Centraleyezer: soluție RBVM pentru conformarea cu NIS2 și DORA, recomandată pentru infrastructura maritimă critică

FORUMUL SECURITATII MARITIME

Pe fondul creșterii atacurilor cibernetice asupra instituțiilor publice, Forumul Securității Maritime prezintă Centraleyezer, o platformă de tip Risk-Based Vulnerability Management (RBVM) dezvoltată pentru a sprijini organizațiile în îndeplinirea cerințelor impuse de directiva europeană NIS2 (transpusă în România prin OUG 155/2024) și de regulamentul DORA, aplicabil sectorului financiar din 2025.

Spre deosebire de scannerele clasice, care generează volume mari de descoperiri greu de gestionat și adesea contradictorii, Centraleyezer centralizează vulnerabilitățile identificate, elimină alarmele false și le prioritizează în funcție de impactul real asupra afacerii. Componenta de scanare ofensivă, eyezer, acoperă cinci arii principale: securitatea aplicațiilor web și API-urilor, expunerea domeniilor și a e-mailului, scurgerile publice de date (cod sursă, chei de acces, containere vulnerabile), serviciile de rețea expuse și monitorizarea continuă a infrastructurii. Platforma nu necesită instalări complexe — este suficientă introducerea unui domeniu sau a unui interval de IP-uri pentru ca procesul de descoperire și scanare să înceapă automat.

Rapoartele generate pot fi folosite ca dovadă de conformitate pentru NIS2, DORA, ISO 27001, PCI-DSS sau Cyber Resilience Act. Printre potențialii beneficiari se numără entitățile din sectoarele energie, transport (inclusiv ecosistemul Portului Constanța), sănătate, administrație publică și infrastructură digitală, alături de instituții financiare, furnizori de servicii de securitate gestionate (MSSP), companii din apărare și industrie, precum și companii mari cu suprafață extinsă de atac. Caracteristicile care diferențiază produsul — găzduire proprie (self-hosted), suport multi-tenant și maparea directă pe cerințele NIS2/DORA — îl recomandă în special organizațiilor cu nevoi stricte de suveranitate a datelor și presiune de reglementare.

Îmbunătățiți postura de securitate cibernetică a organizației cu Centraleyezer – platformă de Risk-Based Vulnerability Management (RBVM) – opinie a Forumului Securității Maritime

În contextul recentelor atacuri cibernetice care au avut ca țintă organizații din zona publică, vă aducem în atenție disponibilitatea unui instrument ce oferă suport pentru adoptarea de măsuri pentru consolidarea posturii de securitate și conformarea la reglementările în vigoare. Vă prezentăm o platformă de Risk-Based Vulnerability Management (RBVM) realizată, în principal, ca soluție la aplicarea cerințelor NIS2/DORA.

NIS2 (Directiva UE 2022/2555 privind securitatea rețelelor și sistemelor informatice) este directiva europeană care stabilește un cadru pentru armonizarea proceselor și standardelor de reziliență digitală, cu scopul de a consolida securitatea cibernetică în întreaga UE. Fiind directivă (nu regulament), fiecare stat membru o transpune prin legislație națională proprie, în România acest lucru fiind făcut prin OUG nr. 155/2024, aprobată și modificată prin Legea nr. 124/2025.

DORA (Digital Operational Resilience Act) este un regulament UE menit să consolideze reziliența operațiunilor digitale în sectorul financiar. Fiind regulament, se aplică direct, fără transpunere națională, și e primul cadru care permite supraveghetorilor din servicii financiare să monitorizeze furnizorii terți de servicii TIC critice, inclusiv furnizorii de cloud.

NIS2 cere evaluarea eficacității măsurilor de securitate aflate în vigoare, iar testarea proporțională susține acest lucru. Scanarea automată stă la baza mai multor obligații NIS2 simultan, susținând evaluarea continuă a riscurilor prin detectarea punctelor slabe în rețele, aplicații și sisteme înainte ca atacatorii să le exploateze, ceea ce alimentează direct cerințele de management al riscului.

