Publicata in Monitorul Oficial

Hotarare nr. 271 din 15 mai 2013

Pentru aprobarea Strategiei de securitate cibernetica a Romaniei si a Planului de actiune la nivel national privind implementarea Sistemului national de securitate cibernetica

În temeiul art. 108 din Constitutia României, republicata, si al art. 11 lit. f) din Legea nr. 90/2001 privind organizarea si functionarea Guvernului României si a ministerelor, cu modificarile si completarile ulterioare,

Guvernul României adopta prezenta hotarâre.

 

ART. 1

 

Se aproba Strategia de securitate cibernetica a României, prevazuta în anexa nr. 1.

 

ART. 2

 

Se aproba Planul de actiune la nivel national privind implementarea Sistemului national de securitate cibernetica prevazut în anexa nr. 2*).

------------

*) Anexa nr. 2 se comunica institutiilor interesate, fiind clasificata potrivit legii.

 

ART. 3

 

Ministerul pentru Societatea Informationala si celelalte autoritati publice responsabile au obligatia de a duce la îndeplinire obiectivele si directiile de actiune prevazute în Strategia de securitate cibernetica a României si în Planul de actiune la nivel national privind implementarea Sistemului national de securitate cibernetica, cu respectarea prevederilor legale în vigoare.

 

ART. 4

 

Anexele nr. 1 si 2 fac parte integranta din prezenta hotarâre.

 

PRIM-MINISTRU
VICTOR-VIOREL PONTA
 
Contrasemneaza:
Viceprim-ministru,
Gabriel Oprea
 
Ministrul pentru societatea informationala,
Dan Nica
 
Viceprim-ministru,
ministrul finantelor publice,
Daniel Chitoiu
 
Ministrul delegat pentru buget,
Liviu Voinea
 
Ministrul apararii nationale,
Mircea Dusa
 
Ministrul afacerilor interne,
Radu Stroe
 
Ministrul educatiei nationale,
Remus Pricopie
 
Ministrul afacerilor externe,
Titus Corlatean
 
Ministrul delegat pentru învatamânt
superior, cercetare stiintifica si
dezvoltare tehnologica,
Mihnea Cosmin Costoiu
 
Directorul Serviciului Român de Informatii,
George-Cristian Maior
 
Directorul Serviciului de Informatii Externe,
Teodor Viorel Melescanu
 
Directorul Serviciului de Protectie si Paza,
Lucian-Silvan Pahontu
 
Directorul Serviciului de
Telecomunicatii Speciale,
Marcel Opris
 
Directorul Oficiului Registrului National
al Informatiilor Secrete de Stat,
Marius Petrescu

 

ANEXA 1

 

STRATEGIA

de securitate cibernetica a României

 

I. Introducere

 

1. Context

Dezvoltarea rapida a tehnologiilor moderne de informatii si comunicatii - conditie sine qua non a edificarii societatii informationale - a avut un impact major asupra ansamblului social, marcând adevarate mutatii în filozofia de functionare a economicului, politicului si culturalului, dar si asupra vietii de zi cu zi a individului. Practic, în prezent, accesul facil la tehnologia informatiei si comunicatiilor reprezinta una dintre premisele bunei functionari a societatii moderne.

Spatiul cibernetic se caracterizeaza prin lipsa frontierelor, dinamism si anonimat, generând deopotriva oportunitati de dezvoltare a societatii informationale bazate pe cunoastere, dar si riscuri la adresa functionarii acesteia (la nivel individual, statal si chiar cu manifestare transfrontaliera).

Alaturi de beneficiile incontestabile pe care informatizarea le induce la nivelul societatii moderne, aceasta introduce si vulnerabilitati, astfel ca asigurarea securitatii spatiului cibernetic trebuie sa constituie o preocupare majora a tuturor actorilor implicati, mai ales la nivel institutional, unde se concentreaza responsabilitatea elaborarii si aplicarii de politici coerente în domeniu.

România urmareste atât dezvoltarea unui mediu informational dinamic bazat pe interoperabilitate si servicii specifice societatii informationale, cât si asigurarea respectarii drepturilor si libertatilor fundamentale ale cetatenilor si a intereselor de securitate nationala, într-un cadru legal adecvat. Din aceasta perspectiva se resimte necesitatea dezvoltarii culturii de securitate cibernetica a utilizatorilor sistemelor informatice si de comunicatii, adesea insuficient informati în legatura cu potentialele riscuri, dar si cu solutiile de contracarare a acestora. Cunoasterea pe scara larga a riscurilor si amenintarilor derivate din activitatile desfasurate în spatiul cibernetic, precum si a modului de prevenire si contracarare a acestora necesita o comunicare si cooperare eficiente între actorii specifici în acest domeniu.

