.jpg)
Academia Română a fost creată în 1866 pentru a cristaliza cele mai înalte valori intelectuale din provinciile românești într-o societate erudită menită să consolideze identitatea națională pe baza a patru componente esențiale: limbă și literatură, istorie, etnografie și cultură. La...
Securitatea Un domeniu pentru profesionisti
In luna aprilie a avut loc la Bucuresti editia a doua a Conferintei Anuale a Expertilor in Securitatea Informatiei, eveniment dedicat specialistilor si profesionistilor IT din Romania si regiunea Europei de Est. Aceasta a fost organizata de catre compania Provision®, unul dintre numele cele mai importante de pe piata securitatii informatiei din Romania impreuna cu subsidiara sa Information Security Expert Center - iSEC® – Centrul de excelenta in securitatea informatiei. Am profitat de acest eveniment pentru a discuta cu domnul Alexandru Andriescu, presedintele Provision si iSEC despre importanta evenimentului si directia dezvoltarii securitatii informatiei in tara noastra.
Reporter : Ce v-ati propus cu acest eveniment?
Alexandru Andriescu: Anul acesta ne aflam la a doua editie si speram sa transformam acest eveniment intr-unul de traditie in domeniu. Mesajul principal pe care am dorit sa il transmitem este ca securitatea informatiilor este un domeniu de care trebuie sa se ocupe profesionistii. Asa cum de medicina se ocupa doctorii, de constructii se ocupa arhitectii si inginerii, tot asa de securitatea datelor trebuie sa se ocupe cei care au calificarea necesara.
Reporter : Ce puteti sa ne spuneti despre trainingul si certificarile care se pot obtine in securitatea informatiei?
Alexandru Andriescu: Exista mai multe tipuri de acreditari, in functie de domeniul concret despre care vorbim. De exemplu, exista certificarile CISSP si SSCP, acordate de (ISC)2, sau certificarile CISA si CISM acordate de ISACA (Information Systems Audit and Control Association) . Din pacate, abia in ultima vreme in Romania acest gen de certificari a inceput sa fie apreciat: avem in total mai putin de 50 de experti certificati, dintre care 11 detin certificarea CISSP, 21 detin certificarea CISA si 3 detin certificarea CISM. Provision a infiintat un Centru de Training IT dedicat pentru pregatirea specialistilor romani in securitatea informatiei care este singurul centru regional de training din Europa de Est afiliat la (ISC)2® si care furnizeaza servicii profesionale de instruire si testare la standarde internationale. De asemenea, acest Centru este partener al British Standards Institute pentru instruirea in domeniul implementarii si auditarii Sistemelor de Management ale Securitatii Informatiei in conformitate cu cerintele standardului ISO 17799/BS 7799.
Reporter : Cum apreciati situatia din Romania in acest moment, din punct de vedere al securitatii datelor si a principalelor amenintari?
Alexandru Andriescu: Societatea trebuie sa perceapa noile tendinte in acest domeniu si sa le urmeze. Vom intra curand in Uniunea Europeana si avem nevoie sa oferim un mediu de afaceri cu un grad de securitate ridicat pentru viitorii nostri parteneri. Amenintarile sunt multe si cat se poate de serioase. Dintre cele mai frecvente as putea mentiona atacurile de tip phishing, corporate espionage si identity theft, laolalta cu atacurile mai putin sofisticate cu care ne-am obisnuit deja, de tipul virusilor, viermilor de retea si spam-ului. In Romania de exemplu, exista un numar de aproximativ 100 de site-uri care faciliteaza phishing-ul. Autoritatile reusesc sa ne atraga atentia aproape zilnic cu realizari in capturarea diversilor infractori care folosesc sistemele informatice pentru a comite diverse infractiuni, insa acest efort trebuie sustinut de intreaga comunitate IT, pentru ca un sistem neprotejat dintr-o organizatie poate deveni o baza de lansare pentru atacuri ce pot afecta alte organizatii, atat de la noi, cat si din strainatate. Si, in final, tot imaginea Romaniei are de suferit. Daca dorim sa cream un brand de tara atragator, trebuie sa lucram si la eliminarea acestor componente negative care tin prima pagina a ziarelor occidentale.
Reporter : Exista in Romania masuri de prevenire a acestor atacuri?
