Cu o experiență de peste 13 ani în proiecte de audit (internet banking, securitate IT, proiecte IT, proiecte finanțate prin fonduri UE), consultanță (continuitatea afacerii, analiză de impact, analiza decalajelor, evaluarea  maturității  proceselor,  evaluarea  riscurilor, soluții tehnice de securitate – DLP, SIEM, endpoint etc), implementarea de  standarde  și  bune  practici  de  securitate (ISO 27001, COBIT, ISO 20000/ITIL) și instruire IT&C (CISA, CIPM), Adrian  Munteanu este profesor universitar doctor în cadrul Facultății de Economie și Administrarea Afacerilor – Univ. Alexandru Ioan Cuza din  Iași,  unde  predă  securitatea  informațiilor,  auditul sistemelor informaționale, guvernare și managementul serviciilor IT. În perioada  2017 -2018 a fost președintele  filialei din  România a  IAPP (International  Association  of  Privacy Professionals). Este  expert  ENISA  (European  Union  Agency  for  Network  and Information Security, 2014) în domeniul managementului riscurilor. De asemenea, este Certified Information Privacy Manager (CIPM) Computer Information System Auditor (CISA), Certified in Risk and Information Systems Control  (CRISC) COBIT Foundation Certificate, ITIL Foundation Certificate.

La invitatia Dpo-NET.ro - Data Protection Officers Network, acesta a acceptat să răspundă in exclusivitate la unele din cele mai arzătoare întrebări în domeniul protecției datelor din România.

Scopul GDPR-ului nu este de a da amenzi ci de a proteja persoanele. Cu toate acestea, după 3 ani de la intrarea în vigoare a Regulamentului doar 67% dintre Europeni au auzit de GDPR, în timp ce doar 36% au declarat că știu ce este acest regulament (date prezentate de Comisia Europeana în sondajul Eurobarometru). Credeți ca aceste cifre sunt rezultatul dezinteresului persoanelor în ceea ce privește de protejarea datelor lor?

AM: Putem să ne întoarcem în timp, în 2001 – cînd a apărut directiva europeană sau chiar mai devreme, la începutul Internetului. Păstrînd raportul, lucrurile au evoluat. Poate nu cu viteza dorită, dar cu certitudine gradul de conștientizare în aceste vremuri este mai mare. Nu cred că este „dezinteres„ ci mai degrabă lipsă de informare sau de explicații. Omul de astăzi caută să obțină lucrurile cît mai repede, cît mai ușor, cu un click. Și pînă nu este afectat direct, nu acordă importanță subiectului.

Pentru că nu a fost informat încă, acordă mai puțină importanță datelor oferite pe un site și mai multă reducerii sau prețului produsului/ serviciului pe care și-l dorește.

Educația însă ar trebui să înceapă din primii ani de școală: cum cauți informații pe Internet? Cum deosebești informațiile false? Cum identifici un site fals? Ce date oferi și de ce?

Care credeți ca vor fi consecințele acestei lipse de conștientizări a importantei datelor în rândul persoanelor, pe termen lung?

AM: : Sunt destul de sceptic. Consider că acum, la gradul de dezvoltare al tehnologiei – machine learning, artificial intelligence, big data, analytics – lupta cu apărarea vieții private în online este aproape pierdută. De fapt acum cred că facem „damage control„ – încercăm să protejăm ce se mai poate. Genetic nu sîntem ființe etice iar economic nu luăm decizii raționale. Vor exista în continuare suficienți oameni care își vor oferi datele în contrapartida unui bun sau serviciu.„Technics get the job, business does the money„. Trăim într-o economie bazată pe servicii în care informațiile despre consumator (comportment) sînt combustibilul cu care se alimentează motorul vînzărilor on-line. Ori de cîte ori constrîngerile/regulile contravin credințelor/dorințelor noastre sau cîștigul obținut va fi mai mare decît costul, vom fi dispuși să încălcăm regulile.

Un studiu ASCPD atragea atentia la inceputul acestui an asupra acestor statistici din unitatile medicale Romanesti: 37,44% din instituţiile sanitare cuprinse în analiză s-au confruntat cu incidente de securitate şi cu toate acestea 73,85% din total nu au implementat un plan de reacţie la incidentele de securitate. De asemenea, sondajul a scos în evidenţă că 70,26% încă folosesc adrese de email @yahoo.com şi @gmail.com în interes profesional în interiorul reţelei, expunând astfel organizaţia unor riscuri care pot fi evitate. Din sondaj a mai reieşit că 11,28% nu au implementat sisteme tehnice de protecţie antivirus, cel mai des invocând lipsa fondurilor. Cum comentati aceste rezultate ?

AM: Din interacțiunile mele, consider că situația este chiar mai gravă decît o relevă sondajul. Văd lucruruile din două perspective: una financiară și una care ține de viziune/strategie.

Pentru un spital, o investiție în licențele pentru o soluție antivirus reprezintă o sumă mare și nu este în prim planul obiectivelor. Dacă mai adăugăm protecția bazelor de date, soluții DLP etc…deja discutăm de sume consistente. Ar trebui să spună managerii spitalelor ce procent din bugetul anual al unui spital este alocat investițiilor, din acesta cît reprezintă investiții IT și din acestea cît investiții în Securitate. Vom discuta de procente mult subunitare, care tind spre zero. Prin urmareș știrile nu îmi spun nimic nou.

Cea de a doua perspectivă, are în vedere „rotița„ numită spital, ce face parte dintr-un angrenaj/sistem mai mare. Deși avem din 2013 o strategie de securitate cibernetică, abia odată cu transpunerea Directivei NIS în legislația națională se încearcă a se face ceva în direcția securității informațiilor. Sistemul informațional al unui spital nu este o insulă pe care o protejezi singular.

Având în vedere atacurile cibernetice asupra sistemului sanitar românesc din ultimele saptămâni, ce măsuri considerați că trebuie luate imediat ?

