Interviu cu dl. Mădălin Dumitru – CEO, Cyber Smart Defence, Câștigător OSPA România 2017 la categoria „Cyber Security”

Compania Cyber Smart Defence a fost fondată de doi pasionați ai informaticii pentru a răspunde amenințărilor din ce în ce mai mari în domeniul securității cibernetice cărora li s-au alăturat și alți specialiști, hackeri etici, formând împreună o echipă unită, specializată, care poate face față oricărei provocări din domeniu.

Pornind de la premisa că „este mai bine să fii în siguranță decât să-ți pară rău”, această echipă pluridisciplinară vine în ajutorul clienților cu o serie de servicii în domeniul evaluării vulnerabilității infrastructurilor IT, teste de penetrare, audit de securitate informatică și cyber-intelligence.

Proiectul câștigător:

Serviciul de Evaluare, testare, constatare și corectare a vulnerabilităților din sistemele informatice, pe care îl oferă CSD clienților săi, se realizează într-un mod hibrid prin combinarea testelor automate cu inteligența și experiența umană, oferită de echipele specializate ale firmei – hackeri etici cu o mare experiență practică.

Metodologia utilizată se bazează pe o foaie de drum precisă, cu jaloane clare și indicatori de performanță. Intervenția se desfășoară conform unor reguli transparente și bine stabilite, centrate pe îngrijorările clientului. Abordarea unică a CSD are ca punct inițial integrarea celor mai cunoscute instrumente automate cu testele de penetrare manuală realizate de două echipe de hackeri etici.

Raportul instrumentelor automate este validat manual pentru eliminarea datelor false și împreună cu raportul tehnic, rezultat din compararea rapoartelor celor două echipe de hackeri etici, formează raportul final. În urma analizei raportului final, următorul pas este corectarea vulnerabilităților, fiind urmat de o retestare a infrastructurii IT.

Aplicația propusă de Cyber Smart Defence a fost apreciată de juriul OSPA „datorită conceptului de «protecție punctuală» a tuturor componentelor rețelei și a device-urilor din spațiul respectiv.”

OSPA: Cum a fost OSPA 2017?

Mădălin Dumitru: Premiile OSPA reprezintă o inițiativă foarte bună, pentru care țin să felicit atât pe cei care au adus formatul OSPA în România, cât și pe cei care au organizat cele două ediții.  Pentru mine a fost o experiență extrem de interesantă – am cunoscut mulți oameni de valoare din industria securității, iar premiul pe care noi, Cyber Smart Defence, l-am obținut, a fost o recunoaștere a activității noastre de ani de zile. Este o performanță care răsplătește o muncă pe care o facem cu multă pasiune.

OSPA: Cât de important a fost premiul OSPA pentru companie?

M.D.: A fost suficient de important pentru a-l introduce în semnătura electronică a tuturor mail-urilor pe care compania noastră le trimite. Premiul OSPA este un premiu de excelență și vine ca o recunoaștere venită din partea unor specialiști din cadrul unei industrii întregi. OSPA înseamnă Outstanding Security Performance Awards, ceea ce certifică faptul că experții în securitate au evaluat și munca noastră, și compania în ansamblul ei, și au considerat că ceea ce facem noi este „outstanding”, este valoros. Avem multe premii pe care le-am câștigat de când ne-am apucat de treabă, dar acesta este la loc de cinste, este special.

OSPA: Ce-l face atât de special?

M.D.: OSPA este special deoarece are o prezență globală și, în al doilea rând, pentru că este acordat de experții din industria securității, piața pe care noi activăm.

OSPA: Cum a fost competiția?

M.D.: A fost o competiție foarte dură. Cei care s-au aliniat la start, ca să spun așa, au fost cei mai buni dintre cei mai buni. Ne cunoaștem de mult timp și îi respectăm pentru ce au realizat până acum în acest domeniu. Nu a fost ușor, dar am câștigat.

OSPA: Ce a fost mai greu: scrierea aplicației sau așteptarea rezultatului competiției?

M.D.: Greu este să te decizi ce să pui în aplicația respectivă, zic eu. Te gândești la ce poți să propui tu juriului, analizezi cu ce ar putea veni ceilalți participanți; apoi trebuie să te gândești cum să formulezi proiectul respectiv în termeni de concurs și nu neapărat de produs comercial, unde – pe lângă valențele strict  tehnice – trebuie să arăți care este valoarea socială a muncii tale și să demonstrezi că ceea ce faci tu – în cazul de față „securitate cibernetică”, este ceva vital pentru oameni.

OSPA: Cât de importantă a devenit, în ultimii ani, securitatea cibernetică? Mai este ea doar o chestiune de nișă care privește doar comunintatea IT sau a devenit o chestiune globală?

M.D.: În acest moment, vorbim aproape în fiecare zi de un război hibrid, de un război cibernetic, o confruntare care se duce pe multiple planuri: de la fake-news la atacuri cibernetice, de la spionaj economic on-line la influențarea opțiunilor politice ale cetățenilor din mai multe țări, de la furtul de bani din cont la furtul de identitate. Fără să vrem, fără să știm, pe măsură ce internetul pătrunde mai adânc în viața noastră de zi cu zi, securitatea cibernetică se transformă dintr-o chestiune a specialiștilor într-o chestiune a fiecăruia dintre noi. Dacă eu pot deschide cu telefonul meu ușa de la garaj sau pot să controlez centrala termică din casa mea, este foarte important ca eu și numai eu să o pot face.

