Monday, November 19, 2018
VIP Interview

2354
Christophe Madec

În contextul multiplicării riscurilor din sectorul cibernetic, care sunt soluțiile pe care le poate oferi piața asigurărilor?

Asigurările reprezintă o metodă bună de a preîntâmpina consecinţele unui risc cibernetic. În acest caz, riscul este unul aparte întrucât consecinţele sale se pot manifesta în mai multe forme. Un atac poate avea repercusiuni asupra nivelului de activitate și deci consecinţe în ceea ce privește pierderile de profit brut; acestora li se pot adăuga costuri suplimentare considerabile, ca de pildă costurile de investigaţii și de reconstrucţie digitală pentru restabilirea funcţionării optime a sistemelor informatice.

Imposibilitatea întreprinderii de a-și desfășura activitatea generează și un risc de neîncredere din partea partenerilor, clienţilor sau furnizorilor. Întreprinderea ar putea fi obligată la plata de daune interese mai mult sau mai puţin substanţiale, în plus faţă de costurile procedurale destul de ridicate. Acest risc de neîncredere capătă o nouă dimensiune odată cu intrarea în vigoare începând cu 2018 a regulamentului privind protecţia datelor cu caracter personal care instituie obligaţia companiilor de a notifica orice scurgere de date și de a comunica direct cu persoanele vizate.Confruntată cu aceste mize și cu influenţa crescândă a acestor riscuri, piaţa asigurărilor oferă soluţii specifice, furnizate de departamentele specializate în acoperirea riscurilor din sectorul cibernetic. Aceste poliţe completează gama de asigurări deja existente în cadrul întreprinderii,

 în condiţiile în care poliţele tradiţionale care acoperă daunele bunurilor și răspunderea civilă se dovedesc inadecvate pentru garantarea corectă a consecinţelor financiare ale unei catastrofe cibernetice. Iar acest lucru este valabil cu atât mai mult cu cât, pentru a favoriza dezvoltarea unei veritabile pieţe a poliţelor care acoperă riscurile din sectorul cibernetic, asigurătorii își propun să restrângă, prin excluderi specifice, riscurile sectorului cibernetic din poliţele care acoperă daunele bunurilor sau răspunderea civilă. Avantajul unei poliţe în domeniul cibernetic nu se limitează la acoperirea consecinţelor financiare ale unui atac asupra sistemului informatic. În cazul producerii unei catastrofe cibernetice, întreprinderea poate fi asistată în gestionarea crizei de către experţi și consilieri calificaţi. Alegerea unei astfel de asigurări prezintă un dublu avantaj. Primul constă în acoperirea consecinţelor financiare ale unui incident, care este de altfel și VIP Interviu cu Christophe Madec, expert în cyber risk analysis. VIP InterviewVIP Interview 24 – Cybersecurity Trends rolul tradiţional al asigurărilor. Al doilea, la fel de important, constă în capacitatea de a fi prezent alături de întreprindere, cu precădere alături de conducerea departamentului de Sisteme Informatice și de directorii generali, pentru a gestiona în mod optim consecinţele multiple ale unui astfel de incident.

În opinia dumneavoastră, care este situația pieței asigurărilor din sectorul cibernetic în prezent?

Situaţia pieţei asigurărilor este destul de neuniformă și chiar surprinzătoare. Cel puţin în ceea ce privește piaţa franceză, toţi asigurătorii, fără excepţie, adică mai bine de cincisprezece actori, s-au mobilizat pentru a crea și a propune poliţe de asigurare pentru acoperirea riscurilor cibernetice. Oferta este deci variată și creează o veritabilă competiţie pe piaţă. Cu toate acestea, la nivelul cererii, chiar dacă a existat o solicitare puternică din partea marilor grupuri internaţionale și în special printre societăţile cotate, aceasta a fost extrem de redusă și chiar inexistentă pe piaţa microîntreprinderilor și IMM-urilor. Asigurătorii anglo-saxoni care beneficiază de experienţa pieţei americane pentru care sunt create asigurări specifice de mai bine de zece ani au fost primii pe piaţa europeană. Marii asigurători europeni și-au conceput mai apoi propriile oferte. Pentru a ilustra cu câteva cifre, volumul mondial al primelor aferente asigurărilor riscurilor cibernetice este estimat la 3,5 miliarde de dolari, din care aproximativ 250 de milioane de dolari din piaţa europeană. În ceea ce privește piaţa franceză, volumul actual al primelor este estimat la 40 de milioane de euro și se concentrează în special asupra pieţei marilor riscuri. Fiecare companie de asigurări are o capacitate de subscripţie de circa 25 de milioane de euro, ceea ce le permite în prezent monopolizarea unei capacităţi totale de peste 300 de milioane de euro în cadrul unui singur program. Ca urmare a evenimentelor Wannacry și Petya din iunie 2017, se constată totuși politici de subscripţie destul de imprudente care îi determină pe asigurători să-și limiteze angajamentele în funcţie de calitatea dosarelor care le sunt prezentate. Asigurătorii devin mai exigenţi în ceea ce privește informaţiile subscripţiei și nu se mai angajează complet decât dacă aceste informaţii care le sunt furnizate sunt considerate satisfăcătoare. În privinţa tarifelor practicate, asigurătorii au din păcate puţină experienţă și nu dispun de nicio informaţie semnificativă care să le permită crearea unui model actuarial al acestui risc, cu scopul de a stabili tarife pertinente în raport cu riscul. De altfel, tarifele se stabilesc într-un mod destul de empiric, ceea ce generează disparităţi importante atât între diferite pieţe precum de pildă cele din Franţa, Germania, Anglia, cât și între actorii individuali. La nivelul pieţei franceze, costurile primelor variază semnificativ între asigurători în funcţie de activităţile și de mărimea întreprinderii. Pe piaţa microîntreprinderilor, tarifele sunt accesibilizate pentru favorizarea cererii. Este foarte evident că asigurătorii sunt în faza de câștigare de cotă de piaţă și caută să-și echipeze la maximum clienţii pentru ca apoi să-i asiste și să le dezvolte portofoliul în funcţie de evoluţia acestui risc și de gradul de probabilitate a producerii atacului. Dincolo de aspectele tarifare și de capacităţi, este interesant de observat că poliţele de asigurare sunt în general dificil de înţeles din cauza multitudinii de oferte disponibile. Condiţiile prezentate sunt în continuare foarte eterogene între asigurători, la nivelul unei pieţe nestructurate în care se simte lipsa unei baze de referinţă și a unui feedback pentru consolidarea aspectelor contractuale.

Care este poziția întreprinderilor vizavi de asigurările din sectorul cibernetic?

Și aici, situaţia este împărţită. Pe de o parte, există sfera marilor riscuri, reprezentată de companiile mari internaţionale, multinaţionale și societăţile cotate la bursă. Pe de altă parte, regăsim microîntreprinderile și IMM-urile. În ceea ce privește societăţile cotate, aproape toate sunt acoperite de poliţe de asigurare împotriva riscurilor cibernetice, achiziţionate în ultimii doi ani. Sub presiunea investitorilor și a agenţiilor de notare, societăţile nu pot neglija acești factori de risc, așadar sunt obligate să menţină o transparenţă a politicilor practicate în materia de securitate cibernetică, iar aceste politici includ în general și o asigurare. Situaţia este diferită în cazul microîntreprinderilor șiIMM-urilor. Chiar dacă aceste structuri sunt în prezent sensibilizate cu privire la riscurile cibernetice, datorită unei actualităţi mediatice foarte puternice pe acest subiect, problema principală este că nu vizualizează propriul nivel de vulnerabilitate și nu identifică posibilul impact, în special impactul financiar. Subiectul rămâne adesea în sarcina departamentului de sisteme informatice sau a responsabilului pe partea de informatică, care au o viziune strict tehnică în legătură cu acest risc. Înţelegerea riscurilor cibernetice trebuie să fie transversală pentru a implica întreprinderea la toate nivelurile sale. Demersul pe care ni l-am propus constă în favorizarea schimburilor între mai multe funcţii, în special între responsabilii pe partea de informatică, departamentul financiar, serviciul de audit și conducerea întreprinderii, pentru a stimula un dialog despre gestionarea riscurilor cibernetice și a potenţialelor consecinţele, pentru a permite o conștientizare corectă a subiectului. Principiul cartografierii riscurilor reprezintă abordarea optimă. Cu toate acestea, este dificil de implementat, din cauză că necesită integrarea unui plan de continuitate a activităţii sau a unui plan de reluare a activităţii cu scopul de atrata corect ansamblul problemelor anterioare și ulterioare sursei. Această abordare necesară poate fi simplificată prin adoptarea unei strategii pragmatice mai simple care constă în identificarea cu prioritate a aplicaţiilor critice la nivel de gestionare a activităţilor și în elaborarea de scenarii cu privire la consecinţele financiare ale indisponibilităţii acestor aplicaţii. Acest prim pas permite și înlesnirea deciziei de a apela la o poliţă de asigurare și de a elabora o schemă garantată și adaptată atât problematicii identificate cât și integrată planurilor de asigurare deja existente. În această situaţie, în caz de atac, întreprinderea va beneficia mult de alegerea unei asigurări. Ţinând cont de evoluţia organizării sistemelor informatice și de natura ameninţărilor, această preocupare trebuie să se înscrie în timp pentru a adapta, la nevoie, soluţiile găsite în scopul gestionării acestui risc.

autor: Laurent Chrzanovski

Interviu VIP cu Marc German, business diplomat şi expert în criminalitate informatică

Laurent Chrzanovski: Descrieţi-vă parcursul.
Marc German: Mi-am început cariera internaţională acum 30 de ani, în cadrul unor offset-uri. Am efectuat numeroase misiuni în state care nu aveau relaţii reglementate cu Occidentul, cum ar fi URSS-ul. Fiind consilier al unor societăţi franceze şi interesat de timpuriu de ceea ce avea apoi să se numească inteligenţă competitivă, am iniţiat numeroase parte- neriate industriale şi comerciale, în cadrul oportu- nităţilor apărute după căderea Zidului Berlinului.

Marc German

Marc German

Mai recent, în 2008, într-un demers prospectivist, am fondat un focus grup strategic „Reflextrat”, dedicat în special stimulării succesului şi apariţiei întreprinderilor inovatoare pe pieţele emergente, contribuind totodată la eradicarea practicilor necorespunzătoare din cadrul întreprinderilor şi instituţiilor.

Laurent Chrzanovski: Cum a ajuns să vă intereseze securitatea cibernetică?
Marc German: În condiţiile în care, în ziua de azi, totul este informatizat şi totul se petrece pe Internet, conştient de noile mize legate de securitatea proiectelor informatice tot mai complexe şi fiind auditor la Catedra de Criminologie a CNAM, m-am concentrat pe lupta împotriva criminalităţii cibernetice.

Laurent Chrzanovski: Care aspecte ale lumii cibernetice vă preocupă în prezent?
Marc German: Calitatea codului sursă reprezintă primul nivel de securitate informatică. Într-adevăr, o eroare în cod care provoacă o disfuncţionalitate a aplicaţiei se numeşte bug, este o eroare vizibilă şi care se poate corecta, însă acest proces este costisitor; în schimb, o eroare în cod care nu provoacă disfuncţionalităţi şi care nu se poate vedea se numeşte breşă şi reprezintă coşmarul întreprinderilor şi administraţiilor, pentru că implicaţiile acesteia pot fi şi mai costisitoare… Însă doar partea tehnică a securităţii cibernetice necesită un răspuns tehnic, pe de altă parte sunt implicate și aspecte comportamentale care sunt mai complicate de atât deoarece, ca de obicei, în materie de siguranţă şi de securitate, comportamentul uman este veriga slabă, astfel că eradicarea practicilor necorespunzătoare devine imperativă.

Laurent Chrzanovski: Cum evaluaţi stadiul conştientizării în cadrul întreprinderilor în care aţi fost sau sunteţi activ?
Marc German: În prezent, întreprinderile şi administraţiile înţeleg că trebuie să iasă din starea de dependenţă a marilor companii – Microsoft, Oracle şi SAP – care produc instrumentele la care trebuie să se adapteze şi care au un nivel scăzut de per formanţă şi fiabilitate şi sunt foarte costisitoare. Acum, anumite tehnologii disruptive permit crearea de instrumente specifice eficiente care corespund noilor modele economice. Astfel, instrumentele informatice ale întreprinderilor pot să devină, din active generatoare de costuri, sursă de profit.

Laurent Chrzanovski: Dar în domeniul în care evoluaţi, în general?
Marc German: Lipsa de „igienă comportamentală” a utilizatorilor finali persistă într-un mod dramatic. Se poate folosi un software pe un terminal şi pe o reţea cu un înalt grad de securizare, însă dacă utilizatorul îşi încarcă din acesta telefonul personal sau tableta, acesta fragilizează de facto tot ansamblul, prin crearea unui punct de acces. Moda BYOD (Bring Your Own Device) este un fenomen agravant.

Laurent Chrzanovski: Care sunt, în opinia dumneavoastră, mizele rezistenţei industriei 4.0?
Marc German: Capacitatea întreprinderilor şi a administraţiilor de a se proteja de regulile dictate de principalii creatori de software şi de ERP (Enterprise resource planning) create de societăţi de ser vicii a căror cifră de afaceri este datorată în procent mai mare de 70% ser viciilor de mentenanţă. Primii furnizează soluţii care nu rezolvă nimic, întrucât nevoile funcţionale specifice ale întreprinderilor nu sunt acoperite în întregime şi utilizatorii finali trebuie să se adapteze instrumentelor inadecvate pentru munca lor. Cei din urmă, având un model economic fondat pe vânzări de tip „om-zi”, sunt mulţumiţi cu insuficienţa primilor deoarece veniturile lor se constituie din livrări de softuri inoperabile: cu cât funcţionează mai necorespunzător, cu atât veniturile din mentenanţă cresc. Cel mai rău este că nici administraţiile, nici întreprinderile nu sunt proprietarii acestor instrumente informatice deficitare, inadaptate şi costisitoare.
Miza principală a rezistenţei industriei 4.0 o reprezintă promovarea tehnologiilor disruptive care permit producerea unor instrumente specifice complet adaptate ocupaţiilor profesionale. Aceste tehnologii există şi permit nu doar ieşirea din modelul sinistru „om-zi”, ci chiar prestaţii onorabile care, la rândul lor, permit utilizatorilor să se bucure de ser vicii informatice în sprijinul meseriei lor şi nu invers.
În materie de comportament, accentul trebuie pus pe formări adaptate şi responsabilizarea utilizatorilor finali… Vast program!

Laurent Chrzanovski: Care domenii ce ţin de securitatea lumii digitale vi se par cele mai trecute cu vederea în comparaţie cu comportamentele fizice?
Marc German: În ceea ce priveşte comportamentul fizic, problema este în primul rând endogenă, „inamicul” se află în primul rând la interior!