Statul român îsi asuma rolul de coordonator al activitatilor desfasurate la nivel national pentru asigurarea securitatii cibernetice, în concordanta cu demersurile initiate la nivelul UE si NATO. Problematica securitatii cibernetice a devenit prioritara pentru aceste organisme, care deruleaza demersuri reglementare necesare dezvoltarii mecanismelor de aparare cibernetica.

Incidentele de securitate cibernetica si atacurile cibernetice majore cu care s-au confruntat în ultimii ani unele state si organizatii internationale au determinat constientizarea, la nivel international, a necesitatii adoptarii unor strategii si politici în domeniul securitatii cibernetice. Astfel, exista în prezent strategii nationale de securitate cibernetica, precum cele ale Estoniei, Statelor Unite ale Americii, Marii Britanii, Germaniei si Frantei, care fundamenteaza necesitatea demersurilor pentru dezvoltarea capabilitatilor proprii de contracarare a atacurilor cibernetice si stabilesc cadrul de actiune si cooperare între diverse entitati guvernamentale si nonguvernamentale pentru limitarea consecintelor. Conform acestor strategii, eforturile natiunilor vizeaza implementarea unor masuri de securitate care sa conduca la cresterea nivelului de protectie a infrastructurilor cibernetice, în special a celor care sustin infrastructurile critice nationale.

Evolutia rapida a naturii amenintarilor cibernetice a necesitat adoptarea, si de catre Organizatia Nord-Atlantica, a unui nou concept si a unei noi politici în domeniul apararii cibernetice. În acest sens, NATO si-a redefinit rolul si perimetrul de actiune în domeniu si a elaborat un plan de actiune pentru dezvoltarea unor capabilitati necesare protejarii infrastructurilor cibernetice proprii, precum si a unor mecanisme de consultare a statelor membre si de asigurare a asistentei în cazul unor atacuri cibernetice majore.

La nivelul UE sunt întreprinse demersuri în privinta adoptarii unei strategii europene pentru securitatea cibernetica, care sa armonizeze eforturile statelor membre în abordarea provocarilor de securitate din spatiul cibernetic si protectia infrastructurilor informatice critice.

Totodata, la nivelul UE, s-a conturat necesitatea adoptarii unei politici privind lupta împotriva criminalitatii informatice. Initiativele subsecvente au pornit de la constatarea cresterii numarului de infractiuni informatice, a tot mai amplei implicari a grupurilor de criminalitate organizata în criminalitatea informatica, precum si a necesitatii unei coordonari a eforturilor europene în directia combaterii acestor acte. Având în vedere ca atacurile cibernetice pe scara larga, bine coordonate si directionate catre infrastructurile cibernetice critice ale statelor membre, constituie o preocupare crescânda a UE, întreprinderea de actiuni pentru combaterea tuturor formelor de criminalitate informatica, atât la nivel european, cât si la nivel national, a devenit o necesitate stringenta.

Cresterea capacitatii de lupta împotriva criminalitatii informatice la nivel national, european si international implica, printre altele:

- cresterea gradului de cooperare si coordonare între unitatile responsabile cu combaterea criminalitatii informatice, alte autoritati si experti din cadrul Uniunii Europene;

- dezvoltarea unui cadru de reglementare coerent, la nivelul UE, privind lupta împotriva criminalitatii informatice, în coordonare cu statele membre, precum si cu autoritatile europene si internationale cu relevanta în domeniu;

- cresterea nivelului de constientizare a costurilor si pericolelor pe care le implica criminalitatea informatica.

În acest context, România recunoaste existenta unor astfel de amenintari si sustine o abordare comuna, integrata si coordonata, atât la nivelul NATO, cât si la nivelul UE, pentru a putea oferi un raspuns oportun la atacurile cibernetice.

 

2. Scop si obiective

Scopul Strategiei de securitate cibernetica a României este de a defini si de a mentine un mediu virtual sigur, cu un înalt grad de rezilienta si de încredere, bazat pe infrastructurile cibernetice nationale, care sa constituie un important suport pentru securitatea nationala si buna guvernare, pentru maximizarea beneficiilor cetatenilor, mediului de afaceri si ale societatii românesti, în ansamblul ei.

