Impactul amenințărilor cibernetice la adresa securității naționaleAmeninţări asimetrice la adresa securităţii naţionale

Prof. coordonator: Veronica MIHALACHE

Studenţi: Mihai GEORGESCU

Armand PRIESCARU

I. INTRODUCERE. CADRU LEGISLATIV

Dezvoltarea accelerată a electronicii în ultimele decenii a dus la apariţia şi extinderea calculatoarelor – definite ca mecanisme, aparate electronice capabile să prelucreze date şi să folosească programe (seturi de instrucţiuni) stocate în memorie pentru a rezolva probleme, prin acceptarea de date, executarea operaţiilor asupra datelor (procesare – de exemplu, stocarea, sortarea, întâmpinarea, ştergerea datelor etc.) şi furnizarea rezultatului acestor operaţii.

Rolul pregnant al informaticii în zilele noastre este ilustrat şi de faptul că însuşi statul român susţine procesul de informatizare a societăţii şi evoluţia acesteia către o societate bazată pe informaţii, denumită societatea informaţională.

Sistemul s-a dezvoltat exponenţial şi la ora actuală se apreciază că Internetul cuprinde câteva zeci de milioane de calculatoare şi zeci de mii de reţele locale, peste 15 milioane de utilizatori navighează în fiecare moment prin Internet, folosind serviciul Web (WWW – World Wide Web).

Internet-ul creează un imens potenţial de dezvoltare în toate domeniile vieţii sociale, aplicaţiile sale fiind practic inepuizabile. Tehnologia oferită deschide însă noi orizonturi comiterii de infracţiuni, fie „clasice” – furtul, înşelăciunea, fie specifice – asupra cărora vom reveni, cu un caracter înalt sofisticat.

Uşurinţa în utilizare, costul scăzut, rapiditatea şi asigurarea unui caracter anonim fac din Internet un mediu propice infracţiunilor. Datorită caracterului global al reţelei şi uriaşei complexităţi, posibilităţile „de ascundere” ale autorului sunt practic nelimitate, încurajând şi din acest motiv săvârşirea de infracţiuni.

Pentru descoperirea unor asemenea fapte este necesară o înaltă specializare şi folosirea unor tehnologii sofisticate, care trebuie însă să ţină pasul cu mijloacele şi metodele folosite de infractori. Mai mult, deşi accesul la reţea este global, investigarea infracţiunilor săvârşite în acest mod – care pot avea caracter transfrontalier – se loveşte de barierele naţionale, de lipsa sau insuficienţa unor reglementări (incriminări) internaţionale în materie şi chiar de lipsa incriminărilor specifice din legislaţiile naţionale, rămase cu mult în urma dezvoltării fenomenului.

În general, deşi diversitatea faptelor săvârşite prin intermediul Internet-ului este uriaşă, acestea sunt incriminate în legislaţia comună, care nu acoperă însă toate situaţiile specifice acestui mijloc de săvârşire. De exemplu, hărţuirea electronică, care poate deveni foarte periculoasă datorită posibilităţilor pe care le are făptuitorul de a-şi păstra anonimatul şi mai ales de a exercita actele de hărţuire, fiind pus într-o poziţie foarte avantajoasă, care îl încurajează – neputinţa de localizare şi lipsa contactului fizic, direct cu victima sunt de natură să înlăture anumite bariere psihologice (inhibiţii) ale făptuitorului şi, în acelaşi timp, să amplifice temerea victimei.

În anumite forme de săvârşire, faptele de hărţuire electronică pot fi încadrate în infracţiuni ca ameninţarea, hărţuirea sexuală sau şantajul, dar nu se reduc la acestea.

Civilizaţia informaţiei, având ca politică globalizarea informaţiilor şi afacerilor, acceptarea intruziunilor economice şi culturale, într-o sfidare a naţionalismului şi a graniţelor, a dus la aşa-numita „nouă ordine informatică” şi la „războiul informatic” (infowar), acesta înglobând strategiile războiului electronic, ofensiv şi defensiv, războiul economic şi tehnicile războiului psihologic, inclusiv arta informării şi dezinformării.

