Finanțare prin PNRR pentru 1.000 de organizații, care își pot testa securitatea cibernetică. De ce maturitatea digitală începe înainte de atac

Programul este finanțat prin PNRR și se adresează instituțiilor publice, companiilor private, IMM-urilor și organizațiilor neguvernamentale. Participanții primesc acces la un instrument de autoevaluare în materie de securitate cibernetică, prin care își pot analiza capacitatea de prevenire, detectare și răspuns la incidente de acest tip. La final, organizațiile pot primi recomandări pentru îmbunătățirea nivelului de protecție.

Inițiativa vine într-un moment în care digitalizarea statului și a mediului privat avansează, dar nu întotdeauna cu aceeași viteză cu care se dezvoltă și cultura de securitate. Multe organizații cumpără aplicații, trec multe servicii în cloud, folosesc platforme online și lucrează cu date sensibile. Întrebarea este dacă știu și cum să le protejeze toate aceste activități.

Maturitatea cibernetică nu este un audit de formă

Evaluarea maturității cibernetice nu înseamnă doar bifarea unor întrebări tehnice. Nu este suficient ca o organizație să aibă antivirus, parole complicate și un furnizor IT de încredere. Da, este necesar, dar nu și suficient, pentru că o vorbă veche românească zice „cu o floare nu se face primăvară”. Securitatea cibernetică reală înseamnă proceduri, oameni pregătiți, reacție rapidă, scenarii pentru situații de criză și responsabilități clare.

Instrumentul pus la dispoziție prin program permite organizațiilor să își identifice nivelul actual de maturitate. Participanții pot vedea unde sunt principalele lacune de securitate și cât de aproape sunt de cerințele minime de conformitate. În plus, pot obține un plan de acțiune personalizat pe nevoile lor.

Cristina Cristina, expert politici, strategii și cooperare în securitate cibernetică în cadrul DNSC, a explicat logica programului. „Încurajăm toate organizațiile, indiferent de dimensiune, să profite de această oportunitate și să se înscrie în program. Prin intermediul instrumentelor puse la dispoziție, organizațiile își pot înțelege mai bine nivelul actual de pregătire în domeniul securității cibernetice și pot beneficia de recomandări personalizate pentru consolidarea rezilienței digitale.”

Cine poate folosi programul

Programul este deschis pentru 1.000 de organizații din România. Pot participa instituții publice, companii private, IMM-uri și ONG-uri. Asta înseamnă că nu este rezervat doar marilor jucători sau organizațiilor cu departamente IT solide.

Înscrierile sunt deschise până la 15 iunie. Participarea este gratuită, în limita locurilor disponibile. Pentru multe organizații mici, această gratuitate poate conta mult, pentru că securitatea cibernetică este adesea amânată din motive de cost.

Un IMM poate crede că nu este țintă pentru atacatori pentru că e prea mic ca să prezinte interes, nu?. Nicidecum. În realitate, multe atacuri nu aleg victima după notorietate. Tâlharii 2.0 caută parole slabe, sisteme neactualizate, emailuri compromise și – mai ales – lipsă de proceduri în materie de securitate cibernetică.

De la prevenire la răspuns

Securitatea cibernetică are trei momente mari, care se succed după cum urmează: prevenirea, detectarea și răspunsul. O organizație matură nu se bazează doar pe ideea că atacul nu i se va întâmpla. Orice tragedie începe cu „nu am crezut că mi se va întâmpla chiar mie”. Instrumentul de evaluare urmărește tocmai capacitatea de a evita situația în care un atac mic într-o criză mare.

Radu Puchiu, cofondator H.appy Cities, subliniază că este nevoie de un efort concertat, în această direcție. Adică, trebuie să fie corelate finanțările naționale cu cele europene în materie. Gestionarea lor separată poate duce la suprapuneri sau la rezultate diferite, dacă procesul nu este urmărit cap-coadă. Aceste aspecte contează, mai ales dacă sunt luate la un loc. „Toate se îmbină pe linia aceasta dintre apărare militară, securitate cibernetică, infrastructură digitală, infrastructură publică și război informațional. Este o separație tot mai neclară între aceste domenii și trebuie să facem față”, consideră el.

În schimb, România este deficitară la acest capitol. Nu doar pe partea de competențe în domeniul securității cibernetice, dar și în ceea ce privește competențele digitale, în primul rând. Puchiu atrage atenția că orice discuție despre nivelul securității cibernetice începe cu competențele digitale de bază.

