Interviu în exclusivitate cu Brig. Gen. Anton Rog, Director General al Centrului...

Interviu în exclusivitate cu Brig. Gen. Anton Rog, Director General al Centrului Naţional Cyberint

14

Laurent Chrzanovski: Despre dumneavoastră. După ani dedicați proiectării, dezvoltării și asigurării bunei funcționări a sistemelor IT&C – ați ajuns în poziția de director adjunct al departamentul IT&C al SRI – ați trecut astfel „de partea cealaltă a baricadei”, respectiv să apărați și protejati sistemele IT&C. Ce v-a determinat să luați această decizie de schimbare, ceva ce puțini specialiști IT fac?

Anton Rog: Este adevărat că lucrez în Serviciul Român de Informaţii de peste 20 de ani, iar până la începutul anului 2017 mi-am desfășurat activitatea într-o zonă cu mai multe valenţe tehnice. Nu eu am ales să schimb tabăra în zona aceasta, ci conducerea SRI a considerat că, la momentul respectiv, reprezint o opţiune bună pentru conducerea Centrului Naţional Cyberint, postul fiind liber în urma pensionării comandantului anterior. Deși am considerat că profilul meu, unul bazat pe dezvoltare și creativitate, nu este compatibil cu munca specifică securităţii cibernetice, în realitate s-a dovedit că am reușit o asimilare rapidă și o integrare foarte bună în colectivul de lucru, prin urmare, pot spune am beneficiat de un „wild card” din partea SRI pe care am încercat să-l valorific cât mai bine.

Laurent Chrzanovski: Pay-per-service. Spre deosebire de majoritatea statelor UE, serviciile dumneavoastră apără întreaga țară fără vreo recompensă suplimentară. Astfel, dacă la nivelul administrației publice centrale există foarte puține servicii electronice, sunt totuși câteva municipalități precum cea de la Sibiu care asigură accesul cetățenilor la mult prea multe documente sensibile (taxe, cadastru, situație familială, etc,) și pun la dispoziție plata online a taxelor, serviciilor, amenzilor. În Franța un astfel de oraș ar putea să aleagă pentru asigurarea securității între Agenția Națională de Securitate a Sistemelor Informaționale (ANSSI) și o companie privată. În România acest lucru este posibil doar în cazul transferului unor artefacte importante între muzee diferite – există varianta de a plăti o escortă din partea Jandarmeriei sau de a alege o firmă privată de securitate dintre cele aprobate de către stat. Ce părere aveți despre această situație și cum se poate aplica în România, luând în considerare avantajele și dezavantajele?

Anton Rog: Într-adevăr, la nivelul României nu sunt implementate online toate evenimentele de viaţă – precum nașterea, căsătoria etc. – implementarea acestora fiind un proces în desfășurare, dar plata taxelor și a impozitelor se realizează online în mai multe orașe din România, nu doar în Sibiu, inclusiv în acest grup evident și capitala București. Referitor la comparaţia cu modelul francez, consider că fiecare stat membru își definește propria legislaţie, în România existând un punct unic pentru plata taxelor și impozitelor, respectiv site-ul www.ghiseul.ro care este gestionat de Agenţia pentru Agenda Digitală a României și susţinut de Asociaţia de Plăţi Electronice din România. Cel mai important aspect, în acest caz, este ca eventualele comisioane să nu se răsfrângă asupra contribuabililor, pe site-ul www.ghiseul. ro existând aproximativ jumătate de milion de utilizatori activi care își pot plăti taxele fără comision, în timp real.

 

 

Laurent Chrzanovski: Atribuiri reale vs. atribuiri politice: în cadrul unor conferințe recente, ați men ționat atribuiri îndeplinite cu succes de către CYBERINT în urma investigațiilor de anvergură asupra unor atacuri concrete, însă la nivelul mass media internaționale citim aproape doar despre atribuiri politice. Credeți că mass media UE se va maturiza vreodată suficient astfel încât să relateze doar exemple precum cele puse la dispoziție de dumneavoastră? Sau acestea vor fi neglijate în favoarea atribuirilor imediate care asigură acel element de „breaking news”? Ce ar putea fi făcut pentru încurajarea mediatizării unor cazuri reale cu luni de muncă în spate?

Anton Rog: Ambele tipuri de atribuiri sunt la fel de importante, respectiv atribuirea tehnică și atribuirea politică, cea de-a doua bazându-se pe prima. Centrul Naţional Cyberint este principalul actor în realizarea atribuirilor tehnice ale atacurilor cibernetice susţinute de actori statali. În ţara noastră s-a creat un mecanism prin care, sub semnătura Președintelui României, putem fi parte în iniţiative internaţionale de tipul „blame and shame”, cu impact mediatic major. Cu titlu de exemplu, în anul 2018, am făcut parte dintr-un astfel de demers internaţional privind atribuirea valului de atacuri din campania APT28, alături de iniţiator – Marea Britanie, cât și de SUA și alte state membre din cadrul Uniunii Europene. În opinia mea, este importantă mediatizarea atribuirii politice fundamentate pe atribuirea tehnică întrucât, doar în acest caz, impactul poate fi cel așteptat. Odată ce astfel de atacuri cibernetice sunt descoperite și atribuite statului autor de către majoritatea statelor victimă, într-un efort comun conjugat, ajung cu siguranţă să facă obiectul unei mediatizări consistente la nivel internaţional.

