Cât de pregătită este primăria dumneavoastră pentru un atac informatic? 10 verificări care pot fi făcute imediat

Atacurile informatice asupra instituțiilor publice au readus în atenție o problemă importantă: cât de pregătite sunt administrațiile locale în cazul unui incident de securitate?

Primăriile de comună se află într-o situație aparte. De cele mai multe ori, nu au un departament IT propriu, iar aplicațiile informatice au fost instalate și sunt administrate de mai mulți furnizori diferiți.

O firmă se ocupă de programul de contabilitate, alta de taxe și impozite, alta de registrul agricol, iar site-ul instituției poate fi administrat de un alt furnizor.

Fiecare sistem poate funcționa aparent bine, însă este posibil ca nimeni să nu aibă o imagine completă asupra întregii infrastructuri informatice.

În acest context, este important să facem diferența între două zone distincte:

1. site-ul public al primăriei;
2. sistemele informatice interne ale instituției.

Riscurile și măsurile necesare sunt diferite.

1. Site-ul public al primăriei

Site-ul primăriei este, în mod normal, o platformă publică și nu ar trebui să conțină date sensibile sau să permită accesul direct la sistemele interne ale instituției.

Cu toate acestea, compromiterea site-ului poate produce probleme serioase:

• modificarea sau ștergerea informațiilor publicate;
• afișarea unor mesaje neautorizate;
• redirecționarea cetățenilor către pagini periculoase;
• distribuirea unor fișiere infectate;
• afectarea imaginii instituției;
• indisponibilitatea temporară a serviciilor online.

Multe site-uri ale primăriilor sunt construite pe platforme precum WordPress, Joomla sau alte sisteme de administrare a conținutului.

Aceste platforme nu sunt în mod automat nesigure, însă trebuie actualizate și întreținute permanent.

Recomandări minime pentru site-ul public

Primăria ar trebui să ceară furnizorului care administrează site-ul:

• actualizarea periodică a platformei, temelor și extensiilor;
• ștergerea pluginurilor și temelor care nu mai sunt utilizate;
• folosirea unor parole puternice și unice;
• activarea autentificării în doi pași pentru administratorii site-ului;
• limitarea încercărilor repetate de autentificare;
• eliminarea conturilor vechi sau necunoscute;
• realizarea periodică a copiilor de siguranță;
• păstrarea backupului într-o locație diferită de serverul site-ului;
• verificarea periodică a fișierelor și conturilor suspecte;
• protejarea site-ului prin HTTPS și, dacă este posibil, printr-un firewall pentru aplicații web.

În cazul site-ului public, un backup actualizat poate permite restaurarea relativ rapidă după un incident.

Totuși, simpla restaurare nu este suficientă. Înainte de repunerea site-ului în funcțiune trebuie identificată și eliminată cauza compromiterii. În caz contrar, site-ul poate fi atacat din nou.

2. Sistemele informatice interne ale primăriei

Sistemele interne reprezintă zona cu adevărat critică.

Acestea pot include:

• contabilitatea;
• taxele și impozitele locale;
• registrul agricol;
• registratura;
• salarizarea;
• evidențele de asistență socială;
• bazele de date;
• serverele de fișiere;
• documentele interne;
• aplicațiile de urbanism;
• sistemele de casierie;
• e-mailul instituțional;
• aplicațiile furnizate de instituțiile centrale.

În cazul unui atac ransomware, aceste date pot deveni indisponibile sau pot fi criptate. Activitatea instituției poate fi blocată pentru o perioadă importantă.

Problema nu este doar existența unui antivirus.

Trebuie cunoscut întregul sistem:

• unde sunt păstrate datele;
• cine are acces la ele;
• cine realizează copiile de siguranță;
• unde sunt păstrate backupurile;
• cine actualizează serverele și calculatoarele;
• ce furnizori se pot conecta de la distanță;
• cine răspunde în cazul unui incident.

Riscul furnizorilor multipli

În multe primării, fiecare furnizor răspunde doar de propria aplicație.

Firma de contabilitate se ocupă de programul contabil. Firma de taxe și impozite se ocupă de aplicația sa. Firma care a instalat serverul se ocupă de infrastructură. Firma care administrează site-ul se ocupă doar de site.

