Sute de instituții din România lasă „uși deschise” pe internet pentru hackeri. Mureșul prinde „norocosul” loc 13

Un raport civic independent, publicat de platforma Barometrul Digital, a evaluat pentru prima dată la nivel național gradul de securitate digitală al instituțiilor publice din România. Analiza a vizat 2.487 de instituții (primării, consilii județene, spitale județene, instituții centrale și operatori de utilități) iar concluzia generală este una de mediocritate: media pe țară este de 7,09 din 10.

Potrivit metodologiei folosite, evaluarea s-a bazat exclusiv pe măsurători pasive și date publice disponibile pe internet, fără scanări de vulnerabilități sau testarea parolelor instituțiilor. Au fost analizați 13 factori tehnici, de la protecția e-mailului și criptarea site-ului până la expunerea unor servicii sensibile pe internet, iar rezultatele au fost grupate pe cinci dimensiuni: securitatea e-mailului, criptare și certificate, configurare de securitate, suprafață expusă și igienă generală.

Distribuția notelor arată o țară concentrată în jurul mediei: 94,2% dintre instituții sunt considerate „mediocre”, cu note între 5 și 9, iar doar șapte instituții din totalul evaluat, adică 0,3%, au reușit să obțină calificativul de „premiant”, cu note de 9 sau peste. La polul opus, 137 de instituții se află sub linia de promovare: 124 sunt „corigente” și 13 „repetente”, ceea ce înseamnă aproximativ 5,5% din total.

Cea mai mare problemă identificată de autorii raportului ține de configurarea de securitate a site-urilor, unde 61,4% dintre instituții au fost notate ca fiind la nivel critic, adică sub 4 din 10. Practic, marea majoritate a site-urilor publice nu au protecțiile elementare împotriva scripturilor injectate sau a clonării. De asemenea, 94,4% dintre site-urile analizate nu beneficiază de un scut activ de tip WAF/CDN, un proxy care ar trebui să protejeze serverul de atacuri directe.

O altă vulnerabilitate majoră vizează securitatea e-mailului instituțional: 49,3% dintre instituții nu au deloc protecție DMARC, ceea ce înseamnă că oricine poate trimite mesaje care par a veni oficial din partea unei primării sau instituții publice. Alte 32,5% au o astfel de protecție, dar doar în mod pasiv, iar numai 18,1% blochează efectiv tentativele de impersonare.

Raportul mai arată că 502 instituții, adică 21,1% din total, expun porturi riscante pe adresa lor publică, iar 117 dintre acestea expun porturi critice, care oferă acces la baze de date sau conexiuni la distanță. Multe dintre aceste instituții, 468 la număr, folosesc găzduire partajată, unde vecinătatea cu alți clienți de pe același server, prost izolată, poate deveni o cale de atac lateral. Alte 158 de instituții rulează pe adrese cu vulnerabilități cunoscute și catalogate public.

La capitolul criptare, situația este ceva mai bună, dar nu perfectă: 19 site-uri au criptarea compromisă, dintre care 13 funcționează complet fără HTTPS, iar 6 au certificatul de securitate expirat. Vestea bună a raportului este că nicio instituție evaluată nu apare pe listele publice de phishing sau malware și niciun domeniu instituțional nu figurează în cataloagele publice de breșe de date.

La nivel județean, diferențele sunt surprinzător de mici, semn că problemele de igienă digitală sunt distribuite uniform pe toată harta țării. Județul cu cea mai bună notă este Vaslui, cu 7,5, urmat de Vrancea, tot cu 7,5, și Bacău, cu 7,4. La polul opus se află Bistrița-Năsăud, cu media cea mai mică, 6,6. Județul Mureș ocupă locul 13 la nivel național, din cele 42 de județe evaluate, cu o medie de 7,2, obținută prin analiza a 72 de instituții publice.

Pe categorii de instituții, primăriile, cele mai numeroase cu 2.352 de unități evaluate, au o medie de 7,1 și dau practic tonul întregului clasament național. Spitalele județene stau la un nivel aproape identic, cu 7,0, în ciuda faptului că gestionează date medicale sensibile. Consiliile județene se situează puțin peste medie, cu 7,2.

Interesant este că, analizând tipul de localitate, comunele au obținut o medie mai bună, 7,1, decât municipiile, care au înregistrat doar 6,8, cea mai mare rată de instituții sub linia de promovare fiind însă la orașele mici, cu 8%. O explicație posibilă oferită de autorii raportului este că primăriile mici își externalizează adesea site-urile către furnizori specializați, care aplică aceleași bune practici la mai mulți clienți simultan.

Cea mai bună notă din toată țara a fost obținută de Primăria Comunei Ciurila, din județul Cluj, cu punctaj maxim, 10 din 10, urmată de Primăria Comunei Balușeni, din Botoșani, cu 9,3, și de Primăria Orașului Găești, din Dâmbovița, cu 9,2. Autorii raportului subliniază că primele două locuri sunt ocupate de comune, nu de municipii sau instituții cu bugete mari, ceea ce arată că securitatea digitală bună ține mai degrabă de configurare corectă decât de resurse financiare.

În final, raportul propune patru măsuri considerate ieftine și ușor de implementat: activarea protecției DMARC și SPF pentru toate domeniile publice, trecerea obligatorie la HTTPS cu certificate reînnoite automat, închiderea porturilor de administrare expuse pe internet și introducerea unui set minim de headere de securitate web pe site-urile instituțiilor.

Barometrul Digital precizează că problemele tehnice concrete identificate la fiecare instituție nu sunt făcute publice, ci sunt trimise gratuit, la cerere, direct instituției vizate, sub forma unui ghid de remediere.