Majoritatea companiilor din sectorul energetic românesc nu au implementate măsuri elementare de securitate cibernetică pentru infrastructurile OT (Operational Technology), în ciuda obligațiilor impuse de directiva europeană NIS 2, a declarat Cătălin Gherghiceanu, Presales Manager la Safetech Innovations, companie specializată în securitate cibernetică.
„Analiza de risc pe zona de OT este o chestie de science fiction. Asset inventory este o chestie de science fiction. Segmentarea este o zonă de science fiction”, a spus Gherghiceanu, în cadrul conferinței DigitALL 2026, organizată de Energynomics, la București.
El a descris un tablou în care nimeni nu documentează ce construiește: rețelele sunt implementate fără o schemă de arhitectură, iar cel care preia ulterior infrastructura respectivă nu reușește să înțeleagă ce are în față. „Vine și îți face. Sunt minunați, dar până când îi pui să pună pe o hârtie ce au făcut. Acolo se blochează totul”, a spus el.
Consecința directă este că orice remediere reactivă devine costisitoare și de lungă durată.
El a adăugat că protocoalele proprietare, cunoscute doar de producător, nu constituie o protecție deoarece atacatorii experimentați, susținuți de unele guverne, dispun de fonduri, cunoștințe și informații din servicii secrete suficiente pentru a penetra orice sistem insuficient protejat. „Aceasta este, în cel mai bun caz, o proastă practică care se numește securitate prin obscuritate”, a spus el, comparând situația cu argumentul de acum mulți ani că Linux nu poate fi atacat. Un alt fals sentiment de securitate identificat frecvent este utilizarea serviciilor VPN ale operatorilor de telecomunicații în loc de o infrastructură proprie.
Ca măsuri minimale pentru orice companie din zona OT, Gherghiceanu recomandă trei pași esențiali. În primul rând, o analiză de riscuri, un inventar al activelor (asset management) și o schemă clară a arhitecturii de rețea. Fără vizibilitate asupra a ceea ce există în rețea, nicio soluție de securitate nu poate fi eficientă, indiferent cât de performante sunt tool-urile implementate. „Trebuie neapărat făcut acel inventar ca să știi ceea ce vrei să protejezi”, a subliniat el.
În ceea ce privește conformitatea cu directiva NIS 2, Gherghiceanu a identificat două categorii de companii și „o groapă între ele”. Pe de o parte, marile companii și multinaționalele, care au resurse, procese mature și sunt relativ pregătite iar ele au nevoie doar de fine-tuning și de documentație pentru eventuale audituri. Pe de altă parte, companiile mai mici și cele de stat, unde finanțarea este precară, sistemele au fost construite improvizat, iar personalul OT nu are pregătire în securitate cibernetică. IT-ul, la rândul său, evită să se implice în zona OT, considerând-o un efort suplimentar față de sarcinile curente deja copleșitoare.
Reprezentantul Safetech și-a exprimat speranța că directiva NIS 2 va disciplina piața, menționând că DNSC urmează probabil să trimită avertizări și chiar penalizări companiilor care nu s-au înregistrat din proprie inițiativă, așa cum erau obligate.
Conferința DigitALL 2026 a fost organizată de Energynomics, cu susținerea partenerilor noștri: CBRE Romania, Eaton Electric, EnergoBit, KSTAR New Energy, WALDEVAR Energy, WTW Romania.
Sursă: Energynomics
