Securitatea cibernetică în digital media este o provocare pentru mulţi specialişti. Cu o experienţă de peste 15 ani în tehnologie şi media digitale, ştie cum să răspundă cel mai bine la un atac cibernetic pentru că a învăţat pe propria piele de nenumărate de ori, lucrând cu mai multe sisteme, ştie să optimizeze şi să găsească rapid varianta cea mai bună. Dar cu toate acestea, un lucru este esenţial în toată activitatea în digital media: prevenţia este cea mai bună apărare. Prevenţie pentru care nici cele mai performante sisteme din digital media nu sunt pe deplin corespunzătoare noilor reglementări prevăzute de GDPR şi Directiva NIS. Detalii despre toate acestea în interviul cu Daniel Secăreanu, omul din spatele digitalului la Burda România.

Cine este Daniel Secăreanu?

Daniel Secăreanu este Chief Digital Officer la Burda România şi are printre responsabilităţi managementul infrastructurii web (hosting, servere, site-uri), managementul proiectelor de dezvoltare (site-uri), strategia de monetizare (publicitate online, produse, servicii) şi strategia de dezvoltare digital business. Are o experienţă de peste 15 ani în tehnologie şi media digitale, MSc în IT, MBA. Este vicepreşedinte IAB România şi membru în consiliul director al IAB Europe (Interactive Advertising Bureau). Mai multe despre el aflaţi pe LinkedIn.

„Pentru mine, securitatea informaţională este inclusă în nevoile de bază ale unui publisher digital.”

În calitate de şef al activităţilor din Digital ale Burda România, cum percepeţi noţiunea de securitate cibernetică?

Modul în care eu abordez lucrurile pleacă de la un concept de tipul “cost of entry”, adică un cost minim pe care trebuie să îl acoperi pentru a exista într-un anumit business. În piaţa de publishing online, costul de intrare din punct de vedere tehnic este să ai componentele de bază acoperite, adică un hosting bun (optimizat şi scalabil) şi sigur (protejat preventiv), un CMS (content management system) flexibil, sigur (protejat preventiv) şi eficient din punctul de vedere al costului şi, ideal, nişte utilizatori care să îl utilizeze corect (eficient şi sigur).

Pentru mine, securitatea informaţională este inclusă în nevoile de bază ale unui publisher digital deoarece trăim într-o lume foarte vulnerabilă, şi, în acelasi timp, foarte volatilă din punct de vedere cibernetic. Trăim într-o lume în care nu doar script kiddies (puştani ce abuzează de vulnerabilităţi descoperite pe internet), ci chiar actori statali abuzează de riscurile de securitate cibernetică pentru a cauza daune financiare şi morale altor actori statali.

Care sunt vulnerabilităţile cibernetice pe care le observaţi la produsele media online din România?

Vulnerabilităţile cibernetice pe care le observ în România sunt în general exact cele pe care eu le consider cost de intrare în piaţa de media digitală (sau pentru orice proprietar de site, fie el antreprenor sau companie mare), în principal la nivel de server şi CMS. Se folosesc adesea soluţii simple de hosting (pe care nu le securizează nimeni), servere de baze de date sau aplicaţii web neactualizate sau CMS-uri vechi de când lumea, neauditate din punct de vedere al securităţii, precum şi conexiuni necriptate între site şi utilizatori, chiar şi în cazul în care se transferă date personale prin intermediul internetului (ca de exemplu înscrierea la un newsletter).

Având în vedere că ştiţi foarte bine istoricul digital media în România şi resursele de care dispun publisherii la momentul actual, ce importanţă consideraţi că ar trebui să acorde managerii produselor media online siguranţei informaţiei?

Nu cred că importanţa acordată securităţii ar trebui să aibă ceva de a face cu istoricul unei industrii sau al unei companii. Securitatea trebuie să fie preventivă, iar abordarea ei ar trebui să privească spre viitor, răspunzând la întrebarea: am tot ce trebuie pentru ca businessul meu să nu sufere iremediabil în cazul unui atac informatic sau al unui dezastru de alt fel (backup date, restaurare servicii într-un interval de timp decent, etc.)? La această întrebare ar trebui să se gândească managerii produselor de media şi să se asigure că răspunsul la ea este un puternic DA.

E drept că e nevoie de resurse importante pentru a te proteja foarte bine (deşi eu nu cred în securitate cibernetică 100%), dar mai cred că există foarte multe instrumente gratuite sau open source ce pot fi folosite astfel încât măcar acest cost de intrare să fie acoperit, realizând astfel prevenţia de bază din punct de vedere al securităţii cibernetice. Singurele resurse necesare sunt oamenii competenţi şi dorinţa de a face lucrurile corect.

Ce acţiuni de conştientizare a pericolelor din mediul online se află marcate pe lista Burda România?

