♦ După o săptămână în care cadastrul a stat blocat, un auditor care verifică de 25 de ani sisteme informatice declară pentru ZF că soluţia nu e încă o instituţie, ci un model simplu: „control central, servicii comune şi responsabilitate locală clară“ - cu un DNSC întărit ca personal, capacitate tehnică şi inspecţie, şi cu servicii comune de securitate oferite de stat instituţiilor care nu-şi pot permite propriii experţi ♦ Amenzile pentru instituţiile publice nu rezolvă nimic, a argumentat el: „amenzile plătite din buget au un efect redus. În final, tot contribuabilul achită sancţiunea“; ce ar durea cu adevărat: evaluarea conducerii, aprobarea proiectelor noi şi accesul la finanţări - „o instituţie care nu îşi poate proteja sistemele actuale nu ar trebui să primească automat bani pentru încă un proiect de digitalizare“ ♦ Diagnosticul lui, susţinut de ce vede în audituri: între ce scrie în legi şi ce există efectiv în infrastructurile publice, distanţa e „cam cât de la Pământ la Lună“ - instituţii fără inventarul sistemelor („informaţiile acestea sunt în mintea unui om şi nicăieri fizic“), conturi instituţionale folosite la cumpărături online „cu aceeaşi parolă ca cea de la serviciu“ şi bani daţi pe consultanţă despre sisteme care nici nu există în infrastructură ♦ În cazul ANCPI „nu există nicio scuză“ pentru peste şapte zile de indisponibilitate - „există organizaţii cu sisteme mult mai complexe şi cu timp maxim de restaurare totală de 48 de ore“; iar miza e a tuturor: „datele acelea nu sunt ale ANCPI: sunt date despre identitatea noastră, despre proprietăţile noastre“
Atacul cibernetic de le Agenţia pentru Cadastru (ANCPI), care a blocat de peste o săptămână activitatea instituţiei dar şi piaţa imobiliară ar trebui să fie declanşatorul unei schimbări de substanţă a modului în care este tratată securitatea cibernetică în mediul public: nu inventarea unei instituţii noi ci întărirea celor existente şi introducerea unor sancţiuni cu impact real pentru autorităţile şi echipele de conducere care tratează superficial subiectul.
„România nu are nevoie de mai multe hârtii. Are nevoie ca riscul cibernetic să producă efecte concrete asupra bugetelor, proiectelor şi carierelor manageriale“, a declarat pentru ZF Adrian Munteanu, profesor universitar doctor la Facultatea de Economie şi Administrarea Afacerilor a Universităţii „Alexandru Ioan Cuza“ din Iaşi, auditor de securitate cibernetică atestat de DNSC şi expert al ENISA - agenţia Uniunii Europene pentru securitate cibernetică - în managementul riscurilor, cu 25 de ani de misiuni de audit în spate. Adică un expert plătit să verifice, pe teren, dacă apărarea instituţiilor există sau doar figurează în documente.
El spune că reflexul sectorului public de a înfiinţa o nouă instituţie de fiecare dată când apare o problemă nu ar ajuta la nimic în acest caz. „Nu cred că România are nevoie de încă o instituţie“, a declarat Munteanu. „De fiecare dată când a apărut câte o problemă, rezolvarea a fost să mai construim o structură, un comitet sau un mecanism de coordonare. În practică, aceasta poate duce la şi mai multă fragmentare şi la diluarea responsabilităţii.“
DNSC - Directoratul Naţional de Securitate Cibernetică, autoritatea naţională în domeniu - trebuie întărit „din punct de vedere al personalului, al capacităţii tehnice, al inspecţiei şi al urmăririi remedierilor“, a arătat el. Dar cu o limită structurală: „DNSC nu poate administra securitatea fiecărei primării, agenţii sau autorităţi. Fiecare conducător de instituţie trebuie să rămână responsabil pentru propriile sisteme.“
Statul nu are cum să pună câte o echipă de elită în fiecare instituţie, a insistat Munteanu. „Trebuie să acceptăm realitatea: nu fiecare instituţie publică poate avea propriul centru de operaţiuni de securitate (SOC), propriii experţi în malware şi o echipă completă de răspuns la incidente (CERT). Nu există suficienţi oameni şi nici suficiente resurse“, a explicat Munteanu. Soluţia lui: statul să ofere servicii comune - „monitorizare de securitate, gestionarea vulnerabilităţilor, protecţia identităţilor, backup securizat şi sprijin pentru răspunsul la incidente“ - pe care instituţiile mici şi mijlocii să le consume, în loc să mimeze fiecare, pe cont propriu, o apărare pe care nu o pot susţine.
