„Cultura culpabilizării” (blame culture) apare atunci când o organizație se teme mai mult de reacția publică (”Vaaaiiii, ce o să zică lumea?”) decît de consecințele lipsei de transparență. În cazul unui incident de securitate cibernetică, această teamă conduce adesea la comunicări vagi, defensive sau întârziate. În loc să explice clar ce s-a întâmplat, ce sisteme…
Progresul tehnologic nu poate fi planificat sau prevăzut. În toată istoria noastră progresul pur și simplu s-a ”întîmplat”. Lecția 1. Nu evaluăm riscurile doar după probabilitatea atacului, ci și după capacitatea de recuperare Nici o organizație nu poate obține de la nimeni asigurări rezonabile că nu va fi compromisă. Și atunci întrebarea relevantă devine: Cât…
Chiar dacă mai durează pînă se vor audita entitățile conform noilor cerințe NIS 2, organizațiile trebuie să știe cum să se pregătească. Au chiar obligația de a-și face propria evaluare a maturității. Am scris de mai multe ori despre importanța BIA și că de fapt este ”coloana vertebrală” peste care se construiește corect un program…
Cybersecurity Fundamentals/Cyfun (adaptarea NIST CSF2.0) aduce ca noutate, așa cum am mai scris, introducerea domeniului Guvernare în cadrul cerințelor de securitate. Nu știu cîte dintre ”organele de conducere” au fost informate cu privire la două contravenții care apar în OUG155/2024: Mai jos urmează o explicație/exemplu de implementare a controalelor din subcategoria GV.OC plecînd de la…
Cine nu știe ce este ”asset inventory”? Cine nu are așa ceva?….dar cît de corect se lucrează de fapt? Cum se pregătește o organizație să dovedească ”maturitatea” care va fi cerută în curînd? ISO 27001:2022 ”5.9 Inventory of information and other associated assets Control An inventory of information and other associated assets, including owners, should…
ADRIAN B. MUNTEANU 