' fill='%23FBBC05' d='M0 37V11l17 13z'/%3E%3Cpath clip-path='url(%23b)' fill='%23EA4335' d='M0 11l17 13 7-6.1L48 14V0H0z'/%3E%3Cpath clip-path='url(%23b)' fill='%2334A853' d='M0 37l30-23 7.9 1L48 0v48H0z'/%3E%3Cpath clip-path='url(%23b)' fill='%234285F4' d='M48 48L17 24l-4-3 35-10z'/%3E%3C/svg%3E){kind=small}
De ce este important: În contextul războiului de agresiune asupra Ucrainei, tot mai multe state membre ale Uniunii Europene au emis recomandări sau acte normative cu caracter imperativ, prin care au impus propriilor autorități și instituții publice să schimbe soluțiile antivirus dacă folosesc anumite soluții, deoarece există riscul ca Rusia să exploateze aceste soft-uri într-un atac cibemetic. Prin urmare, și Guvernul României a adoptat, în septembrie 2022, un proiect de lege care interzice administrației centrale și locale achiziționarea de produse și servicii de tip antivirus de la entități provenind din Federația Rusă sau aflate sub controlul Federației Ruse.
Înainte de a fi prezentată aici, informația a fost anunțată cu mult înainte pe Profit Insider
Printr-o decizie ulterioară, Parlamentul a extins interdicția de a cumpăra software de la entități rusești și la companii private. Măsura vizează în mod special operatorii economici care gestionează infrastructuri critice sau dețin secrete industriale și comerciale de interes statal, pentru a preveni riscurile de spionaj și atacuri cibernetice.
Ca urmare a acestor restricții, companii importante de profil din Rusia, precum Kaspersky, au luat decizia de a-și închide oficial subsidiarele din România.
Guvernul își propunea ca legea să producă efecte strict pe întreaga durată a invaziei declanșată de Federația Rusă împotriva Ucrainei, până la data semnării unui tratat de pace sau a unui acord permanent de armistițiu care să consfințească integritatea teritorială a Ucrainei, reparații pentru prejudiciile suferite de țara invadată, precum și cooperarea Federației Ruse cu organismele naționale și internaționale competente pentru pedepsirea persoanelor care se fac vinovate de crime de război sau crime împotriva umanității.
Interdicția prevăzută a fost prezentată astfel ca una temporară, iar legea a prevăzut aplicarea ei până la data de 31 decembrie 2026.
Acum, un proiect analizat de Profit.ro prevede prelungirea temenului de aplicare a interdicției de la 31 decembrie 2026 la 31 decembrie 2035.
Inițiatorii proiectului arată că ărelungirea este necesară și proporțională, deoarece cauzele care au justificat adoptarea legii nu numai că persistă, ci s-au agravat.
”La împlinirea temenului actual, interdicția ar înceta, iar autoritățile și instituțiile publice ar putea reintroduce în sistemele lor infomatice produse și servicii controlate de un stat agresor, contrar scopului prevăzut (...). Temenul de 31 decembrie 2035 asigură un orizont de protecție stabil, pe durata previzibilă a amenințării”, argumentează inițiatorii.
Aceștia subliniază că România este încă țintă directă pentru hackerii ruși.
În perioada 29 aprilie - 1 mai 2022, gruparea pro-rusă Killnet a desfășurat atacuri de tip DDoS care au scos din fiincțiune site-urile Ministemlui Apărării Naționale, Poliției de Frontieră, Guvemului României și ale companiei CFR, precum și ale unor aeroporturi și ale companiei TAROM, ca represalii pentru sprijinul acordat Ucrainei
De asemenea, în toamna anului 2024, infi-astructura electorală a României a fost ținta a peste 85.000 de atacuri cibemetice în perioada premergătoare alegerilor prezidențiale.
Atacurile, evaluate de autorități drept operațiunea unui actor statal cu legături cu Federația Rusă, au vizat sistemele Autorității Electorale Pemanente, iar date de acces au fost publicate pe platfome rusești. Documentele Consiliului Suprem de Apărare a Țării au fost declasificate, iar Curtea Constituțională a anulat procesul electoral prezidențial la 6 decembrie 2024.