Strategia de securitate cibernetica a României prezinta obiectivele, principiile si directiile majore de actiune pentru cunoasterea, prevenirea si contracararea amenintarilor, vulnerabilitatilor si riscurilor la adresa securitatii cibernetice a României si pentru promovarea intereselor, valorilor si obiectivelor nationale în spatiul cibernetic.

În scopul asigurarii coerentei si eficientei actionale, Strategia de securitate cibernetica a României, denumita în continuare strategie, urmareste îndeplinirea obiectivului national de securitate privind "asigurarea securitatii cibernetice", cu respectarea principiilor si caracteristicilor Strategiei nationale de aparare si Strategiei nationale de protectie a infrastructurilor critice.

Pentru asigurarea securitatii cibernetice a României, strategia stabileste urmatoarele obiective:

a) adaptarea cadrului normativ si institutional la dinamica amenintarilor specifice spatiului cibernetic;

b) stabilirea si aplicarea unor profile si cerinte minime de securitate pentru infrastructurile cibernetice nationale, relevante din punct de vedere al functionarii corecte a infrastructurilor critice;

c) asigurarea rezilientei infrastructurilor cibernetice;

d) asigurarea starii de securitate prin cunoasterea, prevenirea si contracararea vulnerabilitatilor, riscurilor si amenintarilor la adresa securitatii cibernetice a României;

e) valorificarea oportunitatilor spatiului cibernetic pentru promovarea intereselor, valorilor si obiectivelor nationale în spatiul cibernetic;

f) promovarea si dezvoltarea cooperarii între sectorul public si cel privat în plan national, precum si a cooperarii internationale în domeniul securitatii cibernetice;

g) dezvoltarea culturii de securitate a populatiei prin constientizarea fata de vulnerabilitatile, riscurile si amenintarile provenite din spatiul cibernetic si necesitatea asigurarii protectiei sistemelor informatice proprii;

h) participarea activa la initiativele organizatiilor internationale din care România face parte în domeniul definirii si stabilirii unui set de masuri destinate cresterii încrederii la nivel international privind utilizarea spatiului cibernetic.

 

3. Concepte, definitii si termeni

În întelesul prezentei strategii, termenii si expresiile de mai jos au urmatoarea semnificatie:

infrastructuri cibernetice - infrastructuri de tehnologia informatiei si comunicatii, constând în sisteme informatice, aplicatii aferente, retele si servicii de comunicatii electronice;

spatiul cibernetic - mediul virtual, generat de infrastructurile cibernetice, incluzând continutul informational procesat, stocat sau transmis, precum si actiunile derulate de utilizatori în acesta;

securitate cibernetica - starea de normalitate rezultata în urma aplicarii unui ansamblu de masuri proactive si reactive prin care se asigura confidentialitatea, integritatea, disponibilitatea, autenticitatea si nonrepudierea informatiilor în format electronic, a resurselor si serviciilor publice sau private, din spatiul cibernetic. Masurile proactive si reactive pot include politici, concepte, standarde si ghiduri de securitate, managementul riscului, activitati de instruire si constientizare, implementarea de solutii tehnice de protejare a infrastructurilor cibernetice, managementul identitatii, managementul consecintelor;

aparare cibernetica - actiuni desfasurate în spatiul cibernetic în scopul protejarii, monitorizarii, analizarii, detectarii, contracararii agresiunilor si asigurarii raspunsului oportun împotriva amenintarilor asupra infrastructurilor cibernetice specifice apararii nationale;

operatii în retele de calculatoare - procesul complex de planificare, coordonare, sincronizare, armonizare si desfasurare a actiunilor în spatiul cibernetic pentru protectia, controlul si utilizarea retelelor de calculatoare în scopul obtinerii superioritatii informationale, concomitent cu neutralizarea capabilitatilor adversarului;

amenintare cibernetica - circumstanta sau eveniment care constituie un pericol potential la adresa securitatii cibernetice;

atac cibernetic - actiune ostila desfasurata în spatiul cibernetic de natura sa afecteze securitatea cibernetica;

incident cibernetic - eveniment survenit în spatiul cibernetic ale carui consecinte afecteaza securitatea cibernetica;

terorism cibernetic - activitatile premeditate desfasurate în spatiul cibernetic de catre persoane, grupari sau organizatii motivate politic, ideologic ori religios ce pot determina distrugeri materiale sau victime, de natura sa determine panica ori teroare;

