PERIMETRUL DIN INTERIOR

Vulnerabilitatea de substrat a securității fizice convergente și deriva normativă a lanțului de securitate în infrastructurile critice

De Angelo Lăzău, evaluator de risc la securitate fizică (R.N.E.R.S.F. poz. 3118) · Timp de lectură: aproximativ 50 de minute

Pe scurt

• Cea mai mare vulnerabilitate a securității fizice moderne nu este un echipament, ci conectarea lui la cablarea structurată și la rețeaua IT a organizației.
• Opt vectori de risc decurg din această cuplare: expunerea laterală, accesul încrucișat IT–securitate, aceeași cameră a serverelor, emisiile compromițătoare, identitățile comune, căderea comună, vecinătatea sistemelor clasificate și concentrarea privilegiilor.
• Cel mai grav caz: același administrator pentru rețeaua IT și pentru sistemul de securitate. Un singur cont poate opri camerele, deschide ușile și șterge urmele.
• Nici CER, nici NIS2 nu impun și nici nu interzic conectarea sistemului de securitate la rețeaua IT. Decizia trebuie justificată prin analiza de risc, iar legea permite valorificarea analizei de risc la securitate fizică.
• Precedente reale: Target, Mirai, Hikvision, Verkada, HID Mercury, LANTENNA.
• Soluția propusă: cinci separări (logică, fizică, funcțională, a emisiilor și a ciclului de viață) și o listă de verificare pe care orice entitate o poate aplica de mâine.

Cuprins

1. 1. Introducere și întrebarea de cercetare
2. 2. Vulnerabilitatea structurală centrală: cuplarea la cablarea structurată și la rețeaua IT
3. 3. Deriva verigilor: de ce cuplarea rămâne invizibilă
4. 4. Presiunea normativă: abundența europeană și vidul național
5. 5. Precedente publice: ce arată incidentele și cercetările documentate
6. 6. Lupta pentru supraviețuire pe piață: cine dictează?
7. 7. Studiu de caz tipologic: instalația fără proiect într-o entitate critică
8. 8. Neconcordanțe legislative și tehnice identificate
9. 9. Arhitectura de referință: cinci separări
10. 10. Concluzii
11. Bibliografie și note

Rezumat

Lucrarea argumentează că vulnerabilitatea structurală dominantă a securității fizice contemporane nu rezidă într-un echipament, ci în cuplarea sistemului de securitate la cablarea structurată și la rețeaua IT a organizației. Din această cuplare derivă patru riscuri cumulative: expunerea laterală a dispozitivelor de securitate, accesul încrucișat între administratorii IT și echipele de mentenanță ale sistemului de securitate, coabitarea fizică a serverelor și echipamentelor din cele două domenii în aceeași încăpere tehnică și canalele de emisie compromițătoare (EMSEC/TEMPEST) create de apropierea și gruparea cablurilor, risc agravat în mod decisiv în entitățile critice care gestionează și prelucrează informații clasificate în propriul sistem informatic, unde, deși rețelele clasificate sunt autonome, infrastructura comună de cablare și echipamentele de conectivitate instalate în vecinătatea circuitelor clasificate, fără ecranare și fără distanțe de separare, pot deveni o cale de scurgere. Cel mai grav caz este concentrarea privilegiilor: același administrator, sau aceeași echipă, administrează atât rețeaua IT, cât și sistemul de securitate, ambele traversând aceeași cablare, situație în care o singură identitate compromisă sau abuzată anulează simultan detecția, acțiunea și urmele. Pe acest fundal tehnic se manifestă o derivă normativă și organizațională a întregului lanț (evaluator, proiectant, instalator, mentenanță), agravată de abundența de acte europene și de vidul național de norme de aplicare. Demersul recurge la un studiu de caz tipologic și la confruntarea cu incidente și cercetări publice (Target 2013, Mirai 2016, Hikvision 2021, Verkada 2021, HID Mercury 2022, LANTENNA 2021). Contribuția propusă este o arhitectură de referință întemeiată pe cinci separări: logică, fizică, funcțională, a emisiilor și a ciclului de viață.

Cuvinte-cheie: securitate fizică; convergență IT/OT; segmentarea rețelelor; separarea atribuțiilor; emisii compromițătoare (TEMPEST/EMSEC); entități critice; NIS2; CER; Cyber Resilience Act; normalizarea derivei.

1. Introducere și întrebarea de cercetare

Timp de decenii, securitatea fizică s-a edificat în jurul obiectului tangibil: perimetrul, ușa, încuietoarea, senzorul. Competența profesională, atestarea și răspunderea juridică s-au constituit în același spirit. Legea nr. 333/2003 și normele ei metodologice, H.G. nr. 301/2012, au fost gândite pentru un sistem care se instala, se verifica și funcționa independent.^[1] În ultimul deceniu, controlerul de acces, camera, centrala de alarmă și platforma de management video au devenit noduri de rețea, cu firmware, conturi privilegiate, interfețe de administrare și, tot mai des, funcții de inteligență artificială. Obiectul activității s-a deplasat într-un alt domeniu, în timp ce definițiile competenței, ale răspunderii și ale procedurii au rămas ancorate în cel anterior.

Demersul pornește de la o dublă interogație. Prima: care este mecanismul prin care cuplarea sistemului de securitate la infrastructura IT creează riscuri care nu au echivalent în arhitectura anterioară? A doua: în ce măsură cadrul normativ și structura pieței din România permit, sau, dimpotrivă, descurajează corectarea acestui mecanism? Ipoteza de lucru este că deriva nu ține unei verigi izolate a lanțului de securitate, ci lanțului ca ansamblu, iar cauza tehnică cea mai profundă este cuplarea strânsă, în sensul pe care Charles Perrow l-a dat termenului, a unor sisteme cu logici de guvernanță diferite.^[2]

1.1. Metodă și limite

Abordarea este calitativă și combină patru instrumente: analiza normativă comparativă (act cu act, cu atenție la terminologie și la termene); analiza de scenariu, prin studiul de caz tipologic din secțiunea 7; compararea sistematică cu incidente și cercetări publicate (secțiunea 5); și o analiză de arhitectură, care confruntă situația descrisă cu standarde de referință din securitatea informației și din securitatea fizică. Studiul de caz este construit din situații recurente ale sectorului și nu descrie o entitate determinată. Sursele pentru incidente sunt publice și sunt citate la locul lor; ele sunt folosite ca ilustrații ale unor mecanisme, nu ca dovezi că aceleași defecte se regăsesc în orice instalație din România. Lucrarea nu constituie consultanță juridică.

1.2. Lanțul securității fizice

Prin „lanț” înțelegem succesiunea: evaluare de risc, proiectare, instalare, punere în funcțiune, mentenanță, operare. Fiecare verigă transmite următoarei un document sau o stare: analiza justifică proiectul, proiectul fixează instalarea, instalarea definește ceea ce mentenanța poate întreține. Dacă o verigă lipsește sau este formală, cele următoare improvizează. În practică, proiectul se întocmește adesea fără cerințele unei analize de risc, realizată de un evaluator de risc, doar pe baza cunoștințelor proiectantului și ale tehnicianului IT. Aceasta este structura în care se manifestă ceea ce Diane Vaughan a numit normalizarea devianței: abateri mici, repetate și netratate, care devin regulă, fără ca vreun actor să decidă încălcarea standardului.^[3] Imaginea clasică a lui James Reason, a straturilor de apărare cu găuri care se aliniază, descrie același fenomen din perspectiva erorii latente: un incident grav apare când găurile din mai multe straturi coincid.^[4]

2. Vulnerabilitatea structurală centrală: cuplarea la cablarea structurată și la rețeaua IT

Cablarea structurată a fost concepută ca un substrat universal: orice priză poate transporta orice serviciu, orice port poate fi configurat pentru orice rol. Standardele de profil (seria EN 50173 pentru proiectarea sistemelor de cablare generică și EN 50174 pentru instalarea lor) urmăresc interschimbabilitatea și eficiența.^[5] Ceea ce este o virtute pentru un birou devine o slăbiciune pentru un sistem de securitate, a cărui valoare constă tocmai în independență și în limitarea suprafeței de acces. Subordonat unei infrastructuri de uz general, sistemul de securitate devine „un serviciu de rețea printre altele”.

Nu este o speculație. Nucleul argumentului este un mecanism simplu: un atacator care obține o poziție oriunde în domeniul de rețea comun, printr-o stație compromisă, un cont furat sau un furnizor cu acces, dobândește o cale către orice dispozitiv conectat, în măsura în care segmentarea și filtrarea nu o împiedică. Cercetarea publică asupra incidentelor majore (secțiunea 5) arată, repetat, că ceea ce a fost compromis nu a fost sistemul-țintă, ci vecinătatea lui logică sau un acces de mentenanță. Descriem mai jos opt vectori distincți.

2.1. Expunerea laterală a dispozitivelor de securitate

Într-o rețea comună, camerele, controlerele de acces, serverele de înregistrare și stațiile de operare sunt vizibile, cel puțin la nivel de rețea, pentru orice utilizator. Un atacator nu are nevoie să atace sistemul de securitate de la început: îi este suficient accesul la o stație obișnuită. Din acel punct, identificarea dispozitivelor cu servicii expuse, cu credențiale implicite sau cu firmware vulnerabil este o operație rutinieră. Modelul „kill chain”, introdus de cercetătorii Lockheed Martin, descrie această progresie ca o succesiune de etape, de la recunoaștere la acțiunea asupra obiectivului, în care mișcarea laterală este etapa decisivă.^[6] Contramăsura de principiu, formulată în arhitecturile de tip „zero trust”, este eliminarea încrederii implicite acordate unui dispozitiv sau unui utilizator doar pentru că se află „în interior”.^[7]

2.2. Accesul încrucișat: IT către securitate și securitate către IT

Cuplarea produce o simetrie periculoasă, pe două direcții.

Prima direcție este de la IT către sistemul de securitate. Administratorii de sistem IT, prin natura rolului, pot reconfigura porturi și segmente, pot vizualiza trafic și, adesea, pot ajunge la serverele sistemului de securitate. Un administrator IT (sau un cont de administrare compromis) poate astfel accesa fluxurile video, modifica drepturile de acces, șterge jurnale sau dezactiva un dispozitiv, fără ca responsabilul de securitate fizică să aibă vreo vizibilitate sau vreun control. Standardele de referință tratează această situație ca pe o încălcare a separării atribuțiilor: ISO/IEC 27001:2022 cere separarea atribuțiilor în controlul 5.3, iar NIST SP 800-53 o prevede în controlul AC-5, alături de principiul privilegiului minim (AC-6).^[8]

A doua direcție este de la securitate către IT. Echipa de mentenanță a firmei instalatoare, pentru a-și putea face lucrul, primește un acces la distanță sau o conexiune pe site. Dacă sistemul de securitate este cuplat la rețeaua IT, acest acces ajunge, în fapt, în rețeaua IT, cu laptopul tehnicianului, cu contul lui și cu instrumentul de asistență la distanță. Securitatea entității critice depinde astfel de igiena cibernetică a unui integrator mic. Precedentul clasic este incidentul Target din 2013, în care atacatorii au pătruns folosind credențiale furate de la un furnizor de servicii HVAC, cu acces legitim la rețeaua companiei pentru monitorizarea consumului energetic și a temperaturilor.^[9] A treia direcție, mai rar discutată, este cea a utilizatorilor obișnuiți: în absența segmentării, ei pot vedea, în rețea, infrastructura de securitate, și, în cazul unei breșe, orice atacator care preia un cont oarecare dobândește aceeași vizibilitate.

