ZF Tech Day. Ionuţ Gherle, cofondator şi CEO al Alpha by Zendra, start-up de securitate cibernetică: Un raport de test de securitate făcut acum 11 luni nu mai spune nimic despre cum stai azi. Situaţia de la ANCPI arată că securitatea a devenit un risc de business, care nu se mai poate lăsa doar în seama echipei IT

♦ Alpha by Zendra - start-up românesc independent, spin-off al grupului Zendra - propune un „pentest“ (test de penetrare) automat şi continuu, ca alternativă la testul clasic de securitate, care se face „o dată sau maximum de două ori pe an“, durează până la trei-patru săptămâni şi costă „de la 2.000-3.000 de euro la 30.000-40.000 de euro în sus“ ♦ Diferenţiatorul: pe lângă agenţii software care testează infrastructura IT, aplicaţiile web şi API-urile, platforma are şi un „agent“ hardware care se conectează la sistemele industriale de tip SCADA şi la liniile de producţie - medii în care testarea de securitate este rară ♦ „Toţi atacatorii, în momentul de faţă, utilizează AI (...) e ca şi cum ai arunca o undiţă (...) într-un lac plin de peşti“, spune Gherle; cele mai expuse sunt IMM-urile, care au şi cel mai puţin de recuperat - un atac prelungit „e posibil să fie atât de mare încât să închizi businessul“ ♦ Start-upul este în cohorta de anul acesta a Orange Fab, acceleratorul Orange, cu care a ajuns la VivaTech, la Paris; are primii trei clienţi din România şi pregăteşte o rundă de finanţare.

Modelul în care o companie îşi verifică securitatea o dată pe an şi consideră apoi că e protejată nu mai ţine pasul cu ritmul atacurilor, iar imaginea rezultată dintr-un test de penetrare expiră, în practică, în două săptămâni. „Dacă, poate, acum câţiva ani securitatea cibernetică era doar pentru com­paniile mari, enterprise (...), în momen­tul de faţă (...) nu mai putem să ne aşteptăm că ne verificăm o dată pe an sau de două ori pe an şi credem că suntem bine. Pentru că există o dinamică atât de mare în tot ceea ce înseamnă orizontul IT, adică infrastructură, web. (...) Toţi atacatorii, în momentul de faţă, utilizează AI“, a declarat Ionuţ Gherle, cofondator şi CEO al Alpha by Zendra, un start-up de securitate ciberne­tică din Cluj-Napoca, în cadrul emisiunii ZF Tech Day, realizată în parteneriat cu Orange Business.

Soluţia propusă de compania sa este un test de penetrare - „pentest“ - automat şi con­tinuu, pe care, spune fondatorul, îl poate opera echipa IT obişnuită a unei firme, fără specialişti dedicaţi în securitate.

Punctul de plecare este economia tes­tu­lui clasic. Companiile care fac astfel de teste - de regulă pentru că au nevoie de certificări precum ISO 27001 sau pentru conformarea cu directiva europeană NIS2 - le execută „o dată sau maximum de două ori pe an“, explică Gherle; un test durează „între o săptămână şi trei-patru săptămâni“, costă „de la 2.000-3.000 de euro la 30.000-40.000 de euro în sus“, iar raportul este generat după aproximativ o săptămână. Problema, în viziunea lui, nu este preţul, ci faptul că rezultatul e o fotografie a unui singur moment: „Peste două săptămâni, mai ales în lumea în care trăim, imaginea se schimbă: (...) se dau tot felul de alte drepturi în infrastructura IT; poate ai (...) un release nou în aplicaţia web. Deci nu mai există această imagine.“

 

„Un risc de business“, nu doar al echipei IT: ce arată cazul ANCPI

Atacul cibernetic care a lovit în iulie A­gen­ţia Naţională de Cadastru şi Publi­citate Imobiliară (ANCPI), paralizând sistemul e-Terra şi, odată cu el, tranzacţiile imobilia­re din toată ţara, readuce în prim-plan o idee pe care Gherle o repetă de mult timp: secu­ritatea nu mai poate fi lăsată doar în seama echipei IT. „Securitatea cibernetică nu mai poate fi tratată ca o responsabilitate exclu­sivă a echipei IT. Este un risc de busi­ness, iar riscurile de business se gestionează la nivel de management, acolo unde se decid buge­tele şi priorităţile“, a transmis ZF fondatorul Alpha by Zendra, într-o serie de comentarii pe marginea cazului. La data acestui articol, 23 iulie, agenţia nu repornise încă sistemele şi nu anunţase un termen, precizând doar că lucrează la restaurare.

