Înainte să ajungi la preț, acoperiri și excluderi, o discuție despre asigurare cyber te pune să explici, concret, cum stă firma cu backup-ul, accesurile, furnizorii și răspunsul la incident. Și de multe ori acolo ies la suprafață zonele lăsate mult timp în presupunere.
Aici e partea practică: cum pui lucrurile astea la punct, fără un proiect mare. Nu e o listă de cumpărături de tehnologie. Sunt câteva verificări pe care managementul ar trebui să le poată vedea într-un singur loc și pe care le poți face în aproximativ o lună, fără presiune comercială.
Un lucru de spus de la început: scopul nu e să bifezi un formular, ci să știi unde stai. Aceleași verificări îți reduc riscul real, te ajută într-o discuție cu un client mare sau la NIS2, și fac o eventuală discuție de asigurare mult mai simplă.
Ce verifici, concret, pe zone
Backup și recuperare
Întrebarea nu e „avem backup?", ci „cât de repede și cât de complet putem reveni?". Ca să afli, fă un test real de restaurare, nu doar verifici că job-ul de backup a rulat:
- Alege un set de date care contează cu adevărat (un folder din ERP, o bază de date, fișiere de producție), nu un fișier de test.
- Restaurează-l într-un loc separat, fără să suprascrii datele live.
- Cronometrează: cât durează de la „decidem să restaurăm" până la „datele sunt folosibile".
- Verifică datele restaurate — se deschid, sunt complete, cât de recente sunt.
Din testul ăsta afli două lucruri pe care managementul ar trebui să le știe: cât de vechi e cel mai recent backup (cât de multe date ai pierde) și cât durează revenirea (cât ai sta oprit). Verifică și dacă există o copie izolată, la care un ransomware nu ajunge - dacă backup-urile sunt în aceeași rețea, cu aceleași parole, pot fi criptate odată cu restul. Și notează ce NU intră în backup; de obicei scapă ceva: laptopuri locale, o aplicație SaaS, niște configurări.
Accesuri
O revizuire rapidă, nu un proiect de luni. Ia sistemele critice (email, ERP, CRM, foldere, financiar, producție) și, pentru fiecare, lămurește trei lucruri:
- Cine are acces și, separat, cine are acces de administrator.
- Mai sunt conturi vechi deschise (oameni care au plecat, colaboratori cu proiecte încheiate)? Compară lista conturilor active cu lista angajaților activi.
- Există parole de administrator împărțite între mai mulți oameni, pe care nu le poți atribui nimănui?
Verifică separat accesul de la distanță: cine se poate conecta din afară și dacă e protejat cu autentificare în doi pași. Închide ce e vechi sau inutil și notează cine a aprobat ce rămâne. Nu trebuie să fie perfect, trebuie să fie clar.
Furnizori
Mulți se uită la angajați, dar mai puțin la terții cu acces. Fă o listă simplă: furnizorul IT, contabilul, agenția, consultanții, platformele software, integratorii. Pentru fiecare care are acces la date sau sisteme:
- Ce acces are și de ce.
- Cine l-a aprobat și când a fost verificat ultima dată.
Marchează-i pe cei cu acces larg sau privilegiat - furnizorul IT cu drepturi de administrator, platforma cu acces la datele tale. Pentru cei mai importanți, întreabă-i aceleași lucruri de bază pe care ți le verifici și ție (backup, acces, ce fac la un incident). Un furnizor cu acces face parte din suprafața ta de risc, chiar dacă lucrezi de mult cu el.
Răspuns la incident
Nu un