2.3. Coabitarea fizică: aceeași încăpere, aceleași rafturi

Cuplarea logică este, de regulă, dublată de o cuplare fizică. Serverele de IT și echipamentele sistemului de securitate (servere de înregistrare, servere de control acces, comutatoare, surse neîntreruptibile) sunt instalate în aceeași încăpere tehnică, uneori în același rack. Consecințele sunt mai multe.

• Anularea controalelor logice. Dreptul de acces în încăpere este, de fapt, dreptul de acces la ambele domenii. Personalul IT ajunge fizic la serverele de securitate; personalul de securitate și mentenanță ajunge fizic la serverele IT. Un acces fizic nesupravegheat anulează majoritatea controalelor logice.
• Circularitatea controlului. Controlul accesului în încăpere este, de regulă, asigurat de însuși sistemul de control acces al cărui server se află acolo. Cel care controlează serverul controlează cine intră în încăpere și ce se înregistrează despre intrare. Este o problemă de circularitate: sistemul se păzește pe sine. Ea nu poate fi rezolvată decât prin separarea fizică a rolurilor și prin mecanisme independente de înregistrare.
• Cauză comună de cădere. Incendiu, inundație, căderea climatizării sau a energiei afectează simultan ambele domenii. Cauza comună face ca disponibilitatea sistemului de securitate să depindă de aceeași infrastructură pe care ar trebui să o protejeze. Controalele ISO/IEC 27001:2022 privind amplasarea echipamentelor (7.8) și securitatea cablării (7.12) tratează aceste aspecte.^[10]
• Căi comune. Căile de cabluri comune (jgheaburi, tăvi, canale) pun în vecinătate cabluri cu roluri diferite. Pe lângă riscul de manipulare, apar fenomene de cuplaj electromagnetic, tratate în secțiunea următoare.

2.4. Canale de emisie compromițătoare (EMSEC/TEMPEST)

Orice circuit electronic care prelucrează sau transportă informații emite, în grade diferite, radiații și semnale conduse care pot conține informația respectivă. Domeniul se numește securitatea emisiilor (EMSEC), iar programele naționale și NATO de investigare și protecție sunt cunoscute generic sub numele TEMPEST. Demonstrația publică de referință, din 1985, a arătat că imaginea unui monitor poate fi reconstituită de la distanță din radiația emisă.^[11] Cercetările ulterioare au extins observația la cabluri, surse de alimentare și circuite digitale.^[12]

Relevanța pentru subiectul nostru este dublă. Pe de o parte, cablurile de securitate (Ethernet, RS-485, linii de control acces, linii de alarmă) circulă adesea împreună, în aceleași jgheaburi, cu cabluri ale rețelei IT. Gruparea lor creează cuplaje capacitive și inductive prin care semnalele unui cablu se regăsesc în cel vecin, iar un cablu neecranat se comportă ca o antenă. Pe de altă parte, cercetări recente au arătat că emisia nu mai este numai un efect secundar pasiv: un program obișnuit, fără privilegii speciale, poate modula, prin activitatea plăcii de rețea, radiația unui cablu Ethernet. În experimentul LANTENNA, cercetătorii de la Universitatea Ben-Gurion au transmis date dintr-o rețea izolată fizic (air-gapped) folosind emisia cablului Ethernet într-o bandă în jur de 125 MHz, recepționată cu un receptor radio definit prin software, la aproximativ doi metri în demonstrația experimentală.^[13] Rezultatul nu înseamnă că orice instalație este interceptabilă în practică. Înseamnă că „izolarea” unei rețele sau a unui cablu nu poate fi considerată absolută, iar proximitatea cablurilor de naturi diferite este o variabilă de risc, nu un detaliu de execuție.

Literatura deschisă despre emisiile compromițătoare, începând cu lucrarea lui van Eck din 1985, descrie principiile generale de protecție: separarea circuitelor care transportă informații în clar de cele care transportă informații protejate (principiul „roșu/negru”), menținerea unei distanțe între căile de cablare ale celor două categorii și filtrarea liniilor de alimentare și de semnal la limita zonei protejate. Nivelul concret al măsurilor se stabilește, în sistemele naționale și aliate, de autoritățile competente, în funcție de mediul de instalare și de nivelul de clasificare a informațiilor. Standardele și specificațiile de încercare aplicabile nu sunt descrise aici.^[14]

Riscul se accentuează decisiv atunci când entitatea critică gestionează și prelucrează, în propriul sistem informatic, și informații clasificate, situație frecventă în sectoare precum energia, transportul, apărarea industrială sau infrastructura digitală. Aici, emisiile compromițătoare nu mai sunt un risc generic, ci o amenințare directă la adresa unor informații cu valoare de securitate națională sau aliată. Un sistem informatic și de comunicații care prelucrează informații clasificate este supus, potrivit H.G. nr. 585/2002, unui regim distinct de acreditare (art. 322), iar măsurile INFOSEC cuprind expres securitatea emisiilor; sistemele care prelucrează secrete de stat trebuie protejate față de radiațiile compromițătoare, TEMPEST (art. 303).^[15] Rețelele care prelucrează informații clasificate sunt, de regulă, autonome (stand-alone), separate de rețelele de lucru ale entității, iar interconectarea lor cu rețele neacreditate, în afara soluțiilor aprobate, ar pune în discuție însăși acreditarea. Studiul nu susține, așadar, că sistemul de securitate se conectează la sistemul clasificat. Riscul rezidual este de ordin fizic: infrastructura comună de cablare structurată și echipamentele de conectivitate (panouri de distribuție, comutatoare, tăvi, coloane și încăperi tehnice) pot fi instalate în vecinătatea circuitelor sistemului clasificat. Dacă ecranarea și distanțele de separare nu sunt respectate, un cablu de uz general, sau al sistemului de securitate, poate deveni o cale prin care semnalul ori modulația lui părăsește zona protejată, prin cuplaj, diafonie sau radiație.

Sistemul de securitate fizică adaugă un al doilea risc, distinct. Controlul accesului și supravegherea video păstrează informații despre cine, când și pe unde a intrat în zonele în care se prelucrează informații clasificate. Compromiterea lor, chiar fără acces la conținutul clasificat, permite identificarea persoanelor cu acces, a programului și a punctelor slabe ale zonei. Iar un sistem de securitate cuplat la rețeaua IT poate fi folosit, în ultimă instanță, pentru a deschide accesul fizic în însăși zona acreditată. Vecinătatea fizică dintre infrastructura sistemului clasificat și cea de cablare a securității fizice transformă, în entitățile de acest tip, o problemă de proporționalitate într-una de conformare cu regimul informațiilor clasificate.

Pentru entitățile critice care nu prelucrează informații clasificate, un regim TEMPEST complet nu este proporțional. Proporțional este, însă, un set de măsuri simple: cabluri ecranate, trasee și tăvi separate pentru cablurile de securitate, distanțe de separare față de cablurile de date IT, legături optice între încăperi (fibra nu radiază de-a lungul traseului), filtrarea alimentării și zonarea încăperilor tehnice. Toate sunt ieftine dacă sunt prevăzute la proiectare și scumpe dacă sunt corectate după instalare. Încă o dată, argumentul reîntoarce discuția la absența analizei de risc și a proiectului.

2.5. Identitate și directoare comune

Dacă conturile operatorilor sistemului de securitate sunt integrate în directorul de identitate al IT-ului (ceea ce este frecvent și, în sine, comod), compromiterea directorului înseamnă compromiterea controlului accesului fizic. Mai mult, ștergerea sau modificarea unui cont în directorul IT poate dezactiva accesul unui operator de securitate fără știrea responsabilului. Controlul accesului fizic al unei entități critice se subordonează, astfel, securității unui sistem pe care nu îl administrează. Soluția nu este izolarea completă, ci identități distincte, autentificare multifactor, gestiunea accesului privilegiat și o decizie de arhitectură asumată în scris.

2.6. Modul comun de cădere și disponibilitatea

Un sistem de securitate cuplat la rețeaua IT moștenește evenimentele acesteia: reporniri programate, modificări de configurație ale comutatoarelor, defecțiuni ale serviciilor de nume sau de adresare dinamică, izolarea de urgență a segmentelor în timpul unui incident (de exemplu, un atac cu ransomware). Standardele de alarmă presupun căi de transmitere supravegheate și, la nivelurile ridicate, redundante și independente; în seria EN 50136, aceste cerințe privesc fiabilitatea căii de transmitere a alarmei.^[16] O cale care traversează aceeași infrastructură ca restul rețelei nu mai este independentă în sens funcțional: o singură cauză poate afecta și detecția, și transmiterea alarmei. Pentru entitățile critice, H.G. nr. 1.115/2025 cere teste de stres pe scenarii precum căderea de rețea, întreruperea alimentării cu energie, atacurile cibernetice simultane și defecțiunile fizice, tocmai pentru a identifica punctele unice de eșec (art. 2 și 3 din Anexa 4 la hotărâre). Un sistem de securitate care depinde de rețeaua IT este un asemenea punct.

2.7. Cablarea comună și echipamentele de conectivitate în vecinătatea sistemelor clasificate

Rețelele care prelucrează informații clasificate sunt, de regulă, autonome și separate de rețelele de lucru ale entității; reglementarea cere acreditarea lor și nu admite interconectarea cu rețele neacreditate în afara soluțiilor aprobate, iar o legătură improvizată ar pune în discuție acreditarea însăși. Din acest motiv, studiul nu tratează „amestecul rețelelor” drept scenariu curent. Rămâne, și este frecvent subestimată, vecinătatea fizică: în aceeași entitate, cablarea structurată comună, echipamentele de conectivitate care o deservesc (panouri de distribuție, comutatoare, medii de transmisie, tăvi și coloane tehnice) și cablurile sistemului de securitate pot fi instalate în aceleași trasee, încăperi tehnice sau tăvi în care se află circuitele sistemului clasificat. Dacă ecranarea, traseele distincte și distanțele de separare nu sunt respectate, apar riscuri de cuplaj, de diafonie și de emisii compromițătoare, pe care proiectul și analiza de risc trebuie să le trateze explicit. Pericolul rezidă în utilizarea infrastructurii și a echipamentelor de conectivitate comune în vecinătatea sistemului clasificat, nu într-o legătură logică între rețele.^[17]

Experiența publică arată că izolarea nu este un atribut stabil, ci unul care trebuie menținut prin disciplină. Programul malițios Stuxnet, descoperit în 2010, a demonstrat că o rețea izolată fizic poate fi atinsă prin medii amovibile și prin vecinătatea unor echipamente conectate;^[18] cercetările asupra canalelor ascunse, între care LANTENNA, au arătat că izolarea poate fi depășită chiar și prin cablurile ordinare ale rețelei. Într-o entitate în care cablarea sistemului de securitate fizică, cea a rețelei IT și circuitele sistemului clasificat se află în aceeași încăpere sau în aceleași tăvi de cabluri, nerespectarea distanțelor de separare și a ecranării transformă vecinătatea într-un posibil canal de scurgere.

Consecințele depășesc incidentul tehnic obișnuit. Compromiterea unor informații clasificate înseamnă un prejudiciu pentru securitatea națională sau aliată, o obligație de raportare către autoritatea competentă și, potențial, afectarea acreditării sistemului ori a autorizațiilor entității, cu efecte asupra contractelor și a capacității operaționale. Din acest motiv, într-o entitate care prelucrează informații clasificate, cablarea comună și echipamentele de conectivitate nu se instalează în vecinătatea circuitelor clasificate fără o analiză a emisiilor, fără trasee, încăperi și distanțe de separare stabilite prin proiect și fără ecranare acolo unde riscul o cere; sistemul de securitate fizică nu poate fi tratat ca un serviciu IT obișnuit și se proiectează cu trasee și, după caz, cu cablare distincte.

