Atacul informatic care a afectat Agenția Națională de Cadastru și Publicitate Imobiliară (ANCPI) readuce în atenție o realitate incomodă: serviciile digitale esențiale pot fi oprite nu doar prin tehnici spectaculoase, ci și prin exploatarea unor vulnerabilități cunoscute, a unor configurări necorespunzătoare sau a unor controale de securitate insuficient implementate.
Incidentul trebuie analizat cu atenție. Până la finalizarea investigațiilor tehnice, nu toate informațiile vehiculate public pot fi confirmate. Este însă cert că indisponibilitatea prelungită a unui serviciu public digital poate afecta activitatea instituțiilor, procesele economice care depind de accesul la date și nu în ultimul rând cetățenii.
Întrebarea pentru orice organizație este simplă: cât de repede poate detecta, limita și gestiona un atac, înainte ca acesta să afecteze întreaga infrastructură?
De ce vulnerabilitățile obișnuite pot produce incidente majore ?
Un atacator nu trebuie să compromită toate sistemele simultan. Este suficient să obțină un punct inițial de acces și să găsească, în interiorul rețelei, condițiile necesare pentru a avansa.
Printre problemele întâlnite frecvent se numără:
- rețele insuficient segmentate, în care sistemele comunică liber între ele;
- conturi privilegiate, protejate doar prin parolă;
- aplicații și echipamente ajunse la finalul perioadei de suport;
- vulnerabilități pentru care actualizările nu au fost aplicate la timp;
- parole, chei sau tokenuri păstrate necorespunzător;
- backupuri accesibile din aceeași rețea cu sistemele de producție;
- monitorizare insuficientă și alerte care nu sunt analizate la timp;
- lipsa unui plan de răspuns la incidente, exersat în condiții reale.
Aceste vulnerabilități pot fi exploatate succesiv, formând un lanț de compromitere a infrastructurii.
De exemplu:
exploatarea unei vulnerabilități la nivelul aplicației poate furniza accesul inițial în mediul informatic;
lipsa segmentării rețelei poate permite mișcarea laterală și extinderea accesului către alte sisteme;
compromiterea unui cont cu privilegii administrative poate conduce la escaladarea privilegiilor și la accesarea serverelor critice, consolelor de administrare și infrastructurii de backup.
Prin corelarea acestor slăbiciuni, un incident inițial limitat poate să evolueze într-o compromitere extinsă a infrastructurii IT.
Securitatea cibernetică se construiește utilizând controale de securitate dispuse pe mai multe niveluri.
Nicio aplicație și niciun produs de securitate nu poate elimina singur toate riscurile. O protecție eficientă combină oameni competenți, procese clare și tehnologii configurate corect.
1. Inventarierea activelor și a expunerii
Organizația trebuie să știe ce servere, aplicații, baze de date, conturi, servicii cloud și echipamente de rețea utilizează. Inventarul trebuie să includă proprietarul activului, criticitatea, versiunea, dependențele și expunerea la internet. Cerința se încadrează în principal la controlul A.5.9 – Inventarul informațiilor și al altor active asociate, din Anexa A a ISO/IEC 27001:2022
Un sistem necunoscut sau uitat nu poate fi protejat, actualizat ori monitorizat corespunzător.
2. Segmentarea rețelei
Sistemele critice, stațiile utilizatorilor, mediile de administrare, serverele de backup și serviciile expuse public trebuie separate în zone distincte. Comunicarea dintre zone trebuie permisă numai dacă există o justificare operațională.
Segmentarea limitează deplasarea laterală și reduce probabilitatea ca un incident local să afecteze întreaga infrastructură. (A.8.22 – Segregarea rețelelor).
3. Protejarea identităților
Conturile cu privilegii ridicate reprezintă ținte valoroase. Sunt necesare autentificarea multifactor, principiul privilegiului minim, separarea conturilor administrative de cele uzuale și revizuirea periodică a drepturilor de acces. (A.5.16 – Managementul identităților).
Accesul furnizorilor trebuie acordat temporar, monitorizat și retras imediat după încetarea necesității.
4. Managementul vulnerabilităților
Scanarea automată este utilă, dar nu este echivalentă cu un test de penetrare. Scanerul identifică în principal probleme cunoscute, în timp ce testarea manuală poate evidenția combinații de vulnerabilități, erori de logică și trasee reale de atac.
Un program matur include identificare, evaluare, prioritizare, remediere și retestare. Prioritatea nu trebuie stabilită exclusiv după scorul tehnic, ci și după expunerea activului și impactul posibil asupra activității – (A.8.8 – Managementul vulnerabilităților).
Acest control urmărește identificarea, evaluarea, prioritizarea și remedierea vulnerabilităților tehnice care afectează sistemele informatice ale organizației.
5. Backupuri offline, izolate și testate
O copie de siguranță conectată permanent la aceeași infrastructură poate fi criptată sau ștearsă în timpul atacului. Din acest motiv, datele critice trebuie protejate prin copii offline ori imuabile, separate de mediul de producție.
Existența backupului nu este suficientă. Organizația trebuie să testeze periodic restaurarea și să măsoare timpul necesar pentru reluarea serviciilor. Ghidul CISA StopRansomware recomandă copii offline și criptate, precum și segmentarea rețelei pentru limitarea impactului unui incident.
