Vineri 25 martie 2016, a avut loc conferinta Securitatea cibernetica – Amenintari. Masuri legislative si aplicare, organizata de agentia de PR, Concord Communication SRL la hotelul J.W. Marriot.
In cadrul evenimentului, a fost prezentat punctul de vedere al initiatorilor proiectului de lege privind securitatea cibernetica a Romaniei fata de oportunitatea si importanta avizarii si intrarii in vigoare a actului normativ lansat in ianuarie 2016 de Ministerul Comunicatiilor si pentru Societatea Informationala.
Actul normativ se adreseaza atat autoritatilor si institutiilor publice, precum si persoanelor juridice care detin infrastructuri cibernetice prelucreaza date cu caracter personal, furnizeaza retele publice de comunicatii electronicii sau servicii de comunicatii electronice, gazduire internet sau de securitate cibernetica. Scopul declarat al acestei initiative legislative este acela de a responsabiliza persoanele in cauza si de a realiza un flux informational in cazul incidentelor informatice, care sa permita pregatirea unor raspunsuri eficiente in fata pericolelor, dar si reducerea daunelor provocate de catre atacuri.
Aceasta este a doua varianta de text referitoare la acest subiect, initiatorii explicand faptul ca au luat in considerare criticile aduse prin Decizia nr. 17/2015 de catre Curtea Constitutionala a Romaniei fata de varianta din aprilie 2014. Cu toate acestea, in cadrul dezbaterilor publice care au avut loc in februarie 2016 pe marginea proiectului legislativ, societatea civila si organizatiile cu profil tehnic din domeniul internetului si telecomunicatiilor sustin ca nici noul text nu indeplineste in totalitate conditiile de constitutionalitate. Acestia spun ca persoanele juridice aflate sub incidenta legii ar trebui cel putin sa instiinteze clientii asupra incidentelor produse inainte de a transmite date institutiilor statului. In plus a fost aratat faptul ca noul proiect nu este corelat cu alte acte normative precum Legea nr. 677/2001- privind operatorii de date cu caracter personal si nici cu directiva NIS, care se afla in circuitul legislativ al Uniunii Europene si care se preconizeaza a fi adoptata in vara acestui an.
In cadrul acestei conferinte au luat cuvantul: domnul Marius Bostan, ministrul Comunicatiilor si Pentru Societatea Informationala, dna Anca Opre, preşedintele Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal, domnul Augustin Jianu, director general al CERT-RO, dl Horia Minea, avocat, domnul Florin Cosmoiu, manager general al Cyberint din cadrul SRI si domnul Mariusz Stawowski, director tehnic al companiei poloneze de securitate CLICO.
Legea va incepe circuitul avizarii saptamana aceasta
Conferinta din data de 25 martie a fost deschisa de ministrul Comunicatiilor si pentru Societatea Informationala, care a anuntat ca in saptamana 28 martie – 1 aprilie va incepe circuitul avizarii pentru aceasta lege, care reprezinta o prioritate a institutiei pe care o conduce, drept pentru care va face demersurile necesare si pentru discutarea in regim de urgenta a proiectului in Parlament. Minstrul a argumentat faptul ca atat la nivel national, cat si la nivel global numarul atacurilor cibernetice este in crestere, iar arhitectura actuala a internetului nu permite posibilitatea descoperirii cu precizie a atacatorilor. In acelasi timp, desi toata lumea se asteapta ca autoritatile sa rezolve problemele legate de furt, distrugeri sau spionaj, in realitate actiunea statului este extrem de limitata. In aceste conditii, legea ar oferi parghiile prin care companiile private pot sprijini statul sa le apere interesele. In argumentatia sa, demnitarul a precizat ca anumiti investitori straini au solicitat existenta unei astfel de legi, care este de altfel un cadru minimal, dar care poate duce la micsorarea efetelor.
Pe de alta parte, presedintele Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal, care a participat pentru prima oara la o discutie publica pe tema acestui subiect, a facut referire in principal la Directiva Europeana privind Securitatea Retelelor Informatice (NIS – network information security), care este in curs de avizare. Aceasta a aratat ca directiva reprezinta cadrul convenit la nivel european, care respecta valorile UE privind protectia drepturilor omului si protejarea datelor si a vietii private. De asemenea doamna Opre a facut referire si la articolul 114 din Tratatul de Functionare al Uniunii Europene, articol ce prevede armonizarea legislativa intre statele membre, atragand astfel atentia asupra faptului ca cele doua acte normative trebuie sa fie corelate.
Printre punctele atinse de reprezentantii CERT-RO si CYBERINT, se numara necesitatea completarii legii cu o educatie a securitatii la nivelul populatiei, deoarece comportamentul uman este cel care usureaza munca infractorilor cibernetici si care face activitatea criminala atat de profitabila.
Directorul general al CERT-RO, a atras atentia asupra nevoii de responsabilizare a companiilor, aratand ca dupa mai bine de un an si jumatate, sute de mii de servere sunt inca vulnerabile fata de celebrul Heartbleed, desi pentru eliminarea acestei vulnerabilitati este suficient un simplu update. Referitor la directiva NIS, acesta a declarat ca aceasta reprezinta doar un schelet de reglementare, iar legea promovata de minister vine si in completarea acesteia, argumentand ca, potrivit tratatelor, Directiva NIS nu opreste statele de la legiferarea in domeniul securitatii cibernetice, dimpotriva, acestea pot aduce completari legislatiei europene pentru
Dilema securitatii datelor private
Referitor la educatia cibernetica, managerul centrului Cyberint a sustinut faptul ca securitatea depinde de obiceiurile consumatorilor de a-si actualiza sistemele de operare si de a evita produsele care nu mai beneficiaza de update-uri, asa cum este cazul Windows XP. Acesta a vorbit si despre necesitatea crearii si mentinerii increderii in internet, in faptul ca datele personale nu sunt vulnerabile in mediul online. A respins drept nefondate acuzatiile privind intruziunea in viata privata a cetatenilor, argumentand ca legea are doua obiective majore: crearea de responsabilități pentru deținătorii de infrastructuri cibernetice si managementul incidentelor de securitate cibernetică. Totodata a atras atentia asupra faptului ca in timp ce societatea civila se teme ca statul ar putea folosi datele lor personale, in realitate infractorii sunt cei care obtin acces la informatii private pe cai ilicite si profita de vidul legislativ.
