Yugo NEUMORNI, CIO Council: Companiile din zona de infrastructuri critice naționale – energie, gaz, utilități, medical, financiar-bancar – ar trebui să aibă strategii de apărare cibernetică și să fie extrem de atente în următoarea perioadă

Acest conflict militar, care se întâmplă din păcate în proximitatea României, nu numai că a crescut riscurile de atacuri cibernetice, dar a făcut să se vorbească foarte deschis despre atacuri cibernetice, despre posibilitatea ca unele ținte din România să fi atacate de către actori statali, a spus Yugo NEUMORNI, Președintele CIO Council, la cea de-a patra ediție a evenimentului Cybersecurity Online Forum organizat de Financial Intelligence, pe 13 aprilie 2022.

El a spus: “Se vorbește deschis. Cred că nu mai este loc de nuanțe, având în vedere că, acum 6 săptămâni, administrația de la Kremlin a spus clar și răspicat că vizează toate țările neprietenoase printre care și România. La rândul lor, sustinatorii ucrainenilor sau grupări de tip Anonymous au amenințat Rusia cu atacuri cibernetice.

Deci este momentul să fie spus absolut clar și răspicat că avem nevoie să ne uităm încă o dată în ograda noastră, în propriile companii, sa ne revizuim mecanismele de aparare cibernetica si să înțelegem că putem să devenim victime.”

Domnia sa a punctat câteva idei din zona de Industrial Control Systems: „Mă refer la companiile care ar putea să fie target, în special zona de infrastructuri critice naționale – energie, gaz, utilități, medical, financiar-bancar, și toate celelalte infrastructuri esențiale, ar trebui să fie extrem de atente in următoarea perioadă. Orice fel de ICN (instituție critică la nivel național) ar trebui să aibă, la ora actuală, o strategie de apărare cibernetică. Dacă nu are, este grav!

Această strategie trebuie să fie condusă direct de către board, de către executivi, înțeleasă de către toți factorii de decizie, de către toți stakeholderii, testată și updatată permanent. Din păcate, strategiile de apărare sunt făcute, de multe ori, ca “să dăm bine” la compliance, să dăm bine în niște rapoarte care s-au făcut de formă.

Este momentul să ne îndreptăm foarte serios asupra planurilor de reziliență și să vedem dacă ele chiar funcționează.”

Yugo Neumorni a subliniat ca este nevoie de testare. De exemplu, sunt bănci care au testat desaster recovery și nu au funcționat sau au avut niște surprize majore in procesul de testare, a spus el.

Yugo Neumorni a amintit de regula privind segregarea zonei OT (operational technology) de IT (information technology). El a evocat cazul Norsk Hydro, unde s-a întâmplat o catastrofă în 2019: „Vorbim despre 129 de fabrici distribuite în 22 țări, 40 de orașe. A fost ceva extraordinar, 30.000 de angajați Norsk Hydro reduși la pix și hârtie și toate procesele operaționale oprite și asta datorită lipsei de segregarea rețelelor OT și IT. Sigur, si-au restaurat serviciile integral după câteva luni. Dar segregarea simplă, a rețelelor OT și IT, refacerea topologiei ar trebui să fie în atenția companiilor. (…)

Eu, dacă aș fi un director, aș spune: “Vă rog să îmi prezentați cum arată arhitectura, care sunt riscurile în zona de arhitectură IT. Ați segregat OT de IT? Care sunt mecanismele de segmentare? Dacă nu, ce avem nevoie?” Nici nu îți trebuie prea mulți bani ca să faci acest lucru.

Potrivit lui Yugo Neumorni, boardul trebuie sa se întrebe ce face compania dacă se trezește fără nici un calculator funcțional. Există companii care fac acest tip de exerciții de simulare, aduc boardul și IT-ul la aceeași masă pentru a înțelege cum răspunde compania unor astfel de amenințări.

Avand în vedere că rușii au spus că sunt target toate țările europene și țările NATO, ICN-urile din România trebuie să își verifice toate mecanismele, toate protecțiile, să facă toate testele de rigoare și, mai ales, să aibă un plan de contingență, să aibă un plan de backup.

Yugo Neumorni a mai adăugat că, pe partea de training, ducem lipsă de personal, de specialiști. Pe de altă parte, educarea populației este foarte importantă.

“Deci trebuie, din punctul meu de vedere, investit foarte mult în această zonă.

Nu e vorba de bani, e vorba de a înțelege că mediul actual, climatul actual este extrem de periculos din perspectiva cibernetică. Lucrurile sunt fără perdea, asta este realitatea.

Aș spune că este momentul să acceptăm să diminuăm profitul cu o mică parte pentru că apărarea cibernetică vine cu un cost. Nu trebuie atât de mulți bani pe cât pare la prima vedere pentru a ne proteja mai mult, pentru a reuși salvăm compania în caz de atac cibernetic. Nu uitați ce a zis John Chambers, fostul CEO al CISCO: există două tipuri de companii – cele care a fost atacate și cele care încă nu știu că au fost atacate.”