Ce vrem: Securitate cibernetica sau securism cibernetic?

de R.M.     Drept&Internet
Vineri, 6 iunie 2014, 17:20 Economie | IT

Noua propunere de lege privind securitatea cibernetica adoptata de guvern pe 30 Aprilie 2014 a trecut aproape neobservata, desi ar trebui sa priveasca orice cetatean detinator de telefon mobil, calculator sau laptop. Pentru ca prin noua lege acestia vor avea nu doar obligatia "sa adopte si sa puna in aplicare politici de securitate cibernetica", dar si "sa permita accesul reprezentantilor desemnati (ai SRI, MApN, MAI, ORNISS, SIE, STS, SPP, CERT-RO si ANCOM) in acest scop la datele detinute", scrie Bogdan Manolea, pe blogul lui, Drept & Internet - noutati si opinii.

Inainte sa explicam mai in detaliu, trebuie sa lamurim doua aspecte:

1. Intai ar trebui sa explic titlul.

Cand ma refer la securitate cibernetica, ma gandesc la faptul ca trebuie sa fiu sigur ca la anumite informatii stocate digital are acces doar cine cred eu ca trebuie sa aiba. Fie ca vorbim de date personale, informatii financiare sau date comerciale confidentiale stocate digital - toate trebuie sa fie pastrate in siguranta, pentru ca cei neautorizati sa nu aiba acces la ele. Aici e treaba mea sau a firmei mele cum le securizez - daca vreau sa le criptez cu cheie de 256 sau deloc. Putem discuta in ce masura anumite informatii digitale nesecurizate pot afecta alte terte persoane, dar si acolo sunt de acord ca in cazul unei culpe grave sau a intentiei trebuie sa pot sa fiu tinut responsabil. Sau daca se pierd date cu caracter personal (cum am mai povestit de data breach notifications).

Cand ma refer la securism cibernetic, ma gindesc ca statul - prin bratul sau de forta - adica structuri care apartin zone de servicii secrete, structuri de aparare a legii sau altele cu atributii in aceste zone - imi impun conduita de securitate in societatea digitala. Trecem de la scopul de a-mi proteja mie datele la a avea o (utopica) societate securizata perfect, in care orice activitate presupus neautorizata sa nu poata avea loc. Si in care statul ma poate obliga, inclusiv prin accesul la datele mele - sa imi respect aceasta conduita. Asta pare a fi o zona in care renunti la zona privata sau comerciala secrete, pentru a asigura securitatea generala. Adica securitate de dragul securitatii. Cam asta pare ca vrea noua lege.

Sa incerc sa subliniez mai bine ideea cu un exemplu practic:

Nu am cont personal pe Facebook si nici nu vreau sa imi fac vreunul (din motive personale si de privacy). Dar asta nu inseamna ca nu ii respect pe care il folosesc cum doresc ei (privat, public, profesional sau un mix).

Securitatea cibernetica ar insemna ca il las sa puna ce vrea acolo, dar pot sa incerc sa educ, sa explic, sa recomand ce anume sa nu puna pe o retea sociala - dar in cele din urma este decizia persoanei ce publica si este responsabil pentru asta.

Securismul cibernetic ar inseamna ca nu ii dau voie sa posteze infromatii daca este intr-un loc sau altul (pentru ca ar insemna ca nu este nimeni acasa), ca nu are voie sa se logheze daca nu are sistemul de operare actualizat sau ca - daca profilul sau pagina lui a fost folosit in mod fraudulos (de ex. a incitat la un protest neautorizat) atunci am voie sa intru in cont sa vad cine l-a sustinut in aceasta activitate presupus ilegala.

2. Acesta este un alt proiect adoptat pe ascuns de Guvern (al treilea numarat de mine - dupa cel cu pre-pay explicat ieri si cel cu protectia consumatorilor in comertul electronic in care efectiv ne-a mintit in fata).