El susţine că „nici centralizarea totală nu este o soluţie. Dacă toate instituţiile depind de aceeaşi infrastructură, de acelaşi furnizor şi de acelaşi domeniu de administrare, un singur incident poate deveni o criză naţională.“ Sinteza lui, într-o singură frază: „Modelul realist este control central, servicii comune şi responsabilitate locală clară.“
Un subiect pe care ZF l-a ridicat expres în întrebare a fost cel al unui CIO guvernamental - un director de tehnologie al statului, funcţie pe care România nu o are nici acum, deşi a fost promisă: încă din martie, vicepremierul Oana Gheorghiu, care şi-a asumat coordonarea digitalizării statului, a anunţat recrutarea unui director de IT guvernamental. De atunci, niciun progres nu a fost anunţat public, iar guvernul care a făcut promisiunea a fost între timp demis - astfel că funcţia a rămas, deocamdată, un anunţ fără urmare. Nu e, de altfel, nici prima încercare: România a mai creat în trecut o asemenea funcţie, iar experimentul a eşuat. Iar avertismentele că statul se îndreaptă exact spre o criză de acest tip sunt la rândul lor vechi: Călin Rangu, vicepreşedinte al CIO Council, asociaţia directorilor de IT din România, a avertizat public în iulie 2025, într-o discuţie cu ZF, că digitalizarea statului riscă să rămână un „haos care toacă bani“ fără o „resetare“ a întregului ecosistem, în care „competenţa să bată influenţa politică“.
Munteanu afirmă că acest director de IT guvernamental ar fi util doar dacă ar avrea puteri reale.
„Un CIO guvernamental ar putea fi util, dar numai dacă are putere reală. Un CIO care emite recomandări pe care ministerele le pot ignora nu va schimba nimic. Ar deveni doar încă o funcţie decorativă.“ Ca să conteze, a precizat el, un asemenea om „ar trebui să poată opri proiectele prost concepute, să impună standarde comune, să aprobe arhitectura sistemelor majore şi să condiţioneze finanţarea de respectarea unor cerinţe minime de securitate şi interoperabilitate“ - iar rolurile ar trebui separate clar: CIO-ul să răspundă de arhitectura şi guvernanţa tehnologică a statului, în timp ce DNSC stabileşte cerinţele de securitate, supraveghează aplicarea lor şi coordonează răspunsul la incidente.
De ce amenzile nu rezolvă nimic - şi ce ar durea cu adevărat - să nu primeşti bani pentru digitalizare dacă se dovedeşte că ai fost neglijent în trecut
Munteanu atacă frontal una dintre iluziile dezbaterii publice: că sancţiunile financiare ar disciplina instituţiile statului. „În sectorul public, amenzile plătite din buget au un efect redus. În final, tot contribuabilul achită sancţiunea“, a punctat el. Observaţia are acoperire şi în legislaţie: pentru încălcări ale protecţiei datelor, de pildă, autorităţile publice beneficiază deja de un regim special prin Legea 190/2018 - întâi plan de remediere, iar amenzile sunt plafonate la un nivel de ordinul sutelor de mii de lei, în timp ce o companie privată riscă, pentru aceeaşi faptă, sancţiuni de până la 20 de milioane de euro sau 4% din cifra de afaceri. Cu alte cuvinte, chiar şi acolo unde amenzi există, ele sunt mici - şi tot din bani publici se plătesc.
