Firma pleacă, cheile rămân la ea

Când o firmă termină de construit sistemele informatice ale unei instituții publice, rămâne o întrebare simplă: ce se întâmplă cu cheile?

Într-o organizație serioasă, un lucru. La noi, altul. Iar diferența dintre cele două e, probabil, cea mai ieftină și cea mai ignorată măsură de securitate din administrația română.

În Episodul 01 și Episodul 02 ne-am uitat la starea unei instituții, ANCPI, citită din propria ei spargere. Episodul ăsta nu e despre cum a intrat cineva. E despre o ușă pe care aproape nimeni, în administrația română, nu se obosește s-o încuie.

Ce se face într-o casă în ordine

Într-o organizație matură, sfârșitul unui proiect are un ritual.

Firma care a instalat sistemul a avut, în timpul lucrului, parolele și accesele de care avea nevoie ca să-și facă treaba. Firesc, altfel n-ar fi putut lucra. Dar la predare, toate se schimbă. Parolele noi ajung într-un plic sigilat, în seiful directorului departamentului de informatică, și se folosesc doar la mare nevoie. Accesul de lucru al firmei se închide. Iar dacă mai târziu e nevoie de firmă pentru o reparație, primește un acces nou, temporar, valabil strict cât durează treaba, care se închide la loc după.

Se numește, în jargon, sanitizare. Pe românește: faci curat după ce pleacă meseriașii. Nu pentru că i-ai bănui de ceva. Ci pentru că nu-ți lași cheile de la casă la echipa care ți-a montat centrala, oricât de cumsecade ar fi fost. E o regulă scrisă, obligatorie, verificabilă. Cineva semnează că s-a făcut.

Ce se face la noi

La noi, de cele mai multe ori, nu se face nimic.

Firma termină proiectul, pleacă, și cheile rămân la ea. Parolele cu care oamenii ei au umblat la sisteme rămân aceleași. Accesele de la distanță rămân deschise. Nu pentru o săptămână, cât durează o predare. Pentru ani. Uneori pentru un deceniu, până când sistemul e înlocuit cu altul, instalat adesea de aceeași firmă, care lasă în urmă alte chei neschimbate.

Nu spun asta din auzite. Am lucrat, în peste douăzeci de ani, la sistemele mai multor instituții. La unele, ani după ce proiectul se încheiase, aș fi putut încă intra: accesul nu fusese închis niciodată. Nu e o excepție nefericită. E starea implicită.

De ce contează, deși pare mărunt

Pare o formalitate. Nu e.

Logica din spatele sanitizării nu e „firma e necinstită”. E mai simplă și mai dură: când lași chei permanente în mâna cuiva, nu pariezi pe onestitatea firmei azi. Pariezi că fiecare om care a atins vreodată sistemul rămâne cinstit pentru totdeauna.

Iar oamenii nu rămân la fel. Se ceartă cu firma și pleacă supărați. Sunt dați afară. Intră în datorii. Pierd la jocuri de noroc. Ajung, dintr-un motiv sau altul, într-un impas în care o parolă veche, încă validă, la un sistem al statului, începe să arate ca o ieșire.

Nu trebuie o firmă coruptă ca ușa asta să se deschidă. Trebuie un singur om, cu o zi proastă și un acces pe care nimeni nu s-a obosit să-l închidă. Iar partea cea mai urâtă: dacă se întâmplă, arată ca un acces legitim, greu de deosebit de o zi normală de lucru. Ușa nu e forțată. E descuiată de ani.

Ce nu spunem

Aici e jumătatea onestă, cea pe care un articol grăbit o sare.

• Nu spunem că vreo firmă sau vreun om a făcut asta. Descriem o ușă lăsată deschisă, nu o intrare pe ea.
• Nu spunem că așa a căzut ANCPI. Cum a intrat cineva acolo e altă discuție. Aici vorbim despre o slăbiciune de sistem care face astfel de căderi ușoare și aproape imposibil de urmărit.
• Nu apărăm firmele. Dimpotrivă. Tocmai fiindcă nu poți conta pe bunăvoința nimănui la nesfârșit, instituția trebuie să-și ia cheile înapoi. Controlul ăsta există exact ca să nu depinzi de încredere.

De ce contează pentru PNI

Aici se leagă de interoperabilitate, ca în fiecare episod.

O magistrală națională leagă între ele mii de instituții. Dacă niciuna nu și-a schimbat cheile după implementări, atunci fiecare ușă lăsată deschisă de-a lungul anilor devine, deodată, o ușă spre tot restul. Nu mai vorbim de o parolă uitată la o primărie. Vorbim de o parolă uitată care, prin magistrală, dă spre alte instituții.

Interoperabilitatea presupune că fiecare instituție își apără capătul. Dar un capăt cu cheile încă la firma care l-a construit nu e apărat. E doar bine conectat.

De reținut

Cea mai ieftină măsură de securitate a statului digital nu cere un buget. Cere o semnătură: cineva care confirmă că, după ce a plecat firma, cheile s-au schimbat.

Nu e despre a avea încredere în firme. E despre a nu fi nevoit să ai. În ele sau în angajații lor.

Drept la replică

ANCPI, ADR și Directoratul Național de Securitate Cibernetică au drept la replică integrală, în măsura în care aspectele privesc securitatea infrastructurii și conectarea la PNI. Orice comunicare oficială, inclusiv o descriere a practicilor de predare și de schimbare a accesurilor, se publică integral, fără editare de fond. Termen de răspuns: nelimitat.

Surse și metodă

Episodul nu se sprijină pe date rezultate din vreun test sau vreo spargere, ci pe o practică de securitate cunoscută și pe experiență directă.

• Schimbarea parolelor și închiderea accesului firmei la predarea unui proiect sunt practică standard de securitate: schimbi parolele și retragi accesele oricui a lucrat pe sistem, la finalul contractului. E o cerință de bază în orice cadru serios de securitate.
• „Accesul rezidual”, accese rămase valide după ce rolul care le justifica s-a încheiat, este o clasă recunoscută de risc, legată de conturile valide și de amenințarea din interior.
• Nu publicăm nume de firme, nume de instituții asociate unor accese concrete, date care ar putea fi folosite la un atac sau detalii tehnice periculoase.