Cum poate fi aleasă „găzduirea web”. Mircea Șcheau, specialist IT: Să ținem cont de legislația europeană

Zilele trecute mai multe web site-uri din întreaga lume – site-uri de stiri, platforma socială X, ChatGPT și altele– nu au putut fi accesate din cauză că una din cele mai mari companii de găzduire, Cloudflare, a avut unele probleme tehnice. Potrivit Reuters, compania americană se ocupă de găzduirea a aproape 20% din paginile de internet din lume.

Hosting-ul sau găzduirea web se referă la publicarea siteurilor – felul în care le văd utilizatorii pe internet. Furnizorii precum compania Cloudflare oferă clienților spațiul de stocare necesar siteului și adreselor de e-mail; uneori chiar și serverul pe care sunt gpzduite informațiile.

Pentru rubrica #10întrebări, Europa Liberă a stat de vorbă cu Mircea Șcheau, președinte Asociației de securitate cibernetică pentru cloud și specialist în securitate informatică, despre însemnă hosting-ul, cum se face procurarea „găzduirii” și ce se poate întâmpla cu datele personale atunci când hosting-ul nu este sigur.

„Dacă există doar o găzduire pe servere fixe într-o anumită țară, această țară trebuie să fie semnatară a Convenției de la Budapesta, unul dintre actele normative care au fost semnate la nivel european, dar mai ales să respecte legislația Uniunii Europene”, spune Mircea Șcheau.

Specialistul spune că există mai multe instrumente prin care poate fi verificat hosting-ul unui site.

1.Europa Liberă: Ați văzut că marți, pe 18 noiembrie, multe site-uri și platforme online din jurul lumii au „căzut” temporar – printre ele și site-uri din România – fiind afectate de probleme tehnice ale Cloudflare. Ce credeți că s-a întâmplat ?

Mircea Șcheau: Cu privire la Cloudflare, investigațiile interne vor aduce la lumină și va exista un comunicat oficial în acest sens, dar toate sunt coroborate și nu putem să ignorăm niciuna dintre cauze.

Specialiștii și experții în cauză din cadrul companiei respective – cu sprijinul organizațiilor naționale, internaționale sau a celor care trebuie să investigheze acest aspect – cu siguranță că vor identifica genul de problemă care a existat.

Gândiți-vă că poate să fi fost o pană de curent, să fi fost afectată funcționarea unor servere total independente de companie, să fie probleme de actualizare a software-ului sau de propagare în rețea și atunci nu i se poate imputa companiei nimic în acest sens.

Dintr-un asemenea incident se pot trage anumite învățăminte, astfel încât toate celelalte companii să implementeze noi măsuri de protecție, nu pentru a nu deveni neapărat victime, dar pentru a preîntâmpina incidente similare. Și nu mă refer neapărat la companii de securitate, ci la orice tip de alte companii.

Opinia mea, în acest caz este să așteptăm raportul final și, bineînțeles, din experiența celor implicați, să învățăm la rândul nostru să ne adaptăm și să implementăm proceduri, norme, în acord cu ghidurile de bune practici.

Din exterior, neavând niciun fel de informații solide, verificate, fundamentate, nu putem să facem decât presupuneri. Și așa cum bine știm - presupunerea este mama tuturor greșelilor. Riscăm astfel să influențăm opinia publică livrând neadevăruri sau adevăruri trunchiate.

2.Europa Liberă: Cum trebuie aleasă găzduirea pentru evitarea problemelor?

Mircea Șcheau: Referitor la găzduire și la cum ar trebui să alegem, poate că sunt necesare pentru început câteva elemente de clarificare.

Să încercăm să înțelegem care este deosebirea între ce înseamnă găzduire, ce reprezintă un website sau ce reprezintă un domeniu.

Numele pe care îl întâlnim în bara browserului, în motorul de căutare, în zona de căutare a browserului, putem să spunem că este domeniul.

Dacă discutăm despre https://cloudsecurityalliance.org/ sau https://cloudsecurityalliance.ro/ – acestea sunt două domenii.

În spatele fiecărui domeniu se află o secvență de cifre – și aici intrăm puțin în latura tehnică – ceea ce poate să conducă la locația unde este găzduit sau unde este de încărcat, unde este stocat respectivul domeniu.

