1 / 139

n

2 / 139

D I N A M I C A S E C U R I T Ă Ț I I C I B E R N E T I C E

Repere de gestionare holistică a

securității în context tehnologic

Eugen Florian POPESCU

Specialist în securitate cibernetică, CISSP, PMP

GĂEȘTI

2021

ISBN 978-973-0-33570-5

3 / 139

Titlul lucrării: Dinamica securității cibernetice. Repere de gestionare

holistică a securității în context tehnologic

ISBN 978-973-0-33570-5

Această carte este publicată în format electronic, pe site-ul web:

https://traim.ro

Anul publicării: 2021

Această carte este protejată prin drepturi de autor. Orice preluare și

utilizare a conținutului acesteia poate fi realizată numai prin citare.

Pentru referirea cărții prin citare, pot fi utilizate următoarele repere de

identificare:

POPESCU, Eugen Florian. Dinamica securității cibernetice. Repere

de gestionare holistică a securității în context tehnologic. Online,

2021. https://traim.ro

1 / 139

CUPRINS

TEHNOLOGIA ........................................................................................ 6

I. Înțelegerea tehnologiei ................................................................... 6

Esența ................................................................................................... 6

Ambivalența ......................................................................................... 7

Logica funcționării ............................................................................... 8

II. Ciclul de viață al tehnologiei .......................................................... 9

Securitatea în tehnologie ................................................................... 9

Lipsa de conștiință ............................................................................ 13

III. Locul securității cibernetice ...................................................... 15

Securitate & Siguranță ..................................................................... 17

Securitate & Apărare ........................................................................ 20

Caracterul orizontal........................................................................... 23

IV. Rolul securității cibernetice ...................................................... 24

Două direcții ....................................................................................... 25

Prevenția și reacția ........................................................................... 26

Predicția .............................................................................................. 29

V. Principii și raționamente ............................................................... 30

Inconștiența ........................................................................................ 30

Trezirea............................................................................................... 32

Înțelegerea ......................................................................................... 33

Responsabilizarea ............................................................................ 35

Zaua slabă ......................................................................................... 36

Percepția criticității ............................................................................ 37

Mentalitatea de implementare ........................................................ 40

2 / 139

SECURITATEA CIBERNETICĂ APLICATĂ ........................... 44

VI. Moștenirea și actualizarea ....................................................... 44

Securitatea informației ..................................................................... 44

Migrarea spre securitatea industrială ............................................ 45

Adaptarea la tehnologiile emergente ............................................. 48

Elemente de protejat ........................................................................ 50

Eroarea de concept .......................................................................... 51

VII. Organizarea ................................................................................ 53

Riscuri și incidente ............................................................................ 53

Gândirea strategică .......................................................................... 55

Activități .............................................................................................. 57

VIII. Capabilitățile ............................................................................... 61

Echilibrul de capabilități ................................................................... 61

Capabilități umane ............................................................................ 61

Capabilități tehnologice .................................................................... 66

Apărarea în adâncime ...................................................................... 68

Măsuri ................................................................................................. 72

IX. Implicații practice ....................................................................... 75

Climatul conceptual .......................................................................... 76

Climatul legislativ .............................................................................. 86

Climatul factual .................................................................................. 95

SECURITATEA CIBERNETICĂ COMPLEMENTARĂ ..... 105

X. Efectele generate de tehnologie ............................................... 109

Psihologia cibernetică .................................................................... 112

Sociologia cibernetică .................................................................... 117

Ecologia cibernetică ....................................................................... 119

3 / 139

XI. Organizarea generată de tehnologie .................................... 120

Etica .................................................................................................. 121

Repere juridice ................................................................................ 126

Transformarea digitală ................................................................... 127

Adaptarea educației ........................................................................ 128

Orientarea deciziilor ........................................................................ 129

PERSPECTIVE .................................................................................. 132

XII. Tendințe de evoluție ................................................................ 132

Autonomia ........................................................................................ 132

Topici de evoluție ............................................................................ 134

Necesități de adaptare ................................................................... 135

Încrederea ........................................................................................ 138

4 / 139

Îi dedic această carte lui George Stan, care m-a ajutat să

descopăr domeniul psihologiei cibernetice. Explorarea influenței pe

care tehnologia o aduce asupra omului mi-a oferit o nouă înțelegere

asupra securității cibernetice, orientându-mi atenția spre necesitatea

asigurării unui echilibru pe termen lung în relația om-tehnologie-

natură.

5 / 139

Mulțumiri

Mulțumesc familiei mele pentru sprijin, înțelegere și răbdare.

De asemenea, mulțumesc celor care m-au îndrumat în

cunoașterea domeniului securității cibernetice, precum și profesorilor

care au jucat un rol important în alegerea drumului meu profesional

(cu mențiuni speciale pentru: Nicoleta Richea, Gheorghe Gavrilă,

Cornel Ioana, Alexandru Șerbănescu și Iolanda Mitrofan).

Mulțumesc încăpățânaților pasionați de securitatea cibernetică

(majoritatea, colegi și prieteni), pentru care mai importantă este

implementarea tehnică corectă a domeniului, decât concursurile de

orgolii și impedimentele de factură umană. Se știu ei care-s.

În mod implicit, au avut o influență importantă toți cei care m-

au încurajat să scriu. Deopotrivă, le mulțumesc și acestora, precum

și tuturor celor care se încumetă să citească această carte.

6 / 139

TEHNOLOGIA

I. Înțelegerea tehnologiei

Esența

Tehnologia este orice mijloc care facilitează îndeplinirea unui

scop sau rezolvarea unei probleme. De cele mai multe ori, satisface

nevoi, oferă funcționalitate; uneori oferă confort și asigură plăcere,

joacă, destindere; alteori oferă omului o fundație de explorare a vieții

și a existenței în care trăiește, găzduiește încercări/ descoperiri/

testări/ demarcări ale limitei dintre posibil și imposibil, hrănește

curiozitatea privind limitele de competență și de creativitate umană,

ajungând să creeze nevoi pe care omul nici măcar nu le poate intui

înainte de parcurgerea efectivă a experienței.

Născută din imaginație și creativitate, tehnologia modelează

deopotrivă conținuturi materiale și abstracte. Tehnologie este orice

instrument sau creație funcțională (infrastructură, utilaje, instrumente,

mașinării, dispozitive informaționale hardware), cât și orice produs

abstract care compune mediul virtual (Internetul, aplicațiile software,

media sociale, inteligența artificială) sau care ne asigură suport

pentru organizarea noastră psihică individuală (limbajul și abilitățile

de comunicare, abilitățile umane prin care transpunem în spațiul

material conținuturile abstracte, cogniția, algoritmica, logica,

educația) și colectivă (legile, regulile, cutumele, tradițiile, obiceiurile,

respectul și condițiile de interacțiune reciprocă, sistemele de

organizare statală, politica, doctrinele, religiile, ideologiile, știința).

Sub oricare formă se manifestă, tehnologia – așa cum o

cunoaștem și o percepem în spațiul în care trăim – este un produs al

minții și al mâinilor noastre, o exteriorizare a viziunii umane în mediul

exterior. Uneori asigură facilități spontane, care se consumă o dată

cu prima manifestare, alteori deprinde permanență și consistență,

dobândind capacități de automatizare. Uneori reproduce întocmai

manifestările umane, alteori oferă amplificare și perpetuare,

explorând diverse scale de materializare la care omul nu are acces

prin simpla prezență a corpului său natural.

7 / 139

În orice caz, tehnologia preia și transpune în spațiul exterior

conținuturi și caracteristici ale creatorului său. Tot ce suntem noi este

și tehnologia noastră. Toate aspectele bune sau rele sunt gravate în

manifestările tehnologice în mod nediscriminatoriu. Toată energia,

gândirea, verticalitatea, corectitudinea, responsabilitatea, conștiința

noastră sunt preluate în mod automat prin tehnologie și propagate în

mediul înconjurător.

Tehnologia este ca o formă secundară a manifestării noastre,

o reverberație care se propagă în spațiul în care trăim, dincolo de

limitele și de capacitățile noastre de control și gestiune directe. Este

oglinda noastră, o copie, un surogat, o dublură, un reprezentant fidel,

un avocat, un executant care ne împrumută și ne multiplică

potențialul, interesele și inerția, și le manifestă în mod autonom în

exteriorul nostru.

Ambivalența

Percepția că tehnologia ne este doar instrument – în sens

pozitiv/ constructiv/ util – este parțială. În egală măsură, tehnologia

este și o armă, un mecanism de distrugere și de manifestare a

potențialului nostru negativ. Conștiința tehnologiei este desprinsă din

conștiința noastră; ea nu are o putere de discernământ superioară

creatorului său. Tot ceea ce noi suntem și manifestăm – prin

gândurile, vorbele și faptele noastre – este și tehnologia noastră.

Împrumută în totalitate caracteristicile și tendințele firii noastre.

Iar dacă ne bucurăm când vedem că preia și propagă

conținuturile noastre bune, ar trebui să devenim precauți și îngrijorați

atunci când conștientizăm că același lucru se întâmplă și cu

conținuturile de care nu suntem neapărat mândri/ care nu ne fac bine/

care nu ne ajută să evoluăm și care dăunează mediului înconjurător.

Tehnologia preia în mod autonom și amplifică efectele noastre

distructive, supunându-ne atât pe noi, cât și ecosistemul nostru, la

riscuri ce pot provoca disconfort, durere, daune, distrugeri și

dezechilibre.

Deși aceste caracteristici și manifestări sunt naturale, putem

considera că – din punct de vedere al intenționalității cu care o

construim – tehnologia capătă o serie de scopuri secundare, nedorite,

vătămătoare, prin materializarea cărora generează efecte nefaste

8 / 139

asupra vieților noastre și asupra mediului ambiental. Atât riscurile

nematerializate, cât și răul făcut, pot fi conștiente și observabile, sau

inconștiente, inerțiale și subtile.

Latura conștientă și observabilă ține de partea de exploatare,

de punere în uz și de valorificare a tehnologiei, de aspectele vizibile,

relativ ușor de înțeles și de adus în discuție, percepute și abordate în

directă corespondență cu scopurile pentru care este creată

tehnologia. Din această perspectivă, eforturile de gestionare a

riscurilor au creat domeniul științific și practic al securității cibernetice,

așa cum este cunoscut în industria de specialitate și pe care îl vom

referi în continuare ca securitate cibernetică aplicată.

Latura inconștientă, inerțială și subtilă ține de partea de efecte

pe care tehnologia le aduce asupra omului și asupra naturii, ca

urmare a utilizării și exploatării sale. Conține aspecte de substrat,

complexe, fenomenologice, de corelație profundă și interdependență

funcțională, ce pot fi analizate printr-o abordare trans-disciplinară, la

intersecția ingineriei și științelor realiste cu științele umaniste și

naturale. În prezent, eforturile de gestionare a riscurilor – din acest

punct de vedere – sunt aproape inexistente; însă vom prezenta o

serie de repere pentru identificarea, calificarea și abordarea lor, sub

terminologia de securitate cibernetică complementară.

Logica funcționării

Dacă vrem să înțelegem și să gestionăm funcționarea

tehnologiei, avem nevoie – înainte de toate – să cunoaștem

mentalitatea umană, în profunzimea ei. Să știm și să înțelegem

gândirea cu care este creată tehnologia, gândirea cu care este

utilizată și gândirea cu care este exploatată (atât ca instrument, cât și

ca armă); și, în egală măsură, să înțelegem gândirea omului – în

general – pentru a dobândi o formă de meta-cunoaștere (de informații

suplimentare, auxiliare, de context, de substrat) referitoare la locul,

rolul și evoluția tehnologiei în viețile noastre.

Tehnologia este oglinda omului; preia și transpune toate

caracteristicile conștiente sau inconștiente ale creatorului și

utilizatorului său. Cu cât cunoaștem mai bine omul, cu atât vom putea

înțelege mai în detaliu aspectele ce țin de funcționarea tehnologiei.

Totodată, cu cât oferim o atenție mai mare descoperirii și dezvoltării

9 / 139

umane, precum și condițiilor de evoluție umană, cu atât mai bine vom

putea gestiona descoperirea și dezvoltarea tehnologiei care ne

însoțește viețile, respectiv condițiile sale de funcționare și

perspectivele de modelare/ influențare a mediului înconjurător.

În studiul și analiza substraturilor tehnologiei, avem nevoie să

abordăm extensiv mentalitățile și instrumentele împrumutate din

domeniile umaniste (în special din zona psihologiei și sociologiei), să

le îmbinăm și să le aplicăm corelat cu abordările inginerești, fixe. Din

perspectiva utilizării tehnologiei, avem nevoie să fim conștienți de

procesele de fundal, de mentalitățile și algoritmii logici/ de gândire

care sunt codificați în programarea logicii mașinice și permit

instrumentelor care ne înconjoară, să îndeplinească sarcini, să

deruleze acțiuni, să își pună în implementare funcționarea.

II. Ciclul de viață al tehnologiei

Securitatea în tehnologie

În ciclul de viață al tehnologiei există o serie de etape care pot

fi referite generic și înțelese prin raportare la modalitatea de

organizare a omului la nivel individual și social. Acestea descriu un

flux cognitiv specific proceselor noastre naturale de învățare și de

adaptare la mediul în care trăim: întâi căutăm, apoi descoperim,

analizăm și asimilăm, reproducem și punem în aplicare, corectăm și

îmbunătățim, iar în final ne desprindem/ renunțăm atunci când nevoia

ne este împlinită.

Modul în care reacționăm și ne adaptăm la situațiile de viață

este unic pentru fiecare, însă ordinea în care abordăm experiențele

urmează un parcurs procesual natural omniprezent: naștere,

creștere, manifestare, moarte. Ca orice lucru care trăiește, un obicei

al nostru, o capacitate cognitivă, o unealtă, o formă de exprimare, un

talent, o modalitate de organizare inter-umană, o lege, o ideologie...

orice produs al minții și al mâinilor noastre urmează o serie de

momente de inițiere, dezvoltare, maturizare și regresie. Fiecare astfel

de ciclu generează informație și cunoaștere care fundamentează

10 / 139

premisele de evoluție umană, fiind îmbunătățite în mod iterativ, de la

un ciclu la altul.

Dezvoltarea tehnologică la nivel individual nu necesită prea

multe eforturi de sincronizare socială; fiecare om își gestionează

manifestarea și evoluția în ritm propriu. Deși nu putem spune că este

un proces simplu (pentru că, dacă analizăm în profunzime

caracteristicile psihice ale vieții individuale, vom găsi un univers de

sine stătător, auto-organizat, aflat în homeostazie și autoreglare),

dezvoltarea tehnologică individuală nu are prea multe dependențe

externe (gestionarea deciziilor fiind un atribut strict intern, personal,

autonom) motiv pentru care poate fi percepută ca având o relativă

simplitate. În final, cu toții trăim aceleași tipuri de vieți, adică într-un

mediu care oferă – fizic vorbind – aceleași condiționalități ale vieții:

suntem dependenți de același tip de aer, apă și substanțe nutritive, și

funcționăm mental după o serie de caracteristici comune întregii

specii. Avem aceleași forme de organizare a corpurilor fizice și a

psihicului uman.

Atunci când escaladăm nivelurile de organizare colectivă,

descoperim că trebuie să ne dezvoltăm mecanisme de sincronizare

și interoperabilitate, care să ne permită fluența comunicării.

Tehnologiile colective (după cum spuneam mai sus, ex. legile,

regulile, cutumele, tradițiile, obiceiurile, respectul și condițiile de

interacțiune reciprocă, sistemele de organizare statală, politica,

doctrinele, religiile, ideologiile, știința) solicită indivizilor consumul

unei mari cantități de energie pentru sincronizarea ritmului și

armonizarea conținuturilor; în lipsa acestei energii, conținuturile

colective nu pot fi materializate, iar noi nu ne putem manifesta ca

specie unitară. Abilitatea de comunicare socială este cea care ne-a

oferit ascendent asupra tuturor celorlalte specii de viețuitoare. (Ceea

ce, în final, ajunge să fie deopotrivă, atât un lucru bun, cât și un lucru

rău.)

În mod intuitiv, atunci când dezvoltarea tehnologică

escaladează nivelurile de organizare umane – de la individ, la grup,

la comunitate și până la populația globală – ciclul de viață al

tehnologiei suferă mutații datorate creșterii nivelului complexității

organizării sociale (repercutată în sincronizarea comunicării) și a

necesităților de organizare procesuală (repercutată în sincronizarea

11 / 139

conținuturilor). Suplimentar, intervine necesitatea asigurării unei

homeostazii și autoreglări interne proprii tehnologiei, crescând și mai

mult nivelul de complexitate inerentă a acesteia.

Astfel, putem considera că etapele generice reprezentative

pentru ciclul de viață al tehnologiei gestionate colectiv includ:

cercetarea, design-ul, producția, reglementarea, utilizarea,

influențarea/ modelarea, actualizarea și casarea. În centrul acestora

rezidă securitatea.

Înainte de toate, se cercetează cu privire la scopurile

existențiale și la metodele de implementare ale unei tehnologii. Apoi

se realizează design-ul și se desfășoară producția tehnologiei. După

care, produsul finit este distribuit și ajunge la utilizatori sau în mediul/

contextul pentru care a fost conceput, unde este pus în uz. În timpul

utilizării, tehnologia aduce influență și modelare atât la nivelul

oamenilor, cât și al naturii. În funcție de cum este evaluată, apoi

suferă adaptări și îmbunătățiri; sau este scoasă din uz, dacă și-a

îndeplinit scopurile pentru care a fost creată și este considerată

depășită/ învechită. Etapa de reglementare se desfășoară, de regulă,

la un anumit interval de timp după ce tehnologia intră în uz și este

considerată ca fiind adoptată la scară mare. (Există și situații în care

reglementarea apare înaintea tehnologiei, atunci când scopurile și

interesele sociale/ politice solicită în regim de urgență satisfacerea

anumitor necesități.)

În oricare dintre aceste etape, este necesar să alocăm o

atenție deosebită respectării și implementării cerințelor de securitate,

pentru a ne asigura că tehnologia creată funcționează în condiții de

siguranță, iar efectele generate se încadrează într-un registru de

acceptabilitate. Este imperativ să existe un echilibru între scopurile

existențiale ale tehnologiei și nivelul de securitate construit în

interiorul și în contextul ei de funcționare.

Securitatea nu este o facilitate care poate fi adăugată la un

moment dat, în ciclul de viață al produsului. Nu este un petic; este o

caracteristică fundamentală, intrinsecă întregului ciclu de viață, o

condiție existențială.

---o---

Dacă nu înțelegem necesitățile de securitate încă din etapa de

cercetare, risipim eforturile de implementare a securității. Bâjbâim

12 / 139

orbi, încercând să rezolvăm probleme pe care nu le înțelegem,

scăzând astfel – dramatic – randamentul eforturilor investite în raport

cu obiectivele scontate.

Fără definirea cerințelor (sau măcar a reperelor macro, a

direcțiilor principale) de securitate încă din etapa de cercetare, este

ca și cum ne-am apuca de lucru fără să gândim. Pentru că, fără

definirea și înțelegerea unei probleme, nu avem ce rezolva. Totodată,

fără definirea corectă a problemei, nu putem utiliza eficient resursele

pentru a o rezolva. Etapa de cercetare necesită includerea unor

procese de analiză de risc și documentare, în scopul fundamentării

acțiunilor viitoare.

Etapa de design necesită, de asemenea, alocarea unei atenții

corespunzătoare asupra reperelor de securitate, astfel încât

tehnologia să poată fi produsă/ creată din start cu mecanisme solide

ce îi asigură stabilitatea în funcționare, chiar și în condiții improprii, de

manifestare a riscurilor la care este supusă. Încorporarea securității

(built-in security) încă din etapele de design și producție asigură

tehnologiei robustețe, compactețe și reziliență pe termen lung, fiind

una dintre cele mai eficiente măsuri care pot fi luate pentru asigurarea

unei protecții de ansamblu corespunzătoare.

Măsurile de securitate aplicate din exterior sunt concepute

pentru etapele de utilizare, adaptare și casare a tehnologiei. Din

nefericire, în prezent, măsurile de securitate tratează, în proporție

majoritară, aceste etape existențiale ale tehnologiei, contribuind

astfel la peticirea stării de securitate. Evident, în lipsa securității

încorporate sunt bune și peticele de securitate, însă acestea din urmă

nu oferă un grad satisfăcător de protecție și reziliență.

Expunerea la risc se propagă în manifestare, inclusiv în

procesele de influențare și modelare pe care tehnologia le aduce

asupra oamenilor și asupra naturii. Orice dezechilibru structural și

funcțional reprezintă supape de manifestare dăunătoare la nivelul

efectelor produse în urma exploatării tehnologiei. Chiar și în condițiile

ideale de securitate 100% (în care funcționarea și efectele produse

ar fi controlate total), tehnologia tot modelează utilizatorii și mediul

înconjurător, impunându-le acestora să depună eforturi de adaptare;

este inevitabil și natural. Însă, cu cât mecanismele de securitate sunt

13 / 139

mai slabe, cresc deopotrivă atât influențele tehnologiei, cât și nuanța

dăunătoare a riscurilor comportate.

În final, procesul de reglementare contribuie perpetuează

expunerile la risc sau consolidează în mod integrat/ uniform starea de

securitate, în funcție de cum reușește să trateze și să impună

direcțiile macro și cerințele specifice de securitate, respectiv de cum

asigură fundamentare legală pentru dezvoltarea și implementarea

mecanismelor corespunzătoare. Reglementarea asigură un echilibru

în raport cu dezvoltarea tehnologiei, cu modul de utilizare și

exploatare a acesteia, precum și cu efectele pe care aceasta le

generează. Este un pilon fundamental pentru sănătatea de ansamblu

a tehnologiei. (Subiectul necesității reglementării va fi elaborat mai

târziu, când abordăm aspectele practice ale tematicii de față.)

Pentru a obține un nivel optim de protecție, trebuie să

asigurăm un echilibru și o uniformitate în implementarea, aplicarea și

gestionarea securității de-a lungul întregului ciclu de viață al

tehnologiei. Tratarea superficială a oricărei etape slăbește întregul

proces, vulnerabilizează și predispune la exploatări nefaste, și

zădărnicește eforturile de securitate investite în celelalte etape ale

existenței tehnologiei.

Lipsa de conștiință

În prezent, omul dezvoltă tehnologia urmărind îndeaproape

două criterii principale: să îi satisfacă cerințe de utilitate și să îi ofere

profitabilitate. Pierdut în inerția vieții, de multe ori omul scapă din

vedere reperele logice și motivația existențială a dezvoltării

tehnologice, și se lasă purtat strict de scopurile financiare, creând un

ciclu de viață al tehnologiei plin de lacune funcționale și de securitate.

Ajunge chiar să dezvolte tehnologie care generează în mod artificial

nevoi umane, introducând oamenii pe un fir al consumului nenatural

sau presărat cu dependențe.

Oricum ar fi, omul nu a depus eforturi de analiză asupra

efectelor pe care tehnologia le generează asupra lui – la nivel

individual și colectiv – sau asupra naturii/ a mediului în care își trăiește

viața. S-a limitat la căutarea de soluții pentru rezolvarea unor

probleme practice, cu utilitate imediată, eșuând în observarea

14 / 139

efectelor colaterale ale deciziilor sale, regăsite implementate în

instrumentele dezvoltate.

În prezent, viteza de evoluție a vieții sociale și tehnologice ne

împiedică să observăm și să analizăm efectele deciziilor noastre

colective, chiar și dacă am deschide ochii și am încerca să privim în

această direcție. Competiția acerbă și dificultatea gestionării

implicațiilor globale (a inerției propagate a deciziilor noastre colective)

ne presează să gândim pe termen scurt și să aducem adaptări care

generează numai urmări măsurabile și trasabile. Efectele pe termen

lung scapă atenției și înțelegerii noastre, ajungând să fie neglijate,

chiar și în condiții de bune intenții.

Ritmul recent al evoluției tehnologice a prins o pantă de

creștere exponențială, imprimând asupra omului și asupra naturii

schimbări de mare amploare. Problema omului se adâncește o dată

cu dificultatea gestionării cantității imense de informație cu care

interacționează, care l-a împins într-un vârtej de adaptare neanticipat.

Asimilarea informației la nivelul psihicului uman este

condiționată de anumite limitări naturale (fizice, hardware) ale

creierului și ale algoritmicii cognitive, care au fost dobândite de-a

lungul întregii noastre existențe, în mod liniar, pas cu pas.

Amplificarea exponențială a surselor generatoare de adaptare ne

împing într-un proces de recalibrare fundamentală, la nivelul speciei,

care nu are precedent în istoria noastră.

Desigur, ne vom adapta și vom evolua. Însă ne aflăm în fața a

trei provocări a căror depășire este vitală pentru asigurarea condițiilor

corespunzătoare de supraviețuire și evoluție a speciei noastre: însăși

necesitatea adaptării la un ritm de creștere exponențială a

informațiilor cu care interacționăm; recuperarea decalajului și

alinierea ritmului de evoluție umană la ritmul evoluției tehnologice;

respectiv, dobândirea controlului asupra efectelor pe care tehnologia

le aduce la nivelul omului și la nivelul naturii.

Ni se par prea mari pretențiile? Nu ar trebui, din moment ce

tehnologia existentă în prezent pe planeta noastră este rodul

creativității și inventivității umane. Este produsul nostru, creația

noastră. Trebuie să ne asigurăm că deținem controlul asupra

riscurilor degenerative, astfel încât să creăm premisele potrivite

15 / 139

pentru recâștigarea și menținerea echilibrului de ansamblu al

ecosistemului în care trăim.

Atunci când vorbim despre securitate, în context tehnologic,

avem nevoie să ne extindem limitele de percepție și înțelegere, de la

nivelul gestionării simpliste a riscurilor tehnologice, așa cum le

abordăm în prezent, la nivelul analizei aprofundate și dobândirii

controlului asupra riscurilor și efectelor colaterale/ complementare pe

care tehnologia le întoarce asupra noastră și pe care le manifestă

asupra naturii, în mod subtil și inconștient.

Avem nevoie să ne elevăm conștiința și să ne adaptăm

capacitatea de abordare holistică a riscurilor de securitate pe care le

comportă tehnologia și deciziile noastre colective, pentru a ne asigura

condiții propice de evoluție, într-un climat corespunzător, aflat în

echilibru și homeostazie.

Pentru a împlini acest deziderat, trebuie mai întâi să învățăm

să privim problematica, să ne dezvoltăm o nouă formă de percepție

care să poată pătrunde complexitatea fenomenului tehnologiei și

deciziilor colective, iar apoi să identificăm modalități corespunzătoare

de abordare a problemelor cu care ne confruntăm. Securitatea în

context tehnologic are nevoie de o recalibrare conceptuală și de o

aliniere a setului de instrumente de care dispune – atât la nivel social,

cât și tehnic – pentru a răspunde în mod corespunzător provocărilor

la care ne predispune evoluția tehnologică.

III. Locul securității cibernetice

Securitatea cibernetică este starea de normalitate în care ar

trebui să ne trăim viețile, în condiții de gestionare deplină a riscurilor

pe care tehnologia le prezintă la adresa omului și a naturii. Presupune

tratarea deopotrivă atât a riscurilor care pot afecta buna funcționare,

menținerea performanțelor scontate și îndeplinirea cerințelor de

calitate a parametrilor de lucru ai tehnologiei, cât și a riscurilor care

amenință cu distrugerea, cu crearea de pagube în spațiul material

sau cu destabilizarea condițiilor de echilibru, de homeostazie și de

sănătate la nivelul oamenilor și al mediului înconjurător.

16 / 139

Ecosistemul cibernetic-fizic care se află în grija securității

cibernetice este unul complex, format atât din spațiul virtual, din

elementele de corespondență fizice și din conexiunile și senzorii

cibernetic-fizici, cât și din repere abstracte, implicații indirecte/

colaterale/ complementare (în domeniul economiei, sănătății,

ideologiei, imagologiei, s.a.) – care vor fi menționate mai în detaliu

într-un capitol ulterior. Gradul ridicat de interconectare și

caracteristica de înaltă responsivitate a ecosistemului cibernetic-fizic

introduce obligativitatea gestionării integrate a tuturor măsurilor de

securitate cibernetică sub comandă și control unice.

În spațiul fizic, riscurile generează incidente care au o

dinamică lentă, neemergentă, liniară, observabilă, măsurabilă,

trasabilă, cuantificabilă și contabilizabilă. Însuși spațiul fizic este

nescalabil, încastrat cu rigiditate în limitele-i proprii de manifestare,

care pot fi încadrate în granițe și limite fizice, palpabile. Manifestarea

simultană a unor incidente în spații fizice distincte presupune un efort

considerabil, care nu este la îndemâna oricui.

În schimb, în spațiul cibernetic-fizic, dinamica incidentelor are

o cu totul altă factură: este scalabilă, multiplicatoare, sincronizată,

emergentă, metamorfozabilă, nediscriminatorie, escaladabilă,

flexibilă... și descrierile pot continua. Metaforic vorbind, incidentele

din spațiul cibernetic-fizic sunt tot ceea ce sunt plus tot ceea ce nu

sunt incidentele din spațiul fizic. Posibilitățile de exploatare a riscurilor

prin intermediul spațiului cibernetic-fizic își găsesc granița la limita

creativității atacatorilor și în probabilitatea manifestării întâmplărilor și

accidentelor.

---o---

În practică, oamenii tind să privească și să aplice teoria într-un

mod adaptat necesităților și scopurilor proprii. Din nefericire, nu

corectitudinea tehnică este cea care dictează punerea în

implementare a teoriei, ci voința și interesele punctuale/ locale.

Aceasta este o generalitate a vieții, omniprezentă, și se manifestă din

plin și în domeniul securității cibernetice.

Astfel, fiecare responsabil ajunge să implementeze propria

viziune de securitate cibernetică în limitele în care are jurisdicție. Pe

de o parte, această libertate de manifestare reprezintă un avantaj,

întrucât demonstrează capacitatea oamenilor de a gândi autonom și

17 / 139

critic, de a raționa și de a rezolva în mod adaptat/ specific/ optim

problemele cu care se confruntă. (Și vom vedea, mai târziu, că este

chiar de dorit ca fiecare om să își asume responsabilitatea individuală

și să facă tot ce poate pentru a participa la consolidarea securității

cibernetice, în măsura limitelor sale de control.)

Însă, atunci când această libertate de manifestare se

realizează dincolo de logica tehnică corectă și depășește registrul

principiilor statutare ale domeniului, securitatea cibernetică nu numai

că nu este implementată (corespunzător), ci este și viciată. Și

exemplele de abatere de la logica naturală sunt prezente de la cel

mai mic nivel – individual, organizațional – până la nivel de organizare

națională și internațională, pe alocuri.

Totodată, facem precizarea că există și locuri în care

corectitudinea tehnică tronează și reprezintă o marcă pentru echipele

de experți care pun în implementare securitatea cibernetică.

Prezentul capitol are scopul de a sublinia anumite inadvertențe și

erori de percepție în conceptualizarea securității cibernetice, în raport

cu unele subdomenii ori cu unele domenii complementare sau cu

care are puncte comune. Înțelegerea corespunzătoare a imaginii de

ansamblu ne ajută să abordăm corespunzător securitatea cibernetică

în macro-structura de colaborare internațională, asigurându-ne

condițiile optime de prevenire și contracarare a riscurilor provenite din

domeniul tehnologic.

Securitate & Siguranță

Domeniul siguranței se ocupă cu buna funcționare a

tehnologiei, cu menținerea exploatării ei la parametrii optimi de

performanță și de calitate, cu o rată a erorilor cât mai redusă, astfel

încât să fie duse la bună îndeplinire sarcinile și scopurile intrinseci, și

să fie asigurate condițiile de siguranță umană.

Din punctul de vedere al siguranței, riscurile tehnologice sunt

născute din vulnerabilitățile inerente ale tehnologiei și ale utilizatorilor,

din erori existente în design, producție, configurări, teste/ verificări,

exploatare și manevrare. Poartă un caracter de neintenționalitate și

conduc către materializarea întâmplărilor, accidentelor.

18 / 139

Domeniul securității gestionează aspectele de consolidare/

ranforsare/ putere/ stabilitate/ homeostazie internă, precum și

caracteristica de impenetrabilitate și reziliență în fața amenințărilor

venite din exterior, pentru a proteja condițiile de bună funcționare și

de evoluție în condiții de siguranță. Din perspectiva securității,

riscurile tehnologice provin din materializarea amenințărilor, din

exploatare, din acțiune direcționată. Poartă un caracter de

intenționalitate și conduc spre materializarea atacurilor, acțiunilor

distructive, vătămătoare, ilicite.

---o---

Utilizarea eronată a celor două concepte – securitate și

siguranță – conduce la formarea unei imagini perceptive greșite, la

nivelul utilizatorilor acestora. De exemplu, din motive culturale, la

nivelul unor popoare se poate naște o confuzie între ”securitatea

națională” și ”siguranța națională”, acestea fiind folosite în mod

interschimbabil pentru a referi domeniul securității naționale. În egală

măsură, sunt realizate adesea confuzii și între ”securitatea națională”

și ”apărarea națională” (dăm acest exemplu aici doar pentru a face

referire la o altă dilemă conceptuală – ”securitatea vs. apărarea” – pe

care o vom trata într-un subcapitol ulterior). Aceste confuzii

conceptuale nu sunt neapărat marca necunoașterii, ci mai degrabă a

impunerii particularizate a unor voințe/ scopuri/ interese, la nivelul

realității practice, aplicate.

Securitatea cibernetică poate fi ușor asociată domeniului

securității, din pricina simplei coincidențe de terminologie. Însă

securitatea cibernetică cuprinde deopotrivă atât reperele de

securitate, cât și pe cele de siguranță, gestionând în mod unitar

riscurile de natură tehnologică.

Dacă am împărți securitatea cibernetică în două capabilități –

una care să se ocupe de elementele de securitate și alta, de cele de

siguranță – am ajunge să creăm o serie de instrumente ineficiente și

inaplicabile prin natura lor, creând o condiționalitate de auto-

excludere. În procesul materializării riscurilor – adică al manifestării

incidentelor de securitate cibernetică – este difuză nuanța

comportamentului evenimentului, în scopul încadrării sale în

categoria securității sau a siguranței.

19 / 139

Incidentele se manifestă și evoluează de-a lungul căii cu

rezistența cea mai mică, exploatând din plin vulnerabilitățile

ecosistemului cibernetic-fizic și făcând abstracție totală de

modalitatea noastră de a privi fenomenologia protecției: dacă ține de

securitate sau de siguranță. Hackerii nu țin cont de teritorialitatea

noastră conceptuală.

Apoi, în plină manifestare, este foarte dificilă identificarea

spontană a caracterului unui incident cibernetic – dacă este un atac,

o întâmplare sau un accident – ca fiind generat de un risc de

securitate sau de unul de siguranță. Pentru stabilirea cu exactitate a

acestor diferențe este necesară derularea de investigații digitale –

activitate care se desfășoară cu întârziere față de momentul în care

este necesară reacția promptă. În lipsa unei capacități de comandă &

control sincronizate, gradul de protecție din perspectiva securității

cibernetice coboară vertiginos spre zero.

---o---

Un alt aspect important, potrivnic dualității securitate-

siguranță, este dat de dificultatea atribuirii atacurilor cibernetice,

întrucât poate introduce viduri de aplicare a legislației privind

infracționalitatea.

Atribuirea atacurilor este un proces care excedează limita de

competență a responsabililor de securitate cibernetică de la nivel

organizațional și explorează domenii ce țin de ordine, apărare și

securitate publică. În lipsa intervenției structurilor abilitate – care pot

îmbina investigațiile digitale cu intelligence-ul uman – responsabilii de

securitate cibernetică nu pot atribui atacuri și nu pot iniția traseul

răspunderii legale. Devin ei înșiși victime, din cauza lipsei reperelor

și instrumentelor de tragere la răspundere a faptelor și de punere în

aplicare a legii.

---o---

Suplimentar, este de remarcat faptul că nu există un domeniu

al siguranței cibernetice. Industria a dezvoltat și gestionează

securitatea cibernetică în mod integrat, abordând atât amenințările,

cât și vulnerabilitățile, sub tutela macro-activității de management al

riscurilor, țintind să asigure eficiență în prevenție și timpi minimi de

răspuns la incidente.