Ce ar funcţiona, în schimb? „Este mai eficient ca deficienţele grave să afecteze evaluarea conducerii, aprobarea noilor proiecte şi accesul la finanţări“, a transmis Munteanu. El propune şi un mecanism care chiar ar putea să aibă efecte: „O instituţie care nu îşi poate proteja sistemele actuale nu ar trebui să primească automat bani pentru încă un proiect de digitalizare.“
O asemenea propunere ar lovi automat în instituţii precum ANCPI. Conform datelor ZF ANCPI a derulat, în aproape 20 de ani, contracte de IT şi digitizare de circa 710 milioane de lei, în timp ce bugetul alocat explicit pentru securitatea cibernetică a rămas o linie de sub 1,6 milioane de lei, circa 0,2.
Răspunderea, a insistat el, trebuie să fie graduală: „Mai întâi, plan obligatoriu de remediere. Apoi, reverificare. Dacă problemele sunt ignorate, trebuie blocate anumite investiţii şi trebuie afectată evaluarea managerială. Dacă există fals, ascundere deliberată sau neglijenţă gravă, trebuie aplicate sancţiuni personale.“
Munteanu nu cere capul niciunui şef de instituţie pentru simplul fapt că a fost atacat. „Nu orice atac reuşit trebuie să ducă automat la sancţionarea conducerii. Nicio organizaţie nu poate garanta că nu va fi niciodată compromisă. Întrebarea este dacă instituţia a luat măsuri rezonabile, dacă a remediat riscurile cunoscute şi dacă a reacţionat corect“, a transmis el. Linia roşie e alta: „Neglijenţa apare atunci când conducerea ştia că există sisteme vulnerabile, backupuri neverificate, conturi necontrolate sau recomandări de audit neaplicate şi a ales să nu facă nimic.“
Pe fond, el respinge şi ideea că statul ar merita un tratament mai blând decât privatul - tema dublului standard, ridicată în dosarul ANCPI şi de alţi specialişti consultaţi de ZF. „Statul nu trebuie să beneficieze de un standard mai scăzut. Există instituţii publice care gestionează date şi servicii mult mai sensibile decât companiile private: proprietăţi, identitate, sănătate, taxe, justiţie sau evidenţa populaţiei“, a arătat Munteanu.
Printre măsurile lui pentru schimbări măsurabile se numără, de altfel, „definirea explicită a responsabilităţii organului de conducere şi în cazul instituţiilor publice, la fel cum este în cazul celor private, aflate sub incidenţa NIS2“ - directiva europeană de securitate cibernetică care, pentru companiile din sectoarele esenţiale, face conducerea direct răspunzătoare. Lista lui continuă cu evaluări şi audituri independente „bazate pe probe tehnice, nu doar documentare“, indicatori standardizaţi de maturitate şi risc, termene obligatorii pentru remedierea constatărilor critice, reverificarea tehnică a măsurilor declarate ca asumate şi integrarea criteriilor de securitate în finanţarea şi aprobarea proiectelor publice.
Iar după un incident, cetăţeanul nu mai poate fi ţinut în ceaţă. „Este necesară şi mai multă transparenţă. După un incident major, cetăţenii trebuie să afle ce servicii au fost afectate, ce tipuri de date pot fi expuse, ce trebuie să facă pentru a se proteja şi ce măsuri ia instituţia“, a transmis Munteanu - este exact ce nu a făcut ANCPI în ultima săptămână, în care agenţia a respins relatările publice fără a oferi fapte verificabile.
