Două breșe, două feluri de a trata omul
de Claudiu Hulea · IT Management Consultant
Faptele sunt publice și verificabile. Paralela dintre ele este opinia noastră.
În aceeași vară, două instituții din România au fost lovite de atacuri cibernetice. Una administrează cadastrul țării — ANCPI. Cealaltă e o bancă — Techventures Bank, fosta Banca Comercială Feroviară. Nu scriu aici despre cine a fost lovit mai tare. Scriu despre altceva, mai puțin vizibil și mai important: reflexul. Ce faci în primele ore și, mai ales, ce îi spui omului din afară.
Nu comparăm gravitatea. Comparăm reflexul.
Un atac cibernetic se poate întâmpla oricui. Nu există infrastructură invulnerabilă, iar a fi victima unui atac nu e, în sine, o rușine. Ce diferă — și ce spune aproape totul despre o organizație — e ce face imediat după. Aici, cele două incidente au arătat două culturi diferite.
Banca a mers pe varianta scurtă și incomodă. A notificat autoritatea — DNSC — în aceeași zi și a cerut sprijin pentru mitigare și investigație. Postura publică a fost, în esență: am fost loviți, investigăm, cerem ajutor. Patru zile mai târziu, un grup de extorcare a revendicat atacul — o alegație a atacatorilor, neconfirmată oficial, care nu schimbă însă esențialul: banca nu a pretins că nu s-a întâmplat nimic.
La cadastru, mesajul public a fost altul. Poziția oficială a fost că datele administrate sunt în siguranță și nu au fost compromise. O formulă menită să liniștească. Problema e ce spunea, în paralel, chiar autoritatea care investiga: directorul DNSC a declarat public că s-au exfiltrat anumite categorii de date — „dar nu o cantitate foarte mare“ — și că atacul putea fi prevenit, prin vulnerabilități cunoscute, notificate anterior, combinate cu credențiale expuse online.
Nu comentez cât de grave sunt datele scoase din sistem; asupra asta va decide ancheta. Comentez tensiunea dintre „nu au fost compromise“ și „s-au exfiltrat anumite categorii de date“. Sunt două mesaje care nu încap ușor în aceeași propoziție. Iar când liniștirea intră în contradicție cu ce se vede, liniștirea devine ea însăși problema.
De ce reacționează diferit
Nu pentru că într-o parte lucrează oameni buni și în cealaltă oameni răi. Ci pentru că cele două răspund unor structuri de responsabilitate diferite.
O bancă e entitate reglementată. Răspunde către BNR, către cadrul DORA și NIS2, către deponenți, către o piață care o poate pedepsi mâine dimineață. În lumea asta, a minimiza un incident e scump și rapid sancționat — raportarea onestă nu e o virtute, e supraviețuire. Cadrul de reglementare face minciuna costisitoare.
Un registru public aflat în monopol răspunde, în practică, mai ales către sine și către ministerul-tutelă. Nu are un concurent la care pleacă clienții și nici un deponent care își retrage banii. Obligația legală există — statul e la fel de supus GDPR și notificării ANSPDCP ca oricine — dar presiunea care transformă obligația în reflex e mult mai slabă. Iar când te raportezi, în esență, la tine însuți, e mai ușor să-ți pui singur un diagnostic blând.
Cine plătește diferența
Nu instituția. Cetățeanul. Și, dintre toți, cel mai expus e omul în vârstă.
O parolă o schimbi. Un card compromis se reemite. Dar numărul cărții funciare, datele din actul de proprietate, informația din cadastru — nu ai cum să le „resetezi“. Rămân acolo, expuse, indiferent câte comunicate liniștitoare apar. Iar un om de șaptezeci de ani, care nu urmărește forumuri de securitate și nu primește alerte pe telefon, nu are cum să afle că datele lui au fost expuse. Nu se poate apăra de un risc despre care nu-i spune nimeni. „Datele nu au fost compromise“ nu e, pentru el, o informație. E o ușă închisă.
Igiena cibernetică e, până la urmă, grija pentru cetățean
Aici e toată discuția. Igiena cibernetică nu e despre tehnologie, e despre grija față de omul care ți-a încredințat datele. Backup-ul izolat, MFA-ul rezistent la phishing, planul de răspuns exersat — toate se reduc la o singură întrebare: când se va întâmpla ce nu vrei să se întâmple, vei proteja cetățeanul sau imaginea instituției?
Sistemele bune nu presupun oameni buni. Presupun reguli care fac minciuna scumpă și adevărul ieftin. Banca a avut cadrul care o împinge spre reflexul corect. Statul, față de propriul cetățean, ar trebui să și-l impună singur — tocmai pentru că nu-l obligă nimeni altcineva.
La Braincap lucrăm exact cu organizațiile pentru care ziua asta e o certitudine, nu o ipoteză: audit de securitate, plan de răspuns la incident, test de securitate. Nu ca să nu fii lovit niciodată — asta nu promite nimeni serios — ci ca să știi, în minute, ce spui și ce faci când ești. Scrie-ne.
Faptele provin din comunicarea publică a instituțiilor și a DNSC și din presa care a preluat-o — detaliile, cu surse, în articolele despre ANCPI și Techventures Bank. Paralela dintre cele două reflexe este opinia noastră. Revendicarea atribuirii în cazul băncii aparține unui grup de extorcare și nu e confirmată oficial.
Întrebări frecvente
Ce obligă o organizație din România să anunțe un incident cibernetic?
Mai multe cadre, cumulativ. GDPR cere notificarea autorității de supraveghere (ANSPDCP) în 72 de ore de la constatarea unei breșe de date cu risc pentru persoane, plus informarea persoanelor afectate când riscul e ridicat. NIS2 adaugă raportarea incidentelor semnificative către DNSC. Pentru bănci, DORA și supravegherea BNR ridică ștacheta: rezistență operațională, raportare și recuperare testată. Obligația de bază se aplică deopotrivă statului și companiei private.
Atunci de ce o bancă anunță și o instituție de stat tinde să liniștească?
Nu pentru că într-o parte ar fi oameni mai buni. Pentru că răspund unor structuri de responsabilitate diferite. O bancă răspunde către BNR, către cadrul DORA/NIS2, către deponenți și către o piață care o poate pedepsi imediat — acolo, a minimiza un incident e scump. Un registru public în monopol răspunde, în practică, mai ales către sine și către ministerul-tutelă, unde presiunea care transformă obligația legală în reflex e mult mai slabă.
De ce e cetățeanul în vârstă cel mai expus?
Pentru că unele date nu se pot „reseta". O parolă o schimbi, un card compromis se reemite — dar numărul cărții funciare, datele din actul de proprietate sau din cadastru rămân expuse indiferent câte comunicate liniștitoare apar. Iar un om care nu urmărește forumuri de securitate și nu primește alerte nu are cum să afle că datele lui au fost expuse, deci nu se poate apăra de un risc pe care nu i-l spune nimeni.
