♦ „Autorităţile au un rol foarte important şi cred că este nevoie şi de mai mult efort, poate şi din partea noastră, să aducem partea de tehnologie, de cunoştinţe, de mod de lucru către autorităţi, să existe un parteneriat“ ♦ „Pe viitor, colaborarea cu autorităţile şi cu mediul privat e importantă pentru că atacurile cibernetice nu pot fi tratate în izolare, necesită colaborare între mai multe entităţi“ ♦ „Există o tendinţă care arată că există o preocupare din ce în ce mai mare şi în România pentru politici de securitate cibernetică“ ♦ „Din fericire, există o cerere foarte mare pentru soluţii de securitate în acest moment, am văzut o foarte mare mobilizare la companiile mari din România.“
Doar 40% dintre companiile din România investesc în securitatea cibernetică, iar pentru a creşte gradul de investiţii şi conştientizarea antreprenorilor în legătură cu securitatea cibernetică este nevoie de educaţie şi de o implicare mai mare a autorităţilor publice, este una dintre concluziile la care au ajuns speakerii prezenţi în cadrul conferinţei ZF Cybersecurity Trends 2024. Protecţia datelor în era AI. Conferinţa a fost realizată de ZF în parteneriat cu Bitdefender, Vodafone, ING şi NTT Data.
„Trebuie să ne uităm la companiile care spun «care e probabilitatea ca un hacker să mă atace pe mine astfel încât să pierd 200.000 euro? eu abia îi fac într-un an!». Pentru că încă sunt multe companii care gândesc aşa. Ponderea acestor companii e mare, dacă excludem băncile, cred că vorbim de aproximativ 60% dintre ele. Celelalte 40% investesc cât pot“, a spus Sergiu Zaharia, Director Cyber Strategy Advisory, Deloitte România.
Bogdan Botezatu, director de cercetare în ameninţări informatice în cadrul Bitdefender, a spus că pentru a se proteja de atacuri cibernetice frecvente şi inedite, companiile, utilizatorii şi autorităţile trebuie să investească în trei factori: educaţie, tehnologie şi reglementare.
„Educaţia este cea mai eficientă şi este cel mai uşor de făcut, trebuie să începem să vorbim clar despre pericole, despre cum arată noua realitate nu numai în cercuri de experţi, ci şi la şcoală, cu părinţii, cu colegii de serviciu, cu cunoscuţii. O vorbă spusă la timpul ei poate să salveze mulţi bani, timp, nervi pierduţi. În al doilea rând, tehnologia este o chestie foarte importantă pe care trebuie să o avem ca plasă de siguranţă. În ultimul rând, reglementări şi procese: ştim cu toţii că nu putem ajunge peste tot cu vorba, cu tehnologia, sunt foarte mulţi oameni care nu au soluţii de securitate, mulţi cărora nu le pasă de spaţiul cibernetic. Guvernele încep să reglementeze tehnologia pentru că este un instrument foarte puternic. La fel cum reglementează guvernul cine conduce maşini pe stradă, cine deţine arme, la fel începe să reglementeze ce pot face companiile ca să-şi vândă produsele în siguranţă şi să nu expună utilizatorii la pericole. În momentul de faţă există mai multe iniţiative - una în Marea Britanie, una în SUA şi cred că, la un moment dat, zona de IoT va fi reglementată într-o mare măsură. Nu numai ea, ci şi folosirea inteligenţei artificiale în produsele multimedia“, a explicat Bogdan Botezatu. Despre parteneriatul între mediul privat şi cel public privind securitatea cibernetică a vorbit şi Romeo Milea, director, Network Deployment & Technology Enterprise Solutions, Vodafone România.
„Noi colaborăm strâns cu autorităţile pe mai multe paliere. Iar pe viitor cred că o colaborare între autorităţi şi mediul privat e foarte importantă pentru că atacurile cibernetice nu pot fi tratate în izolare, ele necesită colaborare între mai multe entităţi“, a spus Romeo Milea.
Ideea a fost susţinută şi de Alin Becheanu, Head of Fraud Monitoring & Prevention, ING Bank România, care a punctat faptul că autorităţile au un rol important în educarea şi creşterea conştientizării la nivelul populaţiei despre ce înseamnă securitatea cibernetică.
