Oricine înființează o companie își dorește ca aceasta să înflorească pe zi ce trece, iar, pentru a face asta, trebuie să se asigure că riscurile venite din afară și la fel și vulnerabilitățile interne sunt manageriate într-un mod corect pentru ca acestea să nu afecteze afacerea.
În ultimii ani, atacurile cibernetice sunt din ce în ce mai dese și din ce în ce mai credibile, astfel că uneori este greu de-a dreptul să îți dai seama ce se întâmplă până să se producă o nenorocire. A avea angajați de încredere din acest domeniu contează foarte mult, însă, dacă dorești să înveți chiar tu mai multe despre acest subiect atât de important, sau să îți informezi angajații, îți recomandăm să te documentezi din surse sigure despre ce face un responsabil NIS și vei ști chiar și tu cum să previi sau cum să reacționezi în cazul unui atac.
Asta mai ales deoarece și în România este implementată NIS2, Directiva (UE) 2022/2555 privind securitatea rețelelor și a sistemelor informatice, transpusă în România prin OUG nr. 155/2024. Aceasta obligă entitățile esențiale și importante la măsuri de gestionare a riscurilor, la raportarea incidentelor și la instruirea personalului, inclusiv a conducerii, după cum ne spun și cei de la APSAP, furnizor de formare pentru securitate cibernetică autorizat de Directoratul Național de Securitate Cibernetică (DNSC), în baza Autorizației seria EFS nr. 7010 din 16.09.2024.
Ce este managementul riscurilor?
Atunci când vorbim despre managementul riscurilor ne referim la toți pașii prin care companiile trec pentru a identifica, analiza și evalua toate riscurile pe care le are de gestionat pentru ca, atunci hackeri sau alte persoane rău voitoare încep să atenteze la sistemele informatice care pot să ducă la breșe de securitate, să nu afecteze confidențialitatea, integritatea și disponibilitatea tuturor datelor cu care compania lucrează.
Cum faci managementul riscurilor?
Există o serie de pași prin care orice companie responsabilă trebuie să treacă pentru a avea parte de un management al riscurilor fără probleme și pentru ca reputația acesteia să fie integră.
1. Identificarea activelor
Primul pas este identificarea activelor, printre care se numără serverele și toate echipamentele IT cu care se lucrează, rețelele informatice, aplicațiile pe care angajații le folosesc, bazele de date cu care se lucrează mai des sau mai rar, informațiile confidențiale care sunt stocate de către companie, utilizatorii tuturor acestor dispozitive și accesul acordat fiecăruia dintre ei.
2. Identificarea pericolelor
Cel de-al doilea pas este identificarea pericolelor la care toate cele de mai sus sunt expuse prin munca pe care o depun. Dintre aceste amenințări, cel mai des întâlnite sunt atacurile ransomware, phishing-ul, malware-ul și spyware-ul, accesul neautorizat al persoanelor la baze de date sau aplicații, furtul credențialelor de către terți, întreruperile neașteptate de energie sau alte erori umane care pot să pună în pericol munca echipelor.
3. Identificarea vulnerabilităților
Al treilea pas este identificarea vulnerabilităților la care sunt cel mai des expuși membrii echipelor și care pot să fie cel mai ușor țintite de către răuvoitori. Cele mai des întâlnite vulnerabilități sunt parolele slabe sau care se repetă pentru mai multe conturi, lipsa de update a softurilor cu care aceștia lucrează, lipsa criptării datelor, lipsa copiilor criptate – în caz că ceva se întâmplă cu datele originale – și lipsa monitorizării activității desfășurate de angajați.
4. Analiza riscurilor
După ce au fost identificate amenințările și vulnerabilitățile, se trece la următorul pas, care este analiza riscurilor. Aceasta începe cu calcularea posibilității unui atac sau a oricărui alt incident nedorit, cu evaluarea impactului pe care acesta poate să îl aibă asupra organizației, a resurselor care ar fi afectate, dar și a consecințelor juridice și financiare la care firma ar putea fi supusă. În plus, este foarte important de evaluat modul în care ar putea să îi fie afectată reputația.
Bogdan-Costin Fârșirotu, Președintele Centrului de Formare APSAP, a precizat într-un articol extins: „NIS2 nu este un exercițiu birocratic și nici o simplă formalitate. Este o schimbare de mentalitate. Orice organizație vizată care tratează superficial această reglementare își asumă riscuri financiare, reputaționale și operaționale majore. Conducerea trebuie să înțeleagă că lipsa pregătirii și a conformării poate costa mult mai mult decât investiția în prevenție, formare și audit.„.
Responsabilul NIS sau responsabilii dintr-o organizație sunt cei care se ocupă în detaliu de toate cele de mai sus în așa fel încât compania să nu fie afectată decisiv de pericolele la care ar putea fi expusă. Tocmai de aceea, prezența lor într-o companie este nenegociabilă și prezintă o mare importanță.
Întrebări frecvente:
Ce este Directiva NIS2?
NIS2, Directiva (UE) 2022/2555, este cadrul european privind securitatea rețelelor și a sistemelor informatice, transpus în România prin OUG nr. 155/2024. Obligă entitățile esențiale și importante la măsuri de gestionare a riscurilor, raportarea incidentelor și instruirea personalului, inclusiv a conducerii.
Cine trebuie să desemneze un responsabil NIS?
Entitățile esențiale și importante care intră sub incidența OUG nr. 155/2024, din sectoare precum energie, transporturi, sănătate, infrastructură digitală sau servicii IT. Responsabilul monitorizează conformitatea, gestionează riscurile și asigură legătura cu autoritățile în cazul incidentelor de securitate.
Credite foto:
https://unsplash.com/photos/programming-code-abstract-technology-background-of-software-developer-and-computer-script-ltpb_WinC3Y
https://unsplash.com/photos/woman-in-black-shirt-sitting-beside-black-flat-screen-computer-monitor-Im_cQ6hQo10
