EXCLUSIV. Directorul CERT-RO, despre cum să ne apărăm în mediul online

Augustin Jianu, directorul Centrului Național de Răspuns la Incidente de Securitate Cibernetică (CERT-RO), povestește pentru Q Magazine problemele României în mediul online.

Cine semnează, plătește!

„CERT este o instituţie tânără”, spune directorul ei, Augustin Jianu, la fel de tânăr. „Prin comparaţie cu Japonia sau Coreea unde CERT-urile naţionale s-au înfiinţat în anii ’90, sau SUA în 2003, CERT-RO a fost înfiinţat în 2011.”

23 de oameni lucrează la CERT, între care numai 8 sunt personal tehnic, restul personal administrativ. Practic, 8 oameni putem spune că sunt armata civilă de apărare a ţării. Chiar dacă organigrama prevede minimum 41 de posturi şi admiţând că ar fi ocupate în totalitate, ele ar fi insuficiente faţă de volumul enorm de muncă.

„Ne permitem să angajăm, problema este că oamenii nu vin. În 2015 am făcut o modificare legislativă, cu multă bătaie de cap, prin care efectiv am dublat salariile experţilor. Acum, un programator senior cu minimum 6 ani de experienţă ar lua undeva la vreo 3600-3900 lei. Pentru stat poate părea mult, dar în privat un junior, cu zero ani experienţă, se angajează de la 1000 de euro în sus. Vă puteţi da seama că e foarte greu să concurezi cu mediul privat, să angajezi tehnicieni buni şi dacă îi angajezi să îi şi reţii. De pildă, mă pot adresa unui junior şi pe lângă acest salariu, îi ofer şansa să evolueze mai mult decât ar face-o într-o corporaţie. Pentru că ar avea mai multe roluri, ar interacţiona cu mai mulţi oameni, activităţile ar fi mai diverse, tehnologiile cu care ar intra în contact ar fi mai diverse, dar după 2-3 ani de formare ar pleca”, spune Jianu.

Deşi creşterea salariilor în domeniul IT s-ar justifica, este greu de prevăzut cum ar reacționa piaţa la o asemenea măsură. Jianu crede că „în momentul în care statul ar mări salariile personalului contractual în domeniul IT, cei din privat le-ar mări şi ei şi s-ar perpetua lupta asta pentru resursa umană. Eu cred că am putea prelua modele folosite şi prin alte ţări; s-au mai lovit şi alţii de aceeaşi problemă. De exemplu în SUA, FBI, când are nevoie de expertiză pe care nu o deţine, contractează un PFA. Aşa pot angaja experţi pe o perioadă determinată. Îl angajez strict pentru un task anume şi când a finalizat se întoarce la compania de unde a venit.”  În cazul acesta avem o problemă cu legislaţia curentă şi există riscul ca inspectorii Curţii de Conturi să spună că banii statului au fost cheltuiţi nejustificat. Având în vedere că CERT este o instituţie de expertiză tehnică şi are 8 specialişti tehnici, activităţile trebuie să fie făcute exclusiv de ei. Justificarea pentru un contract extern trebuie să fie complexă şi explicaţia supraaglomerării celor angajaţi este foarte subiectivă în faţă unor organe de control care contabilizează cifre, nu domenii de activitate. „E complicat… Şi atunci, cine semnează, plăteşte!”, spune Jianu, decis să semneze cât mai puţin.

Una din soluţiile de recrutare pentru tineri experţi în IT au fost cele 3 internship-urile din 2015. „În primul rând am fost implicaţi în programul de internship al Guvernului. Am avut doi interni în zona de politici publice şi unul pe zona tehnică. Am avut de asemenea un parteneriat cu Universitatea Politehnică; 6 interni selectaţi din vreo 40. Am avut 2 şi de la Universitatea Naţională de Apărare. Derulăm în fiecare an programe de genul acesta. Ideea este să şi avem fondurile alocate la momentul respectiv, pentru ca, în cazul în care ne place unul dintre tinerii respectivi şi vrem să-i facem o ofertă, să-l putem angaja. Spre exemplu, am solicitat în 2015 pentru anul 2016, bugetarea tuturor celor 41 de posturi şi ne-au fost bugetate două posturi în plus. În acest caz este greu să faci o ofertă, pentru că nu ai pe ce să te bazezi.”

