Strategia de securitate cibernetică a României

Statul român şi-a asumat rolul de coordonator al activităţilor pentru asigurarea securităţii cibernetice, în concordanţă cu demersurile iniţiate la nivelul UE şi NATO. Există în prezent strategii naţionale de securitate cibernetică, precum cele ale Estoniei, Statelor Unite ale Americii, Marii Britanii, Germaniei şi Franţei, care fundamentează necesitatea demersurilor pentru dezvoltarea capabilităţilor proprii de contracarare a atacurilor cibernetice şi stabilesc cadrul de acţiune şi cooperare între diverse entităţi guvernamentale şi nonguvernamentale pentru limitarea consecinţelor.

Prin Hotărârea CSAT nr. 16/2013 şi HG nr. 271/2013 a fost aprobată Strategia de Securitate Cibernetică a României, care stabileşte cadrul conceptual, organizatoric şi de acţiune necesar asigurării securităţii cibernetice şi care vizează protecţia infrastructurilor cibernetice în concordanţă cu noile concepte şi politici din domeniul apărării cibernetice elaborate şi adaptate la nivelul NATO şi al Uniunii Europene.

Strategia de Securitate Cibernetică a României prezintă obiectivele, principiile şi direcţiile majore de acţiune pentru cunoaşterea, prevenirea şi contracararea ameninţărilor, vulnerabilităţilor şi riscurilor la adresa securităţii cibernetice a României şi pentru promovarea intereselor, valorilor şi obiectivelor naţionale în spaţiul cibernetic.

Principalul obiectiv al Strategiei de Securitate Cibernetică a României îl reprezintă crearea unui sistem naţional integrat - Sistemul Naţional de Securitate Cibernetică (SNSC) organism care are rolul de a superviza implementarea coerentă a tuturor măsurilor de prevenire şi reacţie la atacurile cibernetice împotriva instituţiilor publice sau a companiilor private şi care reuneşte autorităţile şi instituţiile publice cu responsabilităţi şi capabilităţi în domeniu.

Scopul SNSC este de a asigura elementele de cunoaştere, prevenire şi contracarare a ameninţărilor, vulnerabilităţilor şi riscurilor specifice spaţiului cibernetic care pot afecta securitatea infrastructurilor cibernetice naţionale, inclusiv managementul consecinţelor.

Obiectivele aferente problematicii securităţii cibernetice care revin în sarcina SNSC sunt transpuse în Planul de acţiune la nivel naţional privind implementarea SNSC, document aprobat prin HG nr. 271 din 15.05.2013 care  conţine sarcinile care revin autorităţilor cu competenţă în domeniu, cu termene de realizare.

 

Organisme la nivel naţional cu atribuţii în domeniul securităţii cibernetice

Consiliul Suprem de Apărare a Ţării este autoritatea care coordonează la nivel strategic activitatea SNSC. Guvernul României, prin Ministerul pentru Societatea Informaţională asigură coordonarea celorlalte autorităţi publice în vederea realizării coerenţei politicilor şi implementarea strategiilor guvernamentale în domeniu.

SNSC include, pe lângă autorităţile publice cu competenţe în materie (Serviciul Român de Informaţii, Ministerul Apărării Naţionale, Ministerul Afacerilor Interne, Ministerul Afacerilor Externe, Ministerul pentru Societatea Informaţională, Serviciul de Telecomunicaţii Speciale, Serviciul de Informaţii Externe, Serviciul de Protecţie şi Pază, Oficiul Registrului Naţional pentru Informaţii Secrete de Stat precum şi Secretarul Consiliului Suprem de Apărare a Ţării), actori din mediul asociativ neguvernamental, profesional şi de afaceri.

Mecanismul de implementare a strategiei de securitate cibernetică la nivel naţional, în plan proactiv/reactiv, este asigurat prin:

• Consiliul Operativ de Securitate Cibernetică (COSC), al cărui Regulament de Organizare şi Funcţionare a fost aprobat prin Hotărârea CSAT nr. 17/2013; COSC este format din reprezentanţi la nivel de secretar de stat din cadrul instituţiilor sistemului de securitate naţională, inclusiv ai MAE şi care realizează coordonarea unitară a SNSC. Funcţia de coordonator tehnic al COSC este asigurată de către Serviciul Român de Informaţii în calitate de Autoritate naţională în domeniul securităţii cibernetice prin intermediul Centrului Naţional Cyberint (CNC) care informează operativ COSC cu privire la apariţia incidentelor cibernetice care pot aduce atingere securităţii naţionale;
• Grupul de Suport Tehnic (GST) – format din reprezentanţi la nivel de expert din cadrul instituţiilor sistemului de securitate naţională reprezentate în cadrul COSC.

COSC raportează CSAT, anual sau ori de câte ori situaţia o impune, cu privire la acţiunile întreprinse, precum şi la evoluţiile înregistrate în spaţiul cibernetic, în special cu referire la incidente sau atacuri cibernetice.