20 / 139

Atunci când cele două nuanțe ale securității cibernetice sunt

abordate discriminatoriu sau parțial, se face un compromis de la

gradul de protecție asumat. Evident, este în libertatea fiecărui

responsabil, să stabilească o ordine de priorități sau o egalitate între

securitate și siguranță, precum și să le adapteze proporțiile în funcție

de necesitățile contextuale de aplicare/ implementare. Însă

securitatea cibernetică este una singură și se aplică în mod unitar, pe

orizontală, în toate domeniile de activitate, făcând uz de toate

perspectivele și înțelesurile conceptuale pe care le comportă.

Securitate & Apărare

Un alt set de noțiuni dezbătut asiduu în cercurile de creionare

conceptuală este perechea ”securitate” și ”apărare”. În funcție de

unghiul din care privim, putem găsi că una o cuprinde pe cealaltă și

viceversa.

În esență, securitatea reprezintă măsurile luate permanent

pentru asigurarea proceselor de bună funcționare și de evoluție, în

condiții de siguranță, protecție și sănătate. Are un caracter de

proactivitate, de preîntâmpinare, de dezvoltare, de consolidare, de

menținere a antrenamentului, a conștientizării, a ritmului de creștere

și valorificare a potențialului de manifestare. Urmărește îndeplinirea

unor necesități de existență domestică/ civilă, precum:

- Necesitatea individului de exersare a deciziei și de exprimare a

potențialului creativ, în condiții de siguranță, libertate și stimulare

evolutivă.

- Necesitatea colaborării la nivel organizațional/ comunitar/

național/ internațional, în scopul manifestării unității speciei

umane.

- Necesitatea respectării naturii, a mediului înconjurător și a

celorlalte specii de viețuitoare existente în ecosistemul din care

facem parte, precum și necesitatea luării deciziilor care se impun

pentru asigurarea unei coabitări corespunzătoare și pentru

menținerea echilibrului de ansamblu al mediului în care trăim.

În lipsa înțelegerii corecte a rolului pe care îl jucăm – ca indivizi

și colectiv – în spațiul nostru existențial, securitatea ne este sortită

eșecului (pe termen lung) generând la rândul ei o destabilizare a

21 / 139

condițiilor de siguranță, ca urmare a măcinării și distrugerii

procesuale/ din interior. Chiar și fără a avea parte de conflicte (deci,

fără a ajunge să facem apel la capacitățile de apărare), dacă eșuează

securitatea, eșuează implicit și condițiile de bună funcționare.

Securitatea are rol de stâlp de rezistență, de fundație. Este un

fel de sistem imunitar, care asigură condițiile de funcționare

homeostatică. Din perspectivă civilă, securitatea include apărarea.

---o---

Apărarea este capacitatea de a preveni și răspunde la conflicte

care amenință nivelul fundamental al existenței, la situații critice,

atacuri armate, situații de război, conflicte majore/ de mare amploare,

care destabilizează puternic funcționarea domestică. Are un caracter

militar și răspunde unei necesități stringente de supraviețuire.

Este un domeniu mai restrâns, comparativ cu securitatea, și

poate fi considerată ca parte a acesteia, ca etapă de intervenție

contextuală, atunci când devine necesară. Evident, apărarea

proactivă presupune și desfășurarea de activități permanente pentru

prevenția conflictelor, astfel încât să nu se ajungă la necesitatea

intervenției. (Ca regulă generală... atât securitatea, cât și apărarea,

ating nivelul maxim de eficiență atunci când nimic rău nu ajunge să

se întâmple, ca rezultat al acțiunilor de prevenție a manifestării

riscurilor.)

În mediul militar (acolo unde apărarea este scop existențial/

misiune de bază), apărarea devine principală, percepând securitatea

sub forma unui nivel de protecție esențial, care asigură funcționarea

business-as-usual a activităților operaționale și oferă un prim nivel de

protecție în fața atacurilor.

---o---

Securitatea cibernetică percepe apărarea în două moduri: i) ca

mentalitate/ ca model de mecanisme stratificate, înlănțuite, pentru

consolidarea în adâncime a protecției implementate și ii) ca o serie

de capabilități active de preîntâmpinare și răspuns la atacuri

cibernetice.

i) La nivel organizațional (și nu numai), se vorbește despre un

concept defensiv proactiv – ”apărarea în adâncime” – care reprezintă

mai degrabă o mentalitate de implementare echilibrată/ optimă a

22 / 139

măsurilor de securitate cibernetică, o abordare domestică, de

consolidare și securizare de-a lungul întregului flux de măsuri de

securitate cibernetică. Apărarea în adâncime a securității cibernetice

este diferită de apărarea militară (ca nucleu de reacție armată în

situații de conflict).

ii) La nivel statal și suprastatal, se vorbește despre o ”apărare

cibernetică” – reprezentată prin capacități de reacție/ capabilități

sofisticate și performante – care asigură atât răspunsul la atacuri

cibernetice, cât și contraatacul/ ofensiva. Apărarea cibernetică este

născută din necesitatea adaptării capabilităților de gestionare a

situațiilor de conflict, la evoluția metodelor de impunere și manifestare

a forței.

La nivelul anilor 2000, cea mai puternică formă de exploatare

distructivă a tehnologiei era reprezentată de războiul informațional. În

era societății informaționale – care era facilitată, deci, de tehnologia

informațională – conflictele și războiul informațional au adus o

actualizare noțiunii de război hibrid, transmutând și amplificând

formele de manifestare agresivă inter-statală din spațiul fizic în spațiul

virtual, informațional.

Desigur, conflicte informaționale au fost purtate și înainte de

anii 2000 – un exemplu recent, relevant în acest sens, fiind

reprezentat de Războiul Rece, care a urmat celui de-al doilea Război

Mondial, într-o formă subtilă. Însă tehnologia informațională a

introdus schimbări majore, care au contrabalansat proporțiile

instrumentelor și mecanismelor utilizate și au modificat substanțial

dinamica de evoluție societală.

La nivelul anilor 2010, tehnologia a cunoscut un nou salt în

puterea de procesare, facilitând dezvoltarea de arme cibernetice și

deschizând perspective fără precedent, de evoluție a capabilităților

tehnologice militare.

Putem considera că și la nivel local (individual și colectiv/

organizațional) există arme cibernetice, însă le denumim generic ca

”malware” sau ”capabilități și metode malițioase”. Din acest motiv, de

multe ori, ajungem să percepem și să tratăm eronat – prin

subestimare – nivelul de pericol pe care îl comportă amenințările

cibernetice civile. Terminologia de ”arme cibernetice” rămâne,

momentan, asociată statelor și formelor de organizare supra-statale

23 / 139

și este însoțită – cel puțin la nivel declarativ – de norme de gestionare

responsabilă și de evoluție controlată, în scopul menținerii unui

echilibru societal la nivel mondial.

Practic, apărarea cibernetică presupune două dimensiuni: una

defensivă (de preîntâmpinare și reacție la atacuri cibernetice) și una

ofensivă (de inițiere a atacurilor cibernetice). Dimensiunea defensivă

este prezentă și percepută ca business-as-usual la toate nivelurile de

organizare socială. Dimensiunea ofensivă este, de asemenea,

omniprezentă, însă este denumită diferit: în spațiul civil, ca activități

malware, iar în spațiul militar, ca activități armate.

---o---

În final, indiferent de conflictele conceptuale, este de reținut că

reperele de ”securitate cibernetică” și ”apărare cibernetică” sunt

abordate și implementate în mod adaptat, după cum impune

contextul de referință. La fel cum și noțiunile de ”securitate” și

”siguranță” sunt adaptabile în funcție de reperele asupra cărora le

aplicăm.

Totuși, dacă ar fi să gândim în logica fundamentală a existenței

acestor domenii de organizare tehnică și socială, putem remarca un

circuit de inter-dependență, de ansamblu: apărarea asigură protecția

și condițiile bazale de echilibru și de securitate –> care, la rândul ei,

deservește menținerii siguranței –> care, în schimb, asigură

funcționarea în condiții de sănătate și la parametrii de performanță

așteptați –> care condiții permit atingerea scopurilor și manifestarea

experiențelor.

Caracterul orizontal

Având în vedere gradul ridicat de interconectare al

tehnologiilor actuale, este necesar să aplicăm securitatea cibernetică

pe orizontală, în toate domeniile de lucru și la nivelul tuturor

componentelor infrastructurilor deținute.

Indiferent de importanța punctuală pe care o alocăm diverselor

componente sau părți din ecosistem, în urma evaluării riscurilor, orice

puncte slabe ale acestora reprezintă vulnerabilități pentru întreaga

infrastructură, ce pot fi utilizate ca puncte de penetrare și exploatare

a întregii rețele tehnologice. Prioritatea de protecție pe care o alocăm

24 / 139

în urma evaluării riscurilor are menirea de a stabili ordinea inversă în

care suntem dispuși să acceptăm eventualele pierderi, astfel încât să

ne fie afectată cât mai puțin funcționalitatea serviciilor de bază.

Securitatea cibernetică integrează măsuri luate din domeniile

de lucru cu specific organizațional și industrial, precum: operațiunile,

securitatea, siguranța, facilitățile și serviciile auxiliare, asigurarea

calității, comunicarea, managementul, s.a. Din punct de vedere al

interdependențelor cu alte macro-domenii tehnico-științifice,

securitatea cibernetică are puncte comune cu securitatea IT&C,

protecția comunicațiilor, securitatea informației, protecția datelor

personale, protecția informațiilor clasificate, ordinea publică,

apărarea și securitatea națională, protecția infrastructurilor critice,

s.a.

Toate acestea creează obligativitatea sincronizării

conceptuale și implementarea variantei optime de securitate

cibernetică, precum și adaptarea corespunzătoare, de ordin

reglementativ și implementativ, la nivel organizațional, local, național

și internațional.

Caracterul orizontal nu denotă o prioritate de importanță

printre domeniile tehnico-științifice; însă necunoașterea și

neconștientizarea corespunzătoare a locului securității cibernetice

conduc la vicierea implementării măsurilor care se impun și creează/

mențin vulnerabilități la nivelul întregului ecosistem. Implementarea

necorespunzătoare sau insuficientă a securității cibernetice face ca

acțiunile de consolidare a protecției, precum și răspunsul la incidente,

să fie diluate, reducându-le simțitor valoarea investită și făcându-le

derizorii.

IV. Rolul securității cibernetice

Securitatea cibernetică are rolul de a asigura menținerea

nealterată a stării de funcționare a tehnologiei, în condiții de

siguranță, securitate și sănătate la nivel uman, social-economic și

ambiental.

25 / 139

Două direcții

Pe de o parte, securitatea cibernetică are în vedere protecția

împotriva exploatării necorespunzătoare a tehnologiei, în urma căreia

pot fi generate pagube sau pierderi, atât de ordin material, cât și

uman. Este o protecție de suprafață, care vizează un set de relații

cauză-efect directe, observabile, perceptibile (care pot fi resimțite) în

mod evident.

Măsurile asociate acestei laturi a securității cibernetice sunt

relativ ușor de implementat, pe parcursul întregului ciclu de viață al

tehnologiei, necesitând o simplă analiză de riscuri și implementarea

unor decizii bazate pe o cunoaștere tehnică de specialitate. Evident,

sunt necesare multe alte repere – pe care le vom menționa, în

principal, în capitolul Securitatea cibernetică aplicată – însă am

subliniat caracterul de ”simplitate”, prin raportare comparativă la cea

de-a doua latură a securității cibernetice, care este mai subtilă și mai

dificil de perceput cu ochiul liber.

Pe de altă parte, așadar, securitatea cibernetică are în vedere

și gestionarea influențelor/ efectelor generate de tehnologie asupra

omului și asupra naturii, care sunt mai dificil de înțeles decât cele

menționate mai sus, întrucât necesită alocarea unei gândiri strategice

și aplicarea unor analize de substrat, consistente. Tehnologia poate

aduce influențe asupra omului și naturii, pe termen lung, comportând

o subtilitate și o complexitate greu de elucidat.

Fiecare decizie colectivă, transpusă printr-un mecanism de

implementare social sau tehnologic (pentru că, în definitiv, orice

produs material sau abstract al omului este o formă de tehnologie),

produce efecte reverberate care se propagă, se amplifică și prind

inerție de-a lungul timpului. Desigur, unele efecte pot fi vizibile și

rapid, cu ochiul liber; însă, modelarea, corectarea și gestionarea lor

nu se poate face prin reacție rapidă, necesitând inserția de inputuri

de-a lungul întregului ciclu de viață al tehnologiei, în special în etapa

de cercetare.

În prezent, această a doua latură/ nuanță a securității

cibernetice este mai puțin cunoscută și explorată, fiind dependentă

de rațiuni de etică, de drept, de psiho-sociologie, de medicină, s.a. –

pe care le vom aborda, în principal, în capitolul Securitatea

cibernetică complementară.

26 / 139

Prevenția și reacția

Când afirmăm că securitatea cibernetică are nevoie de

prevenție, sună a clișeu, a normalitate. Și ne-am aștepta chiar să

dobândim cu mare ușurință această capabilitate. Însă prevenția este

cel mai greu de atins, atât din cauza unui nivel scăzut al conștientizării

riscurilor – care zădărnicește procesul decizional – cât și a dificultății

direcționării investițiilor în acest sens, a inerției de neclintit a

reglementărilor, a birocrației, a lipsei dovezilor pentru fundamentare,

a impedimentelor culturale, și multe altele.

În general, omul nu știe să fie preventiv, în deciziile sale

colective. De-a lungul timpului, umanitatea a observat că are această

deficiență (care persistă încă, dar fără a fi imuabilă), cu fiecare

eveniment important pe care l-a avut de traversat. Din păcate,

procesul de învățare din experiențele anterioare ne este anevoios și

nu neapărat din rea voință sau din lipsă de interes, cât datorită faptului

că omul învață majoritar în urma experiențelor proprii. Lecțiile

preluate din exterior sunt trecute prin filtrul gândirii, însă până nu sunt

și trăite – astfel încât să parcurgă și fluxul modelării emoționale – nu

pot fi simțite, cântărite și înmagazinate. Învățămintele care sunt doar

raționate, dar nu și experimentate sunt asimilate și reținute într-un

procent scăzut. Din acest motiv, în final, nici capacitatea de decizie

(colectivă) nu poate fi actualizată și recalibrată conform necesităților,

după cum ar fi de așteptat.

Omul colectiv are nevoie de un eveniment declanșator la care

să reacționeze, în urma căruia să repare și să peticească, iar apoi să

prevină reapariția/ manifestarea repetată a acestuia. Este un fel de

Toma necredinciosul care nu mișcă un deget până nu-i apare în fața

ochilor motivul de necontestat, pentru care să ia decizii. Și nu este

dificil de înțeles logica acestui tip de comportament: prin prevenție

preîntâmpini evenimentul nedorit, eviți pierderile și menții totul în

echilibru; astfel, în etapa de bilanț, judecata parțială și critică cu privire

la irosirea/ risipa resurselor este înlesnită tocmai de inexistența acelui

nimic care nu s-a mai întâmplat.

Trăim într-un fel de cerc vicios auto-întreținut al fricii în fața

criticii: în lipsa evenimentului declanșator, stagnăm în inacțiune, de

teama de a nu fi acuzați de risipă și ineficiență; iar când se întâmplă,

în ciuda faptului că am fi avut posibilitatea să reparăm și să

27 / 139

preîntâmpinăm manifestarea, suntem totuși criticați că nu am acționat

corespunzător. Misiunea responsabililor de securitate cibernetică

este deosebit de intrigantă (așa cum este cazul responsabililor de

securitate, în general) și necesită multă comunicare, persuasiune și

capacitate de adaptare.

Înainte de toate, având în vedere potrivniciile la implementare,

întâlnite din toate direcțiile și prezente în toate ciclurile de viață ale

tehnologiei, responsabilii de securitate cibernetică au nevoie de o

doză suficient de mare de pasiune pentru acest domeniu, ca să îl

poată pune în aplicare în mod corespunzător, pe termen lung. Au

nevoie să creadă cu tărie și să găsească plăcere în procesul în sine,

să nu ia personal impedimentele întâlnite, să își dezvolte o mare

toleranță în fața eșecului (de natură relațională umană) și să dețină o

puternică dorință de explorare, descoperire, creștere, autodepășire și

evoluție permanente.

---o---

Rolul principal al securității cibernetice este de a preveni

manifestarea riscurilor specifice spațiului cibernetic-fizic. În acest

sens, are nevoie de implementarea proactivă de măsuri de

contracarare, precum și de dezvoltarea unei capacități prompte de

reacție la evenimente de securitate cibernetică. Totodată, trebuie să

își dezvolte capacitatea de comunicare continuă și de raportare a

stadiului evolutiv al procesului de securitate cibernetică, pentru a ține

informat nivelul decizional superior cu privire la balanța resurselor

investite și a câștigurilor dobândite (prin evitarea manifestării

incidentelor blocate și/sau gestionate). Este un efort de analiză de

business care traduce procesele tehnologice și organizaționale în

limbaj uman, comun, necesar pentru fundamentarea deciziei.

Pentru dezvoltarea capacităților de prevenție și reacție este

nevoie, în primul rând, de asumarea responsabilității și a răspunderii

revenite, în parte, pentru fiecare dintre cei implicați în asigurarea

securității cibernetice: de la responsabilii direcți, la manageri și

decizionali, la producători, la utilizatori... tuturor celor care

interacționează cu tehnologia, de-a lungul ciclului de viață al acesteia.

Prioritatea revine, însă, responsabililor direcți de securitate

cibernetică și administratorilor de tehnologie, precum și managerilor

28 / 139

și decizionalilor. Pentru că toți aceștia gestionează, coordonează și

implementează în mod direct deciziile colective – care, comparativ cu

deciziile individuale, generează o influență în mediul socio-

economico-natural, net superioară.

Apoi, toate capabilitățile tehnice și procesuale/ organizaționale

de securitate cibernetică sunt corelate și/sau integrate în varianta

optimă, care să asigure descoperirea timpurie a indicatorilor care

semnalizează posibilele incidente cibernetice și preîntâmpinarea

acestora cu răspuns prompt și ferm.

Integrarea se realizează la nivelul mecanismelor de securitate

cibernetică (care reprezintă o latură ”dispensabilă”/ suplimentară/

auxiliară a tehnologiei, în raport cu execuția strictă a misiunii de bază

pentru care a fost creată), ci nu la nivel operațional (care reprezintă

fundația indispensabilă a tehnologiei protejate, ce asigură

funcționalitatea de bază și livrarea serviciilor în regim de înaltă

disponibilitate), prin respectarea unor reguli de ”curățenie” și

stabilitate, din perspectiva securității. [ex. mecanisme de comunicare

unidirecțională, proceduri și politici organizaționale, filtre duble de

control și verificare, s.a.]

---o---

Descoperirea timpurie a activităților malware se realizează, în

principal, prin două metode: prin automatizare și prin explorare.

Automatizarea presupune instalarea senzorilor care să

capteze metadatele de funcționare a echipamentelor tehnologice,

preluarea și analiza corelată a acestora, în baza unor algoritmi

adaptați contextual sau presetați pentru analiză comportamentală, și

configurarea unor procese de alertare automată. Întregul flux de

analiză și identificare automatiza necesită eforturi consistente pentru

configurare inițială, mentenanță și urmărire, însă asigură cea mai

cuprinzătoare imagine/ cea mai bună vizibilitate asupra proceselor

interne ale tehnologiei, din punctul de vedere al securității cibernetice.

În completare, pentru acele incidente care escaladează

mecanismele de detecție și procesare automată, este necesară

dezvoltarea și operaționalizarea (permanentă a) unor procese de

explorare manuală/ de vânătoare a amenințărilor (threat hunting).

Acestea sunt realizate de specialiști dedicați, care analizează

29 / 139

permanent fluxurile de lucru (în paralel cu mecanismele de detecție

automatizată) și investighează anticipativ sistemele și rețelele

tehnologice, respectiv spațiul de Intelligence, în căutarea indicatorilor

care pot sugera/ anunța/ avertiza cu privire la posibilitatea reală de

manifestare a unor incidente cibernetice.

Predicția

Ideal este să dezvoltăm soluții de detecție timpurie a

manifestării riscurilor, cu o performanță atât de ridicată încât să ne

asigure predicția incidentelor cibernetice. Acesta este un deziderat

care poate fi atins în condiții de organizare umană exemplară și de

evoluție tehnologică corespunzătoare.

Pe de o parte, cunoașterea și competențele tehnice, analitice,

de cercetare-inovare și de intelligence ale specialiștilor sunt

indispensabile pentru dezvoltarea și valorificarea capacității de

detecție timpurie și de preîntâmpinare a incidentelor cibernetice. De

asemenea, acestea sunt necesare și pentru investigarea, înțelegerea

și documentarea incidentelor, generând lecții învățate și informații

care contribuie – în buclă de feedback – la completarea cunoașterii

privind spectrul de riscuri. Intuiția umană generează repere de

cunoaștere inexistente în instrumentele tehnologice de securitate

cibernetică.

Pe de altă parte, viitoarele tehnologii vor putea (și au început

deja) să ofere servicii de procesare informațională aprofundată, în

scopul generării unei forme de intuiție artificială. Puterea inteligenței

artificiale, capacitatea de a studia firul de evoluție al cauzelor trecute,

validarea unor modele statistice și transpunerea acestora în algoritmi

de predicție vor fi condiționalități aflate la baza capabilității de

prognoză. Prin intermediul acestora poate fi automatizată analiza

evoluției stării indicatorilor de compromitere, a vectorilor de atac și al

predispozițiilor la eroare/ întâmplare/ accidentare, în scopul alertării

timpurii cu privire la materializarea anumitor riscuri de securitate

cibernetică.

30 / 139

V. Principii și raționamente

Inconștiența

Dacă nu poți percepe ceva, nu înseamnă că nu există.

Senzorii care extrag și prelucrează metadatele de utilizare ale

tehnologiilor sunt indispensabili pentru a putea ”privi” în interiorul

proceselor tehnologice. În egală măsură, cunoașterea și abilitatea de

a gestiona acești senzori, în scopul extragerii de informații utile din

setul de date pe care le prelucrează, precum și cultura, deschiderea

și înțelegerea generică a oamenilor cu privire la funcționalitatea

tehnologiei și a influențelor pe care le aduce asupra noastră și asupra

naturii, sunt necesare pentru a putea înțelege și urmări aceste

procese, în substratul lor. În ultimă instanță, fenomenele greu de

observat cu ochiul liber (sau cu senzorii dedicați/ specializați) pot fi

percepute și înțelese prin analiza urmelor pe care le lasă în urma

activității lor.

Faptul că nu știi, nu te absolvă de urmări și de efecte. Suntem

parte dintr-un ecosistem funcțional, ale cărui părți componente sunt

interconectate și fac schimb de conținuturi. Simpla noastră decizie de

a refuza percepția fenomenelor care ne înconjoară nu ne scutește și

nu ne face invulnerabili la influențele și efectele pe care acestea le

produc asupra noastră.

Tehnologia nu are simț moral și personalitate, ca să ne putem

permite să ne lăsăm purtați în mod inconștient pe valul voinței sale.

(De dragul corectitudinii conceptuale, menționăm că tehnologia

deține o formă de moralitate și personalitate, indusă – cel mai

adesea, în mod inconștient – în procesul de design și producție;

preluată automat, de la creatorii ei.) Este la fel ca și în cazul legii, care

se aplică tuturor, indiferent dacă este cunoscută sau nu, de către

indivizi.

În egală măsură, efectele legii și efectele tehnologiei sunt

acolo, rulează pe fundal, se aplică și ne influențează dincolo de voința

noastră individuală. Ba mai mult, sunt prezente și valabile chiar și

când ne ferim sau încercăm să ieșim de sub incidența lor. Toate

conținuturile noastre colective se propagă liber, în tot spațiul fizic în

care trăim.

31 / 139

---o---

Securitatea cibernetică este un domeniu dependent de

percepție. Pentru a naviga în spațiul virtual este nevoie de o

senzoristică (tehnică, materială, cibernetic-fizică) corespunzătoare,

dublată de o înaltă capacitate de imaginație și abstractizare, la nivel

psihic individual.

Pornind de la stadiul proceselor interne ale unui echipament

tehnologic sau de la comportamentul traficului de rețea, și până la

influențele subtile pe care utilizarea tehnologiei le poate aduce asupra

noastră și asupra mediului în care trăim, fenomenologia tehnologiei

comportă un nivel ridicat de necunoscut și de incertitudine. Acest gol

de cunoaștere și control poate conduce deținătorii și utilizatorii de

tehnologie să dezvolte iluzii de încredere, confidență, putere,

invulnerabilitate, stabilitate, siguranță, imunitate, atotcunoaștere și

stăpânire.

Ignoranța este unui dintre cei mai mari adversari ai securității

cibernetice. Iar cine se complace în principiul ”ce nu știi nu te poate

afecta”, își reduce singur disponibilitatea și deschiderea spre

asigurarea unei protecții corespunzătoare.

---o---

Generic vorbind, probabilitatea ca mediul cibernetic-fizic să fie

infectat cu malware este mai mare decât probabilitatea de a fi neatins.

Și, cu cât infrastructurile tehnologice sunt mai complexe, cu atât

această proporționalitate crește.

Statistici anuale (la nivel mondial) indică lentoarea

inacceptabilă (de ordinul zecilor și sutelor de zile) a organizațiilor în

procesul de descoperire a incidentelor malware existențe în

infrastructurile proprii. Apoi, acestea sunt completate cu alte statistici

similare, privitoare la perioada necesară gestionării incidentelor și a

derulării activităților post-incident. Capacitatea de prevenție – reală,

aplicată, disponibilă în infrastructurile cibernetice – este, de cele mai

multe ori, inexistentă.

Totodată, șansele ca cineva de pe acest Pământ să evite

influențele aduse de tehnologie sunt minime; intră în calcul până chiar

și triburile, ultimele comunități umane care mai trăiesc în (iluzia de)

izolare. Valul/ inerția produselor și deciziilor noastre colective globale

este atât de mare încât sunt slabe speranțe că putem avea suprafețe

32 / 139

de pământ virgine, neatinse și/ sau neinfluențate în vreun fel de mâna

omului sau de extensia acestuia, tehnologia.

Senzorii de securitate cibernetică, cunoașterea și

competențele în specialitate, studiile amănunțite cu privire la

dinamica influențelor aduse de tehnologie – sunt, toate, instrumente

care oferă o conștientizare asupra situației de fapt, a stadiului de

funcționare individuală și colectivă (organizațională, socială, statală).

În lipsa acestora, să refuzi a crede că ești predispus riscurilor sau că

poți fi infectat cu malware ori că tehnologia nu aduce influențe în urma

utilizării ei, este echivalent cu a nu te duce la un control medical de

teamă ca nu cumva să descoperi că ai vreun dezechilibru de

sănătate.

Riscurile de securitate cibernetică sunt ca un sleeping giant

care la un moment dat se poate trezi și face ravagii. Sunt ca acel

elefant din mijlocul camerei pe care toată lumea îl vede, dar despre

care nimeni nu vorbește, de teamă să nu-l trezească și să strice tot

ce-i stă în cale.

Trezirea

Dacă nu crezi că există, dar cineva îți zice că a văzut, crede-l

sau verifică! Eșecul trezirii în urma avertizării denotă fie ignoranță, fie

naivitate.

Stă în responsabilitatea fiecăruia să își ia măsurile de protecție

corespunzătoare, pentru a preveni și contracara manifestarea

riscurilor la care este expus. Trezirea este reprezentată de momentul

în care devii conștient că este necesar să acționezi, în urma căruia

inițiezi demersuri de orientare, de analiză asupra veridicității situațiilor

de risc, de stabilire a direcțiilor de studiu și dezvoltare, de organizare

și planificare a metodelor și instrumentelor necesar a fi utilizate.

Este un moment de oscilare și căutare a unui echilibru, de

manifestare a curiozității primare și analiză a reperelor de

pragmatism, de testare și confirmare a importanței avute, de estimare

grosieră a impactului pe care îl poate aduce manifestarea riscurilor,

de adunare a resurselor și a energiei spre a fi canalizate în procesul

de consolidare a securității cibernetice. Este o etapă de ieșire din

confuzie, de tatonare, de încercare și de validare a necesităților.

33 / 139

Analiza primară acționează ca un fel de ”studiu de pre-fezabilitate”

care ancorează în pragmatism/ încadrează în realul obiectiv riscurile

identificate.

Uneori, complexitatea fenomenelor face ca riscurile pe care

acestea le comportă să fie dificil de observat și cuantificat. Pot depăși,

prin natura lor, granița componentelor tehnologice individuale,

acționând sistemic, corelat, interdependent. Analiza preliminară

trebuie să țină cont de toate fațetele riscurilor fără să le judece în

funcție de valoarea deținută, pentru a evita eliminarea lor prematură

din calcul. Trezirea este ca un brainstorming care pregătește analiza

aprofundată, realizată în scopul fundamentării deciziilor de dezvoltare

(a securității).

Înțelegerea

Dacă știi că ceva există, fii sigur că știu și alții. Și pot fi mai

documentați ca tine, mai pregătiți, mai avansați, mai cu un pas

înainte. Iar dacă sunt rău intenționați, pot deveni o amenințare pe

care îți dorești să o poți contracara și gestiona. Nu numai că acel ceva

care există poate fi exploatat, dar poate reprezenta un fenomen în

sine, care produce efecte și influențe asupra ta, asupra celor din jur

și poate chiar asupra tuturor oamenilor ori asupra mediului natural în

care trăim.

Posibilitățile de manifestare a riscurilor tehnologice, prin

exploatare voită, prin întâmplări/ accidente sau ca fenomen, sunt

complexe și comportă o diversitate crescută. Cunoașterea deplină a

posibilităților fenomenologice – atât a vulnerabilităților deținute, cât și

a metodelor și instrumentelor de potențial atac (adică a

amenințărilor), ori a influențelor pe care tehnologia le aduce asupra

oamenilor și naturii – este vitală pentru asigurarea unui echilibru de

securitate cibernetică punctuală/ particulară (atunci când intră în

responsabilitatea indivizilor sau a organizațiilor) ori de ansamblu

(atunci când ține de deciziile colective umane, naționale și

internaționale).

Depășirea ignoranței, punerea la îndoială, conștientizarea

expunerii la risc, observarea, atitudinea umilă și decentă în fața

amplorii fenomenului, formularea întrebărilor potrivite și calarea

corespunzătoare a atenției oferă deschidere spre explorare și

34 / 139

cunoaștere, în scopul dobândirii de control, flexibilitate, adaptare și

recalibrare a capacității de răspuns în fața riscurilor. Cu cât explorăm

mai mult fenomenele cu care ne confruntăm, cu atât vom fi mai

capabili să simțim amploarea implicațiilor, ritmul de evoluție al

fluxurilor evenimentelor și dinamica macro naturală, devenind mai

performanți în gestionarea incertitudinii și a condițiilor de control

limitat (în partea care ne revine).

Pentru o înțelegere corespunzătoare a situațiilor în care ne

aflăm, avem nevoie de i) explorare, investigare și diagnoză aplicată,

ii) activități de cercetare-dezvoltare-inovare conceptuală și iii)

informarea corespunzătoare a palierelor decizionale. Toate aceste

întrunesc condițiile necesare pentru documentarea, calibrarea și

ajustarea oportunității deciziilor – din perspectivă temporală; ca

potrivire, disponibilitate de valorificare, utilitate și promptitudine

procesuală.

Colaborarea și schimbul de informații (tehnice – rezultate ale

investigațiilor digitale, indicatori de compromitere, repere de expertiză

obținute în urma incidentelor gestionate; și conceptuale – cunoaștere

dobândită în cercetarea cu privire la influențele și efectele generate

de tehnologie) sunt esențiale pentru asigurarea unui nivel de protecție

sistemică, corelată, la nivel de ansamblu. În contextul actual de

interconectare, suntem cu toții parte dintr-un sistem mai mare;

securitatea noastră este dependentă de gradul de securitate de

ansamblu și – viceversa – securitatea ecosistemului este dependentă

de nivelul de protecție al celei mai slab protejate componente (zaua

slabă).

Dobândirea cunoașterii și înțelegerii individuale, dublată de

colaborarea și schimbul de informații la nivelul întregului ecosistem,

creează premisele pentru identificarea necesităților concrete de

dezvoltare și protejare, pentru elaborarea strategiilor de abordare și

pentru identificarea direcțiilor de acțiune în scopul asigurării unui nivel

optim (minim necesar) uniform de securitate cibernetică.

---o---

Tehnologia oglindește imaginea noastră – a oamenilor,

creatorii ei – într-o formă brută și amplificată, cu toate bunele și relele.

Gestionarea riscurilor pe care le comportă este dependentă de

capacitatea noastră de a ne conștientiza și gestiona slăbiciunile

35 / 139

noastre umane individuale, precum și de a colabora pentru

gestionarea celor colective și sociale.

Cu cât reușim să ne cunoaștem pe noi înșine și să evoluăm în

condiții de siguranță, securitate, reziliență și performanță, cu atât vom

putea imprima aceste caracteristici – în mod involuntar, automatizat

– în tehnologia pe care o dezvoltăm, contribuind în mod fundamental

la întărirea și consolidarea echilibrului vieții noastre și a mediului

înconjurător, în ansamblu.

Responsabilizarea

Să ieși din ignoranță, să iei atitudinile și să asiguri măsurile de

securitate cibernetică (precum orice alte măsuri de securitate și

siguranță, în general) așa cum o impune contextul de riscuri nu este

o decizie care să comporte libertate de manifestare. Este o

responsabilitate, o obligație cel puțin morală. În urma realizării

demersurilor necesare, când atingi un nivel de securitate minim

acceptat, abia atunci dobândești libertate de mișcare, întrucât

condițiile permit manifestarea și desfășurarea activităților în

siguranță.

Responsabilizarea reprezintă etapa de decizie și acțiune, în

urma documentării și fundamentării realizate în cadrul etapei de

înțelegere. Măsurile pe care le luăm au scopul de a aplica direcțiile

de acțiune, de a dezvolta competențele umane și capabilitățile

tehnice și procedurale, și de a asigura condițiile de reziliență propice

bunei funcționări a tehnologiei.

Pentru identificarea soluțiilor optime de securitate (cibernetică)

este nevoie să apelăm la creativitate, la inovare, la rezolvarea de

probleme cu complexitate ridicată, la aplicarea gândirii critice și

autonome, la explorarea fenomenologiei (prin extragere de principii

și aplicarea acestora în condiții personalizate/ adaptate necesităților),

la cercetare aplicată și dezvoltare de instrumente particularizate.

Responsabilitatea revine în egală măsură atât individual (ca

utilizatori ai tehnologiei, ca actori în diferitele etape din ciclul de viață

al tehnologiei, ca organizații sau orice alte forme de entități/ persoane

fizice sau juridice care au un rol/ o prezență în societate), cât și la

nivel sistemic/ integrat, la nivel de comunități, inter-organizațional,

36 / 139

național, supra-statal, internațional. Integrarea este un element

indispensabil pentru asigurarea aplicării uniforme a unui nivel minim

optim garantat de securitate cibernetică, care să prevină existența de

puncte slabe singulare ce pot fi exploatate și transformate în riscuri

materializate.

Zaua slabă

Un lanț cedează în punctul în care are zaua cea mai slabă. Tot

așa, securitatea cibernetică a unui ecosistem este dependentă de

punctul/ sistemul/ rețeaua/ infrastructura care are cea mai slabă

configurație de securitate. Pentru că toate sunt interconectate și

interdependente, împărtășind la comun caracteristica de

vulnerabilitate.

Un atacator va căuta întotdeauna calea care are rezistența cea

mai mică la înaintare, pentru a o exploata în scopul pătrunderii în

ecosistem. O dată intrat, prin mișcări laterale, își poate extinde

capacitatea de control asupra infrastructurilor, chiar și în condițiile în

care acestea sunt deconectate fizic unele de altele. Avem deja

suficiente exemple de infrastructuri (în special, tehnologice

operaționale) complet separate fizic de rețelele cu conectivitate la

internet sau la alte backbone-uri funcționale, care au fost totuși

penetrate prin diverse metode (cum ar fi, prin exploatarea proceselor

organizaționale sau a căilor procedurale) – a se vedea celebrul caz

de malware Stuxnet1.

În securitatea cibernetică nu există conceptul de imposibilitate

de manifestare a unui risc. În urma analizei riscurilor, se stabilește un

nivel de probabilitate – care este pozitivă și diferită de zero pentru

oricare eveniment imaginat/ identificat, adus în discuție.

