VIDEO Nu este dacă vom fi atacați pe securitate, ci când. Diana-Alisa Pașavel, expert DNSC: Cetățeanul nu trebuie să fie curierul datelor între instituțiile statului - Maratonul digitalizării Profit.ro

Accesul la date trebuie limitat și controlat, iar măsurile de protecție trebuie introduse încă din momentul dezvoltării sistemelor informatice, nu după punerea lor în funcțiune, avertizează Diana-Alisa Pașavel, expert în cadrul Directoratului Național de Securitate Cibernetică (DNSC), la Maratonul digitalizării, oragnizat de Profit.ro și având ca partener exclusiv compania Metaminds.

Evenimentul este transmis în direct atât pe toate platformele Profit.ro, cât și la postul de televiziune Prima News

„Când vorbim despre interoperabilitate, trebuie să avem în vedere că cetățeanul nu este un curier de date. Există un principiu al Comisiei Europene, care se numește «once only», înseamnă că noi furnizăm datele o singură dată și apoi nu trebuie să le plimbăm pe la fiecare instituție a statului care solicită sau care are nevoie de datele respective”, a declarat Diana Alisa Pașavel, expert în accesarea fondurilor, implementarea și administrarea proiectelor de securitate cibernetică, la Maratonul Digitalizării organizat de Profit.ro.

Schimbul de informații între instituții trebuie însă realizat în condiții stricte de securitate, cu respectarea cadrului legal și cu limitarea accesului la persoanele autorizate.

„Noi le oferim o dată ca cetățeni, dar ne așteptăm ca ele să fie protejate de fiecare dată. Ne așteptăm să fie schimbate între instituțiile statului pe o bază legală, pe cererea cetățeanului și să avem un acces limitat și controlat. Trebuie să aibă acces la datele respective doar cine are nevoie și permisiuni”, a explicat reprezentanta DNSC.

Potrivit acesteia, securitatea informatică trebuie integrată în arhitectura sistemelor încă din faza de proiectare. Adăugarea ulterioară a unor măsuri de protecție nu oferă aceleași rezultate.

Cu cât sunt mai multe servicii online, cu atât crește suprafața de atac

Mutarea serviciilor publice în mediul digital aduce beneficii cetățenilor și instituțiilor, dar mărește și numărul punctelor vulnerabile care pot fi exploatate de atacatori.

Reprezentanta DNSC atrage atenția că pregătirea împotriva atacurilor informatice nu poate fi considerată niciodată încheiată, deoarece amenințările evoluează permanent.

„Când ne gândim să digitalizăm mai mult, noi spunem că ne crește suprafața de atac. Adică pot exista mult mai multe riscuri. Pregătirea în securitate cibernetică nu e o stare pe care o atingem odată și spunem: gata, suntem pregătiți. Este continuă pregătirea, pe măsură ce tehnologiile evoluează și atacurile evoluează și se diversifică și devin mult mai greu de identificat unele dintre ele”, a spus Pașavel.

Instituțiile și companiile trebuie să se pregătească pentru două situații distincte: prevenirea atacurilor și gestionarea consecințelor unui incident care a reușit să compromită sistemele.

„Nu este o chestiune de dacă vom fi atacați, ci este un moment când vom fi atacați”, a avertizat experta DNSC.

În cazul producerii unui incident, reacția trebuie să fie imediată, pentru a limita propagarea atacului și efectele asupra activității.

CITEȘTE ȘI VIDEO De ce lipsește un ecosistem integrat de servicii publice digitale, când există tehnologie, experți și finanțare. Ovidiu Ghiman, CEO Metaminds: Succesul digitalizării nu ar trebui evaluat în funcție de numărul de aplicații sau de bugetele cheltuite,

Organizațiile trebuie să dispună de proceduri prin care să izoleze sistemele afectate, să raporteze incidentul și să poată relua funcționarea normală a serviciilor.

Pentru entitățile importante și esențiale există și obligații legale privind raportarea incidentelor de securitate cibernetică, însă, potrivit reprezentantei DNSC, obiectivul operațional trebuie să fie intervenția imediat după identificarea problemei.

Instituțiile publice nu trebuie să evite companiile private

În ceea ce privește colaborarea statului cu furnizorii privați de tehnologie, Pașavel consideră că instituțiile publice nu au motive să dezvolte de la zero soluții care există deja pe piață.

„Marea parte din inovație este în companiile private. Folosim cloud din companii private, folosim software din companii private, nu le putem neglija, nu avem de ce să le neglijăm și să petrecem timp și bani făcând ce ei deja au făcut și au ajuns la un nivel mult mai avansat ca noi”, a explicat reprezentanta DNSC.

Aceasta susține și implicarea universităților și a mediului academic în parteneriatele dintre stat și companii, în special pentru dezvoltarea cercetării și a competențelor în domeniul securității cibernetice.

Colaborarea cu furnizorii privați trebuie însă condiționată de stabilirea unor reguli clare privind utilizarea informațiilor, accesul la acestea și responsabilitățile fiecărui partener.

„Trebuie să ne asigurăm, în momentul în care avem astfel de parteneriate, unde ajung datele noastre, ce fac instituțiile, companiile private cu ele, cum le folosesc, în ce scop, și să facem contractele sau acordurile de așa manieră încât noi să putem să protejăm în continuare datele cetățeanului”, a declarat Pașavel.

Reprezentanta DNSC a subliniat că digitalizarea, inteligența artificială și securitatea cibernetică trebuie tratate împreună, încă de la începutul proiectelor, nu ca investiții separate.