Statul român va răsplăti hackerii care descoperă breșe de securitate în sistemele instituțiilor publice
Senatul a adoptat un proiect de lege care permite Directoratului Național pentru Securitate Cibernetică (DNSC) să organizeze programe prin care specialiștii în securitate informatică pot căuta și raporta vulnerabilitățile din rețelele și sistemele informatice ale autorităților și instituțiilor publice. Specialiștii care descoperă probleme reale, confirmate, vor fi răsplătiți cu bani.
Este vorba despre mecanismul cunoscut în domeniul tehnologiei drept „bug bounty”, prin care o organizație își invită, în mod legal și controlat, experții să-i testeze sistemele, pentru a identifica punctele slabe înainte ca acestea să fie descoperite și exploatate de atacatori.
Propunerea legislativă completează Ordonanța de urgență a Guvernului nr. 155/2024, care stabilește cadrul pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil și care a fost aprobată, cu modificări și completări, prin Legea nr. 124/2025.
Conform proiectului adoptat, DNSC poate iniția și gestiona programe de identificare și raportare a vulnerabilităților, cu acordarea de recompense bănești pentru vulnerabilitățile validate, atât pentru rețelele și sistemele informatice proprii, cât și pentru cele deținute, administrate sau utilizate de autorități și instituții publice ori de alte entități de drept public din spațiul cibernetic național civil, cu respectarea domeniului de aplicare, a excluderilor și a regimurilor speciale prevăzute, precum și a competențelor și drepturilor titularilor rețelelor și sistemelor informatice vizate.
Condiții stricte pentru participanții la programe
Testările nu vor putea fi efectuate oricum și oriunde. O rețea sau un sistem informatic poate intra într-un astfel de program doar dacă toți cei care au dreptul să autorizeze testarea își dau acordul în prealabil, în mod expres și în scris. Acest acord trebuie să precizeze clar ce anume poate fi testat, fie că este vorba despre o rețea, un sistem sau doar anumite componente, dar și care sunt limitele până la care se poate merge.
Legea stabilește și o listă de activități interzise pentru cei care participă la aceste programe. Aceștia nu vor avea voie să acceseze, să copieze, să șteargă sau să modifice datele fără autorizare și nici să folosească atacuri de tip brute-force, adică încercarea repetată a unor parole până la găsirea celei corecte.
De asemenea, este interzisă recurgerea la phishing sau la alte metode de inginerie socială prin care oamenii sunt păcăliți să ofere informații, precum și folosirea programelor malware sau a oricăror tehnici care ar putea afecta funcționarea, integritatea sau disponibilitatea sistemelor.
Participanții nu vor putea nici să păstreze accesul la sisteme după ce autorizarea le-a expirat sau să pătrundă în alte rețele, sisteme, componente ori conturi care nu fac parte din program. Vulnerabilitățile descoperite nu vor putea fi făcute publice decât cu respectarea regulilor stabilite pentru așa-numita divulgare coordonată, iar orice altă activitate care depășește limitele autorizării sau încalcă legea este, la rândul ei, interzisă.
Sancțiuni pentru nerespectarea regulilor
Cei care nu respectă condițiile programului sau trec dincolo de limitele stabilite vor pierde atât autorizarea pentru activitățile respective, cât și dreptul la recompensă pentru vulnerabilitatea găsită. Aceștia nu vor fi scutiți nici de eventuala răspundere civilă, contravențională sau penală, în funcție de gravitatea faptelor.
Proiectul merge acum la Camera Deputaților, care este for decizional, după ce Senatul a fost prima cameră sesizată.
Vrei să vezi mai des știrile Direct Focus în Google? Adaugă publicația la sursele tale preferate.
Adaugă la sursele preferate pe Google