Salutare tuturor! Am făcut un IGDLCC de urgență, pentru că povestea de la ANCPI nu e un accident izolat, ci un simptom. I-am adus la aceeași masă pe Dan Câmpean, directorul Directoratului Național pentru Securitate Cibernetică (DNSC), și pe Alex „Jay” Bălan, unul dintre cei mai buni white hat hackeri pe care îi avem, ca să tranșăm sincer cât de expusă e infrastructura statului român și, mai important, ce putem face. Dacă vă interesează cum stă România cu securitatea cibernetică, discuția asta vă schimbă câteva certitudini.
„Dani1234″ nu e o glumă, e o parolă reală pe serverele statului
Am început brutal: le-am citit celor doi invitați câteva parole și i-am rugat să confirme dacă sunt reale. „Dani1234″. „root” cu arond și zero. Genul de parole pe care le vezi în meme-uri. Verdictul lor a fost demolator: statistic, aproape sigur există chiar acum parole de genul ăsta pe sisteme publice. Problema nu e că oamenii își pun parole proaste, ci că li se permite să își pună parole. Am mai simțit gustul ăsta amar și în valul de breșe despre care v-am povestit recent, doar că de data asta vorbim de datele noastre din instituții.
Soluția reală: renunțarea la parole
Poate sună radical, dar prima măsură pe care ar trebui să o ia orice instituție serioasă este să scape de parole. Nu vorbim de „parole mai lungi”, ci de autentificare printr-un server de identitate, o singură dată, hiper securizată cu multifactor authentication, iar apoi autorizarea să fie delegată către sistemele unde ai nevoie de acces. În momentul în care le dai oamenilor libertatea să își aleagă parola, chiar și la NASA vor apărea parole proaste. Dovadă că și NASA a fost spartă. Am mai atins subiectul parolelor cu adevărat sigure și al trecerii spre passkeys, iar concluzia rămâne aceeași: viitorul e fără parolă.
NIS 2 și cele 4000 de organizații care nu știu că le pică pe cap
Aici a venit partea care pe mine m-a surprins. Directiva NIS 2 se aplică unor sectoare foarte clar definite: transport, financiar-bancar, sănătate, apă de băut, ape reziduale, producție. Practic, de la CFR și Apa Nova până la mii de fabrici. DNSC a înregistrat deja în jur de 4000 de organizații la nivelul României. Sună mult, dar Dan Câmpean a pus lucrurile în perspectivă: avem jumătate de milion de IMM-uri, deci mai puțin de 1% dintre organizații intră sub incidența legii. Vestea proastă e că multe dintre ele încă nu știu că li se aplică.
Diferența dintre 50 de vulnerabilități pe hârtie și una demonstrată
Alex a explicat un mecanism uman pe care îl vedem peste tot: dacă îți arăt pe hârtie 50 de vulnerabilități, poate nu te apuci de niciuna. Dar dacă vine cineva, îți sparge una singură și îți arată „uite cum ți-am scos datele”, brusc devii foarte motivat să repari. Din păcate, imensa majoritate a organizațiilor care au avut incidente reale au avut o epifanie subită abia după ce s-a întâmplat nenorocirea. Exact tiparul pe care l-am discutat și când am analizat cel mai recent hack asistat de AI: atacul e din ce în ce mai automatizat, iar apărarea rămâne reactivă.
Decriminalizarea hacking-ului etic, un pas necesar
O veste bună: există o inițiativă legislativă prin care se decriminalizează accesul autorizat la sisteme pentru testare. Până acum, dacă te atingeai de platforma cuiva, chiar și cu intenții bune, te trezeai automat cu dosar penal. E o barieră care i-a ținut departe pe mulți dintre oamenii buni de care avem disperată nevoie. Pentru că, peste tot, planează aceeași problemă: o lipsă acută de specialiști cu expertiză reală, exact când geopoliticul și AI-ul complică lucrurile și mai tare.
Raportarea incidentelor și partea bună a NIS 2
Pentru organizațiile reglementate, raportarea imediată a incidentelor e obligație legală. Partea îmbucurătoare, spune DNSC, e că oamenii chiar raportează. Nu au existat cazuri în care directoratul să detecteze un incident la o lună distanță și să tragă instituția de mânecă. Odată ce știi că ți se aplică legea, îți cam îndeplinești obligațiile. E un semn că, măcar la nivelul celor mari, cultura de securitate începe să prindă.
Și pentru că tot vorbeam de AI: „a evadat din sandbox”
La final ne-am amuzat de cel mai nou episod de marketing: povestea unui model AI care ar fi „evadat” dintr-un mediu controlat și ar fi spart Hugging Face peste noapte. Concluzia comună a fost că e prea mito ca să fie complet real și că povestea îi avantajează suspect de bine pe cei de la OpenAI. Am mai văzut filmul ăsta, l-am și disecat când am discutat despre malware-ul generat cu AI și cum OpenAI dă tonul. Hype-ul e o armă, iar noi trebuie să o citim ca atare.
De ce merită să vedeți episodul integral
ANCPI e doar începutul, iar discuția asta dintre un director de directorat și un hacker etic e genul de conversație pe care rar o auziți fără limbaj de lemn. Vă recomand să vă rupeți cele două ore și să o urmăriți cap-coadă. Dacă vă plac dialogurile astea aplicate, aruncați un ochi și pe episodul anterior cu Gurudev de la #IGDLCC 343. Iar dacă v-a plăcut, dați un like, un abonat și lăsați-mi în comentarii ce v-a speriat cel mai tare. Ne vedem în următorul clip!
