Radu Crahmaliuc este fondatorul Cloud☁mania, una dintre cele mai populare platforme independente de cunoștințe și servicii din Europa de Est Centrală care s-a dezvoltat pe următorul principiu: "cele mai bune practici se bazează pe diversitatea serviciilor profesionale, abilitatea de personalizare, expertiza internațională și oferta flexibilă centrată pe client.". În prezent este Analist GDPR și Consilier în afaceri la  GDPR Ready! și a acceptat provocarea dpo-NET a de răsăunde al cele mai arzătoare întrebări despre GDPR ale momentului. 

Scopul GDPR-ului nu este de a da amenzi ci de a proteja persoanele. Cu toate acestea, după 3 ani de la intrarea în vigoare a Regulamentului doar 67% dintre Europeni au auzit de GDPR, în timp ce doar 36% au declarat că știu ce este acest regulament (date prezentate de Comisia Europeana în sondajul Eurobarometru) Credeți ca aceste cifre sunt rezultatul dezinteresului persoanelor în ceea ce privește protejarea datelor lor?

RC: Fără să luăm aceste cifre la modul absolut, ca cetățeni europeni se poate spune că principalul motiv este lipsa de informare legată de drepturile noastre fundamentale la viață privată și la protecția datelor cu caracter personal, garantate de art. 7 și art. 8 din Carta Drepturilor Fundamentale a Uniunii Europene și de art. 16 din Tratatul privind Funcționarea Uniunii Europene. De unde această lipsă de informare? Ori nu le pasă ce se întâmplă cu datele lor personale, considerându-se în afara oricărui risc cu implicații majore, ori, pur și simplu nu știu... Deși din 2016 se tot vorbește despre asta, sunt foarte mulți cei care nu știu pentru că nu a stat nimeni să le explice. Și acesta este rezultatul direct al lipsei de eficiență al programelor de comunicare din partea autorităților naționale de supraveghere.

Care credeți ca vor fi consecințele acestei lipse de conștientizări a importantei datelor în rândul persoanelor, pe termen lung?

RC: Pe termen lung trebuie să privim figura de ansamblu asociată eforturilor UE de construire a pieței unice digitale. O Europă digitală nu poate fi construită fără cetățeni digitali. Așa că, să fim optimiști, și să sperăm că pe termen lung oamenii vor deveni tot mai conștienți de drepturile lor, și de importanța respectării drepturilor celorlalți prin prelucrarea adecvată a datelor personale în procesele de business în care sunt antrenați.  

Un studiu ASCPD atragea atentia la inceputul acestui an asupra acestor statistici din unitatile medicale Romanesti: 37,44% din instituţiile sanitare cuprinse în analiză s-au confruntat cu incidente de securitate şi cu toate acestea 73,85% din total nu au implementat un plan de reacţie la incidentele de securitate. De asemenea, sondajul a scos în evidenţă că 70,26% încă folosesc adrese de email @yahoo.com şi @gmail.com în interes profesional în interiorul reţelei, expunând astfel organizaţia unor riscuri care pot fi evitate. Din sondaj a mai reieşit că 11,28% nu au implementat sisteme tehnice de protecţie antivirus, cel mai des invocând lipsa fondurilor. Cum comentati aceste rezultate?

RC: Ținând cont de caracterul special al datelor prelucrate în unitățile medicale acest lucru mi se pare revoltător. Nu au nicio scuză pentru asta. Spitalele de stat din România nu sunt pregătite să ne proceseze datele așa cum cere legea, deși în ultima perioadă sunt tot mai multe cazuri de atacuri informatice. Și nu faptul că au adrese pe Yahoo e cel mai grav, ci că nu au un DPO. Din analiza GDPR Ready efectuată pe un eșantion de peste 450 de site-uri, a reieșit că 9 din 10 spitale publice nu au o Politică de Securitate pe site.

Având în vedere atacurile cibernetice asupra sistemului sanitar românesc din ultimele saptămâni, ce măsuri considerați că trebuie luate imediat ?

RC: Pe linia celor spuse anterior, răul trebuie tratat de la rădăcină. Ar trebui formată o echipă operațională din membrii Min. Sănătății, Min. Com.&TI, CERT.RO și alte organisme, care împreună cu Autoritatea de Supraveghere să pună la punct un set de Norme sau un Cod de Conduită menit să reglementeze politica GDPR în domeniul sănătății publice. Spitalelor care nu au capacitatea să adere la acest Cod de Conduită ar trebui să li se aplice niște penalități administrative. In paralel trebuie făcute eforturi pentru sensibilizarea conducerilor acestor spitale, care trebuie să înțeleagă faptul că pe lângă responsabilitatea actului medical o au și pe aceea de adopție de măsuri tehnice și operaționale adecvate.

Este esențial ca persoanele să identifice prelucrările ilegale de date pentru a-și putea exercita drepturile. Cât este de important sa-ți cunoști drepturile atâta timp cât nu poți identifica o prelucrare ilegală? Pe ce ar trebui să se axeze campaniile de informare a persoanelor?

RC: Nu este necesar ca persoanele vizate să identifice prelucrările ilegale. Aceasta este obligația operatorilor și procesatorilor de date. Desigur, noi putem observa în destule cazuri că ceva este în neregulă cu datele noastre, dar e mult mai important ca noi să ne cunoaștem în primul rând drepturile și să știm să acționăm în consecință.

Care credeți că ar fi cea mai scurta cale spre creșterea gradului de conștientizare și complianta GDPR: educarea persoanelor sau educarea operatorilor?

RC: Acest proces de educare trebuie să acopere tot. Ca persoane vizate avem datoria să fim primii care să ne informăm și să ne protejăm datele, cunoscându-ne drepturile. Ca operatori sau procesatori, nu trebuie să uităm că și noi suntem în aceeași situație cu persoanele vizate ale căror date le prelucrăm și în consecință trebuie să ne înțelegem responsabilitatea pentru rolul pe care îl jucăm. În proiectele mele și la cursuri le explic întotdeauna clienților că respectarea unor norme elementare de securitate, din care majoritatea nici nu țin de GDPR, trebuie să devină o normalitate, precum spălatul pe dinți sau verificarea apei, gazului și a electricității atunci când plecăm de acasă. O politică de securitate IT și un plan de breșe sunt la fel de obligatorii și de utile ca măsurile de protecție în caz de incendiu sau instrucțiunile de evacuare a unei clădiri.

