Primăria Municipiului Iași a primit nota 6,6 din 10 la igiena de securitate cibernetică, sub media județului (7,1) și sub media națională (7,09), într-o evaluare independentă care a verificat aproape 2.500 de instituții publice din România. Instituția condusă de primarul Mihai Chirica se situează pe locul 51 din cele 64 de primării ieșene incluse în raport, sub zeci de comune din județ.
Datele apar în Barometrul Digital, primul carnet de note al statului român la igienă digitală, realizat de jurnalistul Mircea Șerdin cu ajutorul unui agent AI botezat Tyche, după zeița greacă a norocului. Raportul, publicat luna aceasta, a verificat 2.487 de instituții: primării, consilii județene, spitale județene, instituții centrale și operatori de utilități.
Ce a măsurat, de fapt, raportul
Potrivit metodologiei publicate de Barometrul Digital, evaluarea s-a bazat exclusiv pe măsurători pasive: ce vede orice vizitator al unui site și ce publică registrele deschise ale internetului, plus câteva cataloage de pe dark web. Autorii precizează că nu au scanat vulnerabilități, nu au testat parole și nu au accesat nimic protejat.
Nota finală rezultă din 13 factori tehnici, grupați pe cinci dimensiuni: securitatea e-mailului, criptare și certificate, configurare de securitate, suprafață expusă pe internet și igienă generală. O problemă gravă, cum ar fi lipsa criptării sau un port critic deschis, plafonează nota generală, indiferent cât de bine stau restul indicatorilor. Constatările tehnice concrete nu sunt publicate: ajung, gratuit și la cerere, doar instituției vizate, sub forma unui ghid de remediere.
Iașul, sub majoritatea comunelor din județ
Pentru județul Iași, cele 64 de primării verificate au o medie de 7,1, peste media națională, dar suficient de aproape încât Iașul să iasă în evidență prin poziția slabă a orașului reședință de județ. Pe cele cinci dimensiuni, fișa publică a Primăriei Iași arată un tablou contrastant: 10 din 10 la securitatea e-mailului, ceea ce înseamnă că instituția nu poate fi ușor impersonată prin mesaje false, 9 din 10 la igienă generală și 7 din 10 la criptare. Configurarea de securitate a site-ului, însă, e notată cu doar 4 din 10, iar suprafața expusă pe internet cu 5 din 10, ambele sub pragul pe care raportul îl consideră critic.
În fruntea clasamentului județean stau, de departe, comune mici: Belcești (8,5), Bivolari (8,4) și Alexandru I. Cuza (8,3) ocupă primele trei locuri, toate cu bugete infinit mai mici decât cel al municipiului reședință de județ. Tiparul se repetă la nivel național: municipiile au o medie de 6,8, sub comunele (7,1) și sub orașele mici (7,0), potrivit datelor din raport. Autorii propun o explicație: multe primării mici externalizează site-ul către furnizori specializați, care aplică aceleași reguli la zeci de clienți deodată, în timp ce administrațiile mari, cu infrastructură proprie, rămân adesea cu configurări vechi.
Ce arată radiografia la nivel național
Dincolo de cazul ieșean, raportul descrie o stare generalizată de neglijență tehnică ieftin de reparat. 502 instituții publice, adică una din cinci, expun pe internet porturi riscante, iar 117 dintre ele expun servicii critice, baze de date sau acces la distanță, disponibile oricui știe unde să caute. 158 de instituții rulează pe adrese cu vulnerabilități cunoscute și catalogate public de ani de zile. Șerdin trage un semnal de alarmă legat de acest din urmă tip de breșă: susține că seamănă cu vulnerabilitatea prin care, potrivit relatărilor publice, s-ar fi produs incidentul de la ANCPI, documentată încă din 2021 și nereparată de instituțiile afectate.
Aproape jumătate dintre instituții, 49,3%, nu au deloc protecție DMARC, ceea ce înseamnă că oricine poate trimite un e-mail care pare tehnic să vină de la o primărie sau altă instituție publică. 61,4% dintre site-uri au o configurare de securitate la nivel critic, iar 94,4% nu trec printr-un scut activ de tip WAF care ar filtra atacurile automate. 19 site-uri instituționale au criptarea complet compromisă: 13 funcționează fără HTTPS, iar 6 au certificatul expirat, deși certificatele gratuite se reînnoiesc automat din 2016. Veste bună: niciuna dintre instituțiile verificate nu figurează pe listele publice de phishing sau malware, iar niciun domeniu instituțional nu apare în cataloagele publice de breșe de date deja confirmate.
Reparații ieftine, spune autorul raportului
Șerdin susține că majoritatea problemelor identificate se pot rezolva în mai puțin de 24 de ore, prin simple modificări de configurare, fără costuri de licențiere. Recomandările din raport includ activarea DMARC și SPF pentru domeniile publice, HTTPS obligatoriu cu reînnoire automată a certificatelor, închiderea porturilor de administrare expuse public și un set minim de headere de securitate web pentru site-uri.
Instituțiile care vor să afle exact ce anume nu funcționează la ele pot solicita gratuit fișa tehnică a propriului domeniu, prin formularul de contact de pe barometrul-digital.ro. Autorii precizează că datele tehnice concrete nu ajung public nicăieri, ci doar instituției care le cere, tocmai pentru a nu oferi o hartă gata făcută atacatorilor.
Raportul complet, metodologia detaliată și catalogul cu notele tuturor celor 2.487 de instituții, inclusiv fișa fiecărei primării din județul Iași, sunt disponibile pe barometrul-digital.ro. Șerdin a publicat și un articol pe larg despre proiect pe platforma PressOne.
