Evaluarea v-a spus ce lipsește. Aici scrie ce se construiește, în ce ordine și cine face fiecare parte.
pe baza evaluării, cu preț pe fiecare etapă
sau sunați la 0744 706 225, luni–vineri 09:00–18:00
Conformitate
Documentele fără măsuri, măsurile fără documente
Sunt două feluri de a rata implementarea, și amândouă costă la fel.
Primul: mapa cu politici. Cineva livrează un set de documente frumoase — politică de securitate, procedură de acces, plan de incidente — care nu descriu nimic din ce se întâmplă în realitate. Arată bine în dosar. La primul incident nu ajută pe nimeni, iar la o verificare se vede în cinci minute că nu au fost aplicate niciodată.
Al doilea: măsurile nedocumentate. Se face treabă bună — se strâng accesurile, se pun copii de siguranță, se actualizează sistemele — dar nu rămâne nimic scris. Nu se poate demonstra că există. Din punctul de vedere al conformității, o măsură pe care nu o poți dovedi nu există.
Se face în paralel, nu una după alta. Fiecare măsură tehnică implementată produce, în aceeași săptămână, documentul care o descrie și dovada că funcționează.
Ce implementăm
Controlul accesului. Cine are acces la ce, de când, cu ce drepturi. Se scot conturile care nu mai au ce căuta — de regulă sunt mai multe decât crede oricine. Se introduce autentificare în doi pași unde se poate.
Copii de siguranță care se restaurează. Nu copiere — restaurare testată, cu procedură scrisă și cu data ultimului test. Detalii separat.
Jurnalizare. Fără jurnale, după un incident nu se poate stabili ce s-a întâmplat și ce a fost afectat — ceea ce face imposibilă și notificarea corectă.
Actualizări și gestionarea vulnerabilităților. Un calendar, un responsabil, o evidență. Sistemele neactualizate sunt, ele însele, o neconformitate.
Segmentarea rețelei, unde e cazul, ca un incident într-o zonă să nu se propage în toate.
Documentația: politica de securitate, procedura de gestionare a accesului, planul de gestionare a incidentelor, evidența activelor, registrul incidentelor. Scrise pe ce aveți, nu copiate din altă parte.
Instruirea oamenilor. Nu o prezentare de o oră uitată în două săptămâni, ci exercițiul concret: cine ce face în primele două ore de la un incident.
Procedura de raportare în 24 de ore
Merită secțiune separată, pentru că e cerința care prinde cel mai des organizațiile pe picior greșit.
Notificarea inițială a unui incident semnificativ către DNSC se face în termen de 24 de ore. Într-o organizație fără procedură pregătită, primele 24 de ore se consumă cu întrebarea „cine decide dacă e semnificativ?” — și termenul trece.
Ce construim:
1. Criteriile după care un eveniment devine incident semnificativ, scrise dinainte, pentru situația dumneavoastră
2. Cine decide — o persoană, cu un înlocuitor. Nu un comitet.
3. Ce se trimite, unde și cum, cu formularul completat până la datele care lipsesc
4. Cine anunță pe cine intern, în ce ordine
5. O repetiție — se trece prin procedură cu un caz fictiv, o dată. Cine nu a repetat-o nu o va aplica.
Fără punctul 5, primele patru rămân hârtie.
Cum lucrăm
Etapa 0 — Evaluarea, dacă nu a fost făcută. Vezi pregătirea pentru conformitate.
Etapa 1 — Ce se repară acum. Lipsurile cu risc mare și efort mic: conturi vechi, actualizări restante, copii de siguranță care nu s-au testat niciodată. Se face în primele săptămâni și schimbă cel mai mult, cel mai repede.
Etapa 2 — Documentația și procedurile. În paralel cu etapa 3.
Etapa 3 — Măsurile care cer timp sau investiție. Segmentare, jurnalizare centralizată, autentificare în doi pași pe tot. Se planifică pe buget.
Etapa 4 — Verificarea internă. Trecem prin fiecare cerință și confirmăm că are un răspuns și o dovadă. Ce nu are, se completează.
Fiecare etapă are preț separat. Puteți opri după oricare.
Ce rămâne în sarcina dumneavoastră
Spunem asta explicit, pentru că proiectele de conformitate eșuează mai des din cauza asta decât din cauza părții tehnice.
Numirea responsabilului NIS2
E o decizie internă, nu o putem lua noi.
Deciziile care depind de conducere
buget, priorități, cine are acces la ce.
Participarea oamenilor la instruire și la repetiție
O oră, o dată. Fără ea, procedura nu se aplică.
Comunicarea cu autoritatea
Vă pregătim conținutul; entitatea comunică.
Ce nu facem
Nu efectuăm auditul formal
OUG 155/2024, art. 58 alin. (1): exclusiv auditori cu atestat valabil DNSC. Iar alin. (3) interzice auditarea unei entități căreia îi prestezi deja servicii — deci nici cu atestat nu am putea, dacă vă administrăm infrastructura.
Nu livrăm documentație-tip
Un set de politici care nu descrie organizația dumneavoastră nu vă apără de nimic.
Nu garantăm conformitatea
Se constată de autoritate sau de un auditor atestat.
Nu preluăm răspunderea conducerii
Obligațiile revin entității; noi construim mijloacele.
Întrebări frecvente
Depinde de ce lipsește. Etapa 1 — reparațiile rapide — în două-trei săptămâni. Restul, de la câteva săptămâni la câteva luni. Estimarea se face după evaluare, nu înainte de ea.
Da. Etapele au preț separat și se pot opri oriunde. Recomandăm să nu vă opriți după documentație — e partea care arată cel mai bine și ajută cel mai puțin.
Bine, de regulă. Îi spunem ce trebuie făcut și de ce, iar unde are el acces, execută el. Nu cerem să fie schimbat nimeni.
Se aplică procedura, chiar dacă nu e finalizată. De aceea procedura de raportare se face în etapa 1, nu la final.
Da. Politicile, evidența accesurilor și planul de incidente acoperă în bună parte și cerințele tehnice din protecția datelor. Aceeași muncă, două obligații.
Auditul formal, cu un auditor atestat, independent. Plus întreținerea: măsurile se degradează dacă nu se uită nimeni la ele — de aceea recomandăm o verificare periodică.
Hai să vorbim
Începeți de la evaluare
Dacă aveți deja lista de lipsuri, trimiteți-ne-o și primiți o ofertă pe etape. Dacă nu, începem cu evaluarea stării actuale.
sau sunați la , luni–vineri 09:00–18:00.
Mai citește:
Pregătire pentru conformitate NIS2 · Backup automat și programat · Audit GDPR tehnic
Cum ne găsești
- Telefon: 0744 706 225
- E-mail: office@web-admin.ro
- Program: luni–vineri, 09:00–18:00
- Răspuns la cerere: 24 de ore
În weekend intervenim doar la urgențe reale, fără termen garantat.