În această situație poate apărea un gol de responsabilitate.

Fiecare furnizor poate considera că backupul, securitatea rețelei sau monitorizarea sunt responsabilitatea altcuiva.

De aceea, primăria trebuie să desemneze o persoană responsabilă pentru relația cu furnizorii IT și pentru centralizarea informațiilor.

Această persoană nu trebuie să fie neapărat specialist IT. Rolul său este să știe cine răspunde pentru fiecare sistem și pe cine trebuie să contacteze în cazul unei probleme.

Întrebări care trebuie adresate furnizorilor

Fiecare firmă care administrează o aplicație sau un sistem informatic ar trebui să răspundă în scris la câteva întrebări simple:

1. Ce date administrați pentru primărie?
2. Unde sunt stocate aceste date?
3. Cine are acces la ele?
4. Cum se realizează accesul de la distanță?
5. Este activată autentificarea în doi pași?
6. Cât de des se realizează backupul?
7. Unde este păstrat backupul?
8. Există o copie separată de rețeaua primăriei?
9. Când a fost testată ultima restaurare?
10. În cât timp poate fi repusă aplicația în funcțiune?
11. Ce se întâmplă dacă serverul este criptat complet?
12. Cine răspunde pentru actualizările de securitate?
13. Cine verifică alertele și problemele detectate?
14. Ce persoane din cadrul firmei au acces la sistem?
15. Cum este dezactivat accesul la încheierea contractului?

Răspunsul „backupul se face automat” nu este suficient. Trebuie cunoscut dacă backupul există, dacă este separat și dacă a fost testată restaurarea.

Backupul este esențial, dar trebuie să fie protejat

Un backup păstrat pe același server sau pe un hard disk conectat permanent poate fi criptat împreună cu datele originale.

De aceea, este recomandat să existe:

• datele folosite în activitatea curentă;
• o copie pe un sistem separat;
• cel puțin o copie offline sau într-o locație externă.

Copia offline poate fi păstrată pe un dispozitiv care este deconectat după realizarea backupului.

O altă opțiune este utilizarea unui serviciu de stocare care păstrează mai multe versiuni și protejează datele împotriva ștergerii.

Backupul trebuie și testat. Periodic, trebuie restaurat un fișier sau o bază de date pentru a verifica dacă informațiile pot fi recuperate.

Accesul de la distanță trebuie controlat

Multe firme de suport folosesc aplicații precum AnyDesk, TeamViewer sau alte soluții similare.

Aceste aplicații sunt utile, însă primăria trebuie să știe:

• ce programe de acces la distanță sunt instalate;
• cine se poate conecta;
• dacă accesul este permanent;
• dacă este activată autentificarea în doi pași;
• dacă există un jurnal al conectărilor;
• dacă accesul poate fi dezactivat rapid.

Aplicațiile care nu mai sunt utilizate trebuie dezinstalate.

Foștii furnizori și foștii angajați nu trebuie să păstreze accesul la sistemele instituției.

Separarea rețelelor și a sistemelor importante

Un calculator infectat dintr-un birou nu ar trebui să poată afecta automat toate serverele și aplicațiile primăriei.

Pe cât posibil, trebuie separate:

• calculatoarele angajaților;
• serverele;
• sistemele de backup;
• camerele de supraveghere;
• imprimantele și celelalte echipamente conectate;
• rețeaua Wi-Fi pentru vizitatori;
• dispozitivele personale.

Rețeaua Wi-Fi destinată cetățenilor sau vizitatorilor trebuie să fie diferită de rețeaua internă a instituției.

Parolele și conturile de utilizator

Fiecare angajat trebuie să aibă propriul cont.

Trebuie evitate conturile comune, precum:

• secretariat;
• contabilitate;
• primaria;
• administrator.

Parolele trebuie să fie lungi, greu de ghicit și diferite pentru fiecare serviciu.

Autentificarea în doi pași trebuie activată cel puțin pentru:

• e-mail;
• conturile administrative;
• site-ul primăriei;
• serviciile cloud;
• accesul de la distanță.