spionaj cibernetic - actiuni desfasurate în spatiul cibernetic, cu scopul de a obtine neautorizat informatii confidentiale în interesul unei entitati statale sau nonstatale;

criminalitatea informatica - totalitatea faptelor prevazute de legea penala sau de alte legi speciale care prezinta pericol social si sunt savârsite cu vinovatie, prin intermediul ori asupra infrastructurilor cibernetice;

vulnerabilitatea în spatiul cibernetic - slabiciune în proiectarea si implementarea infrastructurilor cibernetice sau a masurilor de securitate aferente care poate fi exploatata de catre o amenintare;

riscul de securitate în spatiul cibernetic - probabilitatea ca o amenintare sa se materializeze, exploatând o anumita vulnerabilitate specifica infrastructurilor cibernetice;

managementul riscului - un proces complex, continuu si flexibil de identificare, evaluare si contracarare a riscurilor la adresa securitatii cibernetice, bazat pe utilizarea unor tehnici si instrumente complexe, pentru prevenirea pierderilor de orice natura;

managementul identitatii - metode de validare a identitatii persoanelor când acestea acceseaza anumite infrastructuri cibernetice;

rezilienta infrastructurilor cibernetice - capacitatea componentelor infrastructurilor cibernetice de a rezista unui incident sau atac cibernetic si de a reveni la starea de normalitate;

entitati de tip CERT - structuri specializate în întelesul art. 2 lit. a) din Hotarârea Guvernului nr. 494/2011 privind înfiintarea Centrului National de Raspuns la Incidente de Securitate Cibernetica - CERT-RO.

 

4. Principii

Asigurarea securitatii cibernetice trebuie sa constituie rezultatul unor abordari bazate pe evaluarea riscurilor, prioritizarea resurselor, implementarea si monitorizarea eficientei masurilor de securitate identificate prin aplicarea managementului de risc si respectarea urmatoarelor principii:

- coordonarea - activitatile se realizeaza într-o conceptie unitara, pe baza unor planuri de actiune convergente destinate asigurarii securitatii cibernetice, în conformitate cu atributiile si responsabilitatile fiecarei entitati;

- cooperarea - toate entitatile implicate (din mediul public sau privat) colaboreaza, la nivel national si international, pentru asigurarea unui raspuns adecvat la amenintarile din spatiul cibernetic;

- eficienta - demersurile întreprinse vizeaza managementul optim al resurselor disponibile;

- prioritizarea - eforturile se vor concentra asupra securizarii infrastructurilor cibernetice ce sustin infrastructurile critice nationale si europene;

- diseminarea - asigurarea transferului de informatii, expertiza si bune practici în scopul protejarii infrastructurilor cibernetice;

- protejarea valorilor - politicile de securitate cibernetica vor asigura echilibrul între nevoia de crestere a securitatii în spatiul cibernetic si prezervarea dreptului la intimitate si alte valori si libertati fundamentale ale cetateanului;

- asumarea responsabilitatii - toti detinatorii si utilizatorii de infrastructuri cibernetice trebuie sa întreprinda masurile necesare pentru securizarea infrastructurilor proprii si sa nu afecteze securitatea infrastructurilor celorlalti detinatori sau utilizatori;

- separarea retelelor - reducerea probabilitatii de manifestare a atacurilor cibernetice, specifice retelei internet, asupra infrastructurilor cibernetice care asigura functiile vitale ale statului, prin utilizarea unor retele dedicate, separate de internet.

 

II. Provocari si oportunitati

 

1. Amenintari, vulnerabilitati si riscuri

Amenintarile specifice spatiului cibernetic se caracterizeaza prin asimetrie si dinamica accentuata si caracter global, ceea ce le face dificil de identificat si de contracarat prin masuri proportionale cu impactul materializarii riscurilor.

România se confrunta, în prezent, cu amenintari provenite din spatiul cibernetic, la adresa infrastructurilor critice, având în vedere interdependenta din ce în ce mai ridicata între infrastructuri cibernetice si infrastructuri precum cele din sectoarele financiar-bancar, transport, energie si aparare nationala. Globalitatea spatiului cibernetic este de natura sa amplifice riscurile la adresa acestora, afectând deopotriva cetatenii, mediul de afaceri si cel guvernamental.

În general, infrastructurile cibernetice pot fi afectate de amenintari de natura tehnica (de exemplu deficiente sau defectiuni tehnice), umana (de exemplu erori de operare, actiuni voluntare) ori naturale (de exemplu fenomene meteo extreme, catastrofe naturale).

