce s-au încălcat regulile de
securitate;
• lista de control a comenzilor folosite în timpul execuţiei unei lucrări.

4.5.3.4 Aspecte generale privind controlul şi auditarea sistemelor informatice

111
 Responsabilul cu securitatea sistemului trebuie să prevadă şi să construiască probe
pentru auditarea sistemului pentru fiecare incident încadrat în una din următoarele categorii:
1. evidenţa tuturor vizitelor centrului de prelucrare automată a datelor de către
persoane din afara sistemului;
2. istoricul tuturor elementelor privind controlul accesului în sistem;
3. evidenţa tuturor persoanelor ce activează în centrul de prelucrare automată a
datelor, de la angajare până în prezent, cu drepturile avute, retrase ş.a.;
4. cronologia experienţelor deosebite ale personalului în ultimul an, îndeosebi pe
linia a ceea ce a putut vedea, mânui sau a supravegheat activitatea de
contabilizare a operaţiunilor informatice;
5. descrierea cronologică a tuturor incidentelor privind actele contabile;
6. păstrarea tranzacţiilor pe ultimii cinci ani despre orice persoană care a
participat la derularea lor;
7. istoricul operaţiunilor privind negocierile, din faza anterioară şi următoare
acestora, dacă valoarea este mai mare decât o valoare dată;
8. istoricul evoluţiei oricărui program al sistemului de operare, de la
implementarea lui până în prezent, cu consemnarea tuturor modificărilor prin
care a trecut;
9. verificarea concordanţei tuturor tranzacţiilor cu orice înregistrare dintr-o serie
de trei generaţii de fişiere (bunic, tată, fiu), în format intern;
10. istoricul evoluţiei oricărui program de aplicaţii cu rol special în sistem, de la
implementare până în prezent, dar consemnând şi modificările, modul de
utilizare, de întreţinere;
11. o listă cronologică a tuturor incidentelor în ceea ce priveşte violarea protecţiei
sistemului;
12. o listă cronologică a tuturor dificultăţilor întâmpinate în timpul investigării
oricărui atac al securităţii sistemului.

4.5.3.5 Acţiunile de răspuns

Toate sistemele trebuie să se bazeze pe existenţa unei persoane cu autorizare specială

care să poată declanşa acţiuni reparatorii sau de anihilare a tentativelor de violare a

112
sistemului. De regulă, astfel de acţiuni se numesc acţiuni de răspuns şi pot fi încadrate în
două categorii: acţiuni imediate şi acţiuni retroactive.
Acţiunile imediate. Îndată ce responsabilul cu securitatea sistemului sau o persoană
autorizată să presteze o astfel de activitate constată apariţia unui atac al securităţii, trebuie să
stopeze imediat componentele supuse acţiunii frauduloase şi să reţină operaţiunile ce au putut
fi afectate, pentru o cercetare minuţioasă ulterioară. Imediat vor fi informate persoanele
autorizate cu responsabilităţi pe linia securităţii.
Acţiunile retroactive. În cazul în care au intervenit situaţii clare sau numai suspiciuni
de compromitere a informaţiilor secrete, de pierdere a valorilor patrimoniale deosebite, de
modificare a informaţiilor, de folosire neautorizată a resurselor, probele reviziei şi alte
elemente edificatoare vor fi puse laolaltă şi aduse la cunoştinţa celor ce răspund de securitate.
Aceştia, pe baza informaţiilor obţinute, vor stabili amploarea pierderilor reale la nivelul
firmei, persoanele cărora să li se impute valoarea pierderilor, să determine cu exactitate
eficienţa măsurilor de securitate, să înveţe cum să fie prevenite pierderile asemănătoare în
viitor, acoperirea pierderilor dacă este posibil.
Deseori se vorbeşte şi despre efectuarea unor acţiuni speciale, care trebuie să fie
declanşate când se întâlneşte unul din următoarele patru tipuri de violare a securităţii:
1. orice îndepărtare de la regulile prescrise de deschidere a sesiunii de lucru;
2. o a treia tentativă, consecutivă, eşuată, de deschidere a sesiunii;
3. tentativa eşuată de a da răspunsul corect la acţiunea de reautentificare
declanşată de sistem;
4. orice intenţie a utilizatorilor de a obţine accesul neautorizat la fişiere sau de a
folosi instrucţiuni sau secvenţe de instrucţiuni nepermise.