AM: Este cam dificil să ofer un răspuns general valabil în cazul spitalelor deoarece managementul este cel care a decis în fiecare caz în parte. Majoritatea spitalelor folosesc sisteme la cheie, fie pe serverele proprii, fie pe serverele furnizorilor. Informațiile medicale ajung și în SIUI sau la alți furnizori de servicii, chiar furnizorul soluției are de obicei acces total la datele medicale. Aș fi curios să citesc informații cu privire la numărul spitalelor publice din România care au un departament IT și numărul de angajați din departament.

Teoria ne învață despre „security by design„ -  adică să ne gîndim la protecția informațiilor încă din faza de proiectare/achiziție a unui sistem. Astfel costurile vor fi cu totul altele.

GDPR se referă la același lucru, scris altfel: „asigurarea protecției datelor începând cu momentul conceperii și în mod implicit „. Pornind de la această cerință putem să estimăm ce costuri presupune „pseudonimizare„ sau „criptarea datelor„. Se face cu ajutorul algoritmilor proprietari SGBDR-ului folosit de aplicații? Se cumpără o soluție la cheie? Cine face analiza? Cine identifică rolurile, drepturile și permisiunile?

Întrebările ar trebui să continue și vom ajunge la următoarele măsuri/soluții/controale minimale: criptare/pseudonimizare; copii de siguranță și arhivare; clasificarea datelor; prevenirea pierderii datelor (DLP); managementul conturilor utilizatorilor (inclusiv conturile privilegiate); managementul incidentelor; antivirus; managementul amenințărilor... Protecția datelor trebuie asigurată în toate cele 3 situații în care acestea se pot afla: utilizate, în tranzit sau stocate. Dacă am pune pe hîrtie costurile, vom constata că sînt mari. Foarte mari pentru o organizație iar pentru un spital, cred că sînt considerate enorme.

Dar asta nu este o scuză. Pentru că o mulțime din cerințele GDPR ar fi trebuit puse în practică începînd cu anul 2001 cînd a intrat în vigoare fosta lege 677.

Știrile din presă despre incidente de securitate confirmă că nu sînt deloc puține cazurile din practica autohtonă în care conformitatea înseamnă să te acoperi de hîrtii. Aproape nimeni nu verifică dacă ceea ce este scris prin acele hîrtii chiar funcționează în realitate. Cam asta se întîmplă și acum.

Este esențial ca persoanele să identifice prelucrările ilegale de date pentru a-și putea exercita drepturile. Cât este de important sa-ți cunoști drepturile atâta timp cât nu poți identifica o prelucrare ilegală? Pe ce ar trebui să se axeze campaniile de informare a persoanelor?

AM: : Utilizatorul obișnuit nu are de unde să știe dacă o prelucrare este ilegală sau nu. Este responsabilitatea managementului organizației să prelucreze datele legal.

Pentru că sînt și auditor, eu plec de la premisa că o prelucrare este legală dacă este permisă de lege („tot ce nu este permis, este interzis„) și nu dacă nu este interzisă de lege („tot ce nu este interzis, este permis„).

O campanie de informare ar trebui să fie simplă, într-un limbaj accesbil oricui, fără „legaleză„ sau „securITeză„. Aș spune că orice informație, implicit deci și datele personale, au valoare: pentru organizații; pentru individ, pentru societate și pentru terți. Aș prezenta exemple cu „suferința„/„daunele„ semenilor ale căror date au fost prelucrate ilegal, folosind ca exemplu furtul de identitate care poate conduce la pierderi financiare.

Am citit cît am putut despre amenzile date de autoritățile din țările UE. Nu am identificat nici o știre în care să se menționeze și ce prejudicii/daune au suferit oamenii afectați.

Care credeți că ar fi cea mai scurta cale spre creșterea gradului de conștientizare și complianta GDPR: educarea persoanelor sau educarea operatorilor?

AM: Educația/școala indivizilor, plecînd de la concret la abstract și nu invers cum se practică acum. Generațiile care vin din urmă sînt generații care s-au născut și au crescut cu tehnologii despre care noi, la aceeași vîrstă, nici nu știam că există. Ni le închipuiam de prin literatura SF

Organizațiile fac afaceri. Afacerile presupun riscuri pe care managementul și le asumă. Și acum, după mai bine de 2 ani, percepția este că dacă ai informare pe site, semnătura anagajatului, un cookie manager și un fișier Excel cu „evidența activităților de prelucrare„, se poate spune că ești „conform cu GDPR„. Multe organizații percep acest regulament ca o constrîngere ce induce costuri suplimentare și inutile.

În România, până în acest moment s-au acordat trei amenzi pentru nerespectarea GDPR deși autoritatea condus aproape 1.000 de investigații, adoptând o atitudine orientată spre prevenție și dispunerea de măsuri corective. Considerați că Amenzile au un rol important în aplicarea GDPR-ului? Din experienta dvs practică, cei mai mult operatori se conformeze cu GDPR-ul din responsabilitate sau de frica amenzilor?

AM: După cum am spus și anterior, o afacere înseamnă riscuri iar noi oamenii nu sîntem proiectați să fim etici. În prezentări folosesc de multe ori Biblia pe post de exemplu, cu scuze dacă unii consieră că fac o blasfemie. Dar și acolo, in metafora cu alungarea din Rai, avem o inteligență artificială, ceva machine learning, o amenințare și lipsa eticii.

Indiferent dacă vorbim de organizație sau individ, comportamentul este același: facem sau nu facem unele lucruri din 3 motive- de frică, pentru o recompensă sau din conștientizarea lucrului rău/incorect.

Credeți că instituțiile publice ar trebui sa fie un exemplu pentru restul operatorilor? Punem această întrebare pentru că în Romania avem un tratament preferențial pentru instituțiile publice, amenda maxima pentru nerespectarea GDPR-ului fiind de 200.000 lei (aproximativ 42.000 euro), cu mult inferior față de ceea ce risca operatorii privați.

AM: Nu am înțeles această diferențiere din legea noastră. În unele situații acea amendă va fi inferioară costurilor cu măsurile tehnice. Prin urmare de ce ar cheltui cineva mai mult decît amenda? Care și așa nu se aplică în momentul constatării neregulilor...

Aduc in discuție cartea unui laureat Nobel în Economie: Douglas North.

