România obține doar nota 7,09 din 10 la securitatea digitală a instituțiilor publice, iar concluzia autorilor primului Barometru Digital este una fără menajamente: „România e mediocră. Trece clasa, dar cam atât.” Evaluarea, realizată pe 2.487 de instituții publice – primării, consilii județene, spitale, instituții centrale și operatori de utilități – arată că, deși infrastructura de bază există în multe cazuri, lipsesc măsurile elementare de protecție împotriva atacurilor informatice.

„Distribuția notelor e strânsă în jurul mediei: 94,2% dintre instituții sunt mediocre, doar 7 din 2.487 ating nivelul de premiant. Coada distribuției contează cel mai mult: 137 de instituții sunt sub linia de promovare”, se arată din start pe pagina oficială.

Județul Arad ocupă o poziţie fericită în această evaluare a securității digitale. În clasamentul național al județelor, Aradul ocupă locul 8, iar Primăria Comunei Conop se clasează pe locul 9 la nivel național, cu nota 8,8, fiind una dintre cele mai bine evaluate instituții publice din România în ceea ce privește securitatea digitală.

Conop, printre cele mai sigure primării din România

Performanța Primăriei Conop este cu atât mai remarcabilă cu cât raportul arată că doar șapte instituții din întreaga țară au reușit să depășească pragul de 9 puncte, fiind considerate „premiante”. Cu nota 8,8, administrația locală din comuna arădeană se află imediat sub acest prag și intră în Top 10 național al instituțiilor evaluate.

Primele locuri sunt ocupate de Primăria Ciurila (Cluj), Primăria Balușeni (Botoșani) și Primăria Găești (Dâmbovița).
„Cea mai bună notă din România nu e a unui minister și nici a unui municipiu reședință de județ: e a primăriei comunei Ciurila, județul Cluj, cu 10,0. Primele două locuri la nivel național sunt ocupate de comune, dovadă că igiena digitală bună nu ține de buget, ci de configurare corectă”, se arată aici.

Prezența primăriilor de comune în fruntea clasamentului demonstrează, spun ca atare realizatorii barometrului, că nivelul de securitate digitală nu depinde neapărat de dimensiunea localității sau de buget.

Arad, în prima parte a clasamentului național

Raportul arată că diferențele dintre județe sunt relativ mici. Între primul clasat – Vaslui, cu media 7,5 – și ultimul – Bistrița-Năsăud, cu 6,6 – există mai puțin de un punct diferență. Aradul ocupă poziția a opta, cu media 7,2, fiind înaintea unor județe importante precum Timiș, Bihor, Brașov, Sibiu sau București. Autorii raportului spun că aceste diferențe reduse demonstrează că problemele nu țin de regiune sau de geografie, ci sunt unele națională, generate de practici și resurse similare în administrația publică.

Imaginea de ansamblu: România rămâne „mediocră”

Deși media națională este de 7,09, autorii studiului avertizează că aceasta ascunde vulnerabilități serioase. Aproape jumătate dintre instituțiile publice din România nu folosesc deloc protecția DMARC, ceea ce înseamnă că atacatorii pot trimite e-mailuri care par să provină de la o primărie sau de la o altă instituție publică. Alte aproape o treime folosesc această tehnologie doar parțial, iar numai 18,1% blochează efectiv tentativele de impersonare prin e-mail.

O altă problemă majoră este configurarea site-urilor oficiale. Peste 61% dintre instituții au configurații considerate critice, lipsind măsuri elementare care protejează utilizatorii împotriva atacurilor prin injectarea de scripturi sau împotriva clonării site-urilor oficiale.

Mai grav, 94,4% dintre site-uri nu sunt protejate în mod real printr-un sistem activ de tip WAF/CDN, ceea ce înseamnă că eventualele atacuri ajung direct la serverele instituțiilor. În plus, peste 500 de instituții expun pe internet servicii care nu ar trebui să fie accesibile public, iar 117 dintre acestea au porturi considerate critice, prin care pot fi accesate baze de date sau sisteme de administrare la distanță.

Nu au fost verificate vulnerabilitățile, doar interfețele publice

Realizatorii Barometrului Digital subliniază că evaluarea nu a presupus atacarea sau testarea sistemelor informatice ale instituțiilor. Au fost analizate exclusiv informațiile publice disponibile pe internet și modul în care sunt configurate site-urile oficiale. Evaluarea a inclus 13 indicatori tehnici, grupați în cinci categorii: securitatea e-mailului, criptarea și certificatele digitale, configurarea de securitate a site-urilor, suprafața expusă pe internet; igiena generală a infrastructurii IT.

