Sunteți pe pagina 1din 73

MINISTERUL AFACERILOR INTERNE

ACADEMIA DE POLIIE ALEXANDRU IOAN CUZA

REZUMAT

TEZ DE DOCTORAT

MANAGEMENTUL SECURITII CIBERNETICE


LA NIVEL NAIONAL
repere fundamentale i percepie social

CONDUCTOR DE DOCTORAT:
PROF.UNIV. DR. DAN VICTOR CAVAROPOL

DOCTORAND:
ANDREI (MARTIN) IOANA

Bucureti
2016
CUPRINS

GLOSAR ............................................................................................5
INTRODUCERE ..............................................................................11
CAPITOLUL I - SPAIUL CIBERNETIC ......................................21
1.1. DEFINIRE CONCEPTUAL ...............................................21
1.2. CARACTERISTICILE SPAIULUI CIBERNETIC ............25
1.3. VULNERABILITI ALE SPAIULUI CIBERNETIC......27
1.3.1. Vulnerabiliti software ..........................................................28
1.3.2. Vulnerabiliti hardware .........................................................31
1.3.3. Vulnerabiliti ale conexiunii ntre hardware i software ........33
1.3.4. Vulnerabiliti ale canalelor de comunicaii ...........................36
1.3.5. Vulnerabiliti ale utilizatorilor sistemului .............................39
1.3.6. Vulnerabiliti ale noilor tehnologii ........................................40
1.4. AMENINRI CIBERNETICE ...........................................44
1.4.1. Definire conceptual ...............................................................44
1.4.2. Categorii i metode comune de atacuri cibernetice .................50
1.4.3. Fazele unui atac cibernetic ......................................................55
1.4.4. Atribuirea atacurilor cibernetice..............................................59
1.4.5. Arme cibernetice .....................................................................63
1.4.6. Sisteme, metode i tehnici de detectare i prevenire a atacurilor
cibernetice .........................................................................................69
1.5. CONCLUZII ..........................................................................79
CAPITOLUL IISECURITATEA CIBERNETIC O NOU
DIMENSIUNE A SECURITII NAIONALE ............................81
2.1. PRINCIPII GENERALE ........................................................81
1
2.2. INFRASTRUCTURI INFORMATICE CRITICE .................84
2.2.1. Definire conceptual ...............................................................84
2.2.2. Modaliti de identificare ........................................................87
2.2.3. Protecia infrastructurilor cibernetice critice (PICC) ............. 89
2.2.4. Actori implicai n PICC .........................................................91
2.3. STRATEGII DE SECURITATE CIBERNETIC ................ 93
2.4. REPERE ORIENTATIVE REFERITOARE LA
SECURITATEA CIBERNETIC ....................................................98
2.4.1. La nivel internaional ..............................................................98
2.4.2. La nivel european ..................................................................109
2.5. CONCLUZII ........................................................................119
CAPITOLUL III BUNE PRACTICI N DOMENIUL
SECURITII CIBERNETICE LA NIVELUL UE ......................123
3.1. CARACTERISTICI GENERALE .......................................123
3.2. AUSTRIA ............................................................................125
3.3. BELGIA ...............................................................................128
3.4. CEHIA ..................................................................................132
3.5. CIPRU ..................................................................................136
3.6. CROAIA ............................................................................140
3.7. DANEMARCA ....................................................................141
3.8. ESTONIA .............................................................................143
3.9. FINLANDA .........................................................................149
3.10. FRANA ..............................................................................152
3.11. GERMANIA ........................................................................158
3.12. IRLANDA ...........................................................................164
3.13. ITALIA ................................................................................166
2
3.14. LETONIA ............................................................................171
3.15. LITUANIA ...........................................................................177
3.16. LUXEMBURG ....................................................................179
3.17. MAREA BRITANIE ............................................................182
3.18. OLANDA .............................................................................187
3.19. POLONIA ............................................................................194
3.20. SLOVACIA ..........................................................................199
3.21. SLOVENIA ..........................................................................201
3.22. SPANIA ...............................................................................203
3.23. UNGARIA ...........................................................................205
3.24. CONCLUZII ........................................................................209
CAPITOLUL IV MANAGEMENTUL SECURITII
CIBERNETICE LA NIVEL NAIONAL ......................................213
4.1. CONTEXT ...........................................................................213
4.2. LEGISLAIE .......................................................................214
4.3. PICC .....................................................................................221
4.4. ENTITI OPERAIONALE ............................................224
4.5. COLABORARE/ COOPERARE .........................................225
4.6. EDUCAIE ..........................................................................228
4.7. ATACURI CIBERNETICE N ROMNIA ........................230
4.8. CONCLUZII ........................................................................232
CAPITOLUL V STUDIU PRIVIND PERCEPIA ASUPRA
SECURITII CIBERNETICE N ROMNIA ............................235
5.1. METODOLOGIA DE CERCETARE ..................................235
5.2. DERULAREA CERCETRII .............................................240
5.3. ANALIZA REZULTATELOR ............................................241
3
5.3.1. Abordarea cantitativ a studiului ...........................................241
5.3.2. Perspective calitative ............................................................ 243
5.4. CONCLUZII ........................................................................251
CONCLUZII FINALE ...................................................................253
BIBLIOGRAFIE ............................................................................259
LISTA FIGURILOR, TABELELOR I GRAFICELOR ...............273
LISTA ANEXELOR ......................................................................275

4
GLOSAR
Termen Denumire Definiie/ Descriere
ANCOM Autoritatea Naional
pentru Administrare i
Reglementare n
Comunicaii
backdoor Este un tip de malware creat pentru
a ocoli sistemele de securitate/
autentificare ale unui computer.
bit/ bii Prescurtare de la Cea mai mic unitate de msur a
binary digit datelor electronice care conine
valoarea binar 0 sau 1. Un byte
conine 8 bii.
botnet Un grup de computere infectate cu
malware ce pot fi controlate de la
distan.
browser Aplicaie utilizat pentru a accesa i
vizualiza site-uri.
BSA | The BSA este susintorul industriei
software software la nivel mondial nainte de
Alliance guverne i pe piaa internaional.
CCDCOE NATO Cooperative CCDCOE este o facilitate NATO
Cyber Defence Centre acreditat pe zona de cercetare i
of Excellence instruire care se ocup de educaie,
consultan, lecii nvate, cercetare
i dezvoltare n domeniul securitii
cibernetice.
CCR Curtea Constituional
a Romniei
CCRA Common Criteria
Recognition
Arrangement
CERT Computer Emergency
Response Teams
CERT-RO Centrul Naional de
Rspuns la Incidente
de Securitate
Cibernetic
cip/ cipuri Circuit integrat Dispozitiv electronic alctuit din
mai multe componente electrice i

5
electronice interconectate, pasive i
active.
CIRST Computer Security
Incident Response
Team
controller O bucat de hardware care se
comport ca o interfa ntre placa de
baz i celelalte componente ale
computerului.
computer Echipament programabil care poate
executa un set de instruciuni
complexe i poate rspunde la noi
instruciuni.
CSA Consiliu Suprem de
Aprare a rii
EFMS European Forum for EFMS ofer o platform care
Member States ntreine schimbul de bune practici,
informaii i expertiz ntre statele
membre pe problematici de politic
public relevante pentru securitate i
rezilien n contextul CIIP
conform Strategiei de securitate a
UE.
EGC European Government Reprezint o asociere informal a
CERTs Group CERT-urilor guvernamentale din
Europa. Membrii acestui grup
coopereaz pe problematici de
rspuns n caz de incident prin
construirea n jurul unei ncrederi i
nelegeri mutuale datorate
similitudinilor n seturile de
probleme.
email Mesaj transmis prin intermediul
potei electronice.
ENISA European Union ENISA este un centru de expertiz n
Agency for Network domeniul securitii cibernetice n
and Information Europa, nfiinat la 10 martie 2004
Security prin Regulamentul nr. 460/2004 al
Parlamentului i Consiliului
European.
firmware Microprograme elementare, stocate
n memoria permanent a
6
computerului, care ofer
instruciunile necesare unui
dispozitiv hardware s comunice cu
alte componente hardware.
FIRST Forum for Incident Organizaie principal i lider
Response and Security recunoscut la nivel mondial n
Teams rspunsul n caz de incident care
reunete echipe de rspuns n caz de
incident IT guvernamentale,
comerciale i ale instituiilor de
nvmnt.
GEANT GEANT este o organizaie care
acioneaz mpreun cu i pentru
membrii si ntr-o reea de cercetare
i educaie global. Interconecteaz
reelele naionale i de educaie
(NREN) a 10.000 de instituii din
Europa.
hacker Persoan care ncearc s obin, n
mod ilegal, acces neautorizat la
datele unui sistem.
hacktivism Aciuni derulate n spaiul cibernetic
n scopul promovrii i susinerii
unor ideologii, preri, politici.
hardware Structura fizic a echipamentelor.
HTTP Hypertext Transfer Protocol utilizat pentru transferarea
Protocol datelor pe web.
IC Infrastructuri Critice
ICE Infrastructuri Critice
Europene
ICC Infrastructuri
Cibernetice Critice
ICN Infrastructuri Critice
Naionale
Internet Reeaua global care conecteaz
computere din ntreaga lume.
IoT Internet of Things
IT Tehnologia
Informaiei

7
ITU International ITU este agenia specializat a
Telecommunication Naiunilor Unite pentru tehnologia
Union informaiei i comunicaiilor. Aloc
spectrul radio la nivel global,
dezvolt standarde tehnice care
permit reelelor i tehnologiilor
asemntoare s se interconecteze i
depune eforturi pentru a mbunti
accesul la TIC pentru comunitile
deservite din ntreaga lume.
ITU International IMPACT este un partener cheie al
IMPACT Multilateral ITU care contribuie la asigurarea
Partnership Against securitii spaiului cibernetic. Fiind
Cyber Threats primul parteneriat public-privat
mpotriva ameninrilor cibernetice
ITU IMPACT deservete o
platform global apolitic care
reunete guvernele din ntreaga
lume, industria, mediul academic,
organizaiile internaionale i think
tank-urile pentru a mbunti
capabilitile comunitii globale n
ceea ce privete gestionarea
ameninrilor cibernetice.
IWWN International Watch IWWN a fost nfiinat n anul 2004
and Warning Network pentru a ntreine colaborarea
internaional n ceea ce privete
ameninrile, vulnerabilitile i
atacurile cibernetice. Ofer un
mecanism de partajare a informaiei
care ajut la construcia unei situaii
globale i a unor mecanisme de
rspuns la incident.
laptop Computer portabil.
link Adres la care pot fi accesate resurse
Internet.
MAE Ministerul Afacerilor
Externe
MAI Ministerul Afacerilor
Interne

8
malware Program software creat cu scopul de
a aduce prejudicii sistemului pe care
este instalat.
MAP Ministerul Aprrii
Naionale
MCSI Ministerul
Comunicaiilor i
pentru Societatea
Informaional
NATO North Atlantic Treaty
Organization
NIS Network Information
Security
OECD The Organisation for Misiunea OECD este de a promova
Economic Co- politici care mbuntesc condiia
operation and economic i social a oamenilor din
Development jurul lumii. A fost nfiinat n anul
1948 sub denumirea de
Organisation for European
Economic Co-opertion/ OEEC,
pentru a ajuta la administrarea
planului Marshall pentru
reconstrucia Europei dup cel de-al
Doilea Rzboi Mondial, n 1961
reformndu-se sub denumirea de
OCDE, fiind extins i pentru state
din afara Europei.
online Conectat la Internet.
ONU Organizaia Naiunilor ONU este cea mai important
Unite organizaie internaional, nfiinat
n anul 1945, format, n prezent din
193 de state membre. ntemeierea ei
a constat n semnarea, de ctre
membrii fondatori, a Crii
Organizaiei Naiunilor Unite.
ORNISS Oficiul Registrului
Naional al
Informaiilor Secrete
de Stat
OSCE Organization for OSCE este o organizaie
Security and Co- internaional care are o abordare
operation in Europe cuprinztoare a securitii, ce
9
cuprinde aspecte de politic-
militar, economice i de mediu,
precum i umane. Toate cele 57 state
participante beneficiaz de un statut
egal, iar deciziile sunt luate prin
consens, dar din punct de vedere
legal nu au caracter obligatoriu.
PIC Protecia
infrastructurilor critice
PICC Protecia
infrastructurilor
cibernetice critice
router Dispozitiv hardware care conecteaz
dou sau mail multe reele de
computere, bazat pe comutarea de
pachete.
server Un computer care ofer servicii altor
computere conectate la el prin
intermediul unei reele.
SIE Serviciul de Informaii
Externe
site Aplicaie web ce poate fi accesat
din Internet.
software Set de instruciuni necesar
funcionrii unei aplicaii.
SPP Serviciul de Paz i
Protecie
SRI Serviciul Romn de
Informaii
SUA Statele Unite ale
Americii
TIC Tehnologie
Informaiei i
Comunicaiilor
UE Uniunea European
USB Universal Serial Bus Dispozitiv de stocare care include
memorie flash.
virus Program software ce poate afecta
buna funcionare a computerului.
web Resurse Internet ce pot fi accesate
prin intermediul browserului.

