Recompense celor care găsesc probleme de securitate în sistemele online ale statului. Programe de stat de tip Bug Bounty adoptate în primă etapă

Directoratul Național de Securitate Cibernetică (DNSC) este autoritate competentă responsabilă cu securitatea cibernetică și cu sarcinile de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică. DNSC îndeplinește funcția de echipă de răspuns la incidente de securitate cibernetică națională.

Inițiatorii proiectului, prezentat anterior de Profit.ro, arată că DNSC poate primi și evalua raportări, poate verifica vulnerabilități și poate intermedia relația dintre raportor și entitatea afectate, dar deși legislația a consolidat obligațiile de raportare și remediere, cadrul în vigoare nu conferă DNSC competența expresă de a organiza programe publice de identificare recompensată a vulnerabilităților și nu prevede temeiul bugetar necesar pentru plata recompenselor.

”În prezent, DNSC poate gestiona o vulnerabilitate care îi este raportată, dar nu poate invita în mod organizat cercetători în securitate cibemetică să testeze, în limite stabilite în prealabil, sisteme informatice publice și să îi recompenseze pentru vulnerabilitățile validate. Această lacună legislativă limitează capacitatea statului de a preveni incidente de securitate înainte ca acestea să producă efecte”, susțin autorii proiectului, analizat de Profit.ro.

CITEȘTE ȘI Schimbare majoră pregătită pe internet: Fără căsuțe pre-bifate, doar cookie-urile necesare acceptate, utilizatorul să își retragă oricând și facil acordul. Noi reguli privind consimțământul de prelucrare a datelor de trafic

Aceștia arată că necesitatea intervenției legislative trebuie analizată inclusiv în contextul geopolitic actual și amintesc de cel mai important atac cibernetic înregistrat, care a vizat serviciile Cadastrului.

”Atacul cibemetic asupra ANCPI a scos din funcțiune sistemul e-Terra și serviciile de cadastru, blocând tranzacții imobiliare, credite și activitatea notarpală. Pentru un singur cumpărător, amânarea tranzacției înaintea modificării TVA putea genera un cost suplimentar considerabil. Statul a suportat, în paralel, costurile izolării sistemelor, intervenției tehnice, migrării aplicațiilor și reluării serviciilor”, subliniază inițiatorii.

Ei pledează pentru instituirea unor programe de tip ”Bug Bounty”, prin care instituții sau companii oferă recompense financiare pentru descoperirea și raportarea vulnerabilităților de securitate.

”Programele de tip Bug Bounty reprezintă mecanisme controlate prin care cercetătorii în securitate cibemetică sunt autorizați să testeze numai sistemele inc]use expres în program și pot primi recompense pentm vulnerabilitățile reale, raportate responsabil și validate. Astfel de programe sunt utilizate de autorități publice din Statele Unite ale Americii, Singapore, Franța, Elveția, Olanda, Belgia, Regatul Unit și Coreea de Sud.

Programele propuse nu înlocuiesc auditurile de securitate, testele de penetrare, monitorizarea continuă, copiile de rezervă sau planurile de continuitate. Ele completează aceste măsuri prin implicarea unui număr mai mare și mai divers de specialiști.

Recompensa se acordă numai pentru o vulnerabilitate validată, iar valoarea maximă a recompensei și fondul total al programului se stabilesc înaintea lansării.

Cheltuiala publică este astfel previzibilă, plafonată și condiționată de rezultat”, sunt argumente prezentate în sprijinul măsurii.

Este dat ca exemplu un program de acest fel, ”Hack the Pentagon", care a costat 150.000 de dolari și a identificat 138 de vulnerabilități, în timp ce o testare convențională similară fusese estimată la peste un milion de dolari. 

CITEȘTE ȘI ULTIMA ORĂ Tichetul de masă va fi majorat de noii guvernanți, pentru un an, cu 5 lei, la cel mult 50 lei. O masă de prânz costa în medie anul trecut 55 lei

Prevederile proiectului

Față de forma inițială, în comisii senatorii au adus o serie de amendamente proiectului, pentru a răspunde în cea mai mare parte observațiilor Consiliului Legislativ. 

Astfel, DNSC va putea organiza și gestiona programe de identificare și raportare a vulnerabilităților, cu acordarea de recompense bănești pentru vulnerabilitățile validate, în limita creditelor bugetare aprobate cu această destinație.

