Analiză publicată în aprilie 2023. Documentul complet este disponibil mai jos, în format PDF.

Analiza de mai jos pornește de la o vulnerabilitate identificată în infrastructura Băncii Naționale a României și arată impactul probabil al unei astfel de probleme asupra unei instituții sau a unei companii. Ideea centrală: vulnerabilitățile considerate „risc acceptabil”, pentru că nu afectează direct sistemele principale, pot deveni puncte de plecare pentru atacuri serioase.

Pe scurt

• Infractorii cibernetici caută permanent vulnerabilități în infrastructurile critice: financiar, transport, energie.
• O vulnerabilitate aparent minoră poate oferi acces spre zone confidențiale sau poate fi folosită în atacuri de imagine și phishing.
• Specialiștii din instituțiile publice și din echipele de securitate detectează și remediază astfel de probleme, dar raportarea lor trebuie tratată serios.
• Documentul PDF prezintă vulnerabilitatea și impactul probabil.

De ce contează vulnerabilitățile „minore”

Dependența de tehnologie a crescut, iar odată cu ea expunerea la riscuri. Odată ce găsesc o vulnerabilitate, atacatorii pot accesa zone confidențiale, pot compromite informații sau pot produce pagube semnificative.

Uneori, organizațiile ignoră o vulnerabilitate despre care au fost informate, fiindcă nu afectează direct sistemele principale, și o încadrează drept risc acceptabil. Analiza arată de ce această decizie trebuie luată pe baza unei evaluări reale a impactului, nu a unei impresii.

Rolul specialiștilor

Specialiștii în securitate cibernetică din instituțiile publice și din echipele dedicate lucrează pentru a detecta și remedia vulnerabilitățile din infrastructurile critice. Munca lor protejează economia și societatea, dar depinde de un proces clar prin care raportările sunt primite, evaluate și rezolvate.

Documentul complet

Analiza unei vulnerabilități: Banca Națională a României (PDF)

Ce rămâne valabil azi

• orice vulnerabilitate raportată trebuie evaluată după impactul posibil, nu după cât de departe pare de sistemele critice;
• organizațiile au nevoie de o politică de divulgare responsabilă, prin care cercetătorii să poată raporta problemele în siguranță; ProDefence are propria politică de divulgare responsabilă;
• entitățile din sectorul bancar intră sub NIS2, care cere gestionarea vulnerabilităților ca măsură obligatorie.

Securitatea cibernetică este o responsabilitate comună. Pentru identificarea vulnerabilităților înaintea atacatorilor, ProDefence oferă audit de securitate web și de rețea.