Privatul şi statul se exploatează reciproc

Domeniul securităţii cibernetice înregistrează o colaborare exemplară între stat şi mediul privat, unde tehnologia unora şi informaţiile altora se îmbină perfect pentru scopuri comune. Companiile au interesul să se promoveze, iar statul are interesul să le folosească expertiza. „Am avut, spre exemplu, un incident legat de o reţea de tip botnet şi am colaborat cu o firmă din România. Ei au făcut un vaccin, o soluţie dedicată care să dezinfecteze calculatoarele de acel tip de malware şi bineînţeles că şi-au făcut şi ei în aplicaţia de antivirus această actualizare. Noi am pus vaccinul pe site-ul nostru, liber, să-l descarce cine vrea, iar cei care au o problemă să şi-o poată rezolva. Sunt metode de cooperare şi încercăm să lucrăm în comun, atât cât se poate şi cât ne permite legea”, spune Jianu.

De-a lungul timpului, CERT a colaborat cu multe companii private atât străine, cât şi româneşti. Între ele se numără Microsoft, IBM, HP, Cisco, Dell, Palo Alto; companii mai puţin cunoscute, dar care sunt renumite în zona de securitate cibernetică, cum ar fi Team Cymru sau Shadowserver;  BitDefender, companie locală cu capital autohton, dezvoltată în România, dar care are întindere la nivel global sau firme mai mici, cum ar fi CertSIGN care a dezvoltat UTI-CERT, prin care oferă servicii externalizate de securitate cibernetică pentru  IMM-uri sau orice companie care nu are nici o competenţă internă de securitate cibernetică, dar are un site, un server de mail, câteva calculatoare şi vrea să îşi protejeze infrastructura.

2016. România a fost ţinta unei campanii de spionaj cibernetic, care a vizat politicieni şi industria aerospaţială. Avem motive să credem că operatorii reţelei APT28 sunt fie cetăţeni ruşi fie cetăţeni ai unei ţări vecine vorbitoare de limba rusă, potrivit raportului BitDefender.

„Când spun colaborare nu mă refer la o relaţie de tip client-furnizor” explică directorul CERT. „Colaborarea cu companiile de securitate se realizează pe diverse incidente, unde în general schimbăm informaţii şi derulăm activităţi în comun. Schimbăm informaţii, referitoare la noi tipuri de malware şi incidente.  Uneori putem corela o informaţie de genul acesta cu o informaţie venită de la o victimă care ne spune că a avut un anumit tip de atac într-o anumită perioadă etc. Deci acesta este genul de informaţii pe care le schimbăm. Cooperăm foarte bine cu ei şi în zona creşterii gradului de conştientizare. Facem împreună conferinţe pe subiecte de interes comun, training-uri etc. Chiar anul trecut, după ce am lansat proiectul pilot al Centrului de Inovare, am făcut un training cu impact regional, care a fost foarte bine primit. Am avut 14 participanţi din 12 ţări din regiune, şi aici mă refer la Europa de Est şi regiunea Mării Negre. Aceşti experţi au venit la noi pentru training în analiză malware şi răspuns la incidente. Training-ul a fost derulat în parteneriat cu BitDefender şi CertSIGN. Am derulat training-uri şi cu alte companii, cum ar fi Palo Alto dar pe zona naţională. Experţii pregătiţi au fost fie din sectorul privat (instituţii financiar-bancare etc.) fie din sectorul public. Din punctul nostru de vedere, cu cât experţii în securitate cibernetică, din zona guvernamentală, cunosc mai multe soluţii şi mai multe metode de a rezolva o problemă, cu atât mai bine.”

Marile provocări

Jianu declara că marile lui provocări în funcţia pe care o deţine sunt „sub-finanţarea, birocraţia, uneori şi orgoliile”. „Este greu să îţi faci loc ca instituţie într-o zonă unde deja există altele consacrate; deşi niciuna civilă. Practic noi suntem singura entitate guvernamentală civilă care se adresează şi cetăţenilor şi companiilor. Noi suntem singurii unde un cetăţean poate să sune să spună «am fost virusat, ce pot să fac?».”