Pentru a veni în preîntâmpinarea existenței unor ”portițe” de

pătrundere neautorizată, care să fie slab protejate, este utilă

atingerea dezideratului unui grad uniform optim (minim necesar) de

securitate cibernetică la nivelul întregului ecosistem protejat. Pentru

aceasta, este necesară responsabilizarea individuală a tuturor

actorilor (pentru a distribui uniform și echitabil cantitatea de efort

necesar a fi investit) și integrarea/ corelarea/ interconectarea

1 Stuxnet - https://en.wikipedia.org/wiki/Stuxnet

37 / 139

măsurilor de securitate cibernetică într-o arhitectură solidă, pentru a

permite o prevenție și o reacție promptă în fața riscurilor care se pot

materializa.

La nivel uman, responsabilitatea cade pe umerii tuturor: de la

utilizatori, la administratori de tehnologii IT&C, OT și emergente, la

responsabili dedicați de securitatea cibernetică și până la palierele

administrative, manageriale și decizionale. Pentru fiecare, în părțile

care le revin: uneori este necesară deținerea unei culturi generale și

a unei conduite precaute de securitate cibernetică (cyber hygene),

alteori este necesară înțelegerea aprofundată a modalității

funcționării sistemelor sau specializarea dedicată în domeniul

securității cibernetice. În oricare dintre cazuri, toți oamenii au nevoie

să gândească în termeni de mentalități de securitate cibernetică (să

cunoască riscurile; să știe principiile de desfășurare a incidentelor și

măsurile care se impun pentru asigurarea securității cibernetice; să

știe tacticile, tehnicile și procedurile – TTPs ale – atacatorilor; precum

și tacticile, tehnicile și procedurile de protecție).

Cunoașterea și cultura tehnologică, precum și de securitate

cibernetică, sunt și vor fi o necesitate imperativă pentru toată lumea,

în viitorul care se apropie. Trăim și continuăm să evoluăm într-o

societate înalt tehnologizată, al cărei grad de complexitate se află

într-o creștere exponențială, predispunând la o adaptare

proporțională a riscurilor la care ne expunem. Tehnologia ne

influențează în mod direct atât pe noi – creatorii ei – cât și mediul în

care ne desfășurăm viețile.

Percepția criticității

Percepția greșită asupra criticității sistemelor tehnologice

existente în unele industrii, precum și asupra criticității infrastructurilor

existente la nivel organizațional și național, este unul dintre aspectele

care necesită schimbare, spre a permite orientarea deciziilor pentru

implementarea corespunzătoare a securității cibernetice.

Sistemele care sunt considerate critice își păstrează caracterul

de sistem critic chiar și după implementarea de măsuri care asigură

redundanța acestora. Faptul că dezvoltăm soluții pentru asigurarea

continuității funcționalității de bază, prin comutarea către sisteme

secundare/ de redundanță nu elimină caracterul de ”critic” de la

38 / 139

nivelul sistemului în cauză. El rămâne critic în continuare; faptul că,

în caz de întrerupere a funcționării sale, există sisteme care să îi preia

sarcina în condiții de redundanță nu îl face mai puțin important.

Sistemul critic este, de regulă, cel mai performant din toată

gama de sisteme deținute, care ar putea asigura respectiva

funcționalitate. Trecerea pe redundanță scade, de cele mai multe ori,

performanța operațională și asigură continuitatea serviciilor numai

pentru o perioadă limitată de timp, cât să ofere răgaz de recuperare

și repunere în funcțiune a sistemului de bază.

Există diverse considerente pentru care deținătorii de rețele

tehnologice aleg să elimine calitatea de criticitate de la nivelul

sistemelor primare, atunci când asigură redundanță, cel mai frecvent

motiv fiind oportunitatea realizării de economii financiare. De regulă,

sistemele critice au impuse cerințe obligatorii de consolidare, care

impun costuri suplimentare. Prin eliminarea caracterului de criticitate,

se creează premisele reducerii investițiilor și a consumului de

resurse. Însă aceste decizii organizaționale/ de management

șubrezesc nivelul de securitate în ansamblul infrastructurii, generând

riscuri suplimentare față de cele identificate în analiza de risc primară.

Securitatea cibernetică impune implementarea progresivă a

măsurilor de securitate, în funcție de gradul de criticitate pe care îl

comportă sistemele avute în atenție. Adoptarea măsurilor

corespunzătoare nu modifică sub nici o formă alocarea inițială a

nivelului de criticitate, menținând în formă consolidată rațiunea/ logica

de securitate creionată în cadrul procesului de management al

riscurilor.

Analiza riscurilor este etapa în care se stabilește nivelul de

criticitate al sistemelor, acesta rămânând nemodificat în urma aplicării

măsurilor de securitate specifice care se impun.

---o---

Percepția asupra infrastructurilor critice suferă de imprecizie și

mai mult decât cea asupra sistemelor, atât din considerente de

obligații financiare (investiții) – așa cum este menționat mai sus, dar

care se ridică la cote mai înalte decât în cazul sistemelor singulare –

cât și din cauze de teamă față de responsabilitatea care revine

deținătorilor acestora.

39 / 139

De regulă, infrastructurile critice au un rol important la nivel

național, fiind îmbogățite cu măsuri suplimentare de securitate care,

de multe ori, sunt dificil de gestionat. Riscul de ordin uman/

organizațional de a evita demarcarea cu precizie a infrastructurilor

critice este destul de mare, ajungând ca anumite infrastructuri de

importanță majoră, de la nivelul unor industrii indispensabile pentru

funcționarea societală, să fie tratate necorespunzător și ineficient.

Mai mult, în unele industrii cu dinamică operațională ridicată

(cum este aviația civilă), entitățile/ organizațiile își asigură reciproc o

formă de redundanță funcțională, pentru garantarea continuității și

asigurării siguranței în condiții de criză/ extraordinare (în care sunt

perturbate semnificativ capacitățile serviciilor locale). Redundanța

reciprocă conduce la împrumutarea mutuală a caracterului existențial

(implicit, deci, și a nivelului de importanță și criticitate pe care îl

comportă fiecare dintre entitățile aflate în simbioză de redundanță),

impunând implementarea și asigurarea uniformă a condițiilor de

securitate și siguranță de ambele părți.

În condițiile actuale de înaltă interconectare și

interdependență, este necesară reconsiderarea terminologiei de

”infrastructură critică”, în sensul alocării acesteia la nivelul sectoarelor

industriale de importanță majoră/ națională/ regională/ internațională.

Deși este un demers cu slabe șanse de implementare (pentru că

dispune oricum de o lacună în capacitatea decizională, în varianta în

care se află – în prezent – la nivel organizațional) elevarea

conceptului de infrastructură critică de la nivel organizațional la nivel

de sector industrial ar permite alocarea de resurse în mod strategic,

venind în întâmpinarea riscurilor cu măsuri aplicate unitar, uniform,

corelat.

Totodată, complexitatea gândirii de securitate pe care ar

comporta-o crește semnificativ, la fel ca și responsabilitatea și

dificultatea procesului decizional implicit. Creșterea caracterului de

criticitate de la nivel organizațional la nivel de sector industrial poate

veni în întâmpinarea rezolvării unor probleme sistemice, privind

dezvoltarea și menținerea condițiilor optime de funcționare.

---o---

În condițiile de evoluție tehnologică și de creștere a

complexității contextului (social, tehnologic, natural) în care trăim,

40 / 139

vom avea de adaptat mai multe repere privind percepția criticității.

Momentan, încă mergem dintr-o inerție inconștientă, pe principii

dezvoltate cu două revoluții industriale în urmă.

Tehnologiile actuale și viitoare vor destabiliza reperele de

dinamică a vieții, modelând condițiile în care trăim și evoluăm.

Schimbările survenite necesită recalibrări conceptuale și perceptive

corespunzătoare.

Mentalitatea de implementare

Complexitatea contextului tehnologic și social va conduce la o

creștere semnificativă a cantității de informație pe care o avem de

gestionat, în toate domeniile. De asemenea, crește și diversitatea

instrumentelor pe care le folosim și a tipurilor de probleme pe care le

avem de rezolvat.

Nu doar limbajele de programare și instrumentele hardware

evoluează în ierarhii de organizare superioară, de structurare și

implementare eficientă, automatizată, ci și instrumentele, metodele și

armele cibernetice. Deja, trăim într-o lume în care atacurile și

securitatea/ apărarea cibernetică sunt realizate cu instrumente

automatizate, cu organizare internă homeostatică și capabilități de

metamorfoză și autoregenerare, cu funcționare în logică de

inteligență artificială și învățare automată (machine learning) care

excedează capacitatea omului de înțelegere și de control.

Diversitatea tehnologică nu mai permite omului să țină pasul

cu evoluțiile din domeniu, punând o presiune deosebită pe

responsabilii de securitate cibernetică pentru a se menține la zi din

perspectiva cunoașterii și a competențelor. În astfel de condiții de

evoluție tehnologică, omul are nevoie să își orienteze eforturile spre

dobândirea unor mentalități fundamentale pe care să le aplice în

înțelegerea și rezolvarea problemelor cu care se confruntă.

---o---

Un instrument de bază/ generic pentru înțelegerea și

gestionarea tehnologiei este reprezentat de analogie. Tehnologia

este creată, în esență, după chipul și asemănarea noastră, a naturii

și a modului în care percepem noi viața și existența. Este o reflecție

41 / 139

a noastră, a cine suntem și cum interacționăm, cum înțelegem și cum

evoluăm. Este o extensie a omului în exteriorul său.

Caracteristicile noastre umane și modul în care ne raportăm la

mediul care ne susține viața (cum îl percepem, cum interacționăm cu

el, cum ne poziționăm în el) sunt imprimate conștient sau inconștient

în produsele pe care le dezvoltăm, ajungând – în fapt – să

externalizăm și să automatizăm capabilități pe care le deținem nativ.

Toate aspectele pozitive și negative care ne aparțin și pe care le

preluăm, sunt imprimate în tehnologie și exprimate prin funcționarea

sa.

Dacă reușim să cunoaștem mentalitatea umană și

funcționarea vieții, putem în egală măsură să intuim mentalitatea de

funcționare tehnologică, facilitându-ne analize de inginerie inversă la

nivel de principii și procese. Cunoscând aceste substraturi, putem

defini necesitățile de securitate, putem structura diagnoza și

investigațiile, și putem imagina soluții funcționale (adaptate

fenomenologic) pentru consolidarea condițiilor de siguranță și

securitate în exploatarea tehnologică.

---o---

Un alt instrument util este organizarea și descompunerea

funcționării tehnologice după gândirea stivei ISO-OSI. Cunoscând

nivelurile de organizare și comunicare ale ISO-OSI, omul poate

”vedea” dincolo de forma de prezentare (exterioară) a produselor,

înțelegând structura interioară a proceselor hardware și software.

Modelul de referință pentru reprezentarea comunicațiilor, ISO-

OSI2 (International Organization for Standardization - Open Systems

Interconnection), spune că fiecare sistem tehnologic conține o

organizare internă de tip stratificat, în care informația este prelucrată

spre a asigura o traducere între nivelul de înțelegere umană și nivelul

de gestionare și comunicare mașinică. Între oricare doi oameni (sau

două puncte/ doi utilizatori/ doi beneficiari finali) care utilizează

tehnologia pentru a interacționa, se produce un flux de codificare a

conținuturilor umane în conținuturi tehnice, precum și un flux de

decodificare invers.

2 https://en.wikipedia.org/wiki/OSI_model

42 / 139

Modelul de referință ISO-OSI descrie o mentalitate

inginerească fundamentală, care permite explorarea în detaliu a

proceselor interne ale tehnologiei. În primul rând, specialiștii în

domeniile tehnice (dar nu numai ei, ci și alte categorii de oameni) pot

utiliza aceste repere ca puncte de pornire în organizarea muncii

proprii, ca fundație pentru dezvoltarea de soluții aplicate, modelate

conform necesităților locale/ punctuale/ specifice. Modelul reprezintă

liniile macro de funcționare, un șablon de mecanisme pentru

orientarea gândirii; aplicarea acestora se realizează adaptat, prin

apel la cunoaștere și creativitate, și prin valorificarea resurselor și

informațiilor disponibile în surse deschise sau de specialitate.

Suplimentar, putem observa că prin gruparea celor șapte

niveluri definite de ISO-OSI obținem o reprezentare funcțională/

principială/ simplificată a acestora, care se rezumă la trei scopuri de

bază: gestionarea logică a conținuturilor (sens și interfațare),

coordonarea unitară a implementării acestora (management,

funcționalitate și homeostazie) și implementarea efectivă

(gestionarea și valorificarea resurselor, și asigurarea proceselor auto-

reglatoare).

Modelul ISO-OSI simplificat permite înțelegerea mentalității

strategice a proceselor tehnologice de fundal, venind în sprijinul

comunicării și prezentării informațiilor/ cunoașterii în limbaj uman.

Instrumentele pot fi folosite atât pentru modelarea mentalității

inginerești, cât și pentru înțelegerea rutinieră și sincronizarea

comunicării în termeni de tehnologie.

Formarea unei mentalități generale de abordare și

implementare a reperelor de securitate cibernetică permite oamenilor

să se adapteze oricărei situații care necesită rezolvare de probleme.

Principiile generale, direcțiile strategice și mecanismele de

organizare tehnologică își păstrează validitatea și aplicabilitatea

generală.

Totodată, adaptarea locală/ implementarea este diversificată,

întrucât se realizează în condiții de libertate de manifestare a

creativității. Aceasta permite și se realizează prin explorare,

descoperire, cercetare și studiu ”spontane”, urmărind să răspundă cât

mai adaptat necesităților de dezvoltare și acțiune.

---o---

43 / 139

Mentalitățile de funcționare a tehnologiei pot fi formate prin

reconstrucție/ aplicare adaptată a legilor care guvernează existența

umană și naturală. Sunt necesare pentru calibrarea interacțiunii

omului cu produsele pe care le creează și pentru gestionarea/

adaptarea influențelor aduse de acestea, în scopul modelării

conștiente, responsabile și asumate a condițiilor de viață și de

evoluție a întregului ecosistem care ne susține viața.

44 / 139

SECURITATEA CIBERNETICĂ APLICATĂ

VI. Moștenirea și actualizarea

Securitatea informației

Până recent (anii 2000-2010), securitatea cibernetică era

reprezentată de securitatea informației – un domeniu ajuns la un

anumit nivel de maturitate, bine documentat, standardizat și

procedurat mulțumită eforturilor specialiștilor din lumea întreagă. (De

altfel, lucrarea de față nu își propune să repete reperele care se

regăsesc în literatura de specialitate – recunoscându-le pe deplin

validitatea și utilitatea – ci intenționează să vină cu completări care

scapă percepției prezente asupra fenomenului securității cibernetice

și să ofere o imagine de ansamblu asupra a ceea ce presupune

securitatea în context tehnologic extins.)

Securitatea informației se referă la securitatea tehnologiei

informaționale (precum și a informației care nu se regăsește în format

electronic – dar acest aspect depășește subiectul nostru de discuție),

adică a acelei tehnologii care procesează informație în format

electronic, care formează – generic vorbind – domeniul denumit IT&C

(Information Technology and Communications). Sunt nenumărate

referințele bibliografice care descriu condițiile și procesele de

securitate a informației, tratând în mod cuprinzător necesitățile de

asigurare a confidențialității, integrității, disponibilității, autenticității și

nonrepudierii informației (incluzând și elemente de protecția

informațiilor clasificate).

Domeniul securității informației are o abordare

organizațională, asigurând necesitățile de acoperire a

responsabilității individuale, ca parte componentă fundamentală din

securitatea cibernetică de ansamblu/ integrată.

Securitatea informației a început să migreze spre terminologia

de securitate cibernetică, atât din necesități de actualizare

conceptuală (de înțelegere/ de funcționare, precum și de marketing),

45 / 139

cât și în încercarea de a-și extinde aria de acoperire în mod

corespunzător și corect din punct de vedere tehnico-științific.

Dar este de reținut că migrarea conceptuală are ca fundație

adaptarea la evoluția tehnologică și procesuală, ci nu caracteristici de

securitate general valabile și aplicabile. De exemplu, calitatea de

reziliență este o caracteristică inerentă securității; a spune că

securitatea cibernetică aduce ideea de reziliență ca element de

noutate față de securitatea informației, reprezintă o eroare de

înțelegere tehnică a conceptelor și domeniilor. Reziliența este o

condiționalitate de rezistență/ stabilitate a tehnologiei în fața

materializării riscurilor, dintotdeauna.

Diferența pe care o aduce securitatea cibernetică constă în

amploarea/ scala de aplicare a conceptelor. Reziliența în securitatea

informației este aplicată la nivelul infrastructurilor organizaționale, în

timp ce, în securitatea cibernetică, se extinde la nivel industrial,

național și internațional, urmărind să acopere necesitățile de protecție

holistică.

Migrarea spre securitatea industrială

Securitatea cibernetică reprezintă – în principal – o abordare

centrată pe menținerea continuității operaționale a serviciilor. În plus

față de extinderea acoperirii după repere de organizare a activității

sociale (așa cum este menționată mai sus) – de la organizație, la

sector industrial, la nivel național și internațional – securitatea

cibernetică are în vedere completarea viziunii conceptuale cu aspecte

de securitate a tehnologiei industriale.

Devine din ce în ce mai stringentă necesitatea acoperirii

globale a securității cibernetice – pe orizontală – în toate domeniile

de activitate și asupra tuturor tipurilor de tehnologii, în vederea

îndeplinirii dezideratului de nivel minim obligatoriu de securitate

cibernetică. Reamintim că, în ceea ce privește rețelele de tehnologii

electronice (deci care se bazează pe exploatarea și valorificarea

mediului electromagnetic), punctul cel mai slab protejat reprezintă

vulnerabilitatea principală a întregii infrastructuri tehnologice. Este

esențială orientarea atenției asupra tuturor elementelor tehnologice,

spre a realiza analize de risc corespunzătoare și a preveni riscuri a

46 / 139

căror manifestare poate lua prin surprindere și poate provoca

dezastre.

Securitatea cibernetică migrează – în prezent – spre domeniile

industriale, căutând soluții de protejare a tehnologiilor operaționale

(OT – Operational Technology) și de gestionare integrată a reperelor

de securitate cibernetică, pentru sincronizarea capacităților de

prevenție, identificare/ detecție și reacție la incidentele cibernetice.

Mai mult, tehnologiile OT se dovedesc a avea un nivel de criticitate

superior tehnologiilor IT&C, întrucât prin afectarea lor pot fi produse

pagube consistente în spațiul fizic/ material (distrugeri, dezastre) și

pun în pericol siguranța și sănătatea vieții umane și a mediului

înconjurător.

Tehnologia OT devine nucleul securității cibernetice actuale (a

anilor 2010-2020), fiind aria care necesită cele mai înalte măsuri de

protecție. În prezent, este obiectivul central al securității, din

perspectiva abordării stratificate de apărare în adâncime (despre care

vom vorbi într-un capitol ulterior).

---o---

Securitatea cibernetică actuală va trebui să fie dezvoltată în

sensul diversificării, prin definirea securității cibernetice consacrate

(orientată pe tehnologiile IT&C), ca fiind securitate cibernetică

generală, și prin adăugarea unui nou set de domenii de securitate

cibernetică industrială (orientată pe tehnologiile OT), specializate în

diversele domenii/ sectoare industriale asupra cărora este aplicată.

Cooperarea și sincronizarea (instituționale) în reperele de

securitate cibernetică sunt dependente de o relaționare corelată, de

tip matrice. În prezent, există autorități de securitate cibernetică

generală (naționale și internaționale, precum entitățile de tip CERT-

xx3); în paralel, încep să fie dezvoltate și autorități de securitate

cibernetică industrială (naționale și internaționale, precum

3 CERT – Computer Emergency Response Team - https://en.wikipedia.org/wiki/Computer_emergency_response_team

47 / 139

EUROCONTROL-EATM-CERT4 sau EASA-ECCSA5, din domeniul

aviației civile).

Securitatea cibernetică nu este un domeniu divizibil, pe care

să îl tratăm separat, necorelat. O greșeală dificil de reparat pe termen

lung ar fi să împărțim elementele de securitate (care conțin

amenințările) de cele privind siguranța (care conțin vulnerabilitățile) și

să dezvoltăm o securitate cibernetică și o siguranță cibernetică.

Securitatea și siguranța sunt – ambele – caracteristici strâns legate/

unitare ale securității cibernetice. În egală măsură, eronat ar fi să

separăm domeniile IT&C și OT, și să le tratăm printr-o securitate

IT&C și o securitate OT, ca domenii distincte și necorelate.

Securitatea IT&C și securitatea OT sunt straturi/ niveluri de protecție

în adâncime ale aceleiași securități cibernetice.

Cum alegem să organizăm și să definim conceptual/ științific

necesitățile și măsurile pentru abordarea tuturor acestor fațete trebuie

să aibă doar scopuri de cunoaștere/ educative/ de înțelegere/ de

specializare, însă punerea lor în practică trebuie să aibă un puternic

caracter de unitate/ corelare/ sincronizare. Implementarea trebuie să

dispună de responsabilitate deplină la nivel individual (organizațional)

și cooperare strânsă pe orizontală, la nivel colectiv (comunitar,

industrial, național, internațional).

Atacatorii nu țin cont de cum alegem noi să privim și să ne

definim ariile de jurisdicție. Ei caută mereu cel mai vulnerabil punct

de acces și calea cu rezistența cea mai mică de exploatare a

infrastructurii, navigând lateral prin așa-numitele domenii tehnico-

științifice în baza cărora alegem noi să ne organizăm. Securitatea

cibernetică are nevoie de comandă și control unice la nivel de

entitate/ organizație, precum și de colaborare/ cooperare permanentă

cu toți actorii omologi și toate autoritățile (în domeniile securității

4 EUROCONTROL - instituție de nivel european, care gestionează domeniul navigației aeriene. EATM-CERT (European Air Traffic Management Computer Emergency Response Team) – structură a EUROCONTROL, responsabilă de securitatea cibernetică. https://www.eurocontrol.int/service/european-air-traffic-management-computer-emergency-response-team 5 EASA (European Union Aviation Safety Agency) – instituție de nivel european, care gestionează domeniul aviației civile. ECCSA (European Center for Cyber Security in Aviation) – structură a EASA, responsabilă de securitatea cibernetică. https://www.easa.europa.eu/eccsa

48 / 139

cibernetice generale și specializate), cu întreaga rețea de contacte,

de schimb de experiență și informații.

---o---

Suplimentar, rețeaua de cooperare trebuie să fie extinsă și

către celelalte autorități responsabile de securitatea clasică (a

mediului fizic în care trăim), în speță, instituțiile din sistemele

naționale de ordine publică, apărare și securitate națională, precum

și către autoritățile responsabile de relațiile internaționale, de punere

în aplicare a legii și de exercitare a justiției naționale și internaționale.

Securitatea cibernetică conține aspecte care nu pot fi rezolvate

pe cale civilă (cum ar fi atribuirea atacurilor, gestionarea conflictelor

inter-statale, procurarea și gestionarea probelor pentru instanță, s.a.),

fiind dependentă de capabilități de intelligence specializate, de

comunicare (și gestionare) strategică și diplomatică, precum și de

servicii de apărare, poliție, procuratură și juridice.

Gradul ridicat de asimilare a tehnologiei în viețile noastre ne

conduce spre necesitatea recalibrării vieții cu care eram obișnuiți în

spațiul fizic, adaptarea acesteia la necesitățile de interacțiune și

evoluție în spațiul cibernetic-fizic, și actualizarea corespunzătoare a

mentalităților, atitudinilor, comportamentelor și deciziilor.

Transpunerea vieții din mediul fizic în mediul cibernetic-fizic nu se

realizează 1-la-1, adică întocmai, ci prin adaptarea la caracteristicile

acestui nou spațiu (care permite scalare, multiplicare, amplificare

exponențială, corelare și sincronizare în timp real a eforturilor,

anonimizare, etc.).

Securitatea cibernetică se află la o răscruce de drumuri, în

care este necesară dezvoltarea reperelor de specializare industrială

(și/sau pe domenii de viață) și de interconectare într-o rețea extinsă

de încredere și coordonare reciprocă. Devine un domeniu de

anvergură, de ansamblu, holistic, strategic, integrator, unitar și de

corelare a deciziilor și acțiunii umane colective.

Adaptarea la tehnologiile emergente

Securitatea cibernetică devine un ecosistem complex, bazat

pe organizare (relativ) deschisă, democratică, construit pe premise

de încredere reciprocă, cu aplicabilitate și responsabilizare generală,

49 / 139

cu principii directoare ferme și cu adaptare individuală conform

necesităților contextului de securitate local.

În plus față de tehnologiile IT&C și OT, există o serie de evoluții

actuale și anticipări în spectrul tehnologic extins care trebuie luate în

calcul și tratate cu atenție, din perspectiva securității cibernetice,

întrucât vor fi prezente în toate aspectele vieții noastre, însoțind

procesul evoluției umane și influențând echilibrul mediului în care

trăim. Aflându-ne încă la începutul ciclului de viață al tehnologiilor

emergente, este de dorit să beneficiem de oportunitatea de a

implementa mentalități și mecanisme de securitate încă din stadiile

de cercetare, de concept și de design.

Tehnologii precum inteligența artificială, automatizarea și

autonomizarea, sisteme cibernetic-fizice, Big Data, 5G, realitatea

virtuală și augmentată, Internet of Things (și alte registre întregi de

astfel de concepte de rețele masive de dispozitive interconectate,

care formează Internet of Everything), conceptele de ecosisteme de

tip Smart (Home, City, Mobility, Nation, s.a.), tehnologia de

computație cuantică, spectrul de digitizare/ digitalizare/ transformare

digitală, biometria, bioingineria, dezvoltarea de infrastructuri de

procesare computațională, comunicațiile satelitare, explorarea

mediului aero-spațial, și multe altele – vor redesena substanțial

peisajul în care trăim.

Securitatea cibernetică are nevoie să fie parte integrantă din

acest proces de revoluție industrială, imprimând cele mai bune

practici și decizii în ciclul de viață al tehnologiei. Dincolo de reperele

palpabile/ inteligibile pentru protecția tehnologiilor IT&C și OT,

securitatea cibernetică extinsă la nivelul întregului spectru tehnologic

devine un fenomen care necesită înțelegere și gestiune atentă,

permanent.

Căile și modalitățile prin care tehnologia este exploatată și

întoarce în buclă de feedback influențe asupra omului și asupra

naturii, fac parte dintr-un proces amplu, natural, care depășește cu

mult limitele specializărilor de inginerie și informatică, fiind abundent

în nuanțe de științe umane și naturale. Decizia, managementul,

controlul, psihologia, sociologia, medicina, dreptul, s.a. sunt pârghii

care contribuie din plin la dezvoltarea capacității de control (în sensul

de înțelegere și gestionare corespunzătoare) asupra tehnologiei.

50 / 139

În prezent deja, tehnologia reprezintă un mod de viață, este un

partener de drum al omului, în procesul evoluției sale. Avem nevoie

să ne asigurăm că înțelegem în mod corespunzător fenomenul

tehnologic și că implementăm cele mai bune măsuri de securitate,

care să vină în sprijinul menținerii sănătății noastre și a mediului

înconjurător, și care facilitează creșterea și evoluția vieții.

Elemente de protejat

Înțelegând amploarea și complexitatea securității cibernetice,

putem trece în revistă în mod concis obiectivele pe care aceasta le

are de protejat și/sau de gestionat (fără să respecte o anumită ordine

de priorități), după cum urmează:

- Datele și informațiile în format electronic, în toate formele de

existență și valorificare (incluzând elaborarea, editarea, stocarea,

utilizarea, transmiterea, distrugerea);

- Oamenii, din toate punctele de vedere posibile (incluzând

sănătatea, securitatea, siguranța, condițiile de viață și de

evoluție);

- Tehnologia, ca bun material și ca facilitator pentru îndeplinirea

unor funcționalități (în condiții de înaltă performanță și calitate);

- Serviciile și operațiunile curente/ business-as-usual (care

utilizează tehnologia, pentru asigurarea îndeplinirii unor

funcționalități);

- Procese de organizare umană colectivă (organizațională,

socială), în care este implicată utilizarea/ exploatarea tehnologică;

- Resursele financiare, valorile, bunurile care pot fi afectate prin

intervenția tehnologiei;

- Obiective abstracte, precum imaginea, reputația, încrederea;

- Efectele colaterale pe care tehnologia le aduce asupra omului și

asupra naturii, în buclă de feedback (incluzând aspecte referitoare

la etică, psihologie, sociologie, naturalism, drept, s.a.).

Securitatea cibernetică aplicată (cu toate adaptările și

actualizările ei, referitoare la domeniile IT&C, OT și al tehnologiilor

emergente) are în vedere asigurarea condițiilor de securitate,

siguranță, reziliență și performanță a tuturor tehnologiilor materiale,

pe care noi le folosim pentru a modela lumea fizică și spațiul

cibernetic-fizic. Protejarea obiectivelor sus menționate se realizează

51 / 139

în baza analizelor de risc, cu luarea în considerare a unei ordini de

criticitate și a unei priorități care să asigure implementarea echilibrată

a condițiilor de securitate și utilizarea optimă a resurselor disponibile.

Eroarea de concept

Termenul de securitate cibernetică descrie, în esența lui, un

domeniu amplu. Mult prea amplu, comparativ cu domeniul căruia îi

este atribuit în mod practic.

Ștefan Odobleja a publicat în 1938 și 1939 lucrarea

enciclopedică denumită Psihologia consonantistă, care este

considerată drept teoria generalizată a ciberneticii. În aceasta, autorul

descrie o serie extinsă de procese/ fenomene naturale, cu dinamica

lor internă și cu relațiile lor de comunicare cu mediul exterior.

Norbert Wiener a publicat în 1948 lucrarea denumită

Cibernetica sau Știința comenzii și comunicării la ființe și mașini, prin

care pune bazele domeniului aplicat al ciberneticii, în forma

cunoscută astăzi. În aceasta, autorul descrie repere de control,

recursivitate și informații la nivelul sistemelor și organismelor

funcționale autonome.

În reperele etimologice, termenul cibernetică provine din limba

greacă, de la κυβερνητικός (kubernētikós, care înseamnă bun

conducător), fiind folosit ulterior și în limba franceză ca

cybernétique (care înseamnă arta de a guverna).

În engleză, este folosit în mod frecvent termenul cyber (ca

prescurtare de la cybernetics) pentru a face referire la tehnologiile

digitale, electronice, la domeniul IT&C, la mediul Internet și la spațiul

virtual creat de tehnologia informațională. Acesta a fost consacrat

inclusiv pentru conceptualizarea securității cibernetice

(cybersecurity), reprezentând domeniul referit în lucrarea de față ca

fiind securitatea cibernetică generală (adică cea care protejează, în

principal, contextul tehnologiei informaționale/ IT&C).

Termenul cibernetic (sau cyber/ cybernetic) este adaptat și

preluat în nenumărate forme – mai mult sau mai puțin sincronizate cu

înțelesul de bază al termenului – umplând un spațiu de marketing

pentru tehnologia actuală, de concepte futuriste pentru domeniul

științifico-fantastic sau de prognoze de viitor. (De exemplu, în

52 / 139

domeniul roboticii SF găsim forma de cyborg, care provine din

cybernetic + organism, denotând astfel organismele cibernetice).

---o---

Termenul de cyber folosit astăzi este o prescurtare injustă a

termenului cybernetics. Face referire la un domeniu mult prea nișat

(spațiul virtual creat de tehnologiile IT&C) comparativ cu înțelesul de

bază pe care îl poartă noțiunea inițială. În era tehnologică recentă

(adică de când au apărut instrumentele computaționale

informaționale) s-a produs o eroare de concept, limitând pe nedrept

înțelesul termenului de cibernetică/ cyber.

Tehnologia informației este o nișă a domeniului tehnologic de

ansamblu; la rândul lui, domeniul tehnologic este doar o componentă

a ciberneticii. Pentru că cibernetica conține atât repere de tehnologie,

cât și de analiză procesuală/ fenomenologică (conținută în științele

umane și naturale).

Prin urmare, securitatea informației este inclusă în securitatea

tehnologică (IT&C, OT, tehnologii emergente), care mai departe este

inclusă în securitatea cibernetică (tehnologie + științe umane + științe

naturale). Securitatea cibernetică este cea mai complexă formă de

protecție în context tehnologic, luând în considerare atât aspectele

aplicate (care formează actualul înțeles și actuala industrie de

securitate cibernetică – orientate în jurul tehnologiei informaționale și

îmbrăcate cu o puternică nuanță de marketing), cât și aspectele

colaterale/ complementare, care țin de interacțiunea cu tehnologia,

respectiv de influențele/ efectele pe care tehnologia le aduce asupra

omului și asupra naturii.

---o---

Securitatea cibernetică trebuie să le cuprindă pe toate. În

prezenta secțiunea cărții (denumită Securitatea cibernetică aplicată)

vorbim despre aspectele clasice/ uzuale ale securității cibernetice,

așa cum o înțelegem astăzi, nuanțând necesitățile de adaptare

practică. În următoarea secțiune, denumită Securitatea cibernetică

complementară, vom vorbi despre reperele care descriu

fenomenologia tehnologiei în context de modelare a omului și a

mediului, ca urmare a prezenței și utilizării acesteia în viețile noastre.

53 / 139

VII. Organizarea

Riscuri și incidente

Fiecare domeniu are o perspectivă proprie prin care putem

privi riscurile și incidentele ce pot afecta condițiile de securitate, de

siguranță și de bună funcționare a conținuturilor domeniului respectiv.

Are o abordare proprie privind necesitățile de management al

riscurilor și al incidentelor, propria expertiză și însumare de bune

practici acumulate de-a lungul timpului, care au adus o contribuție

semnificativă la îmbunătățirea vieții, la consolidarea echilibrului și la

asigurarea condițiilor care facilitează evoluția.

Vorbeam, în capitolele de început, despre diferențele dintre

mediul fizic și mediul virtual, punctând în mod deosebit pe calitatea

de măsurabilitate a primului și pe gradul ridicat de diversitate și

scalabilitate al celui de-al doilea. Conținuturile din mediul fizic sunt

relativ ușor observabile, măsurabile, trasabile, cuantificabile și

contabilizabile, în timp ce mediul virtual introduce amploare,

amplificare, incertitudine, anonimizare, interconectare, sincronizare

multi-spațială, și lipsă (parțială sau totală) de multe din caracteristicile

mediului fizic (adică lipsă de cuantificare, de trasabilitate, de

transparență, de înțelegere, de control).

Mediul virtual atrage după sine și o dificultate în percepție și

înțelegere, datorată dificultății noastre de a pătrunde și de a gestiona

în mod susținut tainele abstractului. Suntem încă dependenți de

mărturiile lumii fizice, în procesul nostru decizional, gândind – eronat

– că ce nu se vede nu există.

Din păcate pentru noi, riscurile și incidentele cibernetice pot

genera efecte complexe atât în mediul virtual, cât și în mediul fizic,

motiv pentru care alegem să referim mai degrabă spațiul cibernetic-

fizic, atunci când vorbim de securitatea cibernetică. Spațiul virtual

adaugă presiune asupra nevoii noastre de securitate, cumulând și

amplificând disproporționat spectrul de riscuri și incidente la care ne

expunem, prin crearea și utilizarea tehnologiilor noastre avansate.

---o---

Ca descriere sumară (cea extinsă fiind regăsibilă în

documentații/ ghiduri referitoare la managementul riscurilor și

54 / 139

incidentelor, din literatura de specialitate), avem în vedere că riscurile

sunt probabilitatea ca o amenințare să exploateze o vulnerabilitate.

Iar incidentele sunt riscuri materializate, sub acțiunea unor factori

(singulari sau în cumul).

Vulnerabilitatea este o variabilă internă, o slăbiciune proprie

sau de interacțiune, un reper care ține de domeniul siguranței (deci

presupune lipsa intenției) și intră în responsabilitatea și în controlul

proprii. Poate consta în: cercetări și studii eronate, design și

proiectare defectuoase, producție și dezvoltare imperfectă/

neglijentă, instalare, configurare și setare necorespunzătoare,

interconectare deschisă și neprotejată, finalizare/ casare/ distrugere

neglijentă sau necorespunzătoare.

Totodată, vulnerabilități pot reprezenta și: slaba pregătire

umană în specialitate, lipsa conștientizării, lipsa procedurilor

organizaționale, lipsa reglementărilor și politicilor, managementul

defectuos, lipsa resurselor umane sau pierderea motivației acestora,

lipsa resurselor materiale și financiare, lipsa investițiilor, lipsa

colaborării și sincronizării, s.a.