La plecarea unui angajat sau la încheierea unui contract, accesul trebuie dezactivat imediat.

Pregătirea angajaților

E-mailul rămâne una dintre cele mai frecvente căi prin care un atacator încearcă să pătrundă într-o instituție.

Angajații trebuie instruiți să fie atenți la:

• facturi sau documente neașteptate;
• fișiere ZIP sau RAR;
• documente care cer activarea macrocomenzilor;
• mesaje care solicită verificarea urgentă a parolei;
• linkuri suspecte;
• solicitări urgente de plată sau de schimbare a unui cont bancar.

În cazul unei solicitări financiare neobișnuite, informația trebuie confirmată telefonic folosind un număr cunoscut anterior, nu datele de contact din mesajul suspect.

Este important ca angajații să raporteze imediat o greșeală sau un mesaj suspect.

Primele minute și primele ore pot face diferența între un calculator afectat și compromiterea întregii rețele.

Ce trebuie făcut în cazul unui incident

Dacă fișierele nu se mai deschid, apare o cerere de răscumpărare sau calculatorul se comportă neobișnuit:

1. Calculatorul trebuie deconectat de la rețea și de la Wi-Fi.
2. Trebuie anunțată imediat persoana responsabilă și firma IT.
3. Nu trebuie șterse fișiere și nu trebuie reinstalat imediat calculatorul.
4. Backupurile nu trebuie conectate înainte de verificarea sistemului.
5. Trebuie păstrate mesajele, fotografiile ecranului și ora apariției problemelor.
6. Incidentul trebuie raportat autorităților competente.
7. Dacă sunt afectate date personale, trebuie consultat responsabilul cu protecția datelor.

Primăria trebuie să aibă aceste instrucțiuni și în format tipărit, deoarece în cazul unui incident este posibil ca e-mailul, serverele și documentele digitale să nu mai fie accesibile.

Ce pot face imediat primăriile de comună

Pentru început, nu este necesar un sistem extrem de complicat.

O primărie mică poate începe prin zece măsuri verificabile:

1. Realizarea unui inventar al calculatoarelor, serverelor și aplicațiilor.
2. Desemnarea unei persoane responsabile pentru relația cu furnizorii IT.
3. Solicitarea unor răspunsuri scrise de la fiecare furnizor.
4. Verificarea existenței unui backup separat.
5. Testarea periodică a restaurării datelor.
6. Activarea autentificării în doi pași.
7. Verificarea accesului de la distanță.
8. Actualizarea sistemelor și aplicațiilor.
9. Instruirea de bază a angajaților.
10. Pregătirea unui plan simplu pentru incidente.

O precizare importantă

Aceste recomandări au caracter general și orientativ.

Ghidul Primăriilor nu cunoaște configurația tehnică, aplicațiile și contractele fiecărei primării și nu poate confirma, fără o verificare, dacă un anumit sistem este sigur sau vulnerabil.

Recomandările nu înlocuiesc un audit tehnic realizat de specialiști și nici obligațiile legale care pot fi aplicabile fiecărei instituții.

Cum vă putem sprijini

Primăriile care întâlnesc o situație concretă ne pot transmite o descriere generală, pe grup sau, dacă este cazul, în privat.

Este important să nu fie transmise:

• parole;
• coduri de autentificare;
• date personale;
• baze de date;
• chei de acces;
• copii ale documentelor sensibile;
• capturi de ecran care conțin informații confidențiale;
• detalii care ar putea permite accesul la sisteme.

Pe baza unei descrieri generale, putem ajuta primăria să identifice:

• cu ce furnizor trebuie să discute;
• ce întrebări trebuie să adreseze;
• ce documente trebuie să solicite;
• cum să se pregătească pentru o verificare;
• ce măsuri trebuie discutate cu specialiștii;
• cum să procedeze în primele etape ale unui incident.

Scopul nu este crearea unei stări de teamă, ci pregătirea instituțiilor.

Securitatea informatică nu înseamnă doar instalarea unui antivirus. Înseamnă să știm ce sisteme avem, cine le administrează, unde sunt păstrate datele și cum putem continua activitatea dacă apare o problemă.