Securitatea datelor și protecția informației

Prezentarea conceptelor de securitate informatică și a metodelor de protecție a datelor.

Ce înseamnă securitatea informației

Securitatea informației nu înseamnă „a avea antivirus”, ci a proteja simultan trei proprietăți ale datelor, cunoscute ca triada CIA:

• Confidențialitate – datele sunt accesibile doar celor autorizați. Se pierde prin scurgeri de informații, interceptare, parole furate.
• Integritate – datele nu sunt modificate sau șterse neautorizat. Se pierde prin alterarea unui fișier, a unei note din catalogul electronic, a unui transfer bancar.
• Disponibilitate – datele și serviciile sunt accesibile atunci când e nevoie. Se pierde prin atacuri DDoS, defectarea discului, ransomware.

Un atac poate lovi doar una dintre ele: un atac DDoS nu fură nimic, dar distruge disponibilitatea; o modificare frauduloasă a unei baze de date atacă integritatea, chiar dacă nimeni nu a copiat datele afară.

Termeni care nu trebuie confundați:

• Vulnerabilitate – o slăbiciune existentă (o versiune neactualizată de software, o parolă implicită neschimbată).
• Amenințare – ceva sau cineva care poate exploata acea slăbiciune.
• Risc – probabilitatea ca amenințarea să exploateze vulnerabilitatea, combinată cu impactul produs.
• Exploit – programul sau tehnica prin care vulnerabilitatea este efectiv folosită.

Un principiu de fond, valabil în toate subcapitolele care urmează: securitatea se construiește în straturi (defense in depth) și e limitată de veriga cea mai slabă, care este aproape întotdeauna utilizatorul, nu tehnologia.

Amenințări informatice: malware și inginerie socială

Malware este termenul-umbrelă pentru orice program creat cu intenție malițioasă. Elevii spun frecvent „virus” pentru orice — la examen se cere însă clasificarea corectă:

• Virusul – se atașează la un fișier gazdă și are nevoie de execuția acelui fișier pentru a se răspândi.
• Viermele (worm) – se auto-replică prin rețea, fără intervenția utilizatorului, exploatând vulnerabilități. Aceasta e diferența-cheie virus/vierme.
• Calul troian (trojan) – se prezintă ca un program util (un joc, un codec, un „crack”), dar execută pe ascuns altceva. Nu se auto-replică — se bazează pe faptul că utilizatorul îl instalează singur.
• Ransomware – criptează fișierele victimei și cere răscumpărare pentru cheia de decriptare; atacă direct disponibilitatea.
• Spyware / keylogger – colectează pe ascuns informații, respectiv înregistrează tastele apăsate (parole, coduri).
• Adware – afișează reclame nedorite; deranjant, uneori vector pentru altceva.
• Rootkit – se ascunde adânc în sistem pentru a-și menține accesul și a nu fi detectat.

Cea mai eficientă categorie de atacuri nu e însă tehnică, ci ingineria socială — manipularea omului:

• Phishing – mesaj-momeală care imită o instituție reală (bancă, școală, serviciu de e-mail) și cere date de autentificare sau un clic pe un link. Semnale de alarmă: urgența artificială („contul va fi blocat în 24 de ore”), adresa expeditorului ușor modificată, adresa reală a linkului diferită de textul afișat, greșeli de limbă, cererea de a introduce parola pe o pagină ajunsă prin link.
• Spear phishing – phishing personalizat pe o anumită persoană, cu detalii reale despre ea.
• Pretexting și baiting – atacatorul inventează un motiv credibil, respectiv lasă o momeală (un stick USB „găsit”).

Regula practică: nu datele tehnice te salvează, ci reflexul de a verifica pe alt canal — deschizi site-ul băncii scriind adresa tu, nu dând clic pe linkul din mesaj.