În România, până în acest moment, s-au acordat trei amenzi pentru nerespectarea GDPR și autoritatea condus aproape 1.000 de investigații, adoptând o atitudine orientată spre prevenție și dispunerea de măsuri corective. Considerați că Amenzile au un rol important în aplicarea GDPR-ului? Din experienta dvs practică, cei mai mult operatori se conformeze cu GDPR-ul din responsabilitate sau de frica amenzilor?

RC: A fost un moment de evoluție a cauzelor de responsabilizare: la început, imediat după anunțarea aprobării noului regulament în mai 2016, toată lumea s-a speriat de mărimea amenzilor și de celelalte modificări cu care venea GDPR în raport cu vechea legislație. Ulterior, pe măsură ce ne apropiam de momentul 25 mai 2018 și foarte puțin după aceea, nevoia de conformitate a venit ca un tăvălug, având ca mix de surse responsabilizarea, exemplul altora sau teama de necunoscut. Apoi s-a intrat în cunoscuta perioadă de acalmie în care nimeni nu a mai făcut nimic pentru că nici nu s-a întâmplat nimic. Eram împreună la un eveniment dedicat unui an de GDPR când mulți oameni din domeniu apreciau că e nevoie de amenzi ca să se întâmple ceva. Părerea mea este că trebuie insistat pe necesitatea transformării în business, că trebuie învinsă rezistența la schimbare și că trebuie arătate celor responsabili toate beneficiile induse de un proces de asigurare a conformității: adoptarea de norme și reguli ne face mai eficienți, reduce pericolele interne și ne asigură o etichetă de încredere față de ecosistemul de business în care evoluăm. Părerea mea este că cele 2 amenzi anunțate și probabil alte 5-6 care sunt pe rol nu au cum să determine brusc peste 50% dintre managerii din România că trebuie să facă ceva. Să nu uităm că sunt încă foarte mulți care nu știu despre ce este vorba și care sunt convinși că organizațiile lor nu au nimic de-a face cu datele personale... Trebuie continuat cu mare sârguință procesul de conștientizare și sensibilizare în masă. Legat de cele 2 cazuri apărute la noi, aș comenta numai atât. E foarte ciudat că s-a ajuns la asta, pentru că ambii operatori, prin natura activității,  ar fi trebuit să fie compatibili și pentru legea 677/ 2001. Puteau fi evitate aceste vulnerabilități? Cu siguranță, dacă cei 2 operatori s-ar fi gândit și la verificarea adecvării tehnice și operaționale. Nu știu cum s-au petrecut lucrurile intern, dar cineva a tratat totul cu superficialitate, limitându-se probabil la asigurarea necesarului de documente. Legat de al doilea caz, sunt mulți care consideră că documentele pe suport de hârtie nu intră sub incidența GDPR. S-a văzut cât de păgubitoare poate să fie o astfel de atitudine...

Credeți că instituțiile publice ar trebui sa fie un exemplu pentru restul operatorilor? Punem această întrebare pentru că în Romania avem un tratament preferențial pentru instituțiile publice, amenda maxima pentru nerespectarea GDPR-ului fiind de 200.000 lei (aproximativ 42.000 euro), cu mult inferior față de ceea ce risca operatorii privați.

RC: Legat de ce se întâmplă în instituțiile publice, prefer să nu comentez. Ne batem cu morile de vânt. Politizarea schimbă radical regulile jocului. Aștept cu nerăbdare, ca pe o curiozitate profesională, nu din dorințe revanșarde, primul anunț al Autorității care vizează o instituție publică...

Cu toate că România înregistrează cel mai scăzut nivel de utilizare a serviciilor de internet dintre statele membre ale UE, 86 % dintre utilizatorii români de internet au conturi pe rețelele sociale, ceea ce ne face campionii Europei la acest capitol. Având în vedere scandalurile imense în care au fost implicate rețelele de socializare, fie prin breșele de securitate, fie prin utilizarea ilicită a datelor, putem considera că suntem și cei mai vulnerabili. Cum considerați ca ar trebui să se comporte un utilizator de internet, dacă ar fi constient de riscurile pe care internetul le ascunde?

RC: Depinde de modul în care rețelele sociale afectează integritatea datelor noastre personale prelucrate de operatori. Statisticile de utilizare a Internetului amintite se referă la activități de navigare și accesare individuale. Ca indivizi suntem expuși, iar faptul că 86% dintre utilizatorii români au cont de social media, prin extinderea analizei la volumul total al populației, cifrele devin nerelevante și nu cred că suntem cei mai vulnerabili din Europa din această perspectivă. Vulnerabilitatea noastră constă în analfabetismul digital, și în faptul că nu știm sau nu putem să folosim tehnologiile digitale așa cum trebuie. Studiile DESI ne-au situat an de an pe ultimele locuri din UE (ultimii sau penultimii într-o strânsă tovărășie cu Bulgaria). Digital Economy and Society Index (DESI) este un index compozit ce cumulează indicatorii specifici pentru 6 direcții de activitate ce implică pregătirea digitală: conectivitatea, abilitățile digitale ale capitalului uman, folosirea serviciilor Internet de către cetățeni, integrarea tehnologiilor digitale în business, folosire serviciilor publice digitale și nivelul de dezvoltare al cercetării IT&C.  Ce zice DESI 2019 despre starea digitală a României? https://ec.europa.eu/digital-single-market/en/desi

La Conectivitate suntem pe locul 27 (din 28), la abilitățile digitale tot pe 27, la folosirea Internetului pe 27, la integrarea tehnologiilor pe 27, la folosirea serviciilor publice pe digitale pe 27, iar la nivelul IT&C pe locul 6, ca procentaj al industriei din PIB. Ce e greșit aici?

