Legislaţie - PC Magazine Romania, Septembrie 2004

Monitorizarea sistemelor IT

Răzvan Florin Stoicescu - Linklaters, Miculiţi & Asociaţii SCPA

Calculatoarele au devenit în prezent unelte indispensabile pentru manipularea informaţiei. Şi, cu cât informaţia stocată sau circulată este mai importantă, cu atât tentaţia controlului acesteia este mai mare. Sub acest aspect, la nivel software au fost elaborare nenumărate tehnici de intruziune, tehnici menite toate să asigure accesul unor terţe părţi la informaţii cu caracter personal sau comercial. În ambele cazuri, intruziunea este nu numai deranjantă, dar de multe ori poate fi chiar păguboasă.

Proceduri ca sniffer - modalitate tehnică de monitorizare şi înregistrare a pachetelor de informaţii, care permite unui administrator de reţea, părinţilor ori altei persoane care controlează aplicaţia "sniffer" să aibă acces la parole sau alte informaţii care sunt circulate într-o anumită reţea - sau key logging - modalitate tehnică care se poate implementa atât la nivel software cât şi la nivel hardware şi care are ca finalitate pregătirea unui fişier în care sunt înregistrate toate caracterele introduse de utilizator de la tastatură -, fac parte din pleiada de soluţii pe care un terţ le poate folosi în vederea obţinerii de informaţii care nu-i sunt adresate şi la care în mod normal nu ar trebui să aibă acces. Deşi fenomenul sniffer se prezintă astăzi extrem de amplu, tocmai datorită gradului ridicat de dificultate pe care îl presupune detectarea sa într-o anumită reţea, pentru claritate vom exemplifica în cele ce urmează pe cealaltă soluţie tehnică menţionată mai sus "key logging-ul". Key logging-ul ca modalitate de atac presupune, de cele mai multe ori, instalarea de către atacator a unei aplicaţii rezidente în memoria calculatorului vostru care înregistrează apăsările de taste. Programul înregistrează tot ceea ce se tastează, astfel încât nici parolele, mailurile sau codurile PIN ale cărţilor de credit nu pot fi protejate. Aceasta întrucât, chiar dacă se transmit criptat către alte calculatoare (de exemplu, prin SSL), ele nu se transmit criptat de la tastatură către aplicaţia care le interpretează la nivel local. Fişierul jurnal rezultat este ulterior transmis în exterior către o adresă anonimă de email.

Aşadar, atacatorul trebuie mai întâi să capete acces la sistemul vostru. Aceasta se poate face în moduri diferite, dar cel mai frecvent prin viruşi de tip troian care în spatele unei aparenţe de normalitate (mesaje de

e-mail, de exemplu) profită de găurile de securitate din sistem şi instalează aplicaţia de monitorizare.

Mai apoi, soluţia tehnică trebuie să fie aptă pentru a colecta informaţiile introduse de la tastatură, urmând ca, în final, să fie aptă de asemenea să comunice informaţiile spre exterior. Dacă toate aceste condiţii sunt îndeplinite suntem în prezenţa unui veritabil key-logger.

În scopul diminuării propagării unor astfel de soluţii tehnice, legiuitorul român a intervenit prin Legea nr. 161/2003 privind unele măsuri pentru asigurarea transparenţei în exercitarea demnităţilor publice, a funcţiilor publice şi în mediul de afaceri, prevenirea şi sancţionarea corupţiei, publicată în Monitorul Oficial nr 279 din 21 Aprilie 2003 promovând o nouă categorie de infracţiuni, cuprinsă în Titlul III al Cărţii I din lege, infracţiunile contra confidenţialităţii şi integrităţii datelor şi sistemelor informatice.

Potrivit articolului 42 din această lege, accesul fără drept la un sistem informatic constituie infracţiune şi se pedepseşte cu închisoare de la trei luni la trei ani ori cu amendă. Se observă faptul că este considerată infracţiune simplul acces, fără drept, la un sistem informatic. Circumstanţa că acesta se desfăşoară în scopul obţinerii de date informatice, constituie o agravantă a infracţiunii de mai sus şi se pedepseşte cu închisoare de la şase luni la cinci ani. Dacă aceste fapte sunt săvârşite prin încălcarea măsurilor de securitate pedeapsa este închisoarea de la trei la 12 ani.

Interceptarea fără drept a unei transmisii de date informatice care se efectuează în cadrul unui sistem informatic este şi ea incriminată. Această faptă se pedepseşte cu închisoare de la doi la şapte ani. Şi întrucât, prin sistem informatic, în înţelesul legii, se include şi un singur calculator este discutabil dacă însuşi procedeul de interceptare a caracterelor nu intră în acest element material.

Poziţia legiuitorului privind incriminarea acestor fapte este de altfel reconfirmată şi de noul Cod Penal publicat în Monitorul Oficial nr. 575 din 29 iunie 2004, care va intra în vigoare la data de 29 iunie 2005. De asemenea, pentru cei interesaţi de key logging şi alte aplicaţii similare, mai menţionăm că, în funcţie de natura informaţiei colectate, dispoziţiile Legii nr. 11/1991 privind combaterea concurenţei neloiale publicată în Monitorul Oficial nr. 24 din 30 ianuarie 1991 pot fi incidente. Conform acestei legi, achiziţionarea sau utilizarea secretului comercial de către terţi, fără consimţământul deţinătorului său legitim, ca rezultat al unei acţiuni de spionaj comercial sau industrial, constituie infracţiune şi se pedepseşte cu închisoare de la şase luni la doi ani sau cu amendă de la 25.000.000 lei la 50.000.000 lei.

Astfel, din legislaţia privind protecţia datelor personale concluzionăm că, deşi pot exista nenumărate motive care să justifice key loggingul, sniffer-ul sau alte modalităţi de monitorizare şi captare a unor informaţii private, cadrul legal românesc este suficient de bine dezvoltat pentru a permite sancţionarea ca infracţiune a unor astfel de fapte.