Principalele infracţiuni săvârşite pe Internet privesc încălcarea drepturilor de autor – referitor la protecţia programelor, informaţiilor, bazelor de date etc., fraudele informatice, accesul neautorizat la sistemele informatice şi alte infracţiuni săvârşite prin intermediul reţelelor de comunicaţii.

Infracţiunile informatice ar putea fi clasificate, potrivit recomandărilor Consiliului Europei (lista minimală), în opt categorii:

1) frauda informatică – constând în orice ingerinţă într-un sistem informatic care îi influenţează rezultatul, cauzând prin aceasta un prejudiciu, cu intenţia de a obţine un avantaj material pentru sine sau pentru altul;

2) falsul informatic; 3) fapte care prejudiciază datele sau programele pentru calculator; 4) sabotajul informatic; 5) accesul neautorizat;

6) intercepţia neautorizată; 7) reproducerea neautorizată a unui program de calculator protejat; 8) reproducerea neautorizată a unei topografii. Legiuitorul român a dat eficienţă cerinţelor prevenirii şi combaterii infracţiunilor specifice

săvârşite prin intermediul reţelelor de comunicaţii, inserând în cuprinsul Legii nr. 161/2003 în Cartea I - Titlul III – „Prevenirea şi combaterea criminalităţii informatice” – 3 categorii de infracţiuni, care răspund exigenţelor impuse de recomandările forurilor europene.

Capitolul III al Titlului III – „Infracţiuni şi contravenţii” conţine, în secţiunile 1-3, un număr de 8 infracţiuni.

Prima infracţiune, prevăzută în art. 42 din Secţiunea 1 – Infracţiuni contra confidenţialităţii şi integrităţii datelor şi sistemelor informatice – incriminează, în alin. 1, accesul fără drept la un sistem informatic.

Este infracţiunea tipică pentru domeniul criminalităţii informatice. Subiectul activ poate fi orice persoană, având, desigur, o anumită pregătire în domeniul calculatoarelor deoarece fapta poate fi de mare tehnicitate.

Subiectul pasiv este proprietarul sau utilizatorul – instituţie, persoană juridică sau persoană fizică – sistemului informatic.

Obiectul juridic al infracţiunii este reprezentat de relaţiile sociale în legătură cu securitatea, inviolabilitatea sistemelor informatice.

Ca şi celelalte infracţiuni din secţiunile 1 şi 2, infracţiunea de acces fără drept are şi un obiect material, constând în suporturile pe care sunt stocate datele (programele) sistemelor informatice.

Fapta poate avea şi o urmare materială, dacă s-a produs o deteriorare, modificare, ştergere etc. de orice fel a datelor sau programelor informatice ale sistemului informatic sau o perturbare a funcţionării acestuia ori o pagubă materială, urmare a afectării funcţionării sistemului.

Pericolul cel mai mare al acestor infracţiuni îl constituie caracterul lor transfrontalier. Accesul neautorizat, indiferent de motivaţia autorului – de exemplu plăcerea de a se infiltra, dorinţa de a ameliora protecţia datelor sau de a sfida sistemul de securitate – este periculos pentru că poate conduce la erori, eşecuri, blocaje sau chiar la opriri anormale ale sistemului informatic. Din cauza neglijenţei sau a insuficienţei nivelului de securitate pot fi distruse datele, pătrunderile fiind apoi utilizate pentru comiterea de fraude financiare sau pentru modificarea unor date înregistrate.

Pe de altă parte, orice sistem informatic, oricât de sofisticate ar fi măsurile de securitate, este supus riscului unui acces neautorizat, aşa cum s-a dovedit în practică.

De exemplu, pe 18 septembrie 1996 a fost accesată fără drept pagina Web a C.I.A. – considerată un adevărat bastion al tehnologiei – ceea ce a dus la închiderea sa, în dimineaţa următoare, de către reprezentanţii agenţiei. De asemenea, în luna august 1996 s-a reuşit „spargerea” paginii Web a Ministerului Justiţiei din S.U.A. În ambele cazuri autorii au rămas neidentificaţi până astăzi.

Art. 42 incriminează, în alin. 2 şi 3, în formele calificate ale infracţiunii, săvârşirea faptei în scopul obţinerii de date informatice şi, respectiv, prin încălcarea măsurilor de securitate, pedepsite cu închisoare de la 6 luni la 5 ani, în primul caz, şi de la 3 la 12 ani, în cel de al doilea.