Website-ul nu reprezintă altceva decât cumulul sau fișierele, imaginile audio, video, animația care de multe ori ne încântă, pe care le găsim în momentul în care apelăm numele domeniului respectiv.

Haideți să luăm cazul Europa liberă: paginile Europa Liberă sunt pe web site-ul Europa Liberă (/), dar, în același timp, discutăm despre un domeniu Europa Liberă care este găzduit într-unul sau mai multe puncte.

În consecință, alegerea unei găzduiri ar trebui să țină cont de reputația companiei, locația centrelor de date, nivelul de securitate oferit, conformitatea cu GDPR, disponibilitatea suportului tehnic etc.

Nu este suficient ca o pagină web să arate bine, este necesar ca infrastructura din spatele acesteia să fie puternic protejată.

O problemă la nivelul găzduirii poate provoca: căderi de site, pierderi de date, scurgeri de informații, întreruperea activității.

3.Europa Liberă: După cum vedem, sunt mai multe tipuri de găzduire. De ce este esențială găzduirea web?

Mircea Șcheau: Există găzduire în cloud, hosting clasic pe un server public sau găzduire on-premise, pe un server dedicat, aceasta din urmă permițând deconectare de la internet, într-un mediu strict controlat și securizat.

Referitor la serviciile de cloud, este importantă modalitatea în care ne alegem tipul de găzduire și tipul de servicii din cloud pentru că aceasta permite firmei să aleagă exact nivelul de responsabilitate pe care îl poate gestiona.

Discutăm despre software as a service, platform as a service și infrastructure as a service.

Dorim să accesăm una sau mai multe aplicații care sunt disponibile unuia sau mai multor utilizatori sau uneia sau mai multor companii. Și atunci, sigur că putem să solicităm unui provider să ne dea acces la un tip de aplicație care execută anumite operațiuni ce sunt în beneficiul activității pe care o desfășurăm – „software-ul de service”.

În privința platform as a service, vă propun să facem un exercițiu de imaginație și să ne gândim că mai multe universități sau mai multe institute de cercetare lucrează la un proiect comun. Numai că una dintre universități este din România, alta este din Statele Unite, alta din Germania, iar alta din Japonia. Să presupunem și că proiectul este comun, trebuie să acceseze aceleași capabilități, aceleași instrumente și rezultatele finale să fie încărcate pe aceeași platformă.

Însă avem și rezultate intermediare, și fiecare dintre participanți pot să acceseze rezultatele intermediare și pot să comunice cu colegii sau să contribuie de la distanță la activitățile de cercetare a colegilor din celelalte țări.

Acesta fiind doar un exemplu, dar care se poate replica în domeniul de apărare și în domeniul de securitate militară sau securitate cibernetică, pentru că se poate crea o platformă comună la nivel european de securitate cibernetică, astfel încât statele să poată „să-și împrumute” capabilitățile astfel încât să facă față unei amenințări care vizează spațiul european sau vizează numai spațiul național al uneia dintre țările membre ale Uniunii Europene.

Prin infrastructure as a service se poate pune la dispoziția consumatorului, la dispoziția solicitantului, o infrastructură complet separată de a altor utilizatori, este numai la dispoziția lui - servere, mediu securizat, VPN-uri etc.

Este extraordinar de important ca o companie să aibă un sistem de management al vulnerabilităților bine pus la punct și actualizat.

Și, nu în ultimul rând, sisteme antivirus dacă este necesar, chiar dacă nu fac parte din această categorie, și echipe externe care să antreneze beneficiarul, în sensul de a-l proteja cibernetic.

În alegerea găzduirii trebuie să se ia în considerare că orice vulnerabilitate la nivel de hosting poate compromite întreaga activitate.

4.Europa Liberă: Ce se întâmplă în plan internațional cu găzduirea web? E mai bine să îți iei găzduire locală?

Mircea Șcheau: Sunt importante atât furnizorul de găzduire, cât și locația. Și anume, dacă discutăm despre cloud, există sisteme de reziliență și datele pot să fie replicate dintr-o țară într-o altă țară.