10
INTRODUCERE
Astzi, trim ntr-o lume din ce n ce mai interdependent, iar
acest lucru este, n mare parte, datorat evoluiei TIC. Exist numeroase
beneficii ale acestei interdependene, ns i multe dezavantaje, lund
n considerare faptul c instituiile publice i ntreprinderile au devenit
dependente aproape n ntregime de sisteme IT. Prin urmare,
guvernele din ntreaga lume trebuie s fie pregtite pentru un nou set
de provocri, n condiiile n care viaa zilnic a fiecrui cetean,
economiile naionale, precum i securitatea naional a fiecrui stat
depind de un spaiu cibernetic sigur i stabil.
Fenomenul globalizrii a determinat statele s renune la a
exercita suveranitatea n mod absolut, ndreptndu-se ctre acceptarea
de aliane sau a unei influene din partea unor organisme regionale sau
internaionale.
n prezent, evoluiile tehnologice ofer entitilor sau rilor mai
puin dezvoltate oportunitatea de a deveni actori de prim rang. Apariia
acestor aa numii actori non-statali, care au profitat de propagarea
tehnologiilor de ultim or, i-au modificat metodele de aciune i le-
au folosit n detrimentul intereselor de securitate, a condus la sporirea
gradului de incertitudine.
Costurile mai reduse pe care le presupune achiziionarea de
sisteme informatice i posibilitatea nlocuirii avioanelor de lupt sau
bateriilor de rachete cu un grup de informaticieni, n vederea
exploatrii de vulnerabiliti, au contribuit la reconfigurarea mediului
actual.
11
n acest context, criminalitatea informatic este o preocupare n
cretere, traficul de fiine umane devine din ce n ce mai sofisticat,
crima organizat transfrontalier apare n noi forme i terorismul
rmne o ameninare la adresa securitii.
Evenimentele dramatice din SUA (11 septembrie 2001),
precum i cele din Madrid (11 martie 2004) i Londra (iulie 2005), au
confirmat faptul c societile moderne au devenit vulnerabile n faa
atacurilor teroriste i a ameninrilor asimetrice, care vizeaz, n
special, sigurana persoanei i securitatea infrastructurilor eseniale
pentru funcionarea societii n ansamblu.
Discuia privind protecia ICN se concentreaz tot mai mult pe
dimensiunea cibernetic, avnd n vedere faptul c toate
infrastructurile au fost afectate de revoluia informaional i includ
componente informatice, n principal, pentru funciile de comand i
control.
Protejarea ICC este un subiect care depete cu mult domeniul
tehnic, fiind o provocare major care ine de strategie i politic. Chiar
dac, per ansamblu, demersurile de reglementare sunt nc la nceput,
cele mai multe state au reglementri juridice i tehnice pentru anumite
sectoare.
Evaluarea impactului care nsoete planul de aciune privind
PIC, precum i rapoartele i analizele elaborate de reprezentai ai
sectorul public i privat evideniaz creterea continu a numrului,
amplorii i impactului ameninrilor. Suntem n prezent martorii unei
tendine de a folosi TIC pentru supremaie politic, economic i
militar, inclusiv prin dezvoltarea unor capaciti ofensive.
12
Amploarea acestor ameninri alarmeaz factorii de decizie ai
statelor lumii att prin implicaiile semnificative aduse sub aspectul
pierderilor financiare, ct i, mai ales, prin atingerea adus siguranei
naionale. ncepnd cu viruii creai pentru amuzament, s-a ajuns la
realizarea unor produse complexe, folosite pentru spionaj industrial.
Chiar dac au existat atacuri cibernetice anterioare, acestea au
intrat n atenia opiniei publice n anul 2007, cnd a fost afectat un stat
ntreg, Estonia. Ministerele, bncile i numeroase companii au fost
nevoite s i opreasc activitatea.
Evenimentele de securitate ce au urmat au condus la
contientizarea seriozitii ameninrilor cibernetice. n timpul
conflictului ruso-georgian din august 2008, au fost lansate atacuri
masive asupra site-urilor i serverelor guvernamentale din Georgia,
oferind termenului de rzboi cibernetic o imagine real.
Atacurile cibernetice amintite mai sus, intite asupra celor dou
state, au determinat o reevaluare a doctrinelor militare ale statelor
membre NATO, securitatea cibernetic cptnd, astfel, o important
strategic.
Cu toate acestea, adevratul nceput al rzboiului cibernetic
poate fi datat n anul 2010, odat cu apariia primei arme cibernetice,
virusul Stuxnet, proiectat s preia sub control i s saboteze subtil IC
ale unui stat.
Anii urmtori s-au remarcat prin descoperirea unui numr tot
mai mare de agresiuni cibernetice persistente, cu impact semnificativ
asupra securitii naionale.

13
Potrivit rapoartelor elaborate de companiile care activeaz n
domeniul asigurrii securitii sistemelor informatice, previziunile nu
sunt deloc ncurajatoare, preconizndu-se creterea complexitii
tehnologiilor utilizate, a numrului de dispozitive care se
interconecteaz i a numrului de actori, cu motivaii i scopuri
diferite, gata s acioneze i s perturbe echilibru fragil al acestui
mediu.
Acest mediu dinamic i complex, n continu evoluie i
transformare este cel a crui utilizare trebuie reglementat, fr ns a
afectata drepturile i libertile fundamentale ale cetenilor, precum
i posibilitile enorme de dezvoltare. Nu este deloc o misiune uoar
i necesit eforturi susinute i perseverente din partea autoritilor
interesate, precum i o abordare plin de tact care s nu genereze
reacii negative n rndul populaiei.
Motivaia i importana cercetrii
Opiunea pentru cercetarea n domeniul securitii cibernetice
rezid, n principal, din necesitatea instituiilor statului de a cunoate
n profunzime aceste elemente pentru a putea elabora reglementri
care s sprijine prevenirea materializrii ameninrilor cibernetice i
implementarea msurilor de rspuns n caz de incident informatic.
Ipoteze de cercetare
Ipoteza 1. Ritmul rapid de dezvoltare tehnologic, creterea
numrului i severitii atacurilor cibernetice, corelate cu dificultatea
proiectrii normative i costurile ridicate ale implementrii unor
mecanisme de rspuns creeaz vulnerabiliti majore pentru
securitatea naional.
14
Ipoteza 2. Terminologia actual n domeniul securitii
cibernetice, precum i nivelul diferit al msurilor legislative
implementate la nivelul statelor determin carene semnificative n
realizarea unei colaborri eficiente la nivel internaional.
Ipoteza 3. Percepia asupra aspectelor referitoare la securitatea
cibernetic reprezint barometrul n funcie de care autoritile i pot
modela politicile n domeniu.
Obiectivul principal al demersului const n definirea i
clarificarea terminologiei aferente mediului cibernetic, precum i
identificarea unor bune practici n domeniul securitii cibernetice care
s sprijine autoritile competente din Romnia n procesul legislativ,
n demersurile de diminuare a riscului de a fi supus unui atac cibernetic
i n aciunile de promovare i contientizare a culturii de securitate.
Obiective specifice
OB1. Delimitarea conceptual a noiunilor aferente spaiului
cibernetic i securitii cibernetice.
OB2. Stabilirea reperelor legislative care constituie o baza
solid n abordarea securitii cibernetice.
OB3. Identificarea bunelor practici n sfera msurilor
implementate pentru asigurarea securitii cibernetice la nivelul statelor
UE i analiza stadiului cadrului normativ intern.
OB4. Evaluarea percepiei utilizatorilor asupra aspectelor
specifice securitii cibernetice.
Demersul tiinific s-a derulat n dou mari etape de cercetare.
Prima etap, bazat, n principal, pe metoda exploratorie, a fost
dedicat clarificrilor conceptuale ntr-un domeniu care a cunoscut o
15
dezvoltare exponenial n lipsa unei fundamentri teoretice, genernd
n literatura de specialitate o mulime de abordri.
Rspunznd la ntrebarea ce este spaiul cibernetic? teza
conine un capitol dedicat detalierii caracteristicilor, vulnerabilitilor
i ameninrilor acestuia, fiind ilustrat complexitatea evolutiv a
elementelor componente.
n acest context, securitatea cibernetic a devenit un subiect de
interes aflat pe agenda autoritilor statelor din ntreaga lume,
devenind dimensiunea cea mai dinamic i mai greu de gestionat a
securitii naionale. Securitatea cibernetic se ntinde de la PIC, vitale
pentru funcionarea n condiii de normalitate a societii moderne,
pn la protecia fiecrui computer personal. Au fost supuse ateniei
strategiile de securitate cibernetic, ca documente programatice ce
faciliteaz definirea i implementarea politicilor n domeniu.
Abordarea teoretic este completat de analiza modului n care
au fost sistematizate la nivel internaional i la nivel european
demersurile de abordare a aspectelor legate de securitatea cibernetic.
Ulterior, cu caracter de noutate, am construit un tablou al strii
de securitate cibernetic la nivelul statelor membre UE care au deja
adoptate strategii de securitate cibernetic. Avnd n vedere scopul
demersului nostru Romnia a fost tratat ntr-un capitol separat, fiind
analizate, ntr-o manier pragmatic, msurile implementate pn n
prezent n domeniul securitii cibernetice.
n cea de-a doua etap a cercetrii am folosit metoda anchetei
sociologice pentru a determina percepia participanilor la studiu
asupra unor aspecte generale de securitate cibernetic ce au vizat
16
riscurile cibernetice, legislaia n domeniul cibernetic i actorii care
genereaz ameninri n spaiul cibernetic.
n ciuda limitrilor importante ale unui astfel de studiu pilot,
chestionarul are caracter de noutate, putnd fi considerat un punct de
plecare a unei abordri complete care s permit autoritilor
competente s evidenieze caracteristici definitorii n funcie de care
i pot adapta campaniile de contientizare i modalitile de
prezentare a subiectelor aferente domeniului securitii cibernetice.
Referinele bibliografice studiate sunt lucrri de specialitate
indexate n bazele de date internaionale ProQuest, CEEOL, EBSCO
(accesate prin intermediul platformei GlobalNET a Centrului European
de Studii de Securitate George C. Marshall) i reglementri, rapoarte,
studii disponibile n Internet pe site-uri de specialitate.

CAPITOLUL I - SPAIUL CIBERNETIC


Definire conceptual
Noiunea spaiu cibernetic a fost inventat n anul 1982 de
William Gibson ntr-o scurt poveste Burning Crome, conceptul fiind
popularizat, doi ani mai trziu, n romanul su de debut Neuromancer.
n viaa de zi cu zi, termenul a intrat n anii 1990, odat cu apariia
World Wide Web.
Definirea spaiului cibernetic este o sarcin dificil. Exist
numeroase definiii ale spaiului cibernetic care variaz de la foarte
complexe la mult prea simplificate.
n anul 2005, Departamentului Aprrii al SUA/ DoD a declarat
spaiul cibernetic al cincilea domeniu de lupt alturi de cel
17
terestru, maritim, aerian i spaial, fiind este cea mai nou i
important adugire la bunurile comune globale.
La fel ca i n cazul celorlalte bunuri comune, accesul
nerestricionat nu poate fi ngrdit, spaiul cibernetic devenind un
teatru de operaii n curs de dezvoltare, care, fr ndoial, va fi
contestat n conflictele viitoare. Exploatarea cu succes a acestui
domeniu prin intermediul operaiunilor de rzboi poate permite unui
adversar s domine sau s dein controlul asupra celorlalte bunuri
comune globale.
Spaiul cibernetic este corelat cu o serie de termeni nrudii,
precum cei de realitate virtual, mediu online, spaiu digital, care,
mpreun, alctuiesc un aparat conceptual destul de tnr i disputat.
Cercetarea a evideniat faptul c, n timp, pe msur ce fenomenul s-a
dezvoltat n extensie, profunzime i nuane, a generat o multitudinea
de perspective de analiz asupra definiiilor i teoriilor spaiului
cibernetic.
Diversitatea abordrilor n definirea termenului reprezint
principalul obstacol n crearea acordurilor comune ntre state cu
privire la modul de colaborare n aspectele legale referitoare la spaiul
cibernetic. n ciuda acestor abordri considerm oportun definirea
unui concept unitar care s aib la baz aspectele comune.
n prezent, spaiul cibernetic a devenit coloana vertebral a ceea
se numete Societatea Cunoaterii, conceput ca un mediu diferit, n
care implementarea noutilor tehnologice trebuie s fie efectuat
mpreun cu noi soluii juridice pentru reglementarea efectelor
negative ale impactului utilizrii TIC.
18
Spaiul cibernetic a devenit un mediu global i omniprezent
n care activeaz toat lumea, de la utilizatori la corporaii i guverne,
fiind din ce n ce mai dependent de conectivitate i acces rapid, costul
de intrare fiind extrem de redus.
Spaiul cibernetic este un domeniu creat prin interaciunea a trei
componente diferite: fizic (hardware), virtual (software i date) i
cognitiv (persoane).
Realitatea fizic/ hardware a spaiului cibernetic este format
din infrastructuri tehnologice de reele interdependente care includ o
multitudine de echipamente informatice1. Component virtual
cuprinde software - sisteme de operare, aplicaii, firmware, precum i
date/ informaii rezidente pe echipamentele hardware.
Aspectul uman sau cognitiv este elementul final al spaiului
cibernetic reprezentat de oamenii care interacioneaz cu mediul i
ntre ei, orice persoan putnd fi reflexiv, multiplicativ sau
anonim. Utilizatorii mediului cibernetic pot fi actori statali sau non-
statali (cum ar fi utilizatori, hackeri, criminali sau teroriti).
Spaiul cibernetic este singurul domeniu n care toate
instrumentele puterii naionale - diplomatic, informaional, militar i
economic - pot fi exercitate, simultan, prin manipularea datelor i
echipamentelor de acces. Exist o tendin pentru declanarea

1
de la routere, fibre optice i cabluri transatlantice, turnuri de telefon mobil i satelii, la
computere, telefoane inteligente i, n cele din urm, orice dispozitiv care conine procesoare
integrate, cum ar fi reelele de energie electric.
19
reaciilor n lan, chiar i la incidente modeste2, care poate modifica
decisiv ecuaiile de putere i stabilitatea ntregului mediu.
n acest context, infraciunea mai degrab dect aprarea este
dominant n spaiul cibernetic. Aprarea sistemelor informatice i
a reelelor se bazeaz pe protocoale vulnerabile i arhitecturi deschise,
iar filozofia de aprare dominant se axeaz pe detectarea
ameninrilor, nu pe eliminarea vulnerabilitilor3. Atacurile
cibernetice au loc cu o mare vitez, punnd aprarea sub o imens
presiune.
Cercetarea efectuat n cadrul prezentei teze de doctorat a
evideniat existena unei terminologii a conflictelor cibernetice fiind
utilizai termeni precum hacktivism, vandalism cibernetic,
criminalitate informatic, spionaj cibernetic, sabotaj cibernetic,
terorism cibernetic i rzboi cibernetic.
Chiar dac noiunea de rzboiul cibernetic este destul de
utilizat, semnificaia acesteia este ambigu i controversat.
Condiiile eseniale ale unui rzboi sunt ca agresorul cibernetic s fie
un actor statal i s existe pagube materiale/ victime, elemente greu de
dovedit.
Spaiul cibernetic reprezint unul dintre cele mai complexe
aspecte juridice ale zilei de astzi, deoarece exist muli utilizatori,