Amenințarea este un factor extern, prin intervenția căruia pot

fi produse perturbări sau distrugeri. Depășește capacitatea de control

proprie, și predispune la incertitudine și imprevizibilitate. Este un

domeniu care ține de domeniul securității (deci presupune

intenționalitate), fiind caracterizat de acțiune/ manifestare

direcționată. Poate consta în posibilități de: acces neautorizat,

interceptare, modificare/ alterare, ștergere/distrugere a conținutului,

provocare de daune și distrugeri materiale, imagologice sau psihice,

acțiunea din interior, manifestarea hazardului, s.a.

Categoriile macro de amenințări cibernetice sunt reprezentate

de:

- criminalitatea informatică: actori restrânși, cu scopuri individuale;

- terorismul cibernetic și hacktivismul: actori restrânși, cu scopuri

colective;

- spionajul cibernetic: actori colectivi/ statali, cu scopuri colective/

statale;

- războiul cibernetic: actori statali, cu scopuri statale.

Riscurile presupun probabilitatea ca o amenințare să

exploateze o vulnerabilitate. Materializarea riscurilor (adică atunci

55 / 139

când probabilitatea devine certitudine/ realitate) generează

incidentele cibernetice. Incidentele produse cu intenție sunt atacuri;

cele produse ca urmare a unei acțiuni umane neintenționate sunt

accidente; iar cele generate ca urmare a hazardului sunt întâmplări.

În practică, tindem să oferim mai multă atenție unora,

neglijându-le pe altele. Însă, toate sunt la fel de importante, fiind

necesar să tratăm în mod cuprinzător analizele de risc, să stabilim

corect nivelurile de criticitate (ale obiectivelor de protejat), să estimăm

realist impactul scontat, să stabilim ordinea de priorități pentru

asigurarea protecției și să ne asumăm căile de tratare a riscurilor.

---o---

Ideal vorbind, în lipsa amenințărilor, vulnerabilitățile s-ar afla în

așteptarea unui declanșator care să le transforme în surse

generatoare de perturbații și distrugere. Totodată, în lipsa

vulnerabilităților, amenințările devin derizorii, incapabile să producă

vreun rău asupra unor obiective care sunt complet securizate, imune.

Însă acestea sunt simple idealuri, care nu vor fi atinse vreodată;

oricâte măsuri de protecție am lua, nu vom ajunge niciodată la un

nivel total de protecție, de invulnerabilitate; dar, în egală măsură, nici

nu ne putem permite să neglijăm responsabilitatea de a lua toate

măsurile care se impun pentru asigurarea unui nivel de protecție

corespunzător.

În final, dezideratul este de a gestiona într-un mod creativ și

eficient riscurile, căutând să luăm cele mai potrivite măsuri care să ne

asigure un nivel de securitate optim. Când sunt prea puține, sunt

insuficiente, iar când sunt prea multe, pot fi ineficiente. Securitatea

cibernetică se realizează pe o fundație de principii și direcții/ șabloane

de bază, și se adaptează conform necesităților punctuale/ locale/

contextuale, prin gândire și soluții particularizate.

Gândirea strategică

Pentru a putea pune în operă cele mai potrivite măsuri de

prevenție și contracarare a materializării riscurilor, avem nevoie să

înțelegem gândirea/ mentalitățile/ comportamentele/ căile de

desfășurare a incidentelor.

56 / 139

Incidentele născute din lipsa intenționalității (întâmplări sau

accidente) impun asumarea corespunzătoare a responsabilității

oamenilor. Pentru a evita manifestarea incidentelor de acest tip,

avem nevoie să devenim conștienți de vulnerabilitățile create de noi

sau cu care putem intra în contact, prin interacțiunea cu tehnologia.

O înțelegere corectă cu privire la funcționarea tehnologiei pe care o

folosim conduce la creșterea consistentă a gradului de prevenție, prin

modelarea atitudinilor și comportamentelor cu care alegem să ne

organizăm mediul în care ne mișcăm.

Prin antrenarea mentalității și dezvoltarea imaginației, învățăm

să privim cu ochii minții procesele de fundal, care sunt desfășurate

pentru funcționarea tehnologiei, devenind capabili să distingem între

riscurile care predispun la accidente de cele care predispun la atacuri

cibernetice.

Atacurile cibernetice, în schimb, urmează un traseu care, de

cele mai multe ori, poate fi transpus într-un șablon și urmărit ca atare.

Există o constatare în mediul de specialitate al securității cibernetice,

care menționează că modul de acțiune al atacatorilor (deci, TTPs)

este același; cu trecerea timpului, doar mijloacele și instrumentele

diferă. Prin urmare, cu cât reușim să înțelegem mai profund

psihologia atacatorilor, cu atât vom deveni mai capabili să protejăm

lanțul de atac (calea/ etapele de pătrundere și de exploatare

neautorizată a sistemelor tehnologice).

Ca orice rezolvator de probleme, atacatorul caută cea mai

facilă modalitate prin care să își poată atinge scopurile. Înainte de

toate, desfășoară activități de cercetare și recunoaștere contextuală,

pentru a identifica punctele vulnerabile, de acces la sisteme. O dată

dobândit accesul neautorizat, caută calea internă care dispune de

rezistența cea mai mică la înaintare, realizează mișcări laterale,

salturi peste niveluri de acces și protecție, până când ajunge la

nucleu/ la core (în locația de unde poate dispune de drepturile de

acces și de vizibilitatea cea mai mare, potrivite scopurilor sale).

În funcție de nuanța atacurilor, autorii acestora încearcă să

deruleze activitățile într-un mod cât mai transparent și insesizabil,

astfel încât să nu fie descoperiți și opriți de mecanismele

automatizate de detecție sau de vigilența analiștilor tehnici/ a

investigatorilor care realizează vânătoarea de amenințări (threat

57 / 139

hunting). Și, evident, îi mai poate interesa (dar nu este valabil

întotdeauna) să și șteargă urmele activităților, atunci când se retrag

din sistemele exploatate.

Practic, diversitatea atacurilor este limitată doar de capacitățile

creative ale autorilor și de nuanțele scopurilor pentru care le

desfășoară. Dar mentalitatea de acțiune este trasabilă, încadrabilă în

șabloane, stereotipizabilă. (Aceste repere de mentalitate – a

hackerilor – pot fi înțelese în detaliu, prin prisma explorării domeniului

psihologiei cibernetice.)

---o---

Avem nevoie să gândim strategic, să intrăm în stadiul de

observatori și să ne imaginăm toate posibilitățile de materializare a

riscurilor, pentru a fi cu un pas înaintea incidentelor, a le preveni și a

pregăti un răspuns prompt la acestea. Securitatea cibernetică se

obține prin implementarea unei gândiri strategice coerente, cu

organizare eficientă și cu un cumul de măsuri proactive, reactive și

integrative, asumate în mod individual și corelate/ sincronizate la nivel

de ecosistem.

Activități

Pentru asigurarea securității cibernetice aplicate, este

necesară desfășurarea unei serii extinse de activități, atât tehnice, cât

și non-tehnice, care să permită gestionarea corespunzătoare a

riscurilor specifice. Tehnologia este un fenomen al vieților noastre,

care comportă multiple fațete sociale și naturale, dincolo de aspectele

tehnice/ funcționale/ inginerești.

Astfel, activitățile care generează cel mai mare grad de

eficiență în scopul securității cibernetice pot fi încadrate într-o serie

de categorii/ arii de funcționalitate instituțională și organizațională,

cum ar fi: guvernanța și organizarea strategică, reglementarea,

standardizarea, procedurarea, dezvoltarea capabilităților,

dezvoltarea culturii, a educației și a pregătirii, cooperarea națională și

internațională, cercetarea și adaptarea la condițiile de evoluție a

contextului tehnologic și social, gestionarea resurselor, a rolurilor și a

responsabilităților, s.a.

---o---

58 / 139

Reperele de guvernanță descriu principalul flux (ierarhic și

orizontal) de comunicare inter-instituțională/ inter-organizațională la

nivel industrial, național și internațional, în ceea ce privește

asigurarea securității cibernetice. Principalele linii de guvernanță, în

acest sens, presupun respectarea unor necesități de

responsabilizare și de acțiune, care au rolul de a fluidiza și sincroniza

interacțiunile, în scopul obținerii unei eficiențe comune/ uniforme a

măsurilor luate. Acestea includ:

- Asumarea responsabilității individuale (la nivelul fiecărei

organizații), privind asigurarea securității cibernetice a

infrastructurilor tehnologice exploatate.

- Integrarea/ corelarea capabilităților de prevenire, monitorizare,

detecție, analiză și management al incidentelor. Acolo unde nu

este posibil managementul integrat, este necesară cel puțin

monitorizarea unitară a acestui proces, pentru cunoașterea

situațională corelată și pentru coordonarea reciprocă.

- Intermedierea și facilitarea, prin entități-nod, a cooperării și a

acțiunilor de securitate cibernetică, la nivel intra-, inter- și extra-

sectorial/ industrial.

Entitățile-nod (ex. entitățile de tip CERT), trebuie să fie

organizate în structură arborescentă la nivel național și internațional,

pentru a asigura integrarea și comunicarea informațională, și să

respecte cerințele de neutralitate în interacțiunile de tip comercial,

pentru a evita dobândirea unui monopol asupra concurenților/

partenerilor din sectorul de activitate.

Autoritățile industriale/ naționale/ internaționale dispun de

premisele optime pentru a fi definite și dezvoltate ca entități-nod,

întrucât pot asigura – prin natura lor – respectarea necesităților de

neutralitate la nivel industrial, și pot eficientiza procesele de

reglementare și monitorizare a conformității, la nivelul industriei/

domeniului aflate în responsabilitate.

---o---

Pentru asigurarea unei bune guvernanțe globale, este

necesară dezvoltarea conceptuală a securității cibernetice aplicate,

în două direcții: i) un domeniu general și ii) multiple domenii

specializate/ industriale (prin adaptarea la domeniile specifice de

activitate).

59 / 139

Reglementările generale și specifice nu trebuie să se excludă

reciproc, ci să se completeze (să fie mutual compensatorii). În

securitatea cibernetică, lacunele legislative devin problematice

(întrucât creează puncte singulare de vulnerabilitate; zale slabe), în

timp ce suprapunerile/ dublările sunt gestionabile, prin asimilare și

echivalare (mulțumită flexibilității, maleabilității și scalabilității de care

dispune domeniul, în sine). Este de preferat ca măsurile să fie luate

în exces, decât, insuficient.

Reglementările trebuie să prevadă securizarea tuturor

obiectivelor de protejat, să asigure un echilibru în relația producție-

consum a tehnologiei și să faciliteze dezvoltarea armonioasă a

acesteia. Trebuie să traseze principii de dezvoltare care să asigure

condițiile de securitate, siguranță și sănătate a oamenilor și a naturii

în raport cu tehnologia, să creeze obligativitatea stabilirii concrete de

responsabilități instituționale, și să faciliteze deciziile de finanțare și

dezvoltare corespunzătoare (în infrastructură, tehnologie, resurse

umane, standardizare, normare, pregătire, cercetare-dezvoltare-

inovare).

---o---

Cerințele de securitate cibernetică sunt respectate prin

implementarea măsurilor corespunzătoare – care, la rândul lor, sunt

dependente de existența și gestionarea atentă a resurselor umane,

tehnice și financiare (și, evident, a oricăror alte tipuri de resurse, care

vin în completarea acestora). Oamenii, tehnologia și finanțele

formează un trio indispensabil pentru dobândirea și menținerea pe

termen lung a unui nivel optim de securitate cibernetică, aflându-se

într-o relație de interdependență și echilibru reciproc. Gestionate

corespunzător, devin capabilități valoroase și performante; neglijate,

lasă loc riscurilor să prolifereze.

Oamenii bine pregătiți și motivați își valorifică capacitățile

creative pentru a identifica și a implementa cele mai bune viziuni și

soluții de securitate cibernetică. Tehnologia potrivită și corespunzător

configurată (și adaptată, în cazul soluțiilor proprii/ in-house)

funcționează la parametri de performanță ridicați și îndeplinește în

mod țintit scopurile de securitate cibernetică. Și, în egală măsură,

existența și utilizarea fondurilor financiare pentru facilitarea creșterii

capabilităților și motivației umane, respectiv pentru dezvoltarea

60 / 139

capabilităților tehnice, face posibilă îndeplinirea cerințelor de

securitate cibernetică. Fără oricare dintre aceste trei condiționalități,

capacitatea de protecție în fața riscurilor tinde să fie nulă.

---o---

Implementarea și integrarea mecanismelor de securitate

cibernetică necesită un grad ridicat de cooperare tehnică (schimb de

informații tehnice, raportare de incidente, consultări reciproce privind

implementarea și adaptarea măsurilor de securitate cibernetică,

sincronizarea răspunsului la incidente, s.a.) și non-tehnică (în

cercetare-dezvoltare-inovare, în management, în procesele

decizionale, sincronizarea civil-militară, s.a.), atât în interiorul

organizațiilor, cât și la nivel industrial, național și internațional.

Spre îndeplinirea necesităților de sincronizare, cooperarea și

coordonarea se realizează prin intermediul comunităților (tehnice, de

cercetare, academice, decizionale, politice, etc.) dedicate scopurilor

de securitate cibernetică, și al unor formate de lucru care permit

schimbul de informații, de cunoaștere, de experiență și de bune

practici.

Cooperarea în securitatea cibernetică este dependentă de

menținerea încrederii reciproce (mai ales în situațiile de comunicare

a informațiilor tehnice), precum și de agilitate în acțiune și în decizie.

Stabilirea unui cadru eficient de relaționare/ cooperare/ colaborare/

coordonare inter-instituțională facilitează depășirea cu succes a

provocărilor de securitate cibernetică și – în situațiile ideale – asigură

reziliența de ansamblu a ecosistemului tehnologic și industrial în fața

riscurilor aferente.

---o---

Activitățile de cercetare sunt indispensabile industriei

securității cibernetice și societății tehnologizate, atât din perspectiva

asigurării unui nivel optim de protecție în fața riscurilor cibernetice,

cât și pentru menținerea unui grad ridicat de deschidere și adaptare

la provocările generate de evoluția tehnologică și socială.

Soluțiile de securitate cibernetică pot fi produse în masă și, în

egală măsură, pot fi dezvoltate în mod particularizat pentru

satisfacerea unor nevoi punctuale, locale. Este necesară adoptarea

unor perspective, mentalități și mecanisme de adaptare, de

cercetare-dezvoltare-inovare, care să asigure menținerea în stare

61 / 139

actualizată a înțelegerii și a capabilităților de prevenire și contracarare

a riscurilor de securitate cibernetică, la nivel individual și de

ecosistem.

Procesele de actualizare conceptuală și tehnologică sunt

dependente de mijloace de facilitare și stimulare a cooperării în

interiorul domeniului securității cibernetice și în exterior, cu industriile

tehnologice digitale și emergente, cu celelalte industrii și domenii de

specialitate, cu mediul academic, respectiv cu oricare alte tipuri de

instituții și organizații cointeresate.

VIII. Capabilitățile

Echilibrul de capabilități

Pentru asigurarea și menținerea securității cibernetice este

nevoie deopotrivă de implementarea și valorificarea corespunzătoare

a unor capabilități tehnice dedicate, precum și de direcționarea

conștientă a deciziilor și acțiunilor umane. Cele două se

condiționează reciproc; în lipsa oricăreia dintre ele, eforturile de

securitate cibernetică sunt zădărnicite, indiferent cât de bine ar fi puse

în practică.

Capabilități umane

Omul este zaua cea mai slabă din lanțul măsurilor de

securitate cibernetică. Pentru a construi o arhitectură de securitate

cibernetică adaptată necesităților reale, este nevoie atât de

cunoaștere și expertiză, cât și de o capacitate ridicată de a înțelege

substraturile de funcționare a tehnologiei și de a modela, reprezenta

și reproduce viziunea abstractă asupra spațiului cibernetic-fizic.

Totodată, chiar dacă arhitectura tehnică implementată dispune

de un nivel ridicat de automatizare, tot este nevoie de contribuțiile

omului pentru a valida conținuturile gestionate de sistemele tehnice

și pentru a completa cu eforturi permanente de urmărire a ultimelor

vulnerabilități și amenințări (adică, de threat hunting), dincolo de

limitele de competență ale tehnologiei. Iar, în final, mai este necesară

62 / 139

și voința pozitivă a omului, în lipsa căreia se pot naște inacțiuni,

acțiuni distructive neintenționate, respectiv acțiuni distructive

intenționate, care pot iniția, intermedia, facilita sau conduce la

derularea de incidente cibernetice.

---o---

Realitatea înconjurătoare – descrisă fie de mediul fizic, fie de

spațiul cibernetic-fizic – este condiționată de deciziile și de acțiunile/

inacțiunile umane, în principal. Nu ne putem aștepta ca tehnologia să

rezolve de la sine probleme pe care noi nu ni le asumăm. Tehnologia

este un instrument, un ajutor, o extensie a omului în exteriorul său,

care pune în implementare voința și viziunea umană. Direcționarea

evenimentelor decurge în primul rând din decizia umană.

Tehnologia este o creație a noastră, care dispune – în mod

firesc – de un nivel inferior de autonomie și libertate de mișcare,

comparativ cu omul. Prin simpla prezență a omului pot fi zădărnicite

eforturi și capabilități tehnice implementate cu migală, cu consum

ridicat de energie. Dar este de preferat ca acest raport de

superioritate a omului asupra propriei creații să se mențină ca atare,

de-a lungul evoluției vieții; inversarea balanței de control în favoarea

tehnologiei ne-ar fi nu tocmai utilă (ca să fim optimiști în exprimare).

Pentru asigurarea funcționării în condiții de echilibru a

tehnologiei și pentru menținerea capacității de control asupra

acesteia, avem nevoie să deținem un nivel rezonabil de

conștientizare tehnologică (generală), să dispunem de cunoaștere

specializată privind producția, operaționalizarea și securitatea

tehnologică, și să valorificăm pârghiile potrivite pentru direcționarea

în sens constructiv a voinței și deciziilor umane (contracarând, în

principal, riscul amenințărilor provenite din interior).

---o---

Oamenii (populația, utilizatorii, în general) au nevoie să dețină

cultură tehnologică, să înțeleagă cum funcționează tehnologia – în

procesele ei de fundal, în interacțiunea cu omul și cu mediul în care

se desfășoară – pentru a putea percepe riscurile firești pe care

aceasta le poate presupune. În lipsa unei culturi de bază, a unei

mentalități de tip ingineresc, oamenii sunt privați complet de

înțelegerea implicațiilor tehnologiei și a modalității de desfășurare a

incidentelor cibernetice; pentru ei, tehnologia este o cutie neagră cu

63 / 139

care interacționează în necunoștință de cauză, în orb, în baza unei

încrederi fără fundație.

---o---

În lipsa conștiinței tehnologice, oamenii sunt privați de

libertatea de decizie și acțiune, lăsându-se purtați – involuntar – de

inerția tehnologiei și a conținuturilor inconștiente imprimate prin

deciziile colective (de dezvoltare și de gestionare a vieții umane –

individuale și sociale). Întorcându-ne la principiile enunțate în

capitolele anterioare, ne reamintim că lipsa conștiinței nu implică în

mod automat și lipsa fenomenelor, a realității. Faptul că nu știm că

ceva se întâmplă, nu ne privează de urmările pe care acel ceva le

generează în viețile noastre și în mediul în care trăim.

Conștientizarea trebuie făcută cu prioritate la nivelurile

decizionale (organizaționale, industriale, naționale, internaționale) și

la nivelul utilizatorilor generali, care nu dețin specializări și cunoaștere

tehnologică. Decizionalii sunt esențiali pentru propagarea dispozițiilor

și facilitarea măsurilor de securitate cibernetică, în timp ce utilizatorii

sunt indispensabili pentru respectarea acestora (caracter acțional

proactiv) și evitarea neglijențelor (caracter acțional pasiv).

---o---

Dezvoltarea și implementarea unui cadru corespunzător

(uniform, instituționalizat) de securitate cibernetică se realizează cu

ajutorul atât a specialiștilor care dețin cunoaștere, abilități și

competențe (KSA – Knowledge, Skills, Abilities) în domeniul dedicat

al securității cibernetice, cât și prin intermediul celor care asigură

producția, configurarea și operaționalizarea tehnologiilor (IT&C, OT,

emergente). Funcționarea tehnologiei în parametri de siguranță și

securitate presupune eforturi consistente ale responsabililor care

gestionează toate etapele ciclului de viață tehnologic.

Dobândirea specializărilor se realizează prin ample procese

educaționale și de instruire, precum și prin testarea și exersarea

capacității de valorificare a KSA-urilor, de adaptare a acestora la

necesitățile operaționale și de sincronizare/ colaborare în scopul

integrării eforturilor și eficientizării acțiunilor.

Specializările presupun cunoașterea în profunzime a

tehnologiei, înțelegerea modalității ei de funcționare și vizualizarea

abstractă. Metaforic vorbind, specializările tehnologice sunt similare

64 / 139

unei limbi străine; reprezintă cunoașterea și capacitatea omului de a

vorbi în limba tehnologică/ mașinică, de a înțelege activitățile și

dinamica din mediul electronic hardware și software, de a percepe

evenimentele normale/ regulate și pe cele cibernetice, de a extrage

meta-informații și înțelegeri, și de a lua deciziile potrivite pentru

asigurarea bunei funcționări a tehnologiei.

Pe cât de profund este caracterul de cutie neagră, al

tehnologiei, în percepția necunoscătorilor, pe atât de evident este cel

de cutie transparentă, în percepția specialiștilor. Orice proces sau

tehnologie funcțională își datorează stabilitatea și performanța, unei

munci meticuloase, depuse de un număr mare de oameni, de-a

lungul întregului ciclu de viață tehnologic (inclusiv în etapa de utilizare

și valorificare, pentru că utilizatorul final ajunge să fie atât beneficiar,

cât și contribuitor cu elemente de feedback, la procesul de recalibrare

și actualizare a versiunilor).

Nimic din tot ce produce omul nu a deprins de la sine

capacitatea de manifestare în condiții de echilibru, ci printr-o atentă

implementare aflată în controlul omului. Chiar și algoritmii de

inteligență artificială care creează și dezvoltă conținuturi secundare

în condiții reale sau aparente de autonomie, au în structura lor un

echilibru imprimat de om, un echilibru născut din inteligența umană/

naturală. O formă de trasabilitate și responsabilitate există în toate

acțiunile noastre umane.

---o---

La nivel organizațional (și, implicit, în structură piramidală, la

nivel industrial, național și internațional) – acolo unde sunt utilizate

tehnologii – este imperativ necesar să fie asigurate atât administrarea

și exploatarea IT&C și OT, cât și securitatea cibernetică. În funcție de

posibilități și de specificul impus prin reglementări, această asigurare

a serviciilor de funcționalitate în condiții de siguranță și securitate,

poate fi realizată cu specialiști proprii sau externi.

Iar la formarea structurilor și la alocarea responsabilităților,

este important să existe toate aceste funcționalități (operaționalizare

+ securitate) și să fie atribuite în mod distinct și necomasabil.

Structurile și responsabilii de securitate cibernetică se ocupă strict cu

securitatea cibernetică; structurile și responsabilii de

operaționalizare, strict doar cu operaționalizarea funcțională.

65 / 139

Comasarea responsabilităților produce mai mult rău decât bine:

creează suprasaturație, conducând la zădărnicirea oricăror eforturi

de asigurare atât a funcționalității, cât și a securității.

În contrapondere, toate aceste structuri și capabilități umane

tehnice trebuie aduse într-un context de colaborare fructuoasă. Cu

cât cooperarea și coordonarea reciprocă sunt mai fluente, mai

naturale, cu atât prevenția și răspunsul la incidentele cibernetice sunt

mai rapide, mai sincronizate și mai eficiente.

---o---

Asigurarea securității cibernetice se realizează prin două tipuri

de activități (detaliate în capitolul Activități): tehnice și non-tehnice.

Cele tehnice țin de managementul echipamentelor și capabilităților

tehnologice. Cele non-tehnice țin de managementul procedural, de

strategii și politici, de reglementări și de transpunerea dinamicii

tehnologice în termeni umani, inteligibili.

Aceste două categorii necesită o reprezentativitate

corespunzătoare la nivelul structurilor și responsabilităților de

securitate cibernetică, astfel încât să permită gestionarea

cuprinzătoare a riscurilor și să dispună de echilibru în încărcarea cu

sarcini.

---o---

Specializările de securitate cibernetică trebuie definite

conceptual, în baza unor matrice de cunoaștere, abilități, competențe,

roluri și responsabilități, și integrate ca șabloane în registrele cu

calificări, ocupații și profesii, la nivel național.

Definirea unui set generic de specializări de securitate

cibernetică facilitează dezvoltarea industrială, managementul

organizațional al resurselor umane (în procesele de recrutare,

retenție, creștere/ specializare, motivare, dezvoltarea carierei),

gestionarea eforturilor de creștere a culturii, educației și pregătirii, și

certificarea competențelor în domeniu.

---o---

Cooperarea și schimbul de informații sunt vitale pentru

menținerea condițiilor de înaltă responsivitate, a capabilităților de

prevenție și reacție la incidente. Dezvoltarea și participarea activă în

cadrul comunităților dedicate (de specialiști tehnici, non-tehnici,

66 / 139

manageriali, decizionali, etc.) permite gestionarea unitară a riscurilor

de securitate cibernetică, eliminarea zalelor slabe și alinierea/

sincronizarea capabilităților deținute.

Comunitățile permit dezvoltarea reciprocă, dincolo de rațiunile

de competitivitate și concurență în liniile de business. Riscurile

cibernetice depășesc capacitatea individuală de răspuns, obligând

organizațiile să coopereze uniform, integrat, la nivel industrial,

național și internațional. Securitatea cibernetică dezvoltă percepția și

conștiința apartenenței individului la un organism/ ecosistem cu

organizare superioară, a dependenței dinamicii proprii față de

echilibrul mediului care susține funcționarea/ viața. Globalizarea și

nivelul ridicat de complexitate și interconectare al tehnologiei unesc

și responsabilizează indivizii și organizațiile spre atingerea unui scop

comun: securitatea (cibernetică) comunitară.

Capabilități tehnologice

Există documentații întregi, standarde, ghiduri, proceduri,

recomandări privind măsurile tehnice care pot fi puse în aplicare

pentru asigurarea securității cibernetice. Forumuri de experți

documentează – permanent – necesitățile de adaptare la evoluția

tipurilor de tehnologii și caută să eficientizeze permanent

metodologiile aplicate.

Într-o perspectivă de ansamblu, este nevoie să înțelegem

câteva principii de bază pe care le avem de urmărit, ca scopuri/

idealuri de implementare și funcționare a mecanismelor de securitate

cibernetică în infrastructurile pe care le protejăm.

---o---

Automatizare și threat hunting. Este ideal să automatizăm

mecanismele de monitorizare, detecție și răspuns rapid la incidentele

de securitate cibernetică. Orice acțiune care poate fi automatizată,

trebuie inclusă în acest calup de capabilități autonome și să ruleze în

grija unor algoritmi de urmărire liniari și/sau comportamentali, astfel

încât să asigurăm descoperirea pattern-urilor malițioase cunoscute și

pe cele care modifică dinamica activității interne a rețelei de la linia

de manifestare normală/ uzuală.

67 / 139

Capabilitățile automatizate au nevoie de configurare

corespunzătoare (care să asigure imprimarea corectă a mentalității la

nivelul algoritmilor și filtrelor de detecție automatizată) și de

administrare și urmărire umană continue. Mai mult, în condițiile în

care unele atacuri cibernetice sunt generate sau facilitate de

instrumente/ arme autonome, care dispun de inteligență artificială,

devine necesar ca echipamentele de securitate să poată ține piept

nivelului de complexitate al incidentelor/ atacurilor, prin capabilități

similare și configurări corespunzătoare.

Apoi, avem nevoie să completăm capabilitățile tehnice

automatizate cu capabilități de threat hunting, care sunt dependente

de expertiza înaltă a analiștilor tehnici. Echipele de analiști

completează activitățile de configurare și administrare a tehnologiilor

de securitate cibernetică (care poartă o nuanță pasivă, de

implementare și menținere a funcționalității echipamentelor de

securitate) cu activități de explorare, investigare, testare, verificare

(care poartă o nuanță proactivă, de exploatare a cunoașterii puse la

dispoziție de echipamentele de securitate, în scopul preîntâmpinării

și prevenției incidentelor cibernetice).

---o---

Soluții mainstream și soluții adaptate. La fel ca și

documentațiile fundamentale/ standardele etc., soluțiile mainstream

formează un ocean industrial, aflat într-o continuă evoluție și

adaptare. Există nenumărate soluții de securitate cibernetică la toate

nivelurile din stiva ISO-OSI, care oferă facilități de tip senzorial

(pentru captarea și perceperea activității din interiorul echipamentelor

și rețelelor tehnologice) și de securitate (pentru prelucrarea, analiza

și gestionarea evenimentelor informatice).

Au avantajul de a oferi o protecție rezonabilă pentru

majoritatea riscurilor tehnice, dar dezavantajul de a nu răspunde

întotdeauna necesităților punctuale de securitate, specifice

contextului personalizat, unic, al fiecărei infrastructuri informatice.

Sunt dezvoltate pe un fond de expertiză și cunoaștere mature, în

domeniu (de către oameni care cunosc bine substraturile

tehnologice), însă au și o orientare pecuniară și scopuri mercantile

(care le îndepărtează de la scopul existenței lor, prin excesul de

marketing în care sunt îmbrăcate).

68 / 139

Soluțiile adaptate sunt născute în urma eforturilor de

cercetare-dezvoltare-inovare, pentru a răspunde în mod specific

necesităților punctuale, locale, ale unei anumite infrastructuri,

comunități de infrastructuri sau industrii. Permit tratarea specifică a

necesităților de securitate cibernetică și răspund în mod explicit

riscurilor cu care se confruntă dezvoltatorul. Soluțiile adaptate vin în

completarea soluțiilor mainstream (și, de multe ori, le pot și înlocui),

însă presupun o investiție mai mare de eforturi, timp și resurse umane

in-house. Implementate corespunzător, pot aduce economii

considerabile, atunci când înlocuiesc soluțiile mainstream omoloage.

---o---

Simplu vs. Complex – o curbă a lui Gauss. Capabilitățile

tehnice (ca orice alte măsuri și eforturi) de securitate cibernetică

trebuie să fie implementate în mod inteligent, urmărind un echilibru

de complexitate și funcționalitate. Dacă sunt prea puține, devin

insuficiente; dacă sunt prea multe și alambicate, devin potrivnice.

Idealul constă într-un nivel mediu de complexitate, dar implementat

corespunzător, adaptat, calibrat.

Putem gândi o curbă a lui Gauss care descrie eficiența

măsurilor de securitate cibernetică în raport cu complexitatea

acestora. Soluția optimă constă în protejarea tuturor punctelor

vulnerabile, printr-o abordare robustă/ compactă, dezvoltată

inteligent, în baza principiului apărării în adâncime.

Apărarea în adâncime

Toate măsurile de securitate cibernetică trebuie să fie

dezvoltate – în ansamblul/ integralitatea lor – într-o variantă robustă,

care să asigure reziliența în fața riscurilor specifice. Principiul apărării

în adâncime satisface acest deziderat împrumutând gândirea

domeniului securității fizice stratificate, care plasează obiectivul cel

mai important în centrul/ nucleul nivelurilor de protecție.

Securitatea fizică – deși nu pare a avea legătură cu domeniul

cibernetic – este primul nivel de protecție al tehnologiei, asigurând

condițiile fizice necesare funcționării nealterate și neîntrerupte, a

acesteia. Securitatea cibernetică are în vedere protejarea spațiului

cibernetic-fizic creat de tehnologie; să nu uităm că toată

69 / 139

funcționalitatea pe care o primim prin intermediul software-ului este

susținută de echipamente hardware, a căror protecție este primordial

necesară pentru existența serviciilor dorite.

---o---

Apoi, protecția fizică devine ineficientă în lipsa procedurilor și

regulilor de acțiune și conduită – individuale, organizaționale,

comunitare, s.am.d. Pentru că nu materialul fizic este cel care oferă

protecția fundamentală, ci decizia omului privind gestionarea

acestuia. Regulile și procedurile sunt o formă de asumare

multilaterală, a oamenilor, că sunt conștienți și contribuie organizat la

realizarea dezideratului comun, reprezentat de protecția tehnologiei

împotriva manifestării riscurilor specifice. Oferă trasabilitatea și

contabilizarea acțiunilor. În lipsa acestora, nu numai că eforturile de

prevenire și reacție la incidente cibernetice sunt zădărnicite, dar este

lăsată cale liberă și manifestării întâmplărilor, accidentelor sau

exploatărilor din interior.

---o---

Primul nivel tehnologic asupra căruia trebuie să ne îndreptăm

atenția – din perspectiva nevoii de protecție – este cel al tehnologiei

informaționale/ informatice (IT&C). În mod special, trebuie să avem

în vedere rețelele cu conexiune la mediul Internet și pe cele

administrative (care găzduiesc serviciile de bază organizaționale),

întrucât reprezintă principalele căi de transmitere a malware-ului.

Rețelele informatice trebuie să aibă implementate mecanisme

de security-by-design; să fie gândite, concepute, construite,

configurate și exploatate cu respectarea tuturor cerințelor de

securitate specifice, pentru a asigura protecția de-a lungul întregului

ciclu de viață al tehnologiei. Rețelele trebuie să fie percepute ca o

tehnologie în sine, care însumează echipamente și le valorifică într-

un context de complexitate superioară. Aici, măsurile de securitate

sunt aplicate atât la nivel de echipament (endpoint) și utilizator (end-

user), cât și în mod integrat (la nivel de rețea).

---o---

Cu un nivel mai ridicat de importanță trebuie să tratăm rețelele

de tehnologii operaționale (OT), întrucât oferă servicii specializate (de

regulă, cu caracter industrial) și sunt percepute ca având un grad

mare de sensibilitate/ criticitate.

70 / 139

Măsurile de protecție ale rețelelor OT sunt particularizate,

adaptate specificului echipamentelor, și presupun un nivel de

precauție ridicat, care poate obliga chiar și la funcționarea total

independentă a acestora, în lipsa conexiunilor fizice cu orice alte

rețele sau echipamente tehnologice. Acțiunile în scopul asigurării

funcționării și protecției acestora sunt bine documentate și

procedurate, pentru a asigura o cât mai mică expunere la erori sau la

exploatare nedorită.

Mecanismele de securitate cibernetică aplicate la nivelul

rețelelor OT pot fi integrate cu cele prevăzute pentru alte tipuri de

rețele, în scopul monitorizării și detecției centralizate a incidentelor

cibernetice, însă trebuie avută în vedere implementarea de

mecanisme de comunicații unic-sens (ex. diode de date care

limitează fizic transmisia de date într-un singur sens: din rețeaua OT

către rețelele cu nivel inferior de criticitate).

---o---

Un subiect de actualitate și de viitor, dar aflat încă în perioada

de incubație, este securitatea tehnologiilor emergente (care țin de

transformarea digitală, de inteligența artificială, de simbioza om-

tehnologie, de transformarea capacităților de procesare

informațională de la binar la cuantic, de interconectare masivă în

conglomerate tehnologice de tip Smart, de automatizare și

autonomizare, s.a.).

Aceste noi tehnologii sunt și vor fi prezente în toate peisajele

tehnice care ne înconjoară, făcând ca separația dintre tehnologia

informatică și cea operațională să fie din ce în ce mai greu de

respectat și de gestionat. Actuala revoluție industrială se va resimți în

toate tipurile de echipamente și rețele pe care le utilizăm, crescând

conectivitatea în mod exponențial și gestionând procesarea

informațiilor în mod centralizat, în spiritul Big Data.

Din păcate, multe dintre aceste tehnologii emergente nu au

implementate mecanisme de securitate, din cauza necesităților de

suplețe funcțională și performanță ridicată. Faptul că se află încă într-

o etapă incipientă din ciclul lor de viață – de cercetare, de concepere,

de (re)modelare, de design, de arhitectură – ar trebui să reprezinte

un atu care să permită implementarea securității inerente (security-

by-design), să le ranforseze și să le consolideze atât la nivel

71 / 139

individual, cât și sistemic. În lipsa imprimării securității inerente,

tehnologiile emergente vor reprezenta puncte de vulnerabilitate care

predispun la destabilizarea (din perspectiva securității) peisajului

tehnologic, în ansamblul său.