Alexandru Andriescu: Da, sunt luate si la noi astfel de masuri. Companiile din Romania au inceput sa inteleaga aceasta necesitate. Exista, dupa cum vedeti din presa ultimelor luni un efort deosebit al companiilor implicate in securitatea informatiei pentru a educa si constientiza piata despre pericole si amenintari. Provision a avut o activitate sustinuta in ultimii ani in acest sens, dovada fiind chiar aceasta conferinta de securitate, langa care mai putem mentiona efortul depus pentru elaborarea variantei romanesti a standardului ISO 17799, fondarea ISACA Romania, afilierea la (ISC)2 si BSI. Pe langa eforturile companiilor private as remarca si implicarea si activitatile depuse de autoritatile romane pentru crearea unui cadru legislativ corect. As mentiona chiar faptul ca o delegatie a MCTI va vizita SUA pentru a discuta probleme legate de securitatea informatiilor si putem vorbi chiar despre actiuni de amploare ale autoritatilor, relativ recent avand loc o interventie in forta pentru a opri activitatile unui site care permitea, prin atacuri de tipul phishing-ului, desfasurarea de fraude electronice.
Reporter : De ce credeti ca fenomenul cybercrime are o asemenea amploare la noi?
Alexandru Andriescu: Sunt mai multi factori care contribuie la aceasta situatie, dintre care unii paradoxali. Anual din universitatile tehnice romanesti ies aproximativ 29.000 de absolventi, unii dintre ei foarte bine pregatiti in domeniul IT. Piata nu ii poate absorbi pe toti, societatea este inca destul de saraca si nu ii poate sustine; in consecinta multi isi folosesc cunostintele pentru a obtine profituri din activitati ilegale, de hacking, phishing, fraude electronice etc. Cresterea numarului de specialisti in securitatea informatiei va reduce automat acest fenomen, actionand din doua directii. In primul rand, numarul mai mare de experti in protejarea datelor va scadea semnificativ numarul de atacuri reusite, in al doilea rand, un numar dintre cei 29.000 de absolventi vor fi atrasi in acest sector reducand numarul celor atrasi spre zona ilegala.
Reporter : Ce ofera Provision pe piata securitatii din Romania?
Alexandru Andriescu: Provision merge in acest domeniu pe trei directii. Prima directie o reprezinta distributia pura de solutii si servicii profesionale de securitate a informatiei ce include cele mai renumite branduri din piata (Check Point, Nokia, Internet Security Systems, RSA Security, McAfee, Network General, PGP, Stonesoft, Websense, SonicWall, SurfControl, Aladdin, nCipher...). A doua directie o reprezinta nou infiintatul Centru de excelenta in securitatea informatiei - Information Security Expert Center - iSEC® -ce ofera o gama larga de servicii de consultanta pentru domeniul securitatii informatiei. Nu in ultimul rand, Centrul de Training IT ofera servicii de training si suport tehnic in parteneriate cu: Microsoft, Check Point, BSI si (ISC)2 . Incepand cu anul 2004, Provision a devenit de asemenea si Centru de Testare Autorizat Pearson Vue.
Am incercat sa aducem valoare acestui Centru de Training prin specialistii cu experienta care predau aici. Vorbim despre persoane care s-au confruntat cu problemele de securitate foarte mult timp si care pot vorbi din experienta, furnizand exemple practice din situatii concrete.
Reporter : Ce reprezinta Information Security Expert Center - iSEC® ?
Alexandru Andriescu: iSEC® este divizia companiei Provision ce ofera o gama larga de servicii din domeniul Securitatii Informatiei. iSEC® a proiectat si implementat sisteme de management al securitatii informatiei si solutii de business pentru diferite organizatii publice si private din domeniile: financiar – bancar, telecomunicatii, utilitati, productie, administratie si guvern. iSEC® ofera servicii de consultanta pentru implementarea de sisteme de management al securitatii informatiei, dar si servicii specializate: Security Assessment, Risk Assessment, Risk Management, Incident Response and Forensics Investigation, Business Continuity Planning, precum si Penetration Testing, Web Security Application Testing si Social Engineering. Echipa iSEC® este formata din specialisti cu experienta bogata in tehnologii de securitate si in managementul securitatii informatiei. Printre cele mai recunoscute certificari detinute de catre specialistii echipei iSEC® se numara: certificari pentru tehnologii (CCSA,CCSE, CCSE+, CCNP, MCSE), certificari profesionale de securitate a informatiei (CISSP), certificari din domeniul managementului securitatii informatiei (CISM, BS7799 Implementer) precum si certificari pentru auditarea sistemelor de management al securitatii informatiei (CISA, BS7799 Lead Auditor).