2
Comunitatea internaional trebuie s fie contient de faptul c o mic ncierare cibernetic
ar putea fi precursorul unui conflict cibernetic major, care ar putea declana un angajament
cinetic regional, care va avea repercusiuni internaionale, John Bumgarner, Chief Technology
Officer, US Cyber Consequences Unit, Janes Defence Weekly, 29 septembrie 2010.
3
Richard A. Clarke & Robert K. Knake, Cyber War: The Next Threat to National Security and
What to do About it, New York, Ecco, 2010, pp. 103-149
20
de la persoane fizice, organizaii, companii private i instituii publice,
iar activitatea lor online este reglementat prin legi cibernetice vagi i
reglementri naionale.
n Strategia de Securitate Cibernetic a Romniei, spaiul
cibernetic este mediul virtual, generat de infrastructurile cibernetice,
incluznd coninutul informaional procesat, stocat sau transmis,
precum i aciunile derulate de utilizatori n acesta4. Considerm c
aceast definire nu surprinde partea hardware a spaiului
cibernetic, adic echipamentele componente ale infrastructurilor
cibernetice.
Vulnerabiliti ale spaiului cibernetic
Vulnerabilitatea n spaiul cibernetic reprezint slbiciune n
proiectarea i implementarea infrastructurilor cibernetice sau a
msurilor de securitate aferente, care poate fi exploatat de ctre o
ameninare5.
Aceste vulnerabiliti pot fi de natur uman, tehnic sau
procedural, putnd fi vulnerabiliti de proiectare, de implementare
sau de configurare. Cele mai multe vulnerabiliti existente sunt
introduse accidental din fazele de proiectare sau implementare ale
sistemelor informatice.6
Vulnerabilitile software sunt defecte sau erori introduse n
mod accidental sau deliberat n produsele software care, dac sunt
exploatate de ctre atacatori, pot denatura scopul iniial pentru care au

4
Strategia de Securitate Cibernetic a Romniei, p. 7, disponibil la https://cert.ro/
5
Strategia de Securitate Cibernetic a Romniei, p.8
6
Martin C. Libicki, Cyberdeterrence and Cyberwar, RAND, 2009
21
fost proiectate. Cele mai cunoscute astfel de vulnerabiliti sunt erorile
de programare, majoritatea fiind asociate unei modaliti incorecte de
a gestiona intrrile furnizate de utilizator sistemului i putnd fi evitate
dac cei care dezvolt produsele software au n permanen n vedere
eliminarea acestora.
n timp ce cele mai multe eforturi de securitate informatic au
fost concentrate pe software, manipularea de circuite hardware este o
ameninare la fel de periculoas. Recent, cercettorii au publicat
detalii despre noi metode de a exploata vulnerabiliti hardware
cum ar fi rowhammer7 i BadUSB8. Astfel de probleme sunt greu de
controlat, unele recomandri ale experilor n securitate informatic
neputnd fi respectate datorit evoluiilor tehnologice din ziua de
astzi.
Vulnerabilitile conexiunii ntre hardware i software
reprezint vulnerabilitile firmware-ului care exist n aproape orice
dispozitiv9. Cercetrile efectuate n domeniu au demonstrat
posibilitatea exploatrii unor asemenea vulnerabiliti prin
introducerea de malware, practic nedetectabil la nivelul sistemelor
vizate.
Contramsurile pentru nesigurana firmware-ului sunt, n mare
parte, n minile productorilor de hardware i cipuri care ar trebui s

7
o problem a memoriei DRAM care permite atacatorilor s obin acces la nivel de jos la
echipamentele int
8
permite injectarea de malware prin controllerul dispozitivului USB
9
pornind de la tastaturi USB, camere web, plci grafice i de sunet i terminnd cu telefoane
inteligente, televizoare inteligente, camere digitale i chiar baterii de laptop
22
ia n calcul introducerea unor faciliti de securitate care s garanteze
autenticitatea firmware-ului.
Vulnerabilitile canalelor de comunicaii ntre un sistem sau
reea i lumea exterioar pot fi utilizate de ctre un adversar n diferite
moduri. Mai mult de 95% din traficul pe Internet, inclusiv financiar,
comercial i alte tranzacii, circul prin cabluri submarine
internaionale a cror ntrerupere ar nchide reeaua. Convergena de
reea i consolidarea canalului sunt dou tendine globale ale mediul
TIC care, dei ofer o mai mare eficien i servicii mai bune pentru
utilizatori, cresc vulnerabilitile i consecinele eecurilor de
securitate.
Adesea, se spune c pericolul cel mai mare este reprezentat de
persoanele din interior. Vulnerabilitile utilizatorilor sistemului
sunt reprezentate att de gradul redus de contientizare a riscurilor i
ameninrile spaiului cibernetic, ct i de lipsa cunotinelor sau
dezinteresul manifestate n activitile zilnice. Muli angajai cad
prad ingineriei sociale, platformele de socializare fiind mediu
preferat al celor care desfoar astfel de activiti.
Tendinele evolutive i preocuparea precar pentru asigurarea
securitii acestora vor multiplica vulnerabilitile noilor
tehnologii10, determinnd necesitatea intensificrii procesului de
cercetare pentru soluii adecvate. Dezvoltarea unor asemenea soluii
va fi una dintre cele mai importante provocri pentru comunitile de
informatic i cercetare tiinific.

10
dispozitive mobile, cloud computing, big data, Internet of Things
23
Ameninri cibernetice
Ameninarea cibernetic reprezint circumstana sau
evenimentul care constituie un pericol potenial la adresa securitii
cibernetice i se caracterizeaz prin asimetrie, dinamic accentuat,
caracter global i diversitate.11
Aciunile ostile mpotriva unui sistem informatic sau unei reele
de computere pot lua dou forme: atac cibernetic i exploatare
cibernetic.
Atacul cibernetic reprezint utilizarea de aciuni deliberate de
a modifica, ntrerupe, nela, degrada sau distruge sistemele i reelele
IT ale adversarului sau informaiile i programele rezidente sau care
tranziteaz aceste sisteme.
Exploatarea cibernetic reprezint utilizarea operaiunilor de
a obine informaii, de obicei, n clandestinitate i prin cea mai mic
intervenie posibil.
n literatura de specialitate aceste nuane conceptuale sunt mai
rar folosite, termenul consacrat fiind cel de atac cibernetic.
Clasificarea tipurilor de atac asupra unui sistem informatic i de
comunicaii sau a unei reele de astfel de sisteme, precum i a
incidentelor provocate este destul de dificil i uneori relativ.
n literatura de specialitate, exist un numr de modele care
descriu etapele unui atac cibernetic, exemplul cel mai popular fiind
Cyber Kill Chain al lui Lockheed Martin care permite profesionitilor

11
Cod de bune practici pentru securitatea sistemelor informatice i de comunicaii, p. 24,
disponibil la https://cert.ro/
24
n securitate cibernetic s remedieze proactiv i s diminueze efectele
atacurilor avansate.
Modelul este un proces de aprare bazat pe intelligence, care
stabilete cele apte faze pe care trebuie s le parcurg adversarul
pentru a-i ndeplini obiectivul de prelua controlul asupra sistemului
sau de a obine informaii valoroase. Astfel, etapele atacului sunt:
recunoaterea identificarea intelor, narmarea prepararea
operaiunii, livrarea lansarea operaiunii, exploatarea ctigarea
accesului la sistemul victimei, instalarea stabilirea conexiunii cu
sistemul victimei, comanda i controlul/ C2 controlul de la distan
a implanturilor, aciunile propriu-zise n conformitate cu obiectivele
atingerea scopului misiunii.
Chiar dac adversarul poate fi oprit n oricare din fazele
atacului, primele dou etape sunt extrem de greu de detectat. ncepnd
cu livrarea sunt din ce n ce mai multe oportuniti de blocare a
operaiunii.
Unii autori utilizeaz o form simplificat a Cyber Kill Chain,
ilustrnd patru stadii n derularea atacurilor cibernetice: studierea,
livrarea, brea i afectarea.
Atribuirea unui atac cibernetic - determinarea sursei, locaiei i
identitii unui atacator - este extrem de dificil deoarece creatorii
Internetului nu au proiectat mijloace fiabile pentru urmrirea locaiei
mesajului.
Hackerii inteligeni se ascund n arhitectura-labirint de pe
Internet, pot denatura adevrata origine a unui atac printr-o serie de
computere compromise sau pot lsa steaguri false care
25
incrimineaz, n mod nevinovat, o alt entitate. Acest aspect sistemic
al Internetului nu poate fi modificat, statele confruntndu-se cu
perspectiva de a pierde un conflict cibernetic fr a cunoate
identitatea adversarului.
Evoluiei malware-ului evideniaz clar faptul c nu mai putem
vorbi de un simplu cod malware, ci de adevrate arme cibernetice pe
care atacatorii le pot folosi pentru atingerea scopurilor.
Chiar dac nu exist consens internaional n ceea ce privete
definirea termenului de arm cibernetic, putem considera ca viabil
definiia propus de Thomas Rid i Peter McBurney: Un cod care
este utilizat sau este proiectat pentru a fi utilizat cu scopul de a speria
sau a cauza pagube fizice, funcionale sau mentale structurilor,
sistemelor sau fiinelor umane12.
Asemenea unei rachete, o arm cibernetic este format din trei
elemente de baz: un vehicul de livrare, un sistem de navigaie
componenta cu ajutorul creia se ajunge la int i ncrctura
componenta care produce vtmri.
Spre deosebire de arme nucleare sau alte arme de distrugere n
mas, armele cibernetice au devenit uor de obinut i de utilizat, mult
mai puternice i tot mai sofisticate, fcnd din atacurile cibernetice o
problem global foarte presant datorit riscurilor i costurilor
sczute i uurinei i eficienei n derulare.

Thomas Rid & Peter McBurney (2012) Cyber-Weapons, The RUSI Journal,17:1, pp. 6-13,
12

DOI: 10.1080/03071847.2012.664354
26
Sisteme, metode i tehnici de detectare i prevenire a atacurilor
cibernetice
Proliferarea rapid a ameninrilor interne i externe mpotriva
sistemelor informatice i oblig pe administratorii de sisteme s se
gndeasc la Sisteme de Detectare a Intruziunilor/ IDS13 i Sisteme de
Prevenire a Intruziunilor/ IPS14, concepute pentru a preveni
tentativele de intruziune avansate n cadrul sistemelor.
Un IDS monitorizeaz activitile legate de reea i procesele
sistemului de operare pentru a detecta potenialele intruziuni i a le
raporta administratorilor de sistem care au decid asupra aciunilor ce
pot fi ntreprinse. Dup faza de identificare a unei intruziuni realizat
de IDS, IPS ncearc s blocheze aceste activiti.
O alt tehnic de aprare cibernetic este reprezentat de
utilizarea honeypot-urile. Termenul honeypot poate fi descris ca o
resurs general de calcul, al crei unic scop este de a fi probat,
atacat, compromis, utilizat sau accesat n orice mod
neautorizat15, n scopul de a colecta informaii despre atac i atacator.
Acesta a cptat, n ultimii ani, o popularitate din ce n ce mai mare n
rndul experilor care se ocup cu problemele de securitate
cibernetic.
Unul dintre principalele beneficii ale utilizrii unui sistem
honeypot este modificarea fazelor unui atac cibernetic. Aceast

13
Intrusion Detection System
14
Intrusion Prevention System
15
ENISA, Proactive Detection of Security Incidents, Honeypots, 2012, disponibil la
http://www.enisa.europa.eu/
27
abordare poate fi folosit ca un sistem de avertizare timpurie, crescnd
astfel timpul pentru luarea msurilor adecvate, avantajul fa de
sistemele IDS/ IPS fiind c atacurile nu au loc pe sistemele de
producie, critice ntr-o organizaie.
Tehnica honeytoken este o alt abordare pentru a obine
informaii suplimentare despre atacatori i identitatea acestora.
Honeytoken-ul nu este un sistem informatic, poate fi un mesaj de
email, un fiier text, un site sau ceva util, care ar putea ajuta la
dezvluirea identitii agresorilor.
n zilele noastre, n care exist numeroase atacuri care nu au
inte specifice, atacatorii, n special cei cu motivaie financiar, fiind
n cutarea unor fructe agtoare, care pot fi compromise fr prea
mare efort, beneficiile utilizrii sistemelor honeypot sunt evidente.