CURS SECURITATE CIBERNETICĂ:

SECURITATEA REŢELELOR ŞI A SISTEMELOR INFORMATICE

Capitolul 5

5.1. Managementul riscului de securitate

113
 Complexitatea tehnologică, aria largă de răspândire a datelor / informațiilor și
numărul mare de amenințări și incidente la adresa securității și funcționalității sistemelor
distribuite reprezintă factori care trebuie luați în considerare la dezvoltarea sistemelor
informatice. Scopul principal al procesului de management al riscului pentru o
organizație are în vedere protecția acesteia și capacitatea sa de a îndeplini misiunea. În
acest sens, procesul de management al riscului nu trebuie tratat ca o funcție tehnică efectuată
de experți care operează și gestionează sistemul informatic, ci ca un element esențial în
funcționarea unei organizații. Dezvoltarea unei strategii de protecție a resurselor organizației
este un proces complex și sensibil din punctul de vedere al componentelor pe care le implică
managementul riscului.
În literatura de specialitate, managementul riscului este definit ca „procesul de
identificare a vulnerabilităților și amenințărilor din cadrul unei organizații și de
elaborare a unor măsuri de minimizare a impactului acestora asupra resurselor
informaționale”. În general, majoritatea organizațiilor se concentrează pe protecția fizică (în
special pe vulnerabilitățile infrastructurii -rețea, sisteme de calcul) și nu reușesc să
stabilească efectele asupra celor mai importante resurse.
O abordare incompletă produce un decalaj între necesarul operațional și cel al
sistemului
informatic, lăsând bunuri valoroase sub incidența riscului. Abordările curente pentru
managementul riscului legate de securitatea informației tind să fie incomplete deoarece nu
reușesc să includă în cadrul analizei toate componentele riscului (bunuri, amenințări și
vulnerabilități).
Managementul riscului este procesul care permite nivelului managerial să asigure un
echilibru
între costurile operaționale, resursele financiare necesare pentru implementarea
măsurilor de protecție și atingerea obiectivelor privind protecția resurselor (infrastructura,
sistemele de calcul, aplicațiile, datele) care susțin activitatea.
Conform NIST, managementul riscului este „procesul care permite managerilor IT
echilibrarea costurilor operaționale și financiare ale măsurilor de protecție pentru a
realiza un câștig în raport cu capacitatea de protecție a sistemelor informatice și a datelor
care sunt suport pentru misiunea organizației”. Această definiție are la bază eventualitatea ca
un eveniment (neprevăzut sau anticipat de decident cu o anumită probabilitate) să se
materializeze și să afecteze negativ anumite aspecte ale activității operaționale.

114
Planificarea managementului riscului este procesul prin care se decide modul de abordare și
planificare a activităților de management al riscului. Înainte de inițierea oricăror
acțiuni de management al riscurilor trebuie să se evalueze existența unui potențial de risc
pentru sistemul
analizat cu privire la domeniul de activitate. Această evaluare trebuie să țină cont de
toate activitățile care implică sistemul și care ar putea să conțină un risc potențial. Se obține
astfel o listă de activități și o clasificare a riscurilor potențiale în activități fără risc, cu risc
scăzut și cu potențial de risc ridicat.

Procesul de management al riscului în general constă din desfășurarea următoarelor

etape:
• evaluarea riscului - identificarea și clasificarea riscurilor care pot să afecteze
organizațiile (planificarea și colectarea datelor legate de risc, ierarhizarea riscurilor);
• coordonarea procesului decizional - identificarea și evaluarea măsurilor de control
ținând cont de raportul cost-beneficii (definirea cerințelor funcționale, identificarea
soluțiilor de control, revizuirea soluțiilor în comparație cu cerințele, estimarea
reducerii riscurilor, selectarea strategiei de atenuare a riscului);
• implementarea controalelor - implementarea și rularea de măsuri de control menite
să reducă sau să elimine riscurile (căutarea unor abordări alternative, organizarea
soluțiilor de control);
• măsurarea eficacității programului - analiza eficienței măsurilor de control adoptate
și verificarea gradului de protecție pe care îl asigură controalele aplicate
(elaborarea formularelor de risc al securității, măsurarea eficacității controalelor).

