Afacerile și industria în centrul preocupărilor celui de-al 5-lea Congres macro-regional „Cybersecurity...

Afacerile și industria în centrul preocupărilor celui de-al 5-lea Congres macro-regional „Cybersecurity – Romania” (Sibiu, 14-15 septembrie 2017)

2334
Laurent Chrzanovski

Desfășurată sub Înaltul Patronaj al Ambasadorului Elveției în România și organizată în colaborare cu Uniunea Internațională a Telecomunicațiilor (ONU-Geneva), cea de-a 5-a ediție a platformei de dialog public-privat din Europa centrală s-a desfășurat în septembrie 2017.

Auditoriul a fost constituit în majoritate din prestatori de servicii TIC, oameni de afaceri, responsabili informaţii din sectorul public și privat, iar congresul a atras, pentru al treilea an consecutiv, directori generali ai celor mai mari uzine din regiune și ai unor companii de infrastructuri critice (producţie, transport și stocare de gaz, electricitate sau petrol) din România. Prezenţa directorilor generali în persoană, și nu a responsabililor de securitate ca în cazul ediţiilor precedente, reprezintă dovada unei evoluţii atât așteptate cât și sperate pentru un dialog care constituie piatra de temelie a creării Congresului din Sibiu, una dintre rarele manifestări care nu are nici caracter tehnic, nici de marketing. Motivul participării unor asemenea VIP-uri este unul firesc: WannaCry și Not-Petya au lovit Europa în mai și în iunie, generând pierderi de miliarde de euro de în sectoare despre care se credea anterior că pot fi ţinte potenţiale ale criminalităţii organizate doar cu ocazia tranzacţiilor financiare sau în scopul obţinerii accesului la baza de date. Speakeri dintre cei mai elocvenţi au explicat în detaliu vulnerabilităţile ecosistemului nostru digital. Vulnerabilităţi atât de mari încât un singur virus devastator, Not-Petya (sau Goldeneye) „lansat pur și simplu pe internet” și nu creat special pentru o anumită întreprindere, a provocat pagube directe, fără a pune la socoteală consecinţele indirecte, la o scară inimaginabilă. Au fost date o mulţime de exemple concrete, printre altele și cazul gigantului industrial Saint-Gobain1 (220 de milioane de euro de pierderi directe – 4,4% din profit – doar în primul semestru și 3 zile de lucru cu hârtie și pixuri2),cazul gigantului din industria alimentară Mondelez (-3% din cifra de afaceri doar în trimestrul 2) sau al liderului în transporturi maritime Maersk (pierderi de 300 de milioane de euro).Concepute special pentru directorii din industrie, prezentările reprezentanţilor instituţiilor specializate ale Statului Român (Poliţie, servicii de informaţii, Centrul Naţional de Răspuns la Incidente de Securitate Cibernetică, Autoritatea naţională pentru Administrare și Reglementare în Comunicaţii) au oferit radiografia întregii ţări. Publicul a beneficiat în avanpremieră de o raportare a situaţiei la zi, iar aceasta la șase luni înainte de raportările naţionale obligatorii din sarcina fiecărui stat membru al Uniunii, întocmite la sfârșitul anului și publicate în primele luni ale anului următor. Apoi, lideri recunoscuţi în domeniul securităţii au abordat aspecte cruciale pentru lumea afacerilor și pentru industrie, care prezintă o întârziere semnificativă în înţelegerea non-tehnică a insecurităţii globale a internetului.

Nicola Sotira
Intrusul râvnit

Nicola Sotira (Chief information security officer al Grupului Poste Italiane, Roma) a prezentat utilitatea smartphone-urilor în marketing, comunicarea internă și externă, dar și pentru o gamă de servicii disponibile, de la e-banking la plăţile smart sau comanda la distanţă. Un smartphone purtat de proprietar cu sine 24/7 reprezintă visul antreprenorului și coșmarul responsabilului cu securitatea: în prezent, este instrumentul tehnologic cel mai vulnerabil și cel mai des atacat în termeni absoluţi.