Deși NIS2 nu impune testarea de penetrare la fel de prescriptiv ca DORA, stabilește o așteptare bazată pe risc: dacă infrastructura organizației gestionează servicii critice, trebuie să puteți demonstra că măsurile funcționează real în condiții simulate de atac.

Fiecare stat membru transpune NIS2 diferit, deci cerințele specifice variază, dar baza este clară: organizațiile trebuie să testeze, să documenteze și să remedieze.

În orice organizație care rulează cu regularitate scanări de securitate apare aceeași problemă: volumul. Un singur scanner poate genera mii de descoperiri într-o săptămână, iar când folosești trei sau patru instrumente diferite, rezultatele se suprapun, se contrazic și ajung în fișiere Excel pe care nimeni nu le mai deschide. Severitatea „critică” atribuită de scanner nu spune nimic despre ce înseamnă acea vulnerabilitate pentru continuitatea operațiunilor și a datelor tale.

Aici intervine categoria RBVM (Risk-Based Vulnerability Management), iar Centraleyezer este o platformă construită exact pentru această problemă.

Centraleyezer este o platformă de Risk-Based Vulnerability Management (RBVM) — adică un sistem care centralizează vulnerabilitățile descoperite de scannerele de securitate și le prioritizează după riscul real pentru business, nu după severitatea generică. Unifică inventarul de active, scorarea contextuală a riscului, dovezile de conformitate și urmărirea remedierii, astfel încât echipa de securitate să știe mereu ce trebuie reparat primul. eyezer este consola de scanare ofensivă din spatele Centraleyezer, prin intermediul ei realizându-se testarea dinamică a aplicațiilor, gestionarea suprafețelor de atac externe, scanarea OSINT, a secretelor și a containerelor și sondarea rețelei într-un singur loc, cu monitorizare automată recurentă care continuă să supravegheze după prima scanare.

Centraleyezer scanează tot ce este vizibil pe internet legat de organizația – site-uri, aplicații web, servere, domenii, subdomenii, e-mail și chiar cod sursă sau imagini de containere expuse din greșeală – și identifică punctele slabe pe care un atacator le-ar putea exploata. Practic, platforma „vede” infrastructura digitală a organizației exact cum ar vedea-o un hacker, înainte ca acesta să apuce să o exploateze.

Pentru a putea fi utilizată, nu sunt necesare instalări complicate: introduceți un domeniu, o adresă de site sau un interval de adrese IP, iar eyezer se ocupă de restul – hărțuiește automat subdomeniile, serverele expuse și resursele publice asociate brandului.

Platforma acoperă cinci zone principale de risc:

Aplicațiile web și API-urile – testează site-urile și aplicațiile companiei pentru sute de tipuri de vulnerabilități cunoscute, inclusiv cele din aplicațiile moderne bazate pe JavaScript.
Expunerea domeniului și a e-mailului – verifică dacă domeniul, certificatele de securitate și configurația de e-mail sunt corect protejate, prevenind falsificarea de e-mailuri sau preluarea unor subdomenii abandonate.
Expunerea publică ascunsă – caută repository-uri de cod, chei de acces sau parole uitate din greșeală în locuri publice, precum și imagini de containere vulnerabile.
Rețeaua și serviciile expuse – identifică porturile și serviciile deschise pe internet care ar putea reprezenta puncte de intrare pentru atacatori.
Monitorizare continuă – nu este o scanare unică, ci un proces recurent (orar, zilnic sau săptămânal, în funcție de abonament) care alertează echipa imediat ce apare o schimbare sau o nouă vulnerabilitate.