„Autorităţile au un rol foarte important şi am văzut că există o viteză mai redusă la noi. Din punctul acesta de vedere, cred că este nevoie şi de mai mult efort, poate şi din partea noastră, să aducem partea de tehnologie, partea de cunoştinţe, partea de mod de lucru către autorităţi, să existe un parteneriat. Ne uităm la ceea ce există în prezent: dacă ai un caz de fraudă, să spunem de fishing, primul lucru care îl face victima este să meargă şi să facă o declaraţie pe hârtie către secţia de poliţie de care aparţine. Gândiţi-vă în era noastră ce înseamnă mai departe procesul investigaţional, ar presupune ca poliţia să înceapă tot pe hârtie, să facă o adresă către bancă, către alte entităţi şi apoi să deruleze investigaţiile. Este absolut inimaginabil lucrul acesta, genul acesta de proces trebuie să fie digitalizat“, a explicat Alin Becheanu.
Dragoş Căţoiu, Head of Sales and Business Development, în cadrul NTT Data, a menţionat faptul că există o tendinţă care arată că există o preocupare din ce în ce mai mare şi în România pentru politici şi soluţii de securitate cibernetică.
„Lucrurile au evoluat destul de mult în zona de cybersecurity. Acest lucru vine şi din expansiunea digitalizării, care a luat avânt în ultimii ani. În acelaşi timp, cred că mai sunt foarte multe lucruri de făcut. Suntem în spatele mediei UE când vine vorba nu numai de securitate cibernetică, cred că mai sunt multe lucruri de făcut când vine vorba despre conştientizare la nivel de mediu economic, mediu de business şi la nivelul mediului politic, legislativ. Unele lucruri sunt făcute după ureche, observăm că trăim o perioadă volatilă din punct de vedere economic, social, geopolitic, lucrurile se schimbă destul de rapid, nu mai există definiţia de trend pentru că trendurile dispar. Apar lucrurile inopinat, iar în acest context cred că este foarte bine să încercăm să fim cât mai conştienţi de pericolul pe care-l reprezintă o vulnerabilitate în securitatea cibernetică. Acest lucru trebuie făcut în primul rând prin informare, nu prin reactivitate“, a spus Dragoş Căţoiu.
Romeo Milea, director, Network Deployment & Technology Enterprise Solutions, Vodafone România
Noi avem o amprentă mare, avem prezenţă în 21 de ţări, avem o vizibilitate foarte bună asupra a ceea ce înseamnă atacuri cibernetice în lume, nu numai în România. Noi ne confruntăm cu circa
5 miliarde de încercări de atacuri, din care 70.000 se concretizează cu investigaţii, iar trendul e crescător. Pe măsură ce tehnologia evoluează spre cloud, spre decuplarea softului de hardware, spre a nu fi încapsulată soluţia de la un singur vendor şi spre mai multă interconectare, există această nişă pe care atacatorii o pot exploata. De asta cred că e foarte important să creăm un awareness foarte bun, nu numai în interiorul corporaţiilor mari, care înţeleg foarte bine riscul la care se expun, dar şi în ceea ce priveşte clienţii. Noi colaborăm strâns cu autorităţile pe mai multe paliere. Pe viitor, colaborarea cu autorităţile şi cu mediul privat e foarte importantă pentru că atacurile nu pot fi tratate în izolare, necesită colaborare între mai multe entităţi.
În viitor, cred că AI o să fie o zonă care ne va aduce multe provocări. Noi ca oameni suntem orientaţi spre trust, iar în security se vorbeşte despre zero trust. Deep fake-ul îşi arată colţii pentru că atacă zona de încredere.
Bogdan Botezatu, director de cercetare în ameninţări informatice, Bitdefender
În ultima perioadă, atacatorii informatici nu numai că au devenit mult mai determinaţi, ci au început să aibă acces infinit la resurse noi, la tehnologii noi, la algoritmi de machine learning foarte ieftini, care să le permită să ducă ameninţările informatice la un alt nivel.
Există o cerere foarte mare pentru soluţii de securitate în acest moment. Ea nu vine neapărat din cauza utilizatorilor şi a victimelor în sine, ci pe seama faptului că tot sistemul acesta de tehnologii implicate în relaţia cu utilizatorul final marşează foarte mult pe ideea că trebuie să-l protejăm pe utilizator pentru ca acesta să fie în siguranţă şi să continue să facă business cu noi. Am văzut o foarte mare mobilizare la companiile mari din România, la companiile care lucrează în segmentul financiar, de exemplu, care încearcă să-şi educe clienţii, să le explice că există un ecosistem de fraudă foarte eficient. Lipsa de educaţie financiară şi de educaţie cibernetică îşi dau mâna aici şi îl conving pe utilizatorul obişnuit să instaleze lucruri pe dispozitivele lui, chiar dacă bunul simţ i-ar zice să nu facă asta.