Miza, argumentează el, nu se rezumă la câteva zile de sisteme căzute: „Înseamnă activitate oprită, contracte amânate, clienţi şi parteneri care nu îşi pot duce la capăt operaţiunile, iar, în cele din urmă, o pierdere de încredere care se recuperează mult mai greu decât infrastructura tehnică.“

Premisa de la care ar trebui să por­nească orice organizaţie, spune Gherle, este că „va fi, la un moment dat, ţinta unui atac reuşit. Nu este o chestiune de probabilitate abstractă, ci una de timp“. De aici, o schim­bare a întrebării pe care ar trebui să şi-o pună managementul: nu „avem politici şi proceduri de securitate?“, ci „cât de bine funcţionează măsurile pe care ne bazăm dacă sunt puse la încercare mâine“.

Legătura cu teza platformei sale este directă. „Un raport de test de penetrare descrie starea sistemelor la data la care a fost făcut testul“, spune el; în lunile care urmează, organizaţia adaugă servicii şi interfeţe noi, amână unele actualizări, iar „angajaţii care pleacă lasă în urmă conturi rămase active“.

Separat, „parole ale angajaţilor ajung publice în urma unor breşe la alţi furnizori, iar dacă aceleaşi parole sunt refolosite intern, atacatorul nu mai are nevoie să spargă nimic. Un raport făcut cu unsprezece luni în urmă nu spune nimic despre niciuna dintre aceste situaţii.“ Gherle spune că platforma sa testează continuu tocmai astfel de puncte - rezistenţa la atacuri de tip brute force şi prezenţa unor parole slabe sau reutilizate -, verificări la care rezultatele arată frecvent „conturi cu privilegii ridicate protejate de parole care pot fi ghicite în câteva minute“.

 

Cum funcţionează: agenţi software şi un agent fizic pentru industrie

Alpha se instalează sub forma unor „agenţi digitali“ pe infrastructura IT a clientului - servere, maşini virtuale, conexiuni cu cloudul -, precum şi pe aplicaţiile web şi pe API-uri (interfeţele prin care comunică între ele diferite programe), pe care fondatorul le descrie drept „poartă de intrare“ posibilă. Diferenţiatorul, însă, este un dispozitiv fizic: „Avem şi un device care se conectează pe tot ce înseamnă environment-ul industrial, adică sisteme SCADA, linii de producţie“, spune Gherle - o zonă (mediul industrial) în care testarea de securitate este, de regulă, rară.

Odată instalaţi agenţii, testarea se poate programa - fondatorul recomandă săptămânal sau lunar, „inclusiv zilnic poţi să faci, dar nu e cazul“ - sau se poate lansa manual, pe o ţintă punctuală. Configurarea la un client durează, spune el, „până într-o jumătate de zi“. Rezultatul este un raport, disponibil în română şi engleză, care clasifică problemele pe niveluri de gravitate - „low, medium sau urgent“ - şi oferă sugestii de remediere, astfel încât „o companie medie care are un IT manager (...) poate să repare aceste probleme identificate“. Raportul, adaugă Gherle, „a fost utilizat de diverşi auditori (...) în validarea cu Directoratul Naţional de Securitate Cibernetică“ (DNSC).

Diferenţa de fond faţă de soluţiile care doar monitorizează infrastructura este, spune fondatorul, zona „offensive“ (ofensivă): „Venim şi încercăm să îţi spargem reţeaua (...), să îţi arătăm unde ai vulnerabilităţi şi ce ar fi făcut atacatorul dacă ar fi găsit această vulnerabilitate (...). Căutăm vulnerabilităţile, dar după aceea mapăm nişte scenarii pe care şi un atacator le-ar face.“ Comercial, modelul este un abonament lunar: „grosso modo ajungi la preţul unui pentest anual“, dar cu posibilitatea de a testa oricând.

 

Ţinta: firmele medii, „cei mai mulţi peşti din acel lac“

Deşi produsul este, spune Gherle, potrivit pentru orice categorie, strategia companiei vizează în principal firmele medii - şi chiar mici - spre mari, tocmai pentru că această categorie de clienţi „nu a interacţionat prea mult cu securitatea cibernetică“, nu are echipe interne de specialişti şi, adesea, are şi partea de IT externalizată. Paradoxul pe care îl invocă: aceleaşi companii sunt şi cele mai atacate. „Toţi atacatorii, în momentul de faţă, utilizează AI“, spune el; ţintirea nu mai este, de regulă, personală, ci de masă - „it’s a numbers game: atacatorii targetează sute, mii, sute de mii de companii (...), e ca şi cum ai arunca o undiţă (...) într-un lac plin de peşti şi vezi cine (...) muşcă momeala“.