Cel mai recent, însă, în urma celui mai grav atac, serviciile informatice de cadastru ale ANCPI au fost nefuncționale, începând cu 14 iulie, timp de aproape o lună, reluarea serviciilor realizândud-se etapizat începând de la mijlocul lunii august.
Administrația din România cumpăra Kaspersky pe baza prețurilor mici
Guvernul a prezentat ca exemplu în România, citând însă surse din presă, faptul că Primăria București ar fi organizat o licitație pentru achiziționarea unui antivirus Kaspersky Endpoint Security For Business Select pentru 1.200 de echipamente, cu mentenanță inclusă 12 luni. Biroul de Presă al instituției primarului general a transmis că Primăria Capitalei folosește antivirusul Kaspersky din anul 2012.
Foarte multe instituții publice și autorități ale administrației publice locale achiziționau programe software de antivirus rusești din cauza prețurilor mici, arăta Guvernul, care susținea că acestea sunt însă o vulnerabilitate.
”Prezența software-urilor rusești de tip antivirus reprezintă o vulnerabilitate la adresa securității cibernetice autorităților și instituțiilor românești, din cauză că aceste programe acaparează funcții importante ale rețelelor și sistemelor informatice, creând relații de interdependență. În contextul în care Federația Rusă utilizează inclusiv atacuri de tip cibemetic la adresa statelor occidentale și își folosește companiile naționale și cetățenii ruși, prin diverse metode, în războiul asupra Ucrainei, încălcând toate normele de drept internațional în materie, România nu poate să-și asume prezența unor produse și servicii IT rusești în infrastructuia cibernetică națională”, considera Executivul.
Prevederile legale
Legea interzice autorităților și instituțiilor publice de la nivel central și local să achiziționeze și să utilizeze produse și servicii privind securitatea dispozitivului (securitatea punctului final), aplicații și programe software de detecție antivirus, anti-malware, firewall pentru aplicații web (Web Application Firewall), rețele virtuale private (Virtual Private Network), precun și sisteme de detecție și răspuns pentru endpointuri (Endpoint Detection Response) provenind din Federația Rusă sau aflată sub controlul direct sau indirect al unei persoane fizice sau juridice din Federația Rusă.
Legea se aplică și ”tuturor rețelelor și sistemelor informatice care gestionează informații clasificate, deținute de persoane juridice de drept public și privat aflate pe teritoriul României”, cu excepția celor deținute de autoritățile și instituțiile cu atribuţii proprii în domeniul securităţii naţionale, în domeniul securităţii cibernetice, apărării naţionale şi ordinii publice.
Autoritățile au susținut că entitățile din urmă pot achiziționa astfel de software în scopuri de cercetare și prevenire a eventualelor riscuri ridicate de produsele resepective.
”În concret, avem în vedere acele rețele și sisteme informatice ale posesorilor de autorizații de securitate industrială, aviz de securitate industrială sau certificat de securitate industrială care pot fi persoane juridice de drept privat și care, deși îndeplinesc condițiile de acces și autorizare prevăzute de HG nr, 585/2002, dețin licențe de antiviruși rusești. Din punctul de vedere al criteriilor de protecție a surselor generatoare de informații INFOSEC, aceștia îndeplinesc condițiile prevăzute de Legea nr, 182/2002 și HG nr. 585/2002 (ambele fiind legislații vechi), deoarece ele nu prevăd ca protecția cibernetică să se realizeze cu un anumit tip de operator. Cu toate acestea, există o vulnerabilizare a persoanelor juridice de drept privat care vehiculează informații clasificate în virtutea HG nr. 585/2002 și care, în prezent, nu pot fi oprite să-și apere rețelele și sistemele informatice cu softuri de antivirus din Federația Rusă. De aceea, acest amendament are menirea de a conferi o protecție completă și corectă a informațiilor clasificate, inclusiv a celor vehiculate de persoane juridice de drept privat prin intermediul INFOSEC”, explicau autorii amendamentelor.
Nerespectarea de către autoritățile și instituțiile publice a prevederilor constituie contravenție și se sancționează cu amendă de la 50.000 și 200.000 lei.
În 60 de zile de la data intrării în vigoare a legii, toate produsele și serviciile de tipul celor prevăzute au trebuit deconectate, respectiv dezinstalate de la rețelele și sistemele informatice ale autorităților și instituțiilor publice de la nivel central și local.