Art. 43 incriminează interceptarea, fără drept, a unei transmisii de date informatice care nu este publică şi care este destinată unui sistem informatic, provine dintr-un asemenea sistem sau se efectuează în cadrul unui asemenea sistem, precum şi interceptarea fără drept a unei emisii electromagnetice provenite dintr-un sistem informatic ce conţine date informatice care nu sunt publice.

Obiectul juridic îl reprezintă relaţiile sociale în legătură cu confidenţialitatea şi exclusivitatea comunicaţiilor, atribute ale vieţii private, ocrotite penal.

Obiectul material constă în suporturile materiale prin care se realizează comunicaţiile. Intercepţia comunicaţiilor de date în tranzit sau a emisiilor electromagnetice ale unui sistem informatic, dacă datele transmise sau emise nu sunt publice, constituie o violare gravă a caracterului privat al comunicaţiilor, mai greu depistabilă decât interceptarea conversaţiilor prin viu grai sau telefonice şi cu efecte mai grave, datorită caracterului datelor care sunt transmise sau emise în acest mod.

Infracţiunile prevăzute în art. 44 şi 45 privesc fapte care afectează integritatea fizică a datelor informatice sau posibilitatea de acces la acestea.

Potrivit art. 44 alin. 1, fapta de a modifica, şterge sau deteriora date informatice ori de a restricţiona accesul la aceste date, fără drept, se pedepseşte cu închisoare de la 2 la 7 ani.

Alin.2 şi 3 ale art. 44 incriminează transferul neautorizat de date dintr-un sistem informatic, respectiv dintr-un mijloc de stocare a datelor informatice, pedeapsa fiind, în aceste cazuri, închisoarea de la 3 la 12 ani.

Incriminarea are în vedere consecinţele grave pe care le pot avea faptele de alterare a datelor informatice sau de transfer neautorizat al acestora nu numai asupra sistemelor informatice, ci şi asupra economiei, finanţelor, apărării naţionale ş.a.m.d., în condiţiile tehnologizării crescânde şi ale folosirii calculatoarelor pentru a stoca nu numai simple informaţii, ci date cu relevanţă juridică deosebită – privind operaţiuni financiare, evidenţa populaţiei, date importante pentru securitatea naţională etc.

Chiar dacă frecvenţa acestor fapte este – deocamdată – relativ redusă, urmările pot fi deosebit de grave, chiar catastrofale, prin perturbarea sau scoaterea din funcţiune a unor sisteme informatice.

Obiectul juridic este complex şi constă în relaţiile sociale care ocrotesc atât corecta funcţionare, la parametri optimi, a sistemelor informatice, cât şi încrederea în buna funcţionare sau utilizare a datelor sau programelor informatice.

Obiectul material al infracţiunii constă în suportul material al datelor sau programelor informatice – hard disc, disc compact, dischetă etc..

Modificarea presupune înlocuirea unor date cu altele – anume sau alese întâmplător – sau adăugarea unor date noi în completarea celor existente, stocate deja, schimbându-le astfel semnificaţia.

Ştergerea reprezintă îndepărtarea materială a datelor, prin acţionarea asupra suportului lor material – distrugerea suportului de date, supraimprimarea benzii magnetice, modificarea tabelei de alocare a fişierelor, ştergerea conexiunilor necesare etc.

Prin deteriorare trebuie înţeleasă orice acţiune care are ca rezultat ştergerea parţială a datelor sau îngreunarea „citirii” acestora.

În lipsa unei definiţii legale, opinăm că noţiunile de „a şterge” şi „a deteriora” nu sunt foarte clar delimitate, deteriorarea putând însemna, după cum am arătat, o ştergere parţială.

Formele calificate ale infracţiunii, constând în „transferul neautorizat de date”, au în vedere pericolul sporit al unor asemenea fapte, care reprezintă, în acelaşi timp, modificări într-un anumit sistem şi ştergeri sau deteriorări în alt sistem, iar consecinţele pot fi mult mai importante decât în cazul unei simple modificări de date.

