Securitatea informației și protecția datelor

Conștientizarea riscurilor informatice și cunoașterea măsurilor de protecție a datelor personale și a sistemelor informatice.

Ce înseamnă, de fapt, securitatea informației

Securitatea informației nu înseamnă „am antivirus”. Înseamnă păstrarea a trei proprietăți ale datelor, cunoscute ca triada CIA:

• Confidențialitate – datele sunt accesibile doar celor autorizați. Se pierde când cineva îți citește mesajele sau îți fură baza de date.
• Integritate – datele nu au fost modificate neautorizat. Se pierde când cineva îți schimbă nota din catalogul electronic, chiar dacă nu o citește nimeni altcineva.
• Disponibilitate – datele sunt accesibile atunci când ai nevoie de ele. Se pierde când serverul e oprit de un atac sau când hard diskul moare fără backup.

Distincția asta contează, pentru că fiecare măsură de protecție apără altceva. Criptarea apără confidențialitatea, dar nu împiedică pe nimeni să șteargă fișierul. Semnătura digitală apără integritatea, dar nu ascunde conținutul. Backupul apără disponibilitatea și integritatea, dar dacă backupul nu e criptat, poate distruge confidențialitatea.

Al doilea concept de bază este vulnerabilitate – amenințare – risc:

• Vulnerabilitatea e o slăbiciune existentă (un sistem de operare neactualizat, o parolă slabă).
• Amenințarea e evenimentul potențial care ar putea exploata acea slăbiciune (un atacator, un virus).
• Riscul e combinația dintre probabilitatea ca amenințarea să se materializeze și mărimea pagubei.

De aici rezultă regula practică: nu poți elimina amenințările (nu depind de tine), dar poți reduce vulnerabilitățile — și asta reduce riscul.

Tipuri de amenințări informatice

Malware (malicious software) este termenul-umbrelă pentru orice program scris cu intenție rea. Virusul este doar unul dintre tipuri — confuzia „virus = malware” e cea mai frecventă la această temă.

• Virus – cod care se atașează unui fișier gazdă (executabil, document cu macro-uri) și se multiplică doar când utilizatorul rulează gazda. Nu se răspândește singur.
• Vierme (worm) – se răspândește automat prin rețea, exploatând vulnerabilități, fără să aibă nevoie de o gazdă și fără intervenția utilizatorului. Diferența virus/vierme e cheia: gazdă + acțiunea userului versus propagare autonomă.
• Cal troian (trojan) – se prezintă ca un program util (un joc, un „crack”, un utilitar), dar execută în fundal altceva. Nu se auto-multiplică — se bazează pe faptul că victima îl instalează singură.
• Ransomware – criptează fișierele victimei și cere răscumpărare pentru cheia de decriptare. Singura apărare reală este un backup offline, nu plata.
• Spyware / keylogger – colectează pe ascuns date: ce tastezi, ce site-uri vizitezi, parole.
• Adware – afișează reclame agresive; adesea vector pentru altceva.
• Rootkit – se ascunde adânc în sistem, chiar în componente de nivel scăzut, ca să nu fie detectat.
• Botnet – rețea de calculatoare infectate („zombi”), comandate de la distanță, folosite tipic pentru atacuri DDoS sau trimitere de spam.

O categorie separată o formează atacurile care nu exploatează tehnologia, ci omul — ingineria socială. Phishing-ul este forma clasică: un mesaj care imită o instituție reală (bancă, școală, furnizor) și te trimite pe o pagină falsă unde îți introduci singur datele. Variante: spear phishing (personalizat pe o persoană anume), vishing (telefonic), smishing (prin SMS).

Semnalele de recunoaștere a unui phishing: urgență artificială („contul va fi blocat în 24 de ore”), adresă de expeditor aproape corectă dar nu identică, link a cărui destinație reală diferă de textul afișat, cereri de date pe care o instituție serioasă nu le cere niciodată prin e-mail (parolă, cod PIN, cod de pe card).

Criptare: simetrică, asimetrică și funcții hash

Criptarea transformă textul clar (plaintext) în text cifrat (ciphertext) folosind un algoritm și o cheie. Principiul lui Kerckhoffs spune că securitatea trebuie să stea în cheie, nu în secretul algoritmului — algoritmii buni sunt publici și analizați de toată lumea.