Pe de altă parte, dacă există doar o găzduire pe servere fixe într-o anumită țară, această țară trebuie să fie semnatară a Convenției de la Budapesta, unul dintre actele normative care au fost semnate la nivel european, dar mai ales să respecte legislația Uniunii Europene, GDPR, NIS2 etc..

În scenariul nostru, fără a dori să fac niciun fel de comparație, puteți să vă imaginați ce s-ar întâmpla dacă datele dvs. ar fi găzduite într-o arie geografică ce nu respectă legislația europeană, în care ar exista riscuri de acces neautorizat: am avea de-a face cu lipsa controlului asupra datelor, în care furnizorul nu are obligația de a notifica beneficiarul în cazul unui incident cibernetic și, dacă ar fi alterate aceste date, beneficiarul nu ar putea să se îndrepte împotriva providerului de hosting sau împotriva furnizorului de servicii.

De ce? Pentru că nu respectă aceeași legislație. Noi putem să facem, desigur, trimitere la dreptul internațional. Dar mai important este un alt aspect: respectarea legislației europene și a tuturor elementelor de conformitate ne asigură pe noi că furnizorul de servicii este aliniat cu solicitările, normele și exigențele impuse de legislația Uniunii Europene, mai ales cele în legătură cu securitatea cibernetică. Și această legislație obligă furnizorii de servicii, de hosting, să implementeze măsuri de securitate ce trebuie periodic auditate.

Internetul funcționează global, dar legile sunt locale. De aceea, nu este obligatoriu ca găzduirea să fie locală, ci într-un spațiu juridic sigur și predictibil. Europa impune standarde foarte stricte (GDPR, NIS2), iar furnizorii trebuie: să fie auditați periodic, să protejeze datele, să notifice incidentele, să implementeze măsuri tehnice avansate

5. Europa Liberă: Așadar, ne spuneți că ar fi mai bine ca cineva să aleagă un hosting care are legătură cu Uniunea Europeană?

Mircea Șcheau: Putem să alegem un hosting care are legătură cu Uniunea Europeană, dar nu neapărat asta am dorit să subliniez, ci ideea de a alege un hosting care respectă legislația internațională aliniată cu legislația europeană (în contextul GDPR, NIS2 erc.) și care să ne asigure că datele, informațiile pe care le stocăm acolo nu sunt folosite în detrimentul nostru sau în avantajul competitorilor. Asta implică transparența politicilor de protecție, a modului de implementare și un nivel etic ridicat, capabil să prevină, să răspundă la incidente și să asigure integritatea, confidențialitatea și disponibilitatea datelor.

Este preferabil ca găzduirea să fie în Uniunea Europeană sau într-o țară care respectă legislații compatibile cu UE. Locația fizică nu este singurul criteriu. Important este ca furnizorul: să respecte GDPR, să aibă audituri externe, să fie transparent în procesarea datelor, să ofere garanții reale de securitate.

Alegând o găzduire conform cu legislația europeană, ne protejăm mult mai bine datele și drepturile.

Romania: Mihai Scheau - computer security specialist, president of the Cloud Cybersecurity Association

6.Europa Liberă: Cum îți alegi sau cum știi ce tip de găzduire ți se potrivește?

Mircea Șcheau: Este în funcție de business, în funcție de mărimea afacerii, în funcție de necesitate, în funcție de banda de comunicație, de puterea de procesare, de viteza de transmitere a datelor, de capacitatea de stocare de aplicațiile utilizate, resursele necesare, toleranța la risc etc. Cerințele de securitate și scalabilitatea influențează alegerea modelului optim.

De asemenea, este în funcție de suma pe care ești dispus să o plătești. Dacă dorești doar acces la niște servicii de software sau dacă dorești acces la o platformă sau dacă dorești o infrastructură separată - costurile sunt total diferite. Asta bineînțeles că depinde și de mărimea companiei sau a consumatorului, pentru că și noi, ca persoane fizice, putem să optăm pentru un tip de găzduire sau altul. Asta, desigur, dacă dorim să construim un site sau dorim să avem acces la o infrastructură completă care să asigure nivelul de securitate pe care ni-l dorim.

Pentru că de multe ori astfel infrastructuri sunt supuse unor atacuri puternice cibernetice și, în cazul acesta, cel care asigură hosting-ul are un rol la fel de important ca cel care administrează respectivul domeniu.