CAPITOLUL II SECURITATEA CIBERNETIC O NOU


DIMENSIUNE A SECURITII NAIONALE
Principii generale
Securitatea cibernetic este o dimensiune a securitii naionale,
din perspectiva faptului c un atac generat prin intermediul
computerului este din ce n ce mai uor de efectuat n termeni de bani i
logistic i vizeaz, n principal, sistemele a cror disfuncionalitate,
chiar i temporar, ar avea efecte destabilizatoare asupra securitii
naionale.
Provocrile ncorporate n acest concept se refer la gestionarea
riscurilor, ameninrilor i vulnerabilitilor prin dezvoltarea unor

28
strategii de securitate cuprinztoare i a unor planuri concrete de
implementare.
Securitatea cibernetic reprezint starea de normalitate
rezultat n urma aplicrii unui ansamblu de msuri proactive i
reactive prin care se asigur confidenialitatea, integritatea,
disponibilitatea, autenticitatea i nonrepudierea informaiilor n
format electronic, a resurselor i serviciilor publice sau private, din
spaiul cibernetic. Msurile proactive i reactive pot include politici,
concepte, standarde i ghiduri de securitate, managementul riscului,
activiti de instruire i contientizare, implementarea de soluii
tehnice de protejare a infrastructurilor cibernetice, managementul
identitii, managementul consecinelor16.
n Dicionarul Webster, securitatea cibernetic este definit ca
totalitatea msurilor luate pentru a proteja un computer sau un
sistem de computere (ca pe Internet) mpotriva accesului neautorizat
sau atacului.
Deoarece securitatea cibernetic a evoluat de la o disciplin
tehnic la un concept strategic i pentru c atacurile cibernetice pot
afecta securitatea naional, liderii naionali trebuie s priveasc
dincolo de arena tactic i s implice toate resursele de la nivelul
statului pentru asigurarea acesteia.
n acest demers este recomandabil s se pun accentul pe
securitatea unei arhitecturi cu mai multe niveluri de aprare, care pot

16
Strategia de securitate cibernetic a Romniei, p.7
29
fi segmentate n atac i care are o component de rezilien sntoas,
pentru a permite recuperarea rapid.
Infrastructuri cibernetice critice
n literatura de specialitate se utilizeaz sintagma IC pentru
orice entitate economic funcional, care ofer produse/ bunuri i
servicii de utilitate public, vitale pentru ntreaga societate i a crei
distrugere, degradare ori aducere n stare de nefuncionare produc un
impact major asupra populaiei i economiei la nivel naional sau
regional17.
Termenul IC a fost folosit, oficial, pentru prima oar n iulie
1998, cnd preedintele american Bill Clinton a decretat Ordinul
Executiv privind protecia infrastructurii critice.18
ncepnd cu explozia tehnologic din anii 1970, IC i sistemele
IT au devenit, treptat, convergente i au nceput s ridice noi probleme
de securitate. Progresul tehnologic a permis controlul de la distan a
IC ntr-o manier convenabil, genernd un nou tip de infrastructur -
infrastructur cibernetic critice/ ICC.
Identificarea ICC este primul pas n procesul de a asigura
securitatea i protecia disponibilitii activelor critice, principalul
punct de plecare fiind IC care depind de ele. La rndul su, IC sunt
definite pe baza unor sectoare/ servicii critice. Listele orientative de
sectoare critice, puse la dispoziie la nivelul UE, nu sunt utilizate ca

17
International Journal of Cybernetic and Informatics, vol. 1, nr. 1/2004
18
Presidential Directive PDD-63
30
atare n toate statele membre, fiecare ar punndu-i n practic
propriile liste.
Metodologia de identificare este bazat pe impactul pe care
nefuncionarea corespunztoare a unui serviciu l poate avea asupra
funciilor vitale ale societii. n acest sens, pot fi luate n discuie dou
direcii: una orientat spre stat i una orientat spre operator.
Obiectivele strategice ale PICC sunt reprezentate de prevenirea
atacurilor cibernetice mpotriva IC, reducerea vulnerabilitilor
naionale la atacuri informatice i reducerea daunelor i timpului de
recuperare dup ce au avut loc atacuri cibernetice.
Principalii actori implicai n PICC sunt operatorii de IC19,
operatorii de comunicaii electronice20, ageniile naionale de
asigurare a securitii cibernetice21 i autoritile naionale de
reglementare/ ANR22. nelegerea necesitii unei PICC continue
poate ajuta prile interesate n a oferi, mai eficient, att capacitile
strategice, ct i operaionale.
Strategii de securitate cibernetic
Strategia de securitate cibernetic este, conform ENISA, un
instrument pentru mbuntirea securitii i rezilienei serviciilor i

19
proprietarii de bunuri care se confrunt, de obicei, cu riscuri majore, care pot avea efecte
negative asupra societii i funciilor vitale ale acesteia
20
cei care asigur operarea infrastructurilor cibernetice i nu sunt responsabili pentru clasificarea
ICC
21
pot avea un rol principal n dezvoltarea legislaiei referitoare ICC, supravegherea punerii n
aplicare a legislaiei relevante, revizuirea i auditul componentelor planurilor de securitate legate
de ICC, consultarea continu a proprietarilor de active critice n cadrul parteneriatelor public-
privat i cooperarea cu proprietarii de active n ceea ce privete pierderea acestora
22
pot publica ghiduri utile pornind de la aspecte referitoare la vulnerabiliti i achiziii ale ICC,
pn la reziliena infrastructurii Internet, efectueaz auditul operatorilor IC i a operatorilor de
reea cu privire la securitatea/ rezilien ICC
31
infrastructurilor naionale. Este o abordare de nivel nalt, de sus n
jos, a securitii cibernetice care stabilete o serie de obiective
naionale i prioriti care trebuie s fie realizate ntr-un anumit
interval de timp. Aadar, ofer un cadru strategic pentru abordarea
naional a securitii cibernetice.23
Pentru a putea rspunde ameninrilor cibernetice ntr-un mediu
n continu schimbare, orice stat trebuie s elaboreze i implementeze
o SSCN24 flexibil i dinamic. O SSCN de succes conine un cadru
clar de guvernan, care definete roluri i responsabiliti pentru
toate prile interesate, oferind, n acelai timp, suport pentru dialog i
coordonarea diverselor activiti, care urmeaz s se desfoare pe
ntreg ciclul de via al strategiei.
Elementul cheie al strategiei este reprezentat de evaluarea
riscurilor care are scopul de a coordona utilizarea resurselor, de a
monitoriza, controla i reduce probabilitatea i impactul producerii
unor evenimente nedorite care ar putea periclita obiectivele acesteia.
n majoritatea cazurilor, guvernele adopt o abordare
cuprinztoare incluznd toate tipurile de ameninri cibernetice,
urmrind protecia infrastructurilor cibernetice mpotriva
ameninrilor, riscurilor i vulnerabilitilor identificate dup
finalizarea procesului.
Caracterul transfrontalier al ameninrilor face esenial axarea
pe o cooperare internaional puternic, precum i o colaborare

23
ENISA, National Cyber Security Strategies, p. 4, 2012, disponibil la www.enisa.europa.eu
24
Strategie de Securitate Cibernetic Naional
32
adecvat ntre prile interesate din sectorul public i privat. Un
parteneriat public-privat stabilete scopul, rolurile predefinite ale
utilizatorilor i metodologia de lucru pentru atingerea obiectivelor
comune. Pentru o mai bun nelegere a mediului n continu
schimbare, un mecanism important l constituie partajarea
informaiei, ca form a parteneriatului strategic.
Planurile de continuare a activitii sunt parte a SSCN i
desemneaz structurile implicate i msurile de a rspunde la i a
recupera servicii dup incidente majore, care implic ICC.
Exerciiile cibernetice ofer posibilitatea autoritilor
competente s testeze planurile de urgen, s consolideze anumite
puncte slabe, s mbunteasc cooperarea ntre diferite sectoare, s
identifice interdependenele, s stimuleze mbuntirea planificrii
continuitii i s genereze o cultur a efortului de cooperare, fiind
instrumente importante pentru evaluarea pregtirii unei comuniti.
Raportarea i analiza incidentelor de securitate joac un rol
important n mbuntirea securitii cibernetice la nivel naional prin
ajustarea listei de msuri de securitate. CERT-urile naionale/
guvernamentale coordoneaz managementul incidentelor mpreun cu
prile interesate cu competene i i asum responsabilitatea
cooperrii cu echipele din alte state.
Contientizarea utilizatorilor asupra vulnerabilitilor,
riscurilor i ameninrilor spaiului cibernetic i a posibilului impact
al acestora asupra societii a devenit esenial. Nu trebuie uitat faptul
c securitatea cibernetic este un domeniu care evolueaz permanent
i necesit formare i instruire continu.
33
Pentru ca cerinele de asigurare a securitii cibernetice s poat
fi acoperite prin activiti de cercetare, SSCN trebuie s pun accent
pe importana includerii unor concepte ca securitate prin proiectare
sau confidenialitate prin proiectare n ciclul de via al cercetrii i
dezvoltrii.
Repere orientative referitoare la securitatea cibernetic
Primele strategii de securitate cibernetic naional au nceput
s apar la nceputul deceniului trecut. Una dintre primele ri care a
recunoscut securitatea cibernetic ca o chestiune strategic la nivel
naional a fost SUA. n anul 2003, a publicat prima Strategia
Naional de Securizare a Spaiului Cibernetic25, parte a Strategiei
Naionale pentru Securitate Intern, dezvoltat ca rspuns la atacurile
teroriste din 11 septembrie 2001.
Preocuparea administraiei Obama pentru asigurarea securitii
cibernetice este dovedit prin aprobarea constant a unor reglementri
n domeniu.
Faptul c asigurarea securitii cibernetice este o provocare
global este dovedit de preocuparea numeroaselor state pentru
elaborarea i implementarea unor strategii n domeniu. State precum
Canada, Japonia, India, Noua Zeeland, Australia26 au implementate
strategii de securitate cibernetic.

25
disponibil la http://www.dhs.gov/national-strategy-secure-cyberspace, accesat la 15.12.2015
26
la 21.04.2016 Guvernul australian a adoptat o nou strategia de securitate cibernetic
34
Referitor la reglementarea n domeniul PIC s-au remarcat
preocuprile anumitor state, cum ar fi SUA, Canada i Australia, o
atenie sporit fiind acordat infrastructurilor cibernetice.
Institutul Naional pentru Standarde i Tehnologie/ NIST din
SUA a publicat, la data de 12.02.2014, cadrul normativ pentru
securitate cibernetic, care propunea proprietarilor i operatorilor de
IC o abordare unitar i integrat a riscurilor i ameninrilor la adresa
sistemelor informatice, reelelor i bazelor de date, pri ale IC. n
paralel, Departamentul pentru Securitate Intern al SUA/ DHS a
anunat demararea programului Critical Infrastructure Cyber
Community, avnd ca obiectiv coordonarea intersectorial a aciunilor
n domeniul securitii cibernetice, prin prisma rezilienei sistemelor
informatice i a modalitilor de consolidare a acestora27.
La nceputul anului 2016, Comisia federal de Reglementare n
Domeniul Energiei/ FERC din SUA a revizuit standardele de PIC28 la
nivelul reelelor de energie electric.
n studiile efectuate de-a lungul timpului referitoare la PIC se
observ modificarea abordrii de la o situaie oarecum static, la una
dinamic cu riscuri n continu cretere i greu de controlat - migraii
involuntare la scar extins, conflicte la nivel interstatal, fenomene
meteorologice extreme, dezastre naturale (conform The Global Risks
Report 2016, prezentat la nceputul anului 2016 de Forumul Economic

http://www.bankinfosecurity.com/
27
28
lund n considerare recomandrile formulate de North American Electric Reability
Corporation/ NERC
35
Mondial/ WEF). Conform unui studiu al Business Continuity Institute
atacurile cibernetice se menin, n acest an, ca principal ameninare
Importana din ce n ce mai crescut acordat securitii
cibernetice este dovedit i de faptul c declaraia final a ultimului
Summit-ului G729 prevede, pentru prima dat, angajamente pentru
consolidarea securitii cibernetice.
La nivelul UE, preocuparea de reglementare a spaiului
cibernetic s-a concretizat, de-a lungul timpului n numeroase iniiative.
Astfel, n ncercarea de a avea o abordare comun la nivelul
statelor membre, Consiliul Europei a elaborat, n anul 2001, Convenia
Cyber Crime30 cunoscut i sub denumirea de Convenia de la
Budapesta pentru a rezolva litigiile juridice i a dezvolta un sistem
universal de aciuni legale mpotriva infractorilor cibernetici.
n urma atentatelor teroriste de la Londra i Madrid, la nivelul
UE s-a resimit lipsa unei reglementri care s garanteze
disponibilitatea datelor de trafic de telefonie i Internet pentru
prevenirea, cercetarea, depistarea i urmrirea unor infraciuni grave,
cum ar fi cele legate de criminalitatea organizat si terorism.
n acest context, n anul 2006, a fost adoptat Directiva
european nr. 2006/24/UE privind stocarea datelor de trafic din zona
telecomunicaiilor. Directiva a fost implementat la nivel naional de
statele membre, dar a fost declarat neconstituional n mai multe ri,
inclusiv Romnia, Curtea European de Justiie/ CEJ declarnd-o

29
desfurat n intervalul 26-27.05.2016, la Ise-Shima, Japonia
30
disponibil la http://www.coe.int/en/web/conventions/full-list/-/conventions/treaty/185,
accesat la 15.02.2016
36
nevalid datorit faptului c reprezint o imixtiune deosebit de grav
n drepturile fundamentale la respectarea vieii private i la protecia
datelor cu caracter personal.
Comisia European a lansat, n martie 2010, strategia Europa
2020 , care stabilete obiectivele de cretere a UE pn n 2020. O
31

agend digital pentru Europa32 reprezint una dintre cele apte


iniiative-pilot ale strategiei Europa 2020. Obiectivul principal al
Agendei digitale este de a aduce beneficii economice i sociale
durabile prin intermediul unei piee unice digitale bazate pe Internet
rapid i ultrarapid i pe aplicaiile interoperabile.
Obiectivul UE de a realiza o politic unitar n domeniul PIC s-
a concretizat n mai multe demersuri. n primul rnd implementarea
unui Program european de protecie a infrastructurilor critice/
PEPIC a aprut ca o necesitate de a stabili principiile i instrumentele
necesare pentru a mbunti PIC n statele membre.
Dezvoltarea i aplicarea PEPIC a nsemnat, printre altele,
nfiinarea ENISA, prin Regulamentul Parlamentului European i al
Consiliului Uniunii Europene nr. 460/10.03.2004 i a Reelei
Europene de Informare i Avertizare privind Infrastructurile Critice/
CIWIN33.

31
COM(2010) 2020 final
32
COM(2010) 245 final
33
Critical Infrastructure Warning Information Network
37
Cartea verde pentru un program european privind protecia
infrastructurilor critice34, elaborat de Comisia European n
noiembrie 2005, reprezint un document care enun principiile pentru
elaborarea PEPIC, precum i pentru desemnarea, de ctre statele
membre, a domeniilor corespunztoare.
Principalul document care traseaz sarcini concrete i indic
procedurile i parametrii care trebuie respectai de statele membre n
procesul de desemnare a IC este Directiva 114/2008 a Consiliului
UE privind identificarea infrastructurilor critice europene i
evaluarea necesitii de mbuntire a proteciei acestora35.
Strategia de securitate cibernetic a Uniunii Europene: Un
spaiu cibernetic deschis, sigur i securizat36 reprezint primul
document de politic global pe care UE l-a produs n domeniu care
ofer prioriti clare pentru politica spaiului cibernetic internaional
al UE.
Strategia a fost publicat mpreun cu o propunere de directiv
privind securitatea reelelor i a informaiei/ NIS care impune tuturor
statelor membre ale UE, principalilor operatori de Internet i operatori
de infrastructur s garanteze un mediu digital sigur i de ncredere n
UE. n mai 2016, Consiliul European a adoptat Normele pentru
consolidarea reelelor i a sistemelor informatice la nivelul UE.