115
 Figură 1. Procesul de management al riscului

Analiza riscurilor (identificarea și evaluarea riscurilor) reprezintă unul dintre

cele mai importante aspecte ale securității, iar în conformitate cu bunele practici din
domeniu, organizațiile trebuie să abordeze problema riscului în patru etape:
• identificarea și evaluarea informațiilor importante;
• identificarea și evaluarea amenințărilor;
• evaluarea vulnerabilităților;
• evaluarea riscului.
Analiza de risc presupune un proces de identificare și clasificare a riscurilor de
securitate, determinarea amplitudinii riscurilor și identificarea zonelor cu potențial mare de
risc. Analiza de risc face parte din ansamblul complex de măsuri care poartă denumirea de
managementul riscului.
Evaluarea riscurilor este rezultatul unui proces de analiză a riscurilor.
Reducerea riscurilor presupune adoptarea măsurilor de prevenire în cazul manifestării
acestora, iar pentru implementare sunt necesare o serie de costuri la nivel
organizațional care trebuie corelate cu dimensiunea daunelor privind exploatarea
vulnerabilităților astfel încât factorii manageriali să decidă riscurile care trebuie prevenite,
limitate sau acceptate. Cele mai importante abordări utilizate în procesele de analiză a riscului
sunt analiza cantitativă, analiza calitativă și analiza cost-beneficii.

116
În esență, analiza riscului reprezintă o metodă (calitativă și/sau cantitativă) utilizată pentru
evaluarea impactului riscului asupra deciziilor potențiale într-o situație dată. Scopul unui
astfel de demers este acela de a ghida decidentul pentru a soluționa mai bine probleme
decizionale marcate de un anumit grad de incertitudine.
Analiza calitativă a riscului reprezintă un proces de evaluare prin stabilirea unei
prioritizări a riscurilor în funcție de efectul lor potențial asupra sistemului (potențial de
pierdere). Analiza calitativă reprezintă o modalitate de determinare a importanței riscurilor
identificate și un ghid pentru măsurile de răspuns la acestea. Această metodă de abordare a
analizei riscului este cea mai răspândită, fiind utilizată doar valoarea pierderii potențiale
estimate. Cele mai multe metodologii pentru analiza calitativă a riscului folosesc un set de
elemente corelate: amenințări, vulnerabilități și controale, care trebuie să fie proporționale cu
gradul de criticitate al sistemului informatic și probabilitatea producerii unui eveniment
nedorit.
Analiza cantitativă a riscului este procesul prin care se urmărește evaluarea numerică
a probabilității și impactului fiecărui risc asupra obiectivelor sistemului și influența sa
în riscul general al sistemului. Acest model de analiză a riscului are ca element
central determinarea probabilității de producere a unui eveniment și estimarea pierderilor
probabile (impactul) pe care acesta le-ar produce. Analiza cantitativă face posibilă o
ierarhizare a evenimentelor în ordinea riscului, prin calculul valorii unui eveniment și
prin multiplicarea pierderilor potențiale cu probabilitatea de manifestare a evenimentului.
Analiza cost-beneficiu trebuie să fie inclusă în procesul de luare a deciziilor deoarece
face o estimare și o comparație între valorile relative și costurile asociate cu fiecare
control propus; practic reprezintă criteriul de eficiență folosit pentru alegerea controlului care
va fi implementat.
Utilizată ca instrument de fundamentare a deciziilor, analiza cost-beneficiu constă în
compararea costurilor totale cu beneficiile exprimate în termeni financiari. Costurile trebuie
să includă atât costul cu achiziția echipamentului, cât și costurile de operare (mentenanța,
instruirea utilizatorilor, consumabile etc.) și costul de oportunitate.
Metode de evaluare a riscurilor
Sistemele informatice actuale sunt esențiale pentru desfășurarea proceselor operaționale în
majoritatea organizațiilor. Deciziile cu privire la protecția infrastructurilor IT pentru
obținerea unui randament optim al investițiilor în securitate implică necesitatea ierarhizării pe
baza importanței în cadrul sistemului. În acest sens au fost dezvoltate o serie de

117
metode și instrumente pentru dezvoltarea domeniului managementului riscului. Astfel,
ENISA (Agenția Europeană pentru Securitatea Rețelelor Informatice și a Datelor)
propune o serie de criterii de evaluare a metodologiilor de management al riscului bazate
pe elemente esențiale ale domeniului: identificare, analiză, evaluare, estimare, acceptare,
tratare și comunicare.
În accepțiunea ENISA, separarea etapelor de identificare, analiză și evaluare a
riscurilorcontribuie la o mai bună coordonare a procesului consolidat de management al
riscului. Practic, managementul riscului se concentrează pe partea de tratare, acceptare și
comunicare a riscului, activități în general specifice managementului.

