Instituțiile statului au fost întrebate cum își asigură securitatea informațională în era internetului

Europa Liberă a întrebat 17 dintre cele mai importante instituții ale statului despre securitatea informațională: Folosesc adrese de e-mail personale în scop de serviciu? Au voie să folosească aplicații, printre care Telegram? Cât de des sunt instruiți angajații în privința securității online?

O breșă ce ține de securitatea digitală la nivel de stat a ieșit la iveală în luna octombrie, când președinta Maia Sandu a fost victima unei farse, crezând că vorbește cu prim-ministrul Ucrainei pe o aplicație pentru apeluri video. „O manipulare de tip deepfake”, a spus atunci Președinția.

La câteva săptămâni distanță, în noiembrie, au fost sparte conturile de Telegram ale mai multor oficiali de rang înalt. Printre aceștia au fost deputați, procurorul general interimar, miniștrii de la Interne, Justiție și Infrastructură, precum și Președinția.

La întrebările noastre, expediate pe 15 noiembrie, nu au răspuns Ministerul Afacerilor Externe și Integrării Europene, Ministerul Finanțelor, Ministerul Educației și Cercetării, Ministerul Muncii și Protecției Sociale și Președinția.

Președinția a emis, însă, un comunicat presei pe 15 decembrie, despre faptul că angajații instituției au participat la o instruire privind securitatea cibernetică. Nu este clar dacă personalul administrației prezidențiale a mai fost anterior instruit în cadrul unor asemenea programe.

Cele mai multe ministere cărora le-am cerut informații despre training-uri au spus că, în ultimii ani, angajații au participat la cel puțin o sesiune de instruire privind igiena cibernetică.

Adică au învățat cum să creeze și să păstreze o parolă, cât de des trebuie schimbată aceasta sau lucruri legate de spam-uri și link-uri suspecte primite în căsuța poștală.

R. Moldova, în general, nu are un program de instruire privind securitatea cibernetică pentru oficialii de rang înalt și nici nu există un protocol care să prevadă măsuri clare privind securitatea informațională, spunea într-un interviu la Europa Liberă șeful Direcției telecomunicații și suport clienți din cadrul Serviciului Tehnologia Informației și Securitate Cibernetică, Eugeniu Croitorov.

Reguli interne privind folosirea mijloacelor electronice de comunicare în scop de serviciu

Ministerul Justiției nu dispune de regulamente sau acte normative care ar delimita cu claritate în ce condiții mijloacele de comunicare personale pot fi utilizate în scop de serviciu sau care ar interzice utilizarea acestora în scop de serviciu.

Spre deosebire de Ministerul Justiției, Ministerul Afacerilor Interne spune că interzice angajaților să conecteze dispozitivele personale la rețeaua internă de serviciu.

Politici interne privind securitatea cibernetică există la Ministerul Mediului (adoptată în 2021) și la Parlament (din 2016).

Alte ministere, printre care cel al Culturii sau Agriculturii, nu au confirmat clar dacă au politici interne privind securitatea cibernetică, dar au spus că respectă prevederile mai multor hotărâri de guvern:

• Hotărârea Guvernului nr. 201/2017 privind cerințele minime de securitate cibernetică;
• Hotărârea Guvernului nr. 482/2020 privind măsurile necesare pentru asigurarea securității cibernetice la nivel guvernamental;
• Modificarea hotărârii Guvernului nr. 414/2018 cu privire la măsurile de consolidare a centrelor de date în sectorul public și de raționalizare a administrării sistemelor informaționale de stat.

Prima dintre acestea prevede clar că „conducătorul autorității poartă răspundere pentru asigurarea securității cibernetice în instituție”, iar fiecare autoritate este obligată să aibă:

• plan de acțiuni pentru asigurarea securității cibernetice al instituției;
• politică de securitate cibernetică a instituției;
• plan de instruire și responsabilizare în securitatea cibernetică a personalului;
• regulamente interne de securitate cibernetică;
• proceduri de recuperare.

„Au poștă guvernamentală, dar nu se interzice utilizarea poștei personale”

În multe cazuri, statul nu interzice angajaților să folosească poșta personală în interes de serviciu.

De exemplu, Ministerul Justiției spune că „în comunicarea online, angajații comunică prin intermediul poștei electronice guvernamentale, dar, totodată, „nu este restricționată utilizarea poștei electronice personale”.

În cazul Ministerului Economiei, angajații au voie să utilizeze poșta personală în interes de serviciu doar în cazuri de urgență și doar dacă nu sunt transmise „informaţii clasificate”.

Reguli mai stricte spun că au instituțiile de forță, printre care Ministerul Apărării, Ministerul Afacerilor Interne și Procuratura Generală. În răspunsurile primite de Europa Liberă, se spune că angajații sunt obligați să folosească doar poșta instituției pentru comunicare în interes de serviciu.

Computere, tablete sau telefoane proprii, folosite în interes de serviciu

Statul oferă în mare parte calculatoare pentru angajați, mai rar, însă, telefoane mobile. Deseori, angajații folosesc telefoanele personale pentru chestiuni legate de lucru.

Ministerul Infrastructurii şi Dezvoltării Regionale susține că „nu dispune de reglementări interne privind folosirea aparatelor de comunicare proprii în interes de serviciu”, ceea ce înseamnă că nu există neapărat reguli obligatorii privind condițiile în care angajații pot folosi propriile telefoane pentru muncă.

Și Procuratura Generală spune că „asigură cu tehnică necesară toți angajații, cu excepția telefoanelor mobile” și că nu monitorizează instalarea și utilizarea aplicațiilor în telefonul personal al angajaților.

La Ministerul Mediului au telefon mobil cu număr de serviciu doar ministrul, secretarul de stat și secretarul general. Alte instituții, printre care Ministerul Agriculturii, au confirmat, de asemenea, că telefoane mobile de serviciu au doar cei din conducere.

Nici Procuratura Anticorupție nu asigură angajații cu gadgeturi, cum ar fi telefoane sau tablete, astfel încât, motivează procuratura, „utilizarea bunurilor personale în interes de serviciu nu poate fi restricționată”.