Autorii precizează că nu au scanat vulnerabilități, nu au încercat parole și nu au accesat sisteme protejate, ci au folosit exclusiv măsurători pasive și registre publice: „Barometrul Digital evaluează exclusiv fața publică a instituțiilor: ce vede orice vizitator și ce publică registrele deschise ale internetului. Nu am scanat vulnerabilități, nu am testat parole, nu am accesat nimic protejat, doar măsurători pasive și cataloage publice”.

Problemele cele mai grave

Raportul identifică mai multe vulnerabilități care pot favoriza atacurile cibernetice asupra administrației publice.

Printre cele mai importante se numără: 117 instituții care lasă deschise pe internet servicii critice de administrare; 13 instituții care funcționează fără conexiuni HTTPS securizate; șase instituții cu certificate digitale expirate; aproape jumătate dintre instituții fără protecție împotriva falsificării e-mailurilor.

În același timp, autorii evidențiază și un aspect pozitiv: în această rundă de evaluare nu au fost identificate instituții publice aflate pe liste publice de phishing, malware sau breșe de date, ceea ce înseamnă că problemele descoperite țin mai ales de prevenție și pot fi remediate înainte de apariția unor incidente majore.

Comunele, peste municipii

Una dintre concluziile surprinzătoare ale studiului este că localitățile mici nu stau mai prost decât marile municipii. Dimpotrivă, comunele au obținut o medie de 7,1, în timp ce municipiile au rămas la 6,8. Explicația oferită de autori este că multe primării mici externalizează administrarea site-urilor către firme specializate, care aplică aceleași standarde de securitate pentru numeroși clienți. În schimb, administrațiile mai mari gestionează adesea infrastructura intern și rămân cu configurații învechite sau incomplete.

Spitalele stau la nivelul primăriilor

Tot potrivit acestui studiu, spitalele stau cam la același nivel cu cel al primăriilor. „Categoriile se strâng în jurul mediei naționale. Primăriile (7,1), covârșitor cele mai multe (2.352 evaluate), dau tonul întregului tablou. Spitalele județene (7,0) stau exact la nivelul lor, deși miza (datele medicale) e mult mai mare. Consiliile județene (7,2) urcă doar puțin peste medie”.

Operatorii de utilități și instituțiile centrale au prea puține site-uri cu adresă oficială confirmată ca să susțină o concluzie de grup, dar autorii barometrului au pus datele despre acesea în tabel, vezi AICI, insistând că acestea ar trebui citite cu prudență.

Ce este barometrul digital şi cine l-a creat

Batometrul digital este „Prima evaluare națională a igienei de securitate digitală pentru 2.487 de instituții publice: primării, consilii județene, spitale județene, instituții centrale și operatori de utilități”. Potrivit realizatorilor, „Media generală este 7,09 din 10, dar sub medie stau lipsuri elementare: jumătate dintre instituții pot fi impersonate prin e-mail, iar sute expun pe internet uși pe care nimeni nu ar trebui să le lase deschise”.

Autorul barometrului este Mircea Şerdin. Potrivit postării sale de pe Facebook,  pentru realizarea barometrului a construit „un agent AI cu care am radiografiat starea mediocră a securității cibernetice a site-urilor instituțiilor publice din România.

Într-un moment în care modelele AI învață singure să evadeze din sandbox-uri, mi s-a părut corect să fac un sistem AI care să lucreze de partea cealaltă a baricadei. Așa că l-am creat pe Tyche, un agent AI botezat după zeița grecească a norocului și a sorții. Pentru că până acum, multe site-uri românești doar de noroc au fost ținute în siguranță.
Măsurătorile în sine sunt pasive și plicticos de legale: doar ce vede orice browser sau client de mail și ce publică registrele deschise ale internetului (plus câteva de pe dark web). Fără scanări neautorizate, fără parole testate, fără nimic ilegal”.

Cum a rezumat de a descoperit găsiți AICI.

Tot Mircea Șerdin a venit  doua zi de la publicarea barometrului cu o veste bună despre instituţiile publice: „În 24 de ore de la lansarea Barometrului Digital, 23 de instituții au cerut fișa tehnică a propriului domeniu, cu problemele găsite de agentul Tyche și pașii concreți de reparație. 18 primării de toate dimensiunile, 2 instituții centrale, 2 spitale județene și un consiliu județean, din 16 județe diferite, de la un capăt la altul al țării”.

Citeşte şi:

S-a reluat emiterea cardurilor europene de sănătate. CAS Arad îi îndeamnă pe asigurați să depună cererile din timp