Laurent Chrzanovski: În ce ar trebui să constea cultura de apărare digitală într-o întreprindere şi care este forma pe care ar trebui s-o ia, după părerea dumneavoastră?
Marc German: Este o responsabilitate transversală, sub egida „patronului”, pentru că este vorba despre o ameninţare a proceselor vitale ale administraţiei sau ale întreprinderii.

Laurent Chrzanovski: În opinia dumneavoastră, de ce au fost ignorate atât de mult timp, în Europa, tranziţia către digital şi noile mize în materie de securitate, în ceea ce priveşte marile puteri?
Marc German: Europenii nu au viziune şi gândire strategică şi au dificultăţi în a defini în mod corespunzător problema cu care se confruntă; ceea ce se întâmplă în cazul terorismului este valabil şi în cazul securităţii cibernetice. Schimbările semantice sau inversarea sensului cuvintelor per vertesc gândirea.
Sectorul cibernetic reprezintă transpunerea informaticii în lumea reală, fără a fi replica acesteia. Criminalitatea cibernetică nu este o nouă formă de criminalitate, ci este transpunerea criminalităţii clasice în domeniul ciberneticii, iar infractorii îşi adaptează doar modul de acţiune la un nou instrument, un nou vector şi un nou teren de joc.

Laurent Chrzanovski: Este încă posibilă reinstaurarea unui spirit de vigilenţă pe un continent care cunoaşte pacea încă din 1945, fără a fi acuzat de comportament big brother sau belicos?
Marc German: Nu este vorba despre adoptarea unei poziţii politice oportuniste ca răspuns la o modă; capacitatea de rezistenţă reprezintă o veritabilă miză strategică.

Laurent Chrzanovski: De ce suntem atât de puţin sensibili la bunele practici ale vecinilor noştri din cadrul UE, atunci când acestea îşi dovedesc eficienţa, şi de ce trebuie să reinventăm roata în fiecare stat? Să fie de vină lipsa de cunoştinţe? Politica ego-ului?
Marc German: Toţi actorii lumii informatice consideră securitatea cibernetică o nouă piaţă cu potenţial de creştere economică şi de câştiguri financiare, s-au năpustit ca pe un nou Eldorado…
Or, aşa cum am menţionat anterior: cu cât funcţionează mai necorespunzător, cu atât problemele se consolidează şi ei se ghiftuiesc. În Franţa mai mult ca în alte locuri, sistemul este bolnav şi închis… Înalţii funcţionari din domeniul informatic trec cu indiferenţă de la lumea editorilor de software sau a ser vicilor la posturi de director de sisteme informatice ale unor mari grupuri, este paradisul conflictului de interese, al cooptărilor fără scrupule şi al marilor împărţiri între prieteni… Ne confruntăm cu o veritabilă crimă economică, fiindcă administraţiile, întreprinderile şi, în final, contribuabilii sunt cei care plătesc factura.
Soarta acestui sistem care se abate de la propriile îndatoriri nu poate fi decât implozia!

Marc GermanMarc German

Business diplomat şi prospectivist, Marc German este animator de reţele internaţionale în cadrul parteneriatelor industriale, specialist în risc penal şi în rezolvarea situaţiilor de criză, Marc German a fondat în 2008 un focus grup strategic „Reflextrat”, dedicat în special stimulării succesului şi apariţiei întreprinderilor inovatoare pe pieţele emergente. Acest „think tank” a dezvoltat instrumente performante, continuând lucrările Ecole Française de Prospective din cadrul CNAM, instituţie recunoscută la nivel internaţional pentru capacitatea sa de a decripta problematicile complexe, pentru a înţelege mai bine viitorul… Pionier al inteligenţei competitive de 30 de ani, Marc German a condus pe teren misiuni în Franţa şi în străinătate, asumându-şi în mod constant obligaţii de rezultat. De-a lungul acestei cariere internaţionale, a participat şi la crearea, lansarea şi dezvoltarea unor societăţi de succes în diverse sectoare (aeronautică, apărare, energie, internet…). După ce a fost consilier al unor societăţi franceze cu ocazia oportunităţilor apărute după căderea Zidului Berlinului, a iniţiat numeroase parteneriate industriale şi comerciale, asigurând coordonarea între actori instituţionali, întreprinderi şi personalităţi din sfera ştiinţifică, politică şi media.
Precursor al conceptului de Business diplomacy, activează în industria creativă ca furnizor de soluţii şi intervine în toate etapele-cheie ale pieţelor în funcţie de nevoile specifice exprimate de reprezentanţi guvernamentali sau privaţi (parteneriate contra- intuitive, finanţări inovatoare, conducerea de operaţiuni complexe, offset-uri, soluţii asimetrice…), contribuind totodată la eradicarea practicilor necorespunzătoare din cadrul întreprinderilor şi instituţiilor. Auditor la Catedra de Criminologie din cadrul CNAM, militează pentru includerea noţiunii de „infracţiune economică” în Codul penal care să acopere un sector mai larg decât articolul 432-10, mergând până la apărarea micilor acţionari…
Începând cu anul 2010, Marc GERMAN este Trezorier al Asociaţiei France Moyen-Orient a Legiunii de Onoare. În 2014, conştient de noile mize europene legate de securitatea şi siguranţa proiectelor informatice tot mai complexe, Marc German creează o Întreprindere de Servicii Digitale (Entreprise de Services du Numérique) inovatoare, capabilă să folosească tehnologii disruptive eficiente în materie de creare de software la cel mai înalt standard de calitate pentru marile companii şi pentru administraţii.

autor: Laurent Chrzanovski

Interviu VIP cu Jean-Luc HABERMACHER

Laurent Chrzanovski: Descrieţi-vă parcursul
Jean-Luc Habermacher: Am ocupat funcţii de conducere în cadrul unor mari grupuri industriale internaţionale vreme de treizeci de ani şi am avut diferite atribuţii, în special de Risk Manager şi de Ofiţer de Securitate Central.
Am absolvit Institutul de Înalte Studii de Apărare Naţională, aşadar am preluat şi dezvoltarea acţiunilor de Inteligenţă Economică în cadrul întreprinderilor şi contribui la prevenirea riscurilor în general şi a riscurilor cibernetice în cadrul unei misiuni, pe post de Locotenent-Colonel (R) al Jandarmeriei.

Jean-Luc HABERMACHER

Jean-Luc HABERMACHER

Sunt preocupat de necesitatea creării unei culturi a gestionării riscurilor în interiorul întreprinderilor, predau în cadrul mai multor specializări universitare şi sunt membru al Asociaţiei naţionale pentru managementul riscurilor şi al asigurărilor în întreprinderi.
Particip activ la lucrările mai multor comitete naţionale cu privire la mai multe aspecte legate de siguranţă.
Acum zece ani am creat primul cluster francez al industriilor producătoare de energie numit Vallée de l’Energie, al cărui preşedinte sunt în prezent. Lucrăm la promovarea şi dezvoltarea industriilor sectorului energetic în Franţa.
Am avut oportunitatea de a câştiga un mandat parlamentar, ceea ce mi-a permis şi îmi permite în continuare ca munca mea să aibă o strânsă legătură cu anumite subiecte legate de siguranţă.

Laurent Chrzanovski: Cum a ajuns să vă intereseze securitatea cibernetică?
Jean-Luc Habermacher: De mai mulţi ani, prin intermediul diferitelor
mele activităţi în cadrul întreprinderilor şi operatorilor economici şi datorită cunoştinţelor de Risk Manager, am încercat să înţeleg cum analizau aceştia riscurile şi expunerea la acestea, în cadrul unei viziuni globale.
Mi-am dat seama foarte rapid că digitizarea tehnologiilor în cadrul unei întreprinderi nu era percepută ca un „risc cibernetic” la dimensiunea sa reală. În timpul discuţiilor mele cu Responsabili de întreprinderi şi fără a fi paranoic, în momentul în care abordam cu ei subiectul percepţiei personale cu privire la expunerea la diferite riscuri, aspectul digital nu era analizat decât dintr-o perspectivă tehnologică, fără a exista percepţia aspectului de strategie economică globală.
Din punctul meu de vedere, aveam de a face cu un refuz al conştientizării riscurilor economice legate de digitalizarea industrială.
Studiile mele în Inteligenţă Economică m-au făcut să conştientizez necesitatea sensibilizării şi interpelării mediilor economice cu privire la această lacună importantă în analizarea riscurilor întreprinderilor.

Laurent Chrzanovski: Care aspecte ale lumii cibernetice vă preocupă în prezent?
Jean-Luc Habermacher: Dependenţa tehnologică a întreprinderilor faţă
de aparate şi de sisteme digitale este atât de mare încât o analiză inadecvată a expunerii lor la riscuri poate să le fie fatală. Mulţi ani la rând, responsabilii de întreprindere s-au concentrat pe pierderile de date, prin dezvoltarea de strategii de backup, multiplicând astfel interconectivitatea aparatelor şi a sistemelor.
Întreprinderea 4.0 nu a fost suficient de mult analizată din perspectiva vulnerabilităţii aparatelor şi sistemelor conectate. Cele mai recente exemple de atacuri cibernetice au generat conştientizarea defectelor serioase ale instrumentelor de producţie sau de supervizare. În prezent, o mare parte din arhitectura globală a sistemelor conectate din întreprinderi va trebui regândită şi reconstruită.
Din păcate, mizele geostrategice economice nu sunt percepute de către responsabilii de IMM-uri, iar în spatele atacurilor cibernetice care afectează reţele economice şi întreprinderi se ascund, în mod evident, „interese superioare”.
Atacurile cibernetice sunt reflectarea versiunii moderne a războiului economic purtat de marile puteri publice sau private. Interconectarea instrumentelor şi a sistemelor generează o interdependenţă care prezintă vulnerabilităţi foarte semnificative. Poziţiile dominante ale anumitor actori tehnologici creează scheme de dependenţă structurală extrem de serioase „Al treilea război mondial” a debutat, iar mizele sunt de ordin economic şi mai ales geopolitic. Refuzul de a înţelege situaţia din această perspectivă ar fi un gest iresponsabil.

Laurent Chrzanovski: Cum evaluaţi stadiul conştientizării în cadrul întreprinderilor în care aţi fost sau sunteţi activ?
Jean-Luc Habermacher: Marile grupuri industriale au înţeles de mai mulţi ani că sistemele informatice ar putea fi ţinte ale unor atacuri de destabilizare, astfel că au implementat procese de securizare.
Platformele şi conectivitatea instrumentelor de producţie fusese trecută cu vederea cu ocazia analizei riscurilor, însă ultimele evenimente au declanşat o conştientizare a acestor noi puncte vulnerabile.
Legăturile cu prestatorii de servicii de întreţinere şi mentenanţă a echipamentelor trebuie îmbunătăţite, întrucât reprezintă surse de ameninţări care încă nu au fost securizate corespunzător.
Politicile de securitate ale marilor întreprinderi au fost întărite puternic în ultimii trei ani, iar comportamentul colaboratorilor în situaţii de risc a fost urmărit. PC-urile şi instrumentele conectate sunt guvernate de reguli foarte stricte şi sunt controlate sistematic.
Din punctul meu de vedere, Datacenter-ele externalizate folosite de numeroase companii rămân în continuare puncte slabe serioase şi nu m-ar surprinde dacă am afla, în viitor, că din ele au loc scurgeri de informaţii sau sunt ţinte ale unor atacuri.

Laurent Chrzanovski: Iar în cadrul clusterului Vallée de l’Energie?
Jean-Luc Habermacher: Clusterul Vallée de l’Energie reuneşte reprezentanţi ai industriei şi actori din sectorul energetic din Franţa, iar eu, în calitate de preşedinte, conduc acţiuni pentru sensibilizarea şi informarea membrilor, în special cu privire la riscurile cu care ar putea să se confrunte în activităţile lor.
Tehnologiile digitale vizează tot lanţul de fabricare a componentelor, dar şi pe cei care concep softuri de control/comandă care supraveghează unităţile de producţie şi de distribuţie a energiei. Consecinţele sunt diferite în fiecare din aceste două contexte.
Procesul de înţelegere reală a vulnerabilităţilor Întreprinderii Conectate este încă la stadiul incipient în cadrul IMM-urilor, fiind deci necesară utilizarea studiilor în acest domeniu şi sprijinirea întreprinderilor în realizarea unor audituri globale.
Alt sector foarte sensibil vizează pilotarea sistemelor de producţie, de operare şi de distribuţie a energiei. În această privinţă, evident că există riscuri majore, întrucât platformele şi softurile care pilotează şi gestionează echipamentele nu sunt din păcate suficient de securizate în prezent.
Este esenţial să se lucreze în coordonare cu întreprinderile care creează şi dezvoltă sisteme de operare pentru a integra în mod corect măsurile de protecţie necesare şi pentru a implementa procese de intervenţie controlabile. Acest demers necesită schimbarea percepţiei actuale a anumitor actori.
În acest sens, mi se pare importantă difuzarea de mesaje şi promovarea lor în diferite reviste specializate, cu sprijinul structurilor Camerei de Comerţ şi Industrie, Comitetelor Industriale, sindicatelor profesionale…
Ar trebui să lucrăm, de asemenea, la implementarea de studii specifice în domeniul analizei şi managementului riscurilor cibernetice în cadrul universităţilor şi facultăţilor de inginerie, deoarece întreprinderile noastre au nevoie de sprijin în aceste domenii.
Lucrăm în strânsă legătură cu serviciile de stat (Poliţie şi Jandarmerie) pentru aducerea la cunoştinţa membrilor noştri a alertelor emise şi, eventual, pentru sprijinirea lor în procedurile administrative, în caz de atac.

Laurent Chrzanovski: Care domenii ce ţin de securitatea lumii digitale vi se par cele mai trecute cu vederea în comparaţie cu comportamentele fizice?
Jean-Luc Habermacher: Aşa cum am amintit şi mai devreme, conectivitatea sistemelor, atât a celor interne cât şi a celor externe întreprinderii, a devenit o necesitate a societăţii la care va trebui să ne adaptăm.
Măsurile tehnologice de securitate se vor dovedi dificil de implementat cu atât mai mult cu cât, prin natura lor, comportamentele umane vor încerca să le ocolească.
Multiplicarea datelor colectate din mediul imediat al indivizilor şi operările încrucişate care ar putea fi realizate cu aceste date vor constitui mize economice enorme în viitor. Din această cauză, mulţi actori doresc să se înscrie în această înlănţuire a colectărilor directe sau indirecte de date. Pentru acest lucru, sunt folosite o multitudine de aplicaţii care, pe neobservate, colectează şi transferă atât datele individuale cât şi cele colective, acestea din urmă nu sunt supuse controlului individual, însă ar putea să devină opozabile fiecăruia.
Decizia de a asocia tehnologii digitale numeroaselor activităţi de zi cu zi ar trebui să fie luată după conştientizarea dependenţei tehnice pe care acestea o generează şi a consecinţelor sociale pe care le implică.