Accesul copiilor la internet este deja o normalitate. Ar trebui acest lucru sa ne îngrijoreze? Considerați că o educație privind privind accesul la internet al copiilor ar trebui sa fie o sarcina a părinților sau sistemul de învățământ ar trebui să-și asume acest rol?

RC: Răspunderea pentru copii o poartă în primul rând părinții. Mulți dintre copiii care au posibilitatea intră pe Internet înainte de școală. Părinții au principalul rol în educația digitală a copiilor și asta se referă nu numai la crearea de conturi sau postarea pozelor pe Internet. În cazul GDPR pentru copii sub 16 există obligația obținerii acordului părintelui, dar să nu uităm că nu totdeauna decizia unui părinte privitoare la datele personale făcute publice presupune și acordul copiilor pentru acest lucru. Școala are rolul ei, prin integrarea elevilor în programe educaționale care să-i învețe ce și cum să folosească de pe Internet, dar educația digitală de bază se face în cei 6 ani de acasă...

Facebook a lansat Study, un program de cercetare de piață bazat pe recompense. Cum vi se pare un asemenea concept: să fim plătiți pentru datele pe care le facem publice? Este acesta direcție una corecta?

RC: Decizia aparține întotdeauna utilizatorului și întotdeauna există o miză, o momeală, prin care acesta e convins să facă ceva. Tot procesul acesta trebuie să fie transparent și dacă luăm o decizie, să cunoaștem toate implicațiile acesteia.

Conform unui raport DLA Piper (GDPR data breach survey: February 2019), de la data aplicării GDPR-ului și pana în februarie 2019, Autoritatea de supraveghere din Olanda înregistrase 15,400 de notificări de breșe, în timp ce România număra la acea vreme doar 270. Care credeți că este motivul acestei discrepanțe? Suntem noi romanii un popor norocos și breșele de securitate ne evită, ori nu recunoaștem o breșă de securitate nici dacă ne împiedicăm de ea?

RC: Cauzele sunt legate de alfabetizarea digitală. A se vedea comentariile de la întrebarea nr.9

Identificarea riscurilor este unul din cei mai importanți pași spre complianta GDPR. Dar dacă noi nu reușim sa identificam nici breșele, cum am putea identifica riscurile?

RC: Sunt două lucruri diferite. Riscurile sunt cauza, iar breșele sunt consecințele. Identificarea breșelor ține de latura tehnologică a sistemelor de protecție cybersecurity. Analiza de risc este un proces care se face în avans și care ține de componentele umane, operaționale și tehnice ale unei organizații.

A trecut un an de la intrarea în vigoare a GDPR-ului. Ce s-a schimbat în decursul acestui an?

RC: Am comentat destul de mult pe tema asta în articolele din GDPR Ready. Nu putem spune că nu s-a întâmplat chiar nimic. Cei mai mari operatori și-au făcut temele prin derularea de activități de conformitate. După depășirea momentului de panică din ziua de 25 mai 2018, când foarte multe companii și-au canibalizat bazele de date, s-a intrat într-o perioadă de aparent calm, în are mulți operatori au adoptat o atitudine sănătoasă de pregătire și asimilare, și-au instruit oamenii și aparent sunt la un nivel de conformitate care să le asigure un anumit grad de confort. Partea proastă este că acest grad de confort dispare imediat la cea mai mică tentativă de atac. Partea cea mai proastă este că fiecare și-a construit un castel din cărți de joc, dar puțini s-au preocupat de edificarea unei reale Culturi GDPR care să le asigure temeinicia construcției. Exemple clare sunt cele două cazuri devenite publice de la noi. Puteau fi evitate breșele de securitate? Cu siguranță, dacă cineva ar fi urmărit modul de punere în practică a livrabilelor și controalelor adoptate. Știu destul de puține cazuri în care operatorii au avut timpul și resursele să simuleze intern sau extern apariția unor breșe. Despre analizele DPIA ce să mai vorbim. Deși aici lucrurile sunt de clare, nivelul de confuzie e destul de mare cu toate ghidurile WP29 și aplicația software realizată de CNIL. O bună analiză de impact poate avea rolul implementării unui standard și reprezintă cel mai elocvent barometru pentru conformitatea acțiunilor întreprinse într-un proiect GDPR. Desigur. Specialiștii recomandă DPIA în cazul noilor procese de business, dar pentru sănătatea afacerii este bine să facem o astfel de analiză și în cazul proiectelor GDPR realizate până acum. Numai așa avem posibilitatea documentată de a vedea că ceva nu e în ordine, că ce apare în documente nu se pupă cu realitatea...     

Cum vedeți implementarea Directivei NIS în România? Care sunt cele mai mari provocări ? Ce măsuri au fost luate până în prezent ?

RC: Legea nr. 362 din 2018 privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice a intrat în vigoare de la 12 ianuarie 2019, ca transpunere a Directivei UE 2016/1148 și are ca scop creșterea nivelului de pregătire a statelor UE pentru a face față la incidentele de securitate informatică. Spre deosebire de GDPR, companiile din cele 7 segmente industriale ce intră sub incidența NIS erau destul de bine pregătite theoretic pentru noile prevederi. Faptul că CERT.RO a fost stabilit ca organism de reglementare, supraveghere și control și care va îndeplini și cu funcție de Punct Unic de Contact la nivel national și de echipă CSIRT națională este un lucru foarte bun. Provocările, ca și la GDPR sunt legate de punerea efectivă în aplicare și care intră clar în atribuțiile CIO din fiecare organizație.

Cine credeți ca ar trebui să se implice mai mult în diseminarea importantei datelor personale? Instituțiile publice, Autoritățile naționale de supraveghere sau ONG-urile din domeniul protecției datelor?