În studiul său instituţiile sînt definite ca fiind regula jocului. Instituţiile pot să includă familia, firma de curînd înfiinţată, pieţele de capital, sistemul de creditare bancară, sistemul juridic, clauzele contractuale, etc. În momentul în care regulile jocului oferă o motivaţie consistentă cu interesul individual, comportamentul oamenilor se va conforma în general regulilor formale (legislaţia, clauzele contractuale de exemplu). Dar dacă aceste reguli formale intră în conflict cu interesul individual, atunci oamenii vor fi motivaţi să încalce aceste reguli şi să suporte consecinţele acţiunilor realizate. Prin urmare, instituţiile determină costul tranzacţiilor şi influenţează alegerea indivizilor!

Instituțiile ar trebui să fie un exemplu pentru că este vorba de cetățenii statului nu de „clienți„

Cu toate că România înregistrează cel mai scăzut nivel de utilizare a serviciilor de internet dintre statele membre ale UE, 86 % dintre utilizatorii români de internet au conturi pe rețelele sociale, ceea ce ne face campionii Europei la acest capitol. Având în vedere scandalurile imense în care au fost implicate rețelele de socializare, fie prin breșele de securitate, fie prin utilizarea ilicită a datelor, putem considera că suntem și cei mai vulnerabili. Cum considerați ca ar trebui să se comporte un utilizator de internet, dacă ar fi constient de riscurile pe care internetul le ascunde?

AM: Nu știu cît de vulnerabili sîntem luați ca întreg. Dacă este conștient de riscuri, utilizatorul va ști și cum să se comporte. Dacă nu, va plăti, iar într-o bună zi își va da seama și cît l-a costat. Cînd numărul celor care consideră că „nu au nimic de ascuns„ se va reduce simțitor, vom putea spune că lucrurile au intrat pe drumul cel bun.

Accesul copiilor la internet este deja o normalitate. Ar trebui acest lucru sa ne îngrijoreze? Considerați că o educație privind privind accesul la internet al copiilor ar trebui sa fie o sarcina a părinților sau sistemul de învățământ ar trebui să-și asume acest rol?

AM:  Accesul la tehnologie nu trebuie să îngrijoreze pe nimeni. Evoluția este firească, avansul tehnologic este firesc. Căruța a fost înlocuită de automobil și oamenii nu mai mor călcați de cal ci în accidente auto. Cînd în 2009 ni se vorbea despre wireles ca fiind ceva comun, ni se părea greu de acceptat. Toate lucrurile au un ciclu de viață.

Cea mai bună și sigură investiție pe care o poate face un adult este în educația copiilor săi. Astfel ei vor deveni la rîndul lor niște adulți „mai buni„ iar evoluția este asigurată.

Școala este pe primul loc cînd discutăm despre „învățare„. Părinții sînt cei care ar trebui să dea coordonatele morale/etice ale copilului iar școala ar trebui să fie cea care instruiește. La o întrebare anterioară am spus despre spitale că sînt o „rotiță„ dintr-un sistem mai mare. Școala este altă „rotiță„

Facebook a lansat Study, un program de cercetare de piață bazat pe recompense. Cum vi se pare un asemenea concept: să fim plătiți pentru datele pe care le facem publice? Este acesta direcție una corecta?

AM: Piața trebuie să fie liberă. Rațiunea de fi a oricărei organizații este satisfacerea nevoilor acționarilor. Discuția este mai degrabă despre etică. Iar aici fiecare este liber să decidă după propriile principii.

Pot da alt exemplu care se aseamănă. Un lanț de magazine a lansat carduri de fidelitate. Cardul este nominal, acumulezi puncte ori de cîte ori faci cumpărături. Magazinul oferă și reduceri la anumite produse, moment în care punctele acumulate pot fi folosite. Constat însă că au trecut mai bine de două luni de cînd nu am văzut nici o reducere, a nici un produs. Și-a oferit clientul date personale contra cost? Bineînțeles. Magazinul analizează comportamentul clienților? Cu siguranță. Așa funcționăm noi.

Conform unui raport DLA Piper (GDPR data breach survey: February 2019), de la data aplicării GDPR-ului și pana în februarie 2019, Autoritatea de supraveghere din Olanda înregistrase 15,400 de notificări de breșe, în timp ce România număra la acea vreme doar 270. Care credeți că este motivul acestei discrepanțe? Suntem noi romanii un popor norocos și breșele de securitate ne evită, ori nu recunoaștem o breșă de securitate nici dacă ne împiedicăm de ea?

AM: Cred că mai degrabă ne încadrăm în a doua situație. Am impresia că și aici sînt mai multe cauze: rușinea și frica. Rușinea de a recunoaște că ai o problemă sau ai greșit ceva, respectiv frica de sancțiune. S-ar mai putea adăuga și...neștiința. Poate unii nici nu știu ca datele lor sînt pierdute, furate, vîndute.

Identificarea riscurilor este unul din cei mai importanți pași spre complianta GDPR. Dar dacă noi nu resuim sa identificam nici breșele, cum am putea identifica riscurile?

AM: Mă feresc să folosesc sintagma „conformitate GDPR„. Evaluarea riscurilor este o cerință, nu doar în GDPR, cu ajutorul căreia identifici în final controalele de care ai nevoie.

Teoria riscurilor este destul de complicată. Organizațiile își doresc „modele„ cît mai simple. Din păcate acest lucru nu se poate. Încerc să simplifică puțin lucrurile. Într-o organizație se întîmplă niște procese prin care se livrează bunuri și/sau servicii. Procesele implică oameni și aplicații/tehnologie. Aplicațiile implică echipamente/tehnologie și oameni. Procesele au nevoie de controale pentru ca lucrurile să se desfășoare într-un anumit fel.

Pentru a ști care sînt riscurile din IT (aplicații, echipamente și resurse umane critice) trebuie mai întîi să cunosc care sînt considerate a fi procesele/serviciile critice de către organizație. Chiar dacă discutăm despre riscuri IT, evaluarea acestora nu este doar sarcina departamentului cu același nume. Din perspectiva unui departament IT nici nu există riscuri. Cei din zona economicului au riscuri: să nu livreze bunui și servicii care, au „în spate„ tehnologie.