În structura SRI funcţionează Centrul Naţional de Securitate Cibernetică (CNSC) care, în caz de atac cibernetic asupra securităţii cibernetice a României, este punct de contact pentru relaţionarea cu organismele similare din străinătate.

Constituirea, la nivel naţional, a Sistemului Naţional de Alertă Cibernetică (SNAC), reprezintă principalul mijloc al SNSC destinat prevenirii şi contracarării activităţilor de natură să afecteze securitatea cibernetică. SNAC instituie Nivelurile de Alertă Cibernetică (NAC), pe baza evaluării procesului de Management al Riscurilor la adresa securităţii cibernetice a României.

Coordonarea tehnică a activităţii SNAC şi controlul măsurilor specifice fiecărui nivel de alertă, propuse în cadrul COSC şi aprobate de CSAT, se realizează de către CNC.

Strategia de Securitate Cibernetică a României prevede, de asemenea, dezvoltarea entităţilor de tip CERT (structuri specializate în înţelesul art. 2 lit. a. din Hotărârea Guvernului nr. 494/2011 privind înfiinţarea Centrului Naţional de Răspuns la Incidente de Securitate Cibernetică - CERT-RO), atât în cadrul sectorului public, cât şi în sectorul privat.

CERT- RO este o structură independentă de expertiză şi cercetare-dezvoltare în domeniul protecţiei infrastructurilor cibernetice, care dispune de capacitatea necesară pentru prevenirea, analiza, identificarea şi reacţia la incidentele de securitate cibernetică ale sistemelor informatice ce asigură funcţionalităţi de utilitate publică ori asigură servicii ale societăţii informaţionale. CERT-RO se află în coordonarea Ministerului pentru Societatea Informaţională şi este finanţat integral de la bugetul de stat. Conform H.G. 494/2011, act normativ ce reglementeaza activitatea centrului, CERT-RO poate emite alerte şi atenţionări cu privire la activităţi premergătoare atacurilor cibernetice.

 

Legea privind Securitatea Cibernetică a României

Conform angajamentelor asumate, România a întreprins măsuri pentru a elabora cadrul normativ naţional în domeniul securităţii cibernetice armonizat cu prevederile legislaţiei internaţionale, care să răspundă cerinţelor internaţionale şi care să faciliteze, pe baze voluntare, cooperarea bilaterală şi schimbul prompt şi eficient de informaţii între autorităţile competente pentru combaterea utilizării infrastructurilor critice ICT în scopuri teroriste sau criminale.

Ministerul Comunicaţiilor şi pentru Societatea Informaţională (MCSI) a lansat la 28 ianuarie 2016 în dezbatere publică, pe propria pagină de Internet[1], un nou proiect de Lege privind Securitatea Cibernetică a României. Noul proiect a fost întocmit fiind luate în considerare criticile aduse prin Decizia nr. 17/2015 a Curţii Constituţionale a României (CCR) asupra obiecţiei de neconstituţionalitate a dispoziţilor primului proiect de Lege privind Securitatea Cibernetică a României lansat în aprilie 2014.

Noul act normativ se adresează autorităţilor şi instituţiilor publice, persoanelor juridice deţinătoare de infrastructuri cibernetice care susţin servicii publice sau de interes public, ori servicii ale societăţii informaţionale, a căror afectare aduce atingere securităţii naţionale sau prejudicii grave statului român sau ceteţenilor acestuia. De asemenea, legea se aplică: persoanelor juridice, deţinătoare de infrastructuri cibernetice care prelucrează date cu caracter personal, furnizorilor de reţele publice de comunicaţii electronice, furnizorilor de servicii de comunicaţii electronice destinate publicului, furnizorilor de servicii găzduire Internet şi furnizorilor de servicii de securitate cibernetică.

În plus, în cadrul proiectului se menţionează că furnizorii de servicii de găzduire de internet care desfăşoară activităţi pe teritoriul României au obligaţia de a-şi notifica utilizatorii şi abonaţii deîndată ce au fost sesizaţi de autoritatea competentă, dar nu mai târziu de 24 de ore din momentul în care au fost sesizaţi de autorităţile competente potrivit prezentei legi, cu privire la situaţiile în care sistemele informatice utilizate de aceştia au fost implicate în atacuri cibernetice şi de a recomanda măsurile necesare în vederea restabilirii condiţiilor normale de funcţionare.

Mai mult, aceeaşi furnizori trebuie să acorde sprijin autorităţilor competente, respectiv organelor de urmărire penală, pentru punerea în aplicare, potrivit legii, a oricărui act de autorizare a restrângerii temporare a exerciţului drepturilor şi libertăţilor persoanelor, emis de către judecător.

Normele metodologice de aplicare a prezentei legi se elaborează de Ministerul Comunicaţiilor şi pentru Societatea Informaţională (MCSI) şi se supun aprobării Guvernului în termen de 90 de zile de la publicarea acesteia în Monitorul Oficial al României, Partea I.