Laurent Chrzanovski: Până acum 5 ani, majoritatea agențiilor Statelor UE precum este și SRI, menționau în mod constant utilizarea cu succes a „honeypots”. Acest termen este însă acum dat uitării. Acest lucru se întâmplă deoarece se practică în mod general distragerea atenției „băieților răi” sau dimpotrivă, pentru că tehnologiile permit atacatorilor să fie recunoscuți mai ușor?

Anton Rog: În evoluţia fenomenului securităţii cibernetice, „honeypots” au jucat și joacă rolul lor, dar nu pot fi considerate soluţii pentru orice tip de atacuri cibernetice. Atunci când discutăm despre atacuri statale, malware-ul utilizat este extrem de complex și capabil în multe situaţii să detecteze astfel de „honeypots”. O zonă în care această soluţie mai produce rezultate este cea a criminalităţii cibernetice clasice care urmărește obţinerea câștigurilor financiare prin mijloace cyber – infracţionale.

Laurent Chrzanovski: Retaliere și proactivitate: anul trecut, cetățenii elevețieni au votat într-un număr mare în favoarea permiterii poliției cantonului și a omologului SRI, FedPol, să creeze, sub supravegherea unui procuror, profile false pe social media pentru unele afaceri precum și alte instrumente necesare pentru urmărirea și intervenția în caz de fraudă incipientă, spionaj economic sau sabotaj operațional. De asemenea, de ani buni, colegii dumneavoastră din Olanda și India au drepturi legale de a răspunde în caz de atac. Puteri majore fac acest lucru în mod curent prin intermediul propriilor agenții sau al unor firme private. Ce părere aveți despre această situație? Ar fi un avantaj pentru securizarea spațiului cibernetic românesc dacă ați avea aceste drepturi? Sau doar ar crește numărul oamenilor și tehnicilor necesare pentru îndeplinirea acestor atribuții fără a exista un rezultat justificat?

Anton Rog: Consider că astfel de instrumente pot sprijini proactiv și foarte eficient prevenirea ameninţărilor din spaţiul cibernetic și pot ajuta la investigarea unor incidente care s-au produs deja. Din păcate, în România, nu avem încă o lege care să reglementeze securitatea și apărarea cibernetică, și care să permită actorilor implicaţi să utilizeze astfel de instrumente extrem de utile. Totuși, legislaţia internaţională în care România este parte permite acesteia utilizarea unor măsuri de retaliere progresive în caz de agresiuni cibernetice. Dovedirea legăturii dintre actorul cibernetic și actorul statal deţine o importanţă deosebită deoarece, doar prin îndeplinirea acestei condiţii, prevederile legislaţiei internaţionale pot fi aplicate.

Laurent Chrzanovski: Din perspectiva unui parteneriat public-privat,  care sunt proiectele pe care v-ați dori să le implementați în anii următori pentru o România mai sigură? Ce s-a implementat deja și ce rămâne încă de făcut?

Anton Rog: Între principalele perspective pe care Centrul Naţional  Cyberint dorește să le realizeze în parteneriat public-privat, menţionez consolidarea programelor universitare în cele 21 de universităţi care au agreat să înceapă programe de studii aprofundate în domeniul securităţii cibernetice, de scurtă durată și master, precum și continuarea proiectului pilot pentru introducerea noţiunilor de securitate și igienă cibernetică în programa școlară a liceelor naţionale cu profil informatic. Totodată, un alt obiectiv îl reprezintă creșterea calităţii exerciţiilor naţionale prin asigurarea unui număr constant de jucători și observatori – un astfel de exemplu fiind Exerciţiul naţional de securitate cibernetică, CyDEx – dar și consolidarea conferinţelor naţionale pe securitate cibernetică, cum sunt Conferinţa internaţională „Parteneriatul strategic România-SUA în domeniul securităţii cibernetice” și Congresul „Cybersecurity – Romania” organizat la Sibiu. La nivel legislativ, este extrem de importantă punerea în practică, într-un mod mai accelerat, a prevederilor Directivei NIS, fapt ce va conduce la creșterea securităţii operatorilor de servicii IT și servicii esenţiale, precum și la crearea unei pieţe solide de securitate cibernetică în România. Nu în ultimul rând, în plan instituţional, consider că ar trebui creat un hub de schimb de informaţii între principalii actori cu responsabilităţi în securitate cibernetică din instituţiile publice din România, acesta putând fi construit după modele consacrate din alte state, precum SUA, Marea Britanie sau Israel.

Autor: Laurent Chrzanovski

BIO

General de brigadă Anton Rog, Director Centrului Național Cyberint din cadrul Serviciului Român de Informații (SRI). Cyberint este responsabil pentru desfășurarea 24/7 a activităților de a descoperi, caracteriza și combate proactiv amenințările cibernetice împotriva sistemelor și rețelelor critice pentru securitatea națională a României. Anton Rog a deținut numeroase poziții de dezvoltare tehnică, inclusiv proiectarea de software și sisteme. De asemenea, a fost director adjunct al departamentului central SRI IT & C. Este activ cu comunitatea academică ca profesor asociat la DRESMARA Brașov. Anton Rog a absolvit Universitatea din București în 1998 cu o diplomă de licență B.S. în domeniul tehnologiei informației, iar în 2011 a obținut o diplomă postuniversitară în managementul programelor și al proiectelor de la DRESMARA. A fost desemnat Cavaler al Ordinului Omul și Credința în 2014 și Cavalerul Ordinului Virtuţii Militare în 2005 de doi președinți ai României.