Securitatea noilor tehnologii va trebui tratată în corelație cu

tehnologiile informatice și operaționale, în logică unitară/ contiguă

care să asigure eficiența maximă atât la nivel de endpoint, cât și de

ansamblu, eliminând pe cât posibil punctele slabe/ vulnerabile care

pot pune în pericol echipamentele, rețelele sau întregul ecosistem

tehnologic din care fac parte.

Pentru a dobândi un grad ridicat de securitate cibernetică, este

dezirabilă integrarea capacităților de monitorizare și detecție a

incidentelor cibernetice la nivelul tuturor tipurilor de tehnologii –

informatice, operaționale și emergente – care să permită dobândirea

unei vizibilități extinse a echipamentelor și rețelelor deținute, a unei

cunoașteri situaționale precise și a unei capacități ridicate de

prevenție și contracarare a manifestării riscurilor cibernetice.

---o---

Modelul apărării în adâncime este necesar, dar nu este

suficient pentru abordarea completă a securității cibernetice, întrucât

relevă o gândire tradițională, de protejare a infrastructurilor

tehnologice aflate în spațiul propriu (on-premises).

Tehnologiile de care dispun organizațiile, în prezent, depășesc

granițele incintelor proprii, migrând spre cloud și spre servicii software

care rulează în platforme hardware dinamice (ex. tehnologia 5G

presupune dezvoltarea unei infrastructuri hardware de rețea care să

permită gestionarea flexibilă a serviciilor software suportate),

impunând adaptarea mentalităților de securitate cibernetică spre

abordări care gestionează încrederea (ex. drepturi de acces, niveluri

de privilegii, filtrare de tip firewall, control la nivelul fiecărei acțiuni).

Modelele și conceptele arhitecturale pentru organizarea

securității cibernetice evoluează (ex. modelul Zero-Trust6, modelul

Software Defined Perimeter7, s.a.), în încercarea de a răspunde în

6 https://ldapwiki.com/wiki/Zero%20Trust 7 https://en.wikipedia.org/wiki/Software_Defined_Perimeter

72 / 139

mod adaptat și cât mai eficient provocărilor introduse de riscurile

tehnologice.

---o---

Mai mult, tehnologiile emergente complică fluxul de influențe

aduse de tehnologie (în general) asupra omului, societății și mediului

înconjurător. Securitatea tehnologică va trebui privită dincolo de

implicațiile tehnice pe care le comportă, modelându-și abordarea din

perspectivă holistică și fenomenologică, înglobând aspectele

colaterale care descriu condițiile de evoluție umană, socială și

naturală.

Măsuri

Măsurile de securitate cibernetică pot fi tehnice (în legătură cu

și facilitate de tehnologie), fizice (relative la spațiul fizic care

găzduiește și protejează tehnologia) și administrative (relative la

procesele organizaționale și faptele umane). Pentru completitudinea

stării de securitate cibernetică, măsurile trebuie să urmărească

prevenția și reacția la incidentele cibernetice (care sunt, în fapt,

manifestări ale riscurilor cibernetice), precum și coordonarea unitară/

corelată prin integrarea eforturilor și asimilarea rolului de entitate într-

un ecosistem funcțional superior.

Dezideratul ar fi ca setul de măsuri implementate să asigure

predicția incidentelor cibernetice, astfel încât manifestarea acestora

din urmă să fie prevenită/ preîntâmpinată. Predicția este un

conglomerat de condiții și precursori care avertizează – cu o

probabilitate suficient de ridicată – cu privire la desfășurarea unui

incident cibernetic.

Însă predicția este o capacitate greu de atins, datorită

dificultății – tehnice, financiare și decizionale – de a implementa un

nivel de performanță atât de ridicat, lipsei justificării acestei

performanțe în raport cu necesitățile reale (pentru că măsurile sunt

luate în mod proporțional cu riscurile analizate) și capacității scăzute

a omului de a gestiona cu anticipație evenimentele (dar acest aspect

va fi abordat mai târziu, întrucât deprinde un caracter filozofic-

procedural.)

---o---

73 / 139

Pentru prevenția materializării riscurilor, este necesară o serie

de măsuri proactive de securitate cibernetică, incluzând:

- Dezvoltarea de reglementări, strategii, standarde și bune practici,

proceduri, politici și controale de securitate cibernetică.

- Managementul integrat al riscurilor de securitate cibernetică,

planificarea răspunsului la incidente cibernetice și la situații de

criză, dezvoltarea de proceduri de contingență.

- Monitorizarea conformității și desfășurarea de audituri

procedurale.

- Evaluarea stării de securitate cibernetică a infrastructurilor

tehnologice și ranforsarea stării de securitate cibernetică. (măsură

care are și un caracter proactiv, de pregătire).

- Monitorizarea permanentă a stării de securitate cibernetică (cu rol

dublu: pentru cunoașterea situațională și pentru monitorizarea

conformării la reglementări și standarde).

- Formarea culturii, creșterea nivelului de conștientizare,

dezvoltarea educației și instruirii (formarea cunoștințelor,

competențelor și abilităților) în securitate cibernetică, și exersarea

capacității de răspuns individual și corelat/ integrat, la incidente

cibernetice.

- Proiectarea și dezvoltarea (incluzând configurarea, administrarea,

mentenanța și adaptarea) capabilităților tehnice specializate,

pentru pregătirea, prevenția și reacția la incidente. (măsură care

are și caracter reactiv).

- Desfășurarea de activități de cercetare-dezvoltare-inovare pentru

identificarea soluțiilor adaptate optime, de securitate cibernetică,

precum și asimilarea tehnologiilor digitale și emergente.

- Cooperarea, schimbul de informații și coordonarea pe orizontală

în toate sectoarele de activitate, pentru pregătirea și prevenția

incidentelor.

- Adaptarea managementului organizațional la necesitățile de

gestionare agilă a tehnologiei și securității cibernetice.

---o---

Incidentele cibernetice pot fi derulate atât prin gestionarea

necorespunzătoare sau prin exploatarea intenționată a tehnologiei,

cât și prin pârghii de interacțiune umană/ socială. Pentru a putea

obține un nivel corespunzător de securitate cibernetică, este necesar

74 / 139

să luăm măsurile care se impun pentru un management cuprinzător

al riscurilor cibernetice, asigurând deopotrivă evaluarea riscurilor,

prevenirea și managementul incidentelor cibernetice.

Riscurile pot fi acceptate, neacceptate, mitigate sau

transferate. În final, managementul riscului reprezintă o decizie cu

privire la modalitățile de tratare a situațiilor de risc, în funcție de

specificitățile acestora și de oportunitățile ivite, astfel încât să fie

asigurat un nivel optim de securitate și siguranță. Întreaga securitate

cibernetică se învârte în jurul dinamicii procesului de management al

riscurilor, aflat într-o continuă adaptare și recalibrare la contextul de

desfășurare a activităților.

---o---

Pentru reacția la incidente cibernetice, este necesară o serie

de măsuri reactive de securitate cibernetică, incluzând:

- Exploatarea, valorificarea și adaptarea capabilităților tehnice

specializate.

- Analiza și investigarea evenimentelor cibernetice.

- Activitățile de threat hunting.

- Managementul integrat al incidentelor de securitate cibernetică,

incluzând detecția, răspunsul, reducerea, blocarea, recuperarea,

remedierea, raportarea și ținerea evidenței incidentelor.

- Colaborarea și coordonarea unitară pentru răspunsul la incidente

cibernetice.

---o---

Pentru dobândirea eficienței sistemice, este necesară o serie

de măsuri integrative de securitate cibernetică, incluzând:

- Cooperarea, integrarea, coordonarea și corelarea eforturilor, în

mod intra- și inter-relațional, a sectoarelor industriale.

- Facilitarea cooperării sectoarelor industriale cu mediile

guvernamental, administrativ și academic, precum și cu industriile

de securitate cibernetică și de tehnologii digitale și emergente

(atât din perspectivă tehnică și procedurală, cât și pentru

cercetare-dezvoltare-inovare).

- Asumarea responsabilității individuale și integrarea eforturilor în

scopul dobândirii capacității de acțiune unitară.

75 / 139

- Dezvoltarea unui sistem de sisteme (cu capabilități tehnice și de

colaborare) pentru monitorizarea, prevenția și reacția corelată

(acolo unde este posibil) la incidentele cibernetice.

- Dezvoltarea de comunități, consorții, parteneriate și rețele de tip

CSIRT și CERT.

- Dezvoltarea de celule de criză, pentru managementul situațiilor de

criză și a incidentelor cibernetice de amploare.

- Integrarea rețelelor la nivel inter-organizațional (comunitar),

industrial, național și internațional.

- Sprijin reciproc în implementarea măsurilor pentru dobândirea și

creșterea rezilienței în securitatea cibernetică.

IX. Implicații practice

Dincolo de aspectele tehnice ale securității cibernetice, există

o serie de implicații umane de care avem nevoie să ținem cont în

procesul implementării efective a conceptelor, planurilor,

arhitecturilor și măsurilor specifice. Nu întotdeauna corectitudinea

tehnică este cea care descrie statu-quo-ul securității cibernetice din

teren – așa cum ne-am aștepta – cât implicațiile practice privind

diferențele de percepție și înțelegere a conceptelor tehnico-științifice,

interesele subiective, diversitatea și imperfecțiunea legislativă,

condiționalitățile contextelor de aplicare, s.a.

Pentru responsabilii de implementarea securității cibernetice/

pentru ingineri/ pentru informaticieni este lipsit de sens să nu fie

implementată varianta tehnică corectă a arhitecturilor și măsurilor de

securitate cibernetică. Pare absurd, de exemplu, ca palierul

decizional să desconsidere argumentațiile tehnice și să

implementeze doar parțial (sau deloc, uneori) viziunea de securitate

cibernetică; ori ca palierul managerial să nu înțeleagă principalele

necesități de securitate cibernetică, chiar și în urma traversării

frecvente a unor anumite situații/ incidente.

Însă viața nu este întotdeauna așa cum o imaginăm din punct

de vedere tehnic. Ba, dimpotrivă, urmează o evoluție mai degrabă

naturală, plină de imperfecțiuni și inadvertențe, corectitudinea tehnică

76 / 139

rămânând – de cele mai multe ori – un deziderat, un ideal spre care

tindem și pe care ni l-am dori materializat în contextul în care trăim.

Eforturile de marketing și alte dependențe non-tehnice care

condiționează forma implementării depășesc, de multe ori, limitele

oamenilor tehnici.

Și, decât să încercăm să reglăm procentul de corectitudine al

vieții, mai degrabă ne centrăm atenția asupra unor aspecte cu

relevanță practică, pe care le întâlnim frecvent în procesul

implementării securității cibernetice. Cunoașterea acestora ne poate

scăpa de un stres derizoriu și ne poate ajuta să înțelegem pârghiile

de care avem nevoie pentru a dobândi o variantă optimă a securității

cibernetice aplicate.

Climatul conceptual

Conceptualizarea corectă conduce la implementare corectă

Construirea conceptului este esențială pentru implementarea

practică. Cu cât teoria răspunde mai bine necesităților reale, cu atât

eficientizează procesul de implementare și de utilizare a resurselor.

Pentru că oglindește corespunzător realitatea. Însă, cu cât teoria este

mai greșit scrisă, cu atât aplicarea ei va genera un rezultat mai

încărcat cu erori.

În orice rezolvare de probleme, cunoașterea corespunzătoare

a problemei permite formularea și planificarea corectă a soluției –

care, dintr-un foc, înseamnă 50% din drumul de parcurs până la

realizarea obiectivului. Atunci când știi cu ce te confrunți și poți defini

corect problemele, jumătate din drumul către rezolvarea acestora

este deja parcurs. Lipsa cunoașterii teoretice sau definirea greșită a

problemei, conduc la îngreunarea sau zădărnicirea eforturilor de

implementare a soluției; conduc, lesne, la eșec.

Securitatea cibernetică are nevoie de implementare unitară,

pentru a permite capacitarea în timp real a capabilităților de prevenție

și răspuns la incidentele cibernetice. Conceptualizarea măsurilor de

securitate cibernetică, indiferent cum este scrisă, trebuie să releve și

să conducă, fără echivoc, la această implementare unitară. Altfel,

riscă să zădărnicească orice efort practic de protecție.

77 / 139

Pentru că spațiul cibernetic-fizic este puternic interconectat și

interdependent. Și, după cum ziceam într-un capitol anterior, dacă

lăsăm chiar și un punct vulnerabil/ neprotejat în tot peisajul tehnologic

pe care îl deținem, acela riscă să devină zaua slabă care permite

exploatarea întregului ecosistem. Trebuie să acționăm uniform și

sincronizat pentru asigurarea unei protecții unitare, care să nu

permită existența de puncte vulnerabile neacoperite.

Există riscul ca reperele conceptuale să fie dezvoltate

diferențiat, separat. Pentru că domeniul securității este vast; iar în

procesul evoluției sale de la generic la specific (așa cum se întâmplă

în procesul adaptării securității cibernetice la necesitățile de protecție

industrială și, ulterior, a tehnologiilor emergente – a se revederea

capitolul Moștenirea și actualizarea) va suferi multiple mutații și

adaptări, generate de multitudinea de perspective ale celor

responsabili de dezvoltarea sa.

Specialiștii în securitate cibernetică nu cunosc specificul nișat

al industriilor, iar specialiștii în domeniile industriale nu cunosc

specificul securității cibernetice. În fiecare dintre părți, oamenii vor

încerca să adapteze noul la ceea ce deja cunosc: specialiștii în

industrii vor încerca sa muleze securitatea cibernetică pe

caracteristicile industriilor, iar specialiștii în securitate cibernetică vor

încerca să modeleze industriile ca să răspundă necesităților de

securitate cibernetică. Este un proces natural, datorat imposibilității

de acoperire a unei perspective de ansamblu asupra plenitudinii

domeniilor tehnologice.

Însă, dincolo de aceste impedimente care ne conduc – cu o

probabilitate crescută – la generarea de erori de concept și

înțelegere, un lucru este cert: că necesitățile de protecție ale spațiului

cibernetic-fizic diferă substanțial de cele ale spațiului fizic. Pentru că

avem de-a face cu o diferență consistentă a reperelor de organizare:

spațiul fizic este controlabil, trasabil, nescalabil, gestionabil, în timp

ce spațiul cibernetic-fizic este scalabil, sincronizabil, anonimizabil,

netrasabil, necuantificabil. Dacă în spațiul fizic ne permitem

implementări disparate a măsurilor de protecție, spațiul cibernetic-

fizic obligă la integrarea și corelarea deplină a eforturilor de

securitate.

78 / 139

Oricine dezvoltă securitatea cibernetică doar în pătrățica pe

care o cunoaște și nu se corelează cu omologii spre a extinde

măsurile la nivel de ansamblu, greșește din start și creează puncte

de vulnerabilitate laterale. Pentru dezvoltarea corectă a securității

cibernetice avem nevoie de colaborare continuă și de completare

reciprocă, de complementarizarea eforturilor. Mai mult, avem nevoie

să depășim chiar și orgoliile concurențiale, întrucât riscurile

cibernetice ridică probleme existențiale, de supraviețuire a business-

urilor; oricine gândește și acționează singular se izolează, devenind

victimă sigură a incidentelor cibernetice.

Abordarea disparată a securității cibernetice conduce la riscul

dezvoltării asincrone a domeniului sau al împărțirii/ separării/

segregării lui. Iar conceptualizarea necorelată conduce în mod

inevitabil la o implementare parțială și necorespunzătoare. La nivel

practic, oamenii au ajuns să nu se poată corela pentru simplul fapt că

așa este scris la nivelul forurilor superioare, care au trasat direcțiile în

mod eronat.

Apoi, o implementare disparată conduce la disiparea

responsabilității. Cu cât există mai mulți responsabili de securitate

cibernetică într-o singură entitate/ organizație, care au sarcina de a

implementa doar părți ale acestui domeniu (spre exemplu, unul să fie

responsabil de aspectele de securitate, gestionând amenințările și

intenționalitatea, iar altul să fie responsabil de aspectele de siguranță,

gestionând vulnerabilitățile și lipsa intenționalității), cu atât

responsabilitatea asupra gestionării incidentelor se diluează. În

situația unui incident cibernetic, va fi dificilă sincronizarea acestora și

va genera un vid de asumare asupra pagubelor create. Fiecare va

arunca vina asupra celuilalt.

Securitatea cibernetică aplicată are nevoie de comandă și

control unice, care să asigure prevenție și răspuns în timp real la

incidentele cibernetice, precum și răspundere deplină asupra

desfășurării evenimentelor. Necesită asumarea responsabilității într-

un singur punct, care să coordoneze toate capabilitățile deținute și să

se sincronizeze cu alți omologi, responsabili de buna funcționare și

de administrarea tehnologiei, respectiv de gestionarea aspectelor cu

specific industrial.

---o---

79 / 139

Știința vs. Tehnologia. Armonizarea conceptualizării cu

implementarea

Dacă analizăm corespondența dintre natură și știință găsim că

natura se manifestă unitar, într-un continuum, iar știința o analizează

și o disecă conceptual pentru a-i putea descrie cât mai fidel

funcționarea. Dar faptul că știința abordează cunoașterea despre

natură în mod ramificat și diferențiat, nu înseamnă că natura

funcționează ca atare.

Să luăm exemplul corpului uman: în ansamblul său, este un

organism autonom, cu homeostazie internă, dar la nivel de detaliu

găsim nenumărate organe cu funcționalități distincte și miliarde de

celule care îndeplinesc roluri punctuale, precise. Însă organele sau

celulele nu sunt componente autonome; în lipsa contextului în care

funcționează, adică în lipsa corpului care le găzduiește, ele nu pot

funcționa și nu își găsesc rostul. Faptul că noi le identificăm și le

descriem științific, în mod independent și separat de marele corp din

care fac parte, ne ajută doar la buna înțelegere a fenomenelor. Ne

ajută să dobândim cunoaștere deplină asupra particularităților

existențiale și funcționale. În final, cunoașterea detaliată, ne oferă

control asupra proceselor, spre a putea echilibra întregul trup în

situația în care se află în stări de funcționare dezechilibrată.

Deci cunoașterea poate fi ramificată și studiată pentru

aprofundarea detaliilor, însă funcționarea reală a corpului (și a

oricărui alt fenomen autonom al naturii) se realizează într-un

continuum, într-o stare de puternică interdependență a elementelor

inerente. Iar pentru asigurarea acestui continuum, analiza științifică a

elementelor componente continuă cu identificarea necesităților de

interdependență, a corelațiilor interioare, a fenomenelor inerente, a

fluxurilor de comunicare și a schimburilor de substanțe și de energie.

Aceasta este știința ciberneticii, care descrie nu numai

componentele, ci și modul lor de interacțiune și necesitățile de

complementaritate.

Similar, securitatea cibernetică trebuie să funcționeze în mod

unitar, în practică, precum un organism complet, autonom, cu

homeostazie internă. Iar conceptualizarea trebuie să fie realizată în

format integrat, descriind în mod fluent un continuum al elementelor

constituente, aflate într-o firească comunicare interdependentă. Chiar

80 / 139

dacă putem permite detalierea separată a unor mari branșe

conceptuale/ industriale/ tehnologice, în final, acestea trebuie să fie

corelate și puse într-un spațiu comun de funcționare, sub comandă și

control unice, sub responsabilitate unică.

---o---

Implementare pe orizontală

Unele industrii au dezvoltat și au implementat separat

domeniile de lucru operaționale, precum siguranța, securitatea,

operațiunile, managementul, etc. pentru a putea aloca

responsabilități echitabile și a putea controla procesele de lucru.

Securitatea cibernetică poate întâmpina dificultăți de dezvoltare,

dacă fiecare dintre aceste branșe își dezvoltă propria viziune asupra

domeniului, fără să se coreleze cu branșele partenere/ omoloage.

Securitatea cibernetică se aplică pe orizontală în toate

domeniile și subdomeniile industriale, pentru a putea gestiona în mod

unitar riscurile cibernetice. În lipsa coordonării centralizate, există nu

numai riscul de desincronizare între diferitele branșe industriale

(precum siguranța și securitatea), dar și cel al dezvoltării unor

concepte care nu își găsesc locul și sensul în peisajul spațiului

cibernetic-fizic.

Spre exemplu, dacă tratăm diferit siguranța și securitatea, va

exista o confuzie în privința locului securității cibernetice. Pe de o

parte, putem întâlni o suprapunere falsă de terminologie între

”securitate” și ”securitatea cibernetică”, datorată simplului fapt că

amândouă poartă în denumire termenul de ”securitate”. Însă, așa

cum am explicat în capitolele de început, aceasta este doar o

coincidență terminologică; securitatea cibernetică cuprinde

deopotrivă atât reperele de securitate (cu amenințările și

intenționalitatea-i specifice), cât și reperele de siguranță (cu

vulnerabilitățile și lipsa de intenționalitate).

Riscurile cibernetice reprezintă probabilitățile ca anumite

amenințări să exploateze anumite vulnerabilități. Securitatea

cibernetică ar fi putut în egală măsură, să se numească ”protecție

cibernetică”, și atunci ar fi fost mai evidentă neutralitatea pe care o

poartă domeniul vizavi de cele două branșe, siguranța și securitatea.

Securitatea cibernetică trebuie aplicată uniform, de-a lungul

întregului spectru tehnologic, nediscriminatoriu și corelat. Atacatorii

81 / 139

nu țin cont de modalitatea în care alegem noi să privim domeniile

științifice sau să ne organizăm activitatea și responsabilitățile; vor

căuta întotdeauna cea mai vulnerabilă cale pe care o pot exploata

spre a-și derula atacurile, în continuum-ul tehnologic pe care îl au în

interes.

Și trebuie să acceptăm că securitatea cibernetică suportă

universalitate în implementare, fără să încercăm să reinventăm roata

și să o redenumim pentru simplul scop de a o potrivi în specificul

tehnologiei pe care o protejăm. Spre exemplu, după cum putem

observa și în literatura de specialitate, nu există un domeniul

”siguranță cibernetică” care să complementarizeze ”securitatea

cibernetică”, pentru simplul motiv că aceasta din urmă conține în mod

nativ toate reperele de ”siguranță”.

Astfel, dacă într-o industrie operațională (deci non-IT&C)

există două mari branșe – a siguranței și a securității (cum este cazul

aviației civile) – nu trebuie să inventăm o ”siguranță cibernetică”, cu

care să complementarizăm securitatea cibernetică. Pentru că

securitatea cibernetică deja cuprinde atât reperele de securitate, cât

și pe cele de siguranță. Trebuie doar să le aplicăm în mod adaptat, la

nivelul branșelor industriale ”securitate” și ”siguranță”, și apoi să

corelăm și să sincronizăm eforturile dintre acestea, sub comandă și

control unice (din perspectiva securității cibernetice).

Similar, orice alt domeniu de lucru curent, precum domeniul

operațional, domeniul managementului calității, domeniul

managementului organizațional s.a. (care sunt întâlnite în mod

frecvent în organizarea muncii) necesită aplicarea adaptată a

securității cibernetice, fără a crea anumite denumiri specifice care să

conțină terminologia de ”cibernetică”. Securitatea cibernetică suportă

flexibilitate suficientă pentru a fi adaptată în mod nativ necesităților

branșelor enumerate anterior (operațiuni curente, de business, de

management organizațional, etc.).

Pentru simplul fapt că avem o branșă industrială denumită

”operațiuni” sau ”operațional”, de exemplu, (ceea ce este normal să

întâlnim la nivel industrial, pentru că în organizarea curentă a

activităților se face referire la activitățile de bază ca fiind activități

”operaționale” sau ”operațiuni”), nu înseamnă că atunci când aplicăm

securitatea cibernetică în acea branșă a operațiunilor curente, trebuie

82 / 139

să definim automat un nou domeniu al ”operațiunilor curente

cibernetice”. Pentru că riscăm să creăm confuzii cu termeni care deja

există în literatura de specialitate a securității cibernetice. În cazul

exemplului de față, ”operațiunile cibernetice” se referă la activitățile

tehnice de securitate cibernetică care au ca scop prevenția și

managementul incidentelor cibernetice. Iar acestea sunt desfășurate

pe orizontală, în toate locurile unde este aplicată securitatea

cibernetică, adică și în branșa de ”siguranță”, și în branșa de

”securitate, și în branșa de ”operațiuni curente”, și în branșa de

”management organizațional”, și tot așa.

Securitatea cibernetică – de bază/ tradițională – este un

domeniu matur, care conține în explicitarea sa teoretică/ conceptuală,

multe noțiuni și repere de organizare menite a oferi performanță și

eficiență în implementare. Iar aplicabilitatea securității cibernetice în

domeniile industriale nu necesită neapărat definirea de terminologie

nouă, cât indicații și direcții corecte de implementare pe orizontală,

care să permită adaptarea la necesitățile particulare, de nișă, și

sincronizarea/ integrarea capacității de comandă și control pentru

gestionarea incidentelor.

---o---

Triada viziune-coordonare-implementare

În conceptualizare, este important să ținem cont de

necesitatea reprezentării corespunzătoare a triadei viziune-

coordonare-implementare. Pentru că cele trei se află într-o puternică

interdependență și proporționalitate. Fără viziune, nu știm ce și cum

să implementăm. Fără implementare, degeaba avem viziune și

strategii. Iar fără coordonare și organizare, nu putem pune în

implementare viziunea.

Viziunea este reprezentată de nivelul conceptual, de

standardizare, reglementare și strategie, și conține conștiința de

ansamblu privind funcționarea și direcția de evoluție. Coordonarea

este reprezentată de zona managerială, care asigură organizarea

implementării, precum și comunicarea/ raportarea nivelului de

progres, către nivelurile ierarhice superioare; sincronizează eforturile

spre dobândirea și menținerea unității și a rezilienței holistice.

Implementarea este reprezentată de zona executivă, care

83 / 139

gestionează în mod direct problematica și răspunde pentru

corectitudinea procesuală.

---o---

Echilibru în construcție și reprezentare

Securitatea cibernetică este un proces complex, existent în

toate ciclurile de viață a tehnologiei. Nu este doar o serie de măsuri

care pot fi aplicate din exterior, cu care să se peticească lipsa

intrinsecă de securitate a tehnologiei. Trebuie să fie gândită și

proiectată în mod echilibrat, începând din stadiile de cercetare,

design și producție (pentru asigurarea unei fundații stabile, denumită

și security-by-design/ built-in security), continuând în stadiul de

utilizare (cu măsuri de prevenție, protecție și management procesual)

și încheind în stadiul de casare (ca acțiuni finalizatoare, care

preîntâmpină scurgerea de informații sau utilizarea

necorespunzătoare post eveniment).

Scopul de ansamblu vizează obținerea unei capacități

predictive, care să alerteze cu privire la apariția unui incident de

securitate cibernetică, să prevină manifestarea acestuia și să

gestioneze corespunzător evoluția sa, pentru a limita pe cât posibil

efectele nedorite pe care acesta le generează. Ca atare, este necesar

ca măsurile de securitate cibernetică să respecte într-un mod

armonizat cerințele de proactivitate, reactivitate și integrare a

eforturilor de protecție.

---o---

Caracterul difuz al intenționalității

Ideal ar fi ca orice incident cibernetic să poată fi urmărit

îndeaproape, prin investigațiile post-incident și eforturile de inginerie

inversă, astfel încât să îi fie constatate sursa generatoare și calea de

manifestare parcursă. Însă, din păcate, nu întotdeauna este posibilă

trasarea cu precizie a acestor repere. Ba, din contră, am putea spune

că identificarea sursei generatoare a incidentelor – atunci când ele

sunt generate în mod intenționat – este un proces sortit fie eșecului,

fie impreciziei, în cele mai multe dintre cazuri. Atacatorii își ascund cu

grijă urmele și fac uz de tehnici performante de anonimizare, reușind

să își acopere cu abilitate identitatea reală sau să redirecționeze

atenția autorităților.

84 / 139

Atribuirea atacurilor cibernetice este un proces foarte dificil

care, atunci când presupune implicații juridice, dispune de

instrumente non-tehnice (de intelligence uman) pentru colectarea și

corelarea în mod corespunzător a informațiilor necesare pentru

identificarea surselor generatoare ale atacurilor. De multe ori,

atribuirea atacurilor rămâne o simplă presupunere, o deducție logică

rezultată din coroborarea unor indicatori de compromitere (informații

tehnice) cu informații obținute din activități de intelligence umane.

Totodată, incidentele cibernetice pot fi cauzate de surse lipsite

de intenționalitate, precum configurări eronate, administrarea

defectuoasă, lipsa interoperabilității tehnologice, acțiuni umane

neintenționate s.a. Securitatea cibernetică are scopul de consolida și

proteja în ansamblu tehnologia împotriva manifestării riscurilor care

pun în pericol buna ei funcționare, gestionând deopotrivă atât

reperele de securitate (amenințările), cât și de siguranță

(vulnerabilitățile).

Limitarea strictă doar la aspectele de securitate (legate de

intenționalitate/ amenințări), nu este suficientă pentru gestionarea

securității cibernetice. Dificultatea gestionării procesului de atribuire

a atacurilor ridică mari probleme în procesul managementului

incidentelor. Prin limitarea securității cibernetice strict la reperele de

securitate riscăm să creăm o situație cu dublă pierdere: nu numai că

ne găsim în situația incapacității de a gestiona juridic atribuirea

atacurilor (pentru a incrimina sursa generatoare), dar mai și neglijăm

reperele de siguranță (marcate de vulnerabilități/ lipsa

intenționalității).

Practic, limitarea securității cibernetice strict doar la reperele

de securitate este o mișcare auto-eliminatoare, care scoate din joc cu

totul securitatea cibernetică însăși, întrucât o indisponibilizează de

mijloacele de implementare. Astfel, limitarea reglementărilor strict

doar la actele ilicite intenționate produce atât în mod pasiv (prin

neglijarea reperelor privind lipsa intenționalității), cât și proactiv (prin

suprimarea jurisdicției în situația intenționalității) vulnerabilizarea

întregului ecosistem de securitate cibernetică. Este ca și cum ne-am

tăia singuri craca de sub picioare, mimând inconștiența asupra

faptului pe care-l facem.

85 / 139

Securitatea cibernetică este un domeniu compact, care

gestionează nediferențiat atât reperele de securitate, cât și cele de

siguranță. Iar conceptualizarea acestuia trebuie să țină cont

nediscriminatoriu de necesitățile practice ale acestor două domenii.

---o---

Necesități de modelare conceptuală

În procesul de adaptare a securității cibernetice la necesitățile

industriale și la evoluția tehnologică, este nevoie de o serie de

modelări conceptuale care să permită aplicarea extinsă și calibrată a

domeniului. Aceste modelări necesită documentare și studiu, eforturi

de cercetare-dezvoltare care să orienteze descoperirea conceptuală

cel puțin pe următoarele direcții:

- Necesitățile fundamentale comune de securitate cibernetică

necesar a fi aplicate în industrii și în domeniile sociale, atât în mod

nediferențiat, cât și distinct, adaptat.

- Evoluția conceptului de infrastructură critică de la nivel

organizațional la nivel industrial. Necesitățile de securitate

cibernetică specifice.

- Cerințele de balansare a rigorilor securității cibernetice cu

necesitățile și drepturile utilizatorilor (în special privind nevoia de

viață privată, cerințele de calitate ridicată a vieții), precum și cu

necesitățile de continuitate a funcționalităților de business.

- Condiții minimale pentru obținerea de performanțe predictive, în

securitatea cibernetică.

- Analiza priorităților de implementare a măsurilor de securitate

cibernetică, în raport cu nivelurile de criticitate ale obiectivelor de

protejat și cu nevoia de acoperire integrală a măsurilor de

protecție.

- Modalități de actualizare live a reglementărilor, pentru a ține pasul

cu ritmul evoluției tehnologiei și a riscurilor asociate.

- Necesități de transformare a managementului organizațional

pentru a răspunde cerințelor de agilitate ale societății

tehnologizate.

- Dezvoltarea de formate parteneriale agile care să permită un flux

rapid de cercetare-inovare cu privire la soluțiile optime de

securitate cibernetică, în raport cu evoluția tehnologică și a

riscurilor specifice.

86 / 139

---o---

Mentalități

Pentru că de la concept pleacă orice implementare corectă

sau greșită, este important ca oamenii (atât specialiștii responsabili

de securitatea cibernetică, precum și utilizatorii de tehnologie și cei

responsabili de managementul organizațional și social) să înțeleagă

tehnologia la nivel de principiu de funcționare. Este esențial să poată

vedea cu ochii minții procesele asociate tehnologiei în momentul

interacțiunii și administrării ei, sau în procesul de reglementare și

armonizare a acesteia cu alte aspecte de viață.

Prezenta lucrare se centrează pe crearea de mentalități, de

moduri de gândire care să ajute oamenii să privească tehnologia în

termeni fenomenologici. În completarea celor deja elaborate, prezintă

interes pentru modelarea conceptuală a securității cibernetice,

următoarele principii asupra cărora invităm la reflecție:

- Atunci când întâmpinăm o problemă, este esențial să identificăm

și să tratăm cauzele, ci nu efectele acesteia.

- Pentru asigurarea unei securități cibernetice este nevoie să fim

responsabili, să ducem la bună îndeplinire întregul plan de măsuri,

să închidem procesele, să consolidăm zalele slabe, să integrăm,

să coordonăm centralizat și să gândim sistemic.

- Protejarea prin extindere holistică (adică mai mult decât nișa în

care ne aflăm) este indispensabilă pentru ca măsurile

implementate local să aibă relevanță.

- Suprapunerea/ dublarea de măsuri este preferabilă lipsei de

protecție și existenței de puncte de vulnerabilitate (de zale slabe).

Climatul legislativ

Echilibrul ciclului de viață al tehnologiei

Reglementările asigură echilibru în raport cu dezvoltarea

tehnologiei, cu utilizarea și exploatarea acesteia, respectiv cu

influența resimțită în bucla de feedback generată de tehnologie

asupra omului și asupra societății (a se vedea interdependențele din

ciclul de viață al tehnologiei, din Capitolul II).

87 / 139

Lipsa reglementărilor permite dezvoltarea liberă, dar haotică a

tehnologiei, lăsând loc apariției unor impedimente precum:

- Poate conduce la lipsa interoperabilității la nivel macro (industrial)

sau la lipsa sincronizării inter-organizaționale. În situații în care

industria prezintă un nivel ridicat de interdependență, este

necesară trasarea unor direcții fundamentale de dezvoltare, a

unor ghiduri de implementare pentru reprezentanții industriali.

- Poate bloca dezvoltarea în mediul public (unde achizițiile sunt

dependente de existența cadrului legal care să permită, să

promoveze și să faciliteze în mod explicit dezvoltarea). Autoritățile

de control financiar verifică punctual corespondența dintre

modalitatea de cheltuire a banilor publici și reperele legislative. În

lipsa înțelegerii conceptuale, de partea acestora, este dificil de

explicat în ce fel se încadrează securitatea cibernetică, sau

inteligența artificială, sau oricare altă tehnologie curentă sau de

perspectivă, în terminologia cu care este definită în lege

tehnologia IT&C sau OT. Pentru că în lipsa mențiunilor exprese,

în lege, a acestor concepte cu caracter de noutate, autoritățile de

control financiar caută să facă o corespondență cu termenii deja

legiferați.

- Poate genera abuzuri în raport cu consumatorii, prin crearea unor

forme de exploatare (ex. tranzacționarea inter-organizațională a

datelor cu caracter personal) sau de punere în dependență a

acestora. Reglementările oferă consumatorilor drepturi, iar

producătorilor, obligații care să conducă la evitarea abuzurilor.

- De asemenea – prin inacțiune – poate permite producătorilor

libertatea de a supra-exploata natura, generând dezechilibre de

mediu.

Reglementările au obligația implicită (existențială, morală) de

a asigura echilibrul dintre producători, consumatori și mediu. Nu

trebuie să fie nici prea autoritare, pentru că atunci devin constrictive,

limitative, dăunătoare, dar nici pasive și inexistente, pentru că atunci

lasă loc haosului să se manifeste. Ca orice instrument democratic,

legile trebuie să seteze o fundație de principii și direcții de dezvoltare,

lăsând libertatea de manifestare creativă în acest spațiu conceptual

pus la dispoziție. Cu alte cuvinte, legile trebuie să stabilească un

context de tip antreprenorial: să faciliteze și să încurajeze dezvoltarea

88 / 139

liberă și creativă, dar într-un cadru echilibrat, sigur, sănătos, care

oferă premisele cele mai potrivite pentru evoluție.