Art. 45 incriminează perturbarea gravă, fără drept, a funcţionării unui sistem informatic, prin introducerea, transmiterea, modificarea, ştergerea sau deteriorarea datelor informatice sau prin restricţionarea accesului la aceste date.

Pedeapsa prevăzută este închisoarea de la 3 la 15 ani, mai mare decât pentru forma calificată a infracţiunii prevăzute de art. 44.

Se observă că modalităţile, alternative, de săvârşire a infracţiunii sunt prevăzute limitativ – în număr de 6 – şi, cu excepţia primelor două, în ordinea enumerării, sunt identice cu modalităţile de săvârşire a infracţiunii prevăzute de art. 44 alin. 1.

Sunt prevăzute însă două noi modalităţi: „introducerea” şi „transmiterea” datelor. Prin „introducere” de date trebuie înţeleasă o acţiune prin care în memoria sistemului

informatic sau în dispozitivele sale de prelucrare a datelor sunt introduse, inserate date informatice (comenzi) noi, care nu modifică datele existente, ci sunt independente de acestea, se adaugă acestor date.

„Transmiterea” de date informatice constă în folosirea reţelei pentru a comunica aceste date unui alt sistem informatic.

În toate cazurile însă, faptele trebuie să aibă ca rezultat perturbarea gravă a funcţionării sistemului informatic vizat prin aceste acţiuni.

Noţiunea de „a perturba grav” funcţionarea sistemului informatic semnifică punerea acestuia în imposibilitatea de a executa în bune condiţii operaţiile esenţiale pentru care a fost conceput

Spre deosebire deci de articolul anterior, art. 45 prevede o urmare materială calificată a faptei – perturbarea gravă a funcţionării unui sistem informatic.

Infracţiunile prevăzute de art. 44 şi 45 nu prevăd un scop calificat al săvârşirii faptelor; prin urmare, acestea pot fi săvârşite în orice scop, incluzând şi aşa-numitul „sabotaj informatic”, precum şi „spionajul informatic”.

Art. 46 incriminează producerea, vânzarea, importul, distribuirea sau punerea la dispoziţie, sub orice formă, fără drept, precum şi deţinerea, fără drept, a unui dispozitiv sau program informatic ori a unei parole, cod de acces sau dată informatică, în scopul săvârşirii uneia dintre infracţiunile prevăzute la art. 42-45.

Modalităţile enumerate, deşi limitative, acoperă practic toate situaţiile care se pot ivi şi toate operaţiile cu asemenea dispozitive sau programe.

Obiectul juridic îl constituie relaţiile sociale care urmăresc folosirea legală a dispozitivelor, programelor sau datelor informatice, precum şi asigurarea securităţii sistemelor informatice împotriva faptelor care aduc atingere confidenţialităţii şi integrităţii datelor şi sistemelor informatice.

În ce priveşte termenii folosiţi, doar cel de „program informatic” şi „dată informatică” au primit o definiţie legală în cuprinsul art. 35 – lit. c) şi d).

Apar în schimb termeni noi – „parolă” şi „cod de acces”, care nu au primit o definiţie legală. Aceşti termeni se referă la măsurile de securitate a unui sistem informatic, la care face referire art. 42 alin. 3.

Parola reprezintă prima linie de apărare împotriva intruziunilor(accesului fără drept) şi poate fi orice combinaţie de caractere alfanumerice, lungimea ei maximă depinzând de sistemul pe care se lucrează – de la 6-8 la 40 sau chiar 80 de caractere. Nu se va obţine acces în sistemul informatic până la confirmarea identităţii şi a drepturilor de acces, prin tastarea parolei; de aceea, parolele trebuie descoperite prin diferite metode, „ghicite” printr-un program special sau sunt sustrase prin mijloace tradiţionale – dacă sunt consemnate pe un suport sau divulgate de deţinător.

Codul de acces ar trebui înţeles, pentru a-l deosebi de parolă, ca un mijloc de identificare electronică a persoanei, bazat pe o „cheie” sau pe caracteristicile fizice ale persoanei – semnătura vocală, „pattern”-ul retinei etc.

Toate mijloacele fizice descrise de art. 46, deţinute de făptuitor, indiferent de modul în care a ajuns să le deţină, sunt apte de a încălca măsurile de securitate ale unui sistem informatic şi de a permite accesul fără drept la acesta.

