9,2 din 10. La doar un pas de severitatea maximă

Dacă ar fi fost un cutremur, alerta anunţată pe 21 octombrie de echipa care dezvoltă PHP ar fi putut declanşa tsunamiuri şi redesena harta unor regiuni întregi. PHP este limbajul de programare din spatele a milioane de site-uri şi aplicaţii web, de la magazine online la portaluri ale instituţiilor. În plină Lună Europeană a Securităţii Cibernetice, au fost semnalate două vulnerabilităţi critice, notate fiecare cu 9,2 din 10 pe scala de severitate. Pe scurt, un atacator putea prelua controlul unui server de la distanţă, fără cont şi fără parolă. După doar câteva zile, breşele erau deja folosite în atacuri reale.

Nu este un caz izolat. Potrivit agenţiei europene pentru securitate cibernetică (ENISA), în 2025 au fost descoperite peste 48.000 de vulnerabilităţi software, cu 22% mai multe decât cu un an înainte. Acolo unde s-a putut afla pe unde au intrat atacatorii, în peste 60% din cazuri au folosit tocmai o astfel de breşă. Aproape trei sferturi dintre organizaţiile atacate furnizează servicii esenţiale sau importante, iar instituţiile publice sunt cele mai vizate, cu aproape o treime din cazuri.

Pentru fiecare dintre noi, un atac cibernetic poate însemna o programare la medic care nu se mai poate face, un tren care întârzie sau un serviciu online care nu mai funcţionează. România a simţit asta în februarie 2024, când atacul ransomware asupra sistemului informatic Hipocrate, folosit de zeci de spitale, le-a afectat activitatea, iar în iulie 2026, un atac ransomware asupra Agenţiei Naţionale de Cadastru şi Publicitate Imobiliară (ANCPI) a blocat platforma e-Terra şi a perturbat tranzacţiile imobiliare timp de aproape o lună.

Securitatea cibernetică a devenit o responsabilitate a întregii organizaţii, de la specialiştii IT până la conducere. Pentru companiile de software şi servicii IT, care construiesc şi administrează o mare parte din această infrastructură, ea ţine direct de calitatea serviciilor şi de încrederea clienţilor.

Ştim ce conţine software-ul pe care îl folosim?

Alerta PHP ridică o întrebare simplă: cât de repede poate o organizaţie să afle unde foloseşte componenta vulnerabilă? Aplicaţiile de astăzi sunt construite din multe piese, de la furnizori diferiţi, iar o problemă într-una singură se poate propaga în multe sisteme.

Soluţia seamănă cu eticheta unui produs alimentar. O listă a tuturor componentelor unui program, numită SBOM (Software Bill of Materials), arată imediat dacă un sistem conţine piesa vulnerabilă şi ce trebuie actualizat mai întâi. ANIS propune ca o astfel de listă, într-un format standard, să fie obligatorie pentru programele cumpărate de instituţiile publice. Multe dintre aceste componente sunt dezvoltate de comunităţi open-source, adesea de voluntari, aşa că regulile trebuie gândite astfel încât să nu îi descurajeze.

La fel de important este ca statul să nu ajungă dependent de un singur furnizor (vendor lock-in). Când un sistem public foloseşte standarde deschise şi permite mutarea datelor la final de contract, o componentă poate fi actualizată sau înlocuită fără să se blocheze totul. Asta înseamnă sisteme mai sigure pentru cetăţeni şi mai multă concurenţă în proiectele publice, inclusiv pentru companiile româneşti.

Un incident. Mai multe raportări. Mai puţin timp pentru răspuns.

Uniunea Europeană a introdus în ultimii ani reguli mai stricte: NIS2 pentru organizaţiile care furnizează servicii esenţiale, DORA pentru bănci şi sectorul financiar şi Cyber Resilience Act pentru produsele digitale, de la aplicaţii la dispozitive conectate. Din 11 septembrie 2026, producătorii trebuie să anunţe în 24 de ore vulnerabilităţile exploatate activ în produsele lor.

