Vești bune pentru pasionații de securitate informatică. Un nou proiect de lege le va permite acestora să găsească punctele slabe din sistemele instituțiilor publice.
Mai mult, participanții vor fi remunerați pentru identificarea acestor breșe.
Specialiștii vor fi recompensați pentru depistarea vulnerabilităților
Proiectul de lege a fost adoptat de Senat luni. Acesta prevede organizarea unor programe dedicate specialiștilor în securitate informatică, prin care aceștia pot scoate la iveală slăbiciunile unor sisteme folosite de instituțiile și autoritățile publice.
Modelul de tip bug bounty nu este însă ceva necunoscut. Strategia de a plăti în schimbul depistării anumitor erori tehnice este de mult timp pe piață. Însă, pentru România, inițiativa de a o introduce la nivel legislativ este una nouă.
„DNSC poate iniţia şi gestiona programe de identificare şi raportare a vulnerabilităţilor, cu acordarea de recompense băneşti pentru vulnerabilităţile validate, pentru reţelele şi sistemele informatice proprii, precum şi pentru cele deţinute, administrate sau utilizate de autorităţi şi instituţii publice de alte entităţi de drept public din spaţiul cibernetic naţional civil, cu respectarea domeniului de aplicare, a excluderilor şi a regimurilor speciale prevăzute (…), precum şi a competenţelor şi drepturilor titularilor reţelelor şi sistemelor informatice vizate” potrivit prevederilor proiectului
Însă, există anumite precizări care trebuie cunoscute și respectate de cei interesați.
În primă instanță, accesul și, implicit, testarea sistemelor se vor face pe baza înscrierii în program. În traducere, va fi semnat un acord între cele două părți.
Aici vor fi precizate particularitățile supuse testării, întrucât nu tot ce intră într-un sistem poate face obiectul probelor tehnice. Așadar, vor exista anumite limite peste care utilizatorii înscriși nu vor putea trece.
Testerii riscă sancțiuni dacă încalcă regulile programului
Pe lista lucrurilor interzise se regăsesc, totodată, și restricțiile privind accesul la date. Astfel, acestea nu pot fi modificate, șterse sau copiate fără o aprobare în acest sens. Suplimentar, phishingul sau ingineria socială, folosite în demersurile de a obține informațiile dorite, sunt complet interzise.
Programele malware nu sunt tolerate în nicio măsură, iar acest principiu se aplică și altor modalități nelegitime care ar putea afecta în vreun fel informațiile și, implicit, funcționalitatea sistemelor.
În cazul în care testerii vor reuși să găsească puncte slabe în cadrul sistemelor, acestea nu vor putea fi făcute publice dacă nu există o înțelegere între părți privind divulgarea unor astfel de informații confidențiale.
Dacă aceste reguli nu sunt respectate de cei înscriși, consecințele vor fi stabilite în funcție de gravitatea abaterilor. Astfel, putem vorbi despre o simplă eliminare din program, anularea remunerațiilor, dar și răspundere penală în cazul abaterilor grave.
Proiectul de lege se află în prezent la Camera Deputaților, urmând ca aceasta să decidă dacă proiectul va fi adoptat.