Secţiunea a 2-a cuprinde, în art. 48-49, două infracţiuni: falsul informatic şi frauda informatică, săvârşite prin modalităţile prevăzute în art. 44-45, având specifice însă o urmare şi un scop calificat.

Astfel, art.48 – falsul informatic – incriminează fapta de a introduce, modifica sau şterge, fără drept, date informatice ori de a restricţiona, fără drept accesul la aceste date, rezultând date necorespunzătoare adevărului, în scopul de a fi utilizate în vederea producerii unei consecinţe juridice, pedeapsa fiind închisoarea de la 2 la 7 ani.

Infracţiunea se deosebeşte de cele prevăzute la art. 44 – 45 prin urmarea materială prevăzută – să rezulte date necorespunzătoare adevărului – şi prin cerinţa scopului utilizării datelor astfel obţinute în vederea producerii unei consecinţe juridice.

Se observă că limitele speciale ale pedepsei prevăzute sunt mai mari decât cele prevăzute pentru oricare dintre infracţiunile de fals, ceea ce s-ar putea explica prin aprecierea legiuitorului că faptele de fals sunt mai grave, fiind săvârşite prin asemenea mijloace calificate, iar urmările pot fi, de asemenea, mult mai grave, datorită vulnerabilităţii sistemelor informatice.

Infracţiunea prevăzută de art. 49 – frauda informatică – se săvârşeşte în aceleaşi modalităţi ca şi falsul informatic, fiind enumerată, în plus, modalitatea „împiedicării, în orice mod, a funcţionării unui sistem informatic”. De asemenea, urmarea materială cerută este diferită în acest caz – fiind un prejudiciu patrimonial cauzat unei persoane – ca şi scopul – obţinerea unui beneficiu material, pentru sine sau pentru altul.

Pedeapsa prevăzută este închisoarea de la 3 la 12 ani. Secţiunea a treia – „Pornografia infantilă prin sisteme informatice” cuprinde, în art. 51, o

singură infracţiune, constând în „producerea în vederea răspândirii, oferirea sau punerea la dispoziţie, răspândirea sau transmiterea, procurarea pentru sine sau pentru altul de materiale pornografice cu minori prin sisteme informatice ori deţinerea, fără drept, de materiale pornografice cu minori într-un sistem informatic sau un mijloc de stocare a datelor informatice”; pedeapsa este închisoarea de la 3 la 12 ani şi interzicerea unor drepturi.

Este de observat însă că art. 51 incriminează, în teza ultimă, şi simpla deţinere, fără drept, de materiale pornografice cu minori într-un sistem informatic sau un mijloc de stocare a datelor informatice, spre deosebire de publicaţiile cu caracter obscen, a căror simplă deţinere nu este interzisă.

Această deosebire se explică prin caracteristicile sistemelor informatice, implicând potenţialitatea răspândirii, în diverse moduri – de exemplu prin acces fără drept – a materialelor pornografice deţinute şi necesitatea apărării moralei publice, faţă de gravitatea atingerii care i s-ar putea aduce prin răspândirea de asemenea materiale.

Titlul III al Legii nr. 161/2003 mai cuprinde, în Capitolul IV „Dispoziţii procedurale” reglementările privind măsurile ce pot fi luate în cursul procesului penal – conservarea imediată a datelor informatice, percheziţia, precum şi accesul într-un sistem informatic şi interceptarea şi înregistrarea comunicărilor desfăşurate prin intermediul sistemelor informatice.

În sfârşit, Capitolul V – „Cooperare internaţională” – instituie reguli necesare pentru cooperarea operativă a autorităţilor judiciare române cu autorităţile străine, în vederea asigurării eficienţei maxime a activităţii de combatere a criminalităţii informatice.