34
Commission Of The European Communities, Green Paper On A European Programme For
Critical Infrastructure Protection, 2005, disponibil la http://eur-lex.europa.eu/, accesat la
15.01.2016
35
Disponibil la http://ccpic.mai.gov.ro/, accesat la 15.11.2015
36
JOIN (2013) 1 final
38
Trendul cresctor al ameninrilor cibernetice, precum i
vulnerabilitatea sistemelor informatice i a reelelor de date ale
obiectivelor de IC au determinat aciuni concrete pe acest palier.
Eforturile autoritilor naionale ale statelor membre UE de
reglementare n domeniul securitii cibernetice sunt sprijinite de
lucrrile/ studiile de referin publicate de ENISA care ofer repere
semnificative de ordin metodologic i recomandri de implementare
i mbuntire a msurilor specifice.
Chiar dac preocuparea pentru reglementarea aspectelor
circumscrise acestor problematici sunt evidente, sunt necesare msuri
mai concrete care s faciliteze transpunere n practic a viziunii de a
crea cel mai sigur mediu online din lume i care s faciliteze
colaborarea i partajarea informaiei relevante ntre actorii importani
guverne, proprietarii i operatorii infrastructurilor i comercianii de
tehnologie.

CAPITOLUL III BUNE PRACTICI N DOMENIUL


SECURITII CIBERNETICE LA NIVELUL UE
Scopul acestui capitol este de a construi un tablou de bord al
strii de securitate cibernetic la nivelul statelor membre UE i de
a identifica acele aspecte/ msuri/ abordri care pot fi considerate bune
practici.
Avnd n vedere scopul amintit, ne-am orientat demersul spre
statele care au deja elaborat o strategie de securitate cibernetic pe
care le-am identificat n conformitate cu datele disponibile pe site-ul

39
ENISA37. n pofida evenimentelor recente - Brexit, a fost supus
analizei i Marea Britanie, experiena acesteia fiind considerat
relevant.
n analiza efectuat au fost utilizate, cu precdere, date
disponibile pe site-urile ENISA, BSA | The software alliance38, ITU39,
precum i pe site-urile naionale guvernamentale sau ale organizaiilor
de profil.
Cercetarea efectuat la nivelul celor 22 de state a scos n
eviden mai multe tendine i particulariti referitoare la aspectele
aferente securitii cibernetice, datorate att organizaiilor i
iniiativelor la care statele menionate sunt membre, ct i aspectelor
specifice, individuale.
Toate statele menionate sunt membre ale organizaiilor
internaionale OSCE, ONU, OECD i particip la iniiative n
domeniul securitii cibernetice GEANT, EFMS, ITU, ENISA40.Cu
excepia Austriei, Ciprului i Finlandei, toate celelalte ri sunt
membre NATO.
Cehia, Estonia, Frana, Germania, Italia, Letonia, Lituania,
Marea Britania, Polonia, Slovacia, Spania i Ungaria sunt state care

37
Austria - 2013, Belgia - 2014, Cehia -2011, Cipru - 2013, Croaia - 2015, Danemarca - 2015,
Estonia - 2014, Finlanda - 2013, Frana - 2015, Germania - 2011, Irlanda - 2015, Italia - 2013,
Letonia - 2014, Lituania - 2011, Luxemburg - 2015, Marea Britanie - 2011, Olanda - 2013,
Polonia - 2013, Slovacia - 2015, Slovenia - 2016, Spania - 2013, Ungaria 2013
38
http://www.bsa.org/
39
http://www.itu.int/en/Pages/default.aspx
40
cu excepia Croaiei
40
sponsorizeaz CCDCOE41, n timp ce Austria i Finlanda sunt
participani contributori.
Austria, Cipru, Croaia, Italia, Lituania, Polonia, Slovenia,
Slovacia i Spania sunt membre ale iniiativei ITU-IMPACT. Cu
excepia Ciprului i Finlandei, au echipe CERT afiliate FIRST.
Interesul pentru obinerea unor produse IT certificate din punct
de vedere al securitii este dovedit de participarea unora din statele
menionate la CCRA, unele n cadrul procesului de acreditare/
autorizare Frana, Germania, Italia, Marea Britanie, Olanda i
Spania, altele pe partea de consum Austria, Cehia, Danemarca i
Ungaria. Calitatea de membru CCRA ofer cadrul legal pentru
certificarea i acreditarea ageniilor naionale i profesionitilor
sectorului privat n domeniul securitii cibernetice.
Finlanda, Frana, Germania, Italia, Marea Britanie, Olanda i
Ungaria sunt membre IWWN, iar Austria, Belgia, Danemarca,
Finlanda, Frana, Germania, Marea Britanie, Olanda i Spania sunt
membre EGC.
nc de la nceput trebuie remarcate preocuprile Olandei n
ceea ce privete reglementarea domeniului cibernetic, legislaia
acesteia constituind surs de inspiraie pentru Recomandrile
Consiliului Europei n domeniul investigaiilor IT (1995), precum i
pentru Convenia Consiliului Europei privind infraciunile cibernetice
(2001).

41
cu sediul n Estonia
41
Olanda este prima ar european i a doua, la nivel mondial,
dup Chile, care a adoptat, prevederi referitoare la obligativitatea
adresat furnizorilor sau reelelor publice de comunicaii electronice
utilizate pentru asigurarea serviciilor de acces la Internet de a nu
mpiedica sau ncetini funcionarea serviciilor prestate sau aplicaiilor
Internet. n continuare, Olanda contribuie activ la eforturile de
reglementare ale UE, NATO i ale Forumului privind Guvernana
Internetului.
Estonia este una dintre primele ri care au dezvoltat o strategie
de securitate nc din 2008.
Multe dintre strategiile de securitate cibernetic adoptate de
statele membre UE sunt nc vagi i generale, lipsindu-le un plan clar
de implementare. Majoritatea par statice, varianta iniial nefiind nc
revizuit. Exist ns i strategii cu obiective clare i cuantificabile.
Un astfel de exemplu este Programului de consolidare a securitii
cibernetice n perioada 2011-201942 al Lituaniei care i propune
atingerea unor repere cantitative pn n anul 2019.
Doar un numr restrns de ri printre care se numr Cehia,
Frana, Estonia i Olanda i-au actualizat strategiile de siguran
cibernetic cu versiuni mbuntite din punct de vedere calitativ.
Danemarca intenioneaz s actualizeze strategia n a doua jumtate a
anului 2016, bazndu-se pe evaluarea efectelor strategiei n vigoare,
n funcie de necesitile identificate.

42
disponibil la https://www.enisa.europa.eu/, accesat la 30.05.2016
42
Ulterior aprobrii strategiilor de securitate cibernetic, unele
state au publicat o serie de documente referitoare la progresele
nregistrate n domeniul securitii cibernetice. Un exemplu elocvent
n acest sens este Marea Britanie care, anual, public documente care
detaliaz progresele nregistrate n domeniu i etapele urmtoare ce
trebuie parcurse pentru ndeplinirea obiectivelor.
Doar o parte a statelor, printre care se numr Cehia, Croaia,
Germania, Italia, Letonia, Lituania, Olanda i Ungaria, au ntrit
strategia de securitate cibernetic cu instrumente legislative relevante
n domeniul securitii cibernetice. Unele state, cum ar fi Austria i
Slovacia, au demarat activiti n vederea elaborrii unei Legi privind
securitatea cibernetic.
Majoritatea statelor supuse analizei au ratificat Convenia
Consiliului Europei privind criminalitatea informatic, legislaia
specific fiind asigurat prin intermediul Codului Penal. Cehia nu are
o legislaie specific n domeniul criminalitii informatice, iar n
Cipru i Irlanda au fost adoptate legi dedicate.
Toate statele particip la exerciii de securitate cibernetic
pentru a testa planurile de criz i continuitate n domeniul cibernetic,
strategiile de securitate cibernetic recunoscnd rolul acestora n
creterea competenelor n securitate informatic.
Dei este unanim recunoscut importana cooperrii n acest
domeniu n Europa, datorit diversitii abordrilor naionale i
nivelurilor diferite de maturitate, doar cinci ri Austria, Germania,
Olanda, Spania i Marea Britanie au stabilit formal parteneriate
public-privat pentru securitate cibernetic.
43
n aceeai situaie limitat se gsete i cooperarea specific
fiecrui sector n domeniul securitii cibernetice. Tot cele cinci state
enumerate mai sus au demarat dialoguri i schimburi de informaii cu
sectorul privat n diferite sectoare de activitate.
Exist unele iniiative i n ceea ce privete colaborarea
interstatal. Astfel, pentru a facilita partajarea bunurilor de securitate
cibernetic cu alte state, Austria este partener al Platformei de
securitate cibernetic/ CECSP43. Centrul de Excelen Belgian n
domeniul Criminalitii Cibernetice pentru Cercetare n Formare i
Educaie/ B-CCENTRE asigur colaborarea autoritilor belgiene cu
parteneri din Olanda.
n Belgia, colaborarea la nivel european cu centrele naionale
din Irlanda i Frana se face prin intermediul Reelei centrelor de
excelen n domeniul criminalitii informatice pentru cercetare n
formare i educaie/ 2CENTRE.
Belgia a semnat memorandum de nelegere pe tema securitii
cibernetice cu Olanda i Luxemburg pentru cooperare i mprtirea
expertizei n dezvoltarea parteneriatelor public-privat.
Iniiativa de colaborare ntre Estonia, Lituania, Letonia i SUA
a fost lansat n august 2013 cu scopul de a spori dialogul n domeniul
securitii cibernetice ntre regiunea nordic a Balcanilor i SUA.
n noiembrie 2015 a fost semnat Memorandumul de nelegere
cu privire la cooperarea n domeniul securitii cibernetice ntre

43
a fost nfiinat n mai 2013 la iniiativa Austriei i Cehiei cu scopul de a asigura partajarea
informaiilor, bunelor practici, leciilor nvate i cunoaterii despre ameninrile cibernetice i
atacurile cibernetice (ne)reuite
44
Ministerul Economiei i Comunicaiilor din Estonia, Ministerul
Aprrii din Letonia i Ministerul Aprrii din Lituania.
Pentru a facilita partajarea cunoaterii n domeniul securitii
cibernetice Frana are parteneriate cu organizaii din Germania,
Olanda, Marea Britanie, SUA, acord cu Estonia n ceea ce privete
cooperarea n domeniul aprrii cibernetice i acord franco-britanic
pentru cooperare n aprare i securitate.
Italia particip la Platforma NIS a UE, rezultatele acestui
proiect alimentnd recomandrile Comisiei pe zona de securitate
cibernetic.
Creterea gradului de contientizare a publicului cu privire la
riscurile i ameninrile spaiului cibernetic constituie o prioritate i o
obligativitate asumat n toate strategiile de securitate cibernetic.
Majoritatea statelor au ca obiectiv introducerea n cadrul programei
din nvmntul primar, secundar i superior a aspectelor legate de
securitatea cibernetic.
Remarcm faptul c, la nivelul UE, se acord o deosebit
importan problematicii legat de educaia n domeniul securitii
cibernetice, una dintre campaniile cunoscute fiind Luna european a
securitii cibernetice44 care se desfoar n fiecare an, n luna
octombrie, n majoritatea statelor membre.
Realizri importante n acest domeniu sunt amintite n Irlanda
i Marea Britanie. Astfel, Centrul Colegiului Universitar din Dublin/
UCD pentru securitate cibernetic i investigaii de criminalitate

44
European Cyber Security Month
45
informatic45 este unicul centru de educaie i cercetare cu numeroase
relaii de colaborare cu organele de aplicare a legii i industrie.
Pentru ndeplinirea obiectivului de dezvoltare a cunotinelor,
competenelor i capacitii Marii Britanii au fost nfiinate 11
universiti care au rolul de centre academice de excelen n
cercetarea n domeniul securitii cibernetice, au fost create 3 noi
institute de cercetare n tiinele Securitii Informatice i au fost
nfiinate dou centre de securitate cibernetic pentru pregtire
doctoral.
CERT Ungaria a organizat, n cursul anului 2016, cursuri de
securitate cibernetic pentru statele membre IWWN.
n ceea ce privete PIC, mai mult de jumtate din statele
membre UE nu au parcurs nc un proces de evaluare a
infrastructurilor existente n scopul determinrii celor critice i
stabilirii strategiei i planurilor concrete de protecie. Odat ce sunt
identificate IC, acestea trebuie evaluate din punct de vedere cibernetic
pentru a identifica i contracara posibilele vulnerabiliti i bree.
CERT-uri i CSIRT-uri, care joac un rol crucial n
mbuntirea rezilienei cibernetice, sunt operaionale n toate statele
supuse analizei, cu excepia Ciprului unde operaiunile sunt n curs de
finalizare i coordoneaz msurile naionale de rspuns n caz de
incident informatic, asigurnd i colaborarea entiti din domeniu.
Mecanismele de raportare a incidentelor par ezitante n ceea ce
privete introducerea unor scheme obligatorii, majoritatea statelor

45
http://www.ucd.ie/cci/, accesat la 25.05.2016
46
prefernd schimbul de informaii bazat pe ncredere reciproc i
colaborare.
Este de remarcat faptul c n Letonia activitile instituiei
responsabile cu reacia n cazul incidentelor privind NIS sunt delegate
Institutului de Matematic i tiine Informatice al Universitii
Letoniei.
n ceea ce privete protecia online a copiilor, toate statele
supuse analizei au aderat, fr declaraii i rezerve la Convenia
drepturilor copilului, precum i la Protocolul opional la Convenia
drepturilor copilului pentru vnzarea, prostituia i pornografia
copiilor. Aspectele legale specifice sunt prevzute la majoritatea
statelor n Codul Penal, cu elemente distinctive n cazul Austriei,
Ciprului, Irlandei i Marii Britanii.
La nivel naional, exist, de asemenea, proiecte care
promoveaz utilizarea n siguran a Internetului, dar i site-uri unde
poate fi raportat coninutul ilegal din Internet, cum ar fi informaia cu
caracter pedofil sau pornografic, precum i cele care incit la ur
etnic sau rasial.