---o---

Alinierea vitezelor

Este necesar să alocăm o atenție deosebită alinierii vitezelor

dintre dezvoltare și reglementare. Întârzierea reglementării față de

dezvoltarea tehnologiei este o problemă fenomenologică existentă –

probabil – dintotdeauna. Însă, în contextul societății actuale, în care

tehnologia evoluează de pe o zi pe alta, avem nevoie să dezvoltăm

cadre de reglementare agile care să țină pasul cu noutățile. În lipsa

acestora, dezechilibrele mai sus amintite se vor adânci, polarizând

inegal etapele din ciclul de viață al tehnologiei.

În mod special, reglementările sunt indispensabile pentru

menținerea actualizată a mediului public. Aici, instrumentele nu

evoluează pentru că nu există cadrul legislativ care să fundamenteze

investițiile și creșterea, iar reglementările întârzie să apară pentru că

lipsește dovada existenței necesității, a precedentelor sau a definirii

conceptuale a noutăților tehnologice. Este un proces auto-întreținut,

un cerc vicios care necesită decizii de dezvoltare proactivă, pentru a-

și schimba cadrul limitativ în care se învârte.

Pentru obținerea agilității în reglementare, este nevoie să

construim o fundație legislativă stabilă (care să ofere cadrul general,

reperele de orientare și direcționare a eforturilor, guvernanța, liniile

principale de activități și responsabilități) și să operăm cu instrumente

flexibile de reglementare, subsidiare, ce pot fi adaptate în ritm cu

evoluția necesităților tehnologice.

---o---

Creativitatea în reglementare

Trebuie să ne asumăm proactivitatea, să facem exerciții de

curaj și inițiativă, răspunzând concret necesităților din teren, în mod

creativ și productiv, mergând dincolo de cadrul de reglementare

minimal pe care îl stabilesc forurile legislative superioare.

Într-o societate organizată ierarhic federativ (cum este

Uniunea Europeană), membrii (statele) deprind obiceiul inerțial de a

se lăsa ghidați întocmai de reglementările comunitare, devenind

89 / 139

pasivi și renunțând la îmbogățirea legilor cu elemente de creativitate,

care să răspundă concret necesităților locale, aplicate punctual.

Reglementările superioare au menirea de a seta o fundație

comună, minimală, necesar a fi îndeplinită de state pentru a putea

permite interoperabilizarea și menținerea în sincron a societăților

constituente, însă fără a impune restricții de dezvoltare suplimentară.

Realitatea peisajului de reglementare comunitară respectă principiile

democratice amintite anterior, conform cărora la nivel local/ regional,

oamenii sunt invitați să completeze reglementările de fundație cu

repere particularizate după necesitățile pe care le întâlnesc în teren.

---o---

Armonizarea pletorei de reglementări

Dezvoltarea armonizată a reglementărilor la nivel local nu este

numai opțională, așa cum predispune principiul democratic care invită

la creativitate și libertate de manifestare. Ci este chiar imperativă,

întrucât complexitatea și multitudinea reperelor legislative și de

standardizare pot cauza mai degrabă confuzii în implementare, decât

soluții evidente.

În industriile cu un grad ridicat de interdependență și cu un

nivel înalt de reglementare, se pot crea haosuri de direcționare a

prevederilor legislative care împiedică responsabilii să le aplice în

mod armonizat.

Spre exemplu, în aviația civilă, nu numai că fiecare branșă

industrială este puternic dezvoltată ca subdomeniu de sine stătător,

dar mai și există multiple niveluri de reglementare care trasează

prevederi ce trebuie respectate în mod obligatoriu de către cei care

le pun în aplicare. Există foruri internaționale care creează standarde

obligatorii (guvernamentale – ICAO8, sau industriale – IATA9, ACI10),

foruri continentale/ federale care impun reglementări obligatorii

(guvernamentale – UE, EASA, sau industriale – EUROCONTROL) și

autorități naționale care scriu lege aplicabilă la nivelul industriei locale

(Ministere ale Transporturilor, Autoritățile de Aviație Civilă). Din start,

este dificilă armonizarea și aplicarea unitară a tuturor acestor cerințe

8 ICAO – International Civil Aviation Organization. https://www.icao.int/Pages/default.aspx 9 IATA – International Air Transport Association. https://www.iata.org/ 10 ACI – Airports Council International. https://aci.aero/

90 / 139

– care sunt specifice doar industriei (deci, aplicabile tehnologiilor

operaționale) – urmărind totodată să fie eliminate suprapunerile,

discordanțele și nesincronizările de prevederi de-a lungul întregului

șir de reglementări.

Dacă luăm în considerare și cerințele securității cibernetice,

găsim că fiecare dintre forurile de reglementare menționate mai sus

are propria viziune asupra domeniului (care diferă de la caz la caz, și

care se află într-o continuă negociere și dezvoltare conceptuală pe

toate fronturile) și ne mai confruntăm în mod suplimentar și cu

diversitatea – din perspectivă tehnico-științifică – a domeniului însuși

(așa cum menționam și în capitolele de început, securitatea

cibernetică este un domeniu care se întinde pe orizontală în multe arii

de activitate, precum: securitatea IT&C, securitatea OT, protecția

comunicațiilor, protecția datelor, protecția infrastructurilor critice,

securitatea națională, s.a.).

Cu un asemenea haos de reglementare și standardizare,

există un risc uriaș ca beneficiarii/ responsabilii de implementare să

aplice în mod ineficient și neconform toate cerințele care se impun. În

astfel de situații, este imperativă dezvoltarea unor cadre de

reglementare integrate, trans-disciplinare, uniforme, la nivel național,

care să armonizeze toate prevederile existente la toate nivelurile,

oferind organizațiilor o imagine concludentă, simplificată, coerentă,

eficientă și neredundantă a drumului de parcurs pentru asigurarea

securității cibernetice. Iar pentru aceasta, avem nevoie să apelăm la

creativitate și să dezvoltăm legi autentice, care să răspundă ferm

necesităților de dezvoltare din teren.

În securitatea cibernetică, transpunerea mot-a-mot, fără

adaptare, a cerințelor tuturor reglementărilor superioare conduce

inevitabil la confuzii, suprapuneri, inadvertențe și incompatibilități.

---o---

Echilibrul de conținut

Dacă ne referim la calitatea conținutului reglementărilor, găsim

că avem nevoie să imprimăm un echilibru al cerințelor, care să

permită implementarea eficientă a securității cibernetice, în funcție de

fiecare caz organizațional. Supra-reglementarea poate conduce la

măsuri supra-solicitante, creând atât riscul scăderii eficienței

securității cibernetice aplicate, cât și la posibilitatea obținerii unui

91 / 139

raport supraunitar între investițiile de securitate cibernetică și riscurile

acoperite. De asemenea, supra-reglementarea poate conduce la o

supra-dimensionare a măsurilor de control legal (la supra-

conformitate), care se traduc în amenzi care excedează necesitățile

practice, devenind o povară suplimentară pentru managementul

financiar organizațional.

Ca atare, avem nevoie să urmărim un echilibru între

reglementările de securitate cibernetică, respectiv capacitățile și

necesitățile punctuale ale organizațiilor, pentru a încadra și trata în

mod corespunzător riscurile de securitate cibernetică.

Pe de altă parte, în egală măsură, lipsa reglementărilor lasă

vulnerabilitățile expuse, permițând incidentelor să se manifeste și să

creeze pagube.

Probabil unul dintre cei mai importanți termeni pe care trebuie

să îi avem în vedere atunci când vorbim despre securitatea

cibernetică este echilibrul. Avem nevoie de echilibru în dezvoltarea

conceptuală, în formularea cerințelor legislative și în implementarea

locală.

---o---

Armonizare între reglementări și strategiile de dezvoltare

Echilibrul survine, în primul rând, din trasarea

corespunzătoare a viziunii și a direcțiilor de implementare. După cum

aminteam și în capitolul Implicații conceptuale, înțelegerea teoretică

dictează implementarea practică și condiționează gradul de

corectitudine tehnică a acesteia.

Înainte de toate, avem nevoie de un concept clar și elocvent.

Acesta este transpus în strategii de dezvoltare, însoțite de planuri de

acțiune pentru implementare. Conceptul și strategiile trebuie să fie pe

deplin reprezentate prin reglementări care, la rândul lor, urmăresc

îndeaproape implementarea practică, la nivelul fiecărei organizații.

Orice inadvertențe și desincronizări pe acest traseu conduce

la confuzii și dezechilibre de implementare dificil de controlat și

corectat ulterior. Conceptualizarea, strategiile, reglementarea și

implementarea formează un proces care evoluează în baza

principiului bulgărelui de zăpadă: lansat din vârful muntelui, poate

ajunge în părți complet diferite ale lumii, în funcție de latura muntelui

92 / 139

pe care alunecă inițial. Similar, securitatea cibernetică aplicată este

rezultatul propagat al deciziilor de construcție conceptuală și de

reglementare.

---o---

Facilitarea colaborărilor

Reglementările trebuie să faciliteze și să detalieze condițiile de

desfășurare a colaborărilor inter-instituționale, atât pentru

demarcarea sincronizării multi-domeniu (pe orizontală) și a

coordonării activităților de prevenție și răspuns la incidente, cât și

pentru asigurarea închiderii lanțului de gestionare a acțiunilor ilicite

intenționate.

Atribuirea atacurilor și incriminarea responsabililor de acțiunile

ilicite intenționate se realizează cu ajutorul autorităților specializate în

acest sens, făcând uz de mecanisme de intelligence, punere sub

acuzare, investigare și judecată.

---o---

Echilibru în coordonare

La nivel de implementare, securitatea cibernetică trebuie să

beneficieze de neutralitate și neconcurențialitate. Schimbul de

informații tehnice este dorit și necesar, în detrimentul restricțiilor de

competitivitate, întrucât sprijinul reciproc asigură supraviețuirea de

grup. Organizațiile din același sector de business înțeleg că este mai

important să își asigure ajutor mutual în combaterea riscurilor de

securitate cibernetică, decât să se izoleze, de teama de a nu pierde,

din perspectivă concurențială. Pentru că, prin izolare, gradul de

expunere individuală în fața amenințărilor cibernetice crește

considerabil comparativ cu situația protejării coordonate la nivel de

grup.

Însă coordonarea trebuie să fie realizată prin colaborare pe

orizontală și monitorizare de ansamblu neutră. Cunoașterea

situațională sincronizată/ de ansamblu, de la nivelul mai multor

entități aflate pe un același nivel ierarhic, oferă un plus de informații

care poate genera ascendent asupra entităților monitorizate. De

aceea, entitatea aflată în vârful piramidei trebuie să aibă un rol neutru

în raport cu organizațiile asupra cărora are vizibilitate din perspectiva

securității cibernetice.

93 / 139

Se creează, astfel, un sistem de sisteme, ierarhic, în care

entități de tip CERT monitorizează în mod centralizat evenimentele și

incidentele de securitate cibernetică ce se desfășoară la nivelul

sectoarelor sau subsectoarelor industriale aflate în coordonare.

Astfel, un CERT de nivel european supervizează activitatea CERT-

urilor de nivel național, care la rândul lor supervizează CERT-urile

industriale, care coordonează CERT-urile sub-sectoriale, care

monitorizează integrat organizațiile sau CERT-urile organizaționale.

Am menționat în capitolele anterioare despre necesitatea

asumării responsabilității individuale, coroborată cu necesitatea

integrării/ sincronizării/ coordonării eforturilor. Însă integrarea

eforturilor nu presupune și integrarea responsabilității, și pasarea

acesteia de la nivel individual la nivel central, superior ierarhic. Pe de

o parte pentru că nodul central ar deveni suprasolicitat în situația unor

incidente corelate, simultane, iar pe de altă parte pentru că ar putea

intra într-o situație de conflict de interese.

Nodurile centrale de ordin superior au un ascendent asupra

organizațiilor monitorizate, motiv pentru care este potrivit să fie înseși

autoritățile competente din domeniile industriale respective.

Poziționarea în vârfurile piramidelor, a unor CERT-uri din cadrul

autorităților competente răspunde în mod nativ necesității de

monitorizare a conformității și de cunoaștere situațională a acestora,

ca parte a misiunii lor de bază. Iar ascendentul pe care îl poartă față

de organizațiile aflate în monitorizare, este unul natural, oferit de

legile de funcționare proprii.

Ca atare, înțelegem că sistemele de sisteme de tip CERT

asigură monitorizarea integrată a incidentelor de securitate

cibernetică și cunoașterea situațională, oferind pârghii pentru

coordonarea și sincronizarea răspunsului la incidente, care este

asumat la nivel organizațional.

În final, entitățile de tip CERT trebuie să se sincronizeze

reciproc spre a acoperi diversitatea necesităților multi-domeniu (în

branșele industriei, în securitatea cibernetică, în protecția

infrastructurilor critice, în protecția datelor, s.a.).

---o---

94 / 139

Lipsa capacității predictive și a deciziei preventive

Din păcate, oamenii nu prea au capacitatea de a lua decizii

colective preventive. Acest lucru s-a demonstrat cu fiecare eveniment

colectiv întâmpinat, și reiterat apoi identic sau sub o formă similară.

Principala cauză a acestui inconvenient constă în lipsa capacității

indivizilor de a se asocia identitar (inconștient) cu colectivul pe care îl

reprezintă atunci când îndeplinesc anumite responsabilități colective,

precum și din pricina complexității condiționalităților procesuale.

Pentru asigurarea prevenției, este nevoie de realizarea unor

rezerve și de pregătirea proactivă – toate acestea, cu asumarea

posibilității ca evenimentul pentru care sunt pregătite să nu se

manifeste. Dacă se manifestă și acțiunile preventive sunt eficiente,

atunci lipsește impactul care să modeleze percepția celor protejați;

acestora din urmă le va veni dificil să înțeleagă că evenimentul nu a

provocat daune, tocmai mulțumită măsurilor preventive luate și, ca

atare, scade apetitul și justificarea continuării investiției în prevenție.

Dacă, în schimb, evenimentul nedorit nu se manifestă, atunci

măsurile preventive sunt considerate inutile și risipitorii, cel care și-a

asumat responsabilitatea asupra lor fiind adesea tras la răspundere

pentru managementul ineficient al resurselor.

În plus, de-a lungul întregului fir al acestei cauzalități se pierd

informații privind istoricul evenimentelor, iar o eventuală lipsă a

jurnalizării lor ori a comunicării corespunzătoare conduce la pierderea

percepției corecte asupra situației generale, cauzând lipsa înțelegerii

fenomenului, în ansamblu. Astfel, șansa ca omul să învețe de pe

urma experiențelor colective (în general, nu doar de pe urma celor cu

intenționalitate preventivă) scade covârșitor. (Învățarea eficientă se

realizează cel mai bine prin experiența proprie. Evenimentele

colective nu pot oferi experiență proprie deplină, tuturor indivizilor, ci

în cel mai bun caz, o istorisire – care devine subiectivă de-a lungul

lanțului de comunicare – asupra desfășurării întâmplărilor.)

Această dificultate de a lua decizii colective preventive

conduce la slăbirea măsurilor de prevenție și, implicit, la

materializarea de evenimente nedorite. Astfel, omul a dezvoltat

capacitatea de reacție la evenimente, în sensul gestionării

95 / 139

manifestării lor spontane și al îmbunătățirii ulterioare a capacității de

preîntâmpinare, spre a evita reiterarea evenimentelor nedorite.

Mai toate domeniile tehnice/ științifice/ industriale/ sociale care

sunt evoluate în prezent, au ajuns în acest stadiu de maturizare

mulțumită lecțiilor învățate și aplicate post-eveniment. Este nevoie de

parcurgerea cel puțin a unui ciclu de experiență pentru perceperea

concretă a desfășurării evenimentelor, pentru documentarea lor și

înțelegerea fenomenologică, precum și pentru corecția erorilor,

pentru consolidarea stării de bună funcționare și pentru ranforsarea

condițiilor de siguranță și securitate.

Ținând cont de aceste impedimente, totuși, susținem că

securitatea cibernetică are nevoie de predictibilitate, pentru a putea fi

eficientă și promptă în prevenția și răspunsul la incidentele

cibernetice. Acesta este un deziderat care poate fi atins după

dobândirea unei experiențe de lucru substanțiale, și a unui grad

ridicat de funcționare armonizată și sincronizată a echipei

responsabile de securitatea cibernetică.

---o---

Adaptări legislative colaterale

O dată cu construirea reperelor tehnico-științifice și legale de

securitate cibernetică, este necesară dezvoltarea contextului de

reglementare colateral/ complementar, care vizează implicațiile

sociale ale domeniului, precum: adaptarea sistemului juridic la

necesitățile de securitate cibernetică, adaptarea sistemului de control

financiar, adaptarea sistemului de organizare a muncii (ex.

dezvoltarea de calificări, profesii și specializări oficiale de securitate

cibernetică în Codul Ocupațiilor), adaptarea sistemului educațional

pentru a pregăti specialiști în domeniu și a asigura asimilarea

tehnologiilor emergente, dezvoltarea carierelor profesionale s.a.

Climatul factual

Paradoxul criticitate vs. redundanță

După cum aminteam și în capitolele anterioare, în practică nu

întotdeauna sunt transpuse conceptele și mentalitățile teoretice,

indiferent cât sunt ele de bine puse pe hârtie. Palierul decizional va

96 / 139

găsi, adesea, că este oportun să facă ajustări asupra acestora, pentru

a imprima o anumită viziune managerială sau pentru a realiza anumiți

indicatori de performanță (de regulă, financiari). Percepția asupra

conceptelor teoretice suferă, astfel, modificări, modelări, adaptări

care – dacă sunt încununate de succes – sunt preluate și propagate

ca bune practici la nivel de industrie, și respectate cu sfințenie.

Una dintre devierile conceptuale este reprezentată de

percepția asupra criticității sistemelor. Teoretic, sistemele care sunt

definite ca fiind critice pentru funcționarea serviciilor, sunt marcate ca

atare pentru a beneficia de măsuri suplimentare de protecție și

asigurare a continuității funcționalității. Uneori sunt dublate funcțional

de sisteme de redundanță care au menirea de a prelua sarcina de

lucru în situația nedorită în care sistemul principal nu își mai poate

îndeplini misiunea.

Tot din punct de vedere teoretic, faptul că sistemele critice sunt

dublate cu măsuri de contingență, de rezervă, nu le modifică statutul

de ”sistem critic”. Este o chestiune logică: dacă și-ar pierde caracterul

critic în urma atribuirii unei soluții de redundanță, atunci soluția de

redundanță și-ar pierde scopul existențial (ea a fost instituită ca atare

– să asigure redundanța – tocmai pentru că trebuie să dubleze

funcționalitatea sistemului critic protejat, fiind gata oricând să îi preia

din sarcina de lucru, în caz de nevoie).

După cum putem observa, marcarea unui sistem ca fiind critic

conduce adesea la necesitatea implementării de măsuri suplimentare

de protecție. De cele mai multe ori, aceste eforturi conduc la

necesități financiare suplimentare, pe care managementul este

obligat să le suporte.

Așadar, găsim că – în practică – managementul apelează la

anumite tertipuri pentru a evita denumirea sistemelor ca fiind critice.

Consideră că dacă sistemele importante/ vitale au implementate

soluții de back-up/ redundanță, atunci continuitatea funcționalității

serviciilor este asigurată în cazul nefuncționării sistemelor de bază,

fiind preluată de sistemele de rezervă. Sistemele de bază nemaifiind

(aparent) ”indispensabile”, acestea nu mai sunt etichetate ca fiind

critice, conducând la evitarea luării măsurilor obligatorii care se impun

asupra sistemelor critice, de regulă.

97 / 139

Înțelegem, astfel, că printr-un tertip managerial, sistemele

critice sunt scutite – în practică – de la obligativitatea instalării

măsurilor de contingență și redundanță, pentru simplul fapt că nu mai

sunt etichetate corespunzător. Această practică profund greșită

creează mari vulnerabilități sistemice, împiedicând desfășurarea

corectă a evaluărilor de risc care conduc, implicit, la evitarea

măsurilor de protecție corespunzătoare. Se creează un cerc vicios al

deciziilor, care conduce la slăbirea în ansamblu a măsurilor de

protecție a rețelelor tehnologice.

Prin urmare, este de reținut că este deosebit de importantă

identificarea corespunzătoare a sistemelor critice și menținerea

acestei etichete fără libertate de interpretare laterală, indiferent câte

măsuri de protecție sunt luate în jurul acestora. Eforturile

suplimentare sunt aplicate în mod expres datorită gradului ridicat de

criticitate pe care îl comportă sistemele respective, permițând o

aplicare corectă a măsurilor de apărare în adâncime.

Într-un mediu tehnologic interdependent, erorile de securitate

se propagă și escaladează ca un domino, vulnerabilizând întregul

ecosistem. În general, gradul de vulnerabilitate/ expunere al rețelei

de sisteme scade sau crește în mod înlănțuit (chain reaction), în

funcție de cum alegem să protejăm fiecare sistem individual, prin

raportare la nivelul său de criticitate. Este recomandat să dezvoltăm

rațiuni teoretice corecte și să le aplicăm ca atare, luând deciziile

bugetare corespunzătoare și evitând orice alte repere (precum

ignoranța, rutina, superficialitatea, parțialitatea, lipsa asumării

responsabilității, s.a.) care ne pot distrage de la deciziile corecte.

Evaluarea riscurilor ar trebui să releve seturi de matrice ale

riscurilor, construite în raport cu necesitățile de importanță (criticitate)

și de urgență a aplicării măsurilor de securitate cibernetică, pentru a

permite protejarea holistică în mod etapizat, natural, echilibrat, ajustat

la potențialul financiar disponibil.

---o---

Ignoranța și/sau reaua credință

Avem nevoie să aplicăm un management consistent al

ignoranței oamenilor, pentru a-i ajuta să părăsească zona de confort

și complăcere. Riscurile de securitate cibernetică sunt perfide, prin

invizibilitatea lor caracteristică. Este dificil să convingi omul

98 / 139

necredincios de existența acestora, în lipsa dovezilor concrete (pe

care le obții doar cu ajutorul instrumentelor tehnologice

corespunzătoare, implementate în rețea și puse în funcțiune spre a

extrage date situaționale pe baza cărora să fie livrată o analiză a

vulnerabilităților existente).

Omul ignorant și/sau rău-credincios va face tot efortul să nu

vadă și să nu înțeleagă explicațiile pe care i le oferi, eșuând în a se

poziționa corect față de perfidia riscurilor de securitate cibernetică.

Ca angajat și utilizator al tehnologiei, va îngreuna sau va risipi

eforturile de securitate cibernetică luate la nivel organizațional. Ca

manager sau decident, provoacă și mai multe pagube, prin lipsa de

acțiune sau împotrivirea luării măsurilor care se impun.

Ignoranța este mai rea decât necunoașterea sau inconștiența,

pentru că zădărnicește în mod deliberat eforturile comune de

securitate cibernetică.

---o---

Potrivnicia egoului

Frate cu ignoranța este orgoliul profesional, pe care îl putem

regăsi, de regulă, la specialiștii care muncesc de o viață în branșa lor

tehnologică/ industrială. Atunci când încerci să implementezi

securitatea cibernetică într-un domeniu industrial, te lovești din plin

de atotcunoașterea unor specialiști nișați în tehnologiile operaționale,

care resping cu vehemență asimilarea ”noului” domeniu al securității

cibernetice.

Rezistența la schimbare și rigiditatea profesională pot supune

securitatea cibernetică unor riscuri de denaturare conceptuală și

aplicare necorespunzătoare. Potrivnicia egoului profesional poate

reprezenta o serioasă barieră în preluarea și impunerea măsurilor de

securitate cibernetică, intrând într-un registru de bariere proactive

(dar nu neapărat intenționate) umane.

---o---

Gestionarea insiderilor

Mai rea decât interesele colaterale, decât reaua credință și

decât potrivnicia egoului este reaua voință, întrucât presupune un

caracter de intenționalitate și bună știință a faptelor. Este posibil ca

cel mai periculos factor de risc în privința securității cibernetice să fie

99 / 139

marcat de amenințarea din interior/ de insider/ de angajatul rău

intenționat.

Cu cât insiderul se află într-o poziție de acces mai privilegiat la

resursele tehnologice, cu atât este mai periculos, putând provoca

distrugeri semnificative asupra bunurilor fizice și informaționale. Este

imperativ necesar ca palierul decizional să ofere o atenție deosebită

interacțiunilor inter-umane, stilului de management și nivelului de

mulțumire și de motivare a angajaților și, în egală măsură, să aibă

pregătite proceduri și măsuri prompte de reacție, care să asigure

protecția fermă a resurselor organizaționale, în situații de conflicte și

neînțelegeri inter-umane.

---o---

Lipsa conștientizării și/sau a cunoașterii

Într-un registru pozitiv și mai gestionabil, găsim lipsa

conștientizării și/sau a cunoașterii, care presupune riscul

materializării de erori, greșeli sau accidente. Spre deosebire de

ignoranță, lipsa conștientizării și/sau a cunoașterii este corectabilă

prin procese de creștere a nivelului culturii de securitate cibernetică

și prin procese de suprafață sau de amploare de educație, instruire și

exersare.

Conștientizarea utilizatorilor generali și, în mod special, a

palierelor decizional și de management, precum și specializarea

corespunzătoare a responsabililor cu administrarea IT&C și OT, și a

responsabililor de securitatea cibernetică, aduce un mare plus în

consolidarea nivelului de protecție tehnologică a organizației, în

ansamblu.

Suplimentar, este necesară implementarea unui proces de

management al incertitudinii și al schimbării, care să pregătească și

să mențină organizația în stare de disponibilitate și deschidere, spre

asimilarea noutăților tehnologice și sociale cu care se confruntă.

---o---

Gestionarea bias-urilor de percepție

Ca în orice profesie care este practicată pe termen lung, pot

apărea bias-uri de percepție atât la nivelul specialiștilor, cât și a

managerilor și a beneficiarilor măsurilor de protecție.

100 / 139

Așa cum am menționat în capitolele anterioare, o performanță

preventivă ridicată poate denatura percepția asupra existenței

riscurilor, conducând la diminuarea angajării de resurse din partea

decizionalilor și a beneficiarilor.

O altă problemă poate fi reprezentată de creșterea pragului de

sensibilitate la efectele incidentelor de securitate cibernetică, în urma

profesării și confruntării îndelungate cu această problematică. În

urma gestionării unui număr ridicat de incidente, pe termen lung,

percepția asupra acestora poate suferi o saturație (ca în orice

profesie, de altfel), riscând să genereze o formă de atitudine și

comportament rutinate/ blazate.

De asemenea, banalizarea percepției asupra incidentelor are

impact și asupra beneficiarilor care riscă să subestimeze importanța

efectelor. Evoluția de percepție la nivelul consumatorilor, cu privire la

creșterea și naturalizarea raportărilor publice a incidentelor de

securitate cibernetică din diferite industrii de consum – sistemul

bancar, serviciile online, s.a. – a condus la o aplatizare a capacității

de resimțire a pericolului/ riscurilor/ implicațiilor reale. S-a ajuns la o

plafonare a percepției gravității faptelor, care face ca numeroasele

furturi și tranzacționări de date personale, pe piața neagră/ în dark

web, de exemplu, să pară o normalitate, o banalitate.

Este necesară derularea de studii și cercetări aplicate (în

mediul academic și de cercetare), cu privire la bias-urile de percepție

și la necesitățile de gestionare a acestora, pentru identificarea de

soluții care să asigure menținerea în parametri optimi a măsurilor de

securitate cibernetică.

De asemenea, este importantă cuantificarea nivelului de

importanță pe care îl comportă efectele incidentelor cibernetice,

suplimentar față de aspectele de conștientizare. Unele efecte pot fi

acceptate (ca riscuri acceptate și materializate), altele trebuie

percepute, înțelese și tratate în acord cu implicațiile reale, practice pe

care le comportă – pentru a putea fi asumate.

Pe termen lung, este de așteptat ca unele tipuri de incidente

cibernetice să fie percepute ca evenimente naturale ale vieții, oamenii

dezvoltând o formă de imunitate/ toleranță vizavi de manifestarea

acestora.

---o---

101 / 139

Implementarea în pași mici

Pe de altă parte, folosind în mod constructiv psihologia

adaptării în pași mici și perseverenți, înțelegem că implementarea

unui domeniu nou și de mare amploare – cum este securitatea

cibernetică sau tehnologiile emergente – este mult mai facilă dacă

dispunem de răbdare și de tact.

În general, omul are reacții de respingere atunci când se

confruntă cu elemente de noutate. Rezistența la schimbare este

naturală. Însă, livrată în porții mici și în mod consecvent, schimbarea

se produce în mod firesc, și este asimilată și interiorizată cu ușurință.

De aceea, cea mai bună cale de implementare a securității

cibernetice constă în creșterea naturală; testată, experimentată și

asumată.

---o---

Implementare adaptată

Securitatea cibernetică este dependentă de percepție. Cu cât

știi mai mult din realitatea cu care te confrunți în spațiul cibernetic-

fizic pe care îl gestionezi, cu atât devii mai deschis spre analiza și

gestionarea riscurilor pe care le poți întâmpina. În general, cu cât

gradul de conștientizare și cunoaștere este mai ridicat, cu atât crește

și capacitatea de predictibilitate și acțiune preventivă.

Spre deosebire de spațiul fizic, unde reperele de siguranță și

de securitate evoluează într-un spectru de liniaritate, în spațiul-

cibernetic fizic riscurile de securitate cibernetică pot prezenta

manifestări neliniare, scalabile, multiplicabile, escaladabile. Drept

urmare, mentalitatea cu care gestionăm riscurile cibernetice diferă –

din perspectiva agilității și a prioritizării – de cea cu care abordăm

riscurile asociate mediului fizic.

Avem nevoie de mai multă organizare teoretică, în setarea

priorităților și a nivelului de importanță pe care îl alocăm obiectivelor

de protejat. O definire corespunzătoare a matricelor de riscuri în

funcție raporturile impact-probabilitate și importanță-urgență ne

asigură o creștere substanțială a eficienței întregului proces de

management al riscurilor; ne oferă oportunitatea de a gestiona

corespunzător resursele de care dispunem, spre atingerea unor

rezultate optime.

102 / 139

---o---

Importanța deciziilor prompte

Protecția împotriva incidentelor de securitate cibernetică este

dependentă de gradul de promptitudine al capacității noastre de

contracarare și răspuns. Statistici anuale, realizate la nivel mondial

(un exemplu elocvent este reprezentat de statisticile11 oferite de

SANS Institute), avertizează că de regulă trec zile, săptămâni sau luni

de la momentul infectării cu malware a sistemelor tehnologice și până

la eradicarea infecției.

În astfel de condiții, eforturile de securitate cibernetică au mai

mult un rol de constatare și analiză post-eveniment, decât de

prevenție și contracarare. Deși este un deziderat greu de realizat

(fiind dependent de o înaltă competență și sincronizare a echipelor

de specialiști), promptitudinea reacției la incidentele cibernetice este

cea care poate asigura managementul corespunzător al riscurilor și

limitarea producerii de pagube.

---o---

Management agil

Procesele organizaționale inerțiale și fluxurile birocratice

îngreunează eforturile de securitate cibernetică. Pentru a crește

eficiența măsurilor implementate, este nevoie ca managementul

organizațional să adopte un stil de lucru agil, adaptat necesităților și

vitezei de desfășurare a activităților din mediul cibernetic-fizic.

Totodată, palierul decizional trebuie să facă un efort de

conștientizare, pentru a înțelege importanța investirii de resurse în

scopul asigurării securității cibernetice, pentru a facilita

implementarea mecanismelor de protecție corespunzătoare și pentru

a permite libertate de manifestare responsabililor însărcinați cu

managementul incidentelor cibernetice.

În literatura de specialitate referitoare la dezvoltarea

tehnologică există exemple de formate de lucru agile care descriu

adaptarea managementului organizațional la nevoile de dinamică ale

echipelor de specialiști tehnici. Aceste formate de management agil

11 SANS 2019 Incident Response (IR) Survey: It's Time for a Change. July 2019. https://www.sans.org/reading-room/whitepapers/incident/paper/39070

103 / 139

sunt valide, în egală măsură, și pentru a răspunde necesităților de

flexibilitate și mobilitate a domeniului securității cibernetice.

---o---

Necesitatea alocării de fonduri

O dată cu evoluția tehnologiei și a necesităților ei colaterale,

societatea se schimbă în mod natural, parcurgând un proces de

adaptare și asimilare a noutăților. Câmpul muncii se modelează

pentru a răspunde nevoilor de orientare a eforturilor, iar ordinea de

importanță a job-urilor este reformată.

Specializările de securitate cibernetică se află în topul ierarhiei

de job-uri, fiind ofertate în număr mare și remunerate în mod

consistent. Această realitate poate fi potrivnică organizațiilor care nu

pot sau nu sunt dispuse să aloce fonduri suficiente pentru asigurarea

resurselor umane specializate, întrucât pierd din start în fața

concurenței.

În viitor, asigurarea serviciilor tehnologice (IT&C și OT) și a

serviciilor de securitate cibernetică va fi o necesitate imperativă,

fundamentală. În plus față de achiziția, motivația și retenția de

personal specializat, organizațiile trebuie să aloce fonduri și pentru

investiții în echipamente și în servicii de administrare, mentenanță și

suport al acestora.

Fie că sunt dezvoltate in-house sau externalizate,

administrarea tehnologică și asigurarea securității cibernetice solicită

eforturi financiare proporționale cu necesitățile specificului obiectului

muncii (a misiunii organizaționale) și a rezultatelor evaluărilor de risc.

În lipsa alocării de fonduri, nivelul de performanță funcțională scade,

iar expunerea la riscuri (tehnologice) crește, deschizând calea spre

stagnare sau pierdere a business-ului.

---o---

Anticiparea necesităților de adaptare

Securitatea cibernetică este un domeniu aflat în continuă

dezvoltare, evoluând o dată cu noutățile tehnologice și mutațiile

riscurilor specifice. Este important să înțelegem că asigurarea

securității cibernetice nu este un efort punctual, pe care îl depunem o

dată și ne servește pe termen nedefinit, ci – din contră – este un efort

continuu, susținut, care necesită adaptare și creștere permanentă.

104 / 139

Organizațiile trebuie să manifeste deschidere, să

conștientizeze și să înțeleagă fenomenul evoluției tehnologice și al

nevoilor de securitate cibernetică, și să aloce mereu resursele

cuvenite, pentru a-și asigura compatibilitatea și calibrarea cu

tendințele societale, și trăinicia în condiții de performanță.

105 / 139

SECURITATEA CIBERNETICĂ COMPLEMENTARĂ

Dincolo de aspectele de securitate cibernetică aplicată (care

tratează în mod direct gestionarea riscurilor de exploatare

necorespunzătoare a tehnologiei, ce pot produce pagube în spațiul

cibernetic-fizic-uman), există o serie extinsă de implicații pe care

tehnologia le aduce la nivel uman și social, precum și în mediul

natural. Tehnologia ne modelează și ne schimbă viețile într-un mod

mai mult sau mai puțin evident, generând efecte pe termen lung care

merită luate în considerare, analizate și gestionate.

Tehnologia este un produs uman. Este o creație a noastră,

dezvoltată în mod conștient și voluntar, după chipul și asemănarea

noastră, a ceea ce suntem și a ceea ce percepem (și înțelegem) din

mediul în care ne desfășurăm viața. Oricare ar fi scopurile pentru care

o creăm, cu siguranță intenția noastră general valabilă este să

dispunem de pe urma avantajelor pe care ni le oferă, să beneficiem

de plus valoarea pe care ne-o aduce în urma externalizării

capabilităților noastre native.

Pentru că, în esență, tehnologia este o externalizare a

abilităților și a gândirii noastre, o extensie a firii noastre existențiale,

care se manifestă în mod scalabil/ multiplicat în exteriorul nostru, în

mediul înconjurător. Este o oglindă augmentată a înfățișării noastre,

care – într-o măsură mai mică sau mai mare – se manifestă

independent de influența noastră, autonom. În funcție de gradul de

evoluție și performanță pe care îl primește prin procesul de design și

producție, tehnologia are un spectru larg de modalități de

manifestare: de la liniar/ intuitiv/ pre-programat/ controlat la dinamic/

evolutiv/ autonom/ liber.