Statutul sistemului de securitate în aceste entități merită precizat. Legea nr. 182/2002 și H.G. nr. 585/2002 nu declară un sistem de securitate „sistem clasificat” prin simpla lui calitate; statutul rezultă din ceea ce protejează, din ce informații conține și din deciziile entității. Totuși, în entitățile critice, trei împrejurări pot să îl aducă sub incidența acestor norme. Prima: măsurile de protecție fizică (sisteme automate de control al accesului, sisteme de alarmă și de detectare a intruziunii, pază, controale) sunt cerute expres pentru clădirile și spațiile în care se află informații clasificate și se dimensionează în raport cu clasa acestora.^[19] A doua: documentația sistemului (de exemplu planuri, scheme de cablare, configurația, drepturile de acces) este o informație a cărei divulgare ar putea prejudicia entitatea și poate fi clasificată de aceasta, potrivit listei informațiilor clasificate stabilite de conducătorul unității. Includerea ei în listă este o decizie a entității, luată prin analiza de risc, nu o regulă generală.^[20] A treia: când sistemul de securitate este amplasat în zona acreditată sau în vecinătatea ei fizică, cablarea și echipamentele lui trebuie să respecte cerințele de instalare și de protecție împotriva emisiilor stabilite pentru acea zonă, nu pe cele ale unei instalații obișnuite. Atunci când statutul respectiv a fost stabilit, administrarea, cablarea, mentenanța și accesul la sistemul de securitate cad sub regimul de protecție a informațiilor clasificate, iar o instalare sau o administrare făcută după politica IT obișnuită, fără analiză și fără control în doi, poate constitui o neconformare. Ca atare, afirmația că „sistemul de securitate este un sistem clasificat” nu este o regulă generală, ci un statut care se stabilește în fiecare entitate prin lista informațiilor clasificate și prin analiza de risc; când a fost stabilit, el obligă la securitate conform Legii nr. 182/2002 și H.G. nr. 585/2002.

2.8. Concentrarea privilegiilor: același administrator pentru ambele domenii

Cel mai grav caz al cuplării este cel în care administratorul de sistem sau administratorul de securitate al IT-ului este, în același timp, administratorul de sistem sau de securitate al sistemului de securitate fizică, iar ambele rețele traversează aceeași cablare structurată sau aceeași rețea IT. Situația este frecventă și are o explicație banală: sistemul de securitate „este în rețea”, deci „ține de IT”. Din punct de vedere al arhitecturii de securitate, ea elimină, simultan, toate separările de care depinde încrederea într-un sistem.

• Un singur punct de privilegiu. O singură identitate (sau un singur set de credențiale) deschide ambele domenii. Compromiterea contului unui administrator, prin înșelăciune, furt de credențiale sau prin forță, echivalează cu compromiterea rețelei IT și a sistemului de securitate fizică.
• Dispariția martorului independent. Cine administrează sistemul de securitate poate modifica drepturile de acces, crea sau dezactiva permise, șterge înregistrări și jurnale. Când aceeași persoană administrează și infrastructura în care aceste jurnale sunt stocate și monitorizate, nu mai există un martor independent. Standardele cer ca informațiile de audit să fie protejate de cei ale căror acțiuni le înregistrează.^[21]
• Controlorul controlat. Administratorul de securitate al IT-ului, a cărui menire este să monitorizeze rețeaua și să detecteze abuzurile, devine, când administrează și sistemul de securitate fizică, controlorul propriilor acțiuni. Detecția, acțiunea și urmele se află sub aceeași mână.
• Lanțul complet dintr-un singur cont. Un atacator care obține contul unui astfel de administrator poate, într-o singură sesiune, să dezactiveze camerele (detecția), să deblocheze ușile (acțiunea) și să șteargă jurnalele și înregistrările (urmele). Lanțul atacului se închide dintr-un singur cont, fără mișcare laterală și fără alarmă. Cuplarea prin aceeași cablare face ca nici calea alarmei să nu mai fie independentă.
• Ținta unică pentru amenințarea din interior. Cercetările asupra amenințărilor din interior arată că utilizatorii cu privilegii tehnice pot produce prejudicii deosebite, tocmai pentru că au și accesul, și cunoașterea sistemului.^[22] Concentrarea privilegiilor creează o țintă unică pentru recrutare, șantaj sau constrângere.
• Competență și continuitate. Două domenii cu cerințe diferite, administrate de o singură persoană sau de o echipă fără cunoștințe de securitate fizică (sau invers), sunt configurate cu erori și actualizate neregulat; dependența de „omul care știe” este, în sine, un risc de continuitate.

Pentru entitățile care prelucrează informații clasificate, concentrarea privilegiilor are o gravitate distinctă. Standardele naționale prevăd, în același spirit, că nicio persoană nu trebuie să aibă acces la toate programele și cheile de securitate, că programarea se separă de exploatare și că orice modificare a sistemului se face prin regula celor doi. Textul permite totuși cumularea funcțiilor de administrator de securitate de către un singur specialist; ceea ce nu poate fi tolerat este concentrarea întregului acces și modificarea fără control în doi.^[23] O singură persoană care administrează și rețeaua generală, și sistemul care controlează accesul fizic în zona acreditată, poate deschide, prin același cont, ușa zonei acreditate și poate șterge urmele acestei deschideri. Aceasta contrazice logica art. 275–277 și 280 lit. b) din standardele naționale, chiar dacă nu încalcă literal o interdicție expresă.

Aceeași logică se regăsește în dreptul Uniunii, dar formulată ca principiu, nu ca interdicție. Decizia 2013/488/UE, pentru informațiile clasificate ale UE, prevede că funcțiile de asigurare a informațiilor au mandate separate și pot fi grupate în aceeași entitate organizațională sau distribuite între entități diferite, cu condiția să fie evitate conflictele interne de interese sau de sarcini.^[24] Tot astfel, Directiva NIS2 cere, la art. 21 alin. (2) lit. (i), politici de control al accesului și securitatea resurselor umane, iar lit. (d) și (e) privesc securitatea lanțului de aprovizionare și a achiziției și întreținerii sistemelor. Textul nu menționează separarea atribuțiilor, dar precizează că măsurile protejează și „mediul fizic al acestor sisteme”.^[25] Regulamentul de punere în aplicare (UE) 2024/2690, obligatoriu pentru anumite categorii de entități digitale (centre de date, servicii de cloud, servicii DNS, furnizori de servicii gestionate și altele) și reper de bune practici pentru celelalte, este însă explicit: atribuțiile și ariile de responsabilitate conflictuale se separă (anexa, pct. 1.2.5); sistemele critice pentru funcționarea entității se păstrează în zone securizate, iar rețeaua de administrare se separă de cea operațională (pct. 6.8.2); conturile și sistemele de administrare sunt dedicate (pct. 11.3 și 11.4); serviciile de telecomunicații și de alimentare care transportă date se protejează împotriva interceptării și a deteriorării (pct. 13.1.2); accesul fizic se controlează prin perimetre de securitate (pct. 13.3). Separarea atribuțiilor este, așadar, un principiu comun, iar verificarea respectării lui rămâne în sarcina entității și a analizei ei de risc.

Combinația de roluri	Ce poate face o singură identitate	Ce nu mai poate detecta nimeni
Administrator IT = administrator al sistemului de securitate	Reconfigurează porturi și segmente, vede fluxurile video, modifică drepturile de acces	Modificările de drepturi făcute de el însuși
Administrator de securitate IT (SOC/monitorizare) = administrator al securității fizice	Dezactivează detecția, deblochează ușile, șterge jurnale	Propria activitate, fiindcă el este cel care monitorizează
Tehnician de mentenanță al firmei instalatoare = cont privilegiat în rețeaua IT	Intră din domeniul securității în rețeaua IT, cu laptopul propriu	Compromiterea firmei integratoare ca vector de intrare
Operator de securitate = administrator al directorului de identitate	Își acordă sau modifică singur drepturile	Escaladarea propriilor drepturi

2.9. Sinteză: opt vectori, o cauză

Vector	Mecanism	Precedent public	Contramăsură de principiu
Expunere laterală	Dispozitivele de securitate sunt vizibile și accesibile din rețeaua comună	Target 2013; Mirai 2016	Segment dedicat, filtrare, zero trust
Acces încrucișat IT ↔︎ securitate	Administratorii și mentenanța trec dintr-un domeniu în celălalt	Target 2013 (acces furnizor)	Separarea atribuțiilor, jump host, acces temporar și jurnalizat
Coabitare fizică	Aceeași încăpere și același rack pentru servere IT și de securitate	Practică curentă, fără incident public individual	Încăperi sau cabinete separate, control de acces propriu
Emisii compromițătoare	Cuplaj între cabluri grupate; emisie modulată din cabluri Ethernet; risc agravat unde se prelucrează informații clasificate	van Eck 1985; LANTENNA 2021	Ecranare, trasee separate, fibră, zonare; regim INFOSEC/EMSEC acolo unde se prelucrează informații clasificate
Identitate comună	Directorul IT controlează conturile operatorilor de securitate	Atac de tip „domain compromise” în incidente generale	Identități separate, MFA, gestiune acces privilegiat
Concentrarea privilegiilor	Același administrator (sau aceeași echipă) pentru rețeaua IT și pentru sistemul de securitate	Studii asupra amenințărilor din interior (CERT)	Roluri separate, conturi nominale, acces privilegiat în doi, jurnale independente
Vecinătatea fizică a sistemului clasificat	Cablare și echipamente de conectivitate comune, instalate în vecinătatea circuitelor clasificate, fără ecranare sau distanțe de separare	Stuxnet 2010 (traversarea izolării prin medii amovibile); LANTENNA 2021	Trasee, tăvi și încăperi distincte; distanțe de separare; ecranare; analiza emisiilor; sistemul de securitate în perimetrul zonei acreditate
Mod comun de cădere	Evenimentele din rețeaua IT afectează detecția și transmiterea alarmei	Practică curentă; cerințe EN 50136	Cale dedicată și testată, ferestre de mentenanță convenite

3. Deriva verigilor: de ce cuplarea rămâne invizibilă

Cuplarea periculoasă persistă nu pentru că nimeni nu o cunoaște, ci pentru că fiecare verigă a lanțului are un motiv local să o ignore.

Evaluatorul de risc lucrează într-un mandat strict fizic și spațial, definit de Legea nr. 333/2003, completată prin O.U.G. nr. 37/2026, fără extensie explicită spre riscul cibernetic.^[26] Derivele posibile sunt două și opuse: omisiunea (raportul descrie ușile și tace asupra faptului că ușa se deschide printr-un controler conectat la rețea) și extinderea informală a mandatului (recomandări cibernetice formulate fără competență atestată și fără acoperire legală). Soluția profesională este delimitarea: analiza rămâne fizică, dar identifică în scris interfețele cibernetice ale sistemului și recomandă expertiză specializată acolo unde ele depășesc competența evaluatorului. Introducerea fișei de securitate, întocmită de unitate însăși, mută în plus o parte a pieței dintr-un regim de răspundere personală într-unul de autodeclarare.