Vă dau câteva exemple: un site mic poate funcționa pe un VPS; un magazin online cu trafic mare are nevoie de server dedicat sau cloud; o instituție publică sau o companie din infrastructura critică are nevoie de infrastructuri segmentate și auditate; proiectele comune internaționale folosesc platforme.

Costurile cresc odată cu nivelul de securitate și performanță.

Un angajat al departamentului de securitate cibernetică din echipa mobilă a Jocurilor Olimpice Paris 2024 gestionează un atac cibernetic simulat.

7. Europa Liberă: Cum poți să aflați ce găzduire folosește un site web?

Mircea Șcheau: Există mai multe instrumente online pe care le putem accesa. Unele dintre ele, mă refer la cele profesionale, cu siguranță sunt purtătoare de costuri. Există instrumente online care să ne permită identificarea adresei IP din spatele domeniului și care să nu conducă la adresa fizică, dar nu adresa fizică este importantă, ci compania de hosting care găzduiește respectivul domeniu.

Din nou, făcând un exercițiu de imaginație, putem să avem un domeniu cu un nume extraordinar de atrăgător, dar care să fie găzduit într-o zonă care nu respectă deloc prevederile legislative ale Uniunii Europene și nu operează în conformitate cu acestea.

Mai mult decât atât, accesând domeniul respectiv, deci accesând website-ul, intrând pe domeniul respectiv, este posibil ca datele noastre, informațiile computer-ului sau ale device-lui de pe care accesăm să fie colectate și să fie, așa cum am spus mai devreme, utilizate într-un mod total nejudicios de către cel care gestionează domeniul sau de cel care asigură hostingul.

Așa cum am spus anterior, cu ajutorul instrumentelor profesionale se pot identifica regiunea de găzduire, furnizorul de infrastructură, sistemul de distribuție a conținutului, tehnologia utilizată, IP-ul asociat etc.

Aceste informații sunt publice și nu dezvăluie date sensibile, dar pot fi un indicator bun despre cât de sigur este un site.

8.Europa Liberă: Cum protejezi datele de pe site în cazul în care găzduirea e în altă țară?

Mircea Șcheau: Simplu, alegându-mi altă găzduire sau alegând o găzduire acolo unde regulamentele se aplică și se respectă întru totul, fără abatere – o țară cu jurisdicție, transparentă.

Dacă se dorește găzduirea într-o țară în care nu ai niciun fel de control, nu trebuie să ne mire că datele noastre pot să fie expuse, pentru că cel care asigură găzduirea nu asigură nivelul de securitate potrivit sau adecvat sau în conformitate cu legislația europeană.

Și atunci, sigur, că alegerea noastră influențează major de la început, repet major, nivelul de securitate pe care noi ni-l alegem.

Ca măsuri de protecție se recomandă evaluarea periodică a sistemului de securitate, monitorizare avansată, control accesului, criptarea end-to-end a datelor, backup-uri multiple etc.

Dacă este hosting-ul se află într-o zonă cu risc, singurele protecții reale sunt: criptarea datelor, astfel încât doar tu să le poți citi; control strict al accesului, adică parole complexe, autentificare multifactor; backup-uri în locații sigure, ideal în UE; monitorizare continuă a activității suspecte, contracte clare cu furnizorul, astfel încât responsabilitățile să fie bine definite.

Dacă furnizorul nu îți poate garanta aceste lucruri, cea mai bună opțiune este să migrezi către o găzduire conform standardelor europene.

9. Europa Liberă: Care sunt cele mai mari amenințări cibernetice cu care se confruntă utilizatorii individuali sau businessurile?

Mircea Șcheau: O să vi se pară poate puțin ciudat, dar aceleași amenințări care sunt la nivel de consumator individual au impact și asupra business-urileor. De ce? Pentru că forța unui lanț este dată de cea mai slabă verigă – și, uneori, cea mai slabă, dar și cea mai puternică verigă, se dovedește a fi factorul uman.

Revenind la întrebarea dumneavoastră, lăsând la o parte atacurile concentrate și concertate, declanșate de grupări statale sau de grupuri infracționale puternice, bine organizate, cu scop de a obține beneficii materiale, de a provoaca daune de imagine sau de a exfiltra informații dintr-o companie competitoare care lucrează la un proiect de cercetare asemănător, pot să spun că unele dintre amenințările cibernetice cele mai cunoscute fac referire la ransomware, la malware și la phishing sau spear-phishing, compromiterea conturilor prin MFA bypass etc.