Când cea mai bună armată este atacată cu succes
Ido Naor

Ido Naor (Kaspersky Labs Tel Aviv) a luat urma unei infiltraţii teroriste care era cât pe ce să reușească. Pe reţelele sociale, un grup de „canadiene” tinere și drăguţe care se pregăteau să facă o „vizită de studii” în Israel a vizat niște tineri recruţi din IDF (armata israeliană) din cazărmile din apropierea Fâșiei Gaza. Ingineria socială a reușit, iar numeroși soldaţi au corespondat cu „canadienele” și apoi au descărcat un pachet de aplicaţii de chat video și audio care conţinea… un troian, care ar fi permis grupului terorist în cauză să folosească smartphone-urile tinerilor ca pe niște veritabile microfoane, aparate foto și video în avantajul lor. Doar vigilenţa ofiţerilor superiori și a ofiţerilor de informaţii a permis ca IDF să coopereze cu Kaspersky Labs, care au observat imediat mai multe formule desuete în ebraică a textelor „canadienelor”, prezenţa stranie a unei aplicaţii muzicale în pachetul trimis spre descărcare și linii de cod care trimiteau direct în… Gaza. Dacă recruţii IDF, instruiţi să fie în alertă permanentă și să deceleze atitudinile suspecte, au putut să cadă în capcana clasică a fetei drăguţe, să ne imaginăm doar pagubele pe care o operaţiune similară le-ar putea produce într-o întreprindere occidentală, unde succesul ar fi asigurat din cauza lipsei de cultură în domeniul securităţii.

O apărare pe șapte niveluri, iar nimeni nu cunoaște în prezent mai mult de două
Marco Essomba

Marco Essomba (CEO, iCyber-Security, Reading), în speech-ul său, Full Stack Cybersecurity Defense, a insistat pe necesitatea reformării în profunzime a organigramei și a modului de funcţionare a marilor întreprinderi și industrii. O viziune holistică a leadershipului asistat de un expert în securitate și antrenamente trans-departamentale sunt elemente vitale pentru a ţine piept atacurilor tot mai sofisticate, care vizează toate procesele unei întreprinderi, de la finanţe la utilaje de producţie, și în care componenta umană este cea mai vulnerabilă dintre toate. În aceste „7 niveluri” ale apărării, este crucială existenţa unor echipe motivate de către directori de nouă generaţie, în special printre ingineri, care să cunoască și să explice cel puţin 3 niveluri – sau straturi – fiecare, asigurând astfel legătura necesară cu specialiștii celorlalte niveluri și cu profesioniștii de nișă al căror singur obiectiv este de a fi cei mai buni pe nișa încredinţată. De-a lungul a două zile, peste 20 de speakeri din 10 ţări au atras atenţia asupra mai multor aspecte specifice în care mediul de afaceri și industria nu deţin cunoștinţele adecvate, de pildă cu ocazia elaborării criteriilor de angajare a unui nou Responsabil cu securitatea potrivit pentru specificul întreprinderii, sau cu ocazia alegerii, printre instrumentele de apărare de ultimă generaţie, a celui adaptat la ecosistemul întreprinderii, mai ales când aceasta din urmă deţine și folosește cantităţi semnificative de date și de servicii în cloud sau când interacţionează la distanţă cu unităţi de transport și de producţie. Ultima sesiune a Congresului, plasată sub egida Vallée de l’Energie și a Camerei de Comerţ și Industrie din Belfort, a fost consacrată exclusiv temei „Industria 4.0”. Publicului i s-a propus o privire de ansamblu a pericolelor și a vulnerabilităţilor, rezultat al colaborării dintre organizatori și speakeri, ale căror subiecte s-au completat într-un mod agreabil și au asigurat succesul întâlnirii. Expunerea directorului adjunct al Cyberint (centru special al serviciilor române de informaţii interne) a avut ca obiect blocajele actuale și viitoare cauzate de viziunea strategică legată de crearea, acum mai bine de un deceniu, a categoriei de „infrastructuri critice” sau „întreprinderi de interes strategic”, adică cele pentru care statul trebuie să contribuie la asigurarea apărării. Această doctrină, a cărei aplicaţie, deși mai generoasă, este în prezent prost înţeleasă, determină o reţinere din partea a numeroși antreprenori în a colabora cu Cyberint sau în a solicita ajutorul CERT-RO, ambele servicii de stat, în plus faţă de Poliţie, în materie de incidente și de infracţiuni informatice. Or, dacă o industrie – cu corolarul său de furnizori – cu zeci de mii de angajaţi ar da faliment ca urmare a unui atac, consecinţele sociale ar atinge o amplitudine strategică egală cu cea a unui atac asupra reţelei electrice a unei regiuni.