Proiectantul lucrează cu un proiect care dispare când nu este cerut sau care degenerează într-o listă de echipamente cu cantități, fără arhitectura de rețea, fără nivelul de segmentare, fără fluxul de administrare. Instalatorul, plătit pentru montaj, nu este plătit și nici obligat să documenteze arhitectura; practica sectorului arată credențiale implicite neschimbate, acces la distanță improvizat și lipsa inventarului de echipamente și de versiuni de firmware. Mentenanța are contracte scrise pentru defecte fizice și nu definește cine actualizează firmware-ul, cine aprobă o versiune nouă, în ce fereastră și cu ce plan de revenire. Rezultatul este un sistem a cărui componentă fizică este întreținută, iar a cărui componentă logică îmbătrânește.

4. Presiunea normativă: abundența europeană și vidul național

Abundența de acte europene este reală și cumulativă. Directiva (UE) 2022/2555 (NIS2) cere entităților măsuri de gestionare a riscurilor care vizează și mediul fizic al sistemelor de rețea și informatice, iar O.U.G. nr. 155/2024, aprobată prin Legea nr. 124/2025, o transpune printr-o prevedere unică privind protecția rețelelor „atât la nivel logic, cât și fizic” (art. 11 alin. 4).^[27] Directiva (UE) 2022/2557 (CER), transpusă prin Legea nr. 294/2024, impune entităților critice o „protecție fizică adecvată”, luând în considerare în mod corespunzător „implementarea tuturor măsurilor de asigurare a securității fizice” (art. 13 alin. (1) lit. b)). Directiva oferă exemple (împrejmuiri, bariere, instrumente și rutine de monitorizare a perimetrului, echipamente de detecție, controlul accesului), dar nici directiva, nici legea nu definesc conținutul tehnic al adecvării și nu cuprind vreo cerință privind modul de conectare a sistemelor de securitate la rețea sau la cablarea structurată. Măsurile de aplicare au fost aprobate prin H.G. nr. 1.115/2025, care reia exemplele directivei și adaugă zonele de securitate stratificate, verificarea antecedentelor, autentificarea multifactorială și personalul de securitate de la fața locului (Anexa 4, art. 8 lit. a)), măsurile împotriva sistemelor fără pilot (art. 8 lit. b)) și conceptul de „securitate prin proiectare” (art. 10 lit. a)). Nici aceste norme nu stabilesc însă modul de conectare a sistemelor de securitate la rețea.^[28] Regulamentul (UE) 2024/1689 (AI Act), ale cărui termene pentru sistemele cu risc ridicat au fost reașezate prin Regulamentul (UE) 2026/1744, tratează explicit inteligența artificială din infrastructura critică.^[29] Regulamentul (UE) 2024/2847 (Cyber Resilience Act) pune în sarcina producătorilor obligații de securitate a produselor cu elemente digitale, cu raportare a vulnerabilităților exploatate începând din 11 septembrie 2026.^[30] Fiecare act are autoritatea, terminologia, calendarul și sancțiunile lui.

Relația dintre cele două regimuri este fixată chiar de Legea nr. 294/2024: aceasta se aplică „într-o manieră coordonată” cu legislația privind securitatea rețelelor și sistemelor informatice și securitatea cibernetică și „nu se aplică domeniilor reglementate de acestea” (art. 1 alin. (8)). H.G. nr. 1.115/2025 confirmă această împărțire: măsurile de reziliență care privesc securitatea cibernetică se aplică potrivit O.U.G. nr. 155/2024 și actelor emise de DNSC (art. 1 alin. (2) din Anexa 4 la hotărâre). Orice entitate critică este, totodată, entitate esențială în sensul NIS2 (O.U.G. nr. 155/2024, art. 5 alin. (1) lit. c)). Consecința pentru subiectul acestui studiu este directă: un sistem de securitate fizică conectat la rețeaua IT intră simultan sub două regimuri și sub două autorități, componenta de protecție fizică sub regimul CER (autoritatea competentă sectorială și CNCPIC), iar componenta de rețea și informatică sub regimul NIS2 (DNSC). Niciunul dintre cele două regimuri nu impune și nici nu interzice conectarea sistemului de securitate la cablarea structurată sau la rețeaua IT; aceasta rămâne o decizie de arhitectură, care trebuie justificată prin evaluarea riscurilor. Legea nr. 294/2024 nu menționează analiza de risc la securitate fizică. Evaluarea cerută de art. 12 privește toate riscurile care ar putea perturba serviciul esențial (riscurile naturale și cele provocate de om, accidentele, urgențele de sănătate publică, amenințările hibride, terorismul, dependențele intersectoriale și transfrontaliere) și este mult mai largă decât analiza prevăzută de Legea nr. 333/2003, care privește amenințările la adresa securității fizice a obiectivului. Art. 12 alin. (4) permite utilizarea unor „evaluări ale riscurilor și documente relevante pentru acestea, specifice responsabilităților sectorului de activitate”, formulare care vizează evaluările sectoriale, nu analiza de risc la securitate fizică, aplicabilă orizontal tuturor unităților prevăzute de Legea nr. 333/2003; directiva are o formulare mai largă, care se referă la evaluările și documentele întocmite în temeiul altor acte juridice relevante (Directiva (UE) 2022/2557, art. 12 alin. (2) al doilea paragraf). Art. 13 alin. (3) permite, pentru măsurile de reziliență, folosirea documentelor elaborate și a măsurilor luate în temeiul „altor acte normative incidente domeniului propriu de responsabilitate”; măsurile de pază și sistemele de securitate fundamentate prin analiza de risc la securitate fizică pot fi invocate, prin interpretare, pentru protecția fizică prevăzută la art. 13 alin. (1) lit. b), dar conformitatea lor o constată CNCPIC și autoritatea competentă sectorială (art. 13 alin. (4)). Analiza de risc la securitate fizică este, așadar, cel mult o sursă pentru componenta de securitate fizică a evaluării cerute de Legea nr. 294/2024, nu un substitut al acesteia, iar legea nu îi recunoaște expres acest rol.

Pe plan național, cadrul fundamental al evaluării rămâne legat de Legea nr. 333/2003 și de H.G. nr. 301/2012, a cărei anexă de cerințe minime a fost concepută pentru o generație tehnologică anterioară. O.U.G. nr. 37/2026 a introdus modificări organizatorice și procedurale, dar termenele de 90, respectiv 60 de zile pentru modificarea normelor metodologice și pentru stabilirea formatului fișei de securitate au expirat în august, respectiv în iulie 2026, fără ca, la data redactării, să existe o hotărâre publicată care să reglementeze integral aceste aspecte; o clauză de tranziție menține aplicabile actele subsecvente vechi, în măsura compatibilității. Între timp, terminologia produce confuzii: „infrastructură critică”, din regimul mai vechi (O.U.G. nr. 98/2010), nu coincide cu „entitate critică”, din Legea nr. 294/2024.

Efectul practic pentru actorii mici și mijlocii este conformarea de suprafață: un instalator cu opt angajați nu poate urmări simultan cinci regimuri, ci aplică ceea ce îi cere clientul și departamentul IT al clientului. Legislația abundentă fără ghid de aplicare nu produce rigoare, ci selecția celor care își permit să navigheze prin ea.

5. Precedente publice: ce arată incidentele și cercetările documentate

Secțiunea compară șase situații din surse publice. Nu pretindem că aceleași defecte se regăsesc în orice instalație din România; folosim cazurile ca ilustrații ale unor mecanisme deja documentate.

Caz	Fapte (după surse)	Mecanismul	Lecție pentru securitatea fizică
Target, 2013	Atacatorii au folosit credențiale furate de la un furnizor de servicii HVAC, cu acces legitim la rețea; au ajuns la sistemele POS; aproximativ 40 de milioane de carduri compromise.	Acces de furnizor + segmentare insuficientă	Accesul de mentenanță este o cale de intrare; segmentarea decide cât de departe ajunge atacatorul.
Mirai, 2016	Un botnet a infectat dispozitive IoT, în special camere și înregistratoare, folosind credențiale implicite; a fost folosit pentru atacuri DDoS de amploare (Dyn, octombrie 2016).	Credențiale implicite + expunere	Dispozitivele de securitate pot deveni arme ale atacatorilor, nu numai ținte.
Hikvision, 2021	Vulnerabilitatea CVE-2021-36260 (injecție de comenzi) a afectat numeroase camere; relatări de specialitate au semnalat peste 80.000 de dispozitive vulnerabile, expuse online, și exploatarea de către botnet-ul Moobot.	Firmware neactualizat + expunere la internet	Actualizarea firmware-ului este o măsură de securitate fizică, nu doar una IT.
Verkada, 2021 / FTC, 2024	Un atacator a accesat peste 150.000 de camere ale clienților, inclusiv din locații sensibile. FTC a acuzat compania, între altele, de neimpunerea unor parole unice și complexe și de lipsa controalelor de rețea; acord propus la 30 august 2024.	Administrare centralizată + controale insuficiente	Concentrarea accesului administrativ într-un punct transformă un incident într-unul sistemic.
HID Mercury, 2022	Cercetători Trellix au raportat opt vulnerabilități (între care RCE neautentificat, CVSS 10,0) în panourile de control acces folosite de peste 20 de parteneri OEM; posibilitatea de a deschide ușile de la distanță.	Vulnerabilități în controlerul de acces + conectivitate IP	Controlerul de acces este un calculator în rețea; o vulnerabilitate IT = o ușă deschisă.
LANTENNA, 2021 (cercetare)	Cablul Ethernet folosit ca antenă pentru exfiltrarea datelor dintr-o rețea air-gapped, cu emisie în banda ~125 MHz, recepționată cu SDR la ~2 m în experiment.	Emisii compromițătoare	Izolarea logică nu implică izolare fizică; cablurile sunt variabile de risc.

Din comparație rezultă un tipar: în aproape toate cazurile, ceea ce a fost forțat nu a fost sistemul de securitate ca atare, ci accesul din jurul lui (un furnizor, o interfață expusă, un panou conectat, un cablu).^[31] Însemnătatea pentru România este directă: arhitectura descrisă în studiul de caz de mai jos reunește, într-un singur loc, mai multe dintre aceste condiții.

6. Lupta pentru supraviețuire pe piață: cine dictează?

În absența unui standard național de arhitectură pentru securitatea fizică convergentă, piața este dictată, de facto, de patru forțe.

• Prețul, criteriul dominant în multe proceduri de achiziție. Calitatea arhitecturii, a segmentării și a documentației este invizibilă la recepție; prețul este vizibil. Se instalează mecanismul descris de George Akerlof în „piața lămâilor”: când cumpărătorul nu poate distinge calitatea, prețul scade până când calitatea dispare.^[32]
• Departamentul IT, care, în organizațiile mari, impune politici generale de rețea. Este o forță utilă când cere segmentare și control; devine dăunătoare când aplică, fără adaptare, reguli concepute pentru stații de lucru unor controlere și camere.
• Producătorul, care fixează, prin arhitectura produselor (cloud obligatoriu, administrare proprietară, cicluri de actualizare), ce pot și ce nu pot face integratorii și beneficiarii. Cyber Resilience Act mută responsabilitatea de securitate a produsului la producător, dar nu rezolvă dependența de platformă.
• Autoritatea, prin norme, standarde și atestări, singura forță capabilă să stabilească un minim comun. Este, în prezent, cea mai slabă, tocmai pentru că normele de aplicare întârzie.