Laurent Chrzanovski: În ce ar trebui să constea cultura de apărare digitală într-o întreprindere şi care este forma pe care ar trebui s-o ia, după părerea dumneavoastră?
Jean-Luc Habermacher: În prezent, în cazul multor structuri, Strategia de apărare digitală este concepută de către responsabili de sistemele informatice, care au o abordare şi o cultură foarte tehnice.
Aşa cum am mai menţionat, mizele au un caracter tot mai pronunţat economic, iar întreprinderea trebuie să îşi poată analiza vulnerabilitatea.
Tehnologia sau, mai precis, instrumentele tehnologice digitale devin vectorii sau armele de atac folosite împotriva întreprinderii.
Din această cauză, este esenţială o viziune bazată pe o analiză de 360°. Pentru aceasta, trebuie dezvoltată o cultură a riscului diferită, începând cu identificarea motivelor şi continuând cu anticiparea mecanismelor care ar putea fi folosite împotriva întreprinderii, dar şi cu înţelegerea consecinţelor la care întreprinderea s-ar expune în cazul diferitelor scenarii.
În acest context, nu sunt sigur că profilul„Tehnician de sisteme informatice” este cel mai potrivit pentru buna desfăşurare a acestui raţionament şi pentru dezvoltarea culturii riscului în întreprindere.
Administratorii întreprinderilor ar trebui să se informeze cu privire la vulnerabilităţile strategice la care întreprinderile lor ar putea fi expuse şi să conştientizeze faptul că răspunsurile la acţiunile defensive nu ţin doar de domeniul tehnologic. Trebuie luate în considerare şi aspectele umane, culturale, sociale şi chiar geopolitice.
Implementarea de instrumente de acoperire a riscurilor trebuie obligatoriu să integreze acest aspect; bineînţeles, trebuie acoperite daunele materiale, însă este esenţială şi acoperirea daunelor imateriale. Profilul managerului de risc trebuie să cuprindă toate aceste aspecte.

Laurent Chrzanovski: În opinia dumneavoastră, de ce au fost ignorate atât de mult timp, în Europa, tranziţia către digital şi noile mize în materie de securitate, în ceea ce priveşte marile puteri?
Jean-Luc Habermacher: Nu ştiu dacă Europa a ignorat în mod real mizele în materie de securitate legate de schimbările digitale, însă ceea ce e sigur este că folosirea noilor tehnologii nu a fost întotdeauna luată în considerare în cadrul unei analize globale.
Interesul imediat pentru anumite instrumente sau aplicaţii a eclipsat într-o anumită măsură consecinţele indirecte pe care urmau să le producă în final.
Pe de altă parte, nu am anticipat suficient consecinţele dependenţelor tehnologice pe care aveau să le genereze marii producători de softuri de operare, de reţele şi manageri de reţele informatice digitale.
Convergenţele economice, prin intermediul acestor actori diferiţi, nu au fost înţelese suficient pentru a permite pregătirea unor acţiuni defensive împotriva dependenţelor tehnologice pe care le creau.
Cadrul legislativ internaţional nu a fost adaptat astfel încât să permită evitarea acestor situaţii critice. În plus, interesele economice ale statelor prevalează asupra interesului colectiv european. Europa este o mare casă în care fiecare locatar ar dori să folosească şi să controleze după propriile interese deschiderea uşilor şi a ferestrelor, reţeaua electrică sau sistemul de încălzire, interesul comunitar oprindu-se într-un fel la uşa fiecărui apartament… Crearea şi impunerea de reguli comunitare implică şi impunerea de constrângeri faţă de propria dezvoltare. Regula care guvernează relaţiile dintre state este consensul, aşadar actele şi deciziile luate sunt întotdeauna „a minima”.
Prin anumite proiecte precum GALILEO se încearcă crearea unor independenţe tehnologice, însă, după cum am putut vedea, implementarea lor este un proces foarte complicat şi de lungă durată. Evoluţia tehnologiilor şi a structurilor digitale necesită timp de reacţie foarte scurt care, din păcate, este în mare parte incompatibil cu procedurile administrative greoaie ale instituţiilor europene.

Laurent Chrzanovski: Este încă posibilă reinstaurarea unui spirit de vigilenţă pe un continent care cunoaşte pacea încă din 1945, fără a fi acuzat de comportament big brother sau belicos?
Jean-Luc Habermacher: Actele de terorism care au afectat mai multe ţări europene au reactivat un anumit spirit de vigilenţă şi tind să reaprindă şi o conştiinţă cetăţenească. Din păcate, atacurile cibernetice nu au aceeaşi vizibilitate precum atacurile şi atentatele de stradă, chiar dacă într-o anumită măsură consecinţele lor pot fi similare în ceea ce priveşte impactul economic şi social. Suporturile tehnologice pe care se bazează autorii atacurilor cibernetice sunt atât individuale cât şi colective, comportamentele umane constituie în egală măsură vectori de transmitere a armelor de atac.
Încercarea de a reglementa anumite practici ne-ar conduce la modificarea comportamentelor individuale şi la reformarea noţiunilor de libertate şi de ingerinţă. Cursa pentru tehnologiile digitale şi numărul mare de aplicaţii de servicii la care aderă în mod spontan o mare parte din populaţie fac ca acţiunile de reglementare să fie şi mai greu de întreprins.
Conştientizarea „politică” nu este încă suficient de matură pentru a fi un factor de influenţă şi pentru a determina măsuri reale de vigilenţă colectivă şi cetăţenească.
Ar trebui încercată o întărire a cadrului legislativ pentru a permite acţiuni de investigaţii mult mai extensive şi pentru a putea aplica sancţiuni mai severe, însă pentru aceasta este necesară acceptarea de către concetăţenii noştri că securitatea lor depinde probabil de câteva restricţii ale libertăţilor individuale.

Laurent Chrzanovski: De ce suntem atât de puţin sensibili la bunele practici ale vecinilor noştri din cadrul UE, atunci când acestea îşi dovedesc eficienţa, şi de ce trebuie să reinventăm roata în fiecare stat?
Jean-Luc Habermacher: Mi se pare că această dorinţă sistematică de a personaliza proceduri şi acţiuni este o trăsătură a multora dintre noi, mai ales a celor care ne conduc.
Când vine vorba de recrearea unei „bune practici”, întotdeauna se găseşte un pretext pentru reanalizarea sa cu scopul de a o personaliza pentru a o adapta mai bine contextului nostru, iar spiritul naţionalist rămâne prezent în cazul politicienilor noştri.
Sindicatele sau federaţiile profesionale din domeniile noastre de expertiză sunt practic inexistente şi nu pot juca rolul de factor de influenţă pentru a coagula acţiuni la nivel european.
Ar trebui instituit un adevărat plan de acţiune. Ar trebui deci create organisme profesionale reprezentative din domeniile noastre de competenţă care să poată lucra pe mai multe planuri, pentru promovarea şi capitalizarea realizărilor.

Laurent Chrzanovski: Sibiu – de 3 ani – ce anume găsiţi util în această formulă de întâlniri?
Jean-Luc Habermacher: Am descoperit la Sibiu un congres care ia forma unui adevărat simpozion. Este o veritabilă platformă de schimburi de idei, de experienţe şi de cugetări. Aici întâlnesc experţi şi actori care lucrează pe diferite nivele în domenii legate de riscurile cibernetice.
Simbioza acestor comunităţi diferite constituie o sursă foarte valoroasă pentru schimburi, permiţând fiecăruia să îşi îmbogăţească diferite idei cu privire la temele care îl interesează, având totodată posibilitatea unei viziuni de 360° asupra subiectului.
În plus, cadrul vechii cetăţi a Sibiului permite stabilirea de întâlniri foarte agreabile şi chiar confidenţiale pentru cei care doresc acest lucru, precum şi un networking veritabil cu diferiţi actori ai comunităţii internaţionale în domeniul riscurilor cibernetice.
Din punctul meu de vedere, formatul acestui congres este ideal pentru această tematică şi pentru contextul întâlnirii.

Jean-Luc HABERMACHERJean-Luc HABERMACHER

Fondator și Președinte al Energy Valley – primul cluster european de companii producătoare de energie, Jean-Luc este un risk manager cu experiență în diferite companii importante (CEGELEC, ALSTOM, CONVERTEAM, GENERAL ELECTRIC). El este Regional Vice-President al Franche-Comté Auditor›s Association of the Institute of Higher Studies of National Defense (IHEDN), Profesor la University of Bourgogne-Franche-Comté (France) și locotenent- colonel al Jandarmeriei Franceze (RC). El este, de asemenea, project manager pentru implementarea de soluții de Business Intelligence pentru diverse companii private.

Interviu cu Bianca Turchetti, responsabilă cu realizarea conceptului, montarea și gestionarea standului de conștientizare în domeniul Internetului al Poștei Italiene – GCSEC – Poliției Comunicațiilor în cadrul Maker Faire, ediția europeană (Fiera di Roma, 14-16 octombrie 2016).

Laurent Chrzanovski: Dna. Turchetti, înainte de a intra direct în subiect, vă rugăm să descrieți pe scurt parcursul dumneavoastră profesional. 

Bianca Turchetti: Cariera mea profesională a fost cu totul altfel: am absolvit administrarea afacerilor și primul meu angajament profesional a fost alături de responsabilul administrativ al unei societăţi comerciale care organizează „L’Isola del Cinema di Roma”, o reuniune anuală dedicată cinematografiei, din cadrul manifestării „Estate Romana”.

Am rămas tot în domeniul administrativ și ulterior, pentru a mă apropia de lumea comunicării, m-am întors, după șapte ani, să mă ocup de gestionarea și organizarea de evenimente, în aceeași agenţie.

În timpul celor șapte ani am deschis o mică firmă de catering și evenimente de lux și am lucrat un an la PosteVita ca manager de  produs.

Laurent Chrzanovski: Compania dumneavoastră este recunoscută pentru calitatea și diversitatea produselor sale, care variază de la promovarea și organizarea de evenimente de cel mai înalt nivel până la realizarea de pavilioane expoziționale personalizate pentru evenimente de prim rang, cum ar fi cel al lui ENI/Agip sau ultima ediție a Premiului de Formula 1 de la Monza. Colaborați de ceva timp cu Poșta Italiană pentru diverse campanii promoționale adresate unor segmente de public foarte diferite. Ne puteți explica cum se naște, de la idee la proiect, un pavilion expozițional după primele contacte cu clientul? 

Bianca Turchetti: După ce am primit de la client o scurtă descriere în care acesta ne explica cum ar dori să realizeze un spaţiu de expunere (în acest caz), activăm imediat toate departamentele implicate în proiect: departamentul de creativitate pentru cei care sunt interesaţi de manifestări artistice, graficienii care pun bazele modului în care „vedem” noi proiectul, se trece apoi la un expert în grafica 3D care începe să ne deseneze ideile și, odată confruntate cu clientul, se fac eventualele modificări, acolo unde este necesar, apoi se trece la proiectarea efectivă corespunzătoare în cel mai mic detaliu a caracteristicilor tehnice ale proiectului și ne recomandă toate materialele necesare pentru montaj.

turchetti-img1turchetti-img2

Laurent Chrzanovski: Prezentarea campaniei de conștientizare față de pericolele web într-un pavilion de această calitate este o avanpremieră mondială, pentru a demonstra dorința Poștei Italiene, a GCSEC și a Poliției Comunicațiilor de a investi „acolo unde publicul nu se așteaptă” într-un târg de „makers”. Îmi imaginez că propunerea dumneavoastră de pavilion a reușit să seducă liderii pentru a face acest pas, foarte costisitor, având în vedere evenimentul și calitatea cerută de către companie. Cum ați reușit să colaborați cu instituțiile organizatoare ale expoziției (Poștă, GCSEC și Poliție), să țineți cont de ideile și de nevoile lor și să generați în același timp un proiect care din punctul de vedere al prezentării se ridică la nivelul celor de Grand Prix? 

Bianca Turchetti: Am avut norocul de a găsi interlocutori foarte „luminaţi”, proiectul a fost foarte diferit datorită publicului ţintă și, în special, a tematicii specifice acestui târg.

Am dorit să dăm standului o notă elegantă, conștienţi fiind de tratarea unor subiecte foarte sensibile, am știut că ţinta va fi diferită faţă de restul  pavilioanelor, de aceea ne-am bazat mult pe linii esenţiale și directe, pornind de

turchetti-img3turcheti-img4

turchetti-img5

turchetti-img6

la elementele vizuale de comunicare și identitate, la instalaţiile tehnice de mare impact emoţional (firele suspendate din a doua sală) și la avatarul care să atragă atenţia chiar și celor mai tineri vizitatori.

Laurent Chrzanovski: În plus față de talentul specific designului italian, în combinația de culori a pereților și a tapiseriei, a corpurilor de  iluminat, a designului standului se vede o înțelegere reală a problemei. Adică ați reușit să realizați o legătură foarte coerentă între expoziția despre  „trecut”, sala “web-ului periculos”, coridorul „web-ului bun” și sala de sfaturi ale Poliției și ale Poștei. Ce dificultăți suplimentare și ce provocări ați întâmpinat în realizarea acestui pavilion în comparație cu alte proiecte? 

Bianca Turchetti: M-am sfătuit cu experţi în domeniu, ideea de a crea un parcurs explicativ s-a născut din dorinţa de a face publicul să înţeleagă un proces logic și istoric, pornind de la panourile dumneavoastră foarte clare și convingătoare, ce analizează situaţii de viaţă comune și foarte delicate împreună cu toate problematicile conexe, pentru a ajunge apoi, la finalul parcursului, la un fel de „soluţie” a problemelor prezentate datorită prezenţei valoroase a autorităţilor de aplicare a legii.

Laurent Chrzanovski: V-am văzut un pic stresată în ziua deschiderii, în ciuda faptului că ați avut un pavilion frumos, obiectiv vorbind. A fost o emoție „obișnuită” legată de orice expoziție sau a fost și „teama de a nu fi înțeles bine ideea”?

Bianca Turchetti: Partea cea mai frumoasă în această muncă este că de fiecare dată, cu fiecare ocazie, vezi cum se naște, se proiectează și se dezvoltă o idee care într-un fel e a ta, m-am atașat foarte mult de acest eveniment, nu numai datorită profunzimii temelor abordate, dar mai ales pentru că am muncit cu toţii împreună pentru un singur scop.

Cu siguranţă, teama de a greși este întotdeauna acolo, dar în cele din urmă, atunci când se stinge lumina, iar clientul îţi spune că „ai facut o treabă minunată”, este lucrul cel mai plin de satisfacţii din lume!

turchetti-img7turchetti-img8
turchetti-img9

Laurent Chrzanovski: În sala Poliției cu “web-ul periculos”, sloganul și exemplele de criminalitate informatică (de la agresiune la phishing) au fost tipărite și agățate de un fir subțire, ca și viața noastră digitală. Cine a avut această idee?