DNSC va putea iniția și gestiona programe de identificare și raportare a vulenerabilităților, cu acordarea de recompense bănești pentru vulnerabilitățile validate, pentru rețelele și sistemele informatice proprii, precum și pentru cele deținute, administrate ori utilizate de autorități și instituții publice sau de alte entități de drept public din spațiul cibernetic național civil, cu respectarea excluderilor și regimurilor speciale.

Includerea unei rețele sau a unui sistem informatic într-un astfel de program este condiționată de acordul prealabil, expres și scris al tuturor titularilor dreptului de a autoriza testarea asupra rețelei, sistemului informatic sau componentelor vizate. Acordul identifică rețeaua, sistemul informatic sau componentele asupra cărora se poate efectua testarea și precizează limitele acesteia.

Programele prevăzute constituie un mecanism complementar procesului de divulgare coordonată a vulnerabilităților, iar cele identificate în cadrul acestor programe se raportează conform dispozițiilor legale.

CITEȘTE ȘI ULTIMA ORĂ Mișcare-surpriză pentru operatorii Uber și Bolt: Doar o singură mașină în comodat! - primă decizie

În cadrul programelor prevăzute pentru sistemele publice, DNSC poate acorda recompense bănești persoanelor fizice sau juridice pentru vulnerabilitățile raportate și validate, în conformitate cu criteriile de eligibilitate și validare stabilite pentru program și în limita creditelor bugetare aprobate cu această destinație în bugetul de venituri și cheltuieli al DNSC.

Valoarea maximă a recompensei pentru o vulnerabilitate și valoarea totală a fondului de recompense se stabilesc și se aduc la cunoștința participanților înaintea începerii programului.

Activitățile de testare în cadrul programelor prevăzute pot fi desfășurate numai după aprobarea programului de către DNSC, obținerea acordurilor altor titulari de drepturi și acceptarea expresă de către participant a condițiilor programului. Autorizarea este limitată la rețelele, sistemele și componentele identificate in program, la metodele de testare permise și la perioada stabilită pentru desfășurarea activităților.

Programul și condițiile acceptate de participant stabilesc, în mod clar și verificabil, cel puțin obiectul testării, metodele permise, durata, limitele tehnice și operationale, modalitatea de raportare a vulnerabilităților și condițiile de suspendare sau încetare a autorizării.

CITEȘTE ȘI ”Dosarul cu șină”: Mari amenzi pentru funcționarii care continuă să ceară persoanelor și firmelor copii de pe documente emise de stat - Măsură adoptată în primă etapă

În cadrul programelor prevăzute sunt interzise:

a) accesarea, copierea, ștergerea sau modificarea neautorizată a datelor;

b) utilizarea atacurilor de tip brute-force, a tehnicilor de phishing a altor tehnici de inginerie social ;

c) utilizarea de programe de tip malware sau a altor tehnici care afectează pot afecta disponibilitatea, integritatea sau funcționarea retelelor și sistemelor informatice;

d) menținerea accesului Ia rețelele și sistemele informatice după incetarea autorizării sau extinderea accesului Ia alte rețele, sisteme, componente conturi care nu sunt incluse in program;

e) divulgarea public a vulnerabilităților cu incălcarea condițiilor legale aplicabile procesului de divulgare coordonată;

f) orice alt activitate care depășește limitele autorizării sau contravine prevederilor legale aplicabile.

Nerespectarea condițiilor programului depășirea limitelor autorizării atrage încetarea autorizării pentru activitățile respective și pierderea dreptului la recompensă pentru vulnerabilitatea în cauză, fără a aduce atingere răspunderii civile, contravenționale sau penale, după caz.

CITEȘTE ȘI DECIZIE Profitul reinvestit în orice activ corporal va fi scutit de impozit în anumite condiții. Noi facilități fiscale, credite garantate de stat și subvenții, într-un program național pentru investiții și locuri de muncă

Participarea la programele prevăzute este voluntară și nu creează obligația participantului de a efectua activități de testare ori de a obține un anumit rezultat.

În termen de 90 de zile de la intrarea în vigoare a a legii, vor fi reglementate, prin hotărâre a Guvemului de stabilire a normelor metodologice, cel puțin procedura de ini/iere și aprobare a programelor, criteriile de selectare a rețelelor și sistemelor informatice, condițiile de participare, procedura de raportare și validare a vulnerabilităților, criteriile de stabilire și procedura de acordare a recompenselor, măsurile privind protecția datelor și confidențialitatea, precum și condițiile de monitorizare, suspendare și încetare a programelor.