Nevoia unor structuri de tip CERT sectoriale (și) private

Nevoia unor structuri de tip CERT sectoriale (și) private

405

Analiza atacurilor cibernetice identificate în perioada ultimilor 2-3 ani evidențiază în primul rând faptul că modalitatea în care este abordată în prezent securitatea infrastructurilor atacate nu este eficientă, iar răspunsurile adecvate nu par a fi prezente nici în ofertele de tehnol ogii și servicii pe care le generează piața globală de profil, nici în măsurile legislative și administrative ale guvernelor.
Această concluzie poate fi susţinută prin analiza calitativă și cantitativă a volumelor uriașe de date generate de platformele dedicate colectării de alerte privind incidentele de Securitate cibernetică care au loc la nivel global. Evoluţia calitativă a atacurilor relevă o utilizare în creștere a unor tipuri de malware din ce în ce mai greu de detectat, indiferent de soluţiile tehnologice destinate detecţiei utilizate la nivelul infrastructurii atacate, iar evoluţiile cantitative generează din ce în ce mai multe date, pentru analiza eficientă a cărora majoritatea instrumentelor tehnologice existente nu demonstrează decât cel mult o valoare adăugată pentru investigaţia postincident.

Nu mi-am propus o analiză a statisticilor din ce în ce mai numeroase care descriu incidentele/atacurile ce se derulează online în ultima perioadă și nici redactarea unei analize tehnice, ci voi încerca să argumentez o potenţială soluţie care ar permite îmbunătăţirea răspunsului mediului de afaceri la ameninţările cibernetice reale, inclusiv printr-un model de business sustenabil și cu efecte directe în costurile pe care le implică reducerea riscurilor de Securitate cibernetică.
Unul dintre factorii care permit atacatorilor, indiferent de natura și motivaţia acestora, să extindă un anumit tip de atac asupra mai multor categorii de infrastructuri din același domeniu de activitate este lipsa de comunicare reală la nivelul segmentului de business ameninţat. De regulă, și aici exemplul cel mai bun este domeniul financiar-bancar, comunicarea între companiile care activează într-un mediu competitiv este limitată, motivele fiind lesne de înţeles. Există numeroase exemple în perioada ultimilor ani când, dacă o bancă care a fost victima unui atac cibernetic reușit ar fi transmis comunităţii date descriptive minimale referitoare la incident

(ex: indicatori de compromitere) – care sub nicio formă nu ar putea conduce la afectarea obiectivelor de afaceri și nici nu ar fi prejudiciat aplicarea reglementărilor privind confidenţialitatea adoptate în domeniul bancar, ar fi fost evitate atacuri similar îndreptate cu succes ulterior asupra altor bănci.

Trecând peste necesitatea implicării autorităţilor de reglementare, dar luând în calcul efectele imediate și pe termen lung ale măsurilor de reglementare care sunt în curs de implementare la nivel national și la nivelul UE (Ex: Directiva NIS, Data Protection), care vor genera efecte pozitive asupra nivelului general de Securitate cibernetică, voi încerca să aduc câteva argumente pentru ca, de exemplu băncile, urmând alte exemple din trecut (ROMCARD, Biroul de Credit etc.) care au fost generate tot ca răspuns la realităţi pe care nu le-au mai p utut ignora, să se organizeze singure, beneficiul final fiind controlul r iscurilor de Securitate și al banilor aruncaţi uneori pe soluţii tehnologice și servicii care se dovedesc inutile într-o situaţie reală: \

  • Constituirea unei structuri de tip CERT private va fi sub controlul total al acţionarilor – orice decizie privind serviciile oferite, structura funcţională, investiţiile și costurile operaţionale;
  • Constituirea într-o structură privată poate fi susţinută pe un model de business, astfel încât, pe baza unei guvernanţe coerente și exploatând nevoia de servicii de pe piaţa de profil, CERT-ul financiar poate deveni o entitate care se autofinanţează într-o perioadă scurtă de timp și de ce nu, în timp, generatoare de profit;
  • Obiectivul principal al unui CERT privat în sectorul financiar bancar este schimbul de informaţii în timp real la nivelul întregului sector, astfel încât să fie asigurat un răspuns adecvat la orice potenţială ameninţare cibernetică;
  • Cooperarea informală și formală cu sectorul public (CERT-RO, CyberINT etc.) ar putea fi realizată prin intermediul acestei platforme, unice, la nivelul întregului sector bancar;
  • Colectarea de date cu un nivel de calitate ridicat referitoare la ameninţările cibernetice care afectează domeniul financiar-bancar poate constitui baza pentru constituirea unui sistem de alerte bazat pe analize proprii, conţinând date validate și evaluări realiste ale riscurilor la care este expus sectorul financiar-bancar din România, evident și prin raportare la contextul global;
  • În cadrul CERT-ului privat se pot dezvolta capabilităţi tehnologice și expertiză specifice avansate de răspuns la incidente de securitate cibernetică, care ar putea completa în situaţii de criză, capabilităţile proprii dezvoltate la nivelul fiecărei entităţi din sistem;
  • Având în vedere perspectiva obligativităţii realizării managementului și raportării incidentelor de Securitate cibernetică la nivelul întregului sistem financiar b ancar, identificat ca furnizor de servicii esenţiale în noua Directivă NIS, o structură de tip CERT susţinută de întregul sector ar putea contribui la eficientizarea gradului de conformitate cu cerinţele legale și costurilor aferente acestui proces;
  • Diversitatea tehnologică care există în sectorul f inanciar-bancar în raport cu soluţiile utilizate pentru reducerea riscurilor de Securitate cibernetică creează dificultăţi majore în ceea ce privește transmiterea de informaţii tehnice între diferite entităţi. Ca și în cazul comunităţilor de tip CERT guvernamentale, utilizarea unor comunicări standardizate poate crea un limbaj comun pe acest segment de activitate, având ca obiectiv final creșterea capacităţii de răspuns la atacuri cibernetice la nivelul întregului sector de business;
  • Nu în ultimul rând, cooperarea la nivel international cu structuri similare este un proces care ar aduce beneficii evidente, atât în perioadele de operare normală, cât și, în special, în situaţii de risc, natura distribuită și globală a unora dintre atacurile cibernetice cu grad ridicat de risc făcând din cooperarea internaţională, bazată pe criterii clare de încredere, un factor decisiv privind capacitatea de protejare reală a infrastructurilor informatice și de comunicaţii utilizate pe scară din ce în ce mai largă în sectorul financiar bancar.
autor: Eduard Bisceanu

Eduard Bisceanu este un expert recunoscut la nivel național în domeniul securității cibernetice, cu competențe în domeniul managementului securității informatice, investigării atacurilor cibernetice complexe și fraudelor prin intermediul instrumentelor de plată electronice, precum și analiza, evaluarea și răspunsul la amenințări cibernetice. După o carieră de 16 ani în cadrul Serviciului Român de Informații și CERT-RO, fiind printre primii specialiști care au abordat domeniul amenințărilor cibernetice la nivel național, Eduard ocupă în prezent poziția de CSO în cadrul UniCredit Bank.