Criptarea simetrică folosește aceeași cheie pentru criptare și decriptare (exemplu modern: AES).

• Avantaj: foarte rapidă, potrivită pentru volume mari de date.
• Problemă: distribuția cheii. Cum trimiți cheia celui cu care vrei să vorbești, dacă exact canalul de comunicare e nesigur?

Criptarea asimetrică folosește o pereche de chei: cheia publică, pe care o dai oricui, și cheia privată, pe care nu o dai nimănui (exemplu: RSA). Ce se criptează cu una se decriptează doar cu cealaltă. De aici două utilizări diferite, care se confundă des:

• Confidențialitate: expeditorul criptează cu cheia publică a destinatarului; doar destinatarul, cu cheia lui privată, poate citi.
• Semnătură digitală: expeditorul semnează cu cheia lui privată; oricine verifică cu cheia lui publică și obține autenticitate + integritate + nerepudiere.

În practică se folosește o schemă hibridă: asimetric doar pentru a negocia o cheie de sesiune, apoi simetric pentru trafic. Exact asta face HTTPS (HTTP peste TLS). Lacătul din bara de adrese înseamnă că traficul e criptat și că serverul are un certificat digital emis de o autoritate de certificare — nu înseamnă că site-ul e cinstit.

Funcțiile hash (SHA-256) sunt altceva și nu sunt criptare: produc o amprentă de lungime fixă și sunt ireversibile. Se folosesc pentru verificarea integrității unui fișier și pentru stocarea parolelor. Un sistem corect nu stochează parolele, ci hash-ul lor, adăugând un salt (un șir aleator unic per utilizator) ca să nu poată fi sparte în bloc cu tabele precalculate. Dacă un serviciu îți poate trimite prin e-mail parola ta veche, înseamnă că o stochează în clar — semn sigur de securitate proastă.

Autentificare și controlul accesului

Trei noțiuni diferite, folosite adesea greșit una în locul alteia:

• Identificare – declari cine ești (introduci numele de utilizator).
• Autentificare – demonstrezi că ești cine spui (parolă, cod, amprentă).
• Autorizare – sistemul decide ce ai voie să faci după ce te-a autentificat.

Un utilizator autentificat nu e automat autorizat pentru orice: te poți loga corect în platforma școlii și tot să nu ai dreptul de a modifica note.

Factorii de autentificare se împart în trei categorii:

• Ceva ce știi – parolă, PIN.
• Ceva ce ai – telefonul, un token, un card.
• Ceva ce ești – amprentă, față, iris (biometrie).

Autentificarea în doi factori (2FA) cere dovezi din categorii diferite. O parolă plus o a doua parolă nu e 2FA — ambele sunt „ceva ce știi”. Parola plus codul din aplicația de pe telefon este 2FA. Este cea mai eficientă măsură individuală împotriva parolelor furate: chiar dacă atacatorul are parola, nu are al doilea factor.

O parolă bună se apără de atacul prin forță brută (încercarea tuturor combinațiilor) și de atacul de dicționar (încercarea cuvintelor uzuale și a parolelor scurse). Ce contează cu adevărat este lungimea și imprevizibilitatea, nu numărul de simboluri ciudate; o frază lungă („PisicaMeaBeaCafeaLa7”) e mai puternică decât „P@r0l@!”. Regula practică: parole unice pentru fiecare cont, gestionate cu un manager de parole, pentru că refolosirea parolei transformă o singură scurgere de date într-un dezastru în lanț (credential stuffing).

La nivel de sistem, controlul accesului se face pe conturi cu drepturi diferite (utilizator standard vs. administrator) și pe permisiuni la fișiere (citire, scriere, execuție). Principiul privilegiului minim cere ca fiecare cont să aibă exact drepturile de care are nevoie, nimic în plus — lucrul de zi cu zi pe un cont de administrator este o vulnerabilitate, nu o comoditate.

Protecția datelor cu caracter personal (GDPR)

GDPR (Regulamentul General privind Protecția Datelor) este regulamentul european aplicabil din 25 mai 2018, în vigoare și în România. El nu reglementează „securitatea calculatoarelor” în general, ci prelucrarea datelor cu caracter personal.