RC: Este un efort care ne privește pe toți. De obicei evit să comentez activitatea celor îndreptățiți să coordoneze această diseminare. Este treaba lor și pentru toată lumea e clar că s-a făcut prea puțin pentru asta. Acesta este motivul pentru care a apărut inițiativa GDPR Ready, din dorința de a suplini lipsa de informație și de a oferi operatorilor și procesatorilor de date personale informații concrete despre ce au de făcut. După o serie de 15 articole de fundamentare GDPR au urmat publicarea celor 3 Cataloage GDPR Ready, o premieră absolută nu numai pentru piața din România, evenimente și paneluri dedicate, un site special, un newsletter, un grup dedicat de discuții pe LinkedIn și, cel mai recent, studii și analize de piață privitoare la stadiul asimilării. Astea toate s-au făcut Pro Bono și în completarea activităților curente de consultanță, formare, business development și auditare internă. Mai sunt multe de făcut, nu ducem lipsă de proiecte, dar toate la vremea lor...

Regulamentul General privind Protecția Datelor (GDPR-General Data Protection Regulation) a apărut pentru a oferi un grad de control într-o lume dominată de tehnologie, iar conformarea la acest Regulament nu înseamnă altceva decât crearea cadrului în care datele cu caracter personal și special ale pacienților să fie protejate. Atacurile cibernetice asupra spitalelor din România demonstrează vulnerabilitatea sistemului sanitar în fața avansului tehnologiei, dar și lipsa de interes și implicare a conducerii spitalelor pentru a avea un plan de conformare adecvat, pentru că incidentele de securitate trebuie văzute ca o chestiune de regulă, apar ca urmare a nerespectării unui soi de disciplină într-un anumit domeniu. În sistemul sanitar românesc gradul de conformare GDPR se află sub pragul de 15%, atrage atenția Marius Dumitrescu, președintele Asociației Specialiștilor în Confidențialitate și Protecția Datelor (ASCPD). Într-un interviu acordat Revistei Health, președintele ASCPD a oferit mai multe detalii despre riscurile neconformării GDPR, care sunt vulnerabilitățile, dar și care ar fi măsurile necesar a fi implementate pentru protejarea datelor pacienților.

A trecut mai mult de un an de la aplicarea Regulamentului UE 679/2016 și în România vorbim deja  de breșe de securitate în sistemul sanitar. Din acest fapt se poate deduce că sistemul încă nu este pregătit întru totul pentru protejarea datelor cu caracter personal?

MD: Spitalele sunt o țintă a atacurilor ransomware în toată lumea, nu doar în România. Foarte multe astfel de incidente au fost raportate de spitale și înainte de 25 mai 2018, dar în ultimii ani am observat că specialiștii vorbesc despre o creștere exponențială a numărului de cazuri. Sunt trei întrebări la care autoritățile române și managerii spitalelor trebuie să găsească răspunsuri cât mai curând: ”de ce sunt vizate spitale din România?”, ”de ce sunt
așa de multe incidente în domeniul sanitar?” și, poate cea mai importantă întrebare, ”putem evita să devenim ținta unui atac cibernetic?”.

Ransomware-ul este un virus sau mai bine spus un software malițios care blochează accesul la fișierele stocate într-un sistem informatic, solicitând plata unei sume de bani în schimbul redobândirii accesului la acestea. De cele mai multe ori, fișierele criptate de malware nu pot fi decriptate nici după efectuarea plății către atacatori. Acest tip de malware nu urmărește o vulnerabilitate a sistemului informatic ci o eroare umană, de cele mai multe ori fiind transmis ca atașament al unui e-mail, sub forma unei facturi, a unei comenzi sau alt tip de document, păcălind astfel utilizatorii mai puțin conștienți sau vigilenți. Interesant este faptul că acest tip de malware nu ar fi putut depăși filtrele antivirușurilor existenți pe piață, ceea ce subliniază o primă problemă din spatele acestui atac în spitalele din România: spitalele atacate nu aveau sisteme antivirus actualizate, iar angajații acestora nu au fost instruiți cu privire la  identificarea unor asemenea atacuri.

La o analiza mai atentă a infrastructurii din domeniul sanitar românesc identificăm încă un număr mare de echipamente conectate care nu beneficiază de ultimele patchuri de securitate sau chiar folosesc sisteme de securitate care nici măcar nu mai sunt actualizate de producători. De exemplu Windows XP, care nu mai beneficiază de suport și actualizare din partea Microsoft este folosit în continuare pe scară largă în sistemul sanitar românesc, făcând posibilă funcționarea aparatelor de radiografii dentare, RMN-uri sau CT-uri. Prin infectarea unuia dintre aceste computere cu sistem de operare învechit se poate infecta apoi foarte simplu întreaga rețea.
Evident, ne întrebăm de ce nu sunt așa de ușor de înlocuit aceste sisteme de operare învechite și răspunsul ar trebui sa îl căutăm fie la producătorii de echipamente medicale care ar trebui să actualizeze gratuit softurile de interfață cu echipamentul astfel încât să funcționeze în aceiași parametrii și pe sistemele de operare mai noi, fie la managementul unităților medicale care au amânat investițiile în sisteme noi de operare din lipsă de fonduri sau pur și simplu pentru că echipamentele funcționează normal, chiar dacă sunt vulnerabile în fața atacurilor cibernetice.

Ce tip de malware a infectat sistemele din spitalele românești?

MD: În urma unei investigații derulate de specialiști în securitate cibernetică din cadrul CERT-RO, Cyberint și Bitdefender, s-a constatat că formele de malware responsabile de atacurile cibernetice recente asupra unor spitale din România au fost Maoloa și Phobos. Acești doi malware nu sunt o noutate absolută, Maoloa fiind prima dată descoperit în februarie 2019, iar Phobos era cunoscut încă din decembrie 2018.

ASCPD a tras un semnal de alarmă încă de la începutul anului 2019, în urma sondajului „GDPR in HEALTH România” realizat în decembrie 2018.  Astfel, ASCPD a semnalat atunci faptul că 37,44% dintre instituțiile sanitare cuprinse în analiză s-au confruntat cu incidente de securitate și cu toate acestea 73,85% din total nu au implementat un plan de reacție la incidentele de securitate. 70,26% încă foloseau adrese de email @yahoo.com sau @gmail.com în interes profesional în interiorul rețelei, expunând astfel organizația unor riscuri care pot fi evitate. Mai mult, 11,28% nu aveau implementate sisteme tehnice de protecție antivirus, cel mai des invocând lipsa fondurilor. Fiecare organizație, nu doar cele din domeniul sanitar, trebuie să implementeze un plan de răspuns la incidente de securitate prin care să identifice și să descrie rolurile și responsabilitățile echipei de răspuns în cazul unei breșe de securitate și apoi să realizeze simulări practice pentru a testa modul de reacție a angajaților în cazul unui atac cibernetic.

