Audit de securitate cibernetică la centrala nucleară Cernavodă, fabrica de combustibil nuclear Pitești și sediul Nuclearelectrica, inclusiv cu simulări de atacuri informatice

SNN are statut de ″entitate esențială″ în sensul OUG nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil și, ca atare, este obligată să efectueze periodic audituri de securitate cibernetică.

Deocamdată, Nuclearelectrica se interesează în piață cât ar costa un audit de securitate cibernetică și ce ar trebui să conțină documentația aferentă unei viitoare proceduri de achiziție publică de astfel de servicii.

CITEȘTE ȘI FOTO Turcii aproape au terminat de pus grinzile de 40 de metri pe cel mai înalt viaduct de pe lotul 2 al autostrăzii Sibiu-Făgăraș

″Scopul auditului este determinarea nivelului de maturitate al măsurilor de securitate cibernetică la nivelul SNN și formularea de recomandări de remediere pentru fiecare perimetru de evaluare. Prestatorul de servicii va evalua compania în toate cele șase domenii ale cadrului de măsuri aprobat prin Ordinul Directoratului Național de Securitate Cibernetică (DNSC) nr. 1/2026: Guvernanță (GV), Identificare (ID), Protecție (PR), Detecție (DE), Răspuns (RS) și Recuperare (RC)″, se arată într-un document al SNN.

Auditul de securitate se va efectua atât la sediul central al Nuclearelectrica din București, cât și la sucursalele CNE Cernavodă și FCN Pitesti, și va acoperi atât rețelele și sistemele informatice de tip IT, cât și pe cele de tip OT.

″Evaluarea se va realiza prin tehnici neintruzive (analiză documentară, interviuri, observare, verificarea configurațiilor și a înregistrărilor puse la dispoziție de SNN). Testarea tehnică activă se realizeaza exclusiv în cadrul testelor de penetrare (...). Asupra sistemelor OT nu se execută teste active″, menționează sursa citată.

CITEȘTE ȘI ULTIMA ORĂ Nicușor Dan, executat silit pentru impozite neplătite, la Predeal

Teste de penetrare, de tip grey box, vor fi efectuate pentru 15 aplicații web interne ale SNN.

″Testele vor avea caracter de test de penetrare, cu identificarea și exploatarea controlată a vulnerabilităților, și nu se vor limita la o evaluare de vulnerabilități sau la scanări automate″, se precizează în document.

Aplicațiile ce vor fi incluse în scopul testelor de penetrare și detaliile cu privire la acestea vor fi stabilite în urma semnării contractului de prestări servicii și al acordului de confidențialitate aferent.

CITEȘTE ȘI FOTO Port istoric va fi redeschis în România. Portul de la Otelec de pe Bega, construit în urmă cu 90 de ani, dar închis în 1967, va fi reconstruit

″Testele vor acoperi cel puțin:

Autorizarea: ▪ escaladarea verticală a privilegiilor (acces la funcții de manager sau administrator); ▪ escaladarea orizontală (acces la datele altor utilizatori, inclusiv prin manipularea identificatorilor în URL sau API)

Regulile de business: ▪ aprobarea propriilor cereri; ▪ modificarea înregistrărilor dupa aprobare

Integrarea cu Active Directory: ▪ mecanismul de autentificare; ▪ maparea grupurilor pe roluri; ▪ efectul eliminării utilizatorului din grup sau al dezactivării contului; ▪ managementul sesiunii

Baza de date: ▪ injecția SQL; ▪ alte tipuri de injecție; ▪ expunerea datelor personale în răspunsuri, exporturi sau mesaje de eroare

Notificările prin e-mail și exporturile de date: ▪ injecția în conținutul generat (inclusiv CSV injection); ▪ securitatea generării de documente PDF; ▪ controlul accesului la datele exportate

Validarea datelor de intrare: ▪ XSS; ▪ încărcarea de fisiere; ▪ jurnalizarea acțiunilor administrative.

Componentele comune mai multor aplicații (framework, componenta de autentificare) se testează în profunzime o singură dată, iar pentru celelalte aplicații se testează diferențele. Testele vor fi realizate prin executarea de activități specifice atât în mod automat, cu ajutorul soluțiilor software dedicate, cât și în mod manual de către experții alocați″, se mai notează în document.

CITEȘTE ȘI ULTIMA ORĂ VIDEO Peste jumătate din comunele mici vor fi comasate. Mai mult de jumătate sunt ale PSD. Și unele orășele sunt vizate

Accesul prestatorului la sistemele SNN se va face numai prin conturi nominale puse la dispoziție de SNN, pe durata contractului. Conturile vor fi dezactivate la finalizarea contractului.

″Testele de penetrare se execută numai după aprobarea de către SNN a regulilor de angajare și numai în ferestrele de testare aprobate. Asupra sistemelor OT nu se execută teste active. Prestatorul notifică SNN imediat în cazul unui incident de securitate care afectează datele SNN și în cazul identificării, în timpul testelor, a unei vulnerabilități critice exploatabile. La finalizarea contractului, prestatorul șterge datele SNN și transmite o declarație de ștergere în termen de 10 zile″, mai scrie în document.