Bianca Turchetti: Ideea a venit de la una dintre artistele noastre,  Giovanna La Forgia, a fost prima dată când am lucrat împreună și trebuie să recunosc că, iniţial, am fost cu toţii un pic nervoși văzând cantitatea de lucru dar, din fericire, clientului i-au plăcut imediat propunerile pe care i le-am făcut, iar acest lucru ne-a dat posibilitatea să ne concentrăm mai bine pentru a oferi soluţii la înălţimea acestui eveniment.

Laurent Chrzanovski: Acum, „la cald”, imediat după încheierea maratonului de trei zile, sunteți mulțumită de rezultat? Sau cunoscând acum problematica foarte dificilă a securității pe Internet, aveți deja idei  despre cum să tratați acest subiect și mai bine data viitoare? 

Bianca Turchetti: Cred că acest lucru este o bază excelentă de pornire, cu siguranţă dificultatea tematicilor tratate și schimbările rapide și constante

tuschetti-img9

ale acestora sunt principala problematică, orice altceva, producţie, grafică, etc. merg mână în mână. Dar suntem pregătiţi pentru o evoluţie și o îmbunătăţire constantă a serviciilor noastre.

Laurent Chrzanovski: Ca profesionistă, credeți că vizibilitatea (media, vizitatori, net)  pavilionului a m erit at curajul Poștei de a se angaja în această  chestiune care nu are un ROI (Return on Investment – rata de  recuperare a investiției) direct? 

Bianca Turchetti: Iniţial am fost un pic descurajaţi de locul care ne-a fost dat, dar dacă ne gândim acum la rezultat, la tipul de stand pe care l-am creat, cred că am reușit să profitam la maxim de poziţia noastră, dacă am fi fost într-un alt pavilion, probabil nu am fi avut același rezultat, iar fluxul de vizitatori o demonstrează.

Laurent Chrzanovski: Câteva anecdote cu privire la desfășurarea evenimentului sau la interacțiunea  dintre vizitatorii și expozanții pavilionului?

Bianca Turchetti: Am avut momente amuzante în timpul montării expoziţiei, ne-am făcut unele îmbunătăţiri în spaţiul pe care l-am avut la dispoziţie, am pictat un

turchetti-img10

zid care era intr-o stare deplorabilă și iniţial am fost trași la răspundere de organizatorii târgului, deoarece, potrivit lor, am provocat pagube structurii, dar după ce au văzut starea jalnică a acestui spaţiu, chiar ne-au mulţumit…

În timpul târgului, mulţi oameni au cerut  gazdelor  informaţii total în afara subiectului, cum ar fi dacă vindem produsele financiare ale Poștei sau dacă se pot scoate bani în interiorul standului, gândindu-se că era vorba de un bancomat al Poștei Italiene…

Laurent Chrzanovski: În loc de încheiere: cum va rămâne în memoria dumneavoastră acest eveniment special?

Bianca Turchetti: O colaborare perfectă, chiar dacă nu ne cunoșteam între noi, în doar câteva zile am creat un mediu foarte informal și plăcut, cea mai bună dovadă fiind mulţumirile nu numai din partea clientului, dar și din partea celor care au lucrat cu noi. A fost cu adevărat o aventură minunată.

Material publicat în Cybersecurity Trends, nr. 3/2016

Autor: Laurent Chrzanovski

Bianca Turchetti

Bianca Turchetti este Senior Project Manager la Overseas Group, una dintre cele mai importante companii de organizare de evenimente, creație și management, advertising ambiental și comunicare high-profile din Italia.

Interviu cu Nicola Sotira, General Manager al Global Cyber Security Center în cadrul Poștei Italiene

Laurent Chrzanovski: Domnule Sotira, cum fac față companiile italiene amenințărilor cibernetice din ziua de azi?

Nicola Sotira: Ei bine, este o panoramă foarte complexă. Ca să vă faceţi o idee, datorită raportului anual al CLUSIT (Asociaţia Italiană pentru Securitatea Sistemelor Informatice, NdR) știm că numărul a tacurilor și impactul lor asupra economiei italiene este în creștere. Pe de altă parte, alt studiu realizat anul acesta de către KPMG și BT, arată că 94% dintre decidenţii cheie din IT sunt conștienţi de aceste ameninţări și știu că atacurile cibernetice pot face rău organizaţiilor lor. Dar din același studiu reiese și partea întunecată a medaliei, și anume faptul că 47% dintre cei intervievaţi recunosc că nu au o strategie pentru a combate criminalitatea cibernetică.

Laurent Chrzanovski: De unde credeți că provine această problemă și care credeți că sunt rădăcinile acestei dihotomii? 

Nicola Sotira: Ne confruntăm cu probleme de management și cu modul în care managementul adresează securitatea cibernetică în organizaţiile lor.

Faptul că nu au o strategie în acest domeniu semnifică faptul că board-ul companiei nu este cu adevărat angajat în domeniul protecţiei digitale. Pentru a aborda corect acest domeniu avem nevoie de un angajament puternic al conducerii executive și avem nevoie ca securitatea cibernetică să facă parte din agenda lor, alături de problemele financiare și de business.

În plus dacă corelăm aceste date cu altele relevate de studiul KPMG și BT, care arată că 97% dintre companii au fost ţinta unor atacuri cibernetice și au trebuit să se confrunte cu acestea, 47% dintre acestea au mărturisit că au avut dificultăţi majore în administrarea și combaterea acestor atacuri. Astfel ajungem la subiectul educaţiei și training-ului în cadrul companiei, dacă este să vorbim despre conștientizare, și despre procesul de recrutare a angajaţilor, și despre a ști sau nu dacă profilul specialiștilor în securitate se potrivește activităţilor companiei.

Laurent Chrzanovski: Cum credeți că va evolua acest peisaj  nearmonios?

Nicola Sotira: Companiile au început să înţeleagă că securitatea cibernetică este un subiect major și că mai presus de toate securitatea este o parte a business-ului, nu ceva colateral. Multe companii au cooptat specialiștii de securitate în board, realizând că problemele trebuie rezolvate direct, la cel mai înalt nivel, pentru a interveni cât mai rapid posibil. De fapt, impactul unui atac de succes este devastator asupra business-ului

laurent-si-nicola-1
laurent-si-nicola-2

și CEO au început să înţeleagă asta: când serverele se opresc, mașinile se opresc, întregul lanţ industrial se oprește, pe scurt, toate activităţile sunt paralizate. În plus, dificultatea este dată și de extensia perimetrului de vulnerabilitate, care nu se mai limitează nici pe departe doar la zona unui server PC. O să vă dau un exemplu recent: o companie a fost atacată cu succes prin intermediul sistemului de aer condiţionat, deoarece firma care răspundea de controlul acestor aparate le-a conectat la reţeaua WiFi a companiei, deci infractorii au penetrat compania „prin aparatele de aer condiţionat”…

Laurent Chrzanovski: Prin urmare ce ar trebui făcut?

Nicola Sotira: Ţinând cont de complexitatea peisajului ameninţărilor, trebuie să construim și să punem la punct toate strategiile, pentru a face faţă noilor pericole, dar și pentru a continua să le supraveghem pe cele  existente. Nu trebuie să uităm niciodată că „vechile” tehnici funcţionează încă foarte bine. Vă pot da cel mai bun exemplu în legătură cu aceasta. În ultimele luni, o multinaţională din SUA a pierdut aproape 3 milioane USD în urma unui e-mail de phishing. Cum a fost posibil? E-mailul fals a fost conceput perfect, în cele mai mici detalii și de la șeful de departament și până la responsabilul financiar au aprobat transferul unei sume „normale” pentru acel nivel de business către un cont bancar din China.

Succesul s-a datorat unui lung proces de inginerie socială, infractorii știind că acea companie este în proces de restructurare, cu schimbări la nivelul factorilor de decizie și șefilor de departamente, mimând perfect interacţiunile umane și de încredere reciprocă între membrii noii echipe constituite. Singura eroare pe care au făcut-o atacatorii, acesta fiind și norocul  extraordinar al companiei, a fost că în acea zi banca din China a fost închisă din cauza unei sărbători naţionale, astfel încât oamenii legii, și în special FBI, au reușit să blocheze transferul banilor și să îi recupereze înainte să li se piardă urma. Dar revenind la cele afirmate anterior, acei câţiva antreprenori care mai sunt sceptici și care argumentează că securitatea nu este o chestiune de business ar trebui să reflecteze la acest caz. Dacă acest atac ar fi fost finalizat cu succes, ar fi devenit automat o problemă de business și compania ar fi trebuit să înregistreze o pierdere de 3 milioane USD în balanţa anuală.

Laurent Chrzanovski: Cum vă explicați că phishing-ul mai poate avea succes la un asemenea nivel, pentru că nu vorbim despre o persoană fizică, sau despre un IMM și nici măcar despre o companie locală?  

Nicola Sotira: Acest atac ne aduce către nucleul iniţiativelor pe care încercăm să le lansăm cu GCSEC. Atunci când vine vorba despre apărare, a miza totul pe tehnologie este o greșeală. Suntem oameni și problemele sunt pur și simplu umane, înainte de a deveni tehnologice. Compania despre care vorbim avea cu siguranţă instalate cele mai bune firewall-uri, antiviruși, protecţie la phishing și alte sisteme de securitate, dar mail-ul fals a trecut cumva de acestea și cineva a avut încrederea de a da click pe el. Un simplu click este dovada evidentă că indiferent ce sistem de securitate ai cumpăra, în lipsa educării angajaţilor, vei eșua din ce în ce mai mult. Aceasta este noua tendinţă. Din acest  motiv am decis să venim la Maker Faire cu un stand uriaș dedicat în întregime conștientizării. Am  prezentat de asemenea aplicaţia (app) CyberQuest pentru a măsura nivelul general de cunoștinţe al cetăţenilor pe subiecte de securitate și pentru a-i ajuta pe cei care vor folosi aplicaţia să conștientizeze riscurile la care sunt expuși online, indiferent de vârstă sau de profesie.

Laurent Chrzanovski: Relatând despre standul Poste Italiane/GCSEC/Polizia Nazionale, un ziar a  titrat că Dvs. considerați că este urgent să se facă o „alfabetizare digitală a societății”. Ce ați vrut să spuneți cu asta?

Nicola Sotira: Avem foarte mult de lucru, o muncă enormă de făcut. Graba de adoptare a tehnologiilor nu a fost însoţită și de o grabă de cunoaștere, cultură și educaţie despre cum să le utilizăm în siguranţă.

cyberquest

Folosim instrumente, unul sau două smartphone-uri, cu storage real, baze de date, PC-uri și una sau două conexiuni DSL conectate în permanenţă la internet… Mobilitatea oferită de smartphone-uri face ca prioritatea pentru o cultură digitală să fie și mai fierbinte, deoarece nu mai avem acea „barieră” pe care o aveam în urmă cu câţiva ani cu laptop-urile și PC-urile la care trebuia să te logezi ca să te conectezi la net. Acum suntem online 24/7/365, lucrăm cu smartphone-ul, adormim lângă acesta și tot el este și pe post de ceas deșteptător… Smartphone-ul partajează informaţii tot timpul, astfel încât nu se mai pune problema de a

scopri

înfiera un obiect ci se pune problema educării oamenilor despre ceea ce acest obiect este capabil.

Laurent Chrzanovski: Și în privința companiilor? 

Nicola Sotira: Trebuie să convingem board-ul să nu se mai gândească la securitatea cibernetică doar sub aspect tehnologic. Aceasta presupune team-building-uri constante, traininguri regulate de scurtă și lungă durată cu angajaţii, în funcţie de nivelul de importanţă al acestora în companie și alocarea controlată a accesului la materiale sensibile etc.

Laurent Chrzanovski: Pornind de aici și până la realitatea de a convinge Gruppo Poste Italiane să lanseze acest stand de clasă mondială la extrem de popularul târg „Maker Faire. The European Edition”, este un obiectiv pe care multe fundații nu au reușit să-l depășească. Cum ați reușit să vă concretizați ideea? 

Nicola Sotira: Parteneriatul cu ITU și cu Poliţia Comunicaţiilor ne-a ajutat să construim un concept foarte solid. Am reușit deoarece Poșta Italiană este conștientă de problematica imensă a pericolelor web, de la indivizi, la echipamentele de orice fel pe care le utilizăm, și până la autostrăzi, căi ferate și infrastructuri critice. Am vrut să arătăm, de asemenea, că doar Poșta Italiană și GCSEC pot realiza puţin dacă nu vom crește rapid cultura digitală a companiilor și a indivizilor. Difuzarea educaţiei, culturii, a bunelor practici și a conștientizării sunt raţiunile existenţei GCSEC și stau la baza deciziei de a înfiinţa fundaţia.

Laurent Chrzanovski: Care sunt primele reacții? 

Nicola Sotira: Ei bine, este încă prea devreme să analizăm profund impactul evenimentului, dar numărul de vizitatori, interesul publicului de toate vârstele, faptul că și-au făcut timp să viziteze cele 3 secţiuni ale expoziţiei, utilizarea noii aplicaţii și apoi întrebările  adresate membrilor echipei noastre și echipei de poliţie, dar și acoperirea mediatică au arătat că nu a fost o investiţie greșită. Mai mult, suntem mândri că pe lângă comunitatea vorbitorilor de engleză, italienii sunt acum primii beneficiari ai celor mai noi linii directoare ale ITU, elaborate în toamna lui 2015 și la începutul lui 2016. Acestea pot fi descărcate acum gratuit de pe site-ul  GCSEC. Acestea, împreună cu aplicaţia despre care am vorbit, sunt deja o realizare care își va arăta roadele multă vreme după ce acest eveniment își va fi închis porţile.

Autor: Laurent Chrzanovski

Material publicat în Cybersecurity Trends, nr. 3/2016

Nicola Sotira

Nicola Sotira este Director General al Global Cyber Security Center și Information Security Manager în cadrul Poștei Italiene. El lucrează în IT de peste 20 de ani, acumulând experienţă în cadrul unor companii internaţionale. Anterior, Nicola Sotira a fost director de vânzări la UC&C & Security Practices din cadrul WestconGroup Italia și VP Sales Italia în cadrul Clavister AB. Este profesor la Masteratul Network Security al La Sapienza University, Membru al Association for Computing Machinery. Promotor al inovaţiei tehnologice, a fost membru al mai multor start-up-uri din Italia și de peste graniţă.