Figură 2. Etapele procesului de management al riscului

Este unanim acceptat de experții din domeniul securității informațiilor că estimarea

riscurilor este parte a procesului de management al riscului (care se ocupă cu
estimarea, planificarea, implementarea, controlul și monitorizarea controalelor
implementate) și a politicilor de securitate aplicate.
Printre cele mai utilizate instrumente și metode de estimare a riscurilor se numără
metodologiile OCTAVE și NIST SP 800-30 Risk Management Guide for Information
Technology Systems. OCTAVE se concentrează pe estimarea riscului, iar NIST SP 800-30
are tendința de studia amănunțit probleme tactice, organizatorice, fiind mai apropiat de
abordarea standardizată, în strânsă legătură cu planificarea convențională și ciclurile de
dezvoltare ale sistemelor.
Adoptarea unor controale de securitate pentru a proteja resursele informatice fără o
evaluare adecvată a riscurilor generează o supraprotecție a resurselor, făcând din securitate un

118
obstacol în calea desfășurării proceselor operaționale sau o protecție neadecvată care va
expune resursa cheie a organizației la diferite amenințări. NIST SP800-30 și OCTAVE
permit organizațiilor să evite aceste probleme prin definirea componentelor esențiale și oferă
un cadru de evaluare sistematică a riscurilor de securitate.

5.2. Analiza structurii atacurilor cibernetice

Esența unei intruziuni constă în faptul că atacatorul cibernetic trebuie să creeze o

metodă prin care să penetreze sistemul de securitate, să se plaseze în mediul informatic
securizat și, de acolo, să acționeze asupra obiectivelor vizate, încălcând
confidențialitatea, integritatea și disponibilitatea datelor, aplicațiilor sau echipamentelor
din acel mediu informatic. Structura atacurilor cibernetice a fost definită de cercetătorii
de la Lockheed Martin prin modelul de intruziune Cyber Kill Chain.
Un model de intruziune este un proces sistematic de urmărire și capturare a
adversarului în vederea obținerii efectelor dorite. În doctrina militară americană sunt definiți
pașii acestui proces:
• găsire: identificarea țintelor adverse în vederea capturării;
• localizare: stabilirea coordonatelor acestor ținte;
• urmărire: observarea și monitorizarea activităților;
• țintire: utilizarea armelor adecvate pentru obținerea efectelor dorite;
• capturare: prinderea adversarului;
• evaluare: estimarea efectelor produse.

Acest proces integrat, punct-la-punct, este descris ca un „lanț” (chain), deoarece

orice deficiență, la oricare nivel, va întrerupe funcționarea întregului proces. Modelul
de intruziune constă în recunoaștere, înarmare, livrare, exploatare, instalare, comandă și
control și acțiuni asupra obiectivelor.

Figură 3. Modelul de intruziune Cyber Kill Chain

119
 Conform termenilor folosiți în descrierea atacului asupra unei infrastructuri
cibernetice sau în spionarea traficului dintr-o rețea de calculatoare, etapele de mai sus constau
în:
• Recunoaștere - cercetarea, identificarea și selectarea țintelor - poate consta
în căutarea adreselor e-mail, a relațiilor sociale sau a datelor despre o anumită
tehnologie, informații afișate pe diverse site-uri Web;
• Înarmare - realizarea unei aplicații de tip malware care, combinată cu o breșă
de securitate exploatabilă, să permită accesul de la distanță. Mai mult, fișiere
de tip PDF sau specifice suitei Microsoft Office pot fi privite ca arme la
dispoziția atacatorului.
• Livrare - transmiterea armei în mediul vizat. Principalele căi de
transport sunt poșta electronică (atașarea unor fișiere infectate),
platformele Web (rularea unor scripturi malware) sau memoriile USB
detașabile.
• Exploatare - după ce arma este livrată victimei, urmează țintirea unei
aplicații sau vulnerabilități a sistemului de operare. Fișierul infectat se poate
folosi de facilitatea de auto-executare pentru a lansa codul malware sau poate
fi executat chiar de utilizator.
• Instalare - infectarea unui sistem victimă cu un troian, backdoor sau altă
aplicație malware de acest tip ce asigură prezența atacatorului în mediul vizat;
• Comandă și control - de obicei o gazdă infectată trebuie să fie accesibilă din
afara rețelei locale pentru a se putea stabili un canal de comandă și control
între victimă și atacator.