Revoluția industrială pe care o traversăm la nivelul anilor 2020

și perspectivele de evoluție tehnologică pe termen lung ne conduc la

ideea că tehnologia va căpăta un grad de autonomie din ce în ce mai

ridicat, o dată cu trecerea timpului. Și este natural să se întâmple ca

atare; pentru că ne place și ne dorim să putem automatiza mediul

care ne înconjoară, și să interacționăm cu el firesc, uman, așa cum

ne poartă gândul. Și vom ajunge, mai devreme sau mai târziu, la un

106 / 139

nivel de dezvoltare tehnologică atât de ridicat, încât vom avea

senzația că tot spațiul înconjurător va fi dobândit sensibilitate/

receptivitate la prezența și inputurile noastre, ca și cum ar fi prins

viață.

Ce este, însă, vital, în tot acest peisaj tehnologic spre care

tindem, este să ne asigurăm că ceea ce construim este sănătos, că

nu pune în pericol siguranța și securitatea umane, sociale și ale

mediului natural, și că ne oferă cele mai bune perspective de evoluție

umană și condiții de calitate a vieții. Și, mai presus de orice, avem

nevoie să fim atenți ca locul controlului, în tot procesul de dezvoltare

tehnologică, să rămână în continuare la oameni; momentul în care

pierdem controlul asupra evoluției propriilor produse reprezintă un

punct de cotitură care ne va împinge să ne recalibrăm modul de

abordare a vieții, oferind o atenție deosebită necesităților

fundamentale de securitate și supraviețuire.

Poate suna a SF ideea ca tehnologia să preia controlul asupra

propriului proces evolutiv sau poate părea apocaliptic să ne referim

la nevoia de gestionare a condițiilor de supraviețuire umană. Dacă

credem că aceste lucruri sunt SF, atunci înseamnă că avem o

problemă de percepție, datorată lipsei conștientizării sau lipsei

exercițiului de analiză de substrat.

Tehnologia deja dispune de mostre de autonomie funcțională

și evolutivă, obținute în multitudinea de experimente desfășurate în

pletora de noduri de cercetare-dezvoltare-inovare, existente la nivel

mondial (a se vedea, spre exemplu, cazurile de inteligență artificială

capabile de auto-evoluție12, al căror traseu și dinamică de creștere nu

sunt gestionate de om; sau cazurile de bio-inginerie pe bază de ADN

artificial13, în care sunt dezvoltate organisme autonome și cu

capacități de reproducere).

În prezent, omenirea dispune deja de un grad foarte ridicat de

evoluție tehnologică, dar de care nu suntem conștienți, la nivelul

populației generale. Și nu este de blamat faptul că nu știm; avem o

sumedenie de motive care ne opresc să asimilăm o astfel de

cunoaștere... de la rutina vieții sociale cotidiene, la bias-uri de

12 https://www.sciencemag.org/news/2020/04/artificial-intelligence-evolving-all-itself 13 https://www.nature.com/articles/d41586-019-00650-8

107 / 139

informare ale media, și până la lipsa adaptării umane la necesitățile

de procesare (la nivel psihic) a Big Data cu care interacționăm zi de

zi.

Tehnologia a evoluat mai repede decât am avut noi

capacitatea să asimilăm noutățile, inducându-ne – în mod automat –

într-un periplu de macro adaptare, la nivel de specie. Iar procesul

adaptării la noutăți (în încercarea de a ține pasul cu dinamica de

creștere tehnologică) nu este simplu sau ușor: generează întregi

revoluții psihice, reforme și reorganizări sociale, schimbări de

interacțiune a omului cu propriile produse și cu mediul natural.

Schimbările sunt deja aici, prezente. Ne rămâne doar să

deschidem ochii, să le privim și să le asimilăm în viețile noastre. Și

suntem obligați să facem asta și – mai mult – să încercăm să facem

și niște pași suplimentari, pentru a ne păstra poziția de ascendent față

de tehnologie. Trebuie să recuperăm niște decalaje pe care deja le

avem în dezavantajul nostru, să ne reinventăm, să depășim lucrurile

mici și egoiste (individuale) care ne țin pe loc, și să descoperim

conștiința colectivă care ne permite să avem grijă unii de alții, să

oferim plus valoare societății și vieții și să organizăm în condiții de

echilibru mediul care ne susține viața.

Dacă nu facem pașii necesari pentru dobândirea și/sau

păstrarea controlului asupra vieților noastre, întregul ecosistem riscă

să eșueze. Am depășit vremurile în care un număr mic de oameni

putea controla masele; pentru că, în condițiile populației numeroase

actuale, care dispune de acces liber la informații, balanța puterii se

înclină din ce în ce mai mult în favoarea maselor. Principiile

democratice devin realitate în mod firesc, normal, natural, automat.

Puterea de acțiune și de influență revine maselor, iar contribuția

individuală se face resimțită mai ușor, propagându-se în mod

involuntar în valurile informaționale sociale. Este doar o chestiune de

timp până când omenirea va înțelege noile realități, care îi oferă

predispoziția și capacitatea de organizare ad-hoc.

Și, deși sună îmbucurător că oamenii încep să își recapete

libertatea de manifestare și expresie, ar trebui să ne îngrijorăm cu

privire la riscurile pe care această ”revoluție” a conștiinței le comportă,

în lipsa deținerii unei capacități corespunzătoare de gestionare a

cunoașterii/ înțelepciunii/ informației de care beneficiem. Adică,

108 / 139

simplul fapt că înțelegem că avem deplină libertate de manifestare nu

ar trebui să ne dea fiori de bucurie, înainte de a ne asigura că și știm

cum să o gestionăm. (Avem exemplele statelor care, ieșite din

opresiunea comunistă, au eșuat cu libertatea în brațe, mai degrabă

decât să își fi fructificat în mod productiv noile avantaje sociale –

democratice – pe care le-au dobândit.)

Lipsa capacității de gestionare a informației/ a inteligenței este

o problemă mai mare decât lipsa libertății de manifestare și expresie.

Este o problemă care poate ridica riscuri serioase la adresa securității

noastre existențiale. Pentru că, o dată ce masele dobândesc

libertatea de manifestare – dar în lipsa conștiinței eco-sistemice, în

lipsa capacității de valorificare energetică corespunzătoare și a

canalizării inteligente a resurselor și eforturilor – atunci este

multiplicat la nivel de numere mari atât potențialul de construcție, cât

și cel distructiv. Și ultimul lucru pe care ne-am dori să îl vedem ar fi

cum masele folosesc în mod necorespunzător tehnologia, aducând

distrugeri ireversibile omenirii și mediului natural.

Inteligența este calea naturală a evoluției. Totodată, inteligența

– nevalorificată corespunzător – poate fi și principalul impediment în

calea evoluției.

---o---

Pentru a dobândi capacitatea de valorificare productivă a

inteligenței noastre, avem nevoie de cunoaștere. Iar cunoașterea vine

din experiență, din viața trăită. Este drept, cunoașterea provenită din

experiența proprie este mult mai puternică decât cea provenită din

experiența colectivă; acesta este și motivul pentru care încă nu

deținem o capacitate mulțumitoare de a gestiona deciziile colective:

pentru că responsabilii de decizii colective nu au înmagazinat în

corpul propriu, în mintea și psihicul lor, toate experiențele individuale

trăite la nivelul vieții colective. Și, probabil, că nici nu va fi vreodată

posibil ca cineva să poată înmagazina la nivel de individ cunoașterea

experiențială/ istorică a maselor. (Am folosit aici dubitativul, pentru că

nu știm ce ne rezervă evoluția tehnologică în viitor; spoiler: a se vedea

procesele de interconectare om-mașină.)

Dar este util și necesar să ne consolidăm potențialul de

gestionare corespunzătoare a deciziilor colective, pentru că ele

reprezintă motorul evoluției noastre, ca specie. Iar deciziile colective

109 / 139

sunt atât cele conștiente (pe care le luăm în cadrul organizării sociale,

politice, organizaționale, s.a.), cât și cele inconștiente (care se

propagă în mod indirect în urma produselor noastre tehnologice).

Când gândim securitatea în raport cu tehnologia, trebuie să

depășim gândirea care este limitată doar la exploatarea

necorespunzătoare/ vătămătoare a tehnologiei. Orice aspect

colateral, legat de tehnologie, trebuie luat în considerare, perceput,

cunoscut, înțeles și gestionat, pentru a ne asigura că tratăm în mod

extensiv securitatea cibernetică.

Așa cum se desprinde și din înțelesul fundamental al

termenilor, securitatea cibernetică privește necesitățile de securitate

care sunt în relație cu toate implicațiile pe care le aduce tehnologia,

prin utilizarea și existența ei în viețile noastre. Înțelegem, astfel, că

sunt multe aspecte pe care le avem de abordat și de explorat, de la

influența pe care tehnologia o aduce asupra omului, societății și

naturii, până la necesități de reglementare a contextului societății

tehnologizate sau la contextul de adaptare a sistemului educațional

la actuala fenomenologie a vieții.

Securitatea cibernetică complementară privește dincolo de

securitatea cibernetică aplicată, abordând securitatea în context

tehnologic, dintr-o perspectivă multilaterală/ trans-disciplinară care

cuprinde repere de inginerie, psihologie, sociologie, științe politice,

drept, medicină, biologie, chimie, marketing, economie, educație,

management, resurse umane, mediu, securitate și apărare s.a. –

practic, din toate domeniile vieții în care tehnologia își face simțită

prezența.

X. Efectele generate de tehnologie

De-a lungul vieții ei, prin utilizare, tehnologia influențează

mediul în care se manifestă. Modelează utilizatorii ei, contextul social

și natura. Rareori ajungem să ne gândim la această perspectivă, fiind

prinși în caruselul consumului de tehnologie și de conținuturi, și al

organizării permanente a vieții cotidiene.

110 / 139

Tehnologia este principalul instrument de care ne-am folosit

ca să construim lumea de azi, în forma ei de ecosistem

antropocentric. Iar prin tehnologie, facem referire aici atât la

tehnologia bazală (reprezentată de orice instrument material, fizic,

utilaj, construcție, etc., precum și de tehnologia informațională), cât și

la tehnologia de organizare (reprezentată de sistemele și

instrumentele de organizare socială, de tehnicile de comunicare și

relaționare inter-umană, etc.), respectiv la cea de ordin sensual

(reprezentată de mentalități, concepții, ideologii, credințe, etc.).

După cum am menționat și în capitolele de început, înțelegem

că tehnologie este orice produs al omului – material sau imaterial –

ori capacitate sau abilitate care îi permite să exprime conținuturi, să

organizeze resurse și să externalizeze capabilități. Toate aceste

instrumente/ mijloace de manifestare și expresie umană preiau din

conținuturile noastre și le modelează, le procesează și le folosesc, le

transmit și le propagă în mediul înconjurător. Evident, conform

direcțiilor pe care noi le-am imprimat în etapa de design și

programare.

De la suprafață privind, viața este simplă; este ceea ce este,

ceea ce se manifestă, ceea ce există. În substrat, este de o

complexitate greu de înțeles. Fiecare mic eveniment se desfășoară

în limita unor legi existențiale (ex. legile fizice) și se află în continuă

interdependență de mediul înconjurător, generând efecte prin fiecare

mișcare pe care o face.

Pentru că energia macro se află într-un echilibru de ansamblu,

într-o stare de conservare unitară, într-o funcționare homeostatică,

elementele mici (parte din această energie) se manifestă în condiții

de interdependență (uneori ușor de înțeles, alteori dificil – spre

imposibil – de urmărit). Efectele se propagă și provoacă un val de

manifestări corelate și ramificate.

---o---

În cuvinte simple, înțelegem că toate faptele și deciziile

noastre se propagă în mediul înconjurător. Iar tehnologiile de care

dispunem, preiau aceste fapte și decizii ale noastre, le multiplică, le

transformă, le autonomizează și le transmit, la rândul lor, în același

mediu de viață. Sunt ca un amplificator al nostru, care ne

111 / 139

externalizează conținuturile și produc reverberații, iar în final, ajung

să ne influențeze și pe noi, în buclă de feedback.

În lipsa cunoașterii efectelor produse de tehnologie, nu putem

ști dacă acțiunile noastre (externalizate, amplificate și propagate) fac

bine sau rău, construiesc sau distrug, vin în sprijinul nostru sau se

pun de-a curmezișul în calea evoluției noastre. Poate că multe dintre

ele produc plus valoare și au influențe benefice și, în egală măsură,

altele pot destabiliza echilibrul ecosistemic și premisele de evoluție

sănătoasă a speciei noastre.

A cunoaște efectele pe care le producem prin tehnologie ne

ajută să înțelegem ce anume putem schimba, cum anume putem

recalibra instrumentele pe care le gândim, cum ne putem adapta

mentalitățile și modul de abordare a vieții, astfel încât să ne facem

viața mai bună și mai confortabilă pe termen lung.

Iar acest ”pe termen lung” conține o înțelepciune vitală pentru

bunăstarea omenirii și a mediului. Pentru că perspectiva/ viziunea pe

termen lung este dificil de obținut și înțeles, și nu întotdeauna are o

înfățișare prea prietenoasă.

În mod special, în viața actuală extrem de dinamică și agitată,

oamenii caută recompense rapide, spontane, pe termen scurt,

echivalând ”calitatea vieții” cu beneficii de ordin material, cu confort

de ordin fizic, cu repere de stabilitate și satisfacere deplină a

necesităților bazale. Gradul nostru de răbdare este scăzut, iar nivelul

de solicitare, crescut. Suntem ca niște copii care au descoperit pentru

prima dată că viața presupune și efort, și fug repede înapoi în spațiul

psihologic al copilăriei, al confortului, al lipsei de griji, de încărcare

sau de presiune.

Însă, noi – oamenii – prin excelență ne datorăm acest înalt

nivel de evoluție (printre altele) și capacității de amânare a

recompensei, de a pune deoparte pentru mai târziu. Pentru evoluția

speciei, această capacitate de gestionare a resurselor pe termen lung

este, în mod fundamental, mai necesară decât savurarea beneficiilor

de pe termen scurt. Desigur, se poate naște o întreagă polemică pe

marginea subiectului, unii afirmând că viața merită trăită din plin, iar

alții că e bine să facem sacrificii pentru asigurarea continuității

disponibilității condițiilor optime de viață.

112 / 139

Adevărul este undeva la mijloc: avem nevoie să ne bucurăm

de viață pe termen scurt, pentru a ne împlini nevoile și a ne permite

să funcționăm în echilibru, astfel încât să putem construi în liniște cele

mai bune condiții de evoluție a vieții pe termen lung (și să se bucure

de ele și copiii noștri, și copiii copiilor noștri, și tot așa). Este ca în

teoria democratică: fiecare individ are deplină libertate de

manifestare, atât timp cât nu deranjează pe nimeni în jurul lui și are

grijă de mediul care îi susține viața.

---o---

Ce este important să înțelegem din această filozofie, este că

dacă nu cunoaștem influențele tehnologiei, nu putem controla

efectele generate de aceasta, predispunându-ne la riscul

destabilizării/ dezechilibrării condițiilor inerente și de mediu, ale

evoluției noastre. Dezechilibrul condițiilor este un risc; se poate

manifesta sau nu. Dar ne este mai de folos să îl cunoaștem, să îl

cuantificăm, să îl estimăm și să îl procesăm spre a putea preveni și

gestiona orice formă de manifestare a sa, decât să îl ignorăm și să

ne facem că nu există.

Avem nevoie să cunoaștem aspectele subtile ale tehnologiei

și ale deciziilor noastre colective, pentru a ne asigura că menținem

perspective constructive/ pozitive de evoluție umană și că ne

bucurăm de cea mai înaltă calitate a ecosistemului în care trăim.

Psihologia cibernetică

Psihologia cibernetică descrie fenomenologia tehnologiei în

context de utilizare umană, la nivel de individ. Orice interacțiune a

omului cu tehnologia îl modelează. Îi solicită atenția și concentrarea,

îi oferă o anumită experiență, îi influențează percepția, atitudinea,

reacțiile, obiceiurile, comportamentul. Îl supune unui proces

transformativ mai mult sau mai puțin sesizabil/ observabil, care poate

avea o pletoră de tipuri de consecințe și moduri de manifestare.

În prezent, domeniul psihologiei cibernetice se află încă la

început, tratând nu foarte corelat aspecte punctuale/ nișate de

influență a tehnologiei la nivelul psihicului uman, precum și repere de

influență la nivelul societății (cu precădere, orientate în jurul

fenomenului social media). În plus, cuprinde și subdomeniul analizei

113 / 139

psihologiei hackerilor, venind în sprijinul înțelegerii necesităților și

fundamentării deciziilor juridice care trag la răspundere faptele cu

nuanță infracțională.

Pe calea maturizării științifice, psihologia cibernetică poate

explora deplin evoluția și manifestările psihicului și corpului uman, în

corelație fenomenologică cu contextul tehnologic în care se

manifestă. Activitățile de cercetare se pot desfășura atât la nivel

fundamental, cât și aplicat, pentru a oferi înțelegere asupra unor

procese umane aflate deja în continuă adaptare și transformare.

---o---

Deciziile noastre părăsesc granițele trupului nostru și se

propagă, prin fiecare gând, vorbă sau faptă. Se adună vectorial,

venind din toate părțile, și formează o inerție dinamică a vieții noastre

colective. La această inerție formată din suma deciziilor individuale,

se adaugă – cu o pondere mai ridicată – deciziile colective, luate prin

intermediul formelor noastre de organizare socială și gestionare

centralizată a resurselor materiale și conținuturilor imateriale.

Toate instrumentele de organizare colectivă (de la

comunicarea de grup/ echipă, la legile naționale și comunitare; de la

grupuri, familie și organizații, la formațiuni statale și suprastatale) și

toate instrumentele de gestionare a vieții spirituale (rostul, sensul,

ideologiile, credințele, s.a.) sunt tehnologii pe care noi le însărcinăm

cu responsabilități, cu atribute ale noastre pe care le preiau și le

procesează independent de noi, la un nivel dincolo de capacitățile

noastre individuale. Numim aceste instrumente ca fiind tehnologii de

organizare și sensuale.

Toate acestea aduc influențe asupra individului și îl

modelează.

---o---

Tehnologiile bazale (materiale și informaționale) sunt o punte

de manifestare/ materializare în spațiul fizic, a tuturor conținuturilor

noastre umane. Amplifică deopotrivă tot ce suntem și tot ce

externalizăm prin tehnologiile noastre (de toate tipurile), la nivel

individual și colectiv.

114 / 139

Din perspectiva tehnologiei bazale, deci, psihologia

cibernetică poate naviga – nișat, integrat și/sau holistic – în

explorarea unor întrebări precum:

- Care sunt dependențele care se nasc în individ, din utilizarea

anumitor tehnologii, și care sunt efectele acestora, modificările

habituale, condiționările de dinamică psihică?

- Cum sunt influențate abilitățile, personalitatea, comportamentul,

gândirea, dezvoltarea, s.a. de anumite tehnologii?

- Cum putem beneficia de instrumentele tehnologice pentru a

facilita dezvoltarea unei gândiri autonome, critice și creative?

- Cum sunt influențate pragurile senzoriale și percepția, în urma

utilizării anumitor tehnologii?

- Care sunt răspunsurile comportamentale/ reacțiile/ deprinderile

care slăbesc în urma utilizării anumitor tehnologii?

- Ce putem pierde și ce putem câștiga, în termeni de competențe și

abilități individuale, în urma utilizării anumitor tehnologii?

- Cum sunt afectate procesele cognitive simple (ex. memoria), ca

urmare a utilizării tehnologiei actuale și viitoare?

- Cum influențează anumite tehnologii corpul uman, la nivel fizic?

- Care sunt procesele adaptive desfășurate la nivelul psihicului, în

urma interconectării fizice și logice om-mașină?

- Care sunt procesele de adaptare/ evoluție umană, ca urmare a

trăirii în mediul societal tehnologizat (ex. capacități native de

procesare Big Data), raportat la diverse categorii de vârstă?

- Care sunt tehnologiile și obiceiurile de consum care dăunează

creșterii copiilor?

- Care sunt condițiile tehnologice care facilitează o creștere

armonioasă și adaptată a copiilor?

- Cum este influențat procesul decizional (al responsabililor din

funcții de conducere organizațională și societală), în condiții de

mediu tehnologizat (ex. în condiții de digitalizare)?

- Cum este influențată capacitatea decizională individuală, în

condiții de informații abundente (Big Data)?

- Care sunt efectele de ordin psihic, generate de interacțiunea

omului cu tehnologia care dispune de inteligență artificială?

- Care sunt efectele gaming-ului asupra individului?

- Care sunt tehnologiile și principiile asociate gaming-ului, care pot

aduce plus valoare și eficiență vieții?

115 / 139

- Care este influența tehnologiei bazată pe realitate virtuală și

realitate augmentată? Cum poate fi aceasta exploatată în sens

constructiv?

- Care sunt considerentele de evoluție a autonomiei individuale, în

urma dobândirii unui anumit grad de libertate în explorarea

informațională, în utilizarea tehnologiei și în producerea de

conținut propriu?

- Care sunt modificările aduse nevoii de apreciere, resimțite la

nivelul individului, prin utilizarea tehnologiilor de media sociale?

- Care sunt modificările de ordin psihic, suferite de individ în urma

expunerii și manifestării publice în tehnologiile de social media?

- Care sunt influențele asupra evoluției psihice, în urma

experiențelor online cu conținut sexual?

- Care este contextul de dinamică psihică individuală, în cadrul

colectivelor internaționale de experți voluntari, care dezvoltă

tehnologii open-source?

- Care sunt influențele la nivelul spațiului psihologic și al intimității

individuale, în urma expunerii vieții private în mediul online?

- Cum se modifică nevoile afective în urma interacțiunii și prezenței

în online?

- Care sunt efectele asupra productivității individuale, în condiții de

muncă de la distanță?

- Care sunt reperele de încredere, la nivel individual, în care se

desfășoară relaționările interumane și interacțiunile om-

tehnologie?

- Care este influența marketing-ului, fake-news-ului și a altor

conținuturi informaționale livrate (precum și a modalității de

livrare) prin mijloace tehnologice?

Lista cu întrebări exploratorii poate fi continuată la nesfârșit, în

scopul cunoașterii modalității de desfășurare a proceselor psihice

individuale în context de interacțiune tehnologică, precum și pentru a

identifica necesitățile și soluțiile care conduc la dobândirea unei plus

valori în urma experienței tehnologizate.

---o---

Dacă ar fi să continuăm aprofundarea psihologiei cibernetice

și din perspectiva tehnologiilor de organizare și sensuale, ne-am

extinde mult dincolo de ceea ce percepem în prezent ca fiind obiectul

116 / 139

unui domeniu precum psihologia. Analizele referitoare la influențele

aduse de tehnologiile de organizare și sensuale pot forma chiar

domenii de studiu de sine stătătoare, precum: științele politice,

managementul organizațional, managementul resurselor umane, s.a.

Ca mostră de analiză a influențelor tehnologiilor de organizare

și sensuale asupra individului, putem gândi întrebări exploratorii

precum:

- Care este influența societății înalt tehnologizate asupra

individului?

- Care este dinamica psihică a individului, în raport cu evoluția

poziționării sistemelor guvernamentale vizavi de dreptul lui la

intimitate și viață privată?

- Cum este afectată încrederea individului în instituțiile publice, în

context de transparentizare ridicată (care poate conduce, de

exemplu, la cunoașterea mecanismelor vieții din spatele ușilor

închise)?

- Care este influența la nivelul individului, adusă de migrarea

diplomației clasice la o diplomație digitală și deschisă?

- Cum este influențat individul prin participarea activă permanentă

(facilitată de digitalizare și media sociale), la viața publică?

- Cum evoluează reperele de autenticitate, angajament și

direcționare sensuală a indivizilor, în condițiile societății înalt

tehnologizate?

- Cum sunt influențate sistemele de valori și credințele individuale,

în urma vieții societale înalt tehnologizate?

- Cum se adaptează individul la o societate pe orizontală,

desacralizată?

- Care sunt pârghiile de încredere inter-relațională și care sunt

mecanismele prin care individul construiește relații și parteneriate

durabile, productive, într-o societate deschisă, cu autoritate

dispersată (relativ) omogen la nivelul întregii populații?

Acestea și multe alte întrebări similare pot fi ușor preluate și

elaborate în discipline de studiu din cadrul științelor umaniste. Avem

nevoie de cercetare pe astfel de direcții, pentru a înțelege cât mai

bine influența pe care o resimte omul (la nivel individual), în buclă de

feedback, de la societatea rezultantă a tuturor deciziilor noastre

individuale și colective.

117 / 139

Sociologia cibernetică

În mod similar cu psihologia cibernetică, putem descrie

domeniul sociologiei cibernetice ca fiind studiul influențelor aduse de

tehnologie (în toate formele ei: bazală, de organizare și sensuală)

asupra societății (grup, colectiv, populație, etc.). Pe această cale,

vom întâlni un grad mai ridicat de complexitate analitică, întrucât

legăturile și corelațiile de tip cauză-efect își pierd cu ușurință urma, în

aglomerația de procese societale.

La nivel social, tehnologia aduce modificări asupra dinamicii:

- sociale (ex. în raporturile de relaționare în familie, în grupuri, în

societate);

- organizaționale (ex. prin modificarea modelelor de business,

reconceptualizarea încrederii tranzacționale);

- publice (ex. prin facilitarea transparenței, regândirea formatelor

ierarhice și inter-relaționale, schimbarea stilului de comunicare

internă și externă, adaptarea serviciilor publice la necesitățile

societății aflate în continuă schimbare);

- economice (ex. prin transformarea comportamentelor financiare,

migrarea instrumentelor și procedurilor bancare facilitate de

tehnologiile moderne);

- juridice (ex. prin transformarea modalităților infracționale, prin

adaptarea necesităților de percepție juridică la noutățile

tehnologice);

- politice (ex. prin abordările diplomatice, modalitățile de promovare

a viziunii politice, modalitățile de coagulare a grupurilor politice,

adaptarea procesului decizional în contextul abundenței

informaționale – Big Data);

- ideologice (ex. prin modelarea sistemelor de valori și credințe, a

culturilor), s.a.

La fel ca în subcapitolul anterior, putem explora domeniul

sociologiei cibernetice în funcție de tipul de tehnologii analizate:

bazale/ de organizare/ sensuale. Însă, pentru simplitate, vom

enumera un singur set de întrebări, orientate – în principal – din

perspectiva tehnologiilor bazale:

- Cum evoluează dinamica socială, în contextul tehnologiilor de tip

media sociale?

118 / 139

- Cum evoluează dinamica raporturilor de putere la nivelul

societății, în condițiile creșterii puterii de acțiune a indivizilor și de

contribuție productivă proactivă a acestora?

- Care sunt reperele de dinamică ale societății deschise, organizate

pe orizontală (sau, cel puțin, ale sectoarelor de dezvoltare

tehnologică organizate deschis, pe bază de contribuție

voluntară)?

- Care sunt reperele și mentalitățile care formează gândirea

colectivă unitară, în procesele de dezvoltare a tehnologiei open-

source?

- Cum evoluează reperele de încredere inter-umană, în condițiile

unei societăți cu mecanisme de organizare autonomă? Dar în

raport cu gradul înalt de tehnologizare al societății?

- Care sunt reperele de evoluție societală, în condițiile înaltei

tehnologizări (digitale, responsive în timp real, virtualizate)?

- Care sunt efectele macro ale creșterii și democratizării accesului

la informații, la nivelul întregii populații?

- Care sunt efectele creării de monopoluri industriale înalt

tehnologizate?

- Care sunt efectele democratizării accesului la resursele și

condițiile de dezvoltare tehnologică?

- Care sunt efectele facilitării dezvoltării în masă, a autonomiei,

creativității și abilității de cogniție critică/ analitică la nivel

individual?

- Care este dinamica inter-dependențelor și relațiilor internaționale,

în condiții de înaltă tehnologizare?

- Care este dinamica globalizării, în context tehnologic?

- Care sunt reperele de dinamică ale diplomației digitale și/sau

cibernetice?

- Care este dinamica balanței dintre inerția tradiționalismului

(conservatorism) și avântul inovației (progresism), în condițiile

accelerării tehnologice?

- Care sunt reperele de evoluție a câmpului muncii și a mediului

organizațional, în condiții de lucru de la distanță?

- Care sunt perspectivele și condițiile optime de dezvoltare a

sistemelor educaționale, în context de înaltă tehnologizare?

- Care sunt necesitățile de transformare educațională, în raport cu

evoluția tehnologică?

119 / 139

- Care sunt reperele de dinamică socială, în condițiile creșterii

gradului de integrare și interacțiune om-tehnologie? Care sunt

criteriile de identitate umană, de echitate interumană și de etică,

în aceste condiții?

- Care este dinamica suveranității statelor și a modalităților

tradiționale de organizare socială, în condiții de înaltă

tehnologizare și spațiu virtual fără granițe?

- Care este dinamica regimului armelor înalt tehnologizate (în

special, a celor cibernetice) și care sunt necesitățile de limitare și

diminuare a înarmării?

- Care sunt implicațiile sociale generate de transpunerea

activităților colective din format fizic în format virtual (ex.

videoconferințe)?

- Care sunt necesitățile pentru alinierea vitezei procesului

reglementativ la cel al dezvoltării tehnologice?

- Care este dinamica deciziilor colective (ex. corespunzătoare

funcțiilor înalt administrative), în condițiile digitalizării?

- Cum evoluează reperele de sănătate, siguranță, securitate,

ordine publică și apărare, în contextul societății tehnologizate?

- Care este influența tehnologiei autonome asupra societății?

- Care sunt perspectivele evoluției tehnologiei pe termen lung și ce

influență pot aduce acestea asupra societății?

Și, în completarea tuturor acestora, își găsește locul

întrebarea: ”... și cum influențează aceasta [a se înlocui cu obiectul

de interes al fiecăreia din întrebări] condițiile de evoluție umană și de

mediu?”.

Ecologia cibernetică

Influența adusă de tehnologie asupra ecosistemului, de

asemenea, face subiectul unor studii aprofundate, care pot oferi

indicii și repere pentru eventuale soluții de îmbunătățire a condițiilor

de trai la nivel planetar.

Este interesant să analizăm cel puțin următoarele aspecte:

- Care este influența adusă de tehnologie asupra climei? Dar

asupra resurselor naturale?

120 / 139

- Care sunt legăturile subtile în tandemul om-tehnologie-natură,

care sunt nocive și se propagă în mod auto-întreținut?

- Care este dinamica de evoluție a naturii, prin raportare la nivelul

de conștiință umană (individuală și colectivă)?

- Care este influența asupra naturii, adusă de tehnologiile

dezvoltate în masă (ex. centre de date, hiper-computere, lanțul

computațional blockchain, s.a.)?

- Cum putem folosi tehnologia pentru dezvoltarea de noi tehnologii

verzi, care permit regenerarea și restabilizarea naturii?

- Cum influențează sistemele de organizare politico-socială

procesul exploatării resurselor naturale?

- Care sunt necesitățile de politici publice privind dezvoltarea

tehnologică, care să asigure condițiile/ premisele recâștigării

echilibrului ecosistemului?

---o---

Psihologia, sociologia și ecologia cibernetică sunt domenii

care necesită analiză aprofundată, în scopul identificării cauzelor

principale/ surselor inițiatoare care generează inerție acțională auto-

propagată și auto-amplificată. Nu este suficient să tratăm doar

efectele vizibile ale fenomenelor pe care le studiem, pentru că ne

conduce doar la risipirea resurselor de care dispunem.

Cunoașterea dobândită prin studiul influenței tehnologiei

asupra omului, societății și naturii ne oferă o perspectivă situațională

a efectelor deciziilor noastre de zi cu zi. Este necesar să știm urmările

faptelor noastre, ca să știm necesitățile de (re)organizare umană

(individuală și socială) care permit menținerea echilibrului vieții,

asigurarea condițiilor optime de evoluție, precum și prevenirea și

contracararea manifestării riscurilor degenerative umane (adică

riscurile generate ca urmări implicite ale acțiunilor umane individuale

și colective, respectiv ale tehnologiei).

XI. Organizarea generată de tehnologie

Indiferent dacă facem sau nu demersuri de cunoaștere asupra

dinamicii evoluției ei și a influențelor pe care le aduce, tehnologia ne

121 / 139

schimbă în mod implicit/ automat contextul de viață. Ne schimbă pe

noi, ca oameni, și reperele noastre de interacțiune. Modelează mediul

natural. Gravează adânc și persistent, în devenirea și maturizarea

erei antropocentrice.

În cele ce urmează, abordăm succint câteva repere referitoare

la modalitatea în care tehnologia modelează organizarea și inter-

relaționarea socială.

Etica

Tehnologia este o extensie a noastră, a ceea ce suntem noi, a

ceea ce gândim, a modului cum privim și ne raportăm la viață. Este o

formă de materializare a sistemelor noastre de valori și de moralitate.

Toate aceste repere sunt imprimate în tehnologie în cadrul

etapelor de design, producție și (re)actualizare, din ciclul ei de viață.

Transferul de conținuturi este realizat, majoritar, în mod inconștient,

prin deciziile coordonatorilor de proiecte și priceperea

programatorilor/ constructorilor, precum și prin aportul provenit din

zona consumatorilor, ca feedback cu privire la necesitățile de

îmbunătățire a produselor. Și, evident, în etapa de (re)actualizare,

mai este realizată o serie de inputuri generate în mod automat în

urma întâmpinării de dificultăți/ erori în utilizare ori în urma

incidentelor cibernetice.

Practic, reperele de etică implementate în tehnologie sunt

marca nivelului de moralitate și conștiință a producătorilor, modelate

cu fine contribuții din zona utilizatorilor și a reglementatorilor.

---o---

Eforturile de reglementare a eticii sunt timide, făcându-și

remarcată prezența abia în anii recenți. Regulamentul General pentru

Protecția Datelor14 (GDPR) din UE este un exemplu de răspuns tardiv

la necesitățile stringente de oprire a exploatării libere a datelor

personale ale consumatorilor, de către deținătorii de tehnologie.

După mai bine de două decenii în care Internetul a evoluat

exploziv pe baza valorificării fără limite a datelor utilizatorilor,

14 General Data Protection Regulation – GDPR – https://eur-lex.europa.eu/eli/reg/2016/679/oj

122 / 139

începând cu anul 2016, veniturile anuale din tranzacționarea datelor

au depășit veniturile din industria petrolului, la nivel mondial. (de unde

și sloganul care circulă astăzi mândru în industria tehnologiilor

informaționale: ”Data is the new oil.”)

Spunem că GDPR este o reglementare tardivă, pentru că

faptele au fost deja întâmplate. Informațiile captate de tehnologii

despre utilizatori au fost îndelung exploatate fără limite, formând

obiceiuri de business care riscă să dăuneze utilizatorilor pe termen

lung. Desigur, această libertate în colectarea și utilizarea datelor a

generat depozite imense de informații (Big Data) care au stimulat

dezvoltare rapidă a unor sectoare tehnologice precum Inteligența

Artificială și analiza de Big Data. Ceea ce, dacă ignorăm faptul că a

fost realizată printr-o masivă violare a dreptului la intimitate și viață

privată, putem spune că este un plus de evoluție tehnologică.

Dacă doar ne gândim la sintagma ”Data is the new oil”

înțelegem că datele sunt un bun de valoare. Ba chiar, putem spune,

un bun de foarte mare valoare, care aparține consumatorilor. Din

start, doar privind ca atare contextul tranzacțional, înțelegem că acest

bun aducător de venituri financiare trebuie să fie compensat/

cumpărat; pentru că altfel, este furt. Poate că este dificil să înțelegem

cum anume cookie-urile colectate de site-uri și de aplicații sunt bunuri

ale utilizatorilor, pentru care deținătorii de tehnologii trebuie să îi

plătească pe consumatori dacă vor să le obțină... dar cam asta este,

pe scurt, ceea ce ascunde sloganul tehnologic contemporan ”Data is

the new oil”.

Când vom înțelege în profunzime implicațiile pe care le

presupune fenomenul datelor personale în format electronic, vom ști

ce anume avem de făcut și cum să gestionăm dezechilibrul dintre

producătorii și consumatorii de tehnologie.

---o---

Este foarte important să asigurăm un echilibru între producția

și consumul tehnologiei. În lipsa acestor repere de balansare și

echilibru, tehnologia riscă să exploateze în mod necuvenit elemente

de substrat ale oamenilor, bunuri informaționale despre care – până

mai de curând – nici nu știam că pot fi percepute ca având o anumită

valoare.