Securizarea datelor pacienților este importantă într-un sistem de sănătate. De ce în spitalele publice din România nu s-au luat obligatoriu măsuri pentru a proteja aceste date?

MD: Accesarea datelor pacienților este crucială pentru îndeplinirea actului medical. Astfel, în urma atacului cibernetic din iunie 2019, sute de pacienți români nu au putut beneficia de serviciile medicale în spitalele afectate, fiind invitați să revină ulterior sau încurajați să apeleze la serviciile altui spital. Recunoașterea valorii acestor date de către ministrul Sănătății este un cuțit cu două tăișuri.

Deși semnalul era orientat spre mobilizarea instituțiilor medicale în vederea prevenirii altor atacuri, atunci când afirmi că “10.000 de euro sunt nimic față de datele stocate acolo”, recunoscând că în trecut s-a optat pentru plata recompenselor solicitate de atacatori pentru decriptarea datelor, acest mesaj poate fi perceput de atacatori drept o încurajare de a continua atacurile și de a solicita recompense mult mai mari.

Recuperarea datelor, fie că este realizată de specialiști în IT sau prin achitarea recompensei solicitate de atacatori, este mult mai costisitoare decât adoptarea măsurilor de securitate necesare prevenirii unor asemenea atacuri. În totală contradicție cu mesajul ministrului Sănătății, instituțiile și companiile cu competențe în domeniul securității cibernetice, printre care CERT-RO, Cyberint și Bitdefender, sfătuiesc utilizatorii infectați “să nu plătească atacatorilor taxele de decriptare solicitate”.

Plata recompensei nu reprezintă o garanție că infractorii își vor onora promisiunea și le vor reda accesul la date și, în plus, ar putea fi țintite din nou de aceeași grupare, întrucât au deja un istoric de buni platnici. Echipa CERT-RO îndeamnă fiecare operator să raporteze astfel de incidente de securitate la numărul de telefon 1911 sau pe mail (alerts@cert.ro), cu includerea a două fișiere infectate (criptate) pentru analiză. Se recomandă să fie atașate acele fișiere într-o arhivă, protejate cu o parolă, care să fie specificată în textul mesajului.

După atacul cibernetic asupra spitalelor Ministerul Sănătății a emis o adresă prin care a informat unitățile spitalicești ce măsuri trebuie luate pentru a preveni atacurile cibernetice, recomandări emise inițial de CERT-RO. ASCPD a atras atenția că pe lângă cele recomandate de CERTRO ar mai fi nevoie de o serie de măsuri, necesar a fi implementate. Despre ce este vorba?

MD: Apreciem ca foarte importante aceste recomandări, însă atragem atenția că  prevenirea atacurilor cibernetice nu ar trebui să se limiteze la această listă, motiv pentru care am mai sublinia câteva măsuri importante: auditarea sistemelor IT în vederea identificării vulnerabilităților; implementarea unor politici clare privind prelucrarea datelor personale; criptarea datelor stocate pe dispozitivele mobile (laptop, tabletă, memorii USB) pentru
a împiedica accesarea datelor în caz de pierdere sau furt; criptarea datelor personale transmise prin e-mail; interzicerea accesării datelor de pe CD, DVD, stick-uri USB sau altele asemenea, dacă provin din surse nesigure; echipamentele de lucru care stochează date personale vor fi parolate, vor fi blocate atunci când nu vor fi utilizate (ctrl+alt+del → lock this computer); asigurarea unui sistem de management al accesului, astfel încât fiecare utilizator să se logheze la echipamentul de lucru cu user și parolă proprii.

Una dintre cele mai importante aspecte pe care nu am regăsit-o în adresa Ministerului este necesitatea instruirii personalului. Un personal instruit va fi mult mai vigilent, va identifica eventuale pericole și va cunoaște procedurile pe care trebuie sa le urmeze pentru a identifica, semnala sau limita efectele unui atac cibernetic.

Conștientizarea pericolelor în domeniul securității este o parte esențială a formării angajaților și este cel mai eficient mod de a menține companiile în siguranță, de la intruși și hackeri. Procesul de digitalizare atrage după el și metode tehnice avansate de securitate, care cresc gradul de protecție al vieții private, dar trebuie să conștientizăm în primul rând că cea mai mare vulnerabilitate în cadrul unei organizații este chiar resursa umană. Este nevoie de educație a personalului mai mult decât de investiții mari în soluții tehnice de securitate.

Dincolo de educația personalului cât este de important ca operatorul de date, în cazul spitalelor, managerii, să renunțe doar la a căuta soluții formale și să aleagă complianța la GDPR personalizând implementarea acestui Regulament pe unitatea pe care o conduce?

MD: În tot acest GDPR este vorba despre oameni, sau mai bine spus despre NOI! Nu este vorba despre creşterea birocraţiei şi despre proceduri sufocante. Este vorba despre respectul pe care trebuie să îl acordăm şi să îl obţinem unii de la ceilalţi, respect de care am uitat datorită banilor obţinuţi prin tranzacţionarea datelor personale şi a informaţiilor confidenţiale, efect direct al evoluţiei exponenţiale a tehnologiei.

Noi, ca operatori de date, trebuie să renunţăm la a mai căuta soluţii formale. Complianţa GDPR nu se obţine apăsând butonul „Print“, orice operator care alege această cale rămâne la fel de expus riscurilor. Spitalele din România sunt atacate pentru că sunt vulnerabile și este profitabil având în vedere valoarea informațiilor și caracterul sensibil și mai ales precedentele create prin plata rascumpărării accesului la date. Putem evita aceste incidente dacă în
primul rând renunțăm la mentalitatea că “mie nu mi se poate întâmpla” și investim în instruirea resurselor umane, implementând planuri și proceduri de lucru în caz de atac cibernetic și alocând fonduri pentru a impune măsuri adecvate de protecție tehnică și organizatorică.

