◆ „Securitatea nu se cumpără la cutie”: un antivirus, un EDR sau un WAF nu sunt de ajuns, pentru că apărarea reală înseamnă zeci de straturi şi un proces continuu „de oameni, procese şi tehnologie, în ordinea asta” ◆ Problema e structurală şi în privat, şi în public: cyber-ul e tratat „ca o anexă şi, mai grav, ca un subordonat” - stă sub IT în loc să fie lângă IT, cu acces direct la conducere, o eroare pe care regulile NIS2 o fac costisitoare ◆ Într-o propunere separată, publicată pe LinkedIn, Avădănei cere un program naţional de securitate ofensivă coordonat de DNSC: un registru al sistemelor expuse, testare independentă reală, reguli „anti-bifă” şi consecinţe clare pentru autorităţile care nu remediază
Atacul care a paralizat cadastrul din 14 iulie nu e nici opera unui hacker genial, nici eşecul unei singure instituţii - ci simptomul unei probleme sistemice, care loveşte deopotrivă sectorul public şi pe cel privat, e concluzia lui Andrei Avădănei, fondator şi CEO al companiei de cybersecurity Bit Sentinel. Iar diferenţa pe care o vede el ţine de tratament: în vreme ce o companie privată lovită de un atac e obligată la transparenţă şi la notificarea autorităţilor şi a clienţilor, o instituţie a statului se refugiază, aproape de fiecare dată, într-o „defecţiune tehnică” - un dublu standard pe care expertul îl consideră nejustificat.
„Este oarecum ironic că, în timp ce mediului privat i se impun transparenţa şi notificarea autorităţilor, victimelor şi clienţilor afectaţi, în cazul incidentelor din instituţiile publice explicaţia aleasă este, aproape invariabil, «o defecţiune tehnică»”, scrie într-un răspuns la un set de întrebări transmis de ZF Andrei Avădănei, unul dintre cei mai cunoscuţi specialişti în securitate cibernetică de pe piaţa locală.
Fondator şi CEO al Bit Sentinel, companie din Bucureşti care testează prin simulări de atac apărarea cibernetică a altor organizaţii, Avădănei este şi iniţiatorul conferinţei DefCamp - cea mai mare din Europa Centrală şi de Est pe securitate cibernetică - şi al competiţiei naţionale UNbreakable România. Analiza lui despre atacul de la ANCPI, pe care o redăm integral, mută discuţia de la o singură instituţie la un model pe care îl consideră defect din temelii, în egală măsură în sectorul public şi în cel privat.
Textul lui începe de la felul în care a fost primită informaţia privind atacul de la ANCPI. „Cadastrul ţării, blocat de mai bine de trei zile. Probabil cel mai grav atac asupra unei instituţii publice pe care l-am văzut în România. Şi, ca de fiecare dată, ne-am făcut cu toţii experţi peste noapte - la fotbal, la război, la sănătate, iar acum la cyber security. «Ce varză, ce uşor a fost, unde s-au dus banii.»”
„Din poziţia cuiva care face asta zilnic, alături de colegi printre cei mai buni din lume, realitatea e mult mai puţin spectaculoasă şi mult mai incomodă”, continuă el. „Nu vreau să neg gravitatea sau responsabilitatea autorităţii şi echipelor implicate. Vreau să explic ce s-a întâmplat, de ce se întâmplă şi ce ar trebui să facem - pentru că problema nu e ANCPI. E sistemică.”
Iar miza, subliniază Avădănei, depăşeşte statul: „În fiecare lună, doar în România, zeci de companii şi sute de persoane fizice cad pradă unor atacuri asemănătoare. Chiar şi giganţi din Fortune 500 au fost compromişi serios. Diferenţa la ANCPI e că vorbim de un registru naţional de care depinde toată lumea - de la notari şi bănci, până la omul care tocmai îşi cumpără un apartament.”
