Autoevaluarea CyFun: 7 greșeli care costă la audit

Bun venit la „NIS2 pe înțelesul tuturor”, seria de videoclipuri Certudo despre securitatea cibernetică și noile obligații legale din România. Acesta este episodul 6: Autoevaluarea CyFun, 7 greșeli care costă la audit. Informațiile prezentate reflectă cadrul legal din octombrie 2026. În episodul anterior am văzut cum este construit cadrul CyFun: cele 6 funcții, cele 3 niveluri de asigurare și stadiile de maturitate. Astăzi trecem la practică. Vom vedea cum completați autoevaluarea astfel încât să reziste la un audit.

În acest episod vorbim despre autoevaluarea maturității după cadrul CyFun. Vom vedea trei lucruri. Primul: cum se acordă corect scorul unui control și ce înseamnă cele două coloane, documentație și implementare. Al doilea: regulile pentru controalele excluse ca neaplicabile și măsurile-cheie, care nu pot fi excluse niciodată. Al treilea: cele 7 greșeli pe care le întâlnim cel mai des și cum prezentați rezultatul conducerii. O autoevaluare corectă nu este un exercițiu de imagine. Este punctul de plecare pentru planul de măsuri și un document pe care DNSC îl poate solicita la un audit de supraveghere.

Metodologia de autoevaluare este stabilită prin Ordinul DNSC nr. 1/2026, în anexa a doua. Fiecare control primește 2 scoruri, fiecare de la 1 la 5. Scorul de documentație arată cât de bine acoperă regulile și procedurile scrise cerința controlului. Scorul de implementare arată cât de bine corespunde practica de zi cu zi controlului și documentației. Ambele scoruri sunt obligatorii, iar fiecare valoare se justifică în scris. Scara are cinci stadii. Stadiul 1, inițial: nu există documentație aprobată de conducere și nici un proces standard. Stadiul 2, repetabil: documentul este aprobat, dar nu a fost revizuit în ultimii 2 ani, iar procesul se desfășoară informal. Stadiul 3, definit: documentație aprobată, proces formal, dovezi pentru majoritatea activităților și sub 10% excepții. Stadiile 4 și 5, gestionat și optimizare: dovezi pentru toate activitățile, indicatori și ținte. Instrumentul calculează apoi mediile și scorul total. Scorul total țintă este de cel puțin 2,5 la nivelul Bază, 3 la Important și 3,5 la Esențial. La Esențial, fiecare categorie trebuie să atingă, în plus, cel puțin 3.

Să luăm un exemplu de control: personalul cu acces la sistemele critice trebuie autentificat individual. Într-un spital, politica de autentificare există, este aprobată de conducere și a fost revizuită acum 6 luni. Documentația merită un 3, definit. În practică însă, 15% dintre angajați folosesc încă parole comune pe unele stații, mai ales în turele de noapte. Pragul pentru stadiul definit este sub 10% excepții. Așadar implementarea primește 2, repetabil. Comparați cu o organizație cu autentificare multifactor, un raport lunar de conformitate și o țintă stabilită. Acolo, ambele scoruri pot ajunge la 4, gestionat. Ideea de reținut: scorul nu descrie intenția, ci ceea ce se poate dovedi. Iar documentația și implementarea se evaluează separat.

Al doilea mecanism este excluderea controalelor care nu se aplică. De exemplu, o cerință despre sistemele de tehnologie operațională, într-o organizație care nu are astfel de sisteme. Regulile sunt stabilite de Ordinul DNSC nr. 2/2026, care completează metodologia. Puteți exclude cel mult 1 control la nivelul Bază, cel mult 3 controale la nivelul Important și cel mult 5 controale la nivelul Esențial. Fiecare excludere se justifică în scris, cu motivele pentru care controlul nu se aplică, și se evidențiază în declarația de aplicabilitate. Un control exclus nu dispare din calcul. El intră în medie cu valoarea 2,5 la nivelul Bază și 3 la nivelurile Important și Esențial. Și, foarte important, unele controale nu pot fi excluse deloc. Măsurile-cheie, la orice nivel. Iar la nivelul Esențial, nici controalele aferente aspectelor de management. Excluderile peste limită sau cele care privesc aceste controale nu sunt luate în considerare. Iar autoevaluarea nu este considerată conformă până când nu sunt remediate.