În general anunţăm şi argumentăm acţiunile pe care le întreprindem pentru securizarea produselor digitale ale Burda România, în special atunci când acest lucru necesită o schimbare de comportament din partea utilizatorilor interni sau externi ale acestor produse. Este important ca aceştia să înţeleagă de ce este nevoie de o anumită aplicaţie sau de o anumită schimbare de comportament pentru a ne asigura securitatea produselor digitale. Atunci când avem utilizatori externi ce au probleme în a accesa produsele noastre digitale din cauza unui browser mai vechi sau a unui sistem de operare mai vechi, le recomandăm acestora să îşi actualizeze aplicaţiile pentru a putea avea acces la site-urile noastre.

„În trecut aveam zile în care eram atacaţi cibernetic şi primeam mii de alerte într-o singură oră. Astăzi, numărul acestor alerte a scăzut foarte mult, la câteva alerte pe zi.”

Ce a făcut concret Burda România pentru siguranţa utilizatorilor produselor sale?

În ultimul an şi jumătate, am implementat mai multe straturi de securitate între utilizatori şi site-urile Burda România, întărind în acelaşi timp securitatea infrastructurii tehnice din spatele acestor site-uri (la nivel de server, aplicaţii web şi CMS). Avem trei nivele de firewall între un potenţial atacator şi serverele noastre, unul la nivel de DNS, al doilea la nivel de server şi al treilea la nivel de aplicaţie (CMS). Monitorizăm continuu activitatea acestora şi am reuşit să scădem numărul de alerte de securitate foarte mult. În trecut aveam zile în care eram atacaţi cibernetic şi primeam mii de alerte într-o singură oră. Astăzi, numărul acestor alerte a scăzut foarte mult, la câteva alerte pe zi, dovadă că reuşim să blocăm majoritatea încercărilor de penetrare a securităţii site-urilor noastre.

Acum mai bine de un an, pe când Google anunţa doar că, începând din 2017, va avertiza utilizatorii browserului Chrome atunci când navighează pe site-uri ce nu oferă o conexiune securizată, am migrat toate site-urile noastre de pe conexiune HTTP pe conexiune HTTPS, criptând astfel informaţiile schimbate între utilizatori şi site-urile noastre. Deoarece am avut o abordare preventivă, acest lucru a generat probleme unor parteneri de-ai noştri, aceştia nefiind neapărat pregătiţi să deservească site-uri cu conexiuni criptate. Deşi suntem deja la jumătatea anului 2017 şi deşi Chrome deja avertizează utilizatorii atunci când navighează pe un site cu conexiune nesecurizată, în continuare piaţa de media digitală din România nici măcar nu se gândeşte la acest lucru, deşi poate fi implementat cu costuri minime şi într-o perioadă scurtă de timp.

Ce măsuri a luat Burda România pentru siguranţa în mediul online a angajaţilor?

În Burda România, serviciile IT şi cele Web sunt în departamente diferite. Din punct de vedere IT, compania se asigură că infrastructura pusă la dispoziţia angajaţilor este sigură şi funcţionează în parametri normali. Bineînţeles că suntem protejaţi antivirus şi împotriva atacurilor informatice din afara reţelei noastre. Utilizatorii ce lucrează de la distanţă se conectează la infrastructura IT prin intermediul unui VPN (conexiune securizată).

„Cred că intrarea în vigoare a GDPR în mai 2018 ne va prinde pe mulţi nepregătiţi.”

Cum preconizaţi evoluţia digital media în perspectiva unui Internet plin de restricţii de teama informaţiilor false şi a furtului de date personale?

Riscurile de securitate vor rămâne şi chiar se vor acutiza în viitorul apropiat, astfel încât devine din ce în ce mai important ca piaţa de media digitală să înţeleagă mai bine aceste riscuri şi să se protejeze împotriva lor. Piaţa de media digitală va merge înainte însă, raliându-se chiar în proiecte de lobby astfel încât nici legislaţia prea strictă (generată de teama informaţiilor false sau a furtului de date personale) să nu facă această industrie ineficientă sau, mai rău, inutilă.

Sincer, cred că, cel puţin în România, suntem cu nişte ani în urma Occidentului, deşi avem acces la aceleaşi informaţii şi tehnologii necesare pentru a ne proteja mai bine din punct de vedere al securităţii cibernetice. Astfel, cred că intrarea în vigoare a GDPR, în mai 2018, ne va prinde pe mulţi nepregătiţi.

Cum se adaptează o companie de nivelul Burda la GDPR şi Directiva NIS?

Chiar şi o companie la nivelul Burda România are dificultăţi în a se alinia la cerinţele GDPR şi NIS. Asta pentru că aceste noi reglementări implică schimbări semnificative în modul în care o companie funcţionează şi orice schimbare întâmpină rezistenţă sau lipsă de resurse (bugete) ce nu au fost neaparat planificate pentru acest scop.

 

Credit foto: Cătălin Georgescu

Știri Interviu Burda România Daniel Secăreanu digital media front GDPR Interviu media preventie securitate cibernetica securitatea informatiei