Consecințele sunt asimetrice. Firmele mici și mijlocii suportă costul competenței cibernetice fără a-l putea recupera în prețul unei licitații câștigate la cel mai mic preț. Integratorii mari își permit certificări și echipe mixte, dar dobândesc astfel un avantaj care nu provine din calitatea securității fizice, ci din capacitatea de conformare administrativă. Entitățile critice sunt expuse la un risc de alt ordin: concentrarea dependențelor (același producător, aceeași platformă, același integrator) face ca un incident să devină sistemic, iar tocmai ele răspund, potrivit Legii nr. 294/2024, de o „protecție fizică adecvată”.

7. Studiu de caz tipologic: instalația fără proiect într-o entitate critică

Studiul de caz este tipologic: îl construim din situații recurente ale sectorului, nu descrie o entitate determinată, iar detaliile sunt aduse la un nivel de generalitate care exclude identificarea.

7.1. Contextul

O entitate desemnată critică în sensul Legii nr. 294/2024 (de exemplu, operator într-un sector esențial) dispune de un sediu central și de două sedii secundare. Prin desemnare, are obligația unei evaluări proprii de risc, a unor măsuri de reziliență și a unei „protecții fizice adecvate”; a desemnat un ofițer de legătură și, prin natura serviciilor, este, potrivit art. 5 alin. (1) lit. c) din O.U.G. nr. 155/2024, și entitate esențială în sensul regimului NIS2. Sistemul de securitate (control acces, supraveghere video, detecție efracție) a fost extins în etape, prin achiziții succesive. Entitatea prelucrează, în propriul sistem informatic, și informații clasificate. Are un departament IT cu politici de securitate a rețelei, aprobate la nivelul conducerii.

7.2. Lanțul evenimentelor

• Etapa 1. Absența analizei și a proiectului. Fie nu există o analiză de risc la securitate fizică, fie există una formală, nefolosită, netranspusă într-un proiect. Proiectul este întocmit fără cerințele unei analize de risc, care ar fi trebuit realizată de un evaluator de risc, și se întemeiază doar pe ceea ce știu proiectantul și tehnicianul IT: ce echipamente există, ce porturi sunt libere și ce cere politica IT. Fără analiză, nimeni nu a stabilit ce se protejează, împotriva cărui risc și cu ce arhitectură. Instalatorul primește doar sarcina: „montați camerele și controlerele conform politicii IT”.
• Etapa 2. Cuplarea la cablarea structurată și la rețeaua IT. Politica IT impune ca echipamentele de securitate să fie conectate prin cablarea structurată și la rețeaua de calculatoare a entității. Nu există un segment dedicat, sau segmentul există, dar este gestionat în ansamblu cu restul rețelei. Sistemul de securitate devine, în fapt, un serviciu de rețea printre altele. Aceasta este vulnerabilitatea centrală a întregului caz: prin ea, o slăbiciune a unei camere sau a unui controler devine o cale către rețeaua IT a entității.
• Etapa 3. Coabitarea în aceeași încăpere tehnică. Serverele sistemului de securitate (înregistrare video, control acces) sunt instalate în camera serverelor IT, în același rack sau în același rând de rafturi. Dreptul de intrare în încăpere este dreptul de acces la ambele domenii; ușa încăperii este controlată de sistemul al cărui server se află înăuntru.
• Etapa 4. Accesul încrucișat. Conturile de administrare ale comutatoarelor și serverelor sunt în gestiunea IT, iar responsabilul de securitate fizică și echipa de mentenanță nu au drepturi pe infrastructură. În practică, administratorul IT este și administratorul de fapt al sistemului de securitate, iar administratorul de securitate al IT-ului, cel care monitorizează rețeaua, are drepturi și asupra sistemului de securitate fizică. Tehnicianul firmei instalatoare, când i se permite să intervină, intră cu laptopul lui în rețeaua IT. Accesul încrucișat funcționează pe ambele direcții, iar privilegiile se concentrează în aceleași mâini.
• Etapa 5. Cablurile grupate și emisiile. Cablurile sistemului de securitate circulă în aceleași tăvi cu cablurile de date IT și, în anumite zone, în vecinătatea circuitelor sistemului care prelucrează informații clasificate, fără ecranare sau distanțe de separare. Nu există o analiză a emisiilor, nici măcar una proporțională, deși entitatea are în gestiune informații clasificate.
• Etapa 6. Mentenanța blocată. Orice actualizare sau upgrade al sistemului de securitate necesită aprobarea IT. Aprobările întârzie, sunt amânate sau nu se dau, pentru că cei care decid nu cunosc sistemul și nu îl consideră prioritar. Echipa de mentenanță repară ce e fizic și nu poate actualiza ce e logic.
• Etapa 7. Incidentul. Un utilizator obișnuit al rețelei, cu un cont compromis sau cu un dispozitiv infectat, poate vedea camerele, controlerele și serverul de management. Un incident (acces neautorizat, înregistrări șterse, ușă deschisă fără eveniment valid) este constatat tardiv. Fiecare actor poate arăta că și-a respectat parțial rolul.

7.3. Cine deținea ce, și ce lipsea

Actor	Ce deținea	Ce nu avea	Ce risca
Instalatorul	Montajul, configurarea inițială	Proiect, analiză de risc, drept de a defini arhitectura	Răspundere contractuală pentru ce nu fusese cerut
Departamentul IT	Rețeaua, conturile privilegiate, politica	Cunoașterea sistemelor de securitate fizică	Aplicarea nepotrivită a politicilor; responsabilitate pentru un incident despre care nu are informații
Responsabilul de securitate fizică	Obiectivul de securitate	Acces la infrastructura pe care se sprijină sistemul	Răspunderea pentru funcția de securitate, fără puterea de a o asigura
Echipa de mentenanță	Cunoașterea echipamentelor	Dreptul de a actualiza, accesul controlat la rețea	Remedieri parțiale; acuzația de neîntreținere; risc de a deveni vector de intrare
Ofițerul de legătură (Legea 294/2024)	Coordonarea conformării și raportarea	Autoritate tehnică asupra rețelei și sistemelor de securitate	Atestă „protecția fizică adecvată” fără instrumentele de a o verifica
Conducerea entității critice	Decizia și bugetul	Informații despre riscul real	Răspundere pentru neglijență și pentru conformarea la regimurile CER și NIS2

7.4. Analiza

Cazul nu este despre rea-voință. Fiecare actor este competent în domeniul lui și incompetent, fără vină, în domeniul vecin. Departamentul IT are dreptate să ceară segmentare și control; are dreptate să nu accepte dispozitive necunoscute în rețea. Dar o politică generală, aplicată fără cunoașterea sistemului, produce paradoxul central: cei care cunosc sistemul nu au acces, iar cei care au acces nu cunosc sistemul. Paradoxul se manifestă în cinci puncte tehnice.

• Expunere laterală.Rețeaua comună face vizibile dispozitivele de securitate pentru orice utilizator, iar atacatorul nu are nevoie de acces la sistemul de securitate: îi este suficient accesul la rețea.
• Lipsa vizibilității și inversarea separării. Separarea administratorilor sistemului de securitate de infrastructura lui nu este un control, ci o disfuncție: nimeni nu poate vedea starea reală, nimeni nu poate corecta o configurație. În același timp, administratorii IT nu sunt separați de sistemul de securitate, deci separarea atribuțiilor funcționează invers decât ar trebui.
• Concentrarea privilegiilor. Când aceeași persoană sau aceeași echipă administrează ambele domenii, o singură identitate compromisă sau abuzată poate dezactiva detecția, deschide accesul și șterge urmele. Controlorul își monitorizează propriile acțiuni, iar nimeni din afara acestui cerc nu poate verifica ce s-a întâmplat.
• Inerție de actualizare. Actualizarea blocată înseamnă acumularea de vulnerabilități cunoscute; precedentele din secțiunea 5 arată cât de repede sunt exploatate cele publice.
• Neadecvarea politicilor generale. Echipamentele de securitate sunt dispozitive încorporate, cu cicluri de viață, protocoale și toleranțe diferite de ale unui server. Politici tipice IT (scanări agresive, agenți antivirus, rotații de parole, ferestre de patch uniforme) pot opri sau destabiliza un controler și, aplicate fără discernământ, produc fie întreruperi, fie excepții permanente care anulează politica.
• Cuplarea fizică și emisiile. Coabitarea în aceeași încăpere și cablurile grupate transformă o problemă logică într-una fizică: cine intră în încăpere poate ajunge la ambele domenii, iar cablurile apropiate pot cupla și radia informații. Pentru o entitate care prelucrează secrete de stat, aceasta nu mai este un risc de proporționalitate, ci o problemă de conformare cu regimul INFOSEC și TEMPEST (art. 237, 259 și 303 din H.G. nr. 585/2002).

Pentru o entitate critică, disfuncția are o gravitate suplimentară. Legea nr. 294/2024 cere entității să-și evalueze riscurile și să demonstreze o protecție fizică adecvată, iar analiza de risc la securitate fizică, produsă sub Legea nr. 333/2003, este documentul tehnic pe care evaluarea entității îl poate prelua ca sursă pentru componenta de securitate fizică, fără ca legea să o numească și fără ca ea să țină locul evaluării tuturor riscurilor cerute de art. 12. Fără analiză și fără proiect, entitatea nu are cu ce să probeze conformarea; fără acces la infrastructură și fără actualizări, nu o poate menține. Întrucât entitatea critică este, în același timp, entitate esențială în sensul regimului NIS2, măsurile de gestionare a riscurilor privesc și mediul fizic al sistemelor de rețea, iar un sistem de securitate vulnerabil, conectat la aceeași rețea, devine el însuși o cale de acces către activele esențiale. Nu este numai o problemă de securitate, ci una de conformare, cu răspundere la nivelul conducerii.

Din perspectiva Codului civil, între contractanți se aplică răspunderea contractuală (art. 1350), cu consecințele art. 1516 și art. 1530–1531; față de terți, răspunderea delictuală (art. 1349 și art. 1357).^[33] Într-un litigiu, instalatorul poate invoca absența proiectului, IT-ul absența cunoașterii sistemului, iar responsabilul de securitate absența accesului. Standardul de diligență profesională nu dispare: se mută spre cel care a avut cea mai mare capacitate de a preveni riscul, adică spre conducerea entității și, în cazuri, spre cel care a acceptat să execute lucrarea în condițiile știute.