Îl întreb  pe interlocutorul meu ce înseamnă orgolii, într-un domeniu în care scopul tuturor ar trebui să fie protecţia infrastructurilor şi a cetăţenilor care au acces la anumite servicii publice prin internet. „Aş prefera să nu intru în detalii. Se întâmplă, în administraţia publică, chiar dacă în principiu ar trebui să fim toţi de aceeaşi parte a baricadei, ca uneori, anumite persoane să nu înţeleagă ce vrei să faci, de ce vrei să faci, care e motivaţia ta, şi atunci dintr-o înţelegere eronată să blocheze anumite demersuri.” Deşi numărul atacurilor cibernetice din 2015 a scăzut faţă de 2014, acesta se menţine, în continuare, ridicat. Paradoxul este că, deşi avem cifre exacte, nu putem avea o evaluare exactă atât timp cât 10 alerte pot proveni de la un singur utilizator care foloseşte mai multe device-uri sau cât nu există obligativitatea raportărilor incidentelor cibernetice.

„Pentru anul 2015 avem înregistrat un număr de 68 de milioane de alerte. Este adevărat, în scădere faţă de 2014, când am avut 78 de milioane. Dar această scădere este nesemnificativă. Alertele sunt primite de la diferiţi senzori instalaţi în infrastructuri din interiorul şi din afara ţării, în general ale unor terţi. Sunt senzori instalaţi în infrastructurile lor proprii şi ne alertează că sunt atacaţi de anumite IP-uri din România. Asta de obicei înseamnă că în spatele acelor IP-uri sunt dispozitive compromise cu malware sau vulnerabile şi sunt folosite ca amplificatori de atac. Nu reflectă sută la sută situaţia curentă şi postura de securitate a României. Reflectă numai activitatea noastră, ceea ce sistemele noastre au procesat într-un an. Cu siguranţă numărul de alerte referitoare la incidente poate fi mult mai mare, numai că noi nu le vedem; nu ştim de ele pentru că nu le raportează nimeni. Acestea sunt doar cele pe care le vedem noi şi ceea ce ni se raportează”, explică Jianu.

Care este cea mai atacată instituție din România? „Chiar dacă aş şti, nu aş putea să vă spun. Nu ştim, pentru că nu avem senzori în toate instituţiile din România. Chiar dacă am avea, nu am putea spune decât unde înregistrăm cele mai multe atacuri cunoscute. Orice soluţie de securitate poate proteja numai împotriva atacurilor cunoscute sau similare celor cunoscute. Un atac complet nou poate fi nedetectabil. Conform raportului anual din 2015 al companiei Mandiant, în cazul acestor atacuri numite APT (Advanced Persistent Threat) numărul mediu de zile de la infecţie şi până la detecţie şi dezinfecție este de 205 zile, timp în care atacatorul stă în reţeaua ta şi tu habar nu ai. Cea mai mare greşeală în domeniul cibernetic este să ai impresia că eşti în siguranţă sau că, dacă am instalat nişte echipamente şi avem niște politici de securitate, este exclusă orice problemă.” Aşadar, într-o lume interconectată, nimeni nu e sigur. Astăzi, mai mult decât atât, în perspectiva „internetului lucrurilor” în care o serie de aparate casnice şi de uz personal vor fi conectate la internet, vom fi tot mai vulnerabili la atacurile cibernetice. „Depinde foarte mult cine se îndreaptă împotriva ţintei. Securitatea este un concept pe care omul l-a inventat şi care nu există în natură. Este un deziderat şi la fel se reflectă şi în spaţiul cibernetic”, spune cumva resemnat Augustin Jianu.

Ne trebuie Legea! Imperativ

Deşi avem o Strategie a Securităţii Cibernetice, ne luptăm încă (statul cu societatea civilă) să avem şi o Lege în domeniu. Cum şi cât ne costă acest vid legislativ, este o întrebare la care angajaţii statului pot răspunde mai exact, faţă de oamenii simpli, cele două categorii operând cu valori şi concepte comune, dar şi diferite uneori. „Dacă ar fi să spun cine trebuie să promoveze acest cadru legislativ, aş spune: toată lumea. Cine este de vină pentru că nu îl avem? Nimeni. De ce să dăm vina unii pe alţii? Nu pot să spun că unii sunt mai vinovaţi decât alţii. Însă faptul că nu avem încă o lege ne poate costa foarte mult… Nici nu vă daţi seama… Având în vedere că nu există obligativitatea de a raporta incidentele, nici măcar în cazul instituţiilor de stat. Dacă cineva constată că sistemul său a fost infectat cu un anumit tip de malware, poate soluţiona problema intern, şi poate să ascundă totul „sub preş”, să nu ştie nimeni ce s-a întâmplat. Dar este posibil ca atacatorul să fi luat nişte date de acolo şi nimeni să nu ştie nimic pentru că nu sunt obligaţi să raporteze. De pildă, banca la care sunt eu client este atacată şi ea nu are nici o obligaţie să anunţe statul sau să mă anunţe pe mine, clientul. Dacă în lumea reală anumite incidente se pot vedea, în lumea virtuală, pentru a le putea redresa, trebuie mai întâi detectate”, explică Jianu.

