În articolul anterior am arătat cum aș audita două cerințe CyFun: testarea designului controlului (ToD), testarea funcționării în timp (ToE) și legătura lor cu cele două scoruri, documentație și implementare. Acum vin cu întrebarea care contează: ce se întîmplă cînd auditorul se oprește la prima jumătate? Multe rapoarte de audit „conforme” arată de obicei cam…
Fără să am nici o idee despre cum vor arăta normele de audit pentru NIS2, fac un exercițiu/exemplu. (ca de obicei, fără pretenții de completitudine). Cum lucrează deci auditorul (sau cum ar trebui…..) astfel încît munca să fie ”audit” și nu altceva. Pentru că CyFun folosește o separare pentru „Scor documentație” și ”Scor implementare”, putem…
Guvernare / NIS / Securitate
Am ținut destule traininguri de securitate ca să știu cum arată de obicei: o sesiune anuală de două ore (sau mai puțin), o prezentare și, la final, o semnătură într-un tabel. Scenariul e cunoscut: spre sfîrșitul anului (cînd ”cineva” își aduce aminte că există un KPI ce trebuie bifat) vine un e-mail despre sesiunea obligatorie…
Vă propun un exercițiu de imaginație. O primărie de municipiu cumpără o aplicație pentru programări online. Proiectul costă cîteva sute de mii de lei, se termină la timp, procesul-verbal de recepție este semnat și, pe hîrtie, totul arată foarte bine. Doi ani mai tîrziu, aplicația este folosită de cîteva zeci de oameni pe lună. Cei…
Kalimera! Pe 3 iulie 2026 a apărut în Monitorul Oficial Legea nr. 119/2026 privind evidența și administrarea infrastructurii digitale publice. Titlul sună…..birocratic, dar legea atinge lucruri pe care le folosim zilnic: site-ul primăriei, emailul de la ANAF, numărul de telefon al spitalului sau aplicația prin care faci o programare. Pe scurt, legea obligă toate instituțiile…
Ordinul DNSC nr. 1/2026 a adus pe masa entităților esențiale și importante un set de peste 200 de controale, organizate după modelul CyFun 2025 (NIST CSF 2.0). Prima reacție, pe care o văd foarte des, este să se deschidă matricea de controale (fișierul Excel de pe situl DNSC) și să se înceapă să se bifeze,…
Fără prea multă introducere voi lua ca exemplul un control din Cyfun (Ordinul DNSC 1/2026 ) și voi arăta cum poate ajuta COBIT în implementare chiar dacă acest framework este destul de puțin folosit la noi. Cyfun GV.OC-03.1 Acest control stabilește: Cerințele legale și de reglementare privind securitatea cibernetică sau a informației trebuie identificate și…
Pe parcursul acestui an am descoperit pe internet o categorie nouă de magie profesională: „experți” care au constatat că, dacă introduci suficiente cuvinte precum „ISO 27001”, „risk assessment”, „control effectiveness” și „executive summary” într-un prompt, la final iese ceva care seamănă surprinzător de mult cu un audit. Uneori chiar arată foarte bine: are structură, matrice…
Abordarea implementării Cyfun (NIST CSF 2.0) pare că este înțeleasă de multe ori liniar/procesual. Și aici nu mă refer la ”hîrtiile” vîndute, unde chiar așa este abordată. De fapt cele șase funcții (Govern, Identify, Protect, Detect, Respond și Recover) nu reprezintă șase faze care se execută una după alta și apoi se încheie. NIST precizează explicit…
Intrarea în vigoare a Legii nr. 294/2024 privind reziliența entităților critice, alături de OUG nr. 155/2024, schimbă semnificativ modul în care organizațiile care furnizează servicii esențiale trebuie să privească infrastructura IT și OT. Dacă OUG 155/2024 este orientată către securitatea rețelelor și sistemelor informatice, Legea 294/2024 introduce perspectiva rezilienței serviciului esențial. Organizația trebuie să poată demonstra că serviciile sale…