8. Neconcordanțe legislative și tehnice identificate

Nr.	Neconcordanță	Consecință	Direcție de corectare
1	Mandatul evaluatorului (Legea 333/2003) este strict fizic; obiectul evaluat (sistemul IP) este convergent.	Analize care tac asupra conectivității sau evaluatori care depășesc informal mandatul.	Modul „interfețe cibernetice” în analiză și în standardul ocupațional, fără extinderea mandatului.
2	Fișa de securitate (autodeclarare) coexistă cu analiza de risc (evaluator licențiat); formatul fișei nu a fost fixat în termenul legal.	Risc de nivelare în jos a calității; vid tehnic pentru instrumentul fișei.	Adoptarea normelor metodologice; conținut minim al fișei, inclusiv interfețele cibernetice.
3	„Infrastructură critică” (O.U.G. 98/2010) și „entitate critică” (Legea 294/2024) nu coincid.	Confuzie de conformare; aplicarea unui regim în locul altuia.	Tabel de corespondență oficial și clarificarea relației dintre regimuri.
4	O.U.G. 155/2024 face o singură trimitere la protecția fizică (art. 11 alin. 4), fără legătură cu Legea 333/2003; cerințele detaliate ale Regulamentului (UE) 2024/2690 (perimetru, segmentare, separarea atribuțiilor) sunt obligatorii doar pentru anumite entități digitale.	Responsabilul NIS decide singur, sub test de proporționalitate, fără standard tehnic fizic.	Referință explicită la analiza R.N.E.R.S.F. ca document justificativ pentru componenta fizică în ambele regimuri; Legea 294/2024 nu o menționează, iar art. 12 alin. (4) vizează evaluările specifice sectorului de activitate.
5	Auditul cibernetic (regim tranzitoriu bazat pe Legea 362/2018) și evaluarea fizică nu au metodologie comună.	Două documente pe același activ, fără interoperabilitate.	Anexă comună de „arhitectură și responsabilități”, cerută ambelor documente.
6	Competența cibernetică nu este cerută proiectantului și instalatorului, deși sistemul este un nod de rețea (în măsura în care am putut verifica regimul de atestare).	Instalații cu configurare implicită; lipsa documentației „as built”.	Condiții minime de competență și documentație pentru proiectare și instalare.
7	Cyber Resilience Act obligă producătorul; mentenanța contractuală nu cuprinde actualizări de securitate. În anumite condiții (modificare substanțială), obligațiile de producător pot reveni altor persoane.	Zone gri de răspundere între producător, instalator și beneficiar.	Clauze contractuale de actualizare, ciclu de viață și raportare a vulnerabilităților.
8	Achizițiile publice sunt orientate spre preț; analiza și proiectul nu sunt condiții de ofertare.	Selecție adversă: ofertele fără proiect sunt mai ieftine.	Proiect și analiză ca documente obligatorii premergătoare achiziției; criterii de calitate.
9	Seriile EN 50131 și EN 50136 presupun căi supravegheate și, la grade ridicate, independente; politicile IT uniformizează traficul.	Căi de alarmă care nu mai sunt independente sau supravegheate efectiv.	Cerință explicită de cale dedicată și testată în politica de rețea.
10	AI Act (Anexa III) tratează AI-ul din infrastructura critică; nici Legea 333/2003, nici legislația de reziliență nu reglementează AI-ul în sistemele de securitate fizică.	Obligații separate pentru beneficiar, necunoscute evaluatorului și instalatorului.	Semnalare scrisă în analiză; modul de competență în standardul ocupațional.
11	Standardele de cablare (EN 50173/50174) urmăresc universalitatea, nu separarea domeniilor de securitate; nicio normă civilă de securitate fizică nu cere trasee separate pentru cablurile de securitate.	Cablare comună, accesibilă și supusă cuplajelor.	Cerință de trasee și tăvi separate, distanțe de separare, ecranare, la proiectare.
12	Securitatea emisiilor (EMSEC) este tratată în regimul informațiilor clasificate, dar nu este corelată cu proiectarea sistemelor de securitate fizică și a cablării din aceleași entități, deși acestea coabitează cu sistemul clasificat.	Emisiile compromițătoare și accesul fizic în zonele acreditate nu sunt evaluate împreună.	Includerea EMSEC și a interfeței cu zonele acreditate în analiza de risc pentru entitățile critice care prelucrează informații clasificate.
13	Sistemele care prelucrează informații clasificate sunt supuse separării de rețelele neacreditate, dar regimul nu tratează expres cablarea și echipamentele de conectivitate ale sistemului de securitate fizică și ale rețelei IT, instalate în vecinătatea circuitelor clasificate.	Distanțele de separare și ecranarea față de infrastructura comună nu sunt evaluate.	Includerea infrastructurii de cablare comune în analiza emisiilor și în proiectul zonei acreditate.
14	Standardele cer separarea atribuțiilor și protecția jurnalelor de audit, dar practica de administrare IT concentrează adesea rolurile de administrator de sistem și de administrator de securitate pentru ambele domenii.	Un singur cont poate dezactiva detecția, deschide accesul și șterge urmele; controlorul este propriul controlat.	Roluri distincte, conturi nominale, acces privilegiat în doi, jurnale păstrate pe un sistem independent, audit intern periodic.

9. Arhitectura de referință: cinci separări

Răspunsul nu este ca IT-ul să cedeze controlul și nici ca securitatea fizică să obțină autonomie totală. Răspunsul este o arhitectură a separărilor, fixată în documente, nu în obișnuință. O formulăm în cinci principii, inspirate din conceptul de „zone și conducte” al seriei IEC 62443 și din ghidurile NIST pentru securitatea sistemelor de control.^[34]

9.1. Separarea logică

Sistemul de securitate se află într-o zonă proprie, cu conducte definite către restul rețelei, filtrate explicit (listă de control al accesului sau firewall) și limitate la serviciile strict necesare. Dacă riscul o cere, zone distincte pe funcții: camere, control acces, transmisia alarmei, administrare. Accesul de la distanță se face numai printr-un punct controlat (VPN și gazdă intermediară), fără publicare de porturi și fără servicii „peer-to-peer”. Un VLAN, singur, nu este o barieră: segmentarea înseamnă VLAN-uri plus filtrare între ele. În entitățile care prelucrează informații clasificate, sistemul clasificat rămâne autonom, iar sistemul de securitate și rețeaua generală au trasee, tăvi și echipamente de conectivitate distincte de ale lui, cu distanțe de separare și ecranare stabilite prin proiect.

Cerința departamentului IT ca sistemul de securitate să utilizeze cablarea structurată și echipamentele de conectivitate ale entității nu este impusă, dar nici interzisă de CER sau de NIS2. Regulamentul (UE) 2024/2690 cere separarea sistemelor de rețelele terților (pct. 6.8.1), adică de rețelele din afara entității (furnizori, integratori, servicii cloud ale producătorilor), iar pentru sistemele proprii cere segmentarea în funcție de evaluarea riscurilor (pct. 6.8.2). Alegerea dintre variantele de mai jos trebuie să rezulte din analiza de risc și din proiect, nu din politica IT.

Varianta	Ce înseamnă	Când se justifică
Cablare comună, segment dedicat	Aceleași trasee și echipamente de conectivitate; zonă logică proprie (VLAN cu filtrare prin firewall între segmente), administrare dintr-o rețea separată, roluri de administrare distincte, jurnale păstrate independent, acces al terților numai printr-un punct controlat	Risc obișnuit, dacă analiza de risc o justifică (Regulamentul 2024/2690, pct. 6.8.2)
Echipamente de rețea dedicate	Trasee comune, dar comutatoare, surse neîntreruptibile și cabinete proprii sistemului de securitate, cu control de acces distinct	Risc ridicat; entități critice; sisteme a căror cădere afectează direct protecția fizică
Infrastructură complet separată	Trasee, tăvi, încăperi și echipamente distincte, cu distanțe de separare și ecranare	Zone acreditate pentru informații clasificate (H.G. nr. 585/2002) sau risc foarte ridicat

9.2. Separarea fizică

Cablare dedicată, trasee și tăvi separate, cu distanțe de separare față de cablurile de date IT, eventual cabluri ecranate și, între încăperi, legături optice. Echipamente instalate în încăperi sau cabinete separate, cu control de acces propriu, independent de sistemul pe care îl protejează, și cu înregistrări păstrate de un sistem diferit. Dacă încăperea comună nu poate fi evitată, cabinete cu cheie sau cu control de acces distinct pentru fiecare domeniu, cu drepturile fiecărei persoane revizuite periodic.

9.3. Separarea funcțională a atribuțiilor

Principiul de bază: nicio persoană și nicio echipă nu administrează, simultan, rețeaua IT și sistemul de securitate fizică. Rolurile se atribuie nominal și distinct, iar fiecare cont este personal, fără conturi comune. Jurnalele sistemului de securitate fizică se păstrează pe un sistem aflat în gestiunea unei funcții independente (audit intern, conducere sau un terț), astfel încât administratorul să nu poată șterge propriile urme. Administratorii IT nu au drepturi implicite asupra sistemului de securitate; echipa de securitate și mentenanța nu au drepturi implicite asupra rețelei IT. Accesul privilegiat în ambele direcții se acordă pe timp limitat, cu aprobare în două persoane pentru operațiuni critice, prin gazdă intermediară, cu înregistrare integrală a sesiunii. Procedura de urgență („break-glass”) există, dar este auditabilă. Identitățile operatorilor de securitate sunt separate de directorul general, cu autentificare multifactor.

9.4. Separarea emisiilor

Evaluarea proporțională a emisiilor în analiza de risc: ecranare, trasee separate, filtrare, zonarea încăperilor tehnice. Pentru entitățile critice care prelucrează informații clasificate, regimul dedicat se aplică obligatoriu și se coordonează cu proiectarea sistemului de securitate fizică: trasee și încăperi distincte pentru sistemul clasificat, pentru sistemul de securitate și pentru rețeaua generală, cu verificarea distanțelor dintre ele și a accesului fizic în zonele acreditate. Nu se cere un regim TEMPEST complet pentru orice entitate, dar se cere ca absența lui să fie o decizie documentată, nu o omisiune.

9.5. Separarea ciclului de viață

Inventar viu al echipamentelor, versiunilor de firmware, datelor de sfârșit al suportului, conturilor și căilor de comunicație; ferestre de actualizare, aprobator, plan de revenire și termen maxim de răspuns fixate în contract. Absența răspunsului la o cerere de actualizare nu se consideră aprobare, dar nici refuz definitiv: declanșează escaladare. Testarea periodică a căii de alarmă în condițiile căderii căii principale.

9.6. Propuneri de lege ferenda

• Adoptarea normelor metodologice care să corecteze anexa de cerințe minime din H.G. nr. 301/2012 pentru realitatea tehnologică actuală.
• Coordonarea explicită între Legea 333/2003, Legea 294/2024 și O.U.G. 155/2024: analiza R.N.E.R.S.F. recunoscută expres drept document justificativ pentru componenta de securitate fizică, atât în evaluarea riscurilor cerută de art. 12 din Legea 294/2024 (al cărui alin. (4) vizează în prezent doar evaluările specifice sectorului de activitate) și pentru măsurile de protecție fizică de la art. 13 alin. (1) lit. b), cât și pentru protecția mediului fizic în regimul NIS2, cu o anexă comună de arhitectură.
• Un modul de conștientizare a riscului cibernetic în standardul ocupațional al evaluatorului, care să nu extindă mandatul, ci să-l facă informat.
• Condiții minime de competență și documentație pentru proiectarea și instalarea sistemelor de securitate conectate în rețea, inclusiv cerințe privind trasee, separare fizică și emisii.
• Condiționarea achizițiilor publice de sisteme de securitate de existența unei analize de risc și a unui proiect, ca documente premergătoare, și introducerea unor criterii de calitate alături de preț.

9.7. Ce poate verifica o entitate de mâine

• Dacă există o diagramă a rețelei sistemului de securitate și o listă de echipamente cu versiuni de firmware.
• Dacă sistemul se află într-un segment dedicat, cu reguli de filtrare, și nu în rețeaua comună.
• Cine are acces fizic și logic la serverele sistemului de securitate, și dacă accesul este separat de cel IT.
• Dacă serverele celor două domenii se află în aceeași încăpere și cine controlează accesul în ea.
• Dacă cablurile de securitate circulă în aceleași tăvi cu cele IT, fără ecranare sau separare.
• Dacă entitatea a stabilit, în lista informațiilor clasificate și în analiza de risc, dacă sistemul de securitate și documentația lui sunt protejate conform Legii nr. 182/2002 și H.G. nr. 585/2002, și dacă instalatorii și mentenanța îndeplinesc condițiile de acces corespunzătoare.
• Dacă aceeași persoană sau aceeași echipă administrează rețeaua IT și sistemul de securitate, și dacă jurnalele sistemului de securitate sunt păstrate independent de administratorii lui.
• Cine actualizează, în cât timp și cu ce aprobare, și dacă există termen pentru răspuns.
• Dacă există conturi implicite sau acces de la distanță prin metode improvizate.
• Dacă calea de alarmă a fost testată în condițiile căderii căii principale.