Criptografie – principii de bază

Criptarea transformă un text clar (plaintext) într-un text cifrat (ciphertext) folosind un algoritm și o cheie. Un principiu fundamental (principiul lui Kerckhoffs) spune că securitatea trebuie să depindă exclusiv de secretul cheii, nu de secretul algoritmului — algoritmii buni sunt publici tocmai ca să poată fi analizați.

Criptografia simetrică folosește aceeași cheie pentru criptare și decriptare (AES, DES). Este rapidă, potrivită pentru volume mari de date, dar are o problemă serioasă: distribuția cheii — cum trimiți cheia celuilalt printr-un canal nesigur? În plus, pentru n persoane care vor să comunice două câte două sunt necesare n(n−1)/2 chei.

Criptografia asimetrică (cu chei publice) folosește o pereche de chei: cheia publică, distribuită oricui, și cheia privată, păstrată secretă (RSA, ECC). Regula care se cere la examen:

• ce se criptează cu cheia publică a destinatarului se decriptează numai cu cheia lui privată → asigură confidențialitatea;
• ce se criptează cu cheia privată a expeditorului poate fi verificat de oricine cu cheia lui publică → asigură autenticitatea, adică semnătura digitală.

În practică cele două se combină: TLS folosește criptografia asimetrică doar ca să stabilească în siguranță o cheie simetrică de sesiune, apoi comunicarea propriu-zisă merge simetric, pentru viteză.

A treia noțiune este funcția de dispersie (hash) — SHA-256, de exemplu. Ea produce un rezumat de lungime fixă, este unidirecțională (din hash nu se reface mesajul) și orice modificare minusculă a intrării schimbă complet ieșirea. Hash-ul nu este criptare, pentru că nu există operație inversă; se folosește pentru verificarea integrității și pentru stocarea parolelor (serverul păstrează hash-ul parolei, nu parola, de preferință cu salt — o valoare aleatoare adăugată fiecărei parole).

Autentificare și controlul accesului

Trei noțiuni distincte, ordonate logic:

• Identificare – utilizatorul declară cine este (numele de utilizator).
• Autentificare – dovedește că e chiar el.
• Autorizare – sistemul stabilește ce are voie să facă.

Dovada la autentificare se poate baza pe trei categorii de factori: ceva ce știi (parolă, PIN), ceva ce ai (telefon, token, card) și ceva ce ești (amprentă, față, iris). Autentificarea multifactor (MFA/2FA) înseamnă combinarea a cel puțin doi factori din categorii diferite — o parolă plus o întrebare de securitate nu este autentificare în doi factori, pentru că ambele sunt „ceva ce știi”.

O parolă bună este lungă, unică pentru fiecare cont și imprevizibilă; lungimea contează mai mult decât amestecul de simboluri, iar reutilizarea aceleiași parole e cea mai costisitoare greșeală (o scurgere de la un site compromite toate celelalte conturi — atac de tip credential stuffing). Un manager de parole rezolvă problema memorării.

Atacuri asupra parolelor: forța brută (se încearcă toate combinațiile), atacul de dicționar (se încearcă parole uzuale) și atacul cu tabele precalculate (rainbow tables), pe care sarea (salt) le face inutile.

Controlul accesului se organizează după principiul privilegiului minim: fiecare utilizator primește strict drepturile necesare rolului său. Modelele uzuale sunt RBAC (drepturi atribuite rolurilor: elev, profesor, administrator) și listele de control al accesului (ACL) pe fișiere și directoare, cu drepturile clasice de citire, scriere și execuție. Completarea firească este jurnalizarea (logging) — păstrarea urmelor cine, ce și când a accesat, indispensabilă pentru investigarea unui incident.

Backup și recuperarea datelor

Copiile de siguranță sunt ultima linie de apărare: împotriva ștergerii accidentale, a defectării hardware și, mai ales, a ransomware-ului, unde adesea sunt singura soluție care nu presupune plata răscumpărării.