6. Monitorizare și detectare
Jurnalele provenite de la servere, aplicații, echipamente de rețea și sisteme de autentificare trebuie colectate centralizat și corelate. Organizația trebuie să poată identifica rapid autentificări neobișnuite, escaladări de privilegii, oprirea soluțiilor de securitate, volume neobișnuite de date și accesul suspect la backupuri.
Detectarea tardivă îi oferă atacatorului timpul necesar pentru a extinde compromiterea.
Răspunsul la incidente nu poate fi improvizat
În timpul unui incident major, presiunea este ridicată, informațiile sunt incomplete, iar deciziile trebuie luate rapid. Fără roluri și proceduri stabilite anterior, organizația poate pierde timp important sau poate distruge accidental dovezi importante.
Planul de răspuns trebuie să precizeze:
- cine declară incidentul și cine coordonează intervenția;
- cum sunt izolate sistemele afectate;
- cum sunt conservate logurile și celelalte dovezi;
- cine comunică managementului, angajaților, clienților și autorităților;
- care este ordinea de restaurare a serviciilor;
- cum se verifică integritatea sistemelor înainte de repunerea în producție;
- cum sunt documentate cauzele și lecțiile învățate.
DNSC pune la dispoziție bune practici pentru elaborarea unei politici de răspuns la incidente, iar incidentele pot fi raportate prin platforma PNRISC.
Guvernanța securității trebuie să ajungă la nivelul conducerii
Securitatea cibernetică nu este doar o responsabilitate tehnică a departamentului IT. Conducerea organizației stabilește toleranța la risc, aprobă prioritățile, alocă resurse și urmărește eficiența măsurilor implementate.
NIST Cybersecurity Framework 2.0 include guvernanța alături de identificare, protecție, detectare, răspuns și recuperare. Această abordare subliniază faptul că riscul cibernetic trebuie integrat în managementul general al organizației.
În același sens, cerințele NIS2 pun accent pe managementul riscurilor, gestionarea incidentelor, continuitatea activității, securitatea lanțului de aprovizionare și instruirea personalului. Ghidurile tehnice ENISA pentru implementarea măsurilor NIS2 pot fi utilizate pentru orientarea programelor de securitate.
Ce măsuri trebuie să adopte o organizație în primele 30 de zile după producerea unui atac cibernetic?
Pentru reducerea rapidă a expunerii, recomandăm următoarele acțiuni:
- Actualizarea inventarului de active și identificarea tuturor serviciilor expuse la internet.
- Verificarea conturilor privilegiate și activarea autentificării multifactor.
- Separarea backupurilor de mediul de producție și efectuarea unui test de restaurare.
- Remedierea vulnerabilităților critice și a sistemelor expuse care nu mai beneficiază de suport.
- Revizuirea regulilor de firewall și a segmentării dintre zonele de rețea.
- Verificarea colectării logurilor și a alertelor pentru activități privilegiate.
- Actualizarea planului de răspuns la incidente și organizarea unui exercițiu de tip tabletop.
- Evaluarea accesului furnizorilor și eliminarea conturilor sau conexiunilor care nu mai sunt necesare.
- Stabilirea unui program periodic de scanare, testare de penetrare și retestare.
- Prezentarea riscurilor și a planului de măsuri către conducerea organizației.
Competențele echipei fac diferența
Tehnologia produce valoare numai dacă oamenii știu să o utilizeze etic, să interpreteze alertele și să ia decizii corecte sub presiune. Pregătirea trebuie să acopere atât activitățile tehnice, cât și coordonarea, comunicarea și continuitatea operațională.
Business Generator oferă programe de formare dedicate acestor responsabilități:
- Curs Formarea membrilor echipelor CSIRT – pentru dezvoltarea competențelor de identificare, analiză, răspuns și coordonare a incidentelor de securitate cibernetică;
- Curs Specialist în proceduri și instrumente de securitate a sistemelor informatice – COR 252913 – pentru personalul implicat în aplicarea controalelor și procedurilor de securitate;
- Curs Manager Securitatea Informației (CISO) – COR 133048 – pentru coordonarea riscurilor, politicilor și programelor de securitate la nivel organizațional.
Concluzie
Incidentul ANCPI nu trebuie privit ca o excepție izolată, ci ca un avertisment pentru toate organizațiile care furnizează servicii digitale importante.
Reziliența cibernetică nu poate fi asigurată prin achiziția unui singur produs sau serviciu. Aceasta se construiește printr-un ansamblu de măsuri, care include inventarierea corectă a activelor, aplicarea actualizărilor de securitate, segmentarea rețelei, protejarea identităților, monitorizarea continuă, menținerea unor copii de siguranță izolate, testarea independentă a controalelor și pregătirea echipelor pentru răspunsul la incidente.
Nu există securitate absolută. Există însă diferențe majore între o organizație care descoperă târziu compromiterea și una care poate detecta atacul, îl poate izola și își poate relua activitatea în condiții controlate.
Îmbunătățește capacitatea organizației de prevenire și răspuns la incidente
Consultă programele de formare în securitate cibernetică oferite de Business Generator sau contactează echipa noastră.