Mihai Filip, CEO, Oves Enterprise
Atacurile evoluează cu ajutorul AI, dar şi noi, furnizorii de securitate ţinem pasul. Inteligenţa artificială îi ajută pe atacatori să scrie atacuri şi îi ajută să înţeleagă mai multe despre client pentru a putea face mesaje personalizate. Iar pentru că atacurile sunt la un alt nivel, noi trebuie să învăţăm să ne protejăm. Până acum atacurile erau pentru bani, acum sunt făcute doar pentru a face rău.
Noi ca producători de AI suntem atenţi la datele pe care le introducem şi testăm mereu modelele de AI pentru a vedea că nu sunt probleme. Pe de altă parte, eu cred că partea asta de atac încă e destul de „basic“ la noi. Spre exemplu, este un atac celebru, care a avut loc în urmă cu câteva luni, în care o companie din Hong Kong a fost forţată să facă transferul de 25 de milioane de dolari cu ajutorul unui video call în care erau 12 oameni, toţi deep fake, dar se preconizează că au folosit atacatorii resurse de 2 milioane de dolari ca să facă atacul respectiv. Acum nu văd un om din Militar să facă un astfel de atac cu deep fake, nu cred. Deci cumva cred că încă mai avem, dar da, trebuie să ne protejăm.
Dragoş Căţoiu, head of sales and business development, NTT DATA
Cred că lucrurile au evoluat destul de mult în zona de cybersecurity, există o tendinţă care arată că există o preocupare din ce în ce mai mare şi în România pentru politici de securitate cibernetică. Acest lucru vine şi din expansiunea digitalizării, care a luat avânt în ultimii ani. În acelaşi timp, cred că mai sunt foarte multe lucruri de făcut. Suntem în spatele mediei UE când vine vorba nu numai de securitate cibernetică, cred că mai sunt multe lucruri de făcut când vine vorba despre conştientizare la nivel de mediu economic, mediu de business şi la nivelul mediului politic, legislativ.
Dacă noi nu reuşim să conştientizăm anumite pericole la care ne expunem, are grijă UE să ne alinieze la toate standardele de securitate cibernetică. NIS 2 este una dintre aceste reglementări care aliniază statele UE la regulile de securitate cibernetică. NIS 1 a fost introdus pentru prima dată în 2016, adoptat la nivelul ţărilor europene în 2018, în România a fost adoptat în 2019, iar anul trecut Parlamentul European şi Comisia Europeană au luat decizia de a face un update al acestor politici de securitate cibernetică, extinzând numărul sectoarelor care vor fi afectate de această reglementare.
Larisa Găbudeanu, manager departament securitate informatică, BCR
Se pune accent pe trei zone specifice în cadrul organizaţiilor, când vorbim de partea de prevenţie. Una este partea de oameni - investiţii în training şi awarness, dar şi investiţii către clienţi. Mi se pare că atât campaniile în care se detaliază paşii prin care se realizează fraudele sunt importante dar şi partea de exerciţii hands on pentru că sunt de părere că o persoană învaţă mai uşor dacă trece prin exerciţiu concret. O altă arie e cea de tehnologie unde trebuie să fie avute în vedere anumite aplicaţii de securitate care să fie ajustate conform noilor atacuri - modificări de configurări sau implementarea altor tipuri de tooluri. Apoi procesele, pentru că degeaba avem politici şi proceduri interne şi o legislaţie dacă nu există procese clare şi funcţionale în cadrul organizaţiei. Şi mai este partea de protecţie, de detecţie şi cea de recovery.
Un punct care mi se pare că s-a păstrat în timp în zona de atacuri, este acea urgenţă. Lucrurile de urgenţă şi necesitatea unei acţiuni prompte fără întârziere ar trebui să fie unul din punctele care să atragă atenţia utilizatorilor.