CAPITOLUL IV MANAGEMENTUL SECURITII


CIBERNETICE LA NIVEL NAIONAL
Dei se afl nc la un nivel redus de utilizare a serviciilor
informatice i de comunicaii comparativ cu alte state ale lumii,
Romnia a cunoscut n ultima decad o dezvoltare semnificativ a
acestora, tot mai multe activiti guvernamentale i comerciale
derulndu-se prin intermediul Internetului.
47
Pe acest fond, Romnia nu este exclus de pe harta statelor
susceptibile la atacuri cibernetice, risc potenat i de statutul de ar
membr a unor organizaii internaionale46, ns riscurile asociate
agresorilor cibernetici se situeaz nc la un nivel mediu.
n pofida acestui nivel nc mediu, ameninarea cibernetic se
situeaz pe un trend ascendent, favorizat de noile realiti.
Cetenii utilizeaz tot mai mult serviciile societii
informaionale i spaiul cibernetic n activitile zilnice. Att
instituiile guvernamentale, ct i mediul de afaceri i utilizatorii
casnici nregistreaz un flux masiv de date confideniale care nu sunt
ntotdeauna protejate adecvat.
Efectele crizei economice se repercuteaz tot mai mult asupra
bunstrii sociale. Situaia precar cu care se confrunt un segment
ridicat din populaia Romniei are ca efect implicarea indivizilor n
svrirea de infraciuni informatice, care le faciliteaz obinerea
rapid de ctiguri financiare i favorizeaz racolarea unui numr din
ce n ce mai mare de specialiti IT n activiti infracionale.
Chiar dac Romnia nu a fost o int predilect a atacurilor
cibernetice au existat destule cazuri marcante n care au fost afectate
i infrastructuri cibernetice naionale. Dintre acestea amintim
campaniile de spionaj cibernetic Octombrie Rou, Turla (dar i
arpele sau Uroburos) i atacurile cibernetice asupra site-urilor
aparinnd unor instituii de nvmnt superior i de administraie

46
UE, NATO
48
public, n cursul crora au fost promovate mesaje islamiste radicale,
anti-israeliene i pro-palestiniene (decembrie 2014).
n conformitate cu un comunicat Kaspersky Lab recent47,
Romnia se afl printre statele afectate de atacuri cibernetice
mpotriva domeniului industrial48.
Interesul autoritilor naionale pentru reglementarea utilizrii
mediului online a devenit vizibil odat cu semnarea, n secret, la
Tokyo, n ianuarie 2012, a Tratatului ACTA49. Acest tratat i fora pe
furnizorii de Internet s desfoare activiti de supraveghere la
nivelul reelelor proprii i s pun la dispoziia deintorilor drepturilor
de proprietate intelectual datele personale ale presupuilor infractori.
Riscnd s aib implicaii grave generate de faptul c nu reuete
stabilirea unui echilibru ntre protecia drepturilor de proprietate
intelectual i aprarea drepturilor fundamentale ale cetenilor,
Tratatul ACTA a fost respins definitiv de Parlamentul European,
anulnd posibilitatea ca UE s ratifice acest acord.
Romnia a ncercat alinierea la legislaia european prin
elaborarea unor reglementri care i propun s pun n practic
recomandrile i directivele UE.
Strategia naional de securitate cibernetic, oarecum vag n
comparaie cu cele ale unor alte state membre UE evideniate n

47
17 august 2016
48
http://www.agerpres.ro/, accesat la 30.09.2016
49
Anti-Counterfeiting Trade Agreement - Acord comercial de combatere a contrafacerii ntre
UE i statele membre ale acesteia, Australia, Canada, Japonia, Republica Coreea, Statele Unite
Mexicane, Regatul Maroc, Noua Zeeland, Republica Singapore, Confederaia Elveian i
Statele Unite ale Americii
49
capitolul anterior Frana, Estonia, Danemarca, Irlanda, Letonia are
un cadru legal de implementare limitat, chiar dac numeroase
propuneri legislative au fost naintate parlamentului spre aprobare.
Strategia de securitate cibernetic a Romniei, aprobat de
CSA la 05.02.2013, prezint obiectivele, principiile i direciile
majore de aciune pentru cunoaterea, prevenirea i contracararea
ameninrilor, vulnerabilitilor i riscurilor la adresa securitii
cibernetice a Romniei, pentru promovarea intereselor, valorilor i
obiectivelor naionale n spaiul cibernetic, pentru promovarea i
dezvoltarea cooperrii ntre sectorul public i cel privat, precum i
pentru dezvoltarea culturii de securitate a populaiei.
Strategia de securitate cibernetic definete terminologia n
domeniu i stabilete planul de aciune pentru implementarea
Sistemului Naional de Securitate Cibernetic/ SNSC, care va reuni
autoriti i instituii publice cu responsabiliti i capabiliti n
domeniu50 i va asigura cooperarea cu mediul academic, de afaceri,
asociaii profesionale i organizaii nonguvernamentale.
MCSI este structura responsabil de monitorizarea i
coordonarea implementrii strategiei de securitate cibernetic. n
coordonarea MCSI, a fost nfiinat CERT-RO, ca structur
independent de expertiz i cercetare-dezvoltare n domeniul
proteciei infrastructurilor cibernetice (HG nr. 494 din 11.05.2011).
n zona guvernamental exist i unele entiti specializate cum
ar fi Centrul Tehnic Principal de rspuns la incidente de securitate

50
SRI, MAP, MAI, MAE, MCSI, STS, SIE, SPP, ORNISS i secretarul CSA
50
cibernetic/ CERTMIL-CTP, din cadrul MAP, Centrul Naional
Cyberint, structur specializat n cadrul SRI, i Centrul Operaional
de Rspuns la Incidente de Securitate al STS/ CORIS-STS.
Pachetul de legi n domeniul reglementrii securitii
cibernetice reprezentat de Legea cartelelor pre-pay (privind
modificarea i completarea OUG nr. 111/2011 privind comunicaiile
electronice), Legea privind retenia datelor (legea nr. 82/2012) i
Legea securitii cibernetice (legea nr. 580/2014) au fost declarate
neconstituionale pe motivul nclcrii drepturilor fundamentale ale
cetenilor dreptului la viaa intim, familial i privat, a secretului
corespondenei i a libertii de exprimare a persoanelor ale cror
date stocate sunt accesate.51
La sfritul lunii ianuarie 2016, MCSI a lansat n dezbatere
public un nou proiect de lege privind securitatea cibernetic ntocmit
n urma obieciei de neconstituionalitate a CCR. Rezultatele
dezbaterii s-au concretizat n elaborarea unei versiuni intermediare a
proiectului care a fost supus avizrii interne n data de 25 martie
2016 i a fost publicat pe site-ul MCSI.
Aa cum afirma i domnul Florin Cosmoiu, eful Centrului
Naional Cyberint din cadrul SRI, din punct de vedere strategic, la
nivelul Romniei trebuie continuate eforturile de creare i dezvoltare
a unui cadru legislativ eficient52.

51
prin deciziile CCR nr. 1258 din 08.10.2009, nr. 440 din 08.07.2014, nr. 461 din 16.09.2014,
respectiv nr. nr.17 din 27.01.2015
52
revista Intelligence nr.31/ 2016, p. 27
51
Legea privind infrastructura de comunicaii, aprobat n martie
2016, transpune n legislaia romn prevederile Directivei
2014/61/UE, privind msurile de reducere a costului instalrii reelelor
de comunicaii de mare vitez.
Strategia Naional privind Agenda Digital pentru Romnia
202053, adoptat de Guvernul Romniei la data de 7 aprilie 2015,
dezvoltat pe baza programului Agenda Digital pentru Europa 2020,
este un cadru de referin pentru dezvoltarea economiei digitale 2014
2020.
Strategia naional de aprare a rii pentru perioada 2015-
2019 O Romnie puternic n Europa i n lume54 reflect
necesitatea promovrii unui concept de securitate naional extins i
a fost elaborat pentru a rspunde, ntr-un mod adecvat, unei realiti
complexe cu care se confrunt societatea romneasc. Prin obiectivele
i coninutul su documentul abordeaz aprarea i securitatea
naional ca dou concepte convergente, ameninrile cibernetice fiind
considerate ameninri la adresa acestora55.
Referitor la PIC, gestionarea pericolelor i ameninrilor la
adresa acestora fac obiectul unor iniiative legislative, sunt cuprinse n
strategia naional de securitate i n alte documente importante, dar
sunt departe de a fi pe deplin monitorizate, controlate i nlturate.

53
disponibil la https://www.comunicatii.gov.ro/legislatie/, accesat la 30.07.2016
54
disponibil la http://www.presidency.ro, accesat la 30.07.2016
55
Strategia Naional de Aprare a rii pentru perioada 2015-2019, pp. 14-15
52
Responsabilitatea pentru organizarea i desfurarea
activitilor n domeniul PIC revine Centrului de Coordonare a
Proteciei Infrastructurilor Critice/ CCPIC, din cadrul MAI.
Un element important n completarea cadrului normativ l
constituie emiterea HG nr. 1.198 din 04.12.2012 privind desemnarea
IC. MCSI a elaborat Metodologia de identificare a infrastructurilor
critice naionale din sectorul tehnologia informaiei i comunicaii din
23.03.2012.
Avnd n vedere obligativitatea transpunerii prevederilor
Directivei 2008/114/CE privind identificarea i desemnarea
infrastructurilor critice europene i evaluarea necesitii de
mbuntire a proteciei acestora, Guvernul Romniei a publicat
Ordonana de urgen nr. 98/2010 privind identificarea, desemnarea
i protecia infrastructurilor critice, aprobat prin Legea nr. 18 din
11.03.2011.
n vederea ndeplinirii obiectivului din cadrul strategiei de
securitate cibernetic de dezvoltare a culturii de securitate a
populaiei prin contientizarea fa de vulnerabilitile, riscurile i
ameninrile provenite din spaiul cibernetic56 au fost ntreprinse mai
multe msuri.
Pe site-ul CERT-RO sunt publicate o serie de ghiduri elaborate
n cadrul campaniei de contientizare a riscurilor de securitate
cibernetic derulat sub egida ECSM n octombrie 2013. n cadrul

56
Strategia de securitate cibernetic a Romniei, p. 7
53
proiectului Cyber Crime a fost produs i difuzat emisiunea ONLINE
GUARD tehnici de aprare mpotriva ameninrilor cibernetice.
De asemenea, interesul pentru aspectele de securitate
cibernetic sunt dovedite prin numrul mare de conferine tematice
organizate n fiecare an att de instituii de nvmnt superior, ct i
de instituii guvernamentale cu responsabiliti n domeniu sau chiar
organizaii private preocupate de subiect.
Chiar dac exist iniiative de contientizare, acestea sunt
disparate i, se pare, rmn adresate unor grupuri nchise, fr a
ajunge la nivelul publicului larg.
n ceea ce privete colaborarea n domeniu, Romnia este
membr a iniiativelor internaionale IT-IMPACT, GEANT i ENISA
care faciliteaz schimbul de informaii n domeniul securitii
cibernetice. De asemenea, n ndeplinirea sarcinilor specifice, CERT-
RO colaboreaz ndeaproape cu cele trei entiti guvernamentale i
semnat memorandumuri de nelegere i protocoale de colaborare cu
CERT-uri din alte ri57 i cu peste 20 de instituii din domeniul
securitii cibernetice.
ara noastr a fost implicat, prin entitile responsabile, n mai
multe proiecte de amploare pentru combaterea ameninrilor
cibernetice printre care amintim Advanced Cyber Defence Center/
ACDC58, Sistemul naional de combatere a criminalitii informatice

57
Ungaria, Kazakhstan, Uzbekistan, Coreea de Sud, Japonia, Republica Moldova, Republica
Chinez
58
care i-a propus crearea unei comuniti care s-i uneasc forele pentru a lupta mpotriva
reelelor de botnei
54
Cyber Crime59, i Sistemul naional de protecie a infrastructurilor
IT&C de interes naional mpotriva ameninrilor provenite din
spaiul cibernetic60.
n Romnia, exist organizaii non-guvernamentale61 care au
drept scop promovarea, suportul, implementarea i coordonarea
cercetrii n domeniul securitii informaiei, precum i stabilirea de
parteneriate pe termen scurt, mediu i lung n acest domeniu.
La nivelul autoritilor competente, exist preocupri de
realizare a fiei postului pentru funcia de specialist n domeniul
securitii cibernetice, ce va fi inclus n codul ocupaional romn,
pentru a putea fi definite standarde salariale n acest domeniu62.
Cadrul legal privind protecia online a copiilor este asigurat prin
aderarea Romniei la Convenia drepturilor copilului i la Protocolul
opional la Convenia drepturilor copilului pentru vnzarea,
prostituia i pornografia copiilor. Aspectele specifice sunt prevzute
n Legea nr. 196 din 13 mai 2003 privind prevenirea i combaterea
pornografiei.