Tipuri de backup, cu compromisul dintre timp și spațiu:

• Complet (full) – copiază toate datele. Restaurare rapidă și simplă (un singur set), dar durează mult și ocupă mult spațiu.
• Diferențial – copiază tot ce s-a modificat de la ultimul backup complet. Fișierele cresc de la o zi la alta, dar restaurarea are nevoie doar de backupul complet + ultimul diferențial.
• Incremental – copiază doar ce s-a modificat de la ultimul backup de orice fel. Cel mai rapid și mai economic la salvare, dar restaurarea cere backupul complet + toate incrementalele în ordine, deci e cea mai lentă și cea mai fragilă (dacă lipsește una din lanț, se pierde restul).

Buna practică sintetizată e regula 3-2-1: 3 copii ale datelor, pe 2 tipuri diferite de suport, dintre care 1 păstrată în altă locație (off-site). Motivul locației separate e evident dacă te gândești la incendiu, furt sau inundație: un disc extern ținut lângă calculator dispare împreună cu el.

Două noțiuni de planificare pe care le cer manualele: RPO (Recovery Point Objective) — cât de multe date îți permiți să pierzi, exprimat în timp, deci cât de des faci backup; și RTO (Recovery Time Objective) — în cât timp trebuie să fie serviciul din nou funcțional.

Regula practică pe care o uită toată lumea: un backup netestat nu este un backup. Restaurarea trebuie exercitată periodic, altfel descoperi în ziua incidentului că arhivele erau corupte sau incomplete. Adăugarea unei copii imutabile sau offline protejează suplimentar, pentru că ransomware-ul modern caută și criptează inclusiv backupurile conectate la rețea.

Atenție la o confuzie frecventă: RAID nu este backup. RAID protejează împotriva defectării unui disc, dar dacă ștergi un fișier din greșeală, el dispare instantaneu de pe toate discurile din matrice.

Protecția datelor cu caracter personal – GDPR

GDPR (Regulamentul general privind protecția datelor, aplicabil în UE din 25 mai 2018) reglementează prelucrarea datelor cu caracter personal — orice informație despre o persoană fizică identificată sau identificabilă: nume, CNP, adresă, e-mail, fotografie, adresă IP, date de localizare. Datele unei firme nu sunt date personale; datele unui angajat, da.

Există o categorie de date speciale, cu protecție sporită: origine etnică, opinii politice, convingeri religioase, date de sănătate, date biometrice, viață sexuală. Prelucrarea lor este interzisă ca regulă, cu excepții stricte.

Rolurile: operatorul stabilește scopurile și mijloacele prelucrării (școala, magazinul online), persoana împuternicită prelucrează în numele operatorului (furnizorul de găzduire), iar persoana vizată este cea la care se referă datele.

Principii de reținut: legalitate, echitate și transparență, limitarea scopului, minimizarea datelor (colectezi doar strictul necesar), exactitate, limitarea stocării, integritate și confidențialitate, plus responsabilitate (operatorul trebuie să poată demonstra conformitatea).

Drepturile persoanei vizate: dreptul de acces, de rectificare, la ștergere („dreptul de a fi uitat”), la restricționarea prelucrării, la portabilitatea datelor, de opoziție și dreptul de a nu fi supus unei decizii automate cu efecte semnificative.

Consimțământul trebuie să fie liber, specific, informat și neechivoc, dat printr-o acțiune clară — o căsuță prebifată nu este consimțământ valabil — și trebuie să poată fi retras la fel de ușor cum a fost dat. De reținut și că un consimțământ nu e „liber” dacă serviciul e condiționat de date care nu îi sunt necesare.

În caz de încălcare a securității datelor, operatorul notifică autoritatea de supraveghere (în România, ANSPDCP) în 72 de ore, iar persoanele vizate dacă riscul pentru ele este ridicat. Amenzile pot ajunge la 20 de milioane de euro sau 4% din cifra de afaceri mondială anuală, luându-se valoarea mai mare.

Test — 6 întrebări ca la examen