„Măsurătorile europene în materie ne plasează foarte jos în orice clasament. De la nivelul competențelor digitale de bază, trecând prin modul în care tehnologia este utilizată în mediul privat și până la securitatea cibernetică. Avem mult de lucru aici, dar partea bună din acest proces este tocmai faptul că s-a înțeles că problema nu este una legată de bani, de finanțare. Finanțări există. Problema este mai mult legată de capacitate, de cultură organizațională, de roluri care lipsesc la nivel administrativ, deși sunt foarte importante”, a mai apreciat el.

Tocmai din acest motiv, digitalizarea – care vine la pachet cu întărirea securității cibernetice – „nu trebuie să fie un scop în sine. Trebuie să știm și ce vrem să realizăm, prin utilizarea acestor mijloace”, a mai apreciat el. „Nu trebuie să ne luptăm pentru a construi o Românie digitală, chiar dacă este una în care lucrurile funcționează. Trebuie să urmărim construirea unei Românii dezvoltate, în care noile tehnologii au un rol foarte clar definit și sunt sigure”, a considerat Puchiu. În opinia lui, „este mai bine să citim înainte și să învățăm despre securitatea cibernetică din broșuri, decât să învățăm după ce ni se întâmplă”.

”În materie de servicii publice, este limpede că vom avea, cândva, toate aceste servicii în cloud și așa mai departe. Dar ele trebuie să vină cu o componentă de securitate, care este foarte importantă”, concluzionează el.

Problema nu este doar lipsa banilor

România are acces la finanțări pentru digitalizare și securitate, dar banii nu rezolvă automat problema. Dacă lipsesc oamenii, rolurile, procedurile și cultura organizațională, investiția rămâne incompletă.

O instituție poate cumpăra sisteme bune și totuși poate rămâne vulnerabilă. Dacă angajații nu știu cum se raportează un incident, timpul se pierde. O companie privată poate trata securitatea ca pe o cheltuială de fițe, ce se poate amâna. Dar realitatea lovește dur atunci când remedierea atacului va costa mai mult decât prevenția.

Așadar, este pentru oricine. Pentru firme, asta înseamnă procese mai clare, iar pentru instituții publice, înseamnă disciplină administrativă. În ambele cazuri, întrebarea este foarte simplă: cine răspunde când ceva se întâmplă? Evaluarea gratuită poate ajuta organizațiile să vadă cât de departe sunt de aceste cerințe și ce au de făcut.

Securitatea publică începe cu serviciile digitale

Instituțiile publice au o miză specială tocmai pentru că gestionează date personale, registre, plăți, documente și servicii pentru cetățeni. O vulnerabilitate într-o instituție nu afectează doar instituția, ci comunitatea, contribuabilii, cetățenii.

Digitalizarea serviciilor publice va crește presiunea pe securitate. Cu cât mai multe servicii trec online, cu atât mai mare devine impactul unui incident, pentru că un portal afectat (adică: indisponibil temporar) poate însemna servicii blocate pentru mii de oameni și de firme.

În materie de securitate cibernetică, lucrurile trebuie pregătite de la bun început, nu atașate pe parcurs. Pentru că, în securitate cibernetică, lecțiile luate după atac sunt cele mai scumpe. Unde a lipsit prevenția, apar pierderi, blocaje și – mai necuantificată în bani, dar poate cea mai periculoasă – panica.

Programul de evaluare merge exact pe această logică. Organizațiile sunt invitate să își citească riscurile înainte de incident. Doar așa pot să-și vadă lacunele și să știe cum pot să acționeze exact pe necesitățile lor reale, personalizate.

O cultură de securitate nu se construiește după un singur raport. Dar raportul poate fi începutul. Poate arăta unde trebuie pusă prima investiție și ce procedură lipsește.

De la conformare la reziliență

Conformarea este importantă. Rapoartele, cerințele Directivei NIS2 și planurile de acțiune contează. Pentru că o organizație rezilientă nu este una care nu va fi atacată niciodată. Este una care poate rezista, detecta și reveni.

Aici este diferența dintre securitatea „de vitrină” și o securitate cibernetică reală. Prima arată bine în documente, dar a doua funcționează când apare criza. Iar programul pentru cele 1.000 de organizații poate ajuta la această schimbare de mentalitate.

Multe organizații nu ignoră securitatea din rea-voință. Pur și simplu nu știu de unde să înceapă și nici nu au un specialist intern. Pentru acestea, autoevaluarea în materie de securitate cibernetică poate fi primul pas. Totuși, este mai ușor să construiești un plan de la zero atunci când știi ce lipsește, știind bine cum îți bugetezi nevoile.

Expertul DNSC Cristina Cristina a insistat tocmai pe recomandările personalizate. Acestea pot transforma o temă abstractă într-o listă de acțiuni. Ea atrage atenția că tot ceea ce înseamnă securitate cibernetică nu se rezolvă dintr-o singură finanțare. Programul oferă un instrument, care trage doar un semnal de alarmă.