Șeful Centrului Cyberint susține că SRI nu va căuta în datele din cloud. Tehnologia cumpărată deja în proiectul Țițeica permite însă căutarea în date

Anton Rog, șeful Centrului Național Cyberint al SRI, a declarat luni seara într-un interviu pentru Digi24 că în 7 ani de când asigură securitatea cibernetică pentru 61 de instituții publice în proiectul Țițeica, nu a existat nici măcar o plângere că un bit dintr-un mail sau dintr-un fișier ar fi fost accesat de SRI. Rog susține că senzorii instalați nu ar arăta și ce caută utilizatorii pe internet, ci doar log-uri ori jurnale. Tehnlogia cumpărată anul trecut de SRI în proiectul Țițeica permite însă căutarea în date.

Anton Rog a precizat luni seara la Digi24, într-un interviu realizat de Cosmin Prelipceanu, că SRI va asigura securitatea cibernetică în viitorul cloud guvernamental, deoarece este infrastructură critică.

„De ce asigură Centrul Național Cyberint securitatea cibernetică? Pentru că cloud-ul guvernamental este infrastructură critică. Dacă nici cloud-ul guvernamental nu este infrastructură critică, atunci nimic nu mai este infrastructură critică. Afectarea cloud-ului guvernamental duce automat la afectarea securității naționale.
Gândiți-vă că vor fi 60 de instituții care migrează și dintr-odată, cloud-ul nu mai este disponibil pe motive de securitate! E afectată toată societatea, guvernul, economia și tot ce mai doriți.
Din acest motiv, pentru că Serviciul Român de Informații este instituția care se ocupă de cunoaștere, prevenire și contracararea amenințărilor la securitatea națională, iar dacă discutăm de contracarare în spațiu cibernetic, ea nu poate să fie decât una tehnologică, iar serviciul o face prin unitatea sa specializată, Centrul Național Cyberint.
Deci, toate echipamentele pe care noi le punem pe partea de securitate cibernetică nu au acces la date! Ele se uită la log-uri, la jurnale și jurnalizează evenimente de securitate cibernetică. Evenimente! Evenimente, care sunt centralizate într-un sistem central – unele dintre ele ajung să fie alerte de securitate cibernetică, să fie investigate, deci niciun fel de dată! Chiar dacă am dori, dacă n-am dori, nu ajung la noi!”, a declarat Anton Rog, șeful Centrului Național Cyberint din SRI.

Întrebat care este garanția că SRI nu va face mai mult decât a păzi datele, Anton Rog a susținut că tehnologiile respective sunt construite pentru a nu avea acces la date, pentru a asigura numai securitate cibernetică, dând ca exemplu ce se întâmplă în proiectul Țițeica.

„Dați-mi voie să vă dau un exemplu foarte clar. Noi operăm un Security Operating Center, un SOC – îi spunem Țițeica, e vestit, îl știe toată România. A fost făcut din fonduri europene în 2015. El funcționează de șapte ani. În acel SOC făcut din fonduri europene noi oferim servicii de securitate cibernetică pentru 61 de instituții din tot Guvernul României.
– Vă aduc la cunoștință că în șapte ani, nu a existat nici măcar o plângere că un bit dintr-un mail, dintr-un fișier sau din ce vreți dumneavoastră a fost accesat de Serviciul Român de Informații. Și vă mai aduc la cunoștință un lucru, că în acești șapte ani au fost numeroase, zeci, poate sute de incidente cibernetice majore și de fiecare dată știți cui s-au adresat instituțiile respective? Serviciului Român de Informații, invariabil!”, a spus Anton Rog.

Oficialul SRI susține că instituțiile respective, care sunt posesorii datelor, pot vedea dacă Serviciul accesează sau nu acele date.

„Noi avem o zonă centrală și avem senzori care culeg evenimente de securitate cibernetică. Senzorii sunt culeși în zona locală și de acolo sunt împinși. Oricând, orice instituție se poate uita în zona respectivă dacă noi luăm vreun fel de date. Și nu luăm niciun fel de date.”, a spus acesta.

Oficialul SRI a negat că echipamentele s-ar putea uita și la ce se caută în acele rețele ale instituțiilor publice.

Redăm dialogul:

„Anton Rog: (..) Echipamentele pe care le punem noi sunt echipamente de tip senzoristic, echipamente care asigură numai protecție cibernetică, se uită la log-uri, la jurnale, nu se uită la…

Cosmin Prelipceanu: Adică cine intră, cine iese…
Anton Rog: Exact!
Cosmin Prelipceanu: …ce caută…
Anton Rog: Nu, nu, nu! Nu ce caută! Nu! Doar cine intră, cine iese cine, dacă…
Cosmin Prelipceanu: Și senzori înseamnă că există niște situații când sună alarma.
Anton Rog: Exact, exact.”