Odată realizată această comunicare bidirecțională, un atacator are acces în interiorul

mediului vizat și poate controla activitatea prin lansarea manuală a unor comenzi.
- Acțiuni asupra obiectivelor - după realizarea primelor șase faze, un atacator poate acționa
în vederea atingerii obiectivelor propuse. Aceste acțiuni constau de regulă în colectarea
informațiilor din mediul compromis, modificarea integrității datelor sau atacuri la
disponibilitatea serviciilor și a echipamentelor, însă sistemul victimă poate fi folosit și ca
punct de plecare în infectarea altor sisteme sau pentru accesul în rețeaua locală.

120
Principalele tipuri de atacuri cibernetice la ora actuală sunt realizate prin aplicații malware,
prin refuzul serviciilor (DoS, DDoS), prin afectarea poștei electronice și a aplicațiilor
Web, o
ultimă categorie fiind reprezentată de atacurile tip APT (Advanced Persistent Threat).

Atacurile de tip malware sunt cele mai răspândite forme de atac:

• virușii informatici sunt aplicații cu efecte de cele mai multe ori distructive,
proiectatepentru a infecta un sistem informatic. Virușii prezintă două
caracteristici principale: se auto-execută și se auto-multiplică în sistemul
infectat.
• troienii sunt aplicații ce dau impresia că efectuează operații legitime, dar de
fapt încearcă să exploreze vulnerabilități ale sistemului informatic și să
deschidă porturi în sistemul de operare pentru a permite accesul atacatorilor în
sistem;
• viermii informatici sunt aplicații cu efecte distructive ce infectează sistemul
informatic și se propagă prin Internet. Viermii caută sisteme informatice
cu vulnerabilități, le infectează și efectuează operații dăunătoare, după care
încearcă să se propage mai departe.
• Adware este un tip de aplicație care se instalează în sistemul de operare și
transmite în mod agresiv reclame utilizatorului;
• Spyware este un tip de aplicație care captează pe ascuns diverse
informații despre activitatea utilizatorilor pe Internet;
• Ransomware este un tip de aplicație malware care restricționează accesul
la sistemul informatic sau fișierele infectate și cere o răscumpărare pentru ca
restricția să fie eliminată. Unele tipuri de ransomware criptează datele de pe
hard-disk-ul sistemului, în timp ce altele pot bloca pur și simplu sistemul
informatic și afișa mesaje menite a convinge utilizatorul să plătească.
• Rogueware este o aplicație care induce în eroare utilizatorii să plătească
bani pentru îndepărtarea unor false infecții detectate în sistemul de operare.
De cele mai multe ori, acest tip de aplicații pretind că îndepărtează
malware-ul găsit pe calculatoare, dar în realitate instalează aplicații cu efect
distructiv.

121
 • Scareware este o aplicație ce cauzează utilizatorilor stări de frică, de anxietate,
cu scopul de a comercializa anumite aplicații false.

Atacul prin refuzul serviciilor (DDoS) prezintă ca efect compromiterea funcționării

anumitor servicii de Internet. Unul din cele mai întâlnite atacuri de tip DDoS este atacul
packet flood, prin care se trimite un număr mare de pachete către sistemul victimă ce
are ca efect blocarea conexiunilor deschise și încărcarea traficului de rețea, ducând
până la întreruperea serviciilor oferite de sistemul atacat.
Atacurile la nivelul poștei electronice au crescut exponențial în ultima perioadă. În
funcție de scopul infractorilor cibernetici, atacurile ce se transmit prin e-mail sunt de mai
multe tipuri:
• e-mail bombing constă în trimiterea repetată a unui e-mail cu fișiere
atașate de mari dimensiuni către o anumită adresă de e-mail. Acest atac
duce la umplerea spațiului disponibil pe server, făcând inaccesibil contul de
e-mail.
• e-mail spoofing constă în trimiterea unor mesaje e-mail având adresa
expeditorului modificată. Acest atac este folosit pentru a ascunde identitatea
reală a expeditorului pentru a afla detalii confidențiale sau datele necesare
accesării unui cont.
• e-mail spamming este un atac ce constă în trimiterea de mesaje e-mail
nesolicitate, cu conținut de regulă comercial. Scopul acestor atacuri este
de a atrage destinatarii e-mail-urilor să intre pe anumite site-uri și să
cumpere produse sau servicii mai mult sau mai puțin legitime.
• e-mail pshishing este un atac a cărui amploare este în creștere, constând în
trimiterea de mesaje cu scopul de a determina destinatarii e-mailurilor să
furnizeze informații privind conturile bancare, cardurile de credit, parole sau
alte detalii personale.