După data de 25 mai 2018, au fost aplicate amenzi pentru neconformare în spitalele din Europa?

MD: Spitalul Haga din Olanda a fost amendat în acest an pentru neasigurarea unui grad adecvat de securitate a datelor pacienților săi., cu suma de 460.000 euro. Spitalul Barreiro din Portugalia a primit o amendă de 400.000 euro pentru incapacitatea de a asigura confidențialitatea și integritatea datelor din sistemul lor. În urma investigației s-a constatat că angajații spitalului au avut acces la datele pacientului prin profiluri false.

Participați frecvent la conferințe GDPR organizate la nivel European. Din informațiile prezentate care este gradul de implementare al GDPR în alte țări din Europa și cum stă România la acest capitol?

MD: Procentul de operatori care au adoptat și implementat principiile GDPR este greu de calculat cu exactitate, dar având în vedere că numai în domeniul public avem peste 42.000 de autorități, toate cu obligația de a fi implementat deja măsuri tehnice și organizatorice, și cunoscând sistemul sanitar din ultimii 18 ani, estimez că gradul de implementare nu a depășit procentul de 15%. Putem, în schimb, să analizăm poziția țării noastre din punct de vedere al notificării breșelor de securitate și a investigațiilor derulate de autoritățile de supraveghere europene. România este extrem de departe de media europeană în ceea ce privește plângerile privind prelucrările ilegale de date personale. De exemplu, în perioada cuprinsă între 25 mai 2018 și până în februarie 2019 la nivelul UE au fost raportate nu mai puțin de 59.000 de breșe de securitate. Campioni la acest capitol au fost olandezii, cu 15.400 breșe notificate, în timp ce România număra la acea vreme doar 270. Analizâd această situație am găsit două răspunsuri posibile: ori noi, românii, suntem un popor norocos și atacurile cibernetice ne evită, ori nu recunoaștem o breșă de securitate nici dacă ne împiedicăm de ea.

Mai mult, din Raportul European Data Protection Board, care cuprinde datele înregistrate de autoritățile de supraveghere în primele 9 luni de la aplicarea GDPR-ului, aflăm că autoritățile europene de supraveghere au deschis în total 94.622 de investigații, din care aproape 65.000 au survenit în urma notificărilor privind încălcarea datelor (a breșelor de securitate). În România s-au efectuat 460 de investigații din oficiu (69 din sesizări și 391 în urma
încălcărilor notificate autorității) și 456 de investigații dispuse în urma plângerilor persoanelor vizate, care erau aproximativ 5000.

Unul dintre motivele pentru care avem acești indicatori este bugetul Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal care este cu aproape 50% mai mic decât necesarul estimat de EDPB și în al doilea rând schema de personal a autorității care este mult subdimensionată, necesitând o suplimentare de 142%. Conform datelor oferite de reprezentantul autorității, chiar dacă în orgnigramă sunt prevăzute 85 de posturi, structura organizatorică actuală numără 34 de angajați, cu tot cu șoferi și personal TESA. Apreciez că a fost o muncă titanică să efectuezi acest număr de investigații cu un așa număr redus de persoane angajate în cadrul Autorității.

Adriana Ceaușescu este Ofiter Securitatea Informatiei si Protectia Datelor pentru companii din domeniul Asigurarilor si Sanatatii și a urmat cursurile IAPP, participând totodată la intocmirea codului de conduita în domeniul asigurarilor, alaturi de cei mai experimentati profesionisti in protectia datelor din asigurari. În domeniul Securitatii Informatiilor este Auditor ISO 27001. Adriana Ceaușescu a făcut parte din echipa care a câștigat titlul de "GDPR Summer Challenge Champion" 2019 în cadrul competiției lansate și organizate de portalul dpo-NET.ro

Poveste-ne un pic despre tine ca persoană, ca experiență, despre proiectele sau realizarile din domeniul protecției datelor. 

AC: Numele meu este Adriana Ceaușescu, lucrez ca Data Protection Officer pentru o clinică, pentru un magazin online foarte cunoscut, o societate de asigurări și am mai multe proiecte de IMM și învățământ. Experiența mea din aceste domenii cumva m-a ajutat să pot să fac fata cerintelor situațiilor din concurs.

Când ai descoperit domeniul protecției datelor și cum?

AC: Lucrând în partea de marketing online și web development, practic m-am ocupat de tot ce ține de dezvoltare și de a avea o prezenta online corespunzătoare, am avut contact la un moment dat cu o companie care a fost sancționată pentru că nu folosea un modul de cookie, asta întâmplându-se înainte de 25 mai 2018, ziua din care GDPR-ul este aplicabil. Am stat și am analizat domeniul, m-am informat, am implementat acel modul, am început să citesc și să înțeleg legislația națională și europeană și de atunci practic pot să spun că am început să pun cărămidă cu cărămidă la specializarea mea în acest domeniu.

Ai avut tendința la început sa obții certificări naționale sau internaționale, ai participat la cursuri ?

AC: Sunt de părere că pentru a începe să lucrezi într-un domeniu atât de nou cum este protecția datelor trebuie să ai niște cursuri, o îndrumare. Într-adevăr am citit foarte multe documente, am studiat legislația, ghiduri, jurisprudența din domeniul protecției datelor, dar am ales să urmez cursurile IAPP, International Association of Privacy Professionals, respectiv certificările CIPP/E si  CIPM. La finalizarea acestor cursuri am dat și un examen care nu era cum am visat eu, din aspecte teoretice. Toata lumea știe cum se desfășoară cursurile din România, se predau la curs aspecte teoretice și când ajungi să implementezi, cand te lovesti de practică, ai o problemă. La fel au fost și cu examenele, pe care le-am picat și m-am hotărât să obțin această certificare după ce consider ca am acumulat destul de multă experiență încât să nu mai am emoții.

A fost demotivant momentul în care ai picat acel examen?