Rezultatele sunt ușor de interpretat. Fiecare vulnerabilitate identificată este verificată pentru a elimina alarmele false, este prioritizată în funcție de riscul real pentru afacere și este transformată într-o acțiune concretă, cu responsabil desemnat și termen de rezolvare. Rapoartele generate pot servi ca dovadă de conformitate pentru reglementări precum NIS2, DORA, ISO 27001, PCI-DSS sau Cyber Resilience Act – exact tipul de documentație pe care autoritățile sau partenerii de afaceri o pot cere.

Ce instituții sau societăți economice relevante ar putea fi interesate de Centraleyezer?

Răspunsul pornește de la ce diferențiază produsul: self-hosted (suveranitatea datelor), multi-tenancy (livrare de servicii către terți) și mapare NIS2/DORA (presiune de reglementare). Cine bifează cel puțin două dintre acestea este un candidat serios.

1. Entități sub incidența NIS2 — cel mai mare segment

Directiva NIS2 a fost transpusă în România prin OUG 155/2024, iar sectoarele vizate coincid aproape perfect cu profilul produsului:

Energie și utilități — producători și distribuitori de electricitate, gaze, petrol, operatori de rețea. Au infrastructură OT/IT mixtă, active foarte diverse și obligații stricte de raportare a incidentelor. Exemple de tip: Transelectrica, Transgaz, distribuitorii regionali, rafinării, operatorii de apă-canal.

Transport și logistică — porturi, aeroporturi, operatori feroviari, administrații portuare. Aici e relevant contextul local: Portul Constanța și ecosistemul din jur (Administrația Porturilor Maritime, operatorii de terminale, companiile de shipping și agenții maritimi) sunt exact tipul de entitate cu suprafață de atac mare, cerințe NIS2 și rezervă față de cloud-ul extern.

Sănătate — spitale județene și regionale, rețele private de clinici. Date sensibile, buget IT limitat, dar obligație de conformitate.

Administrație publică — ministere, agenții, consilii județene, primării de municipiu. Aici argumentul self-hosted e adesea decisiv, nu opțional.

Infrastructură digitală — furnizori de servicii cloud, centre de date, ISP-uri, registratori de domenii.

2. Sectorul financiar — presiune DORA

Băncile, societățile de asigurări, firmele de investiții, procesatorii de plăți și fintech-urile intră sub DORA din ianuarie 2025. Cerințele de testare a rezilienței operaționale digitale și de gestionare a riscului TIC fac dintr-un sistem cu piste de audit demonstrabile o necesitate, nu un lux. Cooperativele de credit și instituțiile financiare nebancare sunt un subsegment adesea ignorat de furnizorii mari — prea mici pentru Qualys sau Rapid7, prea reglementate ca să nu facă nimic.

3. Furnizorii de servicii de securitate (MSSP)

Pentru un MSSP, multi-tenancy-ul cu instanțe izolate și raportarea white-label nu sunt funcționalități, ci modelul de business. Un furnizor care gestionează 15–40 de clienți poate livra un serviciu de vulnerability management fără să construiască platforma intern. Aici intră: firmele de consultanță în securitate, integratorii IT care își extind oferta cu servicii managed, și companiile de audit tehnic care vor să treacă de la proiecte punctuale la abonamente recurente.

4. Apărare, industrie și infrastructură critică

Companiile din industria de apărare, producătorii cu contracte NATO sau clasificate, și operatorii de infrastructură critică națională au frecvent interdicție explicită de a trimite date de securitate în afara perimetrului propriu. Adiacent se înscriu organizațiile din producția industrială mare, șantierele navale, companiile cu automatizare extinsă.

5. Companii mari cu maturitate de securitate

Retail cu volum mare de tranzacții, telecom, eCommerce, gaming și operatori de pariuri — toți au obligații PCI-DSS și suprafață de atac semnificativă. Criteriul practic aici nu e sectorul, ci un semn concret: organizația rulează deja cel puțin trei scannere diferite și nu are un mecanism unificat de prioritizare.

Forumul Securității Maritime