De ce funcționează încă metodele vechi

Un director de la Ferrari a oprit, în vara lui 2024, o fraudă construită cu cea mai nouă tehnologie disponibilă — o voce clonată de inteligența artificială — cu o tehnică pe care legionarii romani o foloseau la poarta taberei: o întrebare la care doar persoana reală putea răspunde. Nu a avut nevoie de un program, de un abonament sau de un consultant. A avut nevoie să știe că tehnica există.

Această carte pleacă de la o observație simplă: amenințările cibernetice sunt noi, dar problemele pe care le pun nu sunt. Cum verifici că cel care îți vorbește este cine spune că este? Cum împiedici un singur om să fure tot? Cum păstrezi un secret care trebuie, totuși, să rămână accesibil? Cum știi dacă cineva a umblat la un document? Cum te asiguri că paznicul chiar a stat de pază? Oamenii au răspuns la aceste întrebări timp de câteva mii de ani, în condiții în care greșeala costa orașe, armate și vieți, iar răspunsurile lor au fost testate cu o brutalitate pe care niciun audit de securitate nu o poate reproduce.

Majoritatea acestor răspunsuri nu depind de tehnologie. Depind de structură: cine știe ce, cine poate face ce, cine verifică pe cine, ce se întâmplă când ceva lipsește. Tocmai de aceea rămân valabile. Un firewall este bun până la următoarea vulnerabilitate; regula că niciun om nu poate muta singur banii din seif este bună de cinci sute de ani și va fi bună și când seiful va fi un portofel de criptomonede.

Ce nu este această carte

Nu este o carte despre istorie, deși conține multă. Fiecare poveste de aici este verificabilă și are o sursă, dar este spusă pentru ceea ce învață, nu pentru farmecul ei.

Nu este o pledoarie pentru întoarcerea la hârtie și la mașina de scris. Capitolul de mituri, de la sfârșit, explică de ce o asemenea întoarcere este, de cele mai multe ori, o iluzie — și uneori o greșeală mai gravă decât problema pe care încearcă s-o rezolve. Tehnicile vechi nu înlocuiesc măsurile moderne. Le completează acolo unde măsurile moderne au un punct orb: omul.

Nu este nici o colecție de metafore. „Firewall-ul este ca zidul unui castel” este o comparație plăcută și inutilă. Fișele de aici se opresc la ce se poate face luni dimineață, cu pași concreți, pentru o firmă de 20 de oameni și pentru una de 500.

Cum sunt construite fișele

Fiecare dintre cele douăsprezece tehnici este prezentată după aceeași structură, ca să poată fi citită în orice ordine și folosită ca referință. Fișa începe cu tehnica într-o frază, adică ce este și contra cui funcționează, și continuă cu originea ei, cu sursa istorică. Urmează principiul, invariantul de securitate pe care îl exploatează și numele sub care este cunoscut azi, apoi amenințarea de azi, un caz real și recent în care lipsa tehnicii a costat sau prezența ei a salvat.

Partea practică se numește „Cum o implementezi luni dimineață” și dă pași concreți pe două dimensiuni de organizație, plus, unde are sens, varianta pentru acasă. Partea cea mai importantă se numește „Unde eșuează” și descrie limitele, modurile de abuz și motivele pentru care tehnica a picat istoric — o carte despre securitate care nu spune unde eșuează fiecare măsură nu este o carte despre securitate. Fișa se încheie cu cadrul legal, adică obligația din GDPR, din Directiva NIS2 și din ISO/IEC 27001:2022 pe care tehnica o acoperă, astfel încât un responsabil cu protecția datelor, un auditor sau un director să o poată cita direct în documentația de conformitate. Trimiterile dintre fișe sunt în text, acolo unde o tehnică se sprijină pe alta, pentru că aproape niciuna nu funcționează singură.

Trei etichete, la începutul fiecărei fișe, spun epoca din care vine tehnica, amenințarea actuală pe care o acoperă și costul implementării. Veți observa că la majoritatea costul este zero. Nu este o coincidență. Cele mai bune măsuri de securitate inventate vreodată au fost inventate de oameni care nu aveau buget.

O precizare, ca să nu fie nevoie de ea la fiecare pagină. Tehnicile de aici completează măsurile tehnice moderne — autentificarea cu mai mulți factori, actualizările, protecția endpoint-urilor —, nu le înlocuiesc, iar documentarea lor este un punct de plecare pentru conformitate, nu o dovadă a ei. Ce obligații aveți și ce măsuri sunt adecvate depinde de riscurile concrete ale organizației voastre, pe care nicio carte nu le poate evalua în locul vostru.

Cui îi este adresată

Directorilor de firme mici și mijlocii, care nu au departament de securitate și nici nu vor avea. Administratorilor IT, care au departamentul și nu au timp. Responsabililor cu protecția datelor și auditorilor, care trebuie să traducă obligațiile legale în măsuri pe care cineva chiar să le aplice. Și oricui a primit vreodată un apel de la „director”, „bancă” sau „copilul meu” care cerea bani urgent și s-a întrebat, după, cum ar fi putut ști.

Cartea poate fi citită de la un capăt la altul într-o după-amiază. Dar este scrisă ca să fie deschisă din nou, la fișa potrivită, în ziua în care o veți avea nevoie.