10. Concluzii

Vulnerabilitatea structurală a securității fizice contemporane este cuplarea la infrastructura IT: logică (rețea, identități), fizică (încăpere, rack, tăvi de cabluri) și electromagnetică (emisii). Ea creează expunere laterală, acces încrucișat bidirecțional, cauze comune de cădere și canale de scurgere pe care analiza clasică de risc nu le vede, fiindcă obiectul ei se oprește la ușă; în entitățile critice care prelucrează informații clasificate, riscul canalelor de emisie, când infrastructura comună de cablare ajunge în vecinătatea circuitelor clasificate, capătă o greutate suplimentară, iar concentrarea privilegiilor într-o singură identitate administrativă, pe aceeași cablare, este varianta cea mai gravă a cuplării: este în joc nu doar continuitatea sistemului de securitate, ci și, în zonele acreditate, controlul accesului fizic la informațiile clasificate. Precedentele publice, de la Target la Verkada și de la Mirai la HID Mercury, relevă în mod constant același tipar: ceea ce a fost forțat a fost vecinătatea sistemului, nu sistemul însuși.

Cauza acestei invizibilități este o derivă a întregului lanț: evaluarea tace, iar proiectul se întocmește fără cerințele unei analize de risc, care ar fi trebuit realizată de un evaluator de risc, doar pe baza cunoștințelor proiectantului și ale tehnicianului IT; instalarea improvizează; mentenanța nu are drept de a actualiza. Cadrul european adaugă obligații, cadrul național întârzie să le facă operaționale, iar piața, lăsată să se autoregleze, selectează pentru preț. Cele mai expuse sunt firmele mici și mijlocii, care suportă costul competenței fără să-l poată recupera, și entitățile critice, la care concentrarea dependențelor amplifică orice neregulă.

Răspunsul este o arhitectură a celor cinci separări: logică, fizică, funcțională, a emisiilor și a ciclului de viață. Profesia dispune de instrumente; lipsesc normele care să le confere caracter obligatoriu și voința de a recunoaște securitatea fizică convergentă drept domeniu distinct. Cine dictează piața? Până la un standard comun, prețul. Odată cu un standard comun, riscul.

Limite și precizări

Studiul de caz este tipologic și nu descrie o entitate determinată. Incidentele și cercetările sunt prezentate după surse publice, cu menționarea faptului că unele constatări (de exemplu, cele ale FTC) sunt acuzații în cadrul unui acord propus. Referirile la O.U.G. nr. 37/2026 și la H.G. nr. 301/2012 pornesc de la textele publicate și de la situația normelor de aplicare cunoscută la data redactării; cititorul este rugat să verifice versiunea consolidată în vigoare. Descrierea emisiilor compromițătoare se limitează la literatura deschisă; nu sunt reproduse, descrise sau deduse conținuturi ale unor standarde sau specificații clasificate ori cu distribuție restricționată. Lucrarea nu constituie consultanță juridică sau tehnică de specialitate pentru o instalație determinată.

Bibliografie

A. Acte normative

Codul civil (Legea nr. 287/2009, republicată), art. 1349, 1350, 1357, 1516, 1530–1531.

Directiva (UE) 2022/2555 a Parlamentului European și a Consiliului din 14 decembrie 2022 privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune (NIS2).

Directiva (UE) 2022/2557 a Parlamentului European și a Consiliului din 14 decembrie 2022 privind reziliența entităților critice (CER).

Hotărârea Guvernului nr. 301/2012 pentru aprobarea Normelor metodologice de aplicare a Legii nr. 333/2003, M. Of. nr. 335 din 17 mai 2012, cu modificările ulterioare.

Hotărârea Guvernului nr. 1.115 din 18 decembrie 2025, M. Of. nr. 1214 din 30 decembrie 2025, prin care au fost aprobate, în Anexa 4, Măsurile menite să asigure un nivel ridicat al rezilienței entităților critice.

Decizia 2013/488/UE a Consiliului din 23 septembrie 2013 privind normele de securitate pentru protejarea informațiilor clasificate ale UE, JO L 274, 15.10.2013, versiune consolidată 14.08.2025.

Hotărârea Guvernului nr. 585/2002 pentru aprobarea Standardelor naționale de protecție a informațiilor clasificate în România, M. Of. nr. 485 din 5 iulie 2002, cu modificările ulterioare; Legea nr. 182/2002 privind protecția informațiilor clasificate.

Legea nr. 124/2025 pentru aprobarea Ordonanței de urgență a Guvernului nr. 155/2024, M. Of. nr. 638 din 7 iulie 2025.

Legea nr. 294/2024 privind reziliența entităților critice, M. Of. nr. 1189 din 29 noiembrie 2024.

Legea nr. 333/2003 privind paza obiectivelor, bunurilor, valorilor și protecția persoanelor, republicată, cu modificările ulterioare.

Ordonanța de urgență a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, M. Of. nr. 1332 din 31 decembrie 2024.

Ordonanța de urgență a Guvernului nr. 37/2026 pentru modificarea și completarea Legii nr. 333/2003, M. Of. nr. 381 din 6 mai 2026.

Regulamentul (UE) 2024/1689 de stabilire a unor norme armonizate privind inteligența artificială (AI Act), JOUE L, 12 iulie 2024.

Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei din 17 octombrie 2024 privind cerințele tehnice și metodologice ale măsurilor de gestionare a riscurilor în materie de securitate cibernetică (NIS2), JOUE L, 18.10.2024.

Regulamentul (UE) 2024/2847 privind cerințe orizontale de securitate cibernetică pentru produsele cu elemente digitale (Cyber Resilience Act).

Regulamentul (UE) 2026/1744 („Digital Omnibus on AI”), JOUE, 24 iulie 2026.

B. Standarde și ghiduri tehnice

IEC 62443 (seria), Security for industrial automation and control systems, în special IEC 62443-3-2 și IEC 62443-3-3.

ISO/IEC 27001:2022, Information security, cybersecurity and privacy protection — Information security management systems — Requirements, Anexa A (controalele 5.3, 7.8, 7.12, 8.22).

National Security Agency, Zoned Equipment Program (ZEP) and Zoned Products List, pagină publică arhivată (U.S. Government Web Archive, 2009).

NIST SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations, septembrie 2020.

NIST SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security, Stouffer, K. et al., septembrie 2023.

Rose, S., Borchert, O., Mitchell, S., Connelly, S., Zero Trust Architecture, NIST SP 800-207, august 2020.

SR EN 50131 (seria), Sisteme de alarmă la efracție și agresiune; SR EN 50136 (seria), Sisteme și echipamente de transmitere a alarmei.

SR EN 50173 (seria), Tehnologia informației — Sisteme generice de cablare; SR EN 50174 (seria), Instalarea cablării de telecomunicații.

C. Lucrări academice și monografii

Akerlof, G. A., „The Market for ‘Lemons’: Quality Uncertainty and the Market Mechanism”, Quarterly Journal of Economics, vol. 84, nr. 3, 1970, pp. 488–500.

Anderson, R., Security Engineering: A Guide to Building Dependable Distributed Systems, ediția a 3-a, Wiley, 2020.

Antonakakis, M. et al., „Understanding the Mirai Botnet”, în Proceedings of the 26th USENIX Security Symposium, 2017.

Cappelli, D. M., Moore, A. P., Trzeciak, R. F., The CERT Guide to Insider Threats: How to Prevent, Detect, and Respond to Information Technology Crimes, Addison-Wesley, 2012.

Guri, M., „LANTENNA: Exfiltrating Data from Air-Gapped Networks via Ethernet Cables Emission”, arXiv:2110.00104, 2021.

Hutchins, E. M., Cloppert, M. J., Amin, R. M., „Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains”, Lockheed Martin Corporation, 2011.

Kuhn, M. G., Anderson, R. J., „Soft Tempest: Hidden Data Transmission Using Electromagnetic Emanations”, în Information Hiding (IH 1998), LNCS vol. 1525, Springer, 1998.

Langner, R., „Stuxnet: Dissecting a Cyberwarfare Weapon”, IEEE Security & Privacy, vol. 9, nr. 3, 2011, pp. 49–51.

Perrow, C., Normal Accidents: Living with High-Risk Technologies, Basic Books, 1984.

Reason, J., Human Error, Cambridge University Press, 1990; Reason, J., „Human error: models and management”, BMJ, vol. 320, 2000, pp. 768–770.

van Eck, W., „Electromagnetic radiation from video display units: An eavesdropping risk?”, Computers & Security, vol. 4, nr. 4, 1985, pp. 269–286.

Vaughan, D., The Challenger Launch Decision: Risky Technology, Culture, and Deviance at NASA, University of Chicago Press, 1996.

D. Rapoarte, comunicate și surse online (accesate la 5 noiembrie 2026)

BleepingComputer, „Over 80,000 exploitable Hikvision cameras exposed online”, https://www.bleepingcomputer.com/news/security/over-80-000-exploitable-hikvision-cameras-exposed-online/.

Computerworld, „Target breach happened because of a basic network segmentation error”, 2014, https://www.computerworld.com/article/2487425/cybercrime-hacking/target-breach-happened-because-of-a-basic-network-segmentation-error.html.

Heimdal Security, „Moobot botnet targets unpatched Hikvision video systems”, https://heimdalsecurity.com/blog/moobot-botnet-targets-unpatched-hikvision-video-systems/.

Hunton Andrews Kurth, „FTC announces proposed settlement with security camera firm over alleged data security failures and CAN-SPAM violations”, https://www.hunton.com/privacy-and-cybersecurity-law-blog/ftc-announces-proposed-settlement-with-security-camera-firm-over-alleged-data-security-failures-and-can-spam-violations.

The Hacker News, „Creating wireless signals with Ethernet”, 2021, https://thehackernews.com/2021/10/creating-wireless-signals-with-ethernet.html.

Trellix Threat Labs, cercetare privind panourile de control acces HID Mercury, prezentată la Hardwear.io, 9 iunie 2022, https://www.trellix.com/blogs/research/trellix-threat-labs-uncovers-critical-flaws/; aviz CISA ICSA-22-153-01.

U.S. Senate Committee on Commerce, Science, and Transportation, A „Kill Chain” Analysis of the 2013 Target Data Breach, Majority Staff Report, 26 martie 2014.

