DNSC pregătește recompense pentru breșele din sistemele statului

Directoratul Național de Securitate Cibernetică (DNSC) pregătește un cadru național prin care persoanele care descoperă vulnerabilități în sistemele informatice ale instituțiilor publice pot fi recompensate. Măsura se bazează pe un proiect de hotărâre de guvern privind normele de recompensare a rapoartelor de securitate și marchează trecerea de la o logică strict punitivă la colaborarea controlată cu cercetătorii etici.

Programul urmează modelul internațional de tip Vulnerability Disclosure Policy (VDP): accesul neautorizat rămâne, în principiu, interzis, dar raportarea responsabilă a breșelor, pe un canal oficial, devine cale legală de cooperare. Condiția centrală este ca descoperitorul să nu facă publică problema înainte ca instituția vizată să o remedieze.

Ce se plătește și ce se oferă în loc de bani

Potrivit proiectului de normă, recompensele financiare variază în funcție de gravitatea breșei — critică, ridicată, medie sau scăzută. Sumele exacte se stabilesc pe grile proprii fiecărei instituții, iar plafonul maxim vehiculat poate ajunge la echivalentul a câteva mii de euro pentru o singură vulnerabilitate validată.

Pentru descoperiri minore, pachetul poate fi non-financiar: diplome de merit, includerea într-un „Hall of Fame” pe site-ul DNSC sau materiale promoționale. Plata sau recunoașterea intervin abia după ce experții confirmă că breșa este reală, nouă și a fost corectată.

Ce sisteme pot fi testate și cum arată procedura

În vizor intră platforme critice ale administrației: Ghișeul.ro, site-urile ministerelor, baze de date din evidența populației și sisteme din sănătate. Scopul declarat este ca breșele să fie găsite de cercetători de bună-credință înaintea rețelelor infracționale.

Fluxul de lucru are cinci etape. Cercetătorul identifică o problemă tehnică — de pildă injecție SQL sau cross-site scripting — o raportează pe o platformă securizată gestionată de DNSC, iar specialiștii verifică autenticitatea și noutatea semnalării. Instituția vizată are, de regulă, între 30 și 90 de zile pentru remediere; abia după confirmarea reparației se procesează recompensa.

Regulile exclud explicit abuzul. Nu sunt tolerate distrugerea sau ștergerea de date, tehnicile de social engineering, instalarea de backdoor-uri ori solicitarea de răscumpărare. Cine iese din protocol iese și din sfera protecției oferite de program.

De ce contează pentru Oradea și pentru IT-iștii locali

Primăria Oradea figurează printre administrațiile puternic digitalizate din țară, cu peste 100 de servicii online. Platforme precum oradea.ro, sistemul de plăți pentru taxe și impozite locale sau aplicația Oradea City Report devin, în acest cadru, ținte legitime de testare controlată — tocmai pentru a reduce riscul unor incidente pe infrastructura folosită zilnic de locuitori.

Vigilența pe zona de sănătate a crescut după atacul cibernetic din februarie 2024 asupra spitalelor din România, care a lovit unități ce foloseau sistemul informatic Hipocrate. În județ, Spitalul Clinic Județean de Urgență Bihor se numără printre instituțiile unde atenția la securitatea rețelelor a devenit prioritară, conform relatărilor din presă.

Oradea are un ecosistem IT în expansiune, inclusiv prin Oradea Tech Hub, iar Facultatea de Inginerie Electrică și Tehnologia Informației de la Universitatea din Oradea formează constant specialiști. Pentru ei, programul deschide o cale legală de a testa sisteme publice și de a obține venituri din descoperiri validate, fără a risca încadrarea automată la acces neautorizat.

De ce apelează statul la comunitatea de cercetători

DNSC a subliniat că instituțiile publice nu pot concura ușor cu salariile din sectorul privat pentru a angaja suficienți experți în securitate. „Externalizarea” controlată a verificărilor către comunitatea de hackeri etici este prezentată ca metodă mai eficientă de apărare decât încercarea de a acoperi totul doar cu personal intern.

Rămân însă necunoscute, în această fază, grilele finale pe instituții și calendarul exact de operaționalizare după adoptarea hotărârii de guvern. Pentru cercetătorii interesați, următorul pas practic este publicarea canalului oficial de raportare și a listelor de sisteme eligibile — moment din care recompensele pot trece din proiect în plăți concrete.