Impresia mea este că multe organizații au identificat riscuri doar cu privire la partea formală a cerințelor GDPR.

A trecut un an de la intrarea în vigoare a GDPR-ului. Ce s-a schimbat în decursul acestui an?

AM: Îmi este greu să pun un diagnostic general valabil. La începutul anului 2017 intereseul era destul de redus. Apoi, în 2018 a existat ceva efervescență din partea tuturor actorilor implicați. Nu pot să nu amintesc numărul imens de „consultanți GDPR„ care au apărut de nicăieri.  Este însă o evoluție firească. După cum spuneam, și aici discutăm tot despre un ciclu de viață.

Cum vedeți implementarea Directivei NIS în România? Care sunt cele mai mari provocări ? Ce măsuri au fost luate până în prezent ?

AM: Sectorul privat are cea mai mare competență în domeniul securității informatice, motiv pentru care  el trebuie să fie implicat activ în domeniul securității IT. Ori eu constat că acest lucru nu prea se întîmplă. Altfel nu îmi explic de ce, atunci cînd o lege este pusă în dezbatere publică și se primesc propuneri, nu prea se ține cont de nimic din cele ce vin dinspre industrie.

Legea 368/2018 a avut o viață cam complicată iar rezultatul mi se pare stufos, neclar ca terminologie și pe ici pe colo incomplet. Sînt acoperite aspecte care intră și sub incidența GDPR și de aici avem o anumită terminologie/cerințe. Băncile au reglementări/recomandări/ghiduri specifice (a se vedea EBA sau regulamentele BNR) dar intră și sub incidența acestei legi.

Mi-aș fi dorit să regăsesc în lege sintagme precum: „stadiul actual al tehnologiei„, „securitate implicită și din momentul proiectării„ sau „responsabilitatea managementului„,.Legea menționează „categorii„ de activități și pentru acestea vor fi elaborate „norme tehnice„. Dar sînt și „cerințe minime de securitate„.

GDPR-ul face referire la „proporționalitatea„/„adecvarea„ măsurilor de securitatea.

Legea 368 impune și ea obligativitatea operatorilor de servicii esențiale să implementeaze măsurile tehnice și organizatorice adecvate și proporționale.

Eu am o anumită înțelegere asupra „proporționalității„ și „adecvării„, dar mă întreb: oare o fi corectă, atît timp cît legea nu spune la ce se referă cele două carcateristici?

Cine credeți ca ar trebui să se implice mai mult în diseminarea importantei datelor personale? Instituțiile publice, Autoritățile naționale de supraveghere sau ONG-urile din domeniul protecției datelor?

AM: Cît de mult ar trebui să se implice cei nominalizați de dvs. îmi este cam greu să spun. Pot însă să afirm că este o responsabilitate partajată: părinți, școală, ANSPDCP, ONG-uri. Fac însă o mențiune: ONG-urile fac muncă voluntară și nu se pot substitui unor responsabilități ce revin instituțiilor publice. Acestea din urmă ar cam trebui să fie în linia întîi.

Radu Crahmaliuc este fondatorul Cloud☁mania, una dintre cele mai populare platforme independente de cunoștințe și servicii din Europa de Est Centrală care s-a dezvoltat pe următorul principiu: "cele mai bune practici se bazează pe diversitatea serviciilor profesionale, abilitatea de personalizare, expertiza internațională și oferta flexibilă centrată pe client.". În prezent este Analist GDPR și Consilier în afaceri la  GDPR Ready! și a acceptat provocarea dpo-NET a de răsăunde al cele mai arzătoare întrebări despre GDPR ale momentului. 

Scopul GDPR-ului nu este de a da amenzi ci de a proteja persoanele. Cu toate acestea, după 3 ani de la intrarea în vigoare a Regulamentului doar 67% dintre Europeni au auzit de GDPR, în timp ce doar 36% au declarat că știu ce este acest regulament (date prezentate de Comisia Europeana în sondajul Eurobarometru) Credeți ca aceste cifre sunt rezultatul dezinteresului persoanelor în ceea ce privește protejarea datelor lor?

RC: Fără să luăm aceste cifre la modul absolut, ca cetățeni europeni se poate spune că principalul motiv este lipsa de informare legată de drepturile noastre fundamentale la viață privată și la protecția datelor cu caracter personal, garantate de art. 7 și art. 8 din Carta Drepturilor Fundamentale a Uniunii Europene și de art. 16 din Tratatul privind Funcționarea Uniunii Europene. De unde această lipsă de informare? Ori nu le pasă ce se întâmplă cu datele lor personale, considerându-se în afara oricărui risc cu implicații majore, ori, pur și simplu nu știu... Deși din 2016 se tot vorbește despre asta, sunt foarte mulți cei care nu știu pentru că nu a stat nimeni să le explice. Și acesta este rezultatul direct al lipsei de eficiență al programelor de comunicare din partea autorităților naționale de supraveghere.

Care credeți ca vor fi consecințele acestei lipse de conștientizări a importantei datelor în rândul persoanelor, pe termen lung?

RC: Pe termen lung trebuie să privim figura de ansamblu asociată eforturilor UE de construire a pieței unice digitale. O Europă digitală nu poate fi construită fără cetățeni digitali. Așa că, să fim optimiști, și să sperăm că pe termen lung oamenii vor deveni tot mai conștienți de drepturile lor, și de importanța respectării drepturilor celorlalți prin prelucrarea adecvată a datelor personale în procesele de business în care sunt antrenați.  

Un studiu ASCPD atragea atentia la inceputul acestui an asupra acestor statistici din unitatile medicale Romanesti: 37,44% din instituţiile sanitare cuprinse în analiză s-au confruntat cu incidente de securitate şi cu toate acestea 73,85% din total nu au implementat un plan de reacţie la incidentele de securitate. De asemenea, sondajul a scos în evidenţă că 70,26% încă folosesc adrese de email @yahoo.com şi @gmail.com în interes profesional în interiorul reţelei, expunând astfel organizaţia unor riscuri care pot fi evitate. Din sondaj a mai reieşit că 11,28% nu au implementat sisteme tehnice de protecţie antivirus, cel mai des invocând lipsa fondurilor. Cum comentati aceste rezultate?