AC: Nu, pentru mine a fost un moment în care mi-am dat seama că degeaba știi teorie dacă nu cunoști practica și cred că tocmai asta ne separa pe noi, Responsabilii în protecția datelor de un avocat. Un DPO lucrează zi de zi, se lovește de situații, de moduri în care trebuie să implementeze cerințele Regulamentului, în timp ce un teoretician va ști mereu ce trebuie făcut doar la nivel de teorie.

Știu ca ești și membru al Asociației Specialiștilor în Confidențialitate și Protecția Datelor. Cum ai făcut acest pas? De ce ai luat decizia sa te înscrii în o asociație?

AC: Sunt membră pentru că îmi doream sa aparțin unei comunități de specialiști care pot să mă ajute atunci când am situații la care nu sunt sigură ce trebuie să fac și vreau să vă spun că avem grupuri pe rețele de socializare unde ne ajutam. Am o problemă și obțin imediat mai multe sfaturi de la colegi. De asemenea vreau să vă spun că în proiectele derulate de Asociație nu am avut mare implicare dar eu mă mândresc, promovez asociația ori de câte ori pot, la diferitele emisiuni radio sau TV la care am participat și în cadrul întâlnirilor cu alți DPO la care am participat, tot timpul dau exemplul Asociației „Veniți,  înscrieți-vă aici că veți obține sfaturi, informații și recomandări de la specialiști din domeniu, specialiști poate cu mult mai multă experiență decât aveți voi sau din industrii pe care voi nu le cunoști, specialiști cărora poți să le ceri sfaturi și care îți vor oferi soluții. 

A trecut mai mult de 1 an de zile de când se aplică acest Regulament European. Care crezi că a fost cea mai mare provocare în aceasta perioada ?

AC: În primul rând instruirea și conștientizarea angajatorilor la nivelul implementării cerințelor GDPR într-o companie. Am apoi am avut situații în care conștientizarea managementului cu privire la faptul că trebuie să aibă în vedere și să respecte cerințele Regulamentului lăsa de dorit. Nu poți aborda protecția datelor spunând „ asta vreau, asta nu vreau, respectarea GDPR-ului nu poate fi negociată. Apoi cred că modul de lucru în anumite compani mari, care au structuri greoaie, departamente care nu comunica, care practic sunt stat în stat. În altă ordine de idei în România observ că alegerea unui DPO este tratată superficial de manageri. Să luam o instituție publica ca exemplu, pentru ca aici am întâlnit cele mai multe situații de genul acesta, îi este mult mai ușor să numească un DPO formal, adică secretara, pe care o trimit la un curs și se așteaptă ca acea secretară să facă față tuturor situațiilor complicate. Luăm exemplul școlilor, în general secretara este DPO. Secretara nu știe ce să facă și nu mai afișează anumite informații pe care trebuia sa le afișeze la avizier, deși poți să ai soluții. Un DPO ar trebui sa vină cu soluții ca să poți să afișezi. Nu există conștientizare la nivel de top management, conștientizarea angajaților lipsește deseori și de foarte multe ori este dificil sa impui o cultura organizationala în ceea ce privește protecția datelor. Oamenii nu vor să mai facă și altceva pentru ca este un efort. Respectarea Regulamentului este un efort din partea angajatului în plus față de ce are de făcut și sunt cumva reticenți. Sper ca în următorul an sa găsim măsuri prin care să putem sa ameliorăm aceste discrepanțe.

Asta era următoarea întrebare, ce vezi util a se intampla în următorul an?

AC: Cred ca după un an, fiecare companie ar trebui să tragă linie și să vadă cum stă. Pur și simplu să-și facă un audit intern, o verificare. „Hai sa vedem cum stăm noi din punct de vedere al respectării Regulamentului. Suntem conformi,  unde avem probleme?”. Mă aștept ca aceasta analiză să fie făcută până la sfârșitul lui decembrie 2019, astfel incat la începutul lui 2020, începaâd din ianuarie, să repare acele probleme legate de implementare, pentru că sunt sigură ca nu exista companii 100% conforme din punct de vedere al GDPR-ului. La asta mă aștept. Să instruiască mai mult și să conștientizeze mai mult angajații, să facă simulări din punct de vedere al incidentelor de securitate și să le explice de ce este important să raporteze. Foarte mulți dintre angajați, nu știu dacă cum să recunoască și să raporteze un incident de securitate. Nu identifica faptul că, de exemplu, pierderea unui document, pe strada, fie ca este vorba de document fizic sau nu, este breșă și trebuie să o raporteze superiorilor. Nu le taie nimeni capul dar incidentul trebuie raportat, trebuie analizat, ca să împiedici riscul de a fi amendat și riscurile de a încălca drepturile unei persoane vizate.

Cum ai descoperit acest concurs care s-a desfășurat în august, organizat de dpo-net?

AC: Pai, în primul rând că sunt foarte activă și citesc toate informațiile care îmi vin prin social media și online. Sinceră să fiu chiar îmi doream de mult un asemenea exercițiu, să pot să testez și eu cum aș face într-o anumită situație, cum as reacționa în altă situație. Așa am descoperit, prin intermediul internetului. Concursul în sine dar și organizarea lui pot să  spun că merită toate laudele. Ideea a fost fantastică și vă mai spun ceva, am avut o situație în concurs cu privire la acordarea unor informații către poliție. Ei bine, vreau să vă spun că aceeași situație s-a întâmplat în practica, pentru mine la câteva zile distanță. Am avut o asemenea solicitare adresată unei companii unde activez ca Data Protection Officer și cumva m-a bufnit râsul pentru că deja știam ce să fac, cum sa fac, totul a decurs fără nici o problemă. M-am bucurat, zic ”uite, am o practică, am o experienta, știu cum să aplic, nota 10”.

Cum a fost experinta concursului? A fost dificil? Cat timp ti-a luat? Cum a fost să-ți cunoști echipa?

AC: Cu ocazia participarii la concurs m-am hotarat sa îmi iau concediu, mai mult decat ar fi trebuit. Era și perioada vacanței prelungite, când toată lumea stătea la mare sau se plimba, iar eu mă trezeam de dimineață și vroiam să văd ce provocări am primit ca să pot să reacționez, să pregătesc împreuna cu echipa documentele pe care trebuia sa le avem pentru a lua măsurile ce se impuneau. N-a fost ușor, deci n-a fost ușor deloc, dar uite că împreună cu colegii mei am reușit să facem cât mai bine cu putință față unor situații legate de GDPR. 