„Hârtia nu opreşte atacatorul“: de ce nu funcţionează sistemul actual
„Problema României nu este lipsa instituţiilor şi nici lipsa strategiilor“, punctează Adrian Munteanu. „Problema este că, între ceea ce scrie în legi/regulamente/ordine/instrucţiuni (bun sau nu) şi ceea ce există efectiv în infrastructurile publice, distanţa este foarte mare. Cam cât de la Pământ la Lună“, subliniază el.
România are instituţii de coordonare, reglementare, control şi răspuns la incidente, a arătat el, şi totuşi „în multe entităţi publice nu sunt respectate consecvent nici măcar reguli elementare din ABC-ul securităţii: inventarierea sistemelor, controlul accesului privilegiat, segmentarea reţelelor, actualizarea sistemelor, testarea backupurilor şi pregătirea pentru continuitatea activităţii“.
O parte din explicaţie stă în locul unde e aşezată securitatea în organigramă - aceeaşi observaţie pe care au făcut-o, în dosarul ZF, şi alţi specialişti din piaţă. „În administraţia publică (uneori şi în sectorul privat), securitatea este încă tratată prea des ca o problemă a departamentului IT. Aceasta este o eroare fundamentală“, a transmis Munteanu. „Directorul IT nu poate decide singur cât risc acceptă instituţia, ce sisteme trebuie înlocuite, ce buget se alocă şi cât timp poate rămâne un serviciu indisponibil. Acestea sunt responsabilităţi ale conducerii.“
Cealaltă parte a explicaţiei e o industrie întreagă a formei fără fond. „Mai există şi o cultură a conformităţii formale, cumpărată «prin consultanţă»: instituţia are o politică de backup, dar nu poate demonstra că a restaurat complet sistemele. Are un plan de continuitate, dar nu l-a testat. Are un registru al riscurilor, dar vulnerabilităţile critice rămân deschise cu lunile sau chiar cu anii“, a descris el mecanismul. Concluzia: „Ne-am obişnuit să confundăm existenţa unei hârtii cu existenţa unui control. În securitate, hârtia nu opreşte atacatorul.“
Schimbarea reală, afirmă Munteanu, „ar presupune controale tehnice independente, teste obligatorii de restaurare, termene clare pentru remedierea vulnerabilităţilor şi responsabilitate managerială. Nu este suficient ca instituţia să declare că este conformă. Trebuie să demonstreze că măsurile funcţionează.“ Sau, în formularea lui cea mai simplă: „nu mai trebuie să verificăm doar dacă există procedura, ci dacă instituţia poate supravieţui unui incident real“.
Realitatea din teren, văzută de un auditor: parole de serviciu la cumpărături online şi consultanţă pentru sisteme inexistente
Întrebat care e situaţia reală din instituţiile publice - cea de la care ar trebui să plece orice plan -, Munteanu a răspuns din experienţa directă de auditor. „Situaţia este foarte inegală. Există instituţii publice care au oameni competenţi şi sisteme rezonabil administrate (mai puţine, ce-i drept). Există însă şi instituţii în care infrastructura depinde de una sau două persoane, de furnizori externi şi de aplicaţii vechi, slab documentate“, a transmis el.
Prima problemă, surprinzător de banală: instituţiile nu ştiu ce au. „Una dintre cele mai frecvente probleme este că instituţiile nu au un inventar complet al sistemelor. Nu ştiu exact câte aplicaţii au, ce servere sunt active, cine are acces privilegiat, ce date sunt procesate şi ce furnizori se pot conecta de la distanţă. Informaţiile acestea sunt în mintea unui om şi nicăieri fizic“, a descris Munteanu. Tot acolo stă adesea şi toată cunoaşterea tehnică a instituţiei - concentrată, a arătat el, în „capul“ a 2-3 angajaţi supraîncărcaţi de sarcini tehnice şi administrative, cu documentaţia lipsă şi riscuri operaţionale pe măsură.