Pentru o firmă mică sau medie, miza este de supravieţuire, spune fondatorul: „Un eventual atac care te scoate din uz o perioadă de timp - impactul e posibil să fie atât de mare încât să închizi business-ul. La companii mai mari, probabil că ai şi capacităţile tehnice, şi financiare, să îţi revii; dar la o companie mai medie, mai mică“, o recuperare prea lentă poate duce la închiderea afacerii. La aceasta se adaugă un deficit de resurse umane pe care Gherle îl compară cu un episod mai vechi al pieţei IT: „Trăim epoca IT în care era atât de mare nevoia de (...) developeri (...) şi nu găseai developeri. Acum nevoia a crescut foarte mult pe zona de securitate cibernetică şi nu găseşti persoane“ - motiv pentru care, spune el, soluţia a fost gândită să nu ceară experţi.

Creşterea pieţei va fi împinsă puternic de reglementare, admite fondatorul: directiva NIS2 vizează, spune el, „18 domenii, 18 CAEN-uri“ (coduri de activitate) şi „plus 10.000 de companii care vor cădea sub incidenţa NIS2 în România“ - cele împărţite în esenţiale şi importante -, la care se adaugă, în timp, furnizorii şi partenerii lor; la nivelul Uniunii Europene, „vorbim de peste 600.000 de companii“. Alpha, spune Gherle, mapează patru din cele şase capitole ale NIS2, celelalte două ţinând de documentaţie şi proceduri. Se adaugă şi Cyber Resilience Act (CRA), regulamentul european care, spre deosebire de NIS2, „rămâne la nivel de Europa, nu devine o lege în fiecare ţară“ şi care cere o evaluare continuă a vulnerabilităţilor pentru orice software pus pe piaţa europeană.

Fondatorul insistă, însă, că adevăratul motor nu este legislaţia: „Nu e doar partea de legislaţie, ca să nu se înţeleagă greşit - e, de fapt, nevoia reală de a te proteja mult mai mult acum, cu tot ce înseamnă AI.“ Argumentul lui: dezvoltarea de software cu ajutorul AI, tot mai răspândită, creşte riscul de vulnerabilităţi - „dacă îl faci în principal cu AI, e posibil să ai foarte mari surprize“ -, iar „nu cred că cineva îşi mai permite acum (...) să faci un release, de orice aplicaţie (...), fără să ai un pentest“. Reglementările, adaugă el, „merită privite altfel decât ca un cost de conformare“: companiile care le tratează „ca pe o listă de bifat pentru o anumită autoritate plătesc consultanţa şi rămân cu aceleaşi riscuri“, pe când cele care „le folosesc ca punct de plecare pentru un proces continuu de testare şi corectare ajung, în timp, să reducă real durata şi costul unui incident“.

 

Parteneriatul cu Orange şi paşii următori

Start-upul face parte din cohorta de anul acesta a Orange Fab, acceleratorul Orange - cel mai mare jucător de pe piaţa locală de telecom după venituri. Motivele, spune Gherle, sunt validarea tehnică şi accesul la expertiza companiei, dar şi componenta comercială: portofoliul de clienţi al Orange, „atât în zona de corporate, cât şi în zona de medium-small“. Alpha este partener şi cu SCUT, serviciul de detecţie şi răspuns gestionat al Orange, complementar testării continue oferite de Alpha: „am început să creionăm nişte proiecte împreună, mai mult pe zona de servicii, dar probabil că urmează şi partea de produs“. Prin reţeaua internaţională Orange Fab, compania a avut, spune fondatorul, „două zile stand în cadrul Orange Global la VivaTech“ - târgul de tehnologie de la Paris.

Compania are, potrivit fondatorului, primii trei clienţi din România şi pregăteşte semnarea unui prim client din Statele Unite, după o perioadă de şase-nouă luni de validare în piaţă. Priorităţile până la finalul anului sunt creşterea numărului de clienţi şi a veniturilor recurente lunare (MRR), iar pe termen mediu, o rundă de finanţare, aflată în discuţii incipiente. Vrea să mai pună „nişte muşchi“ pe companie, spune Gherle - fost sportiv -, „după care să mergem să discutăm cu potenţiali investitori care văd valoarea în produsul nostru şi văd piaţa aceasta de securitate cibernetică cu potenţial mare de creştere“.