Ce garanții prezintă SRI că nu va accesa abuziv datele cetățenilor: Explicații transmise HotNews.ro

Miercuri, 20 aprilie, SRI a răspuns și unei solicitări mai vechi adresate de HotNews.ro legate de controversele privind cloud-ul guvernamental. Întrebați ce garanții poate oferi SRI că asigurând securitatea cibernetică a cloud-ului nu va accesa în mod abuziv datele cetățenilor și ale firmelor din sistemele IT găzduite în cloud, Serviciul Român de Informații a spus următoarele:

„Pentru asigurarea securității cibernetice a cloud-ului guvernamental, SRI va instala echipamente specializate, care nu permit vizualizarea și accesarea datelor existente în cloud. Acestea generează alerte de securitate cibernetică, în scopul detectării și prevenirii materializării unor atacuri.
SRI nu va avea acces la datele stocate și vehiculate în cloud-ul guvernamental, ci doar la alertele generate de aceste echipamente. Asigurarea securității cibernetice a cloud-ului guvernamental este o continuare naturală a proiectului Țițeica – „Sistemul național de protecție a infrastructurilor IT&C de interes național împotriva amenințărilor provenite din spațiul cibernetic”, operaționalizat în anul 2015 și actualizat în 2021, prin care SRI asigură securitatea cibernetică a 61 de instituții publice.
Având în vedere modul de implementare și operaționalizare a Țițeica, în cei 7 ani de funcționare a proiectului (2015 – 2022), SRI nu a avut acces la datele instituțiilor beneficiare.”, a comunicat SRI.

Întrebați care este legislația în baza căreia SRI va asigura securitatea cibernetică pentru cloud-ul guvernamental, Serviciul a dat următoarele explicații:

„Cloud-ul Guvernamental va reprezenta o infrastructură cu valențe critice, context în care, derularea de atacuri cibernetice asupra acestuia este de natură a avea un impact major asupra securității naționale a României. Conform legii nr. 14/1992, cu modificările și completările ulterioare, Serviciul Român de Informații este entitatea responsabilă în domeniul informațiilor privitoare la securitate națională.”, a precizat pentru HotNews.ro SRI.

Tehnologia cumpărată recent de SRI în proiectul „Țițeica” permite căutarea în datele de trafic

Faptul că șeful Centrului Cyberint susține că SRI nu va căuta în datele din cloud sau că nu vede în prezent ce caută utilizatorii protejați în sistemul Țițeica, nu înseamnă că tehnologia gestionată de SRI nu permite acest lucru.

„N-ai cum la un set atât de mare de date să nu ai funcții de căutare, e noaptea minții”, a precizat pentru HotNews.ro un expert IT care a dorit să-și păstreze anonimatul.

De altfel, caietul de sarcini al unei licitații atribuite anul trecut de SRIpentru dezvoltarea sistemului Țițeica arată că tehnologia care va fi implementată pentru cele peste 60 de instituții publice monitorizează traficul de email și de internet al utilizatorilor.

IATĂ AICI CAIETUL DE SARCINI AL SRI

Iată câteva exemple din caietul de sarcini despre soluțiile cumpărate de SRI:

1. Soluție de tip Unified Threat Management / next generation firewall:

La momentul actual 33 de instituții cu valențe critice (IVC) dețin o soluție UTM (fortinet Fortigate) implementată.

Soluția de tip UTM/NGFW reprezintă o soluție hardware integrată de protecție a rețelelor cibernetice cu capabilități de: rutare, firewall, scanare antivirus, IPS, filtrare URL, control al aplicațiilor și VPN, destinat ca o soluție de securitate unificată.

Noua soluție cumpărată de SRI vizează identificarea și controlul a peste 3000 de aplicații și monitorizarea aplicațiilor pe bază IP/utilizator. Această soluție are la rândul ei mai multe echipamente, iar la funcțiile de securitate se spune că soluția ar trebui să poată monitoriza și controla traficul per utilizator, adresa, aplicația utilizată sau adresa/categoria URL.

Soluția ar trebui să poată filtra/monitoriza traficul și logurile după locația geografică sau țară și filtrarea adreselor URL folosind cel puțin 60 de categorii URL în peste 40 de limbi de circulație internațională.

2. Soluție de tip email gateway: la momentul actual există 26 de instituții cu valențe critice (IVC) care dețin soluție de tip email gateway (cisco email security appliance).