„Estimările privind ‚cifra de afaceri’ realizată de mafia din agricultură au trecut de la aproximativ 16 miliarde, dată oficială publicată în 2016, la aproape 21,8 miliarde. Este vorba despre o „aproximare prin lipsă” care relevă totuși o clară creștere cu 30% și care evidențiază în mod corect gravitatea fenomenului. Crima organizată a lepădat ‚uniforma militară’ pentru a adopta ‚costumul și cravata’, reușind astfel să profite de avantajele globalizării și ale domeniului financiar 3.0. În plus față de legile inadecvate, care nu reușesc să fie complet aplicate sau să îngreuneze practicile mafiei agriculturii, capilaritatea diverselor articulații ale acestui tip de criminalitate este factorul care creează atractivitatea acestui sector”.

autor:
Massimiliano Cannata

Procurorul Gian Carlo Caselli, Președinte al Comitetului Știinţific al Observatorului privind Criminalitatea în sectorul agro-alimentar, lucrează de zeci de ani în domeniul luptei împotriva crimei organizate și terorismului. În acest interviu, dezvoltă aspectele cele mai recente publicate de „Rapporto Agromafie”, cu ocazia publicării celei de-a cincea ediţii a raportului, o iniţiativă creată de Președintele Eurispes Gian Maria Fara și realizată în colaborarea cu Coldiretti (Asociaţia Antreprenorilor Agricoli, ce reunește mai mult de un milion și jumătate de membri, n.r.).

Massimiliano Cannata: Domnule procuror, afacerile ilicite în sectorul agro-alimentar sunt în plină creștere. Care sunt aspectele cele mai de temut?

Gian Carlo Caselli: În primul rând, fenomenul „cameleonic”, cu alte cuvinte capacitatea de transformare a unei ramuri mafiote care s-a reorganizat și care nu poate fi combătută conform schemelor pe care le-am urmat în ultimele decenii, pentru că ar fi contraproductiv. Nimeni ne neagă originile istorice ale unui fenomen propriu regiunii noastre meridionale, care, de-a lungul anilor, și-a demonstrat capacitatea de a se implanta în celulele vitale ale marilor orașe din centrul și nordul ţării noastre. Totuși, în prezent cel mai de temut fenomen este „mafia silenţioasă”, care proliferează prin adoptarea unui mod de operare care diferă cu totul de metodele utilizate în trecut. Pentru a înţelege procesul de transformare la care asistăm în prezent, este de ajuns să ne gândim la fenomenul cyberlaundering, adică spălarea online a banilor proveniţi din activităţi infracţionale.

Massimiliano Cannata: Ce înseamnă, concret, acest lucru?

Gian Carlo Caselli: Înseamnă nu doar că„noua”mafie nu mai extorchează proprietarul de supermarket sau de reprezentanţă auto; din contră, se asociază cu aceștia sau chiar le preia întreaga activitate, făcându-și rost astfel de canale „curate” pentru spălarea banilor. Noua criminalitate cunoaște modurile de exploatare a posibilităţilor oferite de Internet, care a ajuns să constituie un fel de accelerator. Dacă, într-o vreme, grupurile mafiote își asigurau veniturile printr-o exploatare de tip violent, „de tip gangster”, impunând un „pizzo” (taxă de răscumpărare) în schimbul „protecţiei” pe care o ofereau, astăzi au devenit ele însele „antreprenori” care sunt în curs de finalizare a unei strategii de „normalizare”. O delincvenţă care se desfășoară prin intermediul Internetului. Dintotdeauna, scopul spălării de bani a fost îndepărtarea banilor de sursa lor adevărată printr-o serie de operaţiuni destinate împiedicării trasabilităţii originilor acestor venituri. Odată cu Internetul, distanţa dintre cel care spală banii și capital crește din ce în ce mai mult, iar anchetele privind suspecţii devin tot mai complexe.

Massimiliano Cannata: Care sunt consecințele acestei mutații atât de radicale?

Gian Carlo Caselli: Consecinţele sunt evidente: se schimbă chiar și definiţiile cuvintelor „mafia” și „mafiot”, care înglobează acum noi teritorii și care necesită un nou cadru legislativ sincronizat cu „noua” criminalitate ascunsă de acum în spatele consiliilor de administraţie, holdingurilor, fondurilor internaţionale, societăţilor de consultanţă precum și în spatele paravanului formal al politicii instituţionale, așa cum se întâmplă adesea.

De la kalașnikov la rețele virtuale

Massimiliano Cannata: Prin ce se caracterizează strategia adoptată de organizațiile criminale în sectorul agro-alimentar, organizații care dovedesc deținerea unor cunoștințe extraordinare de utilizare a noilor tehnologii?

Gian Carlo Caselli: În sectorul agro-alimentar, asistăm, printre altele, la nașterea unei economii paralele. În cazul fenomenului de cyberlaundering pe care l-am evocat deja, activitatea se reduce la o singură operaţie virtuală și dematerializată, în care fenomenul spălării capitalurilor ilicite își găsește condiţiile ideale de dezvoltare. Crima organizată a intrat rapid în lumea tehnologiei, trecând astfel de la kalașnikovuri la arme mai sofisticate, precum botnets, acele reţele care pot controla zeci de mii de calculatoare și care pot fi folosite pentru atacarea online a companiilor și organizaţiilor.

Massimiliano Cannata: Acestea sunt operațiuni delicate, care necesită implicarea de persoane cu profil și competențe diferite. Ne confruntăm oare cu o schimbare de generație, în plus față de schimbarea metodelor și a strategiilor, cu un „salt calitativ” al noii criminalități organizate?

Gian Carlo Caselli: Trebuie insistat pe faptul că Internetul și reţeaua web permit criminalităţii organizate din toate statele să-și extindă teritoriul pe care acţionează, oferindu-le oportunităţi și perspective inimaginabile până nu demult. Acest lucru a determinat transformarea profilului și identităţii „vechii mafii”. Apoi, trebuie subliniat faptul că reţeaua web reprezintă o „zonă liberă”capabilă să ofere garanţia securităţii și anonimatului, o„zonă gri” care oferă posibilitatea săvârșirii diverselor tipuri de infracţiuni. Securizarea reţelelor, în acest context nou, își păstrează importanţa nativă, dar devine și un mijloc important pentru a face faţă strategiei criminale care nu mai are graniţe și care devine tot mai ameninţătoare.

Massimiliano Cannata: O criminalitate care se evidențiază și prin capacitatea sa de penetrare „comercială” pe noile piețe. Considerați acest lucru ceva inedit?

Gian Carlo Caselli: Exact asta se petrece, de fapt. Cu un talent nebănuit pentru marketing, grupurile mafiote și-au cedat în primă fază responsabilităţile: sarcina gestionării structurii piramidale și celelalte forme de exploatare numeroase. În prezent, ele condiţionează piaţa, stabilind preţul recoltelor, controlând transporturile și sistemul de triaj al mărfurilor pentru lanţuri întregi de supermarketuri, gestionează exportul produselor noastre Made in Italy – atât produse originale, cât și contrafăcute –, creează în străinătate centrale de producţie de Italian sounding, și merg până într-acolo încât înfiinţează reţele de vânzări capilare de tip„magazinul de la colţ”.

Securitatea rețelei ca avantaj strategic folosit ca răspuns

Massimiliano Cannata: Vă referiți la ceea ce numim „mafia lichidă”?

Gian Carlo Caselli: Este definiţia cea mai adecvată pentru a surprinde aptitudinea criminalităţii organizate de a se infiltra peste tot, exact ca apa. Membrii grupurilor mafiote adoptă stratageme din ce în ce mai diverse, reușind să beneficieze de fluxuri considerabile de capital de finanţare europeană. Este suficient să ne amintim că, doar în decursul anului 2016, Garda Financiară a confiscat 137 de terenuri și a cartografiat 29.689 de terenuri de care dispun grupurile de crimă organizată. Tot în 2016, aceeași instituţie a pus sub sechestru bunuri patrimoniale de 150 de milioane de euro, la care se adaugă confiscarea a 35 de milioane de euro de finanţare publică acordată ilegal.

Massimiliano Cannata: Inovațiile nu se opresc aici. High frequency trading este un alt cuvânt-cheie de care trebuie să ținem cont de acum înainte. Ne-ați putea face o sinteză cu privire la acest aspect?

Gian Carlo Caselli: Este un instrument tot mai accesibil criminalităţii organizate, care permite efectuarea de tranzacţii pe bursă la viteze foarte mari, operate în mod automat, pe baza unor algoritmi. Sunt operaţiuni speculative realizate prin mobilizarea unor sume însemnate de bani, cu scopul de a influenţa cursul acţiunilor. Ne confruntăm cu niște dispozitive hiper-tehnologice, capabile să emită pe piaţă într-un timp record un flux mare de comenzi, depășind uneori 5000 de operaţiuni pe secundă. Un fel de insider trading automat, ale cărui operaţiuni sunt foarte dificil de depistat de către anchetatori.

Massimiliano Cannata: Cum operează acești delincvenți?

Gian Carlo Caselli: Datorită vitezei ale high frequency trading, băncile și operatorii financiari acţionează în prezent pe mai multe platforme reglementate, precum bursele sau, mai adesea, pe zone complet necontrolate, precum platformele over the counter (otc), care le permit realizarea de profituri de natură pur speculativă. Graţie vitezei de efectuare a operaţiunilor, operatorii plasează, modifică și anulează milioane de comenzi pe zi, pentru a specula diferenţele minimale de preţ între vânzare și cumpărare.

Massimiliano Cannata: Rapiditatea și controlul rețelelor sunt sursele acestor acțiuni ilegale?

Gian Carlo Caselli: Punctul central este tocmai viteza: algoritmii, tot mai complecși, „citesc” comenzile efectuate de concurenţi pe diferite pieţe pentru un produs anume. În timpul extrem de scurt dintre plasarea efectivă a comenzii și apariţia în registrul tranzacţiilor oricărei pieţe – adică afișajul telematic ce conţine propunerea de vânzare sau de cumpărare, cantităţile, preţul și operatorul –, grupurile mafiote inundă pieţele cu comenzi ale aceluiași produs, pe alte platforme, reușind să negocieze preţul cel mai convenabil pentru ele.
Aceste mii de comenzi au deci rolul de a determina creșterea sau scăderea cotaţiei unui produs. La sfârșitul negocierilor, sunt șterse în câteva fracţiuni de secundă. Viteza este atât de mare încât organele de control din diverse state estimează că doar în 10% dintre comenzile efectuate prin high frequency trading își ating cu adevărat scopul, restul de 90% fiind șterse.

Massimiliano Cannata: Ce măsuri pot fi luate în lupta cu fenomene atât de complexe și de bine puse la punct?

Gian Carlo Caselli: Complexitatea reţelei fenomenelor criminale a atins un nivel foarte înalt. În prezent, ne concentrăm eforturile pentru cartografirea gradului de penetrare a activităţilor criminale pe filiera agro-alimentară, în scopul obţinerii unui „indice de permeabilitate” care să ne poată ajuta să înţelegem mai bine zonele vulnerabile ale teritoriului pe care acţionăm și să demarăm o activitate de prevenire și de protecţie mai eficientă și mai adaptată timpurilor noastre. Ne confruntăm cu o problemă transnaţională, iar autorităţile de supraveghere au doar o competenţă naţională, ceea ce face ca niciuna dintre ele să nu aibă o viziune completă asupra activităţilor operatorilor high frequency trading.

În mod evident, este momentul demarării aplicării unor strategii de investigaţii și de prevenire a riscului și a vulnerabilităţilor, prin intermediul unor servicii de informaţii cu competenţe transnaţionale însărcinate cu implementarea de strategii de ciber-securitate eficiente. Doar dacă reușim să centralizăm lupta împotriva mafiei, se va deschide un orizont de libertăţi pentru ţara noastră. Suntem implicaţi într-un meci pe care nu ne permitem să-l pierdem.

Gian Carlo Caselli (Alessandria, 1939), imediat după obținerea diplomei în Drept, a fost din 1964 asistent voluntar la Istoria Dreptului Italian la Universitate din Torino. În 1967, intră în magistratură ca Auditor juridic, apoi, la începutul anilor ‹70, devine judecător la Tribunalul din Torino. În acest rol, pe care l-a păstrat până în 1986, Caselli a instrumentat în particular (începând de unul singur, apoi într-o echipă cu alți magistrați) toate investigațiile privind activitățile teroriste ale Brigăzii Roșii și ale Prima Linea, la Torino, Genova și Milano.
Revenit la Torino, este numit Președinte al Curții de Justiție. În 1992, după atentatele mafiote de la Capaci și via d’Amelio, care au costat viețile judecătorilor Giovanni Falcone și Paolo Borsellino, Caselli a solicitat numirea în calitate de Procuror al Republicii la Tribunalul din Palermo, punând toată experiența sa în domeniul luptei împotriva criminalității orga- nizate în slujba țării și asumându-și misiunea fundamentală de a contracara Mafia.
Dupa o prima perioadă de mandat la Palermo, Caselli și-a continuat cariera cu aceeași pasiune și a îndeplinit alte sarcini de prestigiu și la nivel internațional. În 1999 devine Director al Departamentului de Administrare Penitenciară, în 2001 este membru al Unității de Cooperare Judiciară Europeană «Pro-Eurojust» iar în 2002 devine Procuror General al Republicii la Curtea de Appel din Torino. Angajamentul său a continuat la Torino, unde a fost numit – în unanimitatea Consiliului Superior al Magistra- turii – Procuror-șef, înlocuindu-l pe judecătorul Marcello Maddalena.
Continuând vocația sa de a răspândi o cultură a legalității, este din 2014 Președinte al Comitetului Științific al Fundației Coldiretti «Observator al criminalității în agricultură și în sistemul agroalimentar». A fost președinte al comisiei de elaborare de propuneri de intervenție în privința reformei faptelor penale în domeniul agroalimentar (D.M. 20.4.2015) înființată de către Ministrul Andrea Orlando. Lucrările comisiei s-au încheiat cu prezentarea către ministru a unui dosar cu 49 de articole, fiecare cu linii de urmărit în proiectul de reformă.

