„Nouă nu ni s-a întâmplat” nu este o evaluare de risc, ci o iluzie confortabilă

Am auzit fraza aceasta de sute de ori în discuții cu antreprenori și directori din România, de multe ori chiar de la oameni foarte competenți în domeniul lor de business. Problema este că fraza confundă absența dovezii cu dovada absenței. Este posibil ca organizația să nu fi fost compromisă. Este la fel de posibil să fi existat tentative respinse, incidente minore neclasificate ca atare sau acces neautorizat care pur și simplu nu a fost încă descoperit.

Datele oficiale contrazic ideea că incidentele sunt evenimente rare, rezervate „altora” sau doar companiilor mari. Eurostat arată că aproximativ 22% dintre companiile din UE cu cel puțin 10 angajați au raportat, pentru 2023, consecințe concrete ale unor incidente de securitate ICT: indisponibilitatea serviciilor, distrugerea sau coruperea datelor ori divulgarea acestora. Cifra trebuie însă citită corect: include atât atacuri și accesări neautorizate, cât și cauze neintenționate, precum defecțiuni hardware sau software și erori umane. Nu este, așadar, o probabilitate pură de atac cibernetic. Chiar și așa, arată cât de frecvent securitatea tehnologiei produce consecințe reale în business.

Un reper mai direct pentru expunerea la atacuri vine din Cyber Security Breaches Survey 2025/2026 al guvernului britanic. În ultimele 12 luni, 65% dintre companiile medii și 69% dintre companiile mari au identificat cel puțin o breșă sau un atac. Nu putem transfera mecanic aceste procente asupra pieței din România. Pentru firmele mici, procentele sunt semnificativ mai joase, însă studiul măsoară incidente identificate, deci diferența reflectă și capacitatea mai bună a organizațiilor mari de a observa ceea ce li se întâmplă. Ceea ce rămâne valabil este că dimensiunea, suprafața de atac și vizibilitatea cresc împreună, iar odată cu ele și probabilitatea ca un incident să fie identificat.

Studiul de maturitate pe care l-am lansat în acest an împreună cu partenerii noștri, Data Diggers și Promocrat, și la care au răspuns peste 200 de companii românești din industrii diferite, arată același tipar la nivel local: un decalaj clar între gradul de conștientizare a obligațiilor NIS2 și DORA și nivelul de pregătire pe care organizațiile consideră că îl au pentru a le îndeplini. Conștientizarea a crescut mult în ultimul an, însă pregătirea operațională rămâne în urmă. Practic, știm că riscul există, dar continuăm să credem că ne privește mai puțin pe noi și chiar că nu are cum să ni se întâmple.

Prin urmare, atacul nu mai este o ipoteză, ci o condiție de funcționare: tentativele fac parte din normalitatea oricărui mediu digital conectat la Internet. Contează altceva: dacă sunt vizibile în propriile sisteme, cât de repede se înțelege ce se întâmplă și dacă efectul poate fi limitat înainte ca incidentul să devină o criză.

Ce ar trebui să intre, obligatoriu, în discuția de board

Un board nu are nevoie de promisiunea imposibilă că niciun atac nu va reuși vreodată. Oricine promite asta fie minte, fie nu înțelege domeniul. Un board și un CEO au nevoie de dovezi că organizația poate preveni ceea ce este rezonabil de prevenit, poate detecta rapid ceea ce trece de prima linie de apărare și poate răspunde fără improvizație, sub presiune și cu roluri clare.

Cinci întrebări cu care aș începe orice discuție de acest fel:

1. Care sunt activele și datele a căror pierdere sau indisponibilitate ne-ar opri efectiv activitatea și cât timp putem funcționa fără fiecare dintre ele?
2. Cât timp ne-ar lua astăzi să detectăm un acces neautorizat și de unde am afla – din propriile sisteme sau din exterior?
3. Cine are mandatul de a decide în primele ore ale unui incident – oprirea unor sisteme, notificarea autorităților, comunicarea publică – fără să aștepte convocarea boardului?
4. Când am testat ultima dată, în mod real, restaurarea din backup și planul de răspuns la incident – și cât a durat revenirea?
5. Care furnizori au acces la sistemele sau datele noastre critice, ce ni s-ar întâmpla dacă ei ar fi compromiși și cum am afla că s-a întâmplat?

Întrebările de mai sus devin utile abia când primesc răspunsuri în cifre. Un board poate cere trimestrial un set minim de indicatori, fără să intre în detalii tehnice: timpul median de detecție și de izolare a unui incident față de perioada anterioară; proporția incidentelor descoperite din propriile sisteme, față de cele semnalate din exterior; gradul de acoperire cu MFA rezistent la phishing pe conturile cu privilegii și pe accesul de la distanță; intervalul în care se aplică patch-uri pentru vulnerabilitățile exploatate activ; data și rezultatul ultimului test real de restaurare, cu durata efectivă a revenirii; și numărul furnizorilor cu acces la date sau sisteme critice și câți dintre ei sunt monitorizați contractual. Niciun indicator nu spune singur dacă organizația este în siguranță. Dar împreună arată dacă situația se îmbunătățește sau doar este raportată.

Cifrele spun în ce stadiu se află organizația, dar prioritățile se stabilesc pornind de la felul în care încep atacurile în realitate. Același raport ENISA identifică phishingul, inclusiv vishingul, drept principalul punct inițial de acces în aproximativ 60% dintre cazurile analizate, urmat de exploatarea vulnerabilităților, cu 21,3%. Discuția revine mereu la lucruri aparent banale, aproape plictisitoare: identitate și acces gestionate corect, MFA rezistent la phishing, actualizări și patch-uri aplicate consecvent, segmentare de rețea, loguri centralizate, monitorizare și exerciții de răspuns la incidente făcute cu adevărat, nu doar pe hârtie.

Nimic din toate acestea nu este spectaculos și, poate surprinzător, nici atât de comun pe cât ar trebui. Atacatorii nu au nevoie să fie sofisticați atunci când o parolă slabă, un help desk păcălit ușor sau un sistem neactualizat le deschide direct ușa. Din păcate, exact lucrurile plictisitoare și simple sunt cele care sunt uitate sau lipsesc cu desăvârșire.

Concluzia mea, după toate astea

Mesajul valului actual de incidente este simplu: ceea ce vedem în presă este doar vârful vizibil al unei activități care nu se oprește niciodată. Faptul că numele companiei tale nu a apărut încă într-un titlu de știre nu este o garanție. Este, cel mult, o fotografie incompletă a trecutului, nu o predicție despre viitor. Predicția mea este alta: numărul incidentelor despre care vom afla va crește semnificativ în următorii ani, însă nu pentru că atacurile se înmulțesc brusc, ci pentru că obligațiile de raportare din NIS2 și DORA fac comunicarea inevitabilă, iar atacatorii au înțeles deja că revendicarea publică este un instrument de presiune, nu o bravadă.

Reziliența nu se deduce din absența incidentului precedent. Se construiește, deliberat, pentru următorul. Iar testul este simplu: dacă la trei dintre indicatorii enumerați mai sus organizația nu poate răspunde cu o cifră, atunci nu discută despre risc, ci despre impresii. Iar NIS2 plasează responsabilitatea pentru aprobarea și supravegherea măsurilor de securitate direct la nivelul conducerii, nu al departamentului IT: o impresie nu se poate delega și nu se poate apăra ulterior.