Regulile mai stricte sunt necesare. Problema apare în aplicare. În plin atac, o companie poate fi nevoită să trimită aceleaşi informaţii către mai multe instituţii, fiecare cu formularul şi termenul ei: Directoratul Naţional de Securitate Cibernetică, ASF sau BNR, agenţia europeană ENISA. Timpul petrecut cu formularele este timp pierdut pentru oprirea atacului.

Riscul cibernetic nu scade prin mai multe formulare. Companiile au nevoie de reguli clare, armonizate şi proporţionale cu riscul, care să le permită să se concentreze pe protecţia efectivă a sistemelor şi serviciilor.

Principiul ar trebui să fie simplu: un incident se raportează o singură dată, iar informaţia ajunge automat la toate instituţiile care au nevoie de ea. Pentru asta, România are nevoie de o platformă naţională unică, legată direct de cea europeană.

Comisia Europeană a propus deja un astfel de punct unic de raportare şi estimează că ar putea reduce la jumătate costurile de raportare. Propunerea este încă în dezbatere la nivel european, iar ANIS a cerut, în contribuţia la Strategia Naţională de Securitate Cibernetică 2027-2032, ca România să pregătească din timp un sistem compatibil. Resursele economisite pot merge spre prevenţie, detecţie şi intervenţie.

O provocare asemănătoare apare la produsele digitale. Unele dintre ele vor trebui verificate de organisme specializate înainte de a fi vândute în Uniunea Europeană. Dacă astfel de organisme nu există în România, companiile româneşti vor fi nevoite să îşi testeze produsele în alte ţări, cu costuri şi întârzieri în plus. Germania, Franţa sau Spania au ales un model în care statul supraveghează, iar firme private acreditate fac evaluarea şi testarea. Firmele mici, care nu au specialişti dedicaţi, au nevoie în plus de ghiduri practice şi de sprijin pentru primii paşi.

Securitatea, o cursă contra cronometru

Inteligenţa artificială ajută la detectarea mai rapidă a atacurilor, dar îi ajută şi pe atacatori, de la mesaje înşelătoare mai credibile la operaţiuni automatizate. ENISA observă că AI este folosită tot mai des în atacuri. Pentru dezvoltarea unor sisteme AI sigure, cele mai utile sunt ghidurile practice, nu sancţiunile care descurajează inovaţia.

Calculatoarele cuantice aduc o provocare pe termen lung: în viitor, ar putea sparge metodele de criptare care protejează astăzi datele bancare, medicale sau ale statului. Datele furate acum ar putea fi decriptate peste câţiva ani. Noile standarde de criptare, rezistente la această ameninţare, au fost publicate încă din 2024. Un prim pas concret ar fi ca organizaţiile din sectoare esenţiale, precum finanţele, telecomunicaţiile, energia şi sănătatea, să îşi inventarieze până în 2028 sistemele de criptare pe care le folosesc.

Decalajul dintre viteza tehnologiei şi ritmul în care se modernizează infrastructura devine el însuşi o vulnerabilitate. Securitatea gândită încă din proiectare (secure-by-design) şi sistemele care pot fi actualizate uşor trebuie să facă parte din investiţiile de astăzi.

Industria IT poate dezvolta astfel de soluţii, dar are nevoie de un stat care ţine pasul. Noua Strategie Naţională de Securitate Cibernetică 2027 - 2032 este momentul potrivit: finanţare pe mai mulţi ani, rezultate măsurabile şi publice şi o colaborare reală, de lucru, între stat şi industrie.

Luna Europeană a Securităţii Cibernetice s-a încheiat, dar riscurile nu au sezon. Nu putem şti când va apărea următoarea vulnerabilitate. Putem însă decide cât de pregătiţi suntem. De asta depind tot mai mult serviciile pe care le folosim zilnic, încrederea în mediul digital şi competitivitatea României.