RC: Ținând cont de caracterul special al datelor prelucrate în unitățile medicale acest lucru mi se pare revoltător. Nu au nicio scuză pentru asta. Spitalele de stat din România nu sunt pregătite să ne proceseze datele așa cum cere legea, deși în ultima perioadă sunt tot mai multe cazuri de atacuri informatice. Și nu faptul că au adrese pe Yahoo e cel mai grav, ci că nu au un DPO. Din analiza GDPR Ready efectuată pe un eșantion de peste 450 de site-uri, a reieșit că 9 din 10 spitale publice nu au o Politică de Securitate pe site.

Având în vedere atacurile cibernetice asupra sistemului sanitar românesc din ultimele saptămâni, ce măsuri considerați că trebuie luate imediat ?

RC: Pe linia celor spuse anterior, răul trebuie tratat de la rădăcină. Ar trebui formată o echipă operațională din membrii Min. Sănătății, Min. Com.&TI, CERT.RO și alte organisme, care împreună cu Autoritatea de Supraveghere să pună la punct un set de Norme sau un Cod de Conduită menit să reglementeze politica GDPR în domeniul sănătății publice. Spitalelor care nu au capacitatea să adere la acest Cod de Conduită ar trebui să li se aplice niște penalități administrative. In paralel trebuie făcute eforturi pentru sensibilizarea conducerilor acestor spitale, care trebuie să înțeleagă faptul că pe lângă responsabilitatea actului medical o au și pe aceea de adopție de măsuri tehnice și operaționale adecvate.

Este esențial ca persoanele să identifice prelucrările ilegale de date pentru a-și putea exercita drepturile. Cât este de important sa-ți cunoști drepturile atâta timp cât nu poți identifica o prelucrare ilegală? Pe ce ar trebui să se axeze campaniile de informare a persoanelor?

RC: Nu este necesar ca persoanele vizate să identifice prelucrările ilegale. Aceasta este obligația operatorilor și procesatorilor de date. Desigur, noi putem observa în destule cazuri că ceva este în neregulă cu datele noastre, dar e mult mai important ca noi să ne cunoaștem în primul rând drepturile și să știm să acționăm în consecință.

Care credeți că ar fi cea mai scurta cale spre creșterea gradului de conștientizare și complianta GDPR: educarea persoanelor sau educarea operatorilor?

RC: Acest proces de educare trebuie să acopere tot. Ca persoane vizate avem datoria să fim primii care să ne informăm și să ne protejăm datele, cunoscându-ne drepturile. Ca operatori sau procesatori, nu trebuie să uităm că și noi suntem în aceeași situație cu persoanele vizate ale căror date le prelucrăm și în consecință trebuie să ne înțelegem responsabilitatea pentru rolul pe care îl jucăm. În proiectele mele și la cursuri le explic întotdeauna clienților că respectarea unor norme elementare de securitate, din care majoritatea nici nu țin de GDPR, trebuie să devină o normalitate, precum spălatul pe dinți sau verificarea apei, gazului și a electricității atunci când plecăm de acasă. O politică de securitate IT și un plan de breșe sunt la fel de obligatorii și de utile ca măsurile de protecție în caz de incendiu sau instrucțiunile de evacuare a unei clădiri.

În România, până în acest moment, s-au acordat trei amenzi pentru nerespectarea GDPR și autoritatea condus aproape 1.000 de investigații, adoptând o atitudine orientată spre prevenție și dispunerea de măsuri corective. Considerați că Amenzile au un rol important în aplicarea GDPR-ului? Din experienta dvs practică, cei mai mult operatori se conformeze cu GDPR-ul din responsabilitate sau de frica amenzilor?

RC: A fost un moment de evoluție a cauzelor de responsabilizare: la început, imediat după anunțarea aprobării noului regulament în mai 2016, toată lumea s-a speriat de mărimea amenzilor și de celelalte modificări cu care venea GDPR în raport cu vechea legislație. Ulterior, pe măsură ce ne apropiam de momentul 25 mai 2018 și foarte puțin după aceea, nevoia de conformitate a venit ca un tăvălug, având ca mix de surse responsabilizarea, exemplul altora sau teama de necunoscut. Apoi s-a intrat în cunoscuta perioadă de acalmie în care nimeni nu a mai făcut nimic pentru că nici nu s-a întâmplat nimic. Eram împreună la un eveniment dedicat unui an de GDPR când mulți oameni din domeniu apreciau că e nevoie de amenzi ca să se întâmple ceva. Părerea mea este că trebuie insistat pe necesitatea transformării în business, că trebuie învinsă rezistența la schimbare și că trebuie arătate celor responsabili toate beneficiile induse de un proces de asigurare a conformității: adoptarea de norme și reguli ne face mai eficienți, reduce pericolele interne și ne asigură o etichetă de încredere față de ecosistemul de business în care evoluăm. Părerea mea este că cele 2 amenzi anunțate și probabil alte 5-6 care sunt pe rol nu au cum să determine brusc peste 50% dintre managerii din România că trebuie să facă ceva. Să nu uităm că sunt încă foarte mulți care nu știu despre ce este vorba și care sunt convinși că organizațiile lor nu au nimic de-a face cu datele personale... Trebuie continuat cu mare sârguință procesul de conștientizare și sensibilizare în masă. Legat de cele 2 cazuri apărute la noi, aș comenta numai atât. E foarte ciudat că s-a ajuns la asta, pentru că ambii operatori, prin natura activității,  ar fi trebuit să fie compatibili și pentru legea 677/ 2001. Puteau fi evitate aceste vulnerabilități? Cu siguranță, dacă cei 2 operatori s-ar fi gândit și la verificarea adecvării tehnice și operaționale. Nu știu cum s-au petrecut lucrurile intern, dar cineva a tratat totul cu superficialitate, limitându-se probabil la asigurarea necesarului de documente. Legat de al doilea caz, sunt mulți care consideră că documentele pe suport de hârtie nu intră sub incidența GDPR. S-a văzut cât de păgubitoare poate să fie o astfel de atitudine...

