Definirea corectă a scopului (Goal), obiectivelor (Objectives) și domeniului de aplicare (Scope) este o cerință ITAF (și probabil va fi și în legislație) pentru planificarea activităților, colectarea dovezilor și formularea unor concluzii relevante în cadrul unu audit.

Deși aceste concepte sînt strîns legate, ele au roluri distincte:

• Scopul exprimă finalitatea generală a auditului,
• Obiectivele stabilesc ce trebuie evaluat și determinat,
• Domeniul de aplicare delimitează elementele supuse examinării,
• Criteriile reprezintă cerințele față de care sînt evaluate dovezile colectate.

Să luăm ca exemplu o companie din sectorul energetic, încadrată ca entitate esențială, pentru care a fost stabilit nivelul de asigurare „Esențial”. Compania solicită efectuarea unui audit pentru a verifica implementarea și eficacitatea măsurilor de securitate cibernetică aplicabile.

1. Scopul auditului (Audit Goal)

Scopul auditului exprimă motivul fundamental pentru care acesta este realizat și rezultatul general urmărit. Acesta nu trebuie să enumere controalele individuale sau activitățile de verificare, ci să exprime finalitatea evaluării.

Exemplu:

Furnizarea unei evaluări independente, obiective și fundamentate pe dovezi privind adecvarea și eficacitatea măsurilor de securitate cibernetică implementate de organizație, în vederea determinării nivelului de conformitate cu cerințele aplicabile și a identificării riscurilor care pot afecta furnizarea serviciilor esențiale..

2. Obiectivele auditului (Audit Objectives)

Obiectivele auditului transpun scopul general în rezultate specifice pe care auditorul trebuie să le determine pe baza dovezilor colectate.

Ordinul DNSC nr. 1/2026 organizează măsurile de securitate cibernetică în șase Funcții: Guvernare (GV), Identificare (ID), Protecție (PR), Detecție (DE), Răspuns (RS) și Recuperare (RC). Aceste Funcții pot constitui o bază logică pentru structurarea obiectivelor auditului.

Exemplu:

• Guvernare (GV): Evaluarea adecvării și eficacității cadrului de guvernanță a securității cibernetice, inclusiv a politicilor, responsabilităților și mecanismelor de supraveghere.
• Identificare (ID): Evaluarea eficacității proceselor de identificare, inventariere și gestionare a activelor, vulnerabilităților și riscurilor de securitate cibernetică.
• Protecție (PR): Determinarea măsurii în care controalele de protecție sînt implementate și funcționează eficace pentru prevenirea sau limitarea incidentelor de securitate.
• Detecție (DE): Evaluarea capacității organizației de a identifica, monitoriza și analiza evenimentele care pot indica producerea unor incidente de securitate cibernetică.
• Răspuns (RS): Evaluarea eficacității proceselor și mecanismelor de analiză, gestionare, limitare și comunicare a incidentelor.
• Recuperare (RC): Evaluarea capacității organizației de a restabili sistemele și serviciile afectate de incidente și de a asigura continuitatea operațională.

Această abordare permite corelarea obiectivelor auditului cu Funcțiile cadrului normativ, fără a transforma fiecare control individual într-un obiectiv distinct: controalele reprezintă cerințele supuse evaluării, în timp ce obiectivele exprimă ceea ce auditorul urmărește să determine în legătură cu implementarea și eficacitatea acestora.

3. Domeniul de aplicare al auditului (Audit Scope)

Domeniul de aplicare definește limitele auditului, precizînd ce structuri organizaționale, procese, sisteme, infrastructuri și perioade sînt supuse evaluării. Domeniul de aplicare poate include toate cele șase Funcții sau numai anumite Funcții, Categorii și controale cerințele aplicabile.

În cazul unui audit de conformitate reglementat (cum va fi cel solicitat de DNSC), delimitarea domeniului trebuie să respecte cerințele legale, fără excluderea nejustificată a controalelor obligatorii (de exemplu SCADA vs aplicații interne dezvoltate de terți).

Exemplu:

• Structuri organizaționale: conducerea, departamentul IT, echipa de securitate cibernetică și structurile responsabile de continuitatea operațională.
• Sisteme și infrastructuri: rețele IT, servere, stații de lucru, sisteme de autentificare, aplicații critice și soluții de securitate.
• Procese: managementul riscurilor, gestionarea activelor, controlul accesului, managementul vulnerabilităților, monitorizarea securității, gestionarea incidentelor și recuperarea serviciilor.
• Perioada auditată: intervalul de timp pentru care sînt evaluate implementarea și funcționarea controalelor.

4. Criteriile de audit (Audit Criteria)

Criteriile de audit reprezintă ansamblul cerințelor utilizate pentru evaluarea dovezilor și determinarea conformității.

În contextul Ordinului DNSC nr. 1/2026, criteriile sînt constituite în principal din controalele aplicabile prevăzute în cadrul Funcțiilor și Categoriilor din anexa nr. 1, ținând cont de nivelul de asigurare aplicabil entității.

Trebuie avute în vedere și alte cerințe legale, sectoriale (aviație de exemplu), contractuale sau interne relevante pentru audit. Auditorul poate analiza documentația, examina configurațiile tehnice, realiza interviuri și efectua teste pentru a determina dacă cerințele sînt îndeplinite. Constatările rezultate trebuie fundamentate prin compararea dovezilor obținute cu criteriile stabilite.

De exemplu, pentru evaluarea managementului identităților și accesului:

• Funcția: Protecție (PR).
• Categoria: Managementul identității, autentificarea și controlul accesului (PR.AA).
• Obiectivul auditului: Determinarea eficacității mecanismelor de gestionare a identităților și drepturilor de acces.
• Criteriile de audit: Cerințele controalelor aplicabile din categoria PR.AA.
• Domeniul de aplicare: Sistemele de autentificare, conturile privilegiate, infrastructura Active Directory și procesele de administrare a drepturilor de acces.

5. Relația dintre scop, obiective, domeniu și criterii

Într-un audit de securitate cibernetică realizat în contextul Ordinului DNSC nr. 1/2026, Funcțiile și Categoriile cadrului normativ vor fi utilizate pentru structurarea obiectivelor auditului.

Scopul va exprima finalitatea generală a auditului, obiectivele stabilesc ce trebuie determinat, domeniul de aplicare delimitează elementele examinate, iar criteriile precizează cerințele în raport cu care sînt formulate constatările.

Controalele de securitate cibernetică reprezintă cerințele definite în cadrul normativ (Ordinul 1/2026) și, la nivel operațional, măsurile organizaționale, procedurale sau tehnice implementate de entitate pentru gestionarea riscurilor. Controalele normative aplicabile constituie criterii de audit, iar implementarea și funcționarea măsurilor corespunzătoare sînt evaluate prin proceduri și teste de audit.

La final reiau ce am scris la început: un control de securitate cibernetică nu trebuie confundat cu un obiectiv de audit.

s