Să presupunem că o organizație a externalizat integral administrarea infrastructurii IT către un MSP și serviciile de securitate cibernetică către un MSSP: nu are administratori de sistem, nu are un SOC propriu și nici specialiști care să gestioneze direct vulnerabilitățile sau incidentele de securitate. Are însă contracte, SLA-uri, rapoarte periodice și, cel puțin teoretic, acces…
O videoconferință de 25 de milioane de dolari În 2024, un angajat al companiei de inginerie Arup din Hong Kong a participat la o videoconferință în care păreau să fie prezenți directorul financiar și mai mulți colegi. I s-a cerut să efectueze o serie de transferuri. Le-a făcut: aproximativ 200 de milioane de dolari Hong…
Audit / Guvernare / NIS / Securitate
Același program de testare a securității, cu aceleași dovezi, poate primi un scor de maturitate oriunde între 2,0 și 3,5, fără ca vreun evaluator să greșească. Diferența vine din decizii pe care metodologia le lasă în seama evaluatorului. Ordinul DNSC nr. 1/2026 cere entităților esențiale și importante o autoevaluare anuală a maturității, control cu control.…
Definirea corectă a scopului (Goal), obiectivelor (Objectives) și domeniului de aplicare (Scope) este o cerință ITAF (și probabil va fi și în legislație) pentru planificarea activităților, colectarea dovezilor și formularea unor concluzii relevante în cadrul unu audit. Deși aceste concepte sînt strîns legate, ele au roluri distincte: Scopul exprimă finalitatea generală a auditului, Obiectivele stabilesc…
Audit / NIS / Securitate
În articolul anterior am arătat cum aș audita două cerințe CyFun: testarea designului controlului (ToD), testarea funcționării în timp (ToE) și legătura lor cu cele două scoruri, documentație și implementare. Acum vin cu întrebarea care contează: ce se întîmplă cînd auditorul se oprește la prima jumătate? Multe rapoarte de audit „conforme” arată de obicei cam…
Fără să am nici o idee despre cum vor arăta normele de audit pentru NIS2, fac un exercițiu/exemplu. (ca de obicei, fără pretenții de completitudine). Cum lucrează deci auditorul (sau cum ar trebui…..) astfel încît munca să fie ”audit” și nu altceva. Pentru că CyFun folosește o separare pentru „Scor documentație” și ”Scor implementare”, putem…
Am ținut destule traininguri de securitate ca să știu cum arată de obicei: o sesiune anuală de două ore (sau mai puțin), o prezentare și, la final, o semnătură într-un tabel. Scenariul e cunoscut: spre sfîrșitul anului (cînd ”cineva” își aduce aminte că există un KPI ce trebuie bifat) vine un e-mail despre sesiunea obligatorie…
Vă propun un exercițiu de imaginație. O primărie de municipiu cumpără o aplicație pentru programări online. Proiectul costă cîteva sute de mii de lei, se termină la timp, procesul-verbal de recepție este semnat și, pe hîrtie, totul arată foarte bine. Doi ani mai tîrziu, aplicația este folosită de cîteva zeci de oameni pe lună. Cei…
Kalimera! Pe 3 iulie 2026 a apărut în Monitorul Oficial Legea nr. 119/2026 privind evidența și administrarea infrastructurii digitale publice. Titlul sună…..birocratic, dar legea atinge lucruri pe care le folosim zilnic: site-ul primăriei, emailul de la ANAF, numărul de telefon al spitalului sau aplicația prin care faci o programare. Pe scurt, legea obligă toate instituțiile…
Ordinul DNSC nr. 1/2026 a adus pe masa entităților esențiale și importante un set de peste 200 de controale, organizate după modelul CyFun 2025 (NIST CSF 2.0). Prima reacție, pe care o văd foarte des, este să se deschidă matricea de controale (fișierul Excel de pe situl DNSC) și să se înceapă să se bifeze,…