Jean-Luc Habermacher

Jean-Luc Habermacher (Vallée de l’Energie) și Jean-Gabriel Gautraud (Bessé Conseil) au prezentat punctele de vedere aleunui risk manager și ale unui consilier în asigurări, arătând în ce măsură consilierii administraţiilor grupurilor industriale consideră încă securitatea cibernetică o problemă exclusiv tehnologică.

Jean-Gabriel Gautraud

Or, fără cultura siguranţei și a securităţii, fără o abordare fizică, umană și o supraveghere permanentă a fiecărui obiect conectat – fie și numai mașina de ambalat de la capătul lanţului de producţie – fiecare terminal conectat devine atât o pradă cât și un agresor în mâna unui infractor, întrucât dispozitivele și roboţii nu au fost concepuţi pentru securitatea oferită, ci pentru îndeplinirea eficientă a unei sarcini precise.

Virgil Stănciulescu

Virgil Stănciulescu, responsabil la ANCOM (Autoritatea Naţională pentru Administrare și Reglementare în Comunicaţii), a prevenit întreprinderile, în special industriile, cu privire la creșterea exponenţială a suprafeţei de expunere la atacuri rău-voitoare pe care o generează prin propriile decizii, de pildă prin instalarea de captatori IoT în exces sau prin dotarea cu roboţi de ultimă generaţie, de mașini care se perfecţionează în mod automat, care își preiau informaţiile din Big Data și care comunică prin canale multiple atât cu mediul fabricii, cât și cu exteriorul. Marc German (IHEDN) şi Jean-Jacques Wagner (IUT Belfort), în prezentarea lor Inteligenţa concurenţială și securitatea cibernetică sunt două feţe ale aceleeași monede a longevităţii unei întreprinderi, au analizat lumea concurenţei internaţionale, în care morala și etica sunt elemente foarte rare. Apărarea datelor, asigurarea securităţii fizice și cibernetice ale site-urilor proprii, dar și acumularea de informaţii despre planurile concurenţilor și posibilităţile de dezvoltare sunt acţiuni rezervate specialiștilor în inteligenţă care le pot gestiona, împreună cu echipa lor, în mod simultan și profesionist. Punând în balanţă o echipă internă alcătuită din profesioniști calificaţi, patronii cedează adesea în faţa preţurilor atractive de externalizare a serviciilor de analiză sau de apărare. Această decizie crește gradul de imprecizie și de risc, compromiţând în mod grav atât securitatea cât și fundamentul deciziilor strategice care vor fi luate ulterior. Atmosfera inegalabilă de networking, marcă a con gresului, precum și adaptarea sa la temele cele mai importante ale momentului, privite dintr-o perspectivă internaţională, care permite o veritabilă dezbatere de idei și de culturi, reprezintă valori care au făcut ca acest congres să fie solicitat și adaptat și în alte regiuni ale continentului. Astfel, prima ediţie consacrată Europei Occidentale a avut loc la Porrentruy (Elveţia) („Cybersecurity-Switzerland”, 7-8 decembrie 2017), iar prima ediţie dedicată spaţiului mediteraneean va avea loc la Noto (Sicilia, Italia) („Cybersecurity-Mediterranean”, 10-11 mai 2018), congresul din Sibiu fiind organizat în continuare anual, la jumătatea lunii septembrie.