Note

1. Legea nr. 333/2003 privind paza obiectivelor, bunurilor, valorilor și protecția persoanelor, republicată, cu modificările și completările ulterioare; Hotărârea Guvernului nr. 301/2012 pentru aprobarea Normelor metodologice de aplicare a Legii nr. 333/2003, M. Of. nr. 335 din 17 mai 2012.
2. Perrow, C., Normal Accidents: Living with High-Risk Technologies, Basic Books, New York, 1984. Perrow distinge între complexitatea interactivă și cuplarea strânsă (tight coupling) ca surse ale accidentelor „normale” în sistemele socio-tehnice.
3. Vaughan, D., The Challenger Launch Decision: Risky Technology, Culture, and Deviance at NASA, University of Chicago Press, Chicago, 1996.
4. Reason, J., Human Error, Cambridge University Press, Cambridge, 1990; Reason, J., „Human error: models and management”, BMJ, vol. 320, 2000, pp. 768–770.
5. Seriile SR EN 50173 (tehnologia informației, sisteme generice de cablare) și SR EN 50174 (instalarea cablării de telecomunicații). Standardele vizează interoperabilitatea și calitatea instalării, nu separarea domeniilor de securitate.
6. Hutchins, E. M., Cloppert, M. J., Amin, R. M., „Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains”, Lockheed Martin Corporation, 2011.
7. Rose, S., Borchert, O., Mitchell, S., Connelly, S., Zero Trust Architecture, NIST Special Publication 800-207, National Institute of Standards and Technology, august 2020.
8. ISO/IEC 27001:2022, Anexa A, controlul 5.3 (Segregation of duties) și 8.22 (Segregation of networks); NIST SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations, septembrie 2020, controalele AC-5 (Separation of Duties) și AC-6 (Least Privilege).
9. Relatarea faptelor: Computerworld, „Target breach happened because of a basic network segmentation error”, 2014, https://www.computerworld.com/article/2487425/cybercrime-hacking/target-breach-happened-because-of-a-basic-network-segmentation-error.html (accesat la 5 noiembrie 2026); U.S. Senate Committee on Commerce, Science, and Transportation, A „Kill Chain” Analysis of the 2013 Target Data Breach, Majority Staff Report, 26 martie 2014.
10. ISO/IEC 27001:2022, Anexa A, controalele 7.8 (Equipment siting and protection) și 7.12 (Cabling security).
11. van Eck, W., „Electromagnetic radiation from video display units: An eavesdropping risk?”, Computers & Security, vol. 4, nr. 4, 1985, pp. 269–286.
12. Kuhn, M. G., Anderson, R. J., „Soft Tempest: Hidden Data Transmission Using Electromagnetic Emanations”, în Information Hiding (IH 1998), Lecture Notes in Computer Science, vol. 1525, Springer, 1998; Anderson, R., Security Engineering, ediția a 3-a, Wiley, 2020 (capitolele despre canale laterale și securitatea emisiilor).
13. Guri, M., „LANTENNA: Exfiltrating Data from Air-Gapped Networks via Ethernet Cables Emission”, arXiv:2110.00104, octombrie 2021; sinteză în The Hacker News, „Creating wireless signals with Ethernet”, 2021, https://thehackernews.com/2021/10/creating-wireless-signals-with-ethernet.html (accesat la 5 noiembrie 2026). Distanța de aproximativ doi metri provine din demonstrația experimentală; cu antene dedicate, autorii estimează distanțe mai mari.
14. Sursele deschise: van Eck, W., „Electromagnetic Radiation from Video Display Units: An Eavesdropping Risk?”, Computers & Security, vol. 4, nr. 4, 1985, pp. 269–286; Kuhn, M. G., Compromising Emanations: Eavesdropping Risks of Computer Displays, University of Cambridge, Computer Laboratory, Technical Report nr. 577, 2003; National Security Agency, Zoned Equipment Program (pagină publică arhivată). Standardele și specificațiile de încercare aplicabile au distribuție restricționată sau clasificată și nu sunt descrise în acest studiu. Pentru informații clasificate naționale, v. Legea nr. 182/2002 privind protecția informațiilor clasificate și H.G. nr. 585/2002 pentru aprobarea Standardelor naționale de protecție a informațiilor clasificate în România; măsurile aplicabile se verifică în textele în vigoare.
15. H.G. nr. 585/2002, anexa (Standardele naționale de protecție a informațiilor clasificate): art. 237 (definiția INFOSEC, care acoperă expres securitatea emisiilor, și definiția TEMPEST ca ansamblu de măsuri împotriva scurgerii de informații prin emisii electromagnetice parazite); art. 259 alin. (2) (obligația unităților de a institui măsuri fizice, de personal, administrative, de tip TEMPEST și criptografice); art. 303 (sistemele care prelucrează secrete de stat vor fi protejate față de radiațiile compromițătoare – TEMPEST); art. 322 (acreditarea sistemelor înainte de utilizare). Textul citat este cel al H.G. nr. 585/2002 în forma consultată de autor; cerințele de detaliu privind testarea emisiilor revin autorității naționale competente.
16. Seria SR EN 50131 (sisteme de alarmă la efracție și agresiune) și SR EN 50136 (sisteme și echipamente de transmitere a alarmei). Nivelurile de siguranță și cerințele de supraveghere a căii variază în funcție de grad și de clasa de transmisie.
17. H.G. nr. 585/2002, art. 279 (zonele în care sunt amplasate sistemele care prelucrează informații clasificate se declară zone de securitate clasa I sau a II-a), art. 302 (echipamentele se instalează conform reglementărilor instituției naționale desemnate) și art. 322 alin. (2) (subsistemele și stațiile de lucru conectate se acreditează ca parte integrantă a sistemului). Standardele nu tratează expres sistemul de securitate fizică ca subsistem conectat; aceasta este o lacună de reglementare semnalată în secțiunea 8, nu o interpretare oficială.
18. Langner, R., „Stuxnet: Dissecting a Cyberwarfare Weapon”, IEEE Security & Privacy, vol. 9, nr. 3, 2011, pp. 49–51.
19. H.G. nr. 585/2002, anexa nr. 10/B (măsuri de protecție fizică a clădirilor și spațiilor în care se păstrează sau se concentrează informații clasificate), care enumeră printre măsuri sistemele automate pentru controlul accesului și sistemele de alarmă sau de detectare a intrușilor; art. 279 (zonele în care sunt amplasate sistemele care prelucrează informații clasificate se declară zone de securitate clasa I sau a II-a).
20. H.G. nr. 585/2002, art. 4, 7 și 8 (clasificarea informațiilor și listele stabilite de conducătorii unităților deținătoare).
21. ISO/IEC 27001:2022, Anexa A, controalele 5.3 (Segregation of duties), 8.2 (Privileged access rights) și 8.15 (Logging); NIST SP 800-53 Rev. 5, controalele AC-5 (Separation of Duties), AC-6 (Least Privilege) și AU-9 (Protection of Audit Information).
22. Cappelli, D. M., Moore, A. P., Trzeciak, R. F., The CERT Guide to Insider Threats: How to Prevent, Detect, and Respond to Information Technology Crimes, Addison-Wesley, 2012.
23. H.G. nr. 585/2002, art. 275 (sarcinile se atribuie astfel încât nicio persoană să nu aibă cunoștință sau acces la toate programele și cheile de securitate), art. 276 (separarea programării de exploatare), art. 277 (regula celor doi pentru orice modificare) și art. 280 lit. b) (zonele în care securitatea sistemului poate fi modificată nu sunt ocupate de un singur angajat autorizat). Atenție: art. 268 alin. (3) permite, după caz, cumularea de către un singur specialist a celor trei funcții de administrator de securitate (al sistemului, al rețelei și al obiectivului SIC); textul nu interzice, așadar, cumulul dintre aceste funcții, ci concentrarea accesului la toate cheile și parolele și modificările fără control în doi.
24. Decizia 2013/488/UE a Consiliului privind normele de securitate pentru protejarea informațiilor clasificate ale UE, în versiunea consolidată din 14.08.2025, anexa IV, secțiunea III, pct. 43. Același act, art. 10 alin. (5), cere măsuri TEMPEST pentru sistemele care gestionează informații clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL și la nivel superior, proporționale cu riscul de exploatare și cu nivelul de clasificare. Aplicabilitatea deciziei este limitată la informațiile clasificate ale UE, nu la cele naționale.
25. Directiva (UE) 2022/2555, art. 21 alin. (2), partea introductivă și lit. (d), (e) și (i). Separarea atribuțiilor nu este menționată expres în art. 21 din directivă, dar este prevăzută expres, pentru anumite entități digitale, în Regulamentul de punere în aplicare (UE) 2024/2690, anexa, pct. 1.2.5; ea derivă din standardele europene și internaționale la care alin. (1) trimite („atunci când este cazul”), precum ISO/IEC 27001, controlul 5.3, a cărui formulare exactă se verifică în textul standardului.
26. Ordonanța de urgență a Guvernului nr. 37/2026 pentru modificarea și completarea Legii nr. 333/2003, M. Of. nr. 381 din 6 mai 2026, care introduce Capitolul VI¹ (art. 49¹–49¹⁰). Textul consolidat în vigoare se verifică pe legislatie.just.ro.
27. Directiva (UE) 2022/2555 privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune (NIS2), art. 21 alin. (2); O.U.G. nr. 155/2024, M. Of. nr. 1332 din 31 decembrie 2024, aprobată prin Legea nr. 124/2025, M. Of. nr. 638 din 7 iulie 2025.
28. Directiva (UE) 2022/2557 privind reziliența entităților critice; Legea nr. 294/2024 privind reziliența entităților critice, M. Of. nr. 1189 din 29 noiembrie 2024, art. 13.
29. Regulamentul (UE) 2024/1689 de stabilire a unor norme armonizate privind inteligența artificială, JOUE L, 12 iulie 2024; Regulamentul (UE) 2026/1744 („Digital Omnibus on AI”), publicat în JOUE la 24 iulie 2026 și intrat în vigoare la 27 iulie 2026, care amână obligațiile pentru sistemele cu risc ridicat din Anexa III până la 2 decembrie 2027 și pe cele din Anexa I până la 2 august 2028.
30. Regulamentul (UE) 2024/2847 privind cerințe orizontale de securitate cibernetică pentru produsele cu elemente digitale (Cyber Resilience Act); obligațiile de raportare din art. 14 se aplică de la 11 septembrie 2026, iar restul regulamentului de la 11 decembrie 2027.
31. Surse pentru tabel: Computerworld (Target) și raportul Senatului SUA, citate în nota 9; Antonakakis, M. et al., „Understanding the Mirai Botnet”, în Proceedings of the 26th USENIX Security Symposium, 2017; BleepingComputer, „Over 80,000 exploitable Hikvision cameras exposed online”, https://www.bleepingcomputer.com/news/security/over-80-000-exploitable-hikvision-cameras-exposed-online/ și Heimdal Security, „Moobot botnet targets unpatched Hikvision video systems”, https://heimdalsecurity.com/blog/moobot-botnet-targets-unpatched-hikvision-video-systems/ (accesate la 5 noiembrie 2026); Hunton Andrews Kurth, „FTC announces proposed settlement with security camera firm over alleged data security failures and CAN-SPAM violations”, https://www.hunton.com/privacy-and-cybersecurity-law-blog/ftc-announces-proposed-settlement-with-security-camera-firm-over-alleged-data-security-failures-and-can-spam-violations (acordul include și o sumă de 2,95 milioane de dolari și obligația unui program de securitate a informațiilor, cu audituri externe; constatările FTC sunt acuzații în cadrul unui acord propus); Trellix Threat Labs, cercetare prezentată la Hardwear.io, 9 iunie 2022, https://www.trellix.com/blogs/research/trellix-threat-labs-uncovers-critical-flaws/ (cu trimitere la avizul CISA ICSA-22-153-01); Guri, M., arXiv:2110.00104.
32. Akerlof, G. A., „The Market for ‘Lemons’: Quality Uncertainty and the Market Mechanism”, Quarterly Journal of Economics, vol. 84, nr. 3, 1970, pp. 488–500.
33. Codul civil (Legea nr. 287/2009, republicată), art. 1349, 1350, 1357, 1516, 1530–1531.
34. Seria IEC 62443 (securitatea sistemelor de automatizare și control industrial), în special IEC 62443-3-2 (evaluarea riscului de securitate și proiectarea sistemului, cu conceptul de zone și conducte) și IEC 62443-3-3 (cerințe de securitate a sistemului); NIST SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security, Stouffer, K. et al., septembrie 2023.