Alin Becheanu, head of fraud monitoring & prevention, ING Bank România
Scam sau înşelăciune, cred că acesta este cuvântul de ordine care se întâmplă de ceva timp. Şi înşelăciunile acestea au ajuns de la varianta simplă în care pur şi simplu cineva punea un anunţ de vânzare. Cu ajutorul AI-ului reuşesc cumva să atragă atenţia mult mai mult. Prima ameninţare sunt aceste scamuri care reuşesc cumva să scoată din tiparul obişnuit victima, care în mod normal ar fi destul de greu de convins. Se pare în mediul online avem tendinţa asta de a fi ceva mai creduli şi este bine să fim foarte atenţi la lucrul acesta.
În al doilea rând, în continuare, mesajele de tip phishing au devenit din ce în ce mai bune, în sensul în care atât timp cât există email, SMS, există WhatsApp, există metode prin care poţi transmite zeci de mesaje, este foarte
uşor să trimiţi acele mesaje şi să aştepţi ca persoana să pice efectiv în capcană. Dacă înainte vedeam poate anumite greşeli gramaticale, dacă vedea modul de exprimare pe mesajele care păreau fie trimise de bancă sau de curier sau firma de telefonie, acum vedem că au o calitate mai bună. Vedem totuşi un lucru bun, vedem o etică în modul în care sunt folosite din punct de vedere cibernetic.
Sergiu Zaharia, director, Cyber Strategy Advisory, Deloitte România
Instruirea boardului mai des e importantă, pentru că membrii lui înţeleg mai bine AI decât un CISO (chief information security officer). Iar în momentul în care te duci către ei şi le zici ce înseamnă AI security ei vor înţelege care sunt ameninţările. Iar atunci vor sprijini CISO, vor da informaţia mai jos. Dacă mesajul vine de la CEO care şi face ceea ce predică, e mai puternic decât dacă vine de la CISO.
În ultima perioadă prima întrebare pe care o adresează companiile e „ce putem face pentru a nu mai fi compromişi ca data trecută?“. Deci am început să avem mai multe companii care au fost compromise. Sunt mai multe cazuri decât cele care apar public. Sunt companii care vin şi spun că au fost compromise, au venit alte companii şi ne-au ajutat. Iar aceste companii vor să le facem o strategie şi să le identificăm cele mai critice şi importante lucruri care trebuie fixate pe zona de cybersecurity. Acesta e primul val de clienţi. Şi al doilea val de clienţi sunt companiile (de dimensiuni mici sau medii) care află de la primele ce au păţit şi vor să fie ajutate să îşi facă şi ele o strategie la nivel de proces. Şi aceste lucruri ne bucură. Dar deocamdată sunt puţine astfel de companii.
Andrei Avădănei, CEO, Bit Sentinel
Suntem hiper-reglementaţi, avem enorm de multă legislaţie pe care fiecare companie trebuie să o respecte. Mă gândeam şi la o variantă, cum avem pentru ONG-uri, o soluţie să dăm un procent din impozit. Poate ar fi bine şi pentru cyber-security la companiile mici şi medii să avem un procent din impozit de dat pentru astfel de investiţii, cred că ar rezolva foarte multe probleme.
Companii cum sunt cele din banking, retail, comerţ, care au acces la foarte mulţi utilizatori finali, ar putea inclusiv să simuleze, să se pună în postura atacatorului şi să înceapă să simuleze atacurile către aceşti utilizatori şi să li se explice într-adevăr ce elemente au pierdut din vedere şi cum ar putea să le evite în viitor.
Toată lumea este obligată acum să interacţioneze cu un calculator într-un fel sau altul şi asta practic a sporit expunerea companiilor din România către servicii online. Asta înseamnă că atacatorii atunci vor avea mai multe şanse de reuşită când vor încerca să vizeze ţintele din România. Cu cât vizezi mai multe ţinte, cu atât ştii că rezultatele tale vor fi mai bune.
Valentin Necoară, CTO, CertSIGN
Suntem în 2024, primul audit tehnic pe o reglementare europeană l-am avut prin 2014-2015, când a apărut eIDAS, şi eram foarte contrariaţi şi ne întrebam ce e cu atâtea controale tehnice, dar acelea au fost primele semnale că reglementările o să fie din ce în ce mai aplicate în zona digitală. Zece ani mai târziu avem 5 sau 6 reglementări pe care trebuie să le respectăm şi anual facem 8 audituri pe liniile noastre de business. Când te duci atât de mult în online îţi trebuie reglementare.