Laurent Chrzanovski: Domnule Velten, cu ocazia întâlnirii „Grappa Hat” din Aosta şi apoi cu ocazia altor conferinţe, aţi suprins publicul cu o conferinţă intitulată „Are you what you sign? I say no”, un veritabil manifest cu privire la precauţiile necesare a fi luate înainte de a accepta sau de a semna orice online. De ce aţi ales această temă, dintre toate domeniile pe care le stăpâniţi, legate de cibersecuritate?
Arnaud Velten: Mă simt ataşat de acest subiect pentru că reflectă o experienţă personală. În pragul vieţii adulte, eram mai degrabă timid şi introvertit. Pentru că la acea vreme lucram, printre altele, la proiecte grafice, una dintre primele comunităţi care m-a acceptat a fost cea a artiştilor de la petrecerile la care mergeam: muzicieni, DJ, c lubberi. Nevoia mea de recunoaştere, „consacrată” de invitaţia de a participa la evenimente în discoteci private de pe plajele lacului Annecy, era pe atunci garnisită

de o poreclă cu o însemnătate pe care nu am realizat-o pe loc. Fiindcă pe atunci eram foarte slab, aceşti prieteni mă strigau „Auschwitz”. Iar, ca să-mi păstrez acest prim cerc de prieteni, n-am zis nimic şi nici nu mi-am pus prea multe întrebări până când, câţiva ani mai târziu, am aflat că bunicul meu, angajat în lupta de rezistenţă încă de la începuturile acesteia, fusese arestat de către Gestapo şi aruncat într-un vagon cu destinaţia Dachau, după ce participase la una din marile operaţiuni ale rezistenţei, maquis-ul din platoul Glières. A supravieţuit doar pentru că a reuşit să evadeze din convoi, la Dijon, iar apoi s-a alăturat maquis-ului din Jura. În momentul acela am realizat că nu mai voiam să accept glume sau porecle prosteşti doar de dragul apartenenţei la o „comunitate”.
L.C.: Raţionamentul dumneavoastră, care ar fi putut să se oprească doar la „prieteni”, merge însă mai departe…
A.V.: Da, pentru că faptul până la urmă banal pentru un adolescent de a a ccepta condiţiile „cele mai dure” pentru a se integra reprezintă începutul unei resemnări a cetăţeanului de mâine. Dacă nu îşi pune întrebări cu privire la acceptarea fiecărui „prieten” de pe reţelele sociale, dacă „semnează”, chiar şi printr-un singur clic, însuşirea condiţiilor oricărui site ale cărui clauze alege să le ignore, va ajunge să nu mai citească condiţiile şi obligaţiile dintr-un contract de muncă. Pe scurt, viaţa sa va fi dictată în orice moment de alţii, fără ca persoana vizată să-şi dea măcar seama, sau cel puţin la început.
L.C.: Cum am putea de fapt acţiona, în prezent, într-o lume digitală în care majoritatea covârşitoare a adulţilor nesocotesc riscurile?
A.V.: În ceea ce mă priveşte, aveam două opţiuni, ţinând cont de parcursul meu profesional: să devin un „hacker cu pălărie neagră” (black hat hacker) şi să „sparg sisteme”, sau să contribui la proiecte de transparenţă şi de conştientizare. Am ales cea de-a doua cale, devenind o „pălărie albă” (White Jedi). Problema cea mai dificilă în ziua de azi o reprezintă hiperconectivitatea neînţeleasă de către utilizatori (nici c hiar de către cei din lumea TIC!), în vremuri în care Internetul este cea mai mare arhivă care a existat vreodată. În prezentările mele ţinute cu scopul sensibilizării, f olosesc adesea paralele desprinse din actualităţile din media, precum omul de afaceri care avea încredere oarbă în Bernard Madoff, ecologistul american care credea că folosea o maşină germană „curată”, până în ziua în care… totul se

năruieşte în faţa unei realităţi mai tulburi. Prin aceste imagini de „ succes” care au devenit „scandaluri”, îmi doresc să arăt cum, iniţial, omul este naiv atunci când are încredere într-un individ sau într-o marcă a căror imagine pare perfectă.
L.C.: Care e scopul urmărit de dumneavoastră cu aceste exemple?
A.V: Subconştientul colectiv trebuie antrenat într-o introspecţie cu privire la felul în care toată lumea se conectează. Da, folosim reţele sociale, însă ştim oare că tocmai aceste reţele sociale în care avem atâta încredere pun la cale cea mai mare intruziune posibilă prin dezvoltarea de motoare de recunoaştere facială de foarte mare viteză? Atunci când acestea vor fi implementate, nicio imagine care vă aparţine dumneavoastră sau apropiaţilor dumneavoastră nu va rămâne pe dinafară, nici măcar cele „pierdute” în deep web. Astfel, tot trecutul dumneavoastră, şi aici nu mă refer neapărat la cel măreţ, dacă sunteţi adeptul postării online de imagini în mod sistematic, va ieşi la iveală, disponibil oricui.
L.C.: Cum am putea, din punct de vedere tehnic, să evităm astfel de necazuri, cel puţin cu ceea ce n-am postat încă online?
A.V.: Lucrez în cadrul unui grup internaţional, Think Services, alcătuit din voluntari, cu scopul de a crea o extensie, uşor de utilizat, de crowd sourcing. Odată inserată în motorul de căutare, rolul acesteia este de a indica pe loc gradul de î ncredere care poate fi acordată unui site sau unei reţele, în funcţie de cinci parametri simpli: accesibilitate şi diversitate (factori de atracţie) puse în relaţie cu maleabilitatea, încrederea şi integritatea site-ului. Momentan, ne concentrăm pe serviciile Cloud pentru început, un proiect pentru care ţin să-i mulţumesc lui P ascal Kotté şi profesorului Jean Henry Morin de la Universitatea din Geneva.

Evaluările fiecărui parametru, realizate de utilizatori ai site-urilor, constituie atât o garanţie a obiectivităţii (datorită numărului şi sistemului pe bază de voluntariat), cât şi o demonstraţie cu privire la complexitatea sistemului: fiecare va decide apoi în cunoştinţă de cauză ce e dispus să sacrifice (legat de viaţa privată, de resursele materiale dacă optează pentru un site cu plată) pentru a-şi securiza propria „reputaţie digitală”. Cartografia, una din pasiunile mele vechi, permite generarea unei imagini care, în termeni de impact, valorează adesea mai mult decât nişte lungi discursuri.
L.C.: Cum aţi trecut din lumea graficii şi a white jedi-lor la responsabilitatea comunicării pentru un eveniment atât de delicat cum este IE2S?
A.V.: Datorită concluziei aceluiaşi raţionament, la care s-au adăugat studiile pe care le-am terminat în domeniul marketingului, inteligenţei strategice şi media. Problema, în cazul evenimentelor strategice şi confidenţiale cum esteIE2S, constă în asigurarea securităţii pentru părţile care se desfăşoară în privat, aspecte pe care le cunosc doar participanţii (locul de întâlnire, adrese, ordinea de zi a şedinţelor), menţinând totuşi vizibilitatea evenimentului. Un individ sau un eveniment fără prezenţă digitală (imagini, texte, înregistrări video, hashtag-uri) este pur şi simplu inexistent în lumea în care trăim.
Evenimentele strategice, spre deosebire de marile congrese publice, trebuie documentate cu multă subtilitate, dar şi cu o oarecare distanţare obiectivă care să lase mereu loc întrebării: „dacă postez asta online, care va fi imaginea percepută de utilizatorul de pe internet?”.
L.C.: Care sunt cuvintele-cheie ale unei astfel de comunicări, cum se spune ceva ce nu trebuie spus (prea mult)?
A.V.: În primul rând, înainte de întâlnirea propriu-zisă, obiectivele comunicării trebuie fixate de către organizatorii evenimentului, iar „responsabilul cu comunicarea” trebuie să înţeleagă evenimentul pentru a se adapta specificului acestuia şi pentru a nu se abate de la obiective.

Există câteva reguli de aur, valabile pentru toate evenimentele strategice. Cea mai importantă este documentarea fără a minţi niciodată. S ubiectivitatea nu-şi are locul în puţinul care îi este oferit publicului, în cazul acestui gen de întâlniri. Astfel, în cazul fotografiilor, de exemplu, trebuie respectată întotdeauna imaginea vorbitorilor şi a persoanelor prezente. De pildă, se încearcă includerea în cadrul fotografiei exclusiv a feţei celui care a luat cuvântul.
Dacă un clişeu nu este bine realizat sau nu e discret, trebuie distrus sau şters imediat. Apoi, iar asta poate părea banal, însă afişarea cu un aparat de fotografiat mare, vizibil, indică tuturor că sunteţi acolo pentru a face fotografii: suspiciunea datorată riscului pe care îl produce „fotografia furată” dispare, câştigându-se astfel încrederea persoanelor prezente, care pot să refuze fotografierea, să consimtă postarea online sau să solicite ştergerea unei anumite imagini.
Apoi, fotografiile autorizate trebuie marcate ca atare cu elemente care nu pot fi şterse înainte de postarea lor pe reţele, fapt ce le permite organizatorilor să le distingă de cele realizate fără autorizare, în cazul în care apar online, şi să acţioneze în consecinţă.
În fine, totalitatea imaginilor şi a secvenţelor trebuie adaptate pentru a respecta direcţia dorită de organizatori.
Cheia succesului, pe lângă învăţarea din greşeli, constă în strânsa colaborare cu organizatorii pentru a cântări cu atenţie ceea ce trebuie postat online „pe loc” şi ceea ce poate aştepta până la sfârşitul întâlnirii, zilei sau întregului eveniment pentru a fi triat „la rece” şi postat în cunoştinţă de cauză. 

Arnaud Velten

Expert în strategie şi tactici digitale, Arnaud Velten (@bizcom) a avut primul contact cu informatica underground în adolescenţă, pentru ca apoi să continue studiile în comunicare, audiovizual şi marketing şi să se specializeze în inteligenţă strategică.
În toate experienţele sale (în jurnalism, blogging, arte, activităţi conexe evenimentelor), îşi foloseşte cunoştinţele dobândite din zona underground şi le aplică în comunicarea digitală.
Astfel, în 2007, contribuie la elaborarea unui CV izometric (Isomap) iar, în 2009, inventează o metodă de brainstorming intitulată „Emerge map”. Observator discret, persoană de legătură cu conexiuni fără pereche, contribuie încă din 2010 la multe evenimente în calitate de influent formator de opinie şi animator. În 2014 se alătură staff-ului de la Cyber Security Alliance şi de la summitul IE2S.

Laurent Chrzanovski: Domnule Réville, sunteţi unul din principalii artizani ai celui de-al doilea Summit al Inteligenţei Economice şi al Securităţii/Siguranţei, IES2. Cum aţi reuşit, într-un timp atât de scurt, să treceţi de la o idee la realizarea unui colocviu de lucru care să reunească atât de mulţi intervenienţi de prestigiu, pe teme atât de diferite?
Christophe Réville: În calitate de auditor al Institutului de Înalte Studii de Apărare Naţională (IHEDN), cu studii în inteligenţă economică şi fiind preocupat de problematica securităţii prin agenţia mea franceză de contraspionaj economic, particip de mult timp la colocvii, congrese, forumuri, conferinţe şi alte simpozioane pe astfel de teme. Împreună cu colegul meu Jean-Pierre Troadec, el însuşi auditor al IHEDN şi specialist în inteligenţă economică, am constatat că aceste evenimente, instructive şi interesante fără îndoială, nu permiteau crearea de veritabile contacte cu participanţii de înalt nivel care îşi împărtăşesc cunoştinţele în astfel de întâlniri. Acest proiect de Summit al Inteligenţei Economice şi al Securităţii/Siguranţei a încolţit acum câţiva ani şi a luat fiinţă cu ocazia primei ediţii din 2015. Ideea noastră – copierea unei formule cunoscute în lumea anglo-saxonă şi ilustrată de exemplu prin forumul de la Davos – consta în crearea unui eveniment în care timpul de lucru este strict limitat, iar timpul alocat networking-ului este foarte generos. Scopul îl constituie alcătuirea unui grup de mărime rezonabilă, pentru ca participanţii să se poată cunoaşte cu adevărat între ei şi să comunice pe subiecte care îi preocupă. Am reuşit astfel să reunim în jur de cincizeci de participanţi, jumătate dintre aceştia fiind reprezentanţi ai statului şi ai marilor agenţii guvernamentale, iar cealaltă jumătate – responsabili şi conducători ai unor companii importante care pot împărtăşi din experienţa lor în realităţile vieţii economice, în deplină libertate şi confidenţialitate. Susţinerea din partea IHEDN ne conferă acces la „reţeaua reţelelor” şi la cele mai înalte autorităţi ale statului. Astfel, ne-a fost uşor, în 2014-2015, să punem la punct acest eveniment în câteva luni şi să organizăm şi a doua ediţie în acest an.
Laurent Chrzanovski: Comunicarea principalelor concluzii ale atelierelor de lucru în faţa unui public alcătuit din invitaţi selectaţi de dumneavoastră, dând astfel şansa studenţilor sau reprezentanţilor din media să le cunoască, reprezintă o decizie rară care merită lăudată. Cum a fost primită această decizie de către actorii din domeniile cele mai „confidenţiale” din cadrul Summitului?
Christophe Réville: Numărul de locuri din cadrul Summitului este limitat în mod intenţionat, pentru a favoriza mai degrabă calitatea lucrărilor, şi nu cantitatea. Totuşi, este importantă şi deschiderea către publicul extern şi accesibilizarea sintezei discuţiilor care au avut loc cu ocazia seminarului privat – sau cel puţin a ceea ce poate fi spus. Misiunea noastră la Institutul de Înalte Studii de Apărare Naţională este propagarea spiritului Apărării naţionale şi de securitate în mijlocul societăţii civile. Interesul studenţilor pe aceste teme este în creştere, este de datoria noastră să îi primim în număr cât mai mare, astfel că ei sunt invitaţi şi le sunt acoperite toate costurile. În acelaşi timp, reprezentanţii IMM-urilor invitate îşi asumă apoi în rol de diseminare a informaţiilor dobândite la Summit în cadrul cercurilor lor profesionale.
Din partea participanţilor, această iniţiativă este apreciată, întrucât compensează aspectul uşor „elitist” al seminarului privat, unde nu are acces toată lumea.
Laurent Chrzanovski: În vremuri în care doar multimaţionalele cele mai expuse şi organizaţiile internaţionale vizate încep să vehiculeze termenul „securitate logică”, summitul a demonstrat într-un mod fulminant că toate domeniile cuprinse în acest concept sunt implicate: securitate fizică, video, ciber, inteligenţă economică, siguranţă, atitudine de rezistenţă şi apărare.
Christophe Réville: Noţiunea de securitate a sistemelor de informaţii a făcut dintotdeauna parte din conceptul de inteligenţă economică. Însă, contrar unor anumiţi specialişti, noi credem că nu trebuie să ne rezumăm managementul informaţiei doar la protejarea acesteia. De altfel, acesta e un concept cu sens dublu. Protejarea informaţiei altuia este o condiţie evidentă în procesul de supraveghere şi de colectare de informaţii de către companie sau organizaţie. Protejarea companiei sau a capitalului informaţional al acesteia acoperă un spectru foarte larg: de la securitatea fizică a personalului şi a infrastructurilor până la asigurarea posibilităţii de a acţiona în caz de ameninţare identificată sau presupusă. În acest domeniu, factorul uman este cel mai important. Totodată, în acest domeniu, porţile de intrare sunt cele mai evidente, dar şi cele care necesită cea mai multă subtilitate, iar tehnicile de obţinere a informaţiei, de inginerie socială, actele viclene (ameninţare, extorcare, şantaj etc.) au căpătat un avânt important. Dincolo de mijloacele şi de tehnicile de protecţie se află o muncă imensă de educare, de sensibilizare, de formare, care trebuie investită în întregul colectiv al organizaţiei. Această muncă are repercusiuni asupra resurselor umane (contracte de muncă şi regulament interior), care trebuie să obţină acordul personalului vizat. Vorbim astfel de o muncă importantă şi de lungă durată care trebuie implementată la faţa locului, mai ales în organizaţii importante: însăşi baza organizării companiei trebuie regândită şi reîntemeiată cu acordul întregului personal.
Chiar dacă societăţile sunt dispuse să investească (sume relativ modeste, de altfel) în sisteme de protecţie, totuşi nu dau dovadă de acelaşi entuziasm când vine vorba de adoptarea unei politici de reglementare, de sensibilizare sau de motivare a personalului. Ori, nimic nu se realizează fără ca toţi actorii să fie mobilizaţi în jurul conceptului de securitate – şi chiar de supravieţuire – a companiei lor.
Laurent Chrzanovski: Cum s-a desfăşurat procesul de selecţie a participanţilor care, pe lângă faptul că sunt printre cei mai notorii în s ectorul lor, au fost c apabili mai ales să îşi asume contribuţia la una din cele mai vaste iniţiative transdisciplinare pe care le-am remarcat în ultimul timp?
Christophe Réville: Toţi experţii prezenţi la Summitul Inteligenţei Economice şi al Securităţii/Siguranţei sunt foarte interesaţi şi preocupaţi de această participare şi sunt conştienţi că locul lor e unul privilegiat. Încurajaţi de adoptarea regulii „Chatham house” care impune ca orice sursă de informaţii să rămână total confidenţială, se simt în siguranţă şi nu ezită să împărtăşească informaţii de prim rang. Modesta noastră organizaţie este contactată la personalităţi de înalt nivel care doresc să participe la Summit în calitate de experţi. Suntem uneori obligaţi să facem alegeri drastice.
Într-adevăr, şi aspectul pluridisciplinar face parte din marile originalităţi ale Summit-ului. Scopul nostru este de a facilita comunicarea între două lumi care nu obişnuiesc să-şi vorbească: lumea inteligenţei economice – adesea considerată ca fiind foarte ancorată în mediile universitare – şi lumea securităţii, deseori coborâtă la imaginea caricaturală a paznicului de parcare.
În fine, există clar o distincţie, în mediul restrâns al inteligenţei economice/ securităţii, între cei „care au fost la Summit” (2015 sau 2016) şi care fac parte din Cercul IES2 şi ceilalţi. Preţul participării este ridicat: angajamentul, disponibilitatea (trei zile reprezintă o perioadă foarte lungă pentru personalităţi de altfel foarte solicitate), libertatea de stil şi de exprimare.
Laurent Chrzanovski: S-a vorbit destul de des de semantică, or nici definiţiile cuvintelor, nici valoarea trecută sau actuală a termenilor vocabularului de specialitate nu au pus probleme de înţelegere, nici chiar atunci când au fost folosiţi în moduri foarte diferite de către participanţii la Summit. Într-o lume a celor mai nefericite neînţelegeri „lingvistice” între echipele unei aceleiaşi companii de talie mare, cum explicaţi acest succes?
Christophe Réville: De la un anumit nivel, specialiştii cunosc contextul şi nuanţele acoperite de un anume cuvânt. Am depăşit nivelul directorilor de securitate sau a responsabililor cu supravegherea; publicul nostru este alcătuit din administratori de societăţi sau din directori care au o viziune strategică multidimensională şi adesea multiculturală. Chiar dacă predispoziţia noastră este esenţialmente franceză sau, în orice caz, francofonă, au fost evocate strategii mondiale luând exemple de bune practici cunoscute în anumite ţări străine şi adaptate specificităţilor franceze, atât culturale cât şi sociologice, care sunt foarte particulare – iar acest lucru nu constituie întotdeauna o calitate.
Evocarea diferenţelor între definiţiilor cuvintelor securitate şi siguranţă, în funcţie de mediul profesional al persoanei vizate este un demers interesant. Şi totuşi, în final, toată lumea se înţelege.
Laurent Chrzanovski: Cu ocazia majorităţii întâlnirilor pe care le-am putut urmări în 2016 în Europa, cel mai important câştig în privinţa rezultatelor obţinute merită o diseminare în cercul decidenţilor din sectorul privat, dar şi din cel public. Cum aveţi de gând să „popularizaţi” principalele concluzii ale Summit-ului pentru a fi îmbrăţişate de mediile politice, economice şi cetăţeneşti?
Christophe Réville: Un rezumat scris al sintezei publice a Summitului Inteligenţei Economice şi al Securiţăţii/Siguranţei 2016 va fi, bineînţeles, publicat în câteva săptămâni. Totuşi, dincolo de difuzarea către un număr