A doua: sisteme depăşite tehnologic - „EOL“, adică ajunse la finalul ciclului de viaţă, pentru care producătorul nu mai oferă actualizări - care continuă să susţină servicii critice. „Unele aplicaţii sunt atât de vechi încât nu mai pot fi actualizate“, a arătat el; altele ar putea fi actualizate pentru a elimina o vulnerabilitate cunoscută, „dar nu există buget pentru aşa ceva“, iar înlocuirea se amână pentru că e costisitoare, complicată şi poate afecta funcţionarea instituţiei.
A treia e disciplina accesului. „Controlul accesului este deseori slab. Există conturi comune, parole reutilizate şi slabe, drepturi administrative excesive şi conturi care rămân active după plecarea angajaţilor sau a contractorilor“, a enumerat Munteanu. Apoi detaliul care spune totul despre igiena digitală din administraţie: „Conturile instituţionale sunt folosite pentru shopping online sau în contul furnizorului de Internet/TV/telefonice. În multe cazuri cu aceeaşi parolă precum cea de la serviciu.“
Urmează backupul - punctul nevralgic al întregului caz ANCPI, în care agenţia a susţinut că dispunea de copii de siguranţă „în mai multe locaţii“, dar restaurarea durează de peste o săptămână, fără termen anunţat. Munteanu a formulat testul simplu care desparte backupul real de cel declarativ: „Multe instituţii afirmă că au copii de siguranţă. Întrebarea corectă este alta: când a fost făcută ultima restaurare completă şi cât a durat? Dacă backupul nu a fost testat, nu putem şti dacă este utilizabil.“ Şi a adăugat o paralelă personală: „Pentru mine este un déjà vu: atacul asupra spitalelor, prin intermediul furnizorului aplicaţiei, de acum 2 ani“ - trimitere la valul din februarie 2024, când zeci de spitale româneşti au fost blocate de un atac ransomware venit prin furnizorul aplicaţiei informatice comune.
Mai e dependenţa de furnizori - tema care, în cazul ANCPI, are corespondent direct în lista fragmentată de firme care întreţin sistemul. „Instituţiile cumpără aplicaţii sau servicii, dar nu se asigură întotdeauna că au documentaţia, codul-sursă, dreptul de a schimba furnizorul sau capacitatea de a opera sistemul dacă firma respectivă dispare“, a transmis Munteanu. Şi exemplul lui de absurd administrativ, văzut în teren: „cum să dai bani pe consultanţă/«hârtii» care îţi vorbesc despre Active Directory fără nici cea mai mică urmă de aşa ceva în infrastructură?“ - Active Directory fiind sistemul standard prin care o organizaţie îşi administrează centralizat utilizatorii şi drepturile de acces.
Chiar şi acolo unde există scanări tehnice de securitate, ele rămân adesea fără consecinţe. „Scanarea tehnică, dacă există, nu este întotdeauna integrată într-un proces complet de remediere. Pot lipsi criteriile de prioritizare, termenele în funcţie de criticitate, excepţiile aprobate şi reverificarea după remediere“, a arătat el. Iar aici Munteanu a făcut legătura directă cu ANCPI, pe baza unei declaraţii publice: „Declaraţia publică a directorului DNSC în cazul ANCPI, potrivit căreia breşele exploatate fuseseră semnalate anterior instituţiei, este un exemplu disponibil în surse deschise al exact acestei deficienţe: existenţa alertei nu a fost urmată de un proces de remediere cu termen şi reverificare.“ Cu o nuanţă tehnică importantă: „o alertă cu scor mic poate fi trecută cu vederea, dar de fapt ea să fie poarta de intrare către un sistem critic“.
La toate acestea se adaugă jurnalele de sistem - logurile, evidenţele automate care înregistrează cine a accesat ce şi când: „fie incomplete, fie păstrate local, fie nerevizuite, fie pur şi simplu nu există. În aceste condiţii, instituţia poate avea dificultăţi în determinarea momentului iniţial al compromiterii şi a acţiunilor executate de atacator“, a transmis Munteanu - o posibilă explicaţie, printre altele, pentru care anchetele de acest tip durează.
