SRI ar putea accesa datele transmise de cetateni catre institutii publice? Avertizarea emisa de un expert IT

Andrei Nicoara, expert in servicii de e-guvernare, a atras atentia asupra faptului ca acest sistem are echipamente de detectie a intruziunilor, pe conexiunea la internet a 54 de institutii publice, prin care este monitorizat tot traficul de internet, inclusiv activitati private ale angajatilor ori documente trimise prin email de cetateni, informeaza HotNews.ro. Potrivit aceleiasi surse, Nicoara avertizeaza ca actul promovat de Guvern ar putea oferi SRI posibilitatea de a extrage si stoca aceste informatii, spune acesta.

Andrei Nicoara, expert e-guvernare, considera ca acest memorandum ar putea oferi SRI posibilitatea de a extrage si stoca orice informatie din traficul de internet al acestor institutii, iar sistemul va fi extins la un numar de 61 de institutii cu infrastructuri critice si va fi actualizat si modernizat cu fonduri UE in valoare de peste 206,6 milioane de lei.

"Pe langa DNSC, cu aceeasi graba si lipsa de transparenta, intra azi in discutia guvernului si un memorandum, tot pe cybersecurity, care ridica unele probleme mai putin evidente publicului larg. Vor fi necesare deci explicatii ”popular science”.

Institutional un memorandum al guvernului este o expresie, stabilita prin votul ministrilor, a unei directii/vointe comune. Ministrii o vor urma ”din convingere” si nu ca urmare a unei obligatii legale (precum cea adusa de un HG).

Acest memorandum va duce la ”asigurare integrala a mentenantei echipamentelor si aplicatiilor informatice” de catre SRI pentru acele echipamente de tip IDS montate pe conexiunea la internet a 54 de institutii publice.

Un echipament IDS profesional poate scana traficul, inclusiv cel criptat, cautand cuvinte cheie sau alte amprente ale unui comportament malitios. Continutul suspect poate fi stocat pentru analiza ulterioara si informari / alerte sunt trimise catre centrul de comanda unic, operat de SRI.

Daca prin ”mentenanta” se intelege inclusiv activitatea de configurare a acestor echipamente practic acest memorandum ofera SRI posibilitatea de a extrage si stoca orice informatie din traficul de internet al acestor institutii. Acest trafic include insa inevitabil atat activitati private ale angajatilor cat si problemele populatiei de rezolvat de acea institutie.

Din perspectiva GDPR angajatorul nu ar trebui sa monitorizeze continutul traficului privat, cu atat mai putin sa ofere altcuiva acest drept. Din perspectiva SRI este fireasca colectarea de date insa pe masura ce acestea se contureaza a fi conversatia unei persoane devine, probabil, necesar sa existe un mandat.

Dispozitivele IDS sunt esentiale pentru securitatea cibernetica iar functionalitatea lor previne numeroase tipuri de atacuri si ex-filtrari de date. Modul de utilizare a datelor colectate este insa o problema pe care am auzit-o discutata oficial inca din 2016 fara a i se gasi o rezolvare civilizata. Ar fi pacat ca astazi sa actionam ca si cum problema nu exista si inca intr-o solutie legala ce responsabilizeaza individual conducatori de institutie incapabili sa inteleaga contextul.", atentioneaza Andrei Nicoara pe Facebook, potrivit sursei citate.

Autor: Cristian Tanase
Cristian Tanase, cu experienta indelungata in legislatia aferenta Codului administrativ, scrie pe subiecte de interes pentru personalul institutiilor publice, redactand stiri din domeniu si noutati legislative importante!