Dincolo de mijloacele şi de tehnicile de protecţie se află o muncă imensă de educare, de sensibilizare, de formare a întregului colectiv al organizaţiei.

cât mai mare, lucrăm mai ales la influenţa directă asupra decidenţilor care s-au angajat să-şi orienteze strategia şi politicile în sensul ideilor decise împreună cu puterile publice cu ocazia Summit-ului. Finalizarea lucrărilor va fi cu siguranţă foarte puţin mediatizată sau notorie, însă noi vizăm eficienţa pe teren mai degrabă decât o recunoaştere a publicului. Astfel, nu există nici condescendenţă şi nici respingere din partea publicului, ci doar un interes deosebit pentru eficienţă maximă cât mai rapid posibil în acţiuni concrete, în respectarea legii şi a interesului general.
Laurent Chrzanovski: Care sunt impresiile dumnea voastră „la cald”? Care este, după părerea dumneavoastră, cea mai mare reuşită a celui de-al doilea Summit şi care sunt detaliile pe care v-aţi dori să le perfectaţi?
Christophe Réville: În primul rând, prima noastră satisfacţie este că acest al doilea Summit a avut loc, iar apoi că a avut loc în condiţii bune. Este într-adevăr o adevărată provocare perenizarea acestui eveniment, căruia îi dorim multe ediţii susţinute de IHEDN.

Formula poate fi încă extinsă, aşa cum s-a întâmplat şi după prima ediţie. Multe detalii logistice şi de organizare pot fi îmbunătăţite, esenţial rămâne totuşi faptul că atât fondul cât şi forma să fie apreciate de participanţi şi ca toţi aceştia să-şi manifeste dorinţa de a reveni la ediţia următoare. Ne păstrăm crezul: „securizarea lumii de mâine la înălţime”.
Laurent Chrzanovski: Aveţi deja vreo idee cu privire la îmbunătăţirile sau la noile direcţii tematice pe care aţi dori să le aplicaţi în următoarea ediţie a unui Summit deja pe de-a întregul funcţional după doar doi ani?
Christophe Réville: În 2016, programul a fost influenţat de evenimentele dramatice petrecute în ţara noastră în acest an. Au fost formulate opinii, concrete dar şi subtile, privind lupta antiteroristă în companii, rezistenţă şi apărarea intereselor noastre în faţa noilor ameninţări. De altfel, aceasta este şi tema reluată în cadrul următorului colocviu anual al Clubului Directorilor de Securitate a Companiilor care se ţine în 15 decembrie; CSDE este unul dintre partenerii noştri etici şi ştiinţifici.
Cu siguranţă că în 2017 actualitatea ne va furniza teme de reflecţie. Totuşi, câmpul de reflecţie şi de acţiune centrat pe tema inteligenţei economice şi a securităţii/siguranţei este vast şi va lăsa loc unor lucrări ample. Trebuie să fim reactivi şi proactivi şi să anticipăm noile ameninţări.
Anunţarea unei teme este puţin prematură, comitetul nostru nu s-a reunit încă pentru a determina axele de lucru din 2017, însă vom dezbate cu siguranţă evenimentele imprevizibile în care au fost înregistrate semnale slabe, ca de exemplu riscul de insurecţii pe teritoriul nostru – eveniment cu probabilitate redusă, dar pentru care armata elveţiană a avut o oarec are preocupare acum patru ani – puterile publice s-au pregătit pentru un astfel de dezastru, însă nu se reflectă nimic în plan economic concret, care rămâne totuşi câmpul nostru de acţiune principal. Contextul electoral naţional al Franţei în prima jumătate a anului 2017 va mobiliza de asemenea atenţia. Se vor petrece schimbări în agenţiile naţionale; este de datoria noastră să ne exercităm influenţa etică şi pozitivă asupra viitoarelor politici publice, dând glas preocupărilor conducătorilor companiilor.

Fotografii: © IES, Christophe Réville, puse la dispozi ție pentru acest articol, reproducerea interzisă

Christophe Réville

Co-fondator şi supervizor al Summitului IES Chamonix Mont-Blanc 2015, Christophe Réville este s pecialist în management, comunicare şi factori umani în inteligenţa economică la IHEDN Lyon (Institut des hautes études de défense nationale). Co-iniţiator al Summitului IES Chamonix Mont-Blanc 2015, Christophe Réville conduce o societate de consultanţă şi de formare în comunicare şi strategie a companiei. Absolvent al şcolii de business EMLYON, după cincis prezece ani în fruntea unor companii specializate în comunicare, s-a orientat către formarea în cadrul companiei. Cu studii în programare neuro-lingvistică, în analiză tranzacţională şi gestaltism, a dezvoltat programe de sprijin pentru echipe în domeniul motivării, managementului schimbării şi gestionării factorilor umani în jurul problematicilor de securitate şi de inteligenţă economică. Specialist în comunicarea interpersonală, şi-a aprofundat studiile în contraspionajul economic din punct de vedere al resurselor şi al factorilor umani. Auditor al IHEDN (a 178-a sesiune, 2009), Christophe Réville este rezerv ist al jandarmeriei (şef de escadron în rezervă) şi membru al reţelei de apărare cibernetică al rezervei, parte din statul-major al forţelor armate.

ghion1280px-Logo-police-ge

Laurent Chrzanovski: Cum poți deveni “cyber-polițist” la Geneva?

Patrick Ghion: Povestea unui inspector de poliție în cadrul Brigăzii de combatere a criminalității informatice începe cu obținerea unor competențe în analiza diferitelor suporturi de date digitale, dar și cu pregătirea în domeniul OSINT (Open Source Intelligence), care îi va permite deja să răspundă la problematici simple. Apoi, pentru a aborda probleme specifice, el va trebui să urmeze formări complexe, în laboratoare specializate: analize referitoare la telefonia mobilă, sisteme informatice integrate pentru vehicule, interceptări sau cercetări și răspunsuri legate de malware.
Brigada de combatere a criminalității informatice face parte din Secția de Medicină Legală a Poliției Judiciare, care include și brigada de poliție tehnică și științifică, brigada de informare penală și serviciul dovezilor poliției. Inspectorul va urma, de asemenea, de-a lungul întregii sale cariere, diverse formări, în conformitate cu provocările lansate de noile tehnologii, care se succed într-un ritm frenetic.
Laurent Chrzanovski: Care este parcursul unei persoane care aspiră la a fi inspector în Brigada de combatere a criminalității informatice? Este nevoie de un profil profesional specific?

Patrick Ghion: În trecut, un interes puternic era suficient pentru a fi inclus în Brigadă. Începătorul urmează apoi cursuri de formare continuă, pe care Poliția Judiciară le oferă în fiecare an. Astăzi, acest interes personal nu mai este suficient pentru a face față provocărilor cu care ne confruntăm. Preferăm acum persoanele care au urmat deja o educație completă, printre altele, printr-un parteneriat cu Școala de Științe Penale din Lausanne, care a dezvoltat un curriculum de anchetă digitală, dar și cu Universitatea de Științe Aplicate din Geneva (HEPIA), care a creat un curs de informatică. Provocarea acum este de a integra acești foști studenți și de a-i determina să urmeze Academia de Poliție – ceea ce nu este neapărat ușor – asigurându-ne în tot acest timp că ei nu se îndepărtează de pasiunea lor pentru calculatoare în timpul studiilor la Academia de Poliție.

Laurent Chrzanovski: Care sunt mijloacele Brigăzii de combatere a criminalității informatice? Reușește ea să facă față provocărilor actuale?

Patrick Ghion: Brigada își îndeplinește sarcinile, dar este încă în sub-efectiv în raport cu importanța pe care o are acum pentru societate criminalitatea informatică. Scopul, susținut atât la nivel politic, cât și la nivelul conducerii poliției, este de a dubla dimensiunea Brigăzii în următorii patru ani.

Laurent Chrzanovski: Care sunt principalele domenii de acțiune ale Brigăzii? Importanța lor cantitativă s-a schimbat în mod semnificativ de-a lungul anilor?

Patrick Ghion : Rolul principal al Brigăzii este analiza suporturilor de date, adică 25% din cazurile tratate de Brigadă, circa 500 pe an. Este vorba despre extragerea din diferite tipuri de medii, dar și din cloud, a dovezilor necesare cerute de justiție și punerea lor la dispoziția acesteia. Acum câțiva ani, aceasta reprezenta aproape 98% din sarcinile Brigăzii. Astăzi, o treime din analize se referă la cercetarea dovezilor pe Internet, care au devenit principala activitate a Brigăzii, în conformitate cu plângerile pe care poliția le primește de la cetățeni. Aceasta reprezintă, probabil, doar o mică parte a realității, deoarece mulți nu vin să depună plângeri atunci când sunt victime ale atacurilor.
Noi dorim să răspundem la această provocare prin efectuarea unor patrule pe internet, în special pentru a anticipa o serie de probleme, cum ar fi agresiunile asupra adolescenților prin intermediul rețelelor sociale. De îndată ce noul personal va fi angajat, vom putea dezvolta această activitate.
Apoi vin sarcinile încredințate laboratoarelor specializate, in primis cele în legătură cu telefonia mobilă. În acest domeniu, am asistat, de la apariția smartphone-urilor, GPS-ului, tabletelor, obiectelor conectate, la o explozie veritabilă a nevoilor de analiză, acestea formând acum aproape 20% din activitățile Brigăzii. Pentru a răspunde mai bine cerințelor tot mai mari ale echipamentelor mobile, am creat, de asemenea, laboratoare delocalizate (off-shore), de exemplu, pentru Brigada aeroportului sau cea a drogurilor, astfel încât acestea să poată obține cât mai repede cu putință elementele vitale pentru o anchetă rapidă.
Un laborator important este și cel de analiză a suporturilor video (imagini, filme, sunete), care acoperă 10% din activitatea Brigăzii. Este vorba de a face «citibile» înregistrările video, cum ar fi cele făcute de camerele de supraveghere, mai ales în timpul nopții, redresarea imaginilor, dar și a fișierelor audio pentru a le face utilizabile de către instanțele de judecată.
În cele din urmă, laboratorul special legat de malware (3% din operațiuni) este vital pentru determinarea funcționării acestora, a tipului de date pe care le transportă, a numărului de calculatoare infectate. Acest laborator are din ce în ce mai multe cazuri de tratat, deja pentru că Geneva este un oraș internațional în care se întâlnesc foarte multe personalități și oameni de afaceri, dar și din cauza exploziei de dispozitive conectate, acestea devenind atât ținte cât și vectori ușori pentru malware, ale căror atacuri cresc exponențial (+113% doar în 2014, potrivit raportului final al Poliției Federale).