La una din dezbaterile publice organizate de Ministerul Comunicaţiilor, iniţiatorul noului proiect de Lege al Securităţii cibernetice, problemele celor din public au fost de genul „de ce stă reprezentantul SRI la masă de prezidiu şi nu în sală?”, în timp ce alţi participanţi au declarat de la microfon că până acum „marile puteri ne stăpâneau economic, acum vor să ne controleze şi cibernetic.” Unul dintre cei prezenţi ne-a povestit chiar cum imediat după ce şi-a anunţat printr-un email participarea la dezbatere, statul român i-a atacat emailul, site-ul, blogul, site-urile prietene şi „viaţa virtuală” în general. Cu astfel de interlocutori este greu să faci discuţii aplicate despre ameninţările la care sunt supuse infrastructurile statului român, pentru că este un dialog al surzilor.

48% din IMM-uri  au folosit securitate web în 2015, faţă de 59% în 2014. 29%  utilizează instrumente de patch şi configurare în 2015, în comparaţie cu 39% în 2014.

„Da, într-adevăr, există o temere în promovarea unei astfel de legi, pentru că ultima dată când s-a promovat o astfel de lege a fost greşit înţeleasă, însă drepturile omului pe care le reclamă toată lumea se pot respecta. În momentul în care punem din start eticheta de „lege Big Brother” sau punem „la pachet” proiectul de Lege privind securitatea cibernetică, cu Legea privind cartelele prepay, cu Legea privind retenţia datelor, este clar că pornim cu o opinie preconcepută”, spune Jianu, prezent şi el la dezbaterea de la Ministerul Comunicaţiilor.

Proiect de ţară – „centru de gravitaţie”

Dacă la nivelul zonei de intelligence avem un rol de lider în arhitectura  securităţii cibernetice a Ucrainei, la nivel non-militar, CERT România a sprijinit alte ţări pentru că, potrivit lui Jianu, „orgoliul şi interesul nostru ar fi să devenim un centru de gravitaţie în regiune în problematica securităţii cibernetice.” „Pentru orice ţară vecină care şi-a dorit să vină către noi, am avut şi vom avea în continuare training-uri pentru experţii tehnici pe zona civilă. Am avut activităţi în care am cooptat toate ţările, de la cele baltice până în Balcani, şi inclusiv regiunea Marii Negre. Toate ţările au fost invitate să participe şi am avut feedback foarte pozitiv. România are şi expertiza şi resursa umană necesară.”

Ne luptăm cu ruşii, chinezii şi nord-coreenii care sunt cei mai activi potrivit unor rapoarte în domeniu. Jianu spune că la întrebarea „dacă îi putem bate sau este o luptă inegală” nu poate răspunde reprezentantul unei instituţii civile, dar precizează că nici statul român şi nici România ca ţară nu are capacităţi ofensive în acest domeniu. „Nu avem astfel de capabilităţi şi nu cred că este o idee bună. Ceea ce noi trebuie să facem este să ne concentrăm pe metode de securizare şi să acordăm atenţie sectoarelor cheie: comunicaţii, sector bancar, infrastructuri de interes naţional etc. Dar trebuie să avem în vedere şi apărarea colectivă la nivelul tuturor cetăţenilor ţării, prin creşterea nivelului de securitate şi al gradului de conştientizare. Dacă reuşesc să conving cât mai mulţi cetăţeni că un click pe o reclamă bizară s-ar putea să le afecteze calculatorul, iar ei nu vor mai da acel click, este un câştig pentru noi toţi.”

EXCLUSIV Q MAGAZINE. COSMOIU, SRI: SUNTEM ÎN RĂZBOI!

La polul opus, în Statele Unite, de pildă, Cyber Command  – o versiune virtuală a SEAL Team Six – va număra anul acesta 6000 de angajaţi.

Grupul este responsabil pentru apărarea reţelelor de infrastructură şi de informaţii critice naţionale, precum şi pentru asistarea operaţiilor ofensive. Un segment, Combat Cyber Mission Force „oferă sprijin cibernetic pentru comandanţii combatanţi din întreaga lume”, potrivit unui site web al Departamentului de Apărare SUA.