Trebuie să avem grijă să nu reglementăm prea mult, dar în opinia mea, acest reglementări care la nivel european pleacă direct din industrie, sunt făcute ca toată lumea să joace corect. Nu mă apuc eu să zic că sunt super securizat şi de fapt nu am nimic în spate. Un audit trebuie să urmărească anumite standarde şi să valideze. Avem în prezent cred că 200 de servicii online - integrări cu diverşi parteneri sau servcii oferite de noi - ceea ce e de 10-15 ori mai mult decât era înainte de pandemie. Când te duci cu atâtea servicii în online suprafaţa de atac creşte exponenţial şi nu mai e suficient să ai un tool, trebuie să lucrezi şi la ce fac oamenii tăi în spatele acelei protecţii a infrastructurii.
Laurenţiu Popescu, security product manager, Orange Business
Avem o grămadă de tehnologii care ne oferă foarte multe locuri pe care le putem analiza şi pe baza cărora generăm acest raport anual, în care vedem tipul de malware sau tipul de atac, dispersia pe geografii, nivelul de severitate, care a evoluat foarte mult. Acum vorbim de 30% din toate atacurile critice, acest procent nu exista acum şapte - opt ani şi o dinamică foarte interesantă şi o să ne uităm un pic şi la câteva pieţe verticale care au fost subiectul acestui atac.
Uitându-mă acuma pe cifrele din raport, în medie pe lună am gestionat în jur de 1 milion de ofense cibernetice, nu aş vrea să le spun atacuri cibernetice, ci ofense cibernetice. Acestea sunt evenimente care pot să aibă un caracter maliţios. Sunt în jur de 1 milion doar în România, din infrastructurile clienţilor pe care îi avem aici. Dacă ne uităm la nivel de Orange CyberDefence, care este centrul nostru regional de cyber security pentru Europa, cifrele sunt mult mai mari. În top, dacă ar fi să mă uit la tipurile de atacuri, s-a cam păstrat acest top faţă de anul trecut. Sunt trei tipuri de atacuri majore: atacurile de tip ransomware - aş putea spune că anul 2023 a fost anul ransomware, urmat de phishing şi atacuri de tip DDOS.
Ion Georgescu, country manager România şi Moldova, Bitdefender
Factorul uman, reglementările, educaţia şi echilibrul sunt elementele importante când vorbim de zona de cybersecurity. Toate se duc în zona de responsabilitate la nivel de individ şi la nivel de organizaţie. Orice proces de digitalizare, transformare digitală, de fapt este menit să ofere în procesele de business eficienţă operaţională, productivitate şi automat compania respectivă să-şi asigure necesarul în postura de cybersecurity şi să minimizeze această suprafaţă de atac pentru a nu fi exploatată.
Vorbim de o strategie de securitate şi definim anumite tehnologii de tipul prevenţie, detecţie, răspuns la incidente, însă ar trebui să avem şi discuţia despre cum testăm vulnerabilităţile într-o infrastructură. Iar cea mai bună metodă este atacul. Orice companie poate beneficia de acest serviciu de la Bitdefender care răspunde la standardele şi reglementările în vigoare, cât şi ajută companiile să ofere o vizibilitate crescută sau o vizibilitate proporţională cu breşele de securitate, astfel încât aceasta să-şi definească foarte bine această strategie de securitate şi strategia de rezilienţă cibernetică.
Andrei Ioniţă, regional director of government affairs and strategic accounts, Bitdefender
Trebuie ca firmele să înţeleagă, companiile, entităţile publice, oricine vrea să facă un test că, pentru a depăşi acel prag minim al zidului de securitate, trebuie să-l şi testezi. Deci trebuie neapărat să-ţi testezi capacitatea de reacţie şi să vezi ce anume trebuie să faci pentru a-ţi îmbunătăţi această postură. Dacă faci asta cu o echipă specializată care face lucrurile acestea zi de zi, testează infrastructuri zi de zi, atunci vei avea cu adevărat o perspectivă foarte bună asupra locurilor care trebuie întărite în infrastructura ta.
Este vorba de perspectivă, trebuie să ai o resursă umană foarte specializată, care să înţeleagă exact ce faci acolo. Dacă dai un tool automat, poate găseşti o portiţă. În Bitdefender noi avem, cred eu, unii dintre cei mai buni specialişti din România ca nivel de aptitudini, dar şi ca volum. Avem cel puţin 40 de ingineri care lucrează permanent împreună cu echipa DRACO în investigarea criminalităţii cibernetice împreună cu Europort şi Interpol. Eu zic că lucrurile acestea spun foarte mult despre resursa super specializată pe care noi o avem în a oferi astfel de servicii.