59
proiect lansat de CERT-RO n aprilie 2013, prin care ministerele cu atribuii n sigurana
naional, serviciile secrete, dar i companii private beneficiaz de o platform comun de reacie
la atacurile cibernetice
60
prin care este implementat un sistem informatic care asigur interoperabilitatea ntre
componentele informatice de securitate i, prin funciunile sale, contribuie fundamental la
protecia sistemelor informatice i a informaiilor vehiculate la nivelul autoritilor publice
61
Asociaia Romn pentru Asigurarea Securitii Informaiei/ ARASEC, Cyber Security
Research Center for Romania/ CCSIR
62
http://www.mediafax.ro/, accesat la 01.08.2016
55
CAPITOLUL V STUDIU PRIVIND PERCEPIA ASUPRA
SECURITII CIBERNETICE N ROMNIA
Metodologia de cercetare
n acest capitol am efectuat un studiu pilot privind percepia
asupra securitii cibernetice n Romnia. Am folosit ca tehnic de
cercetare chestionarul.
Am recurs la un chestionar tematic, auto-administrat, cu
ntrebri combinate, nchise, care a vizat att culegerea de date de
opinie, ct i cteva date socio-demografice, care s permit
ncadrarea respondenilor n anumite categorii.
Chestionarul a fost construit innd cont de recomandrile
specialitilor n domeniu - ntrebrile nchise au varianta de rspuns
nu tiu/nu rspund, ordinea ntrebrilor formulate pe acelai subiect
este de la general, la particular, de la concret la abstract, ntrebrile
sunt clare i scurte, n stil pozitiv, fr s sugereze rspunsurile.
Chestionarul este precedat de o introducere prin care li se
mulumete celor care accept s rspund la chestionar i sunt
ndemnai s rspund onest la ntrebrile chestionarului i, dup
completarea acestuia, s trimit link-ul ctre alte dou persoane care
activeaz n acelai domeniu de activitate.
Subiectele surprinse n acest chestionar sunt rezultatul cercetrii
desfurate n prezenta tez de doctorat, ncercnd s sublinieze acele
elemente relevante care pot constitui repere solide n abordrile
ulterioare ale autoritilor att n ceea ce privete msurile necesar a fi
luate, ct i orientarea campaniilor de promovare a culturii de
securitate n domeniul cibernetic.
56
ntrebrile formulate acoper att zona de securitate cibernetic
de la nivelul organizaiei, ct i unele aspecte de la nivel naional,
urmrindu-se obinerea opiniei respondenilor despre starea general
de securitate cibernetic, dar i despre unele aspecte mai delicate cum
ar fi posibilitatea afectrii dreptului la via intim, familial i privat,
respectiv eventuale abuzuri ce pot fi efectuate de instituiile statului cu
competene n domeniu.
Chestionarul a fost construit utiliznd unul dintre serviciile
gratuite puse la dispoziie de Google prin intermediul platformei
Google Drive, link-ul ctre acesta fiind transmis respondenilor prin
email.
Limitele unei astfel de metodologii de cercetare nu pot fi
neglijate, cele mai importante aspecte decurgnd din natura
neprobabilist a eantionului folosit. Chiar dac nu este asigurat
reprezentativitatea eantionului (subiecii nu sunt alei n mod aleator,
ci prin catene ale reelelor sociale ale respondenilor), considerm c
pot obine inferene utile pentru o cercetare cu caracter exploratoriu,
precum cea de fa. O alt limit semnificativ este reprezentat de
faptul c, datorit naturii chestionarului online, cercettorul pierde
controlul asupra respectrii instruciunilor de distribuire a
chestionarului ctre alte persoane.
Analiza rezultatelor
La chestionar au rspuns 90 de persoane, cu o vrsta medie a
grupului de respondeni de 36,94 ani, avnd o abatere standard de 7,66
ani. Au rspuns 52 de brbai i 38 de femei, 12 respondeni au declarat

57
c au finalizat studiile doctorale, 37 studiile masterale, 35 facultatea i
5 liceul/ colegiul naional/ coala profesional.
Majoritatea participanilor la studiu provin din mediu privat
(44), restul fiind din mediul guvernamental (23), academic (9) i non-
guvernamental (1), vechimea acestora n munc fiind oarecum
echilibrat.
n ceea ce privete nivelul i profilul funciei ocupate n cadrul
organizaiei 13 respondeni au declarat c ocup funcii de
management superior, 21 de management inferior i 44 de execuie,
47 fiind persoane tehnice i 34 non-tehnice.
Percepia respondenilor la chestionar referitoare la subiectele
supuse ateniei ne-au condus la urmtoarele concluzii:
- cele mai semnificative riscuri la adresa securitii cibernetice sunt:
noile tehnologii (Cloud Computing, Big Data, Internet of Things),
produsele software neactualizate i riscul angajatului nemulumit
care are acces la date i sisteme sensibile;
- principalele aspecte care trebuie avute n vedere pentru asigurarea
securitii cibernetice se refer la responsabilizarea deintorilor
de infrastructuri cibernetice i creterea capacitii de reacie la
incidentele cibernetice prin impunerea unor cerine minime de
securitate cibernetic i asigurarea rezilienei infrastructurilor
cibernetice;
- n ziua de astzi orice organizaie trebuie s ia msuri de securitate
cibernetic asemenea unei companii IT i trebuie s elaboreze
proceduri de reacie pentru orice scenariu cibernetic posibil, chiar
i pentru cele mai puin probabile;
58
- cele mai importante elemente ale culturii de securitate cibernetic
sunt creterea gradului de contientizare al utilizatorilor finali cu
privire la riscurile cu care se confrunt online, precum i cu
principalele msuri de protecie pe care le pot aplica i suportul
instituiilor statului pentru creterea gradului de contientizare a
cetenilor cu privire la securitatea cibernetic;
- datele personale pot fi accesate i folosite de persoane ru
voitoare, grupri de criminalitate informatic, entiti strine sau
agresori cibernetici;
- exist o preocupare destul de consistent fa de utilizarea abuziv
a datelor stocate de deintorii de infrastructuri cibernetice i fa
de afectarea dreptului la via intim, familial i privat de ctre
instituii ale statului;
- cel mai vizat sector de ameninrile la adresa securitii
cibernetice este sectorul financiar-bancar, urmat de sectorul
aprare naional, energetic i transporturi;
- apartenena Romniei la NATO i UE a crescut riscul de
materializare a unor ameninri cibernetice, dar a i crescut gradul
de protecie n faa acestora;
- nivelul ameninrilor provenite din spaiul cibernetic la adresa
infrastructurilor critice din Romnia este mediu, cu tendin spre
ridicat.
Respondenii tind s fie n dezacord cu urmtoarele afirmaii: n
mod real, securitatea cibernetic poate fi asigurat n proporie de
100%, actualul cadru legislativ este suficient pentru reglementarea
activitilor necesare asigurrii securitii cibernetice,
59
responsabilitatea asigurrii securitii cibernetice revine doar
entitilor cu atribuii n domeniu.
56 din participanii la studiu consider c dein o cultur de
securitate suficient de dezvoltat pentru a lua msurile necesare
protejrii mpotriva atacurilor cibernetice.
Numrul mare al afirmaiilor care au primit varianta de rspuns
Nu tiu/ Nu rspund relev faptul c aceste aspecte nu sunt promovate
corespunztor la nivelul tuturor utilizatorilor.

CONCLUZII FINALE
Reglementarea continu a spaiului cibernetic la nivel
internaional este necesar i totodat binevenit, fiind o obligaie i o
datorie a ntregii comuniti internaionale i necesitnd stabilirea unor
repere unitare care s permit standardizarea tehnologiei utilizat.
Elementele supuse ateniei n cadrul prezentei teze de doctorat
constituie o baz solid a unui astfel de proces.
Demersul tiinific a pornit de la clarificarea noiunii de spaiu
cibernetic cu evidenierea caracteristicilor i vulnerabilitilor
acestora, astfel nct s poat fi oferit o imagine ct mai concret i
complet a complexitii acestuia.
Tendinele evolutive n ceea ce privete expansiunea numrului
de dispozitive conectate la Internet, posibilitile nenumrate de
exploatare a vulnerabilitilor acestora, uurina cu care aceste
activiti pot fi efectuate i posibilitile limitate de detectare a
atacatorilor, ne conduc la ideea c instrumentele clasice de asigurare a

60
securitii trebuie completate cu noi elemente care s contribuie la
limitarea posibilitilor de a fi supus unui atac cibernetic.
Ulterior, demersul nostru s-a orientat spre reglementarea n
domeniul securitii cibernetice, ncepnd cu strategiile naionale de
securitate cibernetic, componente ale strategiilor de securitate
naional pentru care sunt stabilite repere fundamentale.
Din punct de vedere al securitii naionale, asigurarea
securitii cibernetice implic, n primul rnd, asigurarea PICC,
elemente definitorii ale societii. Provocrile legate de ICC nu sunt
specifice unei anumite ri i nu pot fi depite de ctre orice ar pe
cont propriu. Dei parteneriatele public-private reprezint un deziderat
greu de atins, sunt critice pentru creterea gradului general de
securitate n spaiul cibernetic.
Trecerea n revist a demersurilor de reglementare n domeniul
securitii cibernetice dovedete preocuparea pentru aspectele
circumscrise, ns realitatea cotidian dovedete faptul c acestea nu
sunt nc suficiente. Colaborarea ntre toate sectoarele de activitate
permite ca fiecare s acioneze ca un siloz de cunotine de
specialitate, permind un ciclu de mbuntire a msurilor
implementate.
Dei cooperarea constituie elementul cheie al securitii la
nivel cibernetic, este demn de analizat ideea avansat de ctre Alyson
Bailes63 conform creia orice element ad-hoc de tip cooperativ n
materie de securitate cibernetic este contraproductiv i poate aduce

63
Alyson Bailes este profesor la Universitatea din Islanda, specializat n studii de securitate
61
atingere grav drepturilor i libertilor fundamentale ale fiinei
umane.
n ceea ce privete armele cibernetice, statele ar trebui s
negocieze acorduri asemntoare celor pentru arme nucleare, chimice
sau biologice n care s se stipuleze condiiile n care pot fi utilizate.
Au fost fcui pai n aceast direcie n domeniul criminalitii
informatice, ns creterea continu a ameninrilor sugereaz c este
timpul pentru o planificare mai detaliat a acestor acorduri.
Paralel, la nivelul autoritilor competente pot fi implementate
mecanisme de atragere n capcan a posibililor atacatori i elaborate
diverse scenarii de testare a modalitii de reacie n cazul unui atac
cibernetic major. Activitatea CERT-urilor poate fi sensibil
mbuntit prin utilizarea honeypot-urilor prin intermediul crora
pot fi colectate informaii valoroase fr afectarea n vreun fel a
mediilor de producie.
Analiza comparativ efectuat la nivelul statelor membre UE
care au strategii de securitate cibernetic implementate a reliefat faptul
c exist diferene att n ceea ce privete msurile adoptate, ct i n
ceea ce privete modalitatea de abordare a acestora. Cehia, Croaia,
Germania, Italia, Letonia, Lituania, Olanda i Ungaria au adoptat legi
de securitate cibernetic, n timp ce doar un numr restrns de state i-
au actualizat strategiile de securitate cibernetic Cehia, Frana,
Estonia i Olanda.
Chiar dac suntem contieni de limitarea adus de datele avute
la dispoziie, considerm util crearea tabloului de bord al strii de

62
securitate cibernetic la nivelul statelor analizate, avnd un caracter
de noutate.
Analiza a scos n evidena o tendina de a crete preocuparea
ctre reglementarea aspectelor circumscrise securitii cibernetice pe
msur ce statele s-au confruntat cu probleme serioase.
Din punct de vedere al msurilor implementate Romnia se
situeaz la un nivel mediu, existnd o serie de iniiative n domeniu
att pe partea legislativ, ct i pe cea de contientizare. Actualul cadru
de reglementare legislativ necesit completare, astfel nct s fie clar
stabilite atribuiile instituiilor statului n domeniul cibernetic i
obligaiile ce revin persoanelor juridice pentru protejarea
infrastructurilor cibernetice.
Concluziile studiului pilot efectuat n capitolul V ne dau mai
multe direcii pe de urmat. n primul rnd creterea contientizrii
populaiei cu privire la riscurile la care sunt expui att individual, ct
i colectiv, n organizaie, prin neimplementarea msurilor de
securitate minim.
O transparen mai pronunat a autoritilor care desfoar
activiti n domeniul cibernetic, mpreun cu o promovare
corespunztoare a iniiativelor de colaborare ntre mediul privat i cel
guvernamental pot diminua percepia referitoare la abuzurile care pot
fi efectuate de autoritile competente, favoriznd obinerea unei
nelegeri avansate asupra aspectelor legislative.
Considerm c percepia c toi actorii definii n cadrul
strategiei naionale de securitate cibernetic acioneaz n spaiul
cibernetic naional, precum i preocuparea fa de posibilitatea
63
acestora de a accesa i folosi n scopuri ilicite datele personale sunt
elemente suficiente care pot fi folosite ca factor declanator al sporirii
preocuprii pentru implementarea tuturor msurilor necesare
protejrii infrastructurilor cibernetice i a msurilor legislative pentru
pedepsirea celor implicai n aciuni mpotriva acestor infrastructuri.
n ciuda limitrilor pe care le presupune studiul pilot efectuat,
considerm util extinderea acestuia la un numr semnificativ de
persoane, astfel nct rezultatele s poat fi considerate relevante i s
sprijine orientarea politicilor de contientizare n funcie de percepia
asupra elementelor surprinse n chestionar.
Avnd n vedere perspectivele enunate mai sus, putem
considera confirmate toate ipotezele de la care a pornit demersul
nostru.
n urma analizei rezultatelor obinute, putem avansa drept
propuneri, urmtoarele:
adoptarea cadrului legislativ-normativ n domeniul securitii
cibernetice;
includerea n programa nvmntului primar, secundar i
superior, a elementelor de securitate cibernetic, gradual, astfel
nct s fie sporit gradul de contientizare;
utilizarea rezultatelor teoretice n sprijinul activitii de
nvmnt i cercetare;
utilizarea unui chestionar, asemntor celui din prezenta tez de
doctorat, de ctre factorii decizionali la nivel naional pentru
obinerea unor elemente relevante susinerii i promovrii
aspectelor de securitate cibernetic.
64
BIBLIOGRAFIE SELECTIV
I. Acte normative
I.1. Reglementri europene
1. *** Strategia pentru o societate informaional sigur,
COM/2006/0251 final, 2006
2. *** Consiliul UE, Strategia european de securitate o Europ
sigur ntr-o lume mai bun
3. *** Strategia Europa 2020: O strategie european pentru o
cretere inteligent, ecologic i favorabil incluziunii, 2010
4. *** Strategia de securitate cibernetic a Uniunii Europene: Un
spaiu cibernetic deschis, sigur i securizat, 2013
5. *** Securitatea reelelor i a informaiilor: Propunere pentru o
abordare de politic european, COM/2001/0298 final, 2001
6. *** O agend digital pentru Europa
7. *** Cartea verde pentru un program european privind protecia
infrastructurilor critice
8. *** Comunicarea CE despre programul de protecie a
infrastructurilor critice, 2006
9. *** Directiva 2002/58/CE a Parlamentului European i a
Consiliului din 12 iulie 2002 privind prelucrarea datelor
personale i protejarea confidenialitii n sectorul
comunicaiilor publice
10. *** Directiva 2006/24/CE din 15 martie 2006 privind stocarea
datelor generate sau procesate de ctre furnizorii de reele i
servicii de comunicaii electronice destinate publicului
11. *** Directiva CE 2008/114/EC privind identificarea i
desemnarea infrastructurilor critice europene i precum i
evaluarea necesitii de mbuntire a proteciei acestora
12. *** Comunicarea CE, Protecia infrastructurilor critice n lupta
mpotriva terorismului
I.2. Reglementri internaionale
13. *** Strategia Naional de Securizare a Spaiului Cibernetic,
SUA, 2003
14. *** Directiva Prezidenial pentru Securitate Intern/ HSPD 7:
Identificarea, prioritizarea i protecia infrastructurilor critice,
SUA, 2011
I.3 Reglementri interne
15. *** Constituia Romniei
65
16. *** Strategia de securitate cibernetic a Romniei, 2013
17. *** Strategia naional de aprare a rii pentru perioada 2015-
2019 O Romnie puternic n Europa i n lume, Bucureti, 2015
18. *** Strategia Naional privind Agenda Digital pentru
Romnia, iulie 2014
19. *** Legea nr. 82/2012 privind retenia datelor generate sau
prelucrate de furnizorii de reele publice de comunicaii
electronice i de furnizorii de servicii de comunicaii electronice
destinate publicului
20. *** Legea nr. 580/2015 legea securitii cibernetice
21. *** Legea privind modificarea i completarea OUG nr. 111/2011
privind comunicaiile electronice
22. *** OUG 98 din 3 Noiembrie 2010, privind identificarea,
desemnarea i protecia infrastructurilor critice
23. *** HG nr. 1.198 din 04.12.2012 privind desemnarea
infrastructurilor critice
24. *** HG 1110/2010 din 03.11.2011 privind componena,
atribuiile i modul de organizare a Grupului de lucru
Interinstituional privind protecia infrastructurilor critice
25. *** HG nr. 718/2011 privind aprobarea Strategiei naionale
privind protecia infrastructurilor critice
26. *** HG nr. 1198/2012 privind desemnarea infrastructurilor
critice naionale
27. *** HG nr. 1157/2013 privind aprobarea Strategiei Industriei
Naionale de Securitate
28. *** Ghid introductiv pentru aplicarea dispoziiilor legale
referitoare la criminalitatea informatic, Bucureti, mai 2004
II. Lucrri de autor
29. Alexandrescu, Grigore, Vduva, Gheorghe, Infrastructuri critice.
Pericole, ameninri la adresa acestora. Sisteme de protecie,
Editura Universitii Naionale de Aprare Carol I, Bucureti,
2006;
30. Bajai, Kamlesh, The Cybersecurity Agenda, Mobilizing for
International Action, New York, The EastWest Institute, 2010
31. Brenner, Susan W., Cyberthreats: The Emerging Fault Lines of
the Nation State, New York, Oxford University Press, 2009
32. Clarke, Richard A., Knake, Robert K., Cyber War: The Next
Threat to National Security and What to do About it, New York