Acum că știm regulile, să trecem la greșeli. Le-am adunat în 7, aproximativ în ordinea în care apar într-o autoevaluare. Prima: lucrați cu instrumentul greșit sau cu o versiune veche. A doua: scoruri fără dovezi și fără justificare scrisă. A treia: excluderea folosită ca scurtătură. A patra: vă uitați doar la scorul total și scăpați din vedere măsurile-cheie. A cincea: scoruri uniforme. A șasea: documentație perfectă, implementare zero. A șaptea: scoruri optimiste, care nu se potrivesc cu incidentele reale. Le luăm pe rând.

Prima greșeală: instrumentul greșit sau o versiune depășită. DNSC pune la dispoziție câte un instrument pentru fiecare nivel de asigurare: Bază, Important și Esențial. Nivelul rezultă din evaluarea nivelului de risc al entității. Se întâmplă ca o entitate de nivel Esențial să folosească instrumentul pentru nivelul Important, ca să simplifice lucrurile. Sau ca o entitate de nivel Bază să completeze instrumentul Esențial, din precauție. În ambele cazuri, raportul oficial nu corespunde nivelului stabilit și trebuie refăcut. La fel de des se lucrează pe o versiune veche a fișierului. Corecția: descărcați ultima versiune de pe site-ul DNSC și păstrați aceeași versiune pe toată durata evaluării. A doua greșeală: scoruri date din memorie, fără dovezi. Metodologia cere ca fiecare scor să fie justificat în scris. Un scor de 3 la implementare înseamnă dovezi pentru majoritatea activităților: jurnale, rapoarte, tichete, aprobări. Regula practică este simplă: întâi dovada, apoi scorul. Păstrați și minutele discuțiilor de evaluare: la audit, ele arată cum ați ajuns la fiecare cifră.

A treia greșeală: excluderea folosită ca scurtătură. Un control greu de implementat nu devine neaplicabil doar pentru că este greu. Simptomul tipic: controale dificile marcate ca neaplicabile, peste limita nivelului și fără justificare. Corecția: o justificare scrisă pentru fiecare excludere, limita respectată strict, iar controalele pe care ați fi vrut să le ocoliți trec în planul de măsuri. A patra greșeală: vă uitați doar la scorul total. Fiecare măsură-cheie trebuie să atingă, individual, pragul nivelului: 2,5 la Bază, 3 la Important și la Esențial. O singură măsură-cheie sub prag vă lasă neconform, chiar dacă totalul arată bine. Măsurile-cheie au fost alese pe baza tipurilor comune de atacuri cibernetice. La nivelul Bază, printre ele se află actualizările de securitate, autentificarea multifactor pentru accesul de la distanță și privilegiul minim. Apoi copiile de rezervă pe un sistem separat, firewall-ul, segmentarea rețelei, protecția anti-malware și jurnalele. Este de așteptat ca ele să fie printre primele verificate la un audit.

A cincea greșeală: scoruri uniforme. Imaginați-vă o autoevaluare în care aproape toate controalele au primit 4. Guvernare, identificare, protecție, detecție, răspuns, recuperare: totul la fel. Pentru un evaluator, acesta este un semnal de alarmă. Nicio organizație reală nu este la fel de matură în toate zonele. Cauza este, de obicei, o sesiune maraton, în care echipa obosește și bifează aceeași valoare la rând. Corecția: reluați evaluarea pe dovezi, categorie cu categorie, cu dovezi distincte pentru fiecare. Lucrați în sesiuni scurte și dese, de exemplu în jur de 2 ore pe funcție, nu într-o singură zi lungă. Un profil cu urcușuri și coborâșuri este mai credibil și vă arată unde să investiți.