Amenintarile la adresa spatiului cibernetic se pot clasifica în mai multe moduri, dar cele mai frecvent utilizate sunt cele bazate pe factorii motivationali si impactul asupra societatii. În acest sens, pot fi avute în vedere criminalitatea informatica, terorismul cibernetic si razboiul cibernetic, având ca sursa atât actori statali, cât si actori nonstatali.

Amenintarile din spatiul cibernetic se materializeaza - prin exploatarea vulnerabilitatilor de natura umana, tehnica si procedurala - cel mai adesea în:

- atacurile cibernetice împotriva infrastructurilor care sustin functii de utilitate publica ori servicii ale societatii informationale a caror întrerupere/afectare ar putea constitui un pericol la adresa securitatii nationale;

- accesarea neautorizata a infrastructurilor cibernetice;

- modificarea, stergerea sau deteriorarea neautorizata de date informatice ori restrictionarea ilegala a accesului la aceste date;

- spionajul cibernetic;

- cauzarea unui prejudiciu patrimonial, hartuirea si santajul persoanelor fizice si juridice, de drept public si privat.

Principalii actori care genereaza amenintari în spatiul cibernetic sunt:

- persoane sau grupari de criminalitate organizata care exploateaza vulnerabilitatile spatiului cibernetic în scopul obtinerii de avantaje patrimoniale sau nepatrimoniale;

- teroristi sau extremisti care utilizeaza spatiul cibernetic pentru desfasurarea si coordonarea unor atacuri teroriste, activitati de comunicare, propaganda, recrutare si instruire, colectare de fonduri etc., în scopuri teroriste;

- state sau actori nonstatali care initiaza sau deruleaza operatiuni în spatiul cibernetic, în scopul culegerii de informatii din domeniile guvernamental, militar, economic ori al materializarii altor amenintari la adresa securitatii nationale.

 

2. Oportunitati

În acelasi timp, spatiul cibernetic, devenit un nou domeniu de interactiune în cadrul societatii moderne, ofera o serie de oportunitati generate de însasi specificitatea acestuia. Astfel, au fost identificate urmatoarele oportunitati pe care România le poate exploata prin intermediul spatiului cibernetic:

- sustinerea politicilor si promovarea intereselor nationale;

- dezvoltarea si sustinerea mediului de afaceri;

- cresterea calitatii vietii prin dezvoltarea serviciilor oferite de societatea informationala;

- îmbunatatirea cunoasterii si sustinerea deciziilor strategice nationale în era informationala prin asigurarea capacitatilor si instrumentelor cibernetice adecvate;

- cresterea nivelului de cunoastere si a capacitatii de predictie în scopul avertizarii timpurii privind riscurile si amenintarile la adresa securitatii nationale;

- cresterea capacitatilor tehnice si a competentelor resursei umane pentru realizarea obiectivelor de securitate nationala.

 

III. Directii de actiune

 

România îsi propune asigurarea starii de normalitate în spatiul cibernetic reducând riscurile si valorificând oportunitatile, prin îmbunatatirea cunostintelor, a capabilitatilor si a mecanismelor de decizie. În acest sens, eforturile se vor focaliza pe urmatoarele directii de actiune:

1. Stabilirea cadrului conceptual, organizatoric si actional necesar asigurarii securitatii cibernetice

- constituirea si operationalizarea unui sistem national de securitate cibernetica;

- completarea si armonizarea cadrului legislativ national în domeniu, inclusiv stabilirea si aplicarea unor cerinte minimale de securitate pentru infrastructurile cibernetice nationale;

- dezvoltarea cooperarii între sectorul public si cel privat, inclusiv prin stimularea schimbului reciproc de informatii, privind amenintari, vulnerabilitati, riscuri, precum si cele referitoare la incidente si atacuri cibernetice.

2. Dezvoltarea capacitatilor nationale de management al riscului în domeniul securitatii cibernetice si de reactie la incidente cibernetice în baza unui program national, vizând:

- consolidarea, la nivelul autoritatilor competente potrivit legii, a potentialului de cunoastere, prevenire si contracarare a amenintarilor si minimizarea riscurilor asociate utilizarii spatiului cibernetic;

- asigurarea unor instrumente de dezvoltare a cooperarii dintre sectorul public si cel privat, în domeniul securitatii cibernetice, inclusiv pentru crearea unui mecanism eficient de avertizare si alerta, respectiv de reactie la incidentele cibernetice;

- stimularea capabilitatilor nationale de cercetare-dezvoltare si inovare în domeniul securitatii cibernetice;

- cresterea nivelului de rezilienta a infrastructurilor cibernetice;

- dezvoltarea entitatilor de tip CERT, atât în cadrul sectorului public, cât si în sectorul privat.