Cooperarea în domeniu poate avea ca obiect, după caz, asistenţa judiciară internaţională în materie penală, extrădarea, blocarea, sechestrarea şi confiscarea produselor şi instrumentelor infracţiunii, desfăşurarea anchetelor comune, schimbul de informaţii, asistenţa tehnică sau de altă natură pentru culegerea şi analiza informaţiilor, formarea personalului de specialitate, precum şi alte asemenea activităţi. Incriminări în legătură cu această materie mai sunt cuprinse în art. 72-81 din Legea nr. 8/1996 privind dreptul de autor şi drepturile conexe,

precum şi în Legea nr. 16/1995 privind protecţia topografiilor circuitelor integrate, nefiind însă vorba de infracţiuni specifice criminalităţii.

II. CRIMINALITATEA INFORMATICĂ ÎN ROMÂNIA

Deşi acest fenomen este prezent de mult timp în societatea statelor mari ale lumii, în ultima perioadă şi România a început să fie ţinta diferitelor atacuri, atacuri ce tind să pună în pericol relaţii sociale dintre cele mai fundamentale pentru statul român. Este cazul aşa numitului virus „Octombrie Roşu” considerat ca fiind cea mai avansată reţea de spionaj cibernetic din lume.

Acest virus se pare că este activ încă din 2007, afectând un număr de aproximativ 67 de state, în special statele ex-sovietice şi est-europene. În ţara noastră, atacul a făcut obiectul investigaţiilor SRI încă din anul 2011, fiind întreprinse la acel moment primele măsuri de contracarare şi restabilire a bunei funcţionări a sistemelor informatice afectate. Din informaţiile furnizate de SRI, entităţile cibernetice ostile au avut ca obiect culegerea de informaţii confidenţiale, informaţii legate de politică externă a României şi informaţii privitoare la resursele naturale ale României, în special din zona economică a Mării Negre.

Conform datelor furnizate de Centrul Naţional de Răspuns la Incidente de Securitate Cibernetică, au fost afectate un număr de patru agenţii guvernamentale şi ambasade străine din Bucureşti. Caracterul extrem de grav al acestui atac era subliniat şi de Sorin Sava, purtător de cuvânt al SRI, care afirma că acest atac a reprezentat „cel mai puternic atac cibernetic la adresa României în ultimii 20 de ani”. De asemenea, SRI estima că „ameninţarea cibernetică reprezintă una dintre cele mai mari şi mai dinamice ameninţări la adresa securităţii naţionale a României.”

Din fericire însă, intervenţia promptă a SRI în cooperare cu celelalte organe abilitate ale statului, a făcut ca efectele acestui atac să fie minime în comparaţie cu daunele pe care le-ar fi putut produce, dacă acesta nu ar fi fost descoperit şi contracarat.

Din păcate însă, în februarie 2013, România s-a aflat din nou printre ţintele unui alt atac de mare amploare, considerat a fi mai puternic chiar decât „Octombrie Roşu”. Acest nou virus, denumit MiniDuke, are ca obiect, asemănător lui “Octombrie Roşu”, compromiterea unor instituţii şi agenţii guvernamentale prin sustragerea unor informaţii geopolitice confidenţiale.

Eugene Kaspersky, fondator al Kasperky Lab, afirma că modul de operare al virusului, de tip malware, consta în trimiterea unor fişiere de tip PDF, create să pară foarte credibile pentru destinatarii săi, având un conţinut bine construit, care să imite prezentările despre un seminar pe tema drepturilor omului (ASEM), strategia de politică externă a Ucrainei şi planurile NATO pentru ţările membre.

Se pare din nefericire că au fost deja mai multe instituţii compromise din ţări precum Belgia, Ucraina, Irlanda şi Cehia.

De asemenea, din cercetările efectuate de SRI, reiese clar că atacul are un impact deosebit asupra securităţii statului român, prin profilul entităţilor vizate de atac şi nivelul tehnologic superior al aplicaţiei ostile. La momentul actual, instituţiile abilitate ale statului fac toate eforturile pentru stoparea şi identificarea sursei atacului. SRI crede chiar, că atacul ar putea proveni din partea unei entităţi statale. Din estimările SRI, acest atac are un impact mai mare, din cauza nivelului tehnologic superior, care îi permite să se disimuleze mai bine şi să preia sub control reţeaua compromisă, în scopul exfiltrării de informaţii.