123 / 139

Descoperirea valorilor informaționale pe care oamenii le dețin

intrinsec, prin existența și manifestarea lor naturală, este un pas de

evoluție societală comparabil cu descoperirea (sau inventarea)

conceptului de drepturi ale omului. Privind această analogie,

înțelegem că omenirea, practic, tocmai a făcut un salt de evoluție la

nivelul conștiinței colective. Dacă prin inventarea conceptului de

drepturi ale omului, s-a pus preț pe valoarea existențială a indivizilor,

prin înțelegerea importanței datelor, se pune preț pe valoarea

informațională a acestora.

Acum, valorăm și pentru că existăm, și pentru că ne

manifestăm. Pentru că producem conținuturi și mișcare. Tehnologia

informațională tocmai a făcut evidentă valoarea intrinsecă a

potențialului de mișcare individuală, iar prin valorizarea datelor,

subliniază că acțiunile și faptele fiecăruia dintre noi produc o plus

valoare la nivelul mediului în care trăim.

Continuând analogia, putem constata că un următor pas ar fi

să valorificăm conținuturile produse de indivizi (fenomen care se află

în etapă incipientă, prin încurajarea de contribuție voluntară și

producție de conținut în platformele tehnologice de tip media sociale),

respectiv semnificațiile și nuanțele originale, autentice, ale

”utilizatorilor/ consumatorilor” de tehnologie. Mai devreme sau mai

târziu, când puterea de calcul ne-o va permite, ”Data is the new oil”

va evolua în ”Content is the new oil” și vom înțelege că următorul cel

mai de preț bun al omului este creativitatea sa.

Și tot așa, cum evoluăm noi în aprecierea întâi a existenței

omului (drepturile), iar – mai apoi – a manifestării lui (datele) și a

creativității (conținuturile), ne putem aștepta să valorificăm mai târziu

chiar și conștiința elevată, organizarea colectivă deschisă

homeostatică și orice alte forme superioare de gestionare eficientă a

resurselor psihice și spirituale umane.

---o---

Problema cu toate aceste bunuri umane imateriale/ abstracte

constă în exploatarea lor neautorizată/ necuvenită/ neanunțată/

frauduloasă. Oamenii dețin enorm de multe conținuturi de valoare, de

ordin psihic și spiritual, pe care și le manifestă natural, ca abilități

native. Nu sunt întotdeauna (ba poate chiar, decât în foarte rare

124 / 139

cazuri) conștienți de ele și de importanța lor; dar și le manifestă, din

moment ce sunt parte din ei.

Tehnologia are un mod perfid de a intra pe sub pielea

oamenilor și de a exploata aceste bunuri existențiale, fără a le cere

acordul (așa cum este cazul prelucrării/ tranzacționării datelor

utilizatorilor în scopuri de marketing), sub formă de fraudă, de furt, de

violare a intimității personale.

Etica presupune dezvoltarea de mecanisme de echilibru, în

scopul protecției și valorificării corespunzătoare a bunurilor (fizice,

psihice și spirituale) umane. Prin implementarea eticii în dezvoltarea

tehnologică, ne asigurăm că aducem un echilibru în procesul

valorificării bunurilor umane existențiale.

Este posibil ca etica să încetinească dezvoltarea tehnologică,

însă aduce plusuri incomensurabile sănătății societale. Uneori, poate

că este mai bine să domolim galopul creșterii necontrolate a

tehnologiei pe termen scurt, pentru a asigura condiții de evoluție

echilibrată a omenirii și a mediului înconjurător, pe termen lung.

Dacă vorbim despre eforturile de dezvoltare a Inteligenței

Artificiale cu aplicabilitate și interacțiune umană, spre exemplu, este

de analizat dacă putem construi soluții de inteligență artificială

independente de date preexistente. În prezent, Inteligența Artificială

este dependentă de 3 factori: puterea mare de procesare, algoritmica

specifică și Big Data. Inconvenientul, din punct de vedere social, este

că Big Data provine din activitatea utilizatorilor – ceea ce ridică

probleme privind intimitatea (privacy) oamenilor, din perspectiva

protecției datelor personale.

O algoritmică corespunzătoare (care să învețe treptat, în baza

experienței ”proprii”, în mod similar cu modelul învățării umane,

autonom, independent, urmând doar un set limitat de repere

predefinite – ci nu dintr-un set universal de date generate de utilizatori

la nivel mondial/ deci din baze de date șablon, preprogramate) poate

reprezenta o soluție viabilă de AI (ex. AI neuro-simbolic15), care să se

rezume numai la doi dintre factorii tehnologici – puterea și algoritmii

de procesare – eliminând o serie de probleme cu specific social.

15 Neurosymbolic AI - https://medium.com/swlh/neurosymbolic-ai-to-give-us-machines-with-true-common-sense-9c133b78ab13

125 / 139

Însă un astfel de exemplu de abordare, ar presupune

asumarea încetinirii vitezei de învățare a soluțiilor de Inteligență

Artificială, care contravine dorințelor și necesităților producătorilor.

Acest exemplu, precum și multe alte subiecte similare, pot

reprezenta obiectul unor studii aprofundate care să răspundă în mod

practic necesităților de dezvoltare și implementare a eticii

tehnologice.

---o---

Dezvoltarea eticii și creșterea conștiinței umane sunt

indispensabile pentru asigurarea echilibrului între procesele de

producție și cele de consum tehnologic. Aceste repere de echilibru

trebuie să se regăsească sub formă de principii și norme asimilate la

nivelul populației și sub formă de reglementări care să încadreze

evoluția tehnologică într-un context de sănătate și siguranță.

În prezent, găsim demersuri de gestionare a eticii tehnologice,

în principal în relație cu procesarea și gestionarea datelor cu caracter

personal, cu dezvoltarea Inteligenței Artificiale, cu integrarea om-

tehnologie sau cu gestionarea balanței dintre securitate și intimitate

(security vs. privacy).

În viitor, ne putem aștepta la o sincronizare/ dezvoltare

simultană a eticii și drepturilor omului în raport cu evoluția și utilizarea

tehnologică, în mod special în zona de proprietate intelectuală,

libertăți fundamentale, libertăți democratice (de liberă expresie și

manifestare) – care să prevină apariția unor sloganuri de tipul

”Content is the new oil”.

---o---

Continuând raționamentul, înțelegem că se va găsi mereu câte

un ”new oil” care să migreze în funcție de evoluția obiceiurilor de

consum și a tipurilor de conținuturi pe care le poate gestiona omul,

prin tehnologia sa. Este necesar să asimilăm în zona de etică principii

de gestionare corespunzătoare a relației omului cu natura, astfel încât

să asigurăm oprirea exploatărilor necorespunzătoare și dezvoltarea

unui echilibru de durată, la nivelul ecosistemului în care trăim.

126 / 139

Repere juridice

Așa cum menționam anterior, tehnologia produce modelări în

dinamica societală, în reperele de organizare inter-umană, în mod

natural, fără să aștepte un consimțământ al nostru. Avem nevoie să

înțelegem caracterul acestor modelări și să le transpunem în cadrul

formal care descrie buna desfășurare a vieții.

Sistemul de reprezentare juridică are nevoie să asimileze

noutățile societale, să își adapteze percepția asupra esenței și

identității tehnologiei, asupra esenței și identității omului în raport cu

tehnologia, asupra răspunderii asociate faptelor umane. Trebuie să

facem demersuri de actualizare a sistemului de drepturi și a cadrului

legislativ, pentru a ne păstra ancorați în realitățile prezente și a

răspunde în mod calat evoluțiilor viitoare.

Dacă nu adaptăm reperele juridice/ scriptice la specificul

societății tehnologizate, riscăm o creștere a decalajului dintre idealul

dezirabil și realitatea existentă, îngreunând toate eforturile umane de

materializare a concepțiilor și viziunilor abstracte/ imateriale.

Ajungem să desincronizăm bioritmul social, sistemul educațional și

profesional, pierzând pași importanți în fața evoluției tehnologice.

Scopul fundamental, în ceea ce privește securitatea umană,

este să ne păstrăm ascendentul în fața tehnologiei. Pentru a fi

capabili să controlăm evoluția și interacțiunea cu tehnologia, avem

nevoie de agilitate în mișcare (la nivel social/ organizațional/

instituțional/ administrativ/ guvernamental/ decizional, etc), de

rapiditate în materializarea deciziilor și de acțiune proactivă în

dezvoltarea tehnologiei și a echilibrului om-tehnologie-natură. Avem

nevoie deopotrivă să facilităm dezvoltarea tehnologică și să asigurăm

implementarea cerințelor de etică.

Avem nevoie să actualizăm drepturile omului în context

tehnologic, să revizuim legislația pentru a răspunde corespunzător

necesităților societății tehnologizate, să gestionăm echilibrul dintre

securitate și intimitate, să asigurăm o fundație solidă pentru

menținerea și creșterea încrederii (inter-umane și om-tehnologie) și

să creăm condițiile propice pentru dezvoltarea sustenabilă a

ecosistemului în care trăim.

127 / 139

Transformarea digitală

Revoluția industrială actuală, care se desfășoară mut (dincolo

de nivelul nostru perceptiv primar), conduce la o transformare digitală

a societății, trecerea de la realitatea fizică la cea cibernetic-fizică fiind

mai degrabă exponențială, decât liniară.

Transpunerea cerințelor vieții de la fizic la cibernetic-fizic nu se

face prin transpunere 1-la-1, ci prin adaptare corespunzătoare, cu o

atenție deosebită alocată tuturor detaliilor de implementare. Avem

nevoie să devenim conștienți că orice acțiune fizică sau virtuală are

un emițător și unul sau mai mulți beneficiari. Este posibil ca

multitudinea de activități și tranzacții de fundal (background activity)

a societății tehnologizate să scape percepției noastre; însă trebuie să

rămânem vigilenți și să conștientizăm că nimic nu se desfășoară în

van și că toate acțiunile inițiate de om sau de tehnologie produc

urmări și efecte.

Este o chestiune de responsabilizare individuală și colectivă,

să ne creștem și să ne menținem la un nivel ridicat vigilența cu privire

la implicațiile mai puțin evidente ale vieții tehnologizate. Cunoașterea

mentalităților de funcționare a tehnologiei și a societății, în ansamblul

ei, ne asigură înțelegerea perspectivelor spre care ne îndreptăm

vertiginos, mânați de la spate de inconștientul colectiv pe care ni l-am

construit de-a lungul timpului, prin deciziile pe care le-am luat fiecare

dintre noi.

Locul și situația în care ne aflăm ni se datorează numai nouă.

Nu a venit nimeni din afara Pământului, să ne aranjeze sau să ne

strice jocurile. Tot ceea ce trăim este inițiat în urma deciziilor noastre

și rostogolit (mai mult sau mai puțin autonom) în inconștientul

colectiv/ societal.

---o---

Transformarea digitală are calitatea de a amplifica inerția vieții

și toate conținuturile noastre umane pe care le-am exteriorizat și le-

am atribuit produselor noastre (materiale și imateriale), însărcinându-

le de multe ori inclusiv cu asumarea responsabilității care ne revine.

Este important să înțelegem că avem nevoie să ne modelăm

percepția și înțelegerea asupra fenomenelor, să privim cu ochii minții

procesualitatea de fundal și să ne fondăm corespunzător deciziile pe

128 / 139

care le luăm, astfel încât să putem gestiona evoluția evenimentelor și

perspectivelor de viață, și să asigurăm condițiile menținerii echilibrului

ecosistemic.

Adaptarea educației

Cea mai sigură cale de a menține ascendentul omului asupra

tehnologiei constă în actualizarea și dezvoltarea corespunzătoare a

educației, la nivelul întregii populații umane. În lipsa educației, omul

nu are cunoaștere și devine orb în fața derulării evenimentelor și

fenomenelor care îl înconjoară.

Avem nevoie să adaptăm sistemul educațional la actuala

fenomenologie a vieții, astfel încât să cunoaștem substraturile de

funcționare a societății și a tehnologiei. Cele două – societatea și

tehnologia – sunt strâns corelate în manifestare și în evoluție,

aflându-se într-o dependență reciprocă. Omul creează tehnologia

pentru a-și satisface nevoile (teoria constructivismului social), iar

tehnologia modelează nevoile și dinamica umană în urma utilizării

sale (teoria determinismului tehnologic).

Reperele menționate în capitolele precedente (privind etica și

juridicul) sunt exemple de scopuri superioare care necesită un grad

corespunzător de cunoaștere, competențe și abilități umane.

Progresul pe care avem nevoie să îl facem în înțelegerea

fenomenologiei vieții actuale și viitoare presupune eforturi de

educație la toate categoriile de vârste și orientarea resurselor, în mod

consistent, în mediile academic și de cercetare.

Oamenii au nevoie de libertate și autonomie în manifestarea

conținuturilor, pentru a-și asigura o poziție de unicitate

necompetițională, în contextul diversității și capabilităților înalt

tehnologizate.

Educația trebuie adaptată la contextul tehnologic, pentru a

permite oamenilor să cunoască realitățile în care trăiesc, să își

adapteze viețile și perspectivele la specificul societal (să își păstreze

capacitatea de a produce plus valoare, să fie utili și relevanți), să

asigure controlul și direcționarea procesului evoluției tehnologice, să

contribuie la menținerea echilibrului naturii și să creeze condiții de

sănătate, siguranță și securitate pentru evoluția umană.

129 / 139

Orientarea deciziilor

Cunoașterea ne ajută să ne putem orienta deciziile și cursul

vieții. Ne dă libertate de mișcare și asigură fundația de resurse pe

care ne putem construi capacitatea de gândire critică, analitică,

creativă, autonomă.

Deciziile sunt vitale în procesul de modelare a vieții, a

contextului social și a mediului care ne înconjoară. Sunt conținuturile

cu care hrănim inerția inconștientă colectivă și condițiile practice de

desfășurare a vieții.

Dacă tot urmează să construim o tehnologie cu potențial de

funcționare autonomă, putem să ne gândim să dezvoltăm mecanisme

de management (automatizat) al cunoașterii, care să preia cantitățile

de date industriale de care dispunem și să le proceseze în mod

inteligent, spre a identifica cele mai bune soluții pentru viitor.

Tehnologia bazată pe Inteligență Artificială ar putea sta la baza unui

sistem tehnologic de management al cunoașterii, ca marcă de

excelență a externalizării unei abilități native umane (în speță,

abilitatea de gestionare structurată/ organizată a informației deținute).

Managementul cunoașterii pe bază de inteligență artificială ar

duce la un nou nivel actualul sistem de reprezentare a informației,

existent în Internet. În prezent, informația este stocată în formă brută,

în mod cvasi-centralizat, static (în sensul că o găsim prin interogarea

de la un singur post de lucru/ punct de acces la Internet). În viitor,

informația ar putea să ne parvină în formă prelucrată, procesată

corespunzător spre a servi în mod adaptat necesităților utilizatorului,

și în mod dinamic și distribuit (prin interacțiune multi-senzorială și

integrare nativă a omului cu tehnologia). Acum, avem informație

brută, la un click distanță; în viitor vom avea informație procesată,

adaptată nevoilor noastre, la un gând distanță.

În aceste condiții, este vital să dezvoltăm mecanisme de

control al deciziilor, pentru a nu risca dezvoltarea de bias-uri

procesuale, care să se propage în mod necontrolat în tehnologie și în

inerția inconștientului colectiv.

---o---

Nu există garanții privind cunoașterea corectă a polarității

(pozitive sau negative) pe care procesul evoluției umane o prezintă și

130 / 139

o va urma. Deși își influențează în mod indirect condițiile și calitatea

vieții, omul nu are o capacitate automată/ intrinsecă de a discerne

asupra tendințelor de evoluție macro ale speciei, întrucât fenomenul

în sine este rodul unui efort colectiv. Iar individul încă nu a interiorizat

capacitățile de gestionare colectivă ale speciei.

Deși, la nivel mondial, specialiștii se întrec în realizarea de

predicții privind evoluția omului în raport cu tehnologia pe care o

creează, este dificil de estimat dacă ne îndreptăm spre un rezultat

nefast sau dacă parcurgem o cale de dezvoltare a speciei. Cum,

deopotrivă, este dificil să garantăm că predicțiile și previziunile vor fi

îndeplinite, din moment ce viața este plină de incertitudini la tot pasul,

care pot modifica oricând mersul lucrurilor.

În plus, dacă ascultăm teoria fizicii cuantice, înțelegem că un

eveniment își schimbă cursul desfășurării chiar și prin simpla

prezență a unui observator; caz în care, prin simpla acțiune de

predicție, noi în fapt observăm posibilul eveniment viitor care,

automat, își schimbă deci cursul de evoluție.

Însă faptul că nu putem prezice cu precizie desfășurarea

evenimentelor, nu înseamnă că ne putem relaxa, adormindu-ne

vigilența. Cunoașterea realităților prezente și a posibilităților de

desfășurare a viitorului oferă o șansă analizei riscurilor cu care ne

putem confrunta și pregătirii pentru prevenția și contracararea

manifestării lor. Ceea ce conduce, automat, la diminuarea risipei

resurselor, scăderea potențialului distructiv și creșterea șanselor

pentru o evoluție echilibrată a omenirii.

Avem nevoie de analiza aprofundată a necesităților de

sănătate, siguranță și securitate, pentru a ne asigura – în mod

proactiv – că suntem pe o cale de creștere, de dezvoltare, de

construcție echilibrată. Avem nevoie să conștientizăm că toate

schimbările majore sunt generate de procesele decizionale umane,

iar restabilirea și menținerea unui echilibru sau optimizarea condițiilor

propice dezvoltării pot fi obținute prin efort colectiv, în mod conștient,

asumat și direcționat.

---o---

131 / 139

Pentru a împlini aceste deziderate, avem nevoie să dezvoltăm

corespunzător mecanismele educaționale și de cercetare, de

cooperare și colaborare pe orizontală la nivel de mediu academic –

industrie – mediu public – societate, de creștere și valorificare a

capacității inovatoare și creative, de reglementare, percepție juridică,

inter-relaționare și organizare socială, de globalizare, de control

asupra tehnologiei și de interacțiune cu natura. Toate – privite din

perspectiva sănătății, siguranței și securității umane, și asumate atât

la nivel colectiv, cât și individual.

Avem posibilitatea (libertatea) și responsabilitatea să pregătim

un teren fertil pentru viitorul nostru și al generațiilor care ne vor urma.

Avem nevoie să luăm decizii în mod conștient, corect și documentat,

cu privire la calea transformării societale și tehnologice, și să evităm

să ne lăsăm purtați și modelați – de la sine – de efectele subtile ale

manifestării noastre colective inconștiente.

132 / 139

PERSPECTIVE

XII. Tendințe de evoluție

Autonomia

Tehnologia tinde să devină autonomă. Deține, în prezent,

capacități de automatizare, iar mulțumită Inteligenței Artificiale va

face pași spre dobândirea unei autonomii în mișcare, în evoluție

(auto-dezvoltare) și în capacitatea de a lua decizii.

În aceste condiții, noi avem nevoie – atât la nivel individual, cât

și colectiv – să ne valorificăm și să ne sporim autonomia în mod

prioritar, pentru a ne menține competitivitatea în raport cu tehnologia

și pentru a ne păstra capacitatea de control/ ascendentul asupra ei.

A avea controlul asupra tehnologiei înseamnă să o cunoaștem

în toate amănuntele ei, să o putem privi și înțelege ca pe un sistem

deschis, etalat (transparent box), să evităm pe cât posibil

interacțiunea cu ea ”legați la ochi”. În raport cu percepția și

înțelegerea noastră, tehnologia trebuie să nu fie un mister, un sistem

închis, ascuns (de tip black box). Ea poate evolua autonom; dar noi

trebuie să înțelegem – cu ochii minții – procesele de fundal și

implicațiile existenței și funcționării ei. Trebuie să îi intuim mișcările,

procesele, funcțiile. Trebuie să o cunoaștem, ca să putem păstra

capacitatea decizională și acțională dintr-o poziție care permite

controlul.

---o---

Menționam, în conținutul cărții, că putem grupa tehnologiile în

trei categorii: bazale (care execută sarcini de bază, existențiale, de

implementare pre-programată a conținuturilor umane), de organizare

(care înlesnesc și coordonează relaționarea interumană și

organizarea socială) și sensuale (care susțin procesul creativ,

explorarea sensului și a spiritualității).

Momentan, vârful tehnologic de care dispunem (cu referire

aici, la tehnologia informațională) se află încă în registrul tehnologiilor

133 / 139

bazale. Prin trecerea la Inteligența Artificială, tehnologia va prinde un

grad mai ridicat de autonomie, care îi va oferi posibilitatea realizării

unui pas evolutiv, spre categoria tehnologiilor de organizare.

Din această poziție, ne putem aștepta să vedem că tehnologia

ne va facilita organizarea vieții curente, populând peisajul social cu

elemente procesuale pe care le percepeam – până de curând – ca

fiind un atribut prin excelență uman. Vom vedea algoritmi capabili să

discearnă înțelesurile logice dintr-un proces juridic, spre exemplu,

sau să recomande anumite comportamente tranzacționale

economice în urma analizei evenimentelor sociale, sau să organizeze

homeostatic fluxurile de circulație terestră (și, în curând, și aeriană)

în orașe, să ofere indicații și recomandări de gestionare ecologică a

resurselor naturale în baza analizei de Big Data din Internet și din

imagini satelitare, s.a.m.d.

Orice acțiune și decizie (relativ) simplă care poate fi

automatizată va fi preluată și implementată de tehnologie. Astfel,

tehnologia va degreva omul de sarcini administrative și de

organizare, eliberându-i timpul și oferindu-i posibilitatea (și

obligativitatea morală totodată) de a-și explora, dezvolta și valorifica

potențialul creativ.

Și am menționat ”obligativitatea morală” a omului de

valorificare a creativității, pentru că mai devreme sau mai târziu

tehnologia va avansa cu pași repezi către categoria tehnologiilor

sensuale, care pot crea conținuturi de valoare, încărcate cu sens. În

această etapă, ne putem aștepta să găsim în tehnologie un partener

de dezvoltare, un coechipier (uneori chiar simbiotic, în cazul integrării

om-tehnologie) care ne ajută să explorăm esteticul și înțelesul vieții,

în căutarea fericirii și a împlinirii. Ne va putea oferi alternative de

ideologii și sisteme de gândire, de mentalități, de soluții ingenioase și

menținere a echilibrului homeostatic la nivelul ecosistemului în care

trăim. (Asta, în cazul fericit în care vom evita să o folosim în scopuri

distructive, după cum bine observăm predispozițiile noastre istorice

de evoluție, la nivel de specie.)

Viitoarea tehnologie va urma o cale auto-direcționată, propriul

destin, propriul algoritm de creștere naturală, ieșind de pe poteca

trasată de creatorul ei, iar noi vom avea nevoie să fim pregătiți și

antrenați în procesele de analiză a relației om-tehnologie, pentru a ne

134 / 139

asigura sănătatea și certitudinea existențială. Va trebui să ne

menținem un ascendent asupra ei, pentru a-i putea controla și

direcționa manifestarea și evoluția, în avantajul nostru și al mediului

înconjurător.

Topici de evoluție

Pe termen scurt, ne putem aștepta să întâmpinăm cel puțin

următoarele evoluții:

- Tranziția de la procesarea binară, la cea cuantică;

- Tranziția de la procesarea pre-programată/ liniară la cea

autonomă/ inteligentă/ neliniară;

- Creșterea gradului de interconectare, integrare și

interdependență;

- Creșterea procentului tehnologiilor dezvoltate deschis (open-

source), comparativ cu tehnologiile proprietare/ încapsulate.

Printr-o eventuală democratizare a accesului la resursele de

dezvoltare, se poate forma o plajă de bază de resurse deschise,

de la care să se continue cu personalizarea/ customizarea

produselor și înregistrarea lor ulterioară sub drepturile de autor;

- Tranziția de la informația statică (brută, accesibilă prin căutare) la

cea dinamică (procesată, prelucrată, accesibilă prin interogare);

- Tranziția de la un ecosistem/ mediu de viață inert la unul conștient

și interactiv (care dispune de un grad ridicat de senzoristică, de

capacități de procesare informațională și de interfațare fluentă cu

omul; un Internet of Everything interactiv și inteligent).

- Eficientizarea procesuală în organizarea socială, prin dezvoltarea

de medii/ contexte inteligente (ex. Smart City, Smart

Administration, Smart Everything);

- Explorarea și valorificarea realității virtuale și augmentate;

- Analiza de Big Data (atât prin intermediul instrumentelor

tehnologice, cât și ca abilități native umane);

- Transformarea educației și a înțelegerii vieții. Creșterea nivelului

de conștiință individuală și colectivă;

- Automatizări și autonomizări industriale;

- Valorificarea și procesarea eficientă integrată (și poate chiar

autonomă) a conținuturilor și contribuțiilor umane;

- Creșterea gradului de transparență;

135 / 139

- Creșterea importanței și influenței mediului de cercetare, în

special pentru fundamentarea deciziilor;

- Actualizarea sistemului de drepturi ale omului;

- Creșterea considerabilă a problematicii securității cibernetice și

calibrarea acesteia pentru a răspunde contextului societății

tehnologizate, în ansamblu.

Necesități de adaptare

Este important să fim conștienți că tehnologia ne împrumută

din caracteristici și din percepția noastră asupra realității în care trăim.

Ceea ce suntem noi se propagă în exteriorul nostru și regăsim din

plin în calitatea vieții noastre, în societate și în mediu.

Să nu ne așteptăm ca tehnologia să ne educe ea pe noi, să ne

corecteze, să ne parcurgă stadii de evoluție sau să își asume

responsabilități care ne revin. Pentru că nu vom obține rezultatele

scontate; ba ne putem trezi chiar că în loc să ne facem bine, creăm

un cerc vicios distructiv, facilitat de externalizarea tehnologică.

Creșterea și corecțiile umane nu se fac din exterior, ci din

interior, prin lucrul cu sinele. Ceea ce nu ne place la noi și la societate,

trebuie să schimbăm pe cale umană, nu prin impunere tehnologică.

Dacă vrem să fim mai buni, trebuie să ne schimbăm noi pe noi, iar

apoi binele se va perpetua de la sine, în spațiul care ne înconjoară.

De altfel, nu putem nici arunca vina pe tehnologie pentru

acțiunile pe care le face. Ea este o oglindire a conținuturilor noastre.

Ca atare, noi suntem responsabili de modelările pe care le face

asupra vieților noastre și asupra mediului înconjurător. Avem nevoie

să ne asumăm responsabilitatea acțiunilor tehnologiei, pentru că ne

revine.

Așadar, avem nevoie să fim cea mai bună variantă a noastră,

atât pentru a ne asigura că ne păstrăm premisele de ascendent

asupra tehnologiei, cât și pentru a permite preluarea de conținuturi

corespunzătoare de către tehnologie. Și, în mod implicit, trebuie să

ne asumăm responsabilitatea atât asupra evoluției noastre umane,

cât și asupra acțiunilor tehnologiei.

---o---

136 / 139

Înțelegerea deplină (și corectă) a vieții ne facilitează judecata

dreaptă. În plus, ne oferă capacitatea de a privi în perspectivă, de a

identifica necesitățile pe care le presupune parcurgerea căii spre

înainte și de a dezvolta cele mai bune soluții pentru îndeplinirea

necesităților evolutive.

Fără pretenția de a fi exhaustivi, enumerăm o serie de

necesități de adaptare (în reluarea sau în completarea celor

enumerate pe parcursul cărții) pe care le putem avea în vedere în

procesul evoluției umane în context tehnologic:

- Anticiparea nevoilor de gestionare a golului creat de perturbarea/

disruperea adusă de digitalizare și tehnologiile emergente;

- Studiul influenței digitalizării și a abundenței informaționale asupra

conștiinței si capacității decizionale umane;

- Dezvoltarea capacității de conștientizare, de înțelegere, de

urmărire, de vigilență, de control, pentru a ne putea păstra

ascendentul asupra propriilor creații/ tehnologii;

- Dezvoltarea de metode/ tehnici/ practici/ conduite de adaptare

permanentă și management al schimbării, în raport cu evoluția

tehnologică;

- Adaptarea necesităților educaționale, în context tehnologic.

Dezvoltarea unei culturi de mentalități de funcționare tehnologică,

dublată de o cultură de securitate cibernetică extinsă.

[Această cunoaștere trebuie să ajungă în funcționarea

subconștientă. Este ca un sistem imunitar: ce ai experimentat este

depășit și înregistrat, învățat; ulterior nu te mai poate atinge,

pentru că dezvolți imunitate. Cultura acționează la nivel

subconștient, folosindu-se de obiceiuri antrenate. Cunoașterea și

înțelegerea devin resurse inconștiente, care sunt valorificate în

mod automat, homeostatic.]

- Pregătirea populației pentru tehnologie;

- Actualizarea conceptuală și a înțelegerii fenomenologice (ex.

balanța criticitate vs. redundanță; evoluția percepției asupra

infrastructurilor critice; abordări democratice în implementarea și

asumarea securității; auditul procedural vs. auditul tehnic de

securitate cibernetică, în procesele de monitorizare a

conformității; diferențierea dintre evenimente, incidente și

investigații în spațiul fizic vs. evenimente, incidente și investigații

cibernetice).

137 / 139

- Dezvoltarea unor instrumente de modelare și simulare (pentru

validare) a conceptelor și procedurilor de implementare.

Dezvoltarea de micro-climate de antrenament și testare, pentru

pregătirea punerii în practică;

- Transpunerea adaptată (nu 1-la-1) a conceptelor din lumea fizică

în lumea virtuală și cibernetic-fizică;

- Dezvoltarea capacității de reglementare adaptată la cerințele de

aplicabilitate și la necesitățile impuse de ritmul evoluției

tehnologice;

- Adaptarea proceselor de organizare, pentru a permite

flexibilitatea și agilitatea necesare evoluției tehnologice;

- Gestionarea responsabilă a armelor cibernetice;

- Îmbunătățirea capacităților decizionale colective;

- Dezvoltarea capacităților decizionale proactive și preventive;

- Dezvoltarea capacităților individuale de gândire critică, analitică și

creativă. Dezvoltarea conștiinței, a cunoașterii, a înțelegerii

fenomenologiei vieții;

- Facilitarea inovării. Consolidarea libertății de expresie,

manifestare și dezvoltare individuală și colectivă. Încurajarea,

susținerea și stimularea antreprenoriatului, ca practică și

mentalitate. Asigurarea condițiilor optime pentru materializarea

potențialului creativ/ productiv uman.

- Facilitarea creșterii și evoluției umane. Respectarea deschiderii și

aspirației spre spiritualitate. Libertatea de gândire și de căutare a

sensului vieții.

- Pregătirea etapei societale în care vor fi valorificate conținuturile

produse individual. Migrarea mentalităților spre asimilarea

modelelor de business distribuite, valorificarea Big Data, transfer

al cunoașterii, servicii sau voluntariat în consultanță/ recomandări

de specialitate;

- Transformarea diplomației, în context tehnologic;

- Scalarea impactului;

- Consolidarea încrederii;

- Eficientizarea algoritmică;

- Dublarea eforturilor pentru menținerea vigilenței asupra

procesului de tranzit generat de actuala revoluție industrială;

- Dezvoltarea de mecanisme anti-fake-news, pentru validarea

veridicității informațiilor;

138 / 139

- Dezvoltarea modularității și interoperabilității;

- Creșterea transparenței;

- Democratizarea accesului la resursele educaționale și de

dezvoltare tehnologică;

- Asigurarea echilibrului între producție, consum, reglementare și

etică;

- Protecția proactivă, refacerea și îmbogățirea naturii. Asigurarea

condițiilor optime de coabitare a omului cu ecosistemul care îi

asigură viața.

Încrederea

Încrederea este vitală pentru evoluție. Este hrana oricărui

proces sau relaționare. Este fundația care permite construcția de

conținuturi. Este adezivul care leagă și permite valorificarea cumulată

a energiei colective.

Încrederea este cheia colaborării inter-umane, care i-a permis

omului să se organizeze în număr mare și să evolueze ca specie.

Permite delegarea de sarcini, extinderea capacității de control în

exteriorul individului și externalizarea conținuturilor umane (în

tehnologie și la nivel de mediu). Generează nevoia de familiaritate

care permite sufletului să se dezghețe și să se manifeste, să se

exprime, să creeze.

---o---

Noi oferim încredere tehnologiei noastre. Este vital. Fără

încredere, tehnologia devine un străin, un dușman, un parazit căruia

nu i-am permite să intre în viețile noastre.

Dacă privim atent la cum evoluează societatea tehnologizată,

descoperim că asimilarea tehnologiei se face ca urmare a solicitării

consumatorilor, ci nu ca impunere din partea guvernelor. (Cel mai bun

exemplu este instaurarea sistemului tehnologic de rating social16, în

China, care nu a fost impus top-down de la guvern, ci a fost solicitat

bottom-up de către populație via tehnologia comercială.) Asimilarea

tehnologiei este o evoluție generată aparent natural de către

16 https://www.wired.com/story/age-of-social-credit/ https://www.wired.co.uk/article/china-social-credit-system-explained

139 / 139

consumatori, dar totuși orchestrată atent de producători, prin

mecanisme de marketing calibrate.

Încrederea este capacitatea noastră de a ne lăsa purtați de

val. Este actul prin care investim cu libertate semenii noștri (și orice

altă vietate cu care interacționăm) și tehnologia. Este fundație pentru

democrație, pentru sănătate, pentru autonomie, pentru inteligența

artificială și pentru orice alte produse ale omului, materiale sau

imateriale, bazale, de organizare sau sensuale.

---o---

Încrederea este libertatea dată de creator creației. Este un act

de recunoaștere și de apreciere, de învestire cu putere, care

generează și perpetuează valoare, conținuturi, creație. Este

capacitatea de a delega o responsabilitate. Cel care primește

încredere, pe de o parte își asumă că poate purta pe umeri povara

primită, și de pe de altă parte se simte onorat că a primit confirmarea

că o poate duce. (Nevoia de a fi apreciat este o nevoie de creație

utilă, o nevoie de a fi util, de a valorifica energia pe care o deții).

În același timp, putem considera credința ca fiind certitudinea

creației cu privire la faptul că al său creator îi oferă resursele și

condițiile propice/ optime de care are nevoie pentru manifestare,

pentru ducere la îndeplinire a scopului și responsabilităților care îi

revin. Credința este capacitatea de a te simți în siguranță. Totodată,

este și o răscumpărare oferită de creație creatorului, un act de

corectitudine și asumare deplină a rolului de implementator/

executant, un act de recunoștință față de încrederea acordată.

Încrederea și credința formează o pereche și se află în relație

de complementaritate. Dacă înțelegem aceste considerente, vom ști

– în termeni filozofici – că noi investim tehnologia cu încredere ca să

ne servească interesele spre binele nostru și al ecosistemului, în timp

ce tehnologia trebuie să acționeze în credință față de noi (creatorii

ei), în semn de recunoștință pentru faptul că i-am dat viață.

140 / 139

Dinamica securității cibernetice. Repere de gestionare holistică

a securității în context tehnologic este o carte care pune în centrul

atenției tehnologia și implicațiile de securitate pe care aceasta le

comportă intrinsec și în relație cu omul (ca dezvoltator și utilizator al

său) și cu mediul înconjurător.

Invită la o analiză de ansamblu a ciclului de viață al tehnologiei - de

când este concepută, pe măsura utilizării sale și până iese din uz -

pentru a înțelege necesitățile individuale și organizaționale de

asigurare a securității cibernetice, precum și nuanțele mai puțin

observate și cunoscute ale influenței pe care tehnologia o aduce

asupra echilibrului ecosistemic.

Pasionat de tehnologie și psihologie, Eugen

Florian POPESCU este un specialist în domeniul

securității cibernetice, care studiază și explorează

procesul de evoluție umană atât din perspectiva

abilităților native, cât și a produselor tehnologice

dezvoltate.

Abordează cu încredere provocări de gândire

strategică, de inovare, de educație, de reglementare și de cooperare

internațională, oferind soluții practice de adaptare a nevoilor

individuale, organizaționale, sociale și de mediu la tendințele impuse

de tehnologiile digitale și emergente.

Lucrările semnate de Eugen Florian POPESCU se încadrează într-

un spectru larg de interese și aplicabilitate, și includ: documente de

strategie, de reglementare și de management, cărți cu conținut

tehnico-științific, cărți de analiză filozofică, precum și materiale cu

conținut artistic.

ISBN 978-973-0-33570-5