Reporter : Cate companii din Romania au implementat pana acum sisteme de securitate a informatiilor si cate sunt in curs de implementare?
Alexandru Andriescu: Din pacate in Romania nu exista momentan nici un Organism de Certificare recunoscut pe plan international in ceea ce priveste standardul BS7799. Asa ca, in prezent, o companie din Romania care doreste sa isi auditeze sistemul de securitate a informatiilor trebuie sa apeleze la un Organism de Certificare din afara tarii. Este regretabil ca exista pe piata din Romania anumite companii care pretind ca pot acorda certificare de conformitate cu standardul BS7799, incercand sa castige imagine si reputatie in acest fel. Revenind la intrebarea dvs., chiar Provision se afla in curs de implementare a unui Sistem de Management al Securitatii Informatiei (ISMS), insa prima companie romaneasca ce a implementat un sistem de management al securitatii informatiei conform BS7799 si care a si obtinut in urma unui audit certificarea acestei implementari din partea unui Organism de Certificare Acreditat este Mobifon S.A (Certificate No. 0054). In rest, exista companii aflate in curs de implementare sau companii care au implementat un ISMS, dar acesta nu a fost auditat de un Organism de Certificare Acreditat. (Nu este suficient ca un Organism de Certificare sa fie acreditat pentru standardul ISO 9001:2000 pentru a putea incepe sa ofere si certificare conform standardului BS7799, chiar daca organismul face parte dintr-o retea internationala.) Provision este implicata in prezent in proiecte pentru cinci companii din domenii diferite, furnizandu-le consultanta pentru implementarea de sisteme de securitate a informatiei; certificarea insa va fi facuta cu un organism acreditat international pentru standardul BS 7799. Estimam ca aceste proiecte ne vor aduce o cifra de afaceri in jur de 500 000 EUR si se vor finaliza cu certificari recunoscute international pentru toate aceste organizatii. Ne asteptam sa apara in curand si la noi prevederi legislative care vor obliga toate organizatiile sa acorde mai multa atentie acestui domeniu, mai ales in perspectiva aderarii la UE in 2007 si alinierii practicilor de business de la noi la mediul de afaceri european. Asa ca cel mai bine ar fi ca aceste organizatii sa implementeze un ISMS acum, cand acest lucru se poate face planificat, pentru a nu fi fortati sa o faca in graba, atunci cand ii va obliga legea. As dori sa subliniez ca vorbim despre un proces important si de durata, care presupune o reasezare pe baze mai sigure a activitatilor din cadrul organizatiei si o schimbare a mentalitatilor in vederea identificarii si asigurarii valorilor si resurselor celor mai importante pentru organizatie. Acest proces nu se poate desfasura peste noapte si presupune investitii serioase de timp si resurse, care trebuie facute planificat pentru a obtine o maxima eficienta si pentru a asigura rezultatele dorite.
Reporter : In incheiere, ce mesaj ati dori sa transmiteti managerilor IT din Romania?
Alexandru Andriescu: As dori sa comunic inca o data faptul ca securitatea informatiei nu este o chestiune de achizitie de tehnologii, ci mai degraba un rezultat al unui management eficient si al schimbarii de mentalitate. Tehnologiile trebuie alese si implementate numai in urma unei evaluari de riscuri, unei analize de business si, atunci cand sunt necesare, ele trebuie implementate de specialisti si trebuie constant actualizate si monitorizate. Orice schimbare intr-o infrastructura IT – de la aplicarea unui patch pana la o reorganizare a retelei – poate introduce riscuri de securitate care trebuie evaluate. O vulnerabilitate minora, exploatata cu pricepere, se poate transforma intr-un incident de securitate grav care poate afecta intreaga activitate a unei organizatii.
Parerea ta conteaza: 
High-tech in Formula 1