3. Promovarea si consolidarea culturii de securitate în domeniul cibernetic

- derularea unor programe de constientizare a populatiei, a administratiei publice si a sectorului privat, cu privire la amenintarile, vulnerabilitatile si riscurile specifice utilizarii spatiului cibernetic;

- dezvoltarea de programe educationale, în cadrul formelor obligatorii de învatamânt, privind utilizarea sigura a internetului si a echipamentelor de calcul;

- formarea profesionala adecvata a persoanelor care îsi desfasoara activitatea în domeniul securitatii cibernetice si promovarea pe scara larga a certificarilor profesionale în domeniu;

- includerea unor elemente referitoare la securitatea cibernetica în programele de formare si perfectionare profesionala a managerilor din domeniul public si privat.

4. Dezvoltarea cooperarii internationale în domeniul securitatii cibernetice

- încheierea unor acorduri de cooperare la nivel international pentru îmbunatatirea capacitatii de raspuns în cazul unor atacuri cibernetice majore;

- participarea la programe internationale care vizeaza domeniul securitatii cibernetice;

- Promovarea intereselor nationale de securitate cibernetica în formatele de cooperare internationala la care România este parte.

 

IV. Sistemul national de securitate cibernetica

 

Sistemul national de securitate cibernetica (SNSC) reprezinta cadrul general de cooperare care reuneste autoritati si institutii publice, cu responsabilitati si capabilitati în domeniu, în vederea coordonarii actiunilor la nivel national pentru asigurarea securitatii spatiului cibernetic, inclusiv prin cooperarea cu mediul academic si cel de afaceri, asociatiile profesionale si organizatiile neguvernamentale.

Misiunea SNSC consta în asigurarea elementelor de cunoastere, prevenire si contracarare a amenintarilor, vulnerabilitatilor si riscurilor specifice spatiului cibernetic care pot afecta securitatea infrastructurilor cibernetice nationale, inclusiv managementul consecintelor.

Pentru îndeplinirea obiectivelor prezentei strategii, SNSC functioneaza ca un mecanism unitar si eficient de relationare si cooperare interinstitutionala, în vederea adoptarii si aplicarii cu celeritate a deciziilor.

SNSC actioneaza pe urmatoarele componente:

Componenta de cunoastere - furnizeaza suportul informational necesar elaborarii masurilor proactive si reactive în vederea asigurarii securitatii cibernetice.

Componenta de prevenire - este principalul mijloc de asigurare a securitatii cibernetice prin crearea si dezvoltarea capabilitatilor necesare analizei si prognozei evolutiei starii acesteia.

Componenta de cooperare si coordonare - asigura mecanismul unitar si eficient de relationare în cadrul SNSC.

Componenta de contracarare - asigura reactia eficienta la amenintarile sau atacurile cibernetice, prin identificarea si blocarea manifestarii acestora. Aceasta se realizeaza în scopul mentinerii sau restabilirii securitatii infrastructurilor cibernetice vizate, precum si pentru identificarea si sanctionarea autorilor, potrivit legii.

Functiile principale ale SNSC se realizeaza prin informare, monitorizare, diseminare, analizare, avertizare, coordonare, decizie, reactie, refacere si constientizare, precum si prin adoptarea de masuri proactive si reactive.

Masurile proactive vizeaza:

- actualizarea si armonizarea cadrului national de reglementare în domeniul securitatii cibernetice în concordanta cu evolutiile mediului de referinta;

- implementarea de politici, concepte, standarde si ghiduri de securitate;

- colectarea de date si informatii referitoare la amenintari, vulnerabilitati si riscuri identificate în spatiul cibernetic;

- analiza, anticiparea si prognoza evolutiei starii de securitate cibernetica;

- realizarea si eficientizarea cooperarii între sectorul public si cel privat între detinatorii infrastructurilor cibernetice si autoritatile statului abilitate sa întreprinda masuri de prevenire si contracarare a amenintarilor, precum si de minimizare a efectelor unui atac cibernetic;

- ridicarea nivelului de instruire si constientizare a populatiei asupra riscurilor derivate din utilizarea spatiului cibernetic;