Atacurile la nivelul aplicațiilor Web se înmulțesc odată cu dezvoltarea

spectaculoasă a tehnologiilor Web care au dus la conceperea unor platforme interactive,
cu conținut dinamic și având o interacțiune ridicată cu utilizatorii. Aceste noi platforme
prezintă însă și vulnerabilități ce pot fi exploatate de atacatorii cibernetici în scopul de a evita

122
măsurile de securitate și de a accesa în mod neautorizat informațiile din bazele de date. Cele
mai întâlnite atacuri de acest tip sunt:
• SQLi: injecții cu cod sursă SQL (Structured Query Language), prin care un
atacator poate introduce anumite date într-o interogare SQL ce este transmisă
bazei de date, schimbând logica interogării. În acest fel, atacatorul poate evita
mecanismele de autentificare.
• XSS (Cross Site Scripting): atacatorul inserează în cadrul unui site
script-uri ce sunt executate în aplicațiile browser ale victimelor în
momentul în care aceștia vizitează site-ul infectat;
• CSRF (Cross-Site Request Forgery): atacatorul folosește relațiile de
încredere stabilite între aplicațiile Web și utilizatorii autentificați. Astfel,
atacatorul preia controlul asupra sesiunii victimei, având control complet
asupra contului utilizatorului.
• Man in the Middle: atacatorul interceptează comunicarea dintre utilizator
și website, putând prelua datele de acces dacă acestea nu sunt transmise
criptat.

Amenințările persistente avansate reprezintă atacuri cibernetice complexe prelungite, de

ordinul a luni sau ani de zile, îndreptate către o țintă specifică, cu intenția de a compromite
sistemul și de a obține informații din sau despre acea țintă. Țintele pot fi persoane, companii,
guverne sauorganizații militare. Atacul de tip APT constă, de obicei, în mai multe atacuri
cibernetice diferite.
Etapele unui atac de tip APT constau, de regulă, în colectarea informațiilor referitoare la
țintă, identificarea unui punct vulnerabil și exploatarea acestuia, infectarea țintei și
transmiterea informațiilor strategice extrase. Astfel de atacuri pot fi realizate de state sau
organizații teroriste care dispun de capabilități tehnologice și resurse financiare importante,
necesare derulării unor astfel de atacuri cibernetice de complexitate ridicată.

CONCLUZII

Operarea calculatoarelor trebuie să asigure funcţionarea fără riscuri şi în bune condiţii

a resurselor organizaţiei. Această funcţie vizează atât echipamentele şi aplicaţiile software,
cât şi celelalte elemente necesare procesării informaţiei şi susţinerii funcţiilor de afacere.

123
 Practicile de control recomandate pentru asigurarea operării de o manieră corectă şi
sigură, constau în documentarea procedurilor de operare, controlul modificărilor aduse
sistemului informatic, atât la nivel hardware cât şi software, formalizarea tratării incidentelor
de securitate şi separarea responsabilităţilor.

Dinamica mediului informaţional dată de schimbările tehnologice continue cât şi de

apariţia de noi cerinţe din partea afacerii supune sistemul informatic la noi dezvoltări.
Dezvoltarea şi testarea modificărilor aduse sistemului existent pot cauza probleme serioase
operării curente. Pentru a controla aceste riscuri sunt recomandate separări clare ale
responsabilităţilor între dezvoltare, testare şi exploatare susţinute şi de o separare a mediilor
folosite pentru aceste activităţi.

Accesul programatorilor pe mediul de producţie nu ar trebui permis, iar dacă anumite

situaţii excepţionale o cer, atunci ar trebui controlat îndeaproape.

Planificarea capacităţii sistemului este un alt obiectiv al operării calculatoarelor care

are ca obiectiv minimizarea riscurilor întreruperii sistemului ca urmare a atingerii capacităţii
maxime de procesare.