Dincolo de temele legate de teoria conspiratiei, nu poti sa nu ai o intrebare legitima, dar retorica - de ce Guvernul intai adopta un act normativ, iar apoi acesta apare spre "dezbatere publica' pe site-ului Minsiterului Societatii Informationale? Si de ce MSI "organizeaza" un eveniment nepublic de 'dezbatere publica' in care comunicatul final spune ca va primi comentarii de la o asociatie dupa data depunerii raportului comisiilor in Camera Deputatilor

Cred ca daca ne apucam sa analizam in detaliu proiectul o sa plictisesc prea mult cititori (si oricum planuiesc cu colegii din ApTI sa trimitem o opinie mai formala si detaliata - in special pe distinctiile majore fata de propunerea de directiva europeana privind securitatea infromatica - vezi aici textul adoptat de Parlamentul European in prima lectura), asa ca ma rezum la o critica punctuala si una generica.

3. Critica punctuala a proiectului de lege privind securismului cibernetic

Prevederile la care fac referire sunt defintia din art 5 pct. 8

8. infrastructuri cibernetice - infrastructuri din domeniul tehnologiei informatiei si comunicatiilor, constand in sisteme informatice, aplicatii aferente, retele si servicii de comunicatii electronice

unde termenul de sistem informatic trebuie inteles in relatia directa cu definitia din noul codul penal (si care inainte era in legea 161/2003)

(1) Prin sistem informatic se intelege orice dispozitiv sau ansamblu de dispozitive interconectate sau aflate in relatie functionala, dintre care unul sau mai multe asigura prelucrarea automata a datelor, cu ajutorul unui program informatic.

Practic asta inseamna orice calculator, laptop, tableta, smartphone, PoS, ATM, smart meter, microprocesor programabil si altele asemenea

la care adaugam obligatiile impuse de lege pentru detinatorii de infrastructuri cibernetice din art 16 si 17:

a) sa adopte si sa puna in aplicare politici de securitate cibernetica, cu respectarea cerintelor minime de securitate stabilite la nivel national de Ministerul pentru Societatea Informationala sau de catre alte autoritati publice competente potrivit legii;
b) sa identifice si sa implementeze masurile tehnice si organizatorice adecvate pentru a gestiona eficient riscurile de securitate in infrastructurile cibernetice proprii sau aflate in responsabilitate;
c) sa previna si sa reduca la minimum impactul incidentelor care afecteaza infrastructurile cibernetice proprii sau aflate in responsabilitate;
(...)

Art. 17 - (1) Pentru realizarea securitatii cibernetice, detinatorii de infrastructuri cibernetice au urmatoarele responsabilitati:
a) sa acorde sprijinul necesar, la solicitarea motivata a Serviciului Roman de Informatii, Ministerului Apararii Nationale, Ministerului Afacerilor Interne, Oficiului Registrului National al Informatiilor Secrete de Stat, Serviciului de Informatii Externe, Serviciului de Telecomunicatii Speciale, Serviciului de Protectie si Paza, CERT-RO si ANCOM, in indeplinirea atributiilor ce le revin acestora si sa permita accesul reprezentantilor desemnati in acest scop la datele detinute, relevante in contextul solicitarii;
b) sa informeze, de indata, autoritatile si institutiile publice prevazute la lit.a) cu privire la incidentele cibernetice identificate, conform procedurilor stabilite prin normele metodologice la prezenta lege.

Sunt convins ca trebuie sa fie o greseala de a mea de interpretare intr-un text perfect normal. Dar daca stam stramb si citim textul drept asta vedem:

1. Toti utilizatorii de calculatoare si smartfoane trebuie sa aiba politici de securitate cibernetica. Si sa aiba masuri organizatorice adecvate.

Doar cine nu a vazut un raport de audit de securitate informatica, nu poate sa intelega despre cata hartogaraie vorbim si cat costa sa le faci. Ati innebunit???

Mai ramine sa ne impuna fiecarui utilizator sa facem un audit cibernetic (am vazut ca au evitat termenul de audit informatic, ca sa ne bage in ceata si mai rau, nu Adrian?) care costa citeva mii de euro si am rezolvat problemele de securitate ale Romaniei. Vom fi un stat sigur.

2. Toti utilizatorii trebuie sa "permita accesul la date" acestor autoritati la solicitarea lor motivata.

Adica trecem de la situatia actuala in care accesul la un sistem informatic al altuia se poate face doar cu mandat de la judecator sau, evident, cu consimtamintul proprietarului sistemului informatic la o situatie in care 9 institutii sa li se "permita accesul la date". Doar pe o motivare interna? Deci nu mai trebuie sa le dai tu datele relevante, ci sa le dai tu intregul acces? Catre MapN? Catre SPP? Ce treaba au ele cu sistemele tale informatice?