- interoperabilitatea cu alte sisteme nationale si internationale cu atributii în domeniul securitatii;

- protejarea infrastructurilor cibernetice nationale si a celor apartinând NATO sau UE aflate în administrarea unor institutii ori autoritati publice;

- implementarea unui mecanism de management al riscului;

- asigurarea unui grad ridicat de autoadaptabilitate, în functie de evolutiile spatiului cibernetic;

- asigurarea confidentialitatii, integritatii, disponibilitatii, autenticitatii si nonrepudierii informatiilor din spatiul cibernetic;

- asigurarea managementului identitatii în spatiul cibernetic;

- operationalizarea capabilitatilor destinate managementului incidentelor de securitate cibernetica, inclusiv managementul consecintelor;

- dezvoltarea mecanismelor pentru cresterea nivelului de cultura de securitate.

Masurile reactive urmaresc:

- aplicarea planurilor de contingenta în vederea minimizarii efectelor unui atac cibernetic;

- aplicarea masurilor cu privire la asigurarea continuitatii fluxurilor informationale si decizionale;

- aplicarea unui plan de masuri cu privire la asigurarea functionalitatii sistemelor în conditii de securitate a serviciilor publice sau private;

- recuperarea si restaurarea datelor;

- identificarea si implementarea lectiilor învatate, rezultate în urma aplicarii procedurilor de management al incidentelor, management al consecintelor unui atac cibernetic, precum si de continuitate a activitatilor.

Eficienta activitatilor desfasurate în SNSC depinde în mod esential de cooperarea, inclusiv între sectorul public si cel privat, între detinatorii infrastructurilor cibernetice si autoritatile statului abilitate sa întreprinda masuri de prevenire si contracarare a amenintarilor, de investigare a atacurilor cibernetice, precum si de minimizare a efectelor acestora.

Consiliul Suprem de Aparare a Tarii este autoritatea ce coordoneaza, la nivel strategic, activitatea SNSC. Consiliul Suprem de Aparare a Tarii avizeaza Strategia de securitate cibernetica a României si aproba Regulamentul de organizare si functionare al Consiliului operativ de securitate cibernetica.

Consiliul operativ de securitate cibernetica (COSC) reprezinta organismul prin care se realizeaza coordonarea unitara a SNSC. Din COSC fac parte, în calitate de membri permanenti, reprezentanti ai Ministerului Apararii Nationale, Ministerului Afacerilor Interne, Ministerului Afacerilor Externe, Ministerului pentru Societatea Informationala, Serviciului Român de Informatii, Serviciului de Telecomunicatii Speciale, Serviciului de Informatii Externe, Serviciului de Protectie si Paza, Oficiului Registrului National pentru Informatii Secrete de Stat, precum si secretarul Consiliului Suprem de Aparare a Tarii. Conducerea COSC este asigurata de un presedinte (consilierul prezidential pe probleme de securitate nationala) si un vicepresedinte (consilierul prim-ministrului pe probleme de securitate nationala). Coordonatorul tehnic al COSC este Serviciul Român de Informatii, în conditiile legii.

Guvernul României, prin Ministerul pentru Societatea Informationala, asigura coordonarea celorlalte autoritati publice care nu sunt reprezentate în COSC, în vederea realizarii coerentei politicilor si implementarea strategiilor guvernamentale în domeniul comunicatiilor electronice, tehnologiei informatiei si al serviciilor societatii informationale si societatii bazate pe cunoastere, iar prin Centrul National de Raspuns la Incidente de Securitate Cibernetica - CERT-RO - asigura elaborarea si diseminarea politicilor publice de prevenire si contracarare a incidentelor din cadrul infrastructurilor cibernetice, potrivit ariei de competenta.

Guvernul României va elabora proiectul legii privind securitatea cibernetica, pe care îl va supune aprobarii Parlamentului, potrivit legii.

Fiecare dintre institutiile reprezentate în COSC coopereaza cu organismele internationale ale UE, NATO, OSCE etc., fiecare pe domeniul sau de competenta.

 

V. Cooperarea între sectorul public si cel privat

 

Dezvoltarea cooperarii dintre mediul public si cel privat, în scopul asigurarii securitatii cibernetice, reprezinta o directie prioritara de actiune la nivelul organismelor internationale sau aliantelor la care România este parte, având în vedere ca spatiul cibernetic reuneste deopotriva infrastructuri cibernetice detinute si administrate de stat, precum si de entitati private.