Ce s-a întâmplat, pe scurt
„Nu a picat un site. Nu a fost «o defecţiune tehnică», cum s-a comunicat iniţial”, scrie el. „Atacatorul şi-a publicat singur paşii - o serie de capturi care descriu cum a intrat şi cum s-a mişcat prin reţea. Traseul, dacă e real, spune totul: a pornit dintr-o componentă de acces/identitate expusă în internet, a pivotat prin serverele de aplicaţii, a ajuns la depozitul de cod-sursă (unde ar fi copiat codul e-Terra şi RENNS), la sistemul de monitorizare, apoi la stratul de virtualizare şi la infrastructura de backup, iar la final la controllerul de domeniu - şi a oprit tot. Asta nu e «un bug». E cineva care a ajuns să deţină toată casa, de la uşa din faţă până la seiful cu copiile de siguranţă.”
Expertul insistă pe distincţia dintre versiuni: „Aici trebuie să fim corecţi cu faptele: ANCPI susţine că datele nu au fost compromise. Atacatorul susţine exact opusul - exfiltrare de date ale cetăţenilor, furt de cod-sursă, ransomware şi ştergerea backup-urilor. Ambele nu pot fi adevărate; răspunsul îl va da investigaţia criminalistică, nu comunicatele. Dar chiar şi partea confirmată - o instituţie naţională căzută complet, zile la rând - e suficient de gravă.”
De ce se întâmplă asta
„Adâncimea compromiterii spune mai mult decât orice comunicat”, scrie Avădănei. „Ca să ajungi de la o componentă expusă până la stratul de virtualizare, la backup-uri şi la controllerul de domeniu, îţi trebuie o reţea plată sau prost segmentată (un singur punct de sprijin ajunge oriunde), backup-uri accesibile din reţea (exact lucrul care ar trebui să fie de neatins) şi cod-sursă la îndemână, adesea cu parole în el.”
Iar tiparul nu e nou: „Nimic exotic. Sunt aceleaşi găuri din spatele majorităţii incidentelor din sectorul public din ultimul an - Apele Române (~1.000 de sisteme criptate), spitalele lovite de Backmydata, Electrica. Firul comun nu e un atacator-geniu. E un domeniu public imens, cu maturitate de securitate inegală, date de mare valoare şi servicii de care cetăţeanul nu se poate lipsi.”
Peste toate se aşază, spune el, un factor nou - inteligenţa artificială: „Atacatorii o folosesc deja pentru a găsi vulnerabilităţi, pentru a automatiza şi arma vectorii de atac şi pentru a pivota prin reţea. În trecut, de la un bug descoperit până la un exploit funcţional puteau trece luni. Acum, pornind doar de la o simplă descriere a bug-ului, acelaşi drum se parcurge în minute. Iar o companie, o dată ce a fost străpunsă, poate fi complet compromisă în sub o oră. Fereastra dintre «a apărut o problemă» şi «am pierdut tot» s-a scurtat dramatic, iar apărarea trebuie să ţină pasul cu viteza asta. Nu suntem acolo.”
Securitatea reală costă - şi experţii adevăraţi costă. Un scan automat nu e un pentest
„Atacatorul are nevoie de o singură greşeală. Apărătorul trebuie să acopere milioane de vectori. De asta securitatea reală costă - şi experţii adevăraţi costă. Un scan automat nu e un pentest”, scrie Avădănei, al cărui produs este chiar testarea prin simulări de atac. „Noi facem asta de peste 15 ani, zilnic, şi lucrăm cu şi împotriva celor mai scumpe soluţii de pe piaţă - antiviruşi, EDR, XDR, WAF, scannere de vulnerabilităţi, analiză de cod. Toate promit protecţie impecabilă. Şi, de cele mai multe ori, cu puţin efort şi metode surprinzător de simple, colegii mei le ocolesc. Nu pentru că soluţiile sunt slabe, ci pentru că securitatea nu se rezumă niciodată la o singură soluţie.”
Cum ar trebui să arate o hartă a straturilor de apărare - de la reţea până la guvernanţă? „Un sistem serios se protejează pe zeci de straturi, fiecare cu soluţiile lui. La nivel de infrastructură şi reţea - segmentare, firewall-uri, protecţie anti-DDoS, IDS/IPS. La nivel de identitate şi acces - MFA rezistent la phishing, management al accesului privilegiat, principiul privilegiului minim.