Incep sa cred ca oamenii care au scris proiectul de legea au vise legate de a avea acces oriunde si oricum la orice sistem informatic din Romania. Dar sa pui asta intr-un proiect de lege care sa fie si adoptat de Guvern, este deja neverosimil. Inca sper ca este o greseala pe care toti specialistii guvernului nu au vazut-o si ca de fapt nu au vrut sa reglementeze asta.


4. Critica de fond a proiectului de lege privind securismului cibernetic

Cred ca proiectul de lege porneste de la o premisa falsa: Sistemele informatice ne apartin noua, cetatenilor. Sau noua, firmelor. Internetul este o retea publica, dar este administrata de privati. ICANN, IETF sau IANA sunt institutii care sunt deschise prin esenta si care implica cati mai multi actori. (multi-stakeholders). Furnizorii de Internet sunt societati comerciale private. Furnizorii de retele si servicii de comunicatii electronice sunt privati. Aceastia nu pot fi reglementati la fel ca sistemele informatice sau retelele detinute de autoritatile publice.

Nu rezolvi problema de securitate informatica prin nominalizarea unui serviciu secret eminamente opac care sa se ocupe de un subiect unde cooperarea intre sectorul public si privat, transparenta si respectarea legislatiei privind protectia datelor personale sunt stalpi esentiali.

Nu zic eu asta, ca buricul pamintului, ci sunt si concluzii ale textului adoptat de Parlamentul European in prima citire a directivei (si care e inca in dezbatere):

Cadrul juridic ar trebui sa se intemeieze pe nevoia de a garanta viata privata si integritatea cetatenilor.

Deoarece majoritatea retelelor si a sistemelor informatice au operatori privati, cooperarea dintre sectorul public si cel privat este esentiala. (¬) Sunt necesare garantii adecvate pentru a se asigura ca o astfel de cooperare nu va expune operatorii in cauza la un risc de conformitate mai mare sau la noi obligatii in temeiul legislatiei privind concurenta, proprietatea intelectuala, protectia datelor sau criminalitatea informatica, printre altele, nici nu ii va expune la riscuri operationale sau de securitate mai mari.

Autoritatile competente si punctele unice de contact ar trebui sa fie organisme civile, care sa functioneze integral pe baza controlului democratic, si nu ar trebui sa desfasoare activitati in domeniul informatiilor, al aplicarii legii sau al apararii si nici sa fie legate organizational in vreun fel de organismele active in aceste domenii.

5. Concluzii?

Da, securitatea cibernetica ne priveste pe noi toti, ca parte a unui eco-sistem digital.

Nu, securitatea nu trebuie impusa cu de-a sila de o institutie de securitate pentru toti cetatenii care au dispozitive informatice.

Comenteaza pe Drept & Internet - noutati si opinii.














Articol sustinut de BRD Groupe Société Générale

Atelier de idei. Cum te ajuta tehnologia sa-ti faci mai mult timp pentru tine si planurile tale

Munca multa, stres, ore peste program, termene limita, sedinte lungi. Uneori, asa arata ziua de lucru a multora dintre noi. Din acest motiv e foarte important sa investesti in lucruri care te pot ajuta sa iti folosesti mai bine timpul petrecut la birou. Sa lucrezi mai bine, mai usor si mai repede poate insemna mai mult timp pentru tine si pentru cei dragi. Iti propunem, asadar, cinci directii care te pot ajuta pe plan profesional si personal.