Şi, în fine, reflexul care transformă incidentul tehnic în criză de încredere: „Atunci când incidentul este perceput predominant ca o problemă reputaţională, există riscul raportării întârziate, al minimizării şi al pierderii unor probe importante.“ Exemplul lui, tot din surse deschise, e chiar comunicarea ANCPI: „instituţia a comunicat, la destul de mult timp după atac, că datele administrate nu au fost compromise. Dar ulterior, atacatorul a revendicat public scoaterea la vânzare a aceloraşi date. Această contradicţie, vizibilă în surse deschise, ilustrează riscul de a comunica o evaluare de impact înainte de finalizarea verificării tehnice complete.“
Suma tuturor acestor observaţii e un tipar: securitate cumpărată pe bucăţi, fără arhitectură. „În multe cazuri, securitatea este construită prin achiziţii separate: un antivirus, un firewall, o soluţie de monitorizare şi câteva licenţe. Dar nu există un proces coerent care să transforme aceste produse într-un sistem funcţional de apărare, nu există o viziune“, a transmis Munteanu. Descrierea se potriveşte cu ce a găsit ZF în achiziţiile ANCPI: aproape două decenii de contracte IT de sute de milioane de lei şi o linie de securitate de sub 1,6 milioane, împărţită pe licenţe şi mentenanţă antivirus la o firmă cu doi angajaţi.
De unde se începe, atunci? Nu de la tehnologii spectaculoase. „Planul de acţiune trebuie să înceapă de la controalele de bază, nu de la tehnologii sofisticate. Mai întâi trebuie să ştim ce sisteme există, cine răspunde de ele, cine are acces, unde sunt datele, ce vulnerabilităţi există şi cum restaurăm serviciile“, a transmis el. „Zece controale aplicate şi testate sunt mai valoroase decât două sute de cerinţe bifate într-un chestionar.“
Cazul ANCPI: „nu există nicio scuză“ pentru şapte zile de blocaj
Fără date concrete din dosarul de investigaţie, Munteanu a refuzat să atribuie vinovăţii înainte de concluziile tehnice: „În cazul ANCPI trebuie să aşteptăm concluziile tehnice înainte de a atribui responsabilităţi precise.“ Dar a trasat o linie pe care ancheta nu o poate muta: indiferent cum a intrat atacatorul, durata blocajului e, în sine, verdictul unei probleme majore de rezilienţă. „Dacă un serviciu public esenţial devine indisponibil pentru o perioadă semnificativă (au trecut 7 zile...), este evident că există o problemă majoră de rezilienţă. Chiar dacă atacul nu putea fi prevenit integral (cel mai rău scenariu), instituţia trebuia să poată limita efectele şi să restabilească rapid serviciile critice! Nu există nicio scuză/justificare în acest caz pentru această durată de întârziere. Există organizaţii cu sisteme mult mai complexe şi cu timp maxim de restaurare totală de 48 de ore“, a transmis el.
Este cea mai clară delimitare formulată până acum în dosarul ANCPI: chiar dacă ancheta va arăta un atacator imposibil de oprit, nimic nu explică de ce un registru naţional al proprietăţii nu a putut fi readus la viaţă în două zile - şi nici măcar într-o săptămână. La data răspunsurilor, ANCPI anunţase doar migrarea aplicaţiilor în Cloudul Guvernamental, cu sprijinul STS, fără vreun termen pentru revenirea serviciilor.
Capacitatea de a relua funcţionarea în cazul unui atac cibernetic precum cel de la ANCPI trebuie să devină un indicator de măsurare a proiectelor de digitalizare din sectorul public, conchide Munteanu. „Digitalizarea serviciilor publice trebuie evaluată împreună cu rezilienţa lor. Un serviciu digital care nu poate fi restaurat într-un termen acceptabil nu este un serviciu public matur, indiferent de nivelul său de automatizare.“