66
33. Collins, Howard C., Hughes, Connor R., Cyber Infrastructure
Protection : Selected Issues and Analyses, Nova Science
Publishers, 2013
34. Georgios Giannopoulos, Roberto Filippini, Muriel Schimmer,
Risk assessment methodologies for Critical Infrastructure
Protection. Part I: A state of art, JRC Technical Notes, 2012
35. Fadia, Ankit, Network Security: A Hackers Perspective,
Cincinnati, Premier Press, 2003
36. Hathway, Melissa E, Best Practices in Computer Network
Defense: Incident Detection and Response, IOS Press, 2014
37. Kuehl, Daniel T., From Cyberspace to Cyberpower: Defining the
Problem, in Franklin D. Kramer, Stuart H. Starr and Larry K.
Wentz, Cyberpower and National Security, Washington D.C.,
National Defense University Press, Potomac Books, 2009
38. Libicki, Martin C., Cyberdeterrence and Cyberwar, RAND, 2009
39. Lowther, Adam, Yannakogeorgos, Panayotis A, Conflict and
Cooperation in Cyberspace: The Challenge to National Security,
2013
40. Maior, George-Cristian, Spionii. Cine sunt, ce fac, editura RAO,
2013
41. Matthew, Edwards, Critical Infrastructure Protection, NATO
Science for Peace and Security Series, vol 116, IOS Press, 2014
42. Rattray, Gregory J., An Environmental Approach to
Understanding Cyberpower, in Franklin D. Kramer, Stuart H.
Starr and Larry K. Wentz, Cyberpower and National Security,
Washington D.C., National Defense University Press, Potomac
Books, 2009
43. Reveron, Derek S., Cyberspace and the national security
Threats, Opportunities and Power, Georgetown University Press,
Washington DC, 2012
44. Rizea, Marian, Enchescu, Daniela, Neamu-Rizea, Cristiana,
Infrastructuri critice, Editura Universitii Naionale de Aprare
Carol I, Bucureti, 2010;
45. Schreier, Fred, On Cyberwarfare, DCAF HORIZON 2015
WORKING PAPER No. 7
46. Singer , W., Friedman, Allan, Cybersecurity and Cyberwar:
What Everyone Needs to Know, Oxford University Press, 2014

67
47. Smedts, Bart, Critical Infrastructure Protection Policy in the EU:
state of the art and evolution in the (near) future, iunie 2010
48. Sommer, Peter, Brown, Ian, Reducing Systemic Cybersecurity
Risk, OECD, OECD/IFP Project on Future Global Shocks, 14
January 2011
49. Ziolkowski, Katharina, Peacetime Regime for State Activities in
Cyberspace. International Law, International Relations and
Diplomacy, NATO CCD COE Publication, Tallinn 2013
III. Articole, publicaii, lucrri de cercetare
50. Balog, Ctlin-Iulian, SOCIAL MEDIA a form of threat in cyber
space, ProQuest LLC
51. Boaru, Gheorghe, Bdia, George Ionu, Critical Infrastructure
Interdependencies;
52. Burciu, Paul, Romanias European & Euro-Atlantic Integration
From A Cybersecurity Perspective, ProQuest LLC
53. Chisega Negril, Ana Maria, Minculete, Gheorghe, Conceptual
Approaches to Modern Critical Infrastructures, Impact Strategic,
nr. 3/ 2011, CEEOL
54. Coleman, Kevin G., Preparing for a Cyber Attack. Countdown to
eDay!, McMurray, The Technolytics Institute
55. Cronkrite, Mecealus, Szydlik, John, Park, Joon, The Strategies for
Critical Cyber Infrastructure (CCI) Protection by Enhancing
Software Assurance, Syracuse University, USA
56. Dirks, Brent, ASIS Session Examines Cloud Computing,
Opportunities, Dangers, 21 octombrie 2010
57. Dogaru, Olgua, Noi provocri n securitatea cibernetic, Studii
de Securitate Public, vol. 3, nr. 4(12), octombrie-decembrie 2014
58. Dumbrav, Dumitru, Agresiunile n spaiul cibernetic, Revista
Romn de Studii de Intelligence nr. 6 / decembrie 2011
59. Hagenbart, Christine, Semantics Matter NATO, Cyberspace and
Future Threats, Research Division, NATO Defense College,
Rome, nr.103, iulie 2014
60. Hollis, Duncan B., Why States Need an International Law for
Information Operations, 2007
61. Howard, John D., An analysis of security incidents on the Internet,
1998

68
62. Hultquist, Katherine E., MA, An analysis of the impact of cyber
threats upon 21st century business, decembrie 2011, ProQuest
LLC
63. Leaua, Ana Ligia, Ardeleanu, Drago, Abordarea Uniunii
Europene privind protecia infrastructurilor critice, Revista
Romn de Studii de Intelligence nr. 10 / decembrie 2013,
CEEOL
64. Leaua, Ana Ligia, Ardeleanu, Drago, Interdependena
infrastructurilor critice implicaii asupra securitii naionale,
Revista Romn de Studii de Intelligence nr. 8 / decembrie 2012,
CEEOL
65. Liaropoulos, Andrew, War and Ethics in Cyberspace: Cyber-
Conflict and Just War Theory, 2010
66. Lin, Herbert S., Offensive Cyber Operations and the Use of Force,
Journal of National Security Law & Policy, Vol. 4, 2010
67. Martin, Ioana, Detectarea proactiv a atacurilor cibernetice
honeypot-urile, Revista de investigare a criminalitii, editura
Universul Juridic, volumul VIII, numr special I, 2015
68. Meijeren, Maarten van, Perspecives on cyber security.
Managerial perspectives on cyber security and the role of end
user awareness, martie 2016
69. Neag, Mihai-Marcel, Critical Infrastructure Protection The
Foundation of National Security (1), Buletin tiinific nr. 1 (37)
din 2014, CEEOL
70. Neag, Mihai-Marcel, Critical Infrastructure Protection The
Foundation of National Security (2), Buletin tiinific nr. 2 (38)
din 2014, CEEOL
71. Nicholson, Andrew, Watson, Tim, Norris, Peter, Duffy, Alistair,
Isbell, Roy, A Taxonomy of Technical Attribution Techniques for
Cyber Attacks, iulie 2012
72. Pea, Cezar, Cybersecurity Current Topic of National Security
(I), Studii de securitate public nr. 3/ 2013
73. Podins, Karlis, Czosseck, Christian, A Vulnerability-Based Model
of Cyber Weapons and its Implications for Cyber Conflict, 2012
74. Popa, Vasile, Critical Infrastructure Protection within the
European Union, Journal of Defense Resources Management, nr.
1/ 2013, CEEOL

69
75. Roceanu, Ion, Dogaru, Olgua, Strategiile interagency
cooperation pentru asigurarea securitii cibernetice n scopul
reducerii riscurilor, vulnerabilitilor i disfuncionalitilor
specifice infrastructurilor critice, raport de cercetare
postdoctoral, SmartSpodas, 2015
76. Schilling, Jeffery R., United States Army, Defining Our National
Cyberspace Boundaries, 2010
77. Suciu, Dan Mircea, Strategii de securitate cibernetic n era
Internetului, Revista Romn de Studii de Intelligence nr. 9 / iunie
2013
78. Trujillo, Clorinda, The Limits of Cyberspace Deterrence, JFQ 75,
4th Quarter 2014
79. Vevera, Adrian-Victor, Ameninri cibernetice globale i
naionale, 2014
80. Zhang, Chi, Critical Infrastructure Protection against Intentional
Attacks, Stevens Institute of Technology, 2012, ProQuest
IV. Rapoarte/ reviste de specialitate
81. ***Geopolitica, CyberSecurity informaia este o arm, anul XI,
nr.53, Bucureti 2013
82. OECD, Development of Policies for Protection of Critical
Information Infrastructures, 2008
83. Centre for European Policy Studies, CEPS Task Force Report,
Protecting Critical Intrastructure in the EU, Brussels, 2010
84. ENISA, Methodologies for the identification of Critical
Information Infrastructure assets and services, decembrie 2014
85. ENISA, ENISA Threat Landscape 2015, ianuarie 2016
86. ENISA, Proactive Detection of Security Incidents, Honeypots,
2012
87. General Accounting Office, Air Traffic Control: Weak Computer
Security Practices Jeopardize Flight Safety, mai 1998
88. Intel Security, McAfee Labs Threats Report, martie 2016
89. Karspersky Lab, Kaspersky DDoS Intelligence Report for Q1
2016, aprilie 2016
90. National Institute of Standards and Technology, Guide to
Intrusion Detection and Prevention Systems (IDPS), 2007
91. Revista Intelligence nr. 31/ 2016
92. Sophos, Security Threat Trends 2015, 2014

70
93. SYMANTEC, Internet Security Threat Report, aprilie 2015, vol.
20
94. VERACODE, The Internet of Things: Security Research Study,
2015
95. VERIZON, 2015 Data Breach Investigations Report, 2016
96. World Economic Forum, The Global Risks Report 2016, ediia 11,
2016
V. Surse Internet
97. ***andrei.clubcisco.ro
98. ***ccpic.mai.gov.ro
99. ***cip.gmu.edu
100. ***csrc.nist.gov
101. ***cybersecurity.bsa.org/index.html
102. ***cybersecuritytrends.ro
103. ***docslide.us
104. ***economist.com
105. ***eur-lex.europa.eu
106. ***georgewbush-whitehouse.archives.gov
107. ***register.consilium.europa.eu
108. ***securelist.com
109. *** www.agerpres.ro/
110. ***www.anc.edu.ro
111. ***www.ancom.org.ro
112. ***www.bsa.org
113. ***www.cert-ro.eu
114. ***www.cipre-expo.com
115. ***www.coe.int
116. ***www.coinfox.info
117. ***www.comunicate.mediafax.biz
118. ***www.comw.org
119. ***www.continuitycentral.com
120. ***www.dataprotectionreport.com
121. ***www.dhs.gov
122. ***www.enisa.europa.eu
123. ***www.ferc.gov
124. ***www.fiercehomelandsecurity.com
125. ***www.ft.com
126. ***www.homelandsecuritynewswire.com

71
127. ***www.infobuscy.eu
128. ***www.infosecurityireland.org
129. ***www.itu.int/en/Pages/default.aspx
130. ***www.legi-internet.ro
131. ***www.lexology.com
132. ***www.mcsi.ro
133. ***www.mediafax.ro
134. ***www.oecd.org
135. ***www.presidency.ro
136. ***www.rand.org
137. ***www.reuters.com
138. ***www.securitatea-informatica.ro
139. ***www.securitatea-informatiilor.ro
140. ***www.securityportal.ro
141. ***www.sri.ro
142. ***www.techopedia.com
143. ***www.telecoms.com
144. ***www.us-cert.gov
145. ***www.veracode.com
146. ***www.washingtonpost.com
147. ***www.whitehouse.gov
148. ***www.wired.com
149. ***www.wikipedia.org
150. ***www3.weforum.org

72