Joi, 31 octombrie 2013, în incinta Bibliotecii Naționale a României, a avut loc conferinţa anuală a CERT-RO (Centrul Naţional de Răspuns la Incidente de Securitate Cibernetică), cu titlul "Noi provocări globale de securitate cibernetică", conferinţă ce a

încheiat seria de evenimente din Romania din cadrul Lunii Europene a Securitaţii Cibernetice. Aflată la cea de a treia ediţie, conferinţa a avut in agendă teme precum:

1. CERT-RO în peisajul IT din ROMÂNIA;2. Investigarea incidentelor de securitate cibernetică;3. Microsoft's perspective on Cybersecurity;4. Phone Tapping Live Demo;5. Utilitatea CERT-urilor private;6. Securitatea în Cloud;7. Managementul identității, protecția datelor, controlul și auditarea accesului;8. Impactul amenințărilor cibernetice la adresa securității naționale.

În cadrul acestei conferinţe, directorul adjunct al CENTRULUI NAŢIONALCYBERINT, Gabriel Mazilu, a tras următoarele concluzii în legătură cu ameninţareacibernetică în România:

Există entităţi cibernetice ostile (statale şi non statale), care vizează cu intenţie România.

Atacurile cibernetice majore cu impact asupra securităţii naţionale a României au fost derulate până în prezent doar de actorii statali (spionajul cybernetic) şi grupările de crimă organizată (criminalitate informatică).

Agresiunile cibernetice extremiste sunt incipiente, iar cele teroriste nu au fost înregistrate până în prezent.

Niciun atac cibernetic nu a produs consecinţe distructive asupra ICC, pentru că în prezent, obiectivul agresorilor cibernetici este culegerea de informaţii despre România şi Infrastructurile sale Critice, şi nu distrugerea acestora.

Nivelul de securitate cibernetică naţională este insufficient pentru a permite României să prevină un atac cibernetic de nivel tehnologic înalt.

Actorii statali vor derula agresiuni cibernetice agresive, pe care le vor disimula mai frecvent în spatele actorilor non-statali (crimă organizată şi hacking).

Infrastructurile Critice şi domeniul financiar-bancar vor fi vizate cu predilecţie. Va creşte nivelul tehnologic al atacurilor statale, iar tehnologiile utilizate în acestea

vor fi assimilate de crima organizată, ceea ce va conduce la amplificarea impactului asupra securităţii naţionale.

Dinamica ameninţării cibernetice asupra României va fi potentate de instabilitatea riscurilor şi ameninţărilor din arhitectura de securitate regională.

III. STRATEGIA DE SECURITATE CIBERNETICĂ A ROMÂNIEI

Dezvoltarea rapidă a tehnologiilor moderne de informaţii şi comunicaţii a avut un impact major asupra ansamblului social, marcând adevărate mutaţii în filozofia de funcţionare a economicului, politicului şi culturalului, dar şi asupra vieţii de zi cu zi a individului. Practic, în prezent, accesul facil la tehnologia informaţiei şi comunicaţiilor reprezintă una dintre premisele bunei funcţionări a societăţii moderne.

Spaţiul cibernetic se caracterizează prin lipsa frontierelor, dinamism şi anonimat, generând deopotrivă oportunităţi de dezvoltare a societăţii informaţionale bazate pe cunoaştere, dar şi riscuri la adresa funcţionării acesteia (la nivel individual, statal şi chiar cu manifestare transfrontalieră).

Alături de beneficiile incontestabile pe care informatizarea le induce la nivelul societăţii moderne, aceasta introduce şi vulnerabilităţi, astfel că asigurarea securităţii spaţiului

cibernetic trebuie să constituie o preocupare majoră a tuturor actorilor implicaţi, mai ales la nivel instituţional, unde se concentrează responsabilitatea elaborării şi aplicării de politici coerente în domeniu. România urmăreşte atât dezvoltarea unui mediu informaţional dinamic bazat pe interoperabilitate şi servicii specifice societăţii informaţionale, cât şi asigurarea respectării drepturilor şi libertăţilor fundamentale ale cetăţenilor şi a intereselor de securitate naţională, într-un cadru legal adecvat. Din această perspectivă se resimte necesitatea dezvoltării culturii de securitate cibernetică a utilizatorilor sistemelor informatice şi de comunicaţii, adesea insuficient informaţi în legătură cu potenţialele riscuri, dar şi cu soluţiile de contracarare a acestora. Cunoaşterea pe scară largă a riscurilor şi ameninţărilor derivate din activităţile desfăşurate în spaţiul cibernetic, precum şi a modului de prevenire şi contracarare a acestora necesită o comunicare şi cooperare eficiente între actorii specifici în acest domeniu.