Hackerii nu sunt angajaţi după o infracţiune

Vorbind despre celebrii hackeri români care „au speriat vestul”, Augustin Jianu laudă performanţele DIICOT despre care spune că „fac o treabă extraordinară”. În acelaşi timp ţine să demoleze prejudecata potrivit căreia toţi cei care sparg un site sunt hackeri și mitul că unii dintre aceştia, prinşi şi condamnaţi, sunt apoi angajaţi de stat.

„Mulţi dintre escrocii şi infractorii cibernetici nu sunt hackeri. Sunt doar nişte escroci şi nişte infractori care folosesc mijloace electronice, atât. Când vorbim de hackeri, aici se pot identifica mai multe categorii. Există hackeri care acţionează singuri şi sunt motivaţi de faimă sau recunoaştere. Însă cele mai periculoase sunt grupările infracţionale, care au şi ceva experienţă pe zona tehnică, şi bineînţeles actorii statali. DIICOT face o treabă excepţională în destructurarea şi anihilarea acestor grupări care acţionează pe teritoriul României.

Al doilea aspect pe care ţin să îl subliniez este că nicio instituţie nu recuperează hackerii „de partea bună a cauzei”. Există mitul acesta conform căruia hackerii prinşi nu intră la închisoare, ci ajung să lucreze pentru stat. Este doar un mit. Toţi cei tentaţi trebuie să fie conştienţi că îi aşteaptă ani grei de închisoare. În plus, un hacker cu cazier nu prezintă încredere nici pentru stat, nici pentru sectorul privat. Cel mai bun indicator al comportamentului viitor este comportamentul trecut. Deci cum s-a purtat până acum, se va purta şi de acum încolo.” Jianu spune că piaţa cybercrime este în continuă dezvoltare. „A existat Silkroad, apoi Silkroad 2.0. Piaţa aceasta neagră tranzacţionează orice care nu se poate tranzacţiona în mod normal, pentru că este ilegal. Se tranzacţionează online pe forumuri, unde nu are acces oricine, prin servicii anonimizate, prin ToR sau I2P, se tranzacţionează inclusiv informaţii, malware etc.

De pildă, dacă un atacator vrea să obţină o informaţie de la o anumită ţintă, dar nu are skill-urile necesare, însă are bani, poate să cumpere un malware-ul special sau să cumpere direct rezultatele. Angajează pe altcineva să-i facă treaba şi cumpără doar informaţia. Există într-adevăr piaţa aceasta şi se fac eforturi mari la nivelul organismelor internaţionale pentru a destructura activităţile ilegale.”

Să facem şi să nu facem!

Îl întreb pe directorul CERT care sunt sfaturile lui pentru publicul larg, ce să facă şi ce să nu facă utilizatorii internetului. „O să încerc să sintetizez cele 3 lucruri cheie, dar trebuie să înţelegem că, spre deosebire de alte tehnologii casnice, atât calculatorul, cât şi internetul sunt tehnologii foarte complexe. Ce să facă? Să-şi facă actualizările sistemului de operare şi ale aplicaţiilor. În momentul în care un „progrămel” te tot bâzâie că a apărut o versiune nouă, trebuie să-l actualizezi. Dintr-o problemă minoră ca aceasta, în Adobe Reader, Flash Player sau în Java, care sunt printre cele mai vulnerabile, poate să îţi fie compromis sistemul şi un atacator poate căpăta acces total la calculatorul tău sau la tableta ta, doar pentru că la un moment dat nu ţi-ai făcut o actualizare. Să folosească un minim de soluţii de securitate, chiar şi un anti-virus gratuit. Orice soluţie e mai bună decât nicio soluţie, şi în principiu să aibă grijă pe ce anume  dau click! Să nu deschidă e-mailuri suspecte, să nu descarce ataşamente şi să nu le deschidă. Am primit şi primesc de la cunoscuţi tot felul de e-mailuri cu powerpoint-uri. În acel powerpoint se poate ascunde cu uşurinţă un malware. Dacă acest e-mail primit de un prieten, conţine un troian, şi el simte că trebuie să-l împărtăşească cu mine şi cu alţii, atunci toţi cei care îl primesc pot fi compromişi.”