Phishing-ul este bine cunoscut celor care ne urmăresc sau celor care citesc Europa Liberă și, din păcate, se înregistrează destul multe victime. Nu trebuie să ne gândim numai la link-uri malițioase sau la atașamente care pot să infecteze un device, dar putem să ne gândim și la voice phishing, acel vishing în care se înregistrează și se prelucrează vocea unei persoane cunoscute care apelează unul dintre prieteni sau rude solicitând anumite sume de bani.

Însă măsurile de securitate pe care trebuie să le implementăm atât la nivel personal, cât și la nivel organizațional, conduc de multe ori la „bunul simț”. Așa cum eram obișnuiți și suntem obișnuiți și suntem învățați de mici copii să stingem lumina, să verificăm gazele, să închidem geamurile când plecăm de acasă – și în cazul securității cibernetice se impun aceleași reguli de igienă cibernetică și de reziliență.

Mă refer aici la atenția de a citi structura unui link, de a încerca să observăm, fără să ne grăbim să dăm click pe el, dacă există litere sau cifre. De exemplu, să ne uităm dacă în locul unei litere „m” pot să fie două litere alăturate – „r” și „n”- și să nu observăm. Să nu răspundem la email-uri sau să descărcăm atașamente din email-uri pe care nu le-am solicitat.

În situația în care suspectăm că am devenit victima sau că cineva apropiat nouă este potențială victimă a unui atac cibernetic, să nu ezităm să sunăm la numărul de telefon 1911 al Directoratului Național de Securitate Cibernetică sau să transmitem mail către specialiștii instituției, cât mai detaliat posibil pentru a se putea identifica în timp util problema.

10. Vorbeați despre faptul că unele website-uri sunt înșelătoare și au câte o cifră sau literă scrisă intenționat greșit. Multe din aceste linkuri le găsim pe social media. Cum să ne protejăm?

Mircea Șcheau: Da, foarte multe linkuri înșelătoare apar pe rețelele de socializare, mesaje de tip email, în documente sau pe grupuri unde se distribuie rapid informații. Multe par site-uri cunoscute, dar au mici modificări în adresă – de exemplu litere înlocuite sau cifre în locul literelor.

Fenomenul se numește typosquatting și este o tehnică folosită de atacatori pentru a crea site-uri care imită adresele reale, folosind mici modificări greu de observat. Scopul este ca utilizatorul să creadă că se află pe site-ul real și să introducă date sensibile (parole, carduri, informații personale).

Dar nu numai pe rețelele de socializare, dar și pe grupurile către care ne grăbim să trimitem informații care ni se par nouă a fi interesante, fără să le verificăm, acestea nefăcând decât „să ajute” la distribuirea unor trunchiuri de malware, fiind purtătoare de informații malițioase. Depinde cum sunt folosite.

Nu cred că ar trebui să ne îndreptăm împotriva rețelelor sociale – ele sunt de multe ori doar un canal - ci împotriva modului de utilizare de către unii dintre noi a rețelelor sociale, a acelora care folosesc rețelele sociale pentru dezinformare, pentru câștiguri necuvenite, pentru a provoca deficit de imagine, pentru a altera buna funcționare sau pentru a aduce atingere instituțiilor statului.

Rețelele sociale, la fel ca inteligența artificială, pot să fie folosite în scop benefic, pozitiv sau negativ.

Educația continuă poată să reprezinte răspunsul la multe dintre provocări, iar măsurile de securitate care includ, printre altele, folosirea autentificării multifactor și a unui DNS securizat pot să reprezinte primul nivel de apărare în fața atacurilor, a agresiunilor cibernetice: verificăm cu atenție adresa site-ului, mai ales înainte de a introduce date personale, nu accesăm link-uri trimise „pe fugă” sau care ne provoacă emoții puternice (teamă, urgență), nu deschidem fișiere și atașamente pe care nu le-am solicitat, verificăm informațiile înainte de a le distribui mai departe.

Europa Liberă România e pe Google News. Abonați-vă AICI