Incidentele de securitate cibernetică şi atacurile cibernetice majore cu care s-au confruntat în ultimii ani unele state şi organizaţii internaţionale au determinat conştientizarea, la nivel internaţional, a necesităţii adoptării unor strategii şi politici în domeniul securităţii cibernetice. Astfel, există în prezent strategii naţionale de securitate cibernetică, precum cele ale Estoniei, Statelor Unite ale Americii, Marii Britanii, Germaniei şi Franţei, care fundamentează necesitatea demersurilor pentru dezvoltarea capabilităţilor proprii de contracarare a atacurilor cibernetice şi stabilesc cadrul de acţiune şi cooperare între diverse entităţi guvernamentale şi nonguvernamentale pentru limitarea consecinţelor. Conform acestor strategii, eforturile naţiunilor vizează implementarea unor măsuri de securitate care să conducă la creşterea nivelului de protecţie a infrastructurilor cibernetice, în special a celor care susţin infrastructurile critice naţionale.

Scopul Strategiei de securitate cibernetică a României este de a defini şi de a menţine un mediu virtual sigur, cu un înalt grad de rezilienţă şi de încredere, bazat pe infrastructurile cibernetice naţionale, care să constituie un important suport pentru securitatea naţională şi buna guvernare, pentru maximizarea beneficiilor cetăţenilor, mediului de afaceri şi ale societăţii româneşti, în ansamblul ei. Strategia de securitate cibernetică a României prezintă obiectivele, principiile şi direcţiile majore de acţiune pentru cunoaşterea, prevenirea şi contracararea ameninţărilor, vulnerabilităţilor şi riscurilor la adresa securităţii cibernetice a României şi pentru promovarea intereselor, valorilor şi obiectivelor naţionale în spaţiul cibernetic. În scopul asigurării coerenţei şi eficienţei acţionale, Strategia de securitate cibernetică a României, urmăreşte îndeplinirea obiectivului naţional de securitate privind "asigurarea securităţii cibernetice", cu respectarea principiilor şi caracteristicilor Strategiei naţionale de apărare şi Strategiei naţionale de protecţie a infrastructurilor critice.

IV. CONCLUZII

Este neîndoielnic faptul că ameninţarea cibernetică reprezintă la momentul actual o ameninţare care ar trebui să trezească îngrijorare în toţi factorii de putere responsabili. De aceea se impune, cu necesitate, o analiză profundă a acestui nou tip de ameninţări şi a metodelor prin care atacurile informatice pot produce efecte de natură a le include în rândul celor care sunt caracterizate de un grad ridicat de risc pentru securitatea naţională.

Este important ca instituţiile statului ce au ca obiect de activitate securitatea naţională să fie pregătite a interveni în cazul unor asemenea incidente, astfel încât să reuşească să reducă la minim riscurile şi efectele unor cyber-atacuri.

Pentru realizarea acestui deziderat, este nevoie mai întâi, de crearea unui suport legislativ (care ne lipseşte la momentul actual) adecvat, care să protejeze securitatea naţională împotriva atacurilor informatice, separat de protecţia acordată prin Legea 161/2003 cetăţenilor români.

Acest suport va trebui să conţină atât norme de drept substanţial care să incrimineze astfel de fapte deosebit de grave, precum şi norme de procedură ce vor trebui urmate în cazul în care securitatea naţională ar fi pusă în pericol prin acţiuni din sfera criminalităţii informatice. De asemenea, România trebuie să facă progrese în ceea ce priveşte cooperarea internaţională, cooperare ce este atât de importantă pentru stăvilirea acestui gen de criminalitate. În acest sens, statul român ar trebui să adopte pe lângă Legea cadru 302/2004 privind cooperarea judiciară internaţională în materie penală şi alte acte normative care să prevadă modalităţile concrete de cooperare cu alte entităţi statale în cazul unor atacuri care atentează la siguranţa naţională.