Un raport recent atrăgea atenţia că  telefoanele android sunt cele mai vulnerabile. Augustin Jianu spune însă că  „toate dispozitivele sunt vulnerabile fie pe Android, Windows sau iOS. De exemplu există acest mit că sistemele de operare pentru Mac nu au viruşi, că nu sunt vulnerabile sau că sunt cele mai sigure. Dacă ne uităm în baza de date CVE  (Common Vulnerabilities and Exposures), o să vedem că în 2015 cele mai multe vulnerabilităţi au fost de Mac OS X şi iOS. Deci este mai mult o poveste de marketing. Este important să depăşim aceste mituri şi să privim obiectiv realitatea: Cu cât este mai folosită o tehnologie, cu atât este mai vizată de atacatori.”

Despre reuşite

În dreptul eşecurilor, Augustin Jianu spune că sunt destule. „Sunt multe lucruri pe care am încercat să le facem, dar nu am reuşit. În 2014 am fost numit director la CERT-RO şi de atunci sunt aici şi încerc să fac instituţia asta să meargă. Până de curând (septembrie 2014) nu era permisă angajarea de personal în proiecte, decât prin acest mecanism de clase de salarizare, pe care angajatul le primea până la un maximum de aproximativ 62.5% din salariul brut. Mulţi beneficiari ocoleau acest mecanism şi angajau experţi externi, prin contracte civile sau alte mecanisme decât salarizarea normală. Într-un proiect transnaţional, partenerul din Grecia sau din Spania spre exemplu, este plătit cu mii de euro, iar partenerul român cu câteva sute de lei. Înţelegând problema, Guvernul a modificat prin Ordonanţă de Urgenţă Legea-cadru 284/2010 privind salarizarea unitară şi a adăugat faptul că se poate angaja personal în afara organigramei, pe perioadă determinată, la salariul stipulat în contractul de finanţare. Am reuşit să punem această instituţie pe hartă, să existăm;  din punct de vedere al comunicării şi al creşterii gradului de conştientizare am înregistrat progrese; din punct de vedere al parteneriatelor şi al surselor din care primim alerte, iarăşi am crescut şi am dezvoltat parteneriate cheie în ultimul an; din punct de vedere al salariilor, am reuşit să le aduc la un nivel cât de cât decent pentru zona de IT. Dar cu toate acestea, nu am reuşit să angajez pe nimeni. Am publicat pe e-Jobs anunţuri şi nu s-a înscris nimeni, pentru că în momentul în care îi ceri 6 ani şi 6 luni de experienţă, studii superioare, şi oferi 3700 de lei pentru o poziţie de programator, nu o să vină nimeni. Iar acesta este un eşec. O să încercăm să ne îndreptăm către zona de juniori, către tinerii absolvenţi, şi o să menţinem programele de internship şi parteneriatele pe care le avem cu facultăţile şi universităţile de profil. Sunt multe lucruri, acesta este doar un exemplu. Sunt multe lucruri pe care nu le-am putut face din cauza unor probleme de sistem. Nu aş pune degetul doar pe subfinanţare. Subfinanţarea este una; hăţişurile birocratice, vidul legislativ, sunt multe probleme. Lucrurile se vor îndrepta dacă din ce în ce mai mulţi tineri capabili vor intra în administraţie sau în viaţa publică să aducă efectiv o contribuţie, nu doar să remarce de pe margine aceste probleme.”

Într-o privire globală, trecut şi prezent, Jianu spune că trecerea de la informaţiile stocate pe hârtie la cele stocate în virtual este o evoluţie normală, chiar dacă orice tehnologie prezintă riscuri. „Nu văd de ce IT-ul ar fi o excepţie. Mai e mult până se va maturiza, dar vom ajunge la un nivel de maturitate unde riscurile se vor diminua considerabil.”

Augustin Jianu are 29 de ani şi conduce CERT din 2014. Licenţiat al Facultăţii de Automatică şi Calculatoare din cadrul Universităţii „Politehnica” din Bucureşti, Jianu a deţinut diferite poziţii în companii din sectorul privat, de la dezvoltator de software la manager de proiect IT.  Este expert în IT şi are experienţă în management şi elaborarea de politici. Înainte de CERT a fost consilier al Ministrului pentru Societatea Informaţională (n.r. Răzvan Cotovelea) şi a fost implicat în  mai multe proiecte care au vizat  dezvoltarea sistemelor de e-guvernare şi servicii, infrastructură de internet în bandă largă şi cooperarea internaţională. Deţine certificări în securitate cibernetică şi managementul proiectelor.