Data cu caracter personal = orice informație privind o persoană fizică identificată sau identificabilă. Numele, CNP-ul, adresa de e-mail, adresa IP, fotografia, datele de localizare sunt date personale. Nu contează dacă informația e „secretă”, ci dacă permite identificarea unei persoane.

Categorii speciale de date (sănătate, origine etnică, opinii politice, religie, date biometrice, orientare sexuală) au protecție suplimentară și, ca regulă, prelucrarea lor este interzisă fără temeiuri stricte.

Roluri:

• Persoana vizată – omul ale cărui date sunt prelucrate.
• Operatorul – cel care stabilește scopurile și mijloacele prelucrării (școala, magazinul online).
• Persoana împuternicită – cel care prelucrează datele în numele operatorului (furnizorul de găzduire, platforma folosită de școală).

Principii de reținut: legalitate și transparență, limitarea scopului (datele colectate pentru un scop nu se refolosesc pentru altul incompatibil), minimizarea datelor (colectezi strict ce îți trebuie), exactitate, limitarea stocării (nu păstrezi la nesfârșit), integritate și confidențialitate.

Drepturile persoanei vizate, cerute frecvent la evaluare: dreptul de acces, de rectificare, la ștergere („dreptul de a fi uitat”), la restricționarea prelucrării, la portabilitatea datelor, de opoziție, și dreptul de a nu fi supus unei decizii bazate exclusiv pe prelucrare automată.

Consimțământul trebuie să fie liber, specific, informat și neechivoc, dat printr-o acțiune clară — o casetă deja bifată nu este consimțământ valabil — și trebuie să poată fi retras la fel de ușor cum a fost dat. Consimțământul este doar unul dintre temeiurile legale; există și contractul, obligația legală, interesul legitim.

Încălcările de securitate a datelor se notifică autorității de supraveghere (în România, ANSPDCP) în general în 72 de ore, iar persoanele vizate sunt informate când riscul pentru ele este ridicat.

Backup, recuperarea datelor și comportament responsabil

Backupul este singura măsură care te salvează după ce prevenirea a eșuat: ransomware, hard disk defect, ștergere din greșeală, telefon pierdut.

Tipuri de copii de siguranță:

• Backup complet (full) – copiază tot; ocupă cel mai mult spațiu, dar restaurarea e cea mai simplă și rapidă (un singur set).
• Backup diferențial – copiază tot ce s-a modificat de la ultimul backup complet; restaurarea cere două seturi: ultimul full + ultimul diferențial.
• Backup incremental – copiază doar ce s-a modificat de la ultima copie de orice fel; cel mai rapid de făcut și cel mai economic, dar restaurarea cere lanțul întreg: full + toate incrementalele, și dacă lipsește una din mijloc, lanțul se rupe.

Regula practică folosită în industrie este 3-2-1: 3 copii ale datelor, pe 2 tipuri diferite de suport, dintre care 1 în altă locație fizică (sau offline). Copia offline contează în mod special împotriva ransomware-ului, care criptează inclusiv discurile externe conectate permanent și, în multe cazuri, folderele sincronizate în cloud.

Un backup netestat nu este backup. Restaurarea trebuie verificată periodic — altfel afli că arhiva e coruptă exact în ziua în care ai nevoie de ea.

Măsuri tehnice complementare: actualizarea sistemului și a aplicațiilor (majoritatea atacurilor reușite exploatează vulnerabilități pentru care există deja patch), antivirus/antimalware activ, firewall (filtrează traficul de rețea pe baza unor reguli — nu detectează viruși din fișiere, e o confuzie clasică), criptarea discului pe laptop și telefon.

Comportament responsabil online: nu deschide atașamente neașteptate, chiar de la contacte cunoscute; verifică destinația reală a linkurilor înainte de clic; nu instala aplicații din surse necunoscute; nu folosi rețele Wi-Fi publice pentru operațiuni sensibile fără VPN; limitează informațiile publice de pe rețelele sociale, pentru că amprenta digitală e greu de șters și e materia primă a atacurilor de tip spear phishing; gândește-te înainte de a publica date despre alții — și ei au drepturi asupra imaginii și datelor lor.

Test — 6 întrebări ca la examen