Care a fost cea mai mare lecție pe care ai primit-o în relația cu colegii tai?

AC: În primul rând, să lucrez în echipă. Eforturile din punct de vedere al GDPR-ului sunt eforturi de echipa, un DPO trebuie sa învețe să lucreze împreună cu juridicul, împreună cu IT-ul, împreună cu managerul de resurse umane, cu top managementul, trebuie să știe să-și formeze o echipa și atunci pentru mine a însemnat foarte mult. În unele situații nu eram de acord cu colegii mei dar văzându-le elanul am zis ok, e de preferat să fim o echipa și fiecare ne împarțeam task-urile, am lucrat foarte bine cu ei. Culmea, nu știam cine sunt, de unde sunt și am aflat ulterior concursului  că unul dintre coechipieri merge la aceeași sală de fitness cu mine și mai mult decât atât locuiește în orașul în care locuiesc eu.

Trebuie să menționâm că  echipele au fost alese aleatoriu și nu se cunoșteau înainte și nici jurații nu au jurizat în cunostinta componenței echipelor.  Ce înseamnă pentru tine titlul de GDPR Summer Challenge Champion?

AC: Vă spun sincer că nu m-am așteptat. Am făcut greșeli în timpul concursului, mi-am și dat seama apoi, deci au fost și din partea noastră niște scăpări. E normal, nu suntem perfecți, suntem perfectibili. Pentru mine, concursul aceasta înseamnă multă experiență acumulată, înseamnă a învăța cum să lucrezi cu o echipă, a învăța să delegi task-uri și mai mult decât atât, am învățat că este importantă practica. Este importantă experiența pe care o câștigi, mai mult decât teoria. Degeaba mergi la un curs dacă nu practici ceea ce înveți la curs. Teoria trebuie aplicată iar aplicabilitatea ei este mai dificilă.

Mai ții legătura cu colegii tai de echipa?

AC: Da, clar! Vă spuneam că unul dintre colegii de echipa este coleg cu mine la sală, ne-am și întâlnit la sală și am hotărât să ieșim, împreună cu alți specialiști din domeniu, să discutăm despre proiecte, despre situația GDPR din țară și din domeniile în care activăm. Cu celelalte colege avem un grup pe Facebook, ne mai trimitem situații mai cerem păreri „uite am situația asta, ce trebuie să fac?” și fiecare vine cu recomandări. Da, ținem legătura, de asemenea și pe platforma pe care concursul s-a desfășurat sunt discuții, avem informații, mai vin și studii de caz. Ținem legătura și m-ar bucura să rămână comunitatea stransa și în jurul  platformei online construite.

Concluzionând, ce sfat ai avea pentru o persoana vizată și ce sfat ai avea pentru un reprezentant al unui operator, unul din top management?

AC: În primul rand, persoanele vizate ar trebui să înțeleaga ca datele lor cu caracter personal înseamnă bani, sunt o valută, au o valoare toate datele și atunci, de fiecare dată când li se solicită aceste date cu caracter personal, să se întrebe de ce. „De ce aveți nevoie de copie după cartea mea de identitate?”. Este acea teorie a celor 5 „De ce” ca să ajungi la adevăratul scop.

O teorie pe care copii mici o știu foarte bine.. 

Da, și pe care noi adulții o uităm. Deci, în primul rând să fie conștienți că datele lor reprezinta o valoare și să își cunoască drepturile. Au drepturi prin GDPR  și știu că foarte mulți români sunt supărați pe bănci, poate nu ar trebui sa spun, dar când te duci ți se face o copie după cartea de identitate care, în unele situații înseamnă prelucrare abuzivă. Dacă schimbă mai puțin de 3000 de euro nu se încadrează la a fi frauda. Nu ne vom putea opune, dar ar trebui să întrebăm de ce.

Pentru operatori, să înteleagă că nu este la latitudinea lor, ca vor sau nu vor. Respectarea cerințelor Regulamentului este o obligativitate, ai obligația aceasta și nu poți să o faci formal. Niște hârtii nu-ți rezolva partea de respectare a datelor cu caracter personal ci trebuie să se implice și dacă nu exista implicarea top managementului atunci proiectul acesta nu va avea succes de la început. Top managementul trebuie conștientizat. Trebuie să înțeleagă importanța respectării drepturilor persoanelor vizate și protejarea datelor cu caracter personal. 

Ce sfaturi ai pentru specialiști și viitorii specialiști în protecția datelor ?

AC: Niciodată să nu te oprești din învățat, niciodată să nu te oprești din citit, din documentat, niciodată să nu te oprești din a înțelege industriile în care activezi, sa le înțelegi specificul, să le înțelegi legislația și să te întâlnești cu specialiștii din domeniul respectiv. Adică dacă lucrezi în domeniul medical, discută cu medicii, vezi care sunt problemele pe care le au ei, explică-le și tu. Eu chiar fac pentru medicii cu care colaborăm pastile video de 5 minute, odată pe săptămână am o pastila video care se pune în sala de mese. 5 minute le ia, cât mănâncă se pot uita. Adică pe deoparte să conștientizeze iar pe de alta parte să nu înceteze niciodată să se documenteze, să învețe tot timpul pentru că este un domeniu în care dacă nu ții pasul nu poți să faci față. Lucrurile se schimbă foarte, foarte rapid.

Mai  este un mesaj la care eu țin foarte mult, ținând cont că a început școala, m-aș bucura ca toți copii, cadre didactice, părinți, să înțeleagă că și minorii au drepturi, să înțeleagă că pozele pe care noi le punem pe Facebook cu copii noștri ar trebui limitate. Ar trebui sa nu mai partajăm atât  de multe informații despre ei. Au drepturi și trebuie sa le respectăm datele lor cu caracter personal. 

Aștept următoarea ediție, GDPR Winter Challenge din ianuarie 2020, să vedem cat de solicitantă va fi!