Credeți că instituțiile publice ar trebui sa fie un exemplu pentru restul operatorilor? Punem această întrebare pentru că în Romania avem un tratament preferențial pentru instituțiile publice, amenda maxima pentru nerespectarea GDPR-ului fiind de 200.000 lei (aproximativ 42.000 euro), cu mult inferior față de ceea ce risca operatorii privați.

RC: Legat de ce se întâmplă în instituțiile publice, prefer să nu comentez. Ne batem cu morile de vânt. Politizarea schimbă radical regulile jocului. Aștept cu nerăbdare, ca pe o curiozitate profesională, nu din dorințe revanșarde, primul anunț al Autorității care vizează o instituție publică...

Cu toate că România înregistrează cel mai scăzut nivel de utilizare a serviciilor de internet dintre statele membre ale UE, 86 % dintre utilizatorii români de internet au conturi pe rețelele sociale, ceea ce ne face campionii Europei la acest capitol. Având în vedere scandalurile imense în care au fost implicate rețelele de socializare, fie prin breșele de securitate, fie prin utilizarea ilicită a datelor, putem considera că suntem și cei mai vulnerabili. Cum considerați ca ar trebui să se comporte un utilizator de internet, dacă ar fi constient de riscurile pe care internetul le ascunde?

RC: Depinde de modul în care rețelele sociale afectează integritatea datelor noastre personale prelucrate de operatori. Statisticile de utilizare a Internetului amintite se referă la activități de navigare și accesare individuale. Ca indivizi suntem expuși, iar faptul că 86% dintre utilizatorii români au cont de social media, prin extinderea analizei la volumul total al populației, cifrele devin nerelevante și nu cred că suntem cei mai vulnerabili din Europa din această perspectivă. Vulnerabilitatea noastră constă în analfabetismul digital, și în faptul că nu știm sau nu putem să folosim tehnologiile digitale așa cum trebuie. Studiile DESI ne-au situat an de an pe ultimele locuri din UE (ultimii sau penultimii într-o strânsă tovărășie cu Bulgaria). Digital Economy and Society Index (DESI) este un index compozit ce cumulează indicatorii specifici pentru 6 direcții de activitate ce implică pregătirea digitală: conectivitatea, abilitățile digitale ale capitalului uman, folosirea serviciilor Internet de către cetățeni, integrarea tehnologiilor digitale în business, folosire serviciilor publice digitale și nivelul de dezvoltare al cercetării IT&C.  Ce zice DESI 2019 despre starea digitală a României? https://ec.europa.eu/digital-single-market/en/desi

La Conectivitate suntem pe locul 27 (din 28), la abilitățile digitale tot pe 27, la folosirea Internetului pe 27, la integrarea tehnologiilor pe 27, la folosirea serviciilor publice pe digitale pe 27, iar la nivelul IT&C pe locul 6, ca procentaj al industriei din PIB. Ce e greșit aici?

Accesul copiilor la internet este deja o normalitate. Ar trebui acest lucru sa ne îngrijoreze? Considerați că o educație privind privind accesul la internet al copiilor ar trebui sa fie o sarcina a părinților sau sistemul de învățământ ar trebui să-și asume acest rol?

RC: Răspunderea pentru copii o poartă în primul rând părinții. Mulți dintre copiii care au posibilitatea intră pe Internet înainte de școală. Părinții au principalul rol în educația digitală a copiilor și asta se referă nu numai la crearea de conturi sau postarea pozelor pe Internet. În cazul GDPR pentru copii sub 16 există obligația obținerii acordului părintelui, dar să nu uităm că nu totdeauna decizia unui părinte privitoare la datele personale făcute publice presupune și acordul copiilor pentru acest lucru. Școala are rolul ei, prin integrarea elevilor în programe educaționale care să-i învețe ce și cum să folosească de pe Internet, dar educația digitală de bază se face în cei 6 ani de acasă...

Facebook a lansat Study, un program de cercetare de piață bazat pe recompense. Cum vi se pare un asemenea concept: să fim plătiți pentru datele pe care le facem publice? Este acesta direcție una corecta?

RC: Decizia aparține întotdeauna utilizatorului și întotdeauna există o miză, o momeală, prin care acesta e convins să facă ceva. Tot procesul acesta trebuie să fie transparent și dacă luăm o decizie, să cunoaștem toate implicațiile acesteia.

Conform unui raport DLA Piper (GDPR data breach survey: February 2019), de la data aplicării GDPR-ului și pana în februarie 2019, Autoritatea de supraveghere din Olanda înregistrase 15,400 de notificări de breșe, în timp ce România număra la acea vreme doar 270. Care credeți că este motivul acestei discrepanțe? Suntem noi romanii un popor norocos și breșele de securitate ne evită, ori nu recunoaștem o breșă de securitate nici dacă ne împiedicăm de ea?

RC: Cauzele sunt legate de alfabetizarea digitală. A se vedea comentariile de la întrebarea nr.9

Identificarea riscurilor este unul din cei mai importanți pași spre complianta GDPR. Dar dacă noi nu reușim sa identificam nici breșele, cum am putea identifica riscurile?

RC: Sunt două lucruri diferite. Riscurile sunt cauza, iar breșele sunt consecințele. Identificarea breșelor ține de latura tehnologică a sistemelor de protecție cybersecurity. Analiza de risc este un proces care se face în avans și care ține de componentele umane, operaționale și tehnice ale unei organizații.

A trecut un an de la intrarea în vigoare a GDPR-ului. Ce s-a schimbat în decursul acestui an?