Principalele linii directoare de asigurare a securitatii cibernetice, în cadrul cooperarii între sectorul public si cel privat, trebuie sa urmareasca:

- cooperarea bazata pe încredere între stat si mediul de afaceri, la toate nivelurile;

- cresterea nivelului de protectie al infrastructurilor cibernetice prin corelarea masurilor întreprinse cu resursele disponibile în sectorul public si privat.

Responsabilitatea asigurarii securitatii cibernetice revine tuturor actorilor implicati, tinând cont de interesele complementare în acest domeniu pentru asigurarea legalitatii operatiunilor desfasurate, combaterea fenomenului criminalitatii informatice si protectia infrastructurilor critice interconectate cu spatiul cibernetic si se bazeaza pe sporirea încrederii reciproce.

Principalele obiective ale cooperarii între sectorul public si cel privat vizeaza:

- schimbul de informatii privind amenintari, vulnerabilitati si riscuri specifice;

- dezvoltarea capabilitatilor de avertizare timpurie si de raspuns la incidente si atacuri cibernetice;

- desfasurarea de exercitii comune privind securitatea spatiului cibernetic;

- dezvoltarea de programe educationale si de cercetare în domeniu;

- dezvoltarea culturii de securitate;

- reactia comuna în cazul unor atacuri cibernetice majore.

Realizarea obiectivelor mentionate presupune conlucrarea dintre sectorul public si sectorul privat, inclusiv prin masuri de preventie, constientizare si promovare a oportunitatilor în domeniul cibernetic.

 

VI. Concluzii

 

Asigurarea securitatii cibernetice se bazeaza pe cooperarea la nivel national si international pentru protejarea spatiului cibernetic, prin coordonarea demersurilor nationale cu orientarile si masurile adoptate la nivel international, în formatele de cooperare la care România este parte.

Având în vedere dinamismul evolutiilor globale în spatiul cibernetic, precum si obiectivele României în procesul de dezvoltare a societatii informationale si implementare pe scara larga a serviciilor electronice este necesara elaborarea unui program national detaliat, care - pe baza reperelor oferite de prezenta strategie - sa asigure elaborarea si punerea în practica a unor proiecte concrete de securitate cibernetica.

Masurile destinate operationalizarii SNSC trebuie armonizate cu eforturile pe dimensiunea protectiei infrastructurilor critice, respectiv cu evolutia procesului de dezvoltare a capabilitatilor de tip CERT. În varianta optima, SNSC trebuie sa dispuna de o structura flexibila si adaptiva care sa înglobeze capabilitati de identificare si anticipare, resurse si proceduri operationale de prevenire, reactie si contracarare, precum si instrumente pentru documentare si sanctionare a autorilor atacurilor cibernetice.

Este necesara implementarea, la nivel national, a unor standarde minimale procedurale si de securitate pentru infrastructurile cibernetice, care sa fundamenteze eficienta demersurilor de protejare fata de atacuri cibernetice si sa limiteze riscurile producerii unor incidente cu potential impact semnificativ.

Autoritatile publice cu responsabilitati în acest domeniu vor aloca resursele financiare necesare asigurarii securitatii cibernetice prin intermediul politicilor de planificare. Pentru asigurarea unei capacitati sporite de identificare, evaluare si proiectare a masurilor adecvate de management al riscului sau de raspuns la incidente si atacuri cibernetice este prioritara dezvoltarea schimburilor de informatii si transferului de expertiza între autoritatile cu responsabilitati în domeniu, dezvoltarea cooperarii între sectorul public si cel privat si extinderea cooperarii cu mediile neguvernamentale si comunitatea academica.

SNSC va constitui platforma de cooperare si armonizare a capabilitatilor de tip CERT existente la nivel national, valorificând instrumentele oferite de acestea, si va actiona pentru consolidarea expertizei în domeniul riscurilor cibernetice, prin stimularea sinergiilor între diferitele planuri de actiune în domeniul securitatii cibernetice (militar-civil, public-privat, guvernamental-neguvernamental).

Dat fiind ritmul rapid de evolutie a problematicii, prezenta strategie va fi testata si revizuita permanent, inclusiv în contextul mai larg al Strategiei de aparare, în vederea adaptarii continue la provocarile si oportunitatile generate de un mediu de securitate în permanenta schimbare.

În termen de 90 de zile de la intrarea în vigoare a prezentei strategii, COSC va elabora Programul national destinat managementului riscului în domeniul securitatii cibernetice.

Parteneri
Hotel Armatti Complex Wolf