Legi privind Securitatea Cibernetica: tot ce trebuie sa stii despre asta

La 27 ianuarie 2016 a fost postat, pe site-ul Ministerului Comunicatiilor si pentru Societatea Informationala, proiectul de lege privind securitatea cibernetica a Romaniei. Amintim faptul ca in anul 2015 Curtea Constitutionala a criticat dispozitiile legii securitatii cibernetice, avand ca urmare revizuirea acesteia. Proiectul de lege se afla in dezbatere publica timp de 30 de zile, timp in care opinia publica isi poate manifesta punctele de vedere cu privire la acesta. Daca vrei sa stii ce este securitatea cibernetica, care este legea securitatii cibernetice, care este strategia de securitate cibernetica a Romaniei si ce impact poate avea lipsa de securitate cibernetica in compania ta, citeste materialul de mai jos. 

Ce este securitatea cibernetica

Securitatea cibernetica se refera la intreg procesul desfasurat pentru prevenirea atacurilor cibernetice ale caror victime pot fi persoanele fizice sau companiile. Daca impactul asupra omului de rand este ridicat, riscand astfel furtul de identitate sau spargerea conturilor personale, in cadrul companiilor situatia este mult mai dramatica acestea riscand pierderi masive de ordin financiar, pierderi de infromatii confidentiale, impact asupra imaginii companiei sau chiar intreruperea temporara sau definitiva a activitatii. Protocoalele de securitate cibernetica au rolul de a preveni aceste atacuri. In paragraful urmator vom descoperi cateva notiuni de securitate cibernetica.

Notiuni de securitate cibernetica

Exista cateva notiuni de baza ce trebuie luate in calcul atunic cand discutam despre securitate cibernetica. In primul rand compania trebuie sa constientizeze existenta unui risc si sa identifice datele ce trebuie protejate. Apoi, trebuie identificate metodele, sau mai degraba software-ul ce va fi utilizat. In acest caz putem discuta despre programe antivirus, firewall sau software de back-up ce permite stocarea datelor cu caracter sensibil. Mai apoi trebuie sa ne gandim la personal, adica exact indivizii care vor participa in procesul de protectie a datelor, oamenii care evident trebuie sa fie instruiti. Nu in ultimul rand, trebuie implementate procese pentru intreaga operatiune. 

Strategia de securitate cibernetica a Romaniei

Asa cum mentionam si la inceputul articolului, proiectul de lege se adreseaza „autoritatilor si institutiilor publice, persoanelor juridice detinatoare de infrastructuri cibernetice care sustin servicii publice sau de interes public, ori servicii ale societatii informationale, a caror afectare aduce atingere securitatii nationale sau prejudicii grave statului roman sau cetatenilor acestuia. De asemenea, legea se aplica: persoanelor juridice, detinatoare de infrastructuri cibernetice care prelucreaza date cu caracter personal, furnizorilor de retele publice de comunicatii electronice, furnizorilor de servicii de comunicatii electronice destinate publicului, furnizorilor de servicii gazduire Internet si furnizorilor de servicii de securitate cibernetica."

In categoria serviciilor societatii informationale este inclus orice serviciu pe Internet, de la un serviciu online si pana la un site de stiri ori un magazin online. Conform proiectului de lege, toti acesti furnizori vor fi nevoiti sa notifice orice incident de securitate cibernetica identificat catre o autoritate a statului, sa elaborareze si sa implementeze politici si planuri de securitate cibernetica, cu respectarea cerintelor minime de securitate, acest lucru insemnand sa adopte masuri tehnice si organizatorice pentru managementul incidentelor de securitate cibernetica. Legea are un efect negativ asupra mediului privat, in sensul in care companiile sunt nevoite sa stabileasca daca sunt sau nu structuri cibernetice de interes national, ingreunand astfel si procesul de promovare a antreprenoriatului digital.