RC: Am comentat destul de mult pe tema asta în articolele din GDPR Ready. Nu putem spune că nu s-a întâmplat chiar nimic. Cei mai mari operatori și-au făcut temele prin derularea de activități de conformitate. După depășirea momentului de panică din ziua de 25 mai 2018, când foarte multe companii și-au canibalizat bazele de date, s-a intrat într-o perioadă de aparent calm, în are mulți operatori au adoptat o atitudine sănătoasă de pregătire și asimilare, și-au instruit oamenii și aparent sunt la un nivel de conformitate care să le asigure un anumit grad de confort. Partea proastă este că acest grad de confort dispare imediat la cea mai mică tentativă de atac. Partea cea mai proastă este că fiecare și-a construit un castel din cărți de joc, dar puțini s-au preocupat de edificarea unei reale Culturi GDPR care să le asigure temeinicia construcției. Exemple clare sunt cele două cazuri devenite publice de la noi. Puteau fi evitate breșele de securitate? Cu siguranță, dacă cineva ar fi urmărit modul de punere în practică a livrabilelor și controalelor adoptate. Știu destul de puține cazuri în care operatorii au avut timpul și resursele să simuleze intern sau extern apariția unor breșe. Despre analizele DPIA ce să mai vorbim. Deși aici lucrurile sunt de clare, nivelul de confuzie e destul de mare cu toate ghidurile WP29 și aplicația software realizată de CNIL. O bună analiză de impact poate avea rolul implementării unui standard și reprezintă cel mai elocvent barometru pentru conformitatea acțiunilor întreprinse într-un proiect GDPR. Desigur. Specialiștii recomandă DPIA în cazul noilor procese de business, dar pentru sănătatea afacerii este bine să facem o astfel de analiză și în cazul proiectelor GDPR realizate până acum. Numai așa avem posibilitatea documentată de a vedea că ceva nu e în ordine, că ce apare în documente nu se pupă cu realitatea...     

Cum vedeți implementarea Directivei NIS în România? Care sunt cele mai mari provocări ? Ce măsuri au fost luate până în prezent ?

RC: Legea nr. 362 din 2018 privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice a intrat în vigoare de la 12 ianuarie 2019, ca transpunere a Directivei UE 2016/1148 și are ca scop creșterea nivelului de pregătire a statelor UE pentru a face față la incidentele de securitate informatică. Spre deosebire de GDPR, companiile din cele 7 segmente industriale ce intră sub incidența NIS erau destul de bine pregătite theoretic pentru noile prevederi. Faptul că CERT.RO a fost stabilit ca organism de reglementare, supraveghere și control și care va îndeplini și cu funcție de Punct Unic de Contact la nivel national și de echipă CSIRT națională este un lucru foarte bun. Provocările, ca și la GDPR sunt legate de punerea efectivă în aplicare și care intră clar în atribuțiile CIO din fiecare organizație.

Cine credeți ca ar trebui să se implice mai mult în diseminarea importantei datelor personale? Instituțiile publice, Autoritățile naționale de supraveghere sau ONG-urile din domeniul protecției datelor?

RC: Este un efort care ne privește pe toți. De obicei evit să comentez activitatea celor îndreptățiți să coordoneze această diseminare. Este treaba lor și pentru toată lumea e clar că s-a făcut prea puțin pentru asta. Acesta este motivul pentru care a apărut inițiativa GDPR Ready, din dorința de a suplini lipsa de informație și de a oferi operatorilor și procesatorilor de date personale informații concrete despre ce au de făcut. După o serie de 15 articole de fundamentare GDPR au urmat publicarea celor 3 Cataloage GDPR Ready, o premieră absolută nu numai pentru piața din România, evenimente și paneluri dedicate, un site special, un newsletter, un grup dedicat de discuții pe LinkedIn și, cel mai recent, studii și analize de piață privitoare la stadiul asimilării. Astea toate s-au făcut Pro Bono și în completarea activităților curente de consultanță, formare, business development și auditare internă. Mai sunt multe de făcut, nu ducem lipsă de proiecte, dar toate la vremea lor...

Filip Truță, security analyst la Bitdefender, a acordat un interviu in exclusivitate  pentru dpo-NET .ro despre GDPR și despre tehnologiile noi din soluția de securitate Bitdefender 2020 care feresc utilizatorii de folosirea intruzivă a datelor personale și îi protejează de atacuri informatice sofisticate.

Credeți ca aceste cifre sunt rezultatul dezinteresului persoanelor în ceea ce privește de protejarea datelor lor?

FT: Responsabilitatea conștientizării cade în primul rând pe autorități, instituții publice și pe entitățile care lucrează cu datele personale ale cetățenilor Uniunii Europene. Exemple primare pot fi instituțiile de stat, companiile de telecomunicații, instituțiile financiare, magazinele online sau orice procesator de date personale. Întrebarea legitimă este în ce măsură reușesc acestea să educe publicul cu privire la drepturile nou-dobândite. Studiile arată că entitățile aflate sub incidența GDPR încă se luptă cu unele fațete ale noii legi, inclusiv cu propria conformitate.

Care credeți ca vor fi consecințele acestei lipse de conștientizări a importantei datelor în rândul persoanelor, pe termen lung?

FT: Cetățenii oricărei țări, nu doar cei din UE, au o răspundere personală cu privire la cunoașterea drepturilor și libertăților în fața legii. GDPR nu este o excepție. În era digitală, a devenit imperativ sa ne autoeducăm cu privire la amenințările informatice, iar studierea GDPR este un început bun. De exemplu, toți cetățenii UE ar trebui să știe că, începând cu 25 mai, 2018, au dreptul să ceară informații cu privire la cum sunt colectate, procesate și în ce scop sunt folosite datele lor personale. Entitățile vizate au la dispoziție o lună sa se conformeze. De asemenea, un cetățean UE poate solicita oricând, oricărei entități vizate de GDPR, încetarea colectării datelor personale și chiar ștergerea acestora. Lipsa conștientizării acestor drepturi poate duce la abuzuri din partea celor care le colectează și prelucrează datele.

Care credeți că ar fi cea mai scurta cale spre creșterea gradului de conștientizare și complianta GDPR: educarea persoanelor sau educarea operatorilor?

FT: Educarea persoanelor sau educarea operatorilor nu trebuie luate ca două premise separate. Cele două tabere sunt interdependente. Desigur, eforturile încep cu instituțiile ce prelucrează date cu caracter personal către utilizatori. În același timp, persoanele fizice au responsabilitatea de a se informa cu privire la legile de protecția datelor în vigoare. Este în interesul tuturor ca efortul să fie unul concomitent, făcut de toate părțile vizate.