Soluția ar trebui să conțină 19 instanțe hardware și instanțe virtuale folosite în cadrul IVC-urilor în funcție de necesitățile SRI și ar trebui să protejeze concomitent cel puțin 25.000 de utilizatori simultan, având capabilități de a carantina sau bloca mesajele de tip e-mail care conțin malware, spam, phishing sau alt tip de conținut malițios.

Soluția ar trebui să aibă capabilităţi de identificare şi blocare a exfiltrărilor de date tip „DLP” prin analiza conţinutului email-urilor şi a ataşamentelor și va scana și URL-urile din corpul mesajelor. (etc.)

3. Soluție de tip Web Gateway: reprezintă o soluție hardware integrată de protecție a utilizatorilor dintr-o rețea cibernetică cu capabilităţi de analiză a traficului web, protecție anti-malware și filtrare URL – Uniform Resource Locator.

La momentul actual există 34 de instituții cu valențe critice (IVC) care dețin soluție tip Web Gateway(Cisco Web Security Appliance).

Noua soluție cumpărată de SRI ar trebui să protejeze cel puțin 25.000 de utilizatori simultan și va asigura filtrarea după categorii URL predefinite (Ex.: pornografie, socializare, servicii de e-mail prin portal web, anonimizare, jocuri de noroc, „web chat”, „peer-to-peer”) etc.

Mai mult, în cadrul aceleași licitații, SRI a cumpărat și un produs numit Kit Forensics Lab care va permite investigarea modului de operare al atacatorilor cibernetici prin identificarea și analiza tehnicilor, tacticilor și procedurilor utilizate.

Sunt practic echipamente hardware și software prin care pot fi investigate computerele sau sistemele de operare afectate de atacuri cibernetice.

În cadrul acestui Kit Forensics Lab este și un software de investigare a sitoricului de navigare pe internet a utilizatorilor. Aplicația are următoarele funcții:

– extrage datele referitoare la activitatea pe Internet a utilizatorului sistemului de calcul analizat.
– identifică cele mai accesate siteuri sau creșterea activității utilizatorului la navigarea pe Internet.
– asigură recuperara fișierelor asociate istoricului din browserele WEB. Extrage imaginile vizualizate de utilizatorul sistemului de calcul din fișierele cache ale browserului WEB.
– extrage paginile WEB vizualizate de utilizatorul sistemului de calcul din fișierele cache ale browserului WEB
– poate extrage istoricul de căutări pe Internet ale utilizatorului de pe motoarele de căutare etc.

Aplicația va dispune de o interfață grafică intuitivă pentru vizualizarea și analizarea datelor prin care se asigură:

– vizualizarea URL-urilor extrase;
– opțiuni de filtrare;
– data și ora când a fost vizitat un site web;
-numărul de accesări pentru fiecare URL;
-locația de unde au fost extrase datele (ex: fișiere cache, istoric, cookie)

Licitația SRI a fost câștigată de firmele S&T România și Datanet Systems, valoarea finală a contractului fiind de aproape 123 milioane de lei. Contractul dintre SRI și cele două firme a fost semnat în data de 9 august 2021, soluția de upgrade la vechiul sistem de securitate cibernetică Țițeica urmând practic să devină operațională în luna august din acest an.

De ce nu vor unele instituții ca DNA, CSM ori Autoritatea Electorală să-și migreze sistemele IT în cloud-ul gestionat de SRI și STS

Cloud-ul guvernamental, infrastructura IT finanțată cu 375 milioane de euro din PNRR, ar trebui să găzduiască sistemele IT ale instituțiilor publice și să îmbunătățească interacțiunea cetățenilor cu statul.

În plus, tot în PNRR mai există o alocare de 187,05 milioane de euro pentru „investiții pentru dezvoltarea/migrarea în cloud” a aplicațiilor existente aferente serviciilor publice.

Proiectul a stârnit însă multe controverse atât în mediul privat, dar și public. Toată infrastructura IT a cloud-ului ar urma să fie găzduită în centre de date ale STS, iar securitatea cibernetică ar urma să fie asigurată de SRI.

Peste 20 de instituții publice, din care unele furnizează un număr foarte mare de servicii publice electronice, nu se grăbesc să-și mute sistemele IT în cloud-ul guvernamental. Mai mult, 6 dintre acestea, printre care DNA, Curtea Constituțională, Autoritatea Electorală Permanentă și Registrul Comerțului (ONRC) au transmis că „nu consideră necesară sau posibilă utilizarea infrastructurii Cloud-ului Guvernamental pentru serviciile informatice administrate.

Alte 5 instituții printre care DIICOT ori Consiliul Superior al Magistraturii(CSM) au refuzat să răspundă întrebărilor SRI și STS privind dimensionarea IT a acestui cloud.