Asigurarea unei capacităţi corespunzătoare de procesare implică o planificare

riguroasă a activităţilor sprijinite de sistemul informaţional.

Trebuie dezvoltate proceduri şi mecanisme de raportare care să identifice utilizarea

necorespunzătoare a resurselor precum şi perioadele de utilizare.

Protecţia împotriva software-ului maliţios este un aspect important întrucât cea mai
mare ameninţare a activelor informatice este dată de pierderea sau indisponibilitatea datelor
ca urmare a infestării cu viruşi informatici. În toate sondajele, viruşii se află printre primele
locuri ca sursă a incidentelor de securitate. Milioane de viruşi informatici sunt raportaţi anual.
Protecţia împotriva viruşilor nu o asigură doar administratorul sistemului, ci şi utilizatorul.

Asigurarea integrităţii datelor şi a aplicaţiilor software necesită măsuri de protecţie

prin care să se prevină şi să se detecteze introducerea unor aplicaţii ilegale în sistemul
organizaţiei.

Aplicaţiile tip antivirus trebuie instalate pe toate calculatoarele din sistem iar
utilizatorii trebuie instruiţi cu privire la folosirea acestora.

Alte aspecte ce fac obiectul managementului operării şi comunicaţiilor vizează:

- întreţinerea sistemului, incluzând realizarea copiilor de siguranţă, întreţinerea

jurnalelor de operare, menţinerea înregistrărilor cu erori de operare şi execuţie;

- managementul reţelei, necesar asigurării reţelelor de calculatoare:

- manipularea şi securitatea mediilor de stocare, pentru a preveni întreruperea

activităţilor afacerii;

124
 - schimbul de aplicaţii şi date între organizaţii, pentru a preveni pierderea, alterarea
sau utilizarea improprie a informaţiei.

Întreţinerea sistemului are ca obiectiv menţinerea disponibilităţii şi integrităţii serviciilor IT.

Trebuie dezvoltate proceduri specifice care să descrie acţiunile prin care se realizează
întreţinerea serviciilor şi echipamentelor IT. Întreţinerea sistemului trebuie să fie un proces
continuu care să includă obligatoriu instalarea corecţiilor de securitate a aplicaţiilor,
sistemelor de operare şi sistemelor de gestiune a bazelor de date, realizarea copiilor de
siguranţă, jurnalizarea activităţilor realizate în şi de către sistem.

Managementul reţelei are ca obiectiv asigurarea protecţiei datelor transmise prin reţea
şi a infrastructurii fizice a reţelei.

Pentru protecţia reţelei sunt disponibile tehnologii specializate ce pot fi folosite în

implementarea măsurilor de securitate şi atingerea obiectivelor de control:

- filtru – set de reguli implementate la nivelul unui router sau firewall prin care
acesta permite tranzitarea sau nu a traficului către şi dinspre reţeaua unei
companii;

- firewall – dispozitiv prin care este controlat traficul dintre reţeaua companiei şi
reţelele externe acesteia;

- Sistem pentru Detectarea Intruziunilor (IDS – Intrusion Detection System),

dispozitiv (hardware sau software) dedicat inspectării traficului unei reţele cu
scopul identificării automate a activităţilor ilicite;

- criptare comunicaţii – procesul prin care datele sunt aduse într-o formă
neinteligibilă persoanelor neautorizate;

- Reţea Virtuală Privată (VPN – Virtual Private Network) - o reţea care permite
comunicarea între două dispozitive prin intermediul unei infrastructuri publice
(nesigure)

- zona demilitarizată (DMZ) este o parte a reţelei care permite accesul controlat din
reţeaua Internet. Maşinile dependente de accesul direct la reţeaua Internet, cum ar
fi serverele de email şi cele de web sunt adesea plasate în astfel de zone, izolate de
reţeaua internă a organizaţiei.

Măsurile tehnice singure nu pot asigura nivelul de protecţie necesar, fără un

management corespunzător.

Prevenirea distrugerii mediilor de stocare al cărei efect s-ar concretiza în întreruperea

serviciilor sistemului informatic s-ar putea asigura prin controlarea şi protejarea mediilor de

125
stocare. Trebuie dezvoltate proceduri prin care este controlat accesul la orice mediu de
stocare şi la documentaţia sistemului.

126