A șasea greșeală: documentație perfectă, implementare zero. Documentele sunt aprobate și arată impecabil. Dar procesele descrise nu se desfășoară sau se desfășoară doar pe hârtie. Simptomul se vede imediat în instrument: o diferență sistematică de cel puțin 2 puncte între coloana de documentație și coloana de implementare. De exemplu, 5 la documentație și 2 la implementare, control după control. Corecția: luați câteva documente și verificați-le în practică. Procedura de backup prevede teste de restaurare? Cereți dovezile ultimelor restaurări. Politica cere revizuirea periodică a drepturilor de acces? Cereți procesul-verbal al ultimei revizuiri. Apoi corectați scorurile de implementare. La audit nu contează ce ați scris, ci ce puteți demonstra că funcționează.

A șaptea greșeală: scoruri optimiste, care nu se potrivesc cu realitatea. Autoevaluarea spune că detecția și răspunsul la incidente sunt la stadiul gestionat. Dar în ultimul an, organizația a avut un incident descoperit după câteva zile sau un backup care nu a putut fi restaurat. Cele două nu pot fi adevărate în același timp. La un audit, scorurile pot fi puse alături de istoricul incidentelor. Iar o asemenea diferență pune sub semnul întrebării întreaga autoevaluare. Corecția are doi pași. Primul: corelați scorurile cu incidentele reale din ultimele 12 luni, inclusiv cu cele raportate la DNSC. Al doilea: invitați un al doilea evaluator, din afara echipei care a completat instrumentul, ideal unul extern, să valideze rezultatul. Un ochi din afară vede ceea ce echipa internă s-a obișnuit să nu mai vadă.

Ultimul pas este prezentarea rezultatului către conducere. Conducerea răspunde pentru măsurile de gestionare a riscurilor. De aceea trebuie să înțeleagă rezultatul, nu doar să îl semneze. Recomandăm un rezumat executiv de o singură pagină. Scorul total, comparat cu pragul nivelului. Măsurile-cheie aflate sub prag. 2 sau 3 puncte tari și 2 sau 3 puncte slabe. Și bugetul estimat al planului de măsuri. Traduceți scorurile în limbajul afacerii: ce risc rămâne neacoperit și ce se poate pierde. Dacă scorurile țintă nu sunt atinse, metodologia obligă entitatea să întocmească un plan de măsuri, cu acțiunile și termenele asumate. Pentru fiecare lipsă, planul arată controlul, scorul actual, acțiunea, responsabilul, termenul și dovada de finalizare. Fără dovada de finalizare, planul rămâne o listă de intenții. Vestea bună: DNSC a comunicat că abordarea este graduală. Maturitatea țintă nu trebuie atinsă de la primul audit, dar progresul trebuie să poată fi demonstrat.

Să recapitulăm. Prima idee: fiecare control are 2 scoruri, documentație și implementare, iar fiecare scor se justifică în scris, pe baza dovezilor. A doua: excluderile sunt limitate la 1, 3 și 5 controale, în funcție de nivel, fiecare cu justificare scrisă, iar măsurile-cheie nu pot fi excluse niciodată. A treia: o autoevaluare credibilă are scoruri diferențiate, verificate în practică și corelate cu incidentele reale. Ea devine planul de măsuri pe care îl asumă conducerea.

Dacă ați început autoevaluarea sau urmează să o începeți, nu trebuie să o faceți singuri. Echipa de consultanță Certudo vă ajută să realizați autoevaluarea CyFun corect, pe bază de dovezi, și să construiți planul de implementare. Pe nivelul care vi se aplică: Bază, Important sau Esențial. Detalii găsiți pe certudo.com. În episodul următor trecem de la scoruri la obligațiile concrete: riscuri, furnizori și continuitate. Vorbim despre managementul riscului, securitatea lanțului de aprovizionare și despre cum rămâne organizația în funcțiune atunci când apare un incident. Vă mulțumim că ne-ați urmărit.