OSPA: Este infractorul cibernetic mai „șmecher” decât infractorul de pe stradă?

M.D.: Nu știu dacă este mai „șmecher” sau nu, însă cu siguranță este mai inteligent. Ca să poți comite infracțiuni cibernetice, cred eu, îți trebuie un IQ peste medie. Ca să poată comite o fărădelege, un hacker are nevoie de mult mai mult creier decât unul care vrea să fure un lănțișor de la gâtul unui trecător, pe stradă. Dincolo de cunoștințele de IT, hackerul are nevoie de un întreg set de informații foarte diverse despre ținta pe care și-a ales-o, informații pe care apoi trebuie să le folosească într-o manieră care presupune un grad superior de inteligență. Infractorul de pe stradă este „vizibil” și poate fi mult mai ușor urmărit, în timp ce un hacker se poate ascunde mult mai ușor în spațiul virtual în spatele unor IP-uri din țări de pe partea cealaltă a globului, poate pune mai multe VPN-uri între el și urmăritor, poate anunța pe forumurile frecventate de hackeri că a atacat o țintă unde „a dat de aur”, drept pentru care alte hoarde de hackeri se reped spre țintă, permițându-i hackerului inițial să dispară în mulțime („poisoning” în vocabularul de specialitate).   

OSPA: E un fel de „hoții și vardiștii” la un alt nivel, într-un alt spațiu și cu altă miză…

M.D.: Nu chiar, căci rolul nostru nu este să-i prindem pe hackeri. Noi suntem un laborator de analize cibernetice, un fel de ITP unde vii periodic să-ți verifici starea de securitate a „mașinii“ tale informatice și care îți dă un diagnostic corect, cu toate vulnerabilitățile identificate și măsurile de remediere. Noi nu „garantăm” securitatea cuiva, căci tot de tine depinde dacă alegi să iei măsurile necesare pentru remedierea vulnerabilităților. Practic, simulăm atacuri cibernetice controlate pentru identificarea breșelor, vulnerabilităților, a problemelor de securitate în general.

OSPA: Ce deosebește un hacker „rău” de un hacker „bun”?

M.D.: Să zicem că din punctul de vedere al activității propriu-zise, ea e aceeași: specularea vulnerbilităților de securitate ale sistemelor informatice. Dar noi încercăm să penetrăm sistemul cu acordul clientului, în timp ce hackerul, care nu are acordul proprietarului/administratorului rețelei, comite o infracțiune. Noi suntem limitați de un mandat și acționăm strict în limitele lui, nu depășim nici măcar cu un bit mandatul respectiv, în timp ce hackerul acționează conform propriilor interese. Pe noi ne interesează strict vulnerabilitățile sistemului, pe hacker îl interesează banii sau datele pe care le poate obține după ce a exploatat vulnerabilitățile. Dar, „hackerul negru” nu doarme bine noaptea, e mereu în alertă, încercând constant să se ascundă, să fugă, spre deosebire de noi „hackerii etici” care dormim liniștiți, știind că ne-am făcut bine treaba.

OSPA: Cum te asiguri că angajezi un hacker etic și nu unul negru?

M.D.: Dacă ești atacat de hackeri trebuie să te aperi cu hackeri. Dacă vrei să te duci la război, îți aduci soldați ca să se lupte cu soldați, nu-ți faci armată doar din bucătari. Primim zeci de mesaje de la persoane care vor să lucreze la noi, să facă legal ceea ce le place și la ce se pricep. În esență, angajăm persoane cu cunoștințe solide în domeniu, pe care-i supunem la propriul nostru test de abilități profesionale, dar aplicăm o serie de filtre de verificare și scanare constantă a comportamentului celui care vrea să facă parte din echipa noastră. Nu vreau să intru în detalii… Urmează o lungă perioadă de carantină, care poate să țină luni de zile, apoi semnarea unor documente legale, contracte, angajamente referitoare la confidențialitate, „non-disclosure”, „non-compete” etc., etc., angajamente care conțin și clauze punitive financiare severe. Pe scurt: angajăm foarte greu și dăm afară foarte repede.

OSPA: Revenind la OSPA… Am văzut ce a fost în 2017. Ce va fi în 2018?

M.D.: Deja pregătim câteva produse cu care vrem să ne prezentăm și lucrăm să le transformăm în „aplicații de concurs” pe care să le și înscriem pentru a fi evaluate. Da, ne-ar plăcea să câștigăm și în 2018… și în 2019, căci tradiția spune că dacă reușești să câștigi un trofeu de trei ori la rând poți să-l păstrezi, e al tău de drept, îl meriți cu adevărat. Adevărul este că ne place mult ceea ce facem. Noi, hackerii etici, suntem prin firea activității noastre extrem de competitivi și ne place să câștigăm.