1543 vizualizari

  • 0 (0 voturi)    
    pai cum sa ne uitam la aceste informatii (Vineri, 6 iunie 2014, 17:56)

    misa2002_2006 [utilizator]

    pai cum sa ne uitam la aceste informatii, cand pe gat ne sunt bagate cu de-a sila pe toate canalele tv,alte mizerii?? mai duc pe cineva la DNA, mai scot la iveala niste marsavii, ale unora care au deranjat pe cineva sus-pus..
    toate sunt facute cu un scop..scopul lor e sa ne prosteasca si.. se pare ca reusesc..
    scopul nostru, a murit din fasa.. de cand i-am votat..nu toti, aia multi si prostiti...
    ce e rau e ca pana ne vom da cu totii seama de ce prostie am facut, vom trai mai rau ca in comunism..se numeste DEMOCRATIE...
  • 0 (0 voturi)    
    Neconstitutional (Vineri, 6 iunie 2014, 18:06)

    kavesi4102 [utilizator]

    Art. 28 din Constitutia Romaniei - "Secretul scrisorilor, al telegramelor, al altor trimiteri poştale, al convorbirilor telefonice şi al celorlalte mijloace legale de comunicare este inviolabil."

    Asa cum este in acest moment, acest proiect de lege este neconstitutional, deoarece obliga cetateni si entitati private sa renunte la secretul corespondentei la cererea autoritatilor, in lipsa unui mandat judecatoresc in acest sens. Nu stiu daca metadatele intra la capitolul "secretul corespondentei", insa stiu sigur ca cineva ar trebui sa sesizeze Curtea Constitutionala in caz ca acest proiect trece in forma actuala. Avocatul Poporului, anyone?
  • 0 (0 voturi)    
    interpretare (Vineri, 6 iunie 2014, 18:22)

    clar0bscur [utilizator]

    Cred ca interpretarea este usor eronata in ceea ce priveste prima concluzie a dvs. si anume:

    - potrivit Codului penal, sistem informatic este intr-adevar orice computer, laptop, smartphone, tableta etc.

    - in ceea ce priveste infrastructurile cibernetice, asa cum sunt ele definite in noua lege, cred ca trebuie sa contina, cumulativ, toate cele 4 elemente precizate in textul de lege: sisteme informatice, aplicatii aferente, retele SI servicii de comunicatii electronice; daca in loc de <<si>> ar fi scris <<sau>>, atunci am fi vb de situatia descrisa de dvs. iar orice detinator de sistem informatic (de ex. un laptop) ar fi trebuit sa aiba o poltica de securitate cibernetica. In cazul acesta insa, cred ca numai entitatile care le detin pe toate 4 (de exemplu
    providerii de internet) sunt obligati la acest lucru.

    In ceea ce priveste cea de-a doua concluzie, cu accesul serviciilor la informatii, ma tem ca aveti dreptate. Pare sa fie o alta varianta a legii big brother, desi directiva care sta la baza ei a fost deja declarat invalida de Curtea de Justitie a UE.
  • 0 (0 voturi)    
    O lege cit o definitie a ridicolului (Vineri, 6 iunie 2014, 19:24)

    adrian.munteanu [utilizator]

    Bogdan,

    Sa facem doar un exercitiu de imaginatie: sa presupunem ca toate subiectele din lege sint corect scrise, tehnic si juridic. Ajungem la contraventii.
    daca esti persoana juridica supusa prevederilor acestei legi si nu pui in practica nici o cerinta legata de obligatii/responsabilitati, amenda maxima este de 10.000 lei ( sa spunem 2200 euro).
    De ce sa te stresezi, tu detinator de astfel de infractiuni ???(chiar daca esti simplu utilizator, conform defitiilor esti incadrat la detinator (SIC!) )
  • 0 (0 voturi)    
    libertate (Vineri, 6 iunie 2014, 19:41)

    Vladel [utilizator]

    Este anacronica si tiranica o astfel de prevedere. Nu toti utilizatorii au cunostintele necesare pe de o parte, pentru a implementa astfel de politici, doi este dreptul lor sa nu le aplice. Daca vreau sa las fisierele pe care le produc la liber e dreptul si libertatea mea sa o fac. De asemenea daca aleg sa nu le public, nu le public. O astfel de prevedere creeaza premiza impunerii de tehnologii, bineinteles proprietare, care "respecta" prevederile legale.


Abonare la comentarii cu RSS



ESRI

Top 5 articole cele mai ...



Hotnews
Agenţii de ştiri

Siteul Hotnews.ro foloseste cookie-uri. Cookie-urile ne ajută să imbunatatim serviciile noastre. Mai multe detalii, aici.
hosted by
powered by
developed by
mobile version
Duminică