Laurent Chrzanovski: În ce fel diferă brigada de omologii săi elvețieni? Care este mândria dumneavoastră astăzi, la nivel național?

Patrick Ghion: Poliția din Geneva a fost foarte pro-activă, suntem precursori la nivel elvețian cu un nou laborator special dedicat sistemelor informatice integrate pentru autoturisme, bărci sau avioane. Aceste sisteme conțin probe în cazuri contravenționale, dar sunt și niște porți deschise pentru infractori, din cauza nivelului lor de securitate, de multe ori redusă. Laboratorul nostru, care se ocupă în prezent doar de 1% din cazurile tratate de Brigadă, a fost format în anticiparea creșterii semnificative a cazurilor legate de aceste tehnologii integrate, un fenomen pe care îl putem deja observa la nivel internațional.

Laurent Chrzanovski: Elveția este o țară federală, cu beneficiile pe care le cunoaștem. Acest sistem generează dificultăți pentru munca dumneavoastră? Cum se realizează interacțiunea cu omologii dumneavoastră elvețieni și din străinatate?

Patrick Ghion: La nivelul Elveției latinofone, avem un grup de lucru foarte activ, cu întâlniri periodice, ca parte a grupului numit RBT (Romandie, Berna, Ticino) dar și un grup național, care are ca scop armonizarea abilităților viitorilor ofițeri din diferitele cantoane. Această cooperare inter-cantonală ar putea conduce deja la mutualizarea anumitor competențe în această toamnă permițând reducerea costurilor de formare și îmbunătățirea răspunsului la pericole, cu cantoane-pilot care își asumă sarcini specifice. Interacțiunea internațională se bazează în principal pe grupuri de lucru securizate, care permit să cooperarea imediată cu privire la cazuri specifice. De asemenea, atunci când un coleg întâlnește o problemă specifică, apar imediat alți polițiști, de pe tot globul, care îi vor spune dacă s-au confruntat cu situații similare.

Laurent Chrzanovski: Multe țări, mai ales după “revelațiile Snowden”, se confruntă cu valuri de preocupări civice cu privire la ascultare și interceptare. Ce se întâmplă la Geneva, este vorba de un subiect tabu?

Patrick Ghion: Aceasta este o temă care necesită o anumită discreție, dar nu este tabu. Toată lumea știe că poliția trebuie, în mod excepțional, să se angajeze în activități de interceptare. În Elveția, interceptarea, telefonică sau informatică, nu se poate face decât pe baza unei autorizații a unui magistrat în cazul în care acesta consideră că elementele anchetei sunt suficiente pentru a impune utilizarea acestor tehnici.
În plus, metodologia și monitorizarea pe care inspectorii Poliției Judiciare trebuie să le respecte în astfel de cazuri este deosebit de strictă și detaliată. Provocarea este acum legală, pentru ca Poliția să poată, în cazul unor infracțiuni deosebit de grave, să aibă acces la datele decriptate ale suspecților.

Laurent Chrzanovski: Cum va evolua situația, după părerea dumneavoastră?

Patrick Ghion: Intruziunea în calculatoarele despre care suntem siguri că aparțin unor suspecți de crime grave este acum în mâinile oamenilor, deoarece vom vota în două referendumuri federale cu privire la posibilitatea, pe bază de mandat judiciar, de a infecta calculatorul unui suspect. Dacă cetățenii aprobă această posibilitate, înseamnă că dau dovadă de încredere în întregul sistem judiciar și polițist elvețian.
Pentru poliție, o astfel de lege este vitală pentru a se adapta timpului actual, iar garanțiile judiciare ale unor astfel de operațiuni sunt stabilite în mod foarte detaliat. Nu va fi niciodată vorba de monitorizare în masă, nici de utilizarea cu ușurință a acestor instrumente care sunt într-adevăr extrem de deranjante.
În viitor, în cazul în care poliția nu poate accesa calculatoarele suspecților în cazuri deosebit de periculoase pentru societate, întregul proces de investigare va avea de suferit, iar acest lucru va conduce eventual la incapacitatea de a urmări autorii unor crime.

Laurent Chrzanovski: Polițiile, în general, sunt percepute prin prisma multor stereotipuri, cum ar fi tendința lor de a pedepsi mai degrabă decât de a preveni sau presupusa lor ostilitate față de un dialog cu “hackerii”. Care este realitatea, de fapt?

Patrick Ghion: Pedepsirea crimelor face parte, evident, din activitățile pentru care s-a născut Poliția, dar ar fi foarte simplist să ne limităm la această activitate. La Geneva, avem un grup de lucru foarte activ pentru a răspunde cerințelor societății, în special pentru a oferi consiliere rapidă cetățenilor, precum și ghiduri de apărare și de securitate actualizate pe un site web care ar trebui să ia naștere foarte curând.
În ceea ce privește Brigada, participăm în mod regulat la conferințe internaționale majore din “lumea hacking-ului”, unde atmosfera este foarte bună, iar discuțiile deosebit de interesante.

Autor: Laurent Chrzanovski
Material publicat în Cybersecurity Trends, nr. 2/2016

dard-1

VIP INTERVIU cu Pierre-Alain Dard, Ofițer superior la Brigada Minorilor, Cantonul Geneva

Laurent Chrzanovski: Cum funcționează Brigada Minorilor? Are ea rolul de a consilia și educa, sau doar de a pedepsi abuzurile?

Pierre-Alain Dard: Pedeapsa nu este singurul scop al brigăzii, pentru că nu totul este de competența codului penal. Astfel, “Fermitate și bunăvoință” a devenit sloganul nostru. Brigada în sine a fost fondată la sfârșitul anilor 1950, în scopul de a aduce un răspuns calitativ, nu cantitativ, problemelor legate de adolescenți, și anume îi formăm pe ofițerii de poliție cu privire la problematicile legate de lumea copilăriei și adolescenței.
Este foarte important pentru noi să discutăm permanent cu actorii din mediul școlar, în special cu profesorii, dar și cu ONG-urile, sociologii, psihologii și asistenții sociali care lucrează pe teren. Doar în acest mod putem găsi, cu ajutorul lor, cele mai bune soluții pentru probleme specifice.

Laurent Chrzanovski: Cum s-a adaptat Brigada la utilizarea în masă a instrumentelor informatice de către tineri?

Pierre-Alain Dard: În ceea ce privește tehnologiile informației, este esențial ca Brigada să lucreze interdisciplinar. Inspectorii trebuie să se informeze și să se formeze continuu, pentru a putea apoi, la rândul lor, informa atât părinții cât și copiii asupra riscurilor și a pericolelor, in primis, în ceea ce privește lumea digitală, mai ales rețelele sociale.
Este o mare responsabilitate pentru că trebuie să ne adaptăm în mod constant, în special în ceea ce privește rețelele sociale: variante noi de astfel de rețele apar în ritm rapid în fiecare an și trebuie să știm, cât mai repede posibil, cât sunt ele de populare în rândul tinerilor, cât sunt de ușor de accesat și ce probleme pot deriva din utilizarea lor. Să luăm exemplul Gossip: această aplicație este o adevărată democratizare a bârfei anonime (nota editorului: ca Whisper, Rumr, Yik Yak sau After School, a căror popularitate și interzicere în școli variază în funcție de țară și de zona lingvistică). Putem astfel distruge onoarea unui prieten sau a unui profesor, în mod complet anonim, cu consecințele pe care vi le puteți imagina.

Laurent Chrzanovski: În afară de aspectul lor “drăguț”, de ce aceste aplicații se bucură de o atât de mare popularitate în rândul tinerilor?

dard-2
Pierre-Alain Dard: Ele combină mai multe elemente: primul – și cel mai puternic – este că acestea sunt gratuite, atât la achiziție cât și la utilizare, și astfel ajung la toate straturile sociale. De asemenea, ele au adesea o latură jucăușă, cu o grafică atractivă. Dar mai ales, ele răspund nevoii pe care am experimentat-o cu toții în tinerețe, de a fi în contact permanent cu colegii. Deși acest lucru nu este nou, totuși noutatea și pericolul acestor instrumente constă în faptul că acest contact se desfășoară acum pe deplin în afara controlului parental, atât în ceea ce privește timpul de utilizare al aplicațiilor cât și conținutul lor.

Laurent Chrzanovski: Ce sfat puteți da părinților preocupați de această problemă?

dard-3Pierre-Alain Dard: Ca tată a doi adolescenți, cred că este iluzoriu să dorim interzicerea sau chiar limitarea utilizării unor astfel de rețele, pentru că am rămâne pe dinafara a tot ce contează în lumea copiilor noștri, din moment ce aceste rețele sunt și instrumentul cu care ei își construiesc prieteniile, și chiar primele relații amoroase. Așa că totul se întâmplă prin dialog, înțelegere și consiliere parentală.
Părinții trebuie să înțeleagă modul în care funcționează aceste aplicații, pentru a fi în măsură să discute despre ele în cunoștință de cauză.
Este nevoie, de asemenea, ca părinții și copiii să știe că în Elveția, există mai multe acțiuni de ordin penal, indiferent dacă se întâmplă în viața “reală” sau “digitală”: hărțuire, calomnie, defăimare, reprezentare a violenței, insulte, amenințări, șantaj (sau tentativă), încălcare a domeniului privat sau propuneri sexuale.
Încrederea părinte-copil bazată pe aceste cunoștințe va facilita în mare măsură o reacție rapidă și corectă în cazul în care copilul este abuzat în vreun fel. Hărțuirea anonimă, în special, poate fi deosebit de dificil de trăit și trebuie raportată cât mai rapid posibil.

Laurent Chrzanovski: Cum putem explica unui adolescent unde se termină “joaca” și unde începe un act de natură penală?

Pierre-Alain Dard: Nu este tocmai simplu. Să luam exemplul sexting-ului. În cazul în care victima a postat ea însăși fotografii cu ea în sutien, acestea nu sunt considerate pornografice din punct de vedere legal. Aplicația Periscope, în special, este problematică, ea permițând unei persoane să se filmeze și să publice imediat filmarea, în timp real, pentru toată lumea. Cei care o vizionează pot trimite comentarii. Următoarele imagini sunt deosebit de îngrijorătoare și șocante, deoarece putem observa propuneri sexuale făcute unor fete tinere, chiar unor copii, fără să uităm că Periscope dezvăluie, în plus, și poziția geografică a persoanei filmate.dard-4
Apoi, în viața reală, părinții ni se adresează nouă, preocupați de faptul că cineva îl hărțuiește pe copilul lor. Și acest lucru este începutul unui proces lung, care începe chiar și în absența plângerii atunci când faptele sunt urmărite din oficiu.
În această privință, în ceea ce privește întrebarea dumneavoastră, prima întrebare pe care inspectorul va trebui să o elucideze este dacă un caz se califică drept infracțiune penală: putem răni foarte grav o o persoană fără a fi infractor; gândiți-vă, de exemplu, la efectul pe care îl poate produce excluderea unui adolescent dintr-un grup WhatsApp! Insultele, amenințările, de exemplu, abundă în rețelele sociale. Trebuie să se aplice atunci un principiu al proporționalității, deoarece nu putem, la prima insultă, convinge un judecător să trimită o scrisoare de solicitare în SUA pentru a descoperi autorul.

Laurent Chrzanovski: Care sunt prioritățile dumneavoastră în cazul difuzării de conținut problematic în rândul adolescenților prin intermediul rețelelor sociale sau al aplicațiilor?

Pierre-Alain Dard: Scopul nostru principal este de a stopa difuzarea, pentru a ne asigura că atât victima, cât și vinovatul sunt conștienți de ceea ce s-a întâmplat. Numai în cazuri grave, concentrăm toate eforturile poliției pentru a trece la întocmirea unui dosar și la condamnarea unui acuzat. Acest lucru se întâmplă în mod sigur atunci când, de exemplu, transmisia a fost însoțită de abuz (autorul amenință cu difuzarea de imagini, de exemplu, pentru a cere bani de la victimă) – fapt deosebit de grav.
În alte cazuri, în schimb, se poate aplica principiul subsidiarității, adică nu trebuie sa dorim cu orice preț să aducem un răspuns judiciar penal. Să luăm exemplul grupurilor WhatsApp. Adolescenții fac parte, de obicei, din grupuri de prieteni. Să presupunem că un membru al grupului trimite tuturor o imagine pornografică reprezentând o tânără minoră. Din punct de vedere legal, adolescentul care o primește și nu o șterge imediat este vinovat de posesie de imagini pedo-pornografice, deoarece această imagine este stocată pe telefonul său mobil.
O bună practică, bazată pe articolul 178d al CPP (oamenii chemați să dea informații), este de a asculta minorul referitor la fapte, sub formă de informare, fără a-l penaliza. Astfel, putem să răspundem rapid, să îl găsim pe cel care a trimis poza și nu neapărat să judiciarizăm și să stigmatizăm toate comportamentele.
Cel mai adesea, contactul cu inspectorii Brigăzii are un impact foarte puternic asupra tinerilor. Vom reuși să împiedicăm răspândirea imaginii, să discutăm cu copilul și cu părinții săi și să atingem un nivel de conștientizare, care declanșează o continuitate de tip educativ, prin activarea partenerilor potriviți din rețeaua noastră. Acești parteneri pot fi, de exemplu, Action Innocence, care vor face cursuri de prevenire în școlile care s-au confruntat cu probleme. Această rețea de contacte este baza gândirii noastre și a muncii noastre per ansamblu.

Autor: Laurent Chrzanovski
Material publicat în Cybersecurity Trends, nr. 2/2016

EDITIE SPECIALA – INTERNET OF THINGS

1574
Pierluigi Paganini Este Chief Information Security Officer la Bit4Id, companie lider în managementul identității, membru al ENISA (European Union Agency for Network and Information...

1312
Mika Lauhde Mika răspunde de Government Relations și Business Development în SSH. Înainte de a se alătura SSH Communica- tions Security, Mika a condus divizia...

2311
Ioan-Cosmin MIHAI Vicepreședinte ARASEC – Asociaţia Română pentru Asigurarea Securităţii Informaţiei Auzim din ce în ce mai des vorbindu-se despre conceptul de Internet al lucrurilor – Internet of Things...

1406
autor: Jean Christophe Schwaab Recent mi-am pierdut cardul de credit şi am solicitat unul nou. În momentul comandării noului card, am cerut în mod explicit să nu...

1357
Laurent Chrzanovski Anul 2015 se anunţă un an record pentru firmele de securitate IT, așa cum reiese foarte clar și din rapoartele financiare pentru Q1 publicate de către...

1355
Laurent Chrzanovski Cu un doctorat în Arheologie Romană obținut de la Universitatea din Lausanne, o diplomă de cercetare postdoctorala în istorie și sociologie la Academia Română,...