In cadrul proiectului de lege este introdusa o noua categorie, anume aceea a „furnizorilor de servicii de securitate", categorie ce nu este reglementata in continutul legii, creand astfel confuzie si lasand loc la noi interpretari. Aceasta categorie trebuie sa fie concis reglementata in cadrul acestei legi, in cazul in care aceasta va intra in vigoare.

Proiectul de lege privind securitatea cibernetica a Romaniei face referire cu precadere la securitatea statului in sine, mai putin la securitatea datelor personale ale fiecarui individ in parte, desi prezentul act normativ isi doreste sa „contribuie la asigurarea protejarii, in spatiul cibernetic, a dreptului cetatenilor la viata intimă, familiala si privata, in special a datelor cu caracter personal gestionate de catre detinatorii de infrastructuri cibernetice".

In articolul 16 se precizeaza ca „evaluarea potentialului impact asupra securitatii infrastructurilor cibernetice prin compromiterea confidentialitatii, integritatii, disponibilitatii sau autenticitatii datelor, resurselor se realizeaza pe baza unor criterii precum: prejudiciul adus statului roman, prejudiciul produs in planul securitatii nationale, afectarea vietii si sigurantei nationale, afectarea increderii utilizatorilor in serviciile oferite, afectarea relatiilor internationale in care Romania este angrenata sau intreruperea furnizarii serviciului afectat."

Asociatia pentru Tehnologie si Internet (APTI) a facut mai multe propuneri pentru imbunatatirea proiectului de act normativ referitor la securitatea cibernetica. Acestia considera ca prevederile ar trebui sa se aplice doar detinatorilor de infrastructuri nationale de interes public, nu tuturor persoanelor juridice, ca raportarea incidentelor de securitate ar trebui sa se faca unei singure autoritati cu competente tehnice reale si ca sectorul privat ar trebui implicat in mod activ in domeniul securitatii cibernetice, nu sa fie tratat ca un simplu raportor de incidente de securitate.

Legi ale securitatii cibernetice din Romania

La data de 12 ianuarie 2019 s-a pus in vigoare legea nr. 362/2018 ce prevede asigurarea unui nivel ridicat de securitate a retelelor si sitemelor informatice, in conformitate cu Directia NIS nr. 1148/2016 ce aliniaza tara noastra la cadrul european de raspuns la incidente de securitate cibernetica. 

Noile reglementari vizeaza securitatea pentru acele sectoare ce deservesc activitatii vitale pentru economie si societate precum operatorii de servicii esentiale, fie ele persoane fizice sau juridice, de stat sau private: energie, transport, bancar, piata financiara, santate, infrastructura digitala, apa potabila. 

Autoritatea competenta la nivel national pentru securitatea retelelor si a sistemelor informatice este Centrul National de Raspuns la Incidente de Securitate Cibernetica (CERT-RO)

Securitatea cibernetica intr-o firma

Fiecare firma trebuie sa aiba pus la punct un plan de securitate cibernetica, preferabil care sa urmeze urmatoarele puncte:

• Realizarea unui inventar al datelor;
• Organizarea datelor in locatii potrivite;
• Dezvoltarea unei politici de confidentialitate;
• Protejarea datelor colectate de pe internet;
• Crearea structurilor de securitate;
• Planul pentru contracararea pierderii sau furtului datelor.

Lipsa securitatii cibernetice

Lipsa securitatii cibernetice este inaceptabila in societatea actuala, fie ca discutam despre persoane fizice sau despre firme. Asa cum nu ti-ai lasa usa descuita la casa sau la masina, asa nu trebuie sa treci cu vederea protocoalele de siguranta atunci cand lucrezi cu date personale si informatii sensibile, mai ales cand si alte persoane depind de buna functionare a afacerii sau intreprinderii tale. Preventia merita investitia ta! 

Pentru servicii legate de conformitatea cu GDPR si securitate cibernetica, ne puteti scrie pe office@decalex.ro.