Anul acesta s-au dat primele amenzi pentru nerespectarea GDPR. Considerați că amenzile au un rol important în aplicarea GDPR-ului? Din experiența dvs practică, cei mai mulți operatori se conformează cu GDPR-ul din responsabilitate sau de frica amenzilor?

FT: Scopul GDPR este de a asigura un cadru preventiv – ca entitățile să implementeze măsuri de colectarea și securizare a datelor specifice obiectului lor de activitate, împotriva potențialelor breșe. În primul an de la intrarea in vigoare a noii legi, autoritățile au fost indulgente, permisive chiar, pentru că entitățile încă se luptau cu cerințele de conformitate – un aspect reflectat la nivel mondial, nu doar în România. Începând cu iulie 2019, situația s-a schimbat radical. In doar 3 zile, autoritățile responsabile cu protecția datelor in UE au dat amenzi de sute de milioane de Euro. Printre companiile amendate se numără compania aeriană British Airways, lanțul hotelier Marriott, sau Unicredit România, ca sa amintim și una din „victimele” GDPR de pe teritoriul țării noastre. Tot in România, Autoritatea Națională de Supraveghere a finalizat o investigație la operatorul World Trade Center care s-a soldat cu o amenda de 71.028 lei, echivalentul sumei de 15.000 euro. Amenzile cu siguranța au un rol important in aplicarea legii. Odată ce conștientizarea GDPR atinge nivelul scontat, amenințarea amenzilor va deveni un stimul puternic pentru cei încă rămași în urmă cu conformitatea.

Mai este important de menționat că GDPR nu impune standarde tehnologice de securitate. Totuși, conformitatea cu GDPR ajută la încrederea clienților în respectiva entitate. Astfel, operatorii devin din ce în ce mai conștienți de importanța investițiilor în tehnologii noi și personal calificat pentru a oferi servicii de calitate în regim de siguranță, cu scopul final de a spori încrederea clienților.

Conform unui raport DLA Piper (GDPR data breach survey: February 2019), de la data aplicării GDPR-ului și pana în februarie 2019, Autoritatea de supraveghere din Olanda înregistrase 15,400 de notificări de breșe, în timp ce România număra la acea vreme doar 270. Care credeți că este motivul acestei discrepanțe? Suntem noi romanii un popor norocos și breșele de securitate ne evită, ori nu recunoaștem o breșă de securitate nici dacă ne împiedicăm de ea?

FT: România suferă atacuri cibernetice cot la cot cu restul lumii. Uneori, însă, în funcție de scopurile atacatorilor, o țară, o instituție, sau o anumită industrie poate fi vizată mai mult decât alta într-o anumită perioadă de timp. De exemplu, dacă atacul are ca scop șantajul financiar (ransomware), victimele vizate sunt cele care dețin date valoaroase, cu potențial ridicat de rascumpărare. De regulă, țările dezvoltate economic, precum SUA, Marea Britanie, Germania, Olanda, etc., care au și o putere ridicată de cumpărare, sunt mult mai vizate de astfel de atacuri. Diferențele de dezvoltare digitală dintre țări, din nou, pot reflecta discrepanțe în ceea ce privește interesul infractorilor informatici. Totodată, o problemă reală cu care se confruntă unele entități este că nu dețin sisteme informatice performante de detecție și raportare iar, astfel, nu își dau seama dacă au avut o breșă de securitate. Această situație se reflectă atât la nivel european, cât și la nivel mondial.

A trecut un an de la intrarea în vigoare a GDPR-ului. Ce s-a schimbat în decursul acestui an?

FT: În ultimul an, au fost duse campanii de informare în rândul entităților prin diverse conferințe, au apărut cursuri de formare cu privire la prevederile GDPR, iar majoritatea entităților și-au desemnat o persoană specializată in protecția datelor sau au externalizat servicii în acest sens. Formularele de confidențialitate au devenit imperative, iar cei care aveau o asemenea politică și-au consolidat-o conform noilor reglementări. Prin cerința de minimizare a colectării datelor, entitățile nu mai cer o sumedenie de date ce pot identifica personal un individ, ci doar strictul necesar. Înainte de intrarea în vigoare a GDPR nu exista o cultură a protecției datelor. Poate cea mai importantă schimbare adusă de GDPR este însăși responsabilizarea entităților și conștientizarea la nivel public că entitățile care ne dețin datele personale sunt obligate să fie mult mai atente cu colectarea, stocarea și folosirea acestor date. Totodată, publicul de azi este mai conștient cu privire la drepturile sale asupra datelor personale.

Ce noutăți ne pregătește Bitdefender în perioada următoare? 

FT: Bitdefender a lansat suita de soluții de securitate informatică pentru familii Bitdefender 2020, capabilă să ofere utilizatorilor confidențialitate completă pe internet. Noile tehnologii integrate în produs sunt construite să combată cele mai sofisticate atacuri informatice, să protejeze viața digitală de infractori informatici, site-uri intruzive, dar și de cele mai sofisticate amenințări informatice concepute să cripteze datele utilizatorilor sau să le fure identitatea. Bitdefender 2020 aduce nou un modul anti-tracking pentru Windows și mac OS., care notifică utilizatorul despre instrumentele de monitorizare din spatele fiecărei pagini vizitate și îl ajută să controleze informațiile personale compilate de către companii.

Astfel, site-urile nu vor mai putea afișa către utilizatori reclame concepute pornind de la datele personale sau istoricul de navigare. Noua funcționalitate de monitorizare a microfonului se alătură celei de protecție a camerei video și va notifica utilizatorul despre orice încercare de acces neautorizat al unor aplicații sau programe la funcția de înregistrare audio, folosită adeseori în scopuri de spionaj.

Motoarele de detecție a amenințărilor informatice sunt capabile să oprească cele mai noi variante ale amenințărilor informatice actuale, precum ransomware și minerii de monedă virtuală.

Bitdefender 2020 introduce în premieră și protecția în timp real pentru dispozitive cu iOS față de tentative de înșelătorie. Indiferent de browser, noul feature va bloca orice încercare de sustragere a datelor de card sau altor date personale de către o pagină de internet frauduloasă.