La nivel de aplicaţie - dezvoltare securizată, analiză de cod (SAST/DAST), testare continuă, hardening. La nivel de cloud - configurări corecte, monitorizarea posturii de securitate, protecţia workload-urilor. La nivel de supply chain - şi nu doar codul, ci componentele terţe, bibliotecile, imaginile de container, furnizorii şi infrastructurile pe care rulezi. Peste toate - managementul secretelor (chei, parole, token-uri care nu au ce căuta în cod), criptarea datelor, jurnalizare centralizată, un SOC care să vadă în timp real ce se întâmplă şi backup-uri offline, imuabile şi testate periodic. Iar deasupra tuturor - guvernanţa şi managementul riscului, care leagă totul. Fiecare strat e o specializare în sine. Fiecare costă. Şi niciunul, singur, nu te salvează. Şi nu, nici nu ai nevoie de toate din prima zi. Iar pe lângă toate soluţiile ai nevoie de experţi - care testează, care pun la îndoială, care monitorizează şi care sunt pregătiţi să răspundă instant la aceste ameninţări, pentru că realitatea este că mai devreme sau mai târziu vor apărea incidente.”
Concluzia lui e că securitatea perfectă nu se poate cumpăra: „Un plan de securitate e, în esenţă, un echilibru între trei lucruri - risc, probabilitate şi cost. Cât ai de pierdut, cât de plauzibil e să se întâmple şi cât te costă să te aperi. Nu poţi acoperi toate scenariile şi toate cazurile - ar fi imposibil, financiar şi operaţional. Prioritizezi, accepţi conştient un risc rezidual şi investeşti acolo unde impactul e cel mai mare. Securitate «100%» nu există, cu atât mai puţin cumpărată dintr-o singură soluţie magică. Şi chiar dacă acea soluţie ar exista, tot ar rămâne veriga cea mai greu de controlat: omul. Un administrator obosit care configurează greşit un server, un dezvoltator care uită o cheie într-un repository, un angajat care dă click pe linkul greşit. Cele mai multe breşe nu încep cu un exploit spectaculos, ci cu o greşeală umană banală. De aceea securitatea nu e un produs pe care îl cumperi o dată, ci un proces continuu - de oameni, procese şi tehnologie, în ordinea asta.”
Problema e structurală - şi în public, şi în privat
„Infrastructura îmbătrâneşte în tăcere”, scrie Avădănei. „Software-ul în România a fost mereu gândit ca asamblarea unui puzzle - pentru că asta fac, prin definiţie, majoritatea integratorilor, şi pentru că «era» mai rapid aşa, înainte de era AI. Pe termen scurt e excelent. Apoi vine realitatea: proiectul se termină, mentenanţa doar ţine sistemul în viaţă şi repară bug-uri, echipamentele şi soluţiile COTS ajung EOL şi devin prea scumpe de schimbat.”
O a doua problemă structurală ţine de responsabilitate: „Într-un consorţiu tipic - un integrator mare şi câţiva furnizori - fiecare face strict «ce scrie în contractul lui». Când apare o cerinţă de schimbare sau un risc care taie transversal prin mai multe componente, apare şi rezistenţa: «nu e în fişa postului meu». Nimeni nu deţine întreg ciclul de viaţă al sistemului. Fără inventar şi fără oameni tehnici care să înţeleagă nevoia de schimbare, ajungem inevitabil, iar, la bugete. Iar schimbările costă - uneori cât toată dezvoltarea iniţială.”
Modelul corect, spune el, ar fi cel al unei companii de software: „Statul digital ar trebui să funcţioneze ca o companie de software - model SaaS, cu tehnologie menţinută şi actualizată continuu, nu one-off-uri plătite în avans iar după expirarea suportului sau la reînnoire reduci bugetele sau nu mai reînnoieşti, sperând că nu se poate întâmpla nimic.”
Cea mai dură observaţie a lui priveşte locul securităţii în organigramă: „Cyber-ul e tratat ca o anexă - şi, mai grav, ca un subordonat. În licitaţiile mari, securitatea apare des ca o simplă linie sau un capitol în contractul de dezvoltare a produsului. Iar în interiorul organizaţiilor, de cele mai multe ori stă sub IT - raportând către exact aceiaşi oameni pe care ar trebui să-i verifice.
Asta e greşeala de fond. Securitatea nu trebuie să fie sub IT, ci lângă IT - la acelaşi nivel decizional cu managementul, cu acces direct la board. Altfel, cel care ar trebui să spună «stop, aşa nu se livrează» depinde ierarhic şi bugetar exact de cel pe care îl contrazice. Nu are cum să impună nimic - mai ales în logica NIS2, unde răspunderea urcă până la conducere.”
De aici şi pledoaria lui pentru un expert independent: „Expertul de securitate ar trebui să fie pe speed dial la fiecare instituţie din România - şi, ideal, un terţ independent. Nu din snobism, ci pentru că motivaţia lui e fundamental diferită. Un furnizor extern trăieşte din a găsi cât mai multe probleme - asta e, la propriu, produsul pe care îl vinde. Ca să reuşească, investeşte în specialişti şi în formarea lor continuă, îşi alege oameni care gândesc ca un atacator - «ce se întâmplă dacă nu mai respectăm cadrul formal? unde cedează sistemul?» - şi îşi impune procese interne care îi forţează să înveţe permanent tehnici noi şi atacuri moderne. Cine nu ţine pasul, pleacă. E exact motorul de excelenţă pe care o echipă internă, îngropată trei nivele sub IT, nu are cum să-l reproducă.”
Ce crede că trebuie să schimbăm
Avădănei porneşte de la un avertisment: „Pe termen scurt şi mediu, vor apărea tot mai multe incidente de securitate, posibil chiar mai grave decât ANCPI. Nu e pesimism, e direcţia clară în care merge peisajul de ameninţări. Întrebarea nu e «dacă», ci «cât de pregătiţi vom fi când se întâmplă».” Apoi enumeră „câteva lucruri concrete” de făcut:
„Backup-uri offline, imuabile şi testate periodic. Nu copii care stau în aceeaşi reţea şi pot fi şterse în acelaşi atac, ci copii izolate complet, read-only, din care restaurarea a fost efectiv exersată. Backup-ul netestat e o iluzie de siguranţă, nu o plasă de siguranţă. E singurul control care transformă un dezastru într-o simplă zi proastă.”
◆ „Renunţarea la mitul reţelei private. Faptul că un sistem nu e expus direct în internet nu înseamnă că e în siguranţă. Odată ce atacatorul are un punct de sprijin înăuntru - un cont compromis, un furnizor cu acces, un server uitat - reţeaua «privată» devine terenul lui de joacă. Segmentarea şi principiul «nu ai încredere în nimic implicit» nu sunt opţionale.”
◆ „Un inventar naţional al aplicaţiilor, începând cu cele publice. Nu poţi proteja ce nu ştii că ai.”
◆ „Programe de testare continuă, independentă - şi pe bani, şi printr-un program naţional coerent de CVD (divulgare coordonată a vulnerabilităţilor), stratificat pe modelul celor internaţionale.”
◆ „Licitaţii de cyber reale, nu clauze de «avantaj competitiv» îngropate în caiete de sarcini de mii de pagini.”
◆ „Sisteme construite pe tehnologii actualizabile, cu contracte de mentenanţă care chiar previn fundăturile EOL.”
◆ „Un ghid clar de securitate multi-stratificată, gradual, adoptat de fiecare instituţie care dezvoltă software pentru cetăţeni. NIS2 spune că trebuie să fii securizat - nu şi cum să construieşti şi să aperi efectiv un SaaS. Sunt chiar dispus să contribui pro-bono la el.”
El şi-a închis mesajul cu un apel direct: „Dacă sunteţi angajat sau livraţi servicii pentru un sistem public, gândiţi-vă onest, azi, ce probleme ştiţi deja că există - sisteme EOL, parole slabe, reţele plate, fără segmentare, niciun test de securitate făcut. Aproape întotdeauna cineva ştie. Întrebarea e dacă acel cineva e ascultat înainte de incident sau abia după.” Şi, cu o imagine casnică: „Cât de des vă schimbaţi routerul de acasă? Aş băga mâna în foc că majoritatea nu-l schimbă mai des de o dată la 10 ani. Pentru că merge, nu? Exact aşa gândim securitatea.
Până în ziua în care nu mai merge. Digitalizarea ne-a făcut dependenţi. Acum trebuie să câştige şi încrederea - iar încrederea se măsoară în continuitate şi în onestitatea cu care o instituţie poate spune, după o săptămână grea, ce s-a întâmplat cu datele noastre.”
Propunerea: un program naţional de securitate ofensivă, la DNSC
Într-o postare separată, publicată pe LinkedIn, Avădănei a mers mai departe şi a schiţat o soluţie concretă. „ANCPI o numeşte «cea mai amplă întrerupere tehnică din istoria instituţiei». Eu cred că e chiar cel mai grav incident de securitate din scurta noastră istorie de «digitalizare»”, scrie el. „Putem să ne indignăm o săptămână. Sau construim ceva care reduce şansa ca asta să se repete.”
Propunerea lui este „un program naţional de securitate ofensivă pentru sisteme critice, la DNSC”, construit pe şase piloni, pe care îi redăm în forma în care i-a formulat:
1. „Registru naţional al sistemelor expuse la internet - matrice de complexitate (mic/mediu/mare) şi risc pentru cetăţeni. Începem cu top 1.000 de organizaţii critice.”
2. „Criterii de testare, dure şi stabilite în consultare publică”: buget fix pe dimensiune (de exemplu, 5-10-20 de zile-om minime garantate la un preţ minim, care creşte anual cu inflaţia); metodologie standard şi testare manuală, „nu doar scannere”; fiecare vulnerabilitate cu dovadă de exploatare; retestare inclusă în preţ; independenţă totală şi declaraţie de conflict de interese („nu testezi ce ai dezvoltat/operat sau dacă eşti asociat”).
3. „Reguli anti-bifă”: pentesteri nominalizaţi cu nume şi CV, verificaţi - minimum doi pe proiect, un senior şi un mid, cu maximum 50% din efort pe mid; seniorul semnează raportul şi e prezent real, „fără oameni-fantomă sau subcontractare ascunsă”; raportare anuală a volumului per specialist, „nu pui acelaşi om pe 40 de proiecte”; rotaţie obligatorie, fără a testa aceeaşi platformă de două ori consecutiv; şi „sampling încrucişat”: 20% dintre aplicaţii testate în paralel de două echipe, „ce ratează una, prinde cealaltă”.
4. „Monitorizare continuă: lunar - scanare de vulnerabilităţi + OSINT / attack surface monitoring”, adică urmărirea permanentă a suprafeţei de atac expuse public.
5. „Program naţional de CVD, la DNSC: o listă publică + una privată extinsă, deschisă prin vetting celor mai buni/activi cercetători. Cadrul legal există deja - Legea 123/2026 (art. 365¹ Cod penal) protejează cercetătorii de bună-credinţă. S-o folosim la scară.”
6. „Consecinţe clare: autoritatea care nu rezolvă o problemă critică sub 5 zile, sau n-are un plan asumat (pe 3-12 luni) pentru probleme cu grad de risc mai mic / nu se ţine de plan - răspunde.”
Cât ar costa? „Cam cât cheltuim pe dezvoltarea a una din cele 1.000 sau probabil mai puţin decât impactul incidentului de la ANCPI. Bani de buzunar, raportat la risc şi la cât cheltuim pe digitalizare şi digitizare”, susţine el. Pentru a-şi argumenta ideea, Avădănei citează două surse externe: raportul Verizon DBIR 2026, potrivit căruia vulnerabilităţile expuse la internet au fost vectorul numărul unu de acces („practic ~1 din 3 breşe, 31%, se întâmplă astfel, plus 55% an/an”), şi o statistică a firmei Fortra, conform căreia „72% dintre cei care fac pentest spun că le-a prevenit o breşă”.
Un asemenea plan ar avea şi un alt impact: „În 5 ani mă aştept la 5-10 companii sau produse româneşti de cyber la nivel de Vest - o industrie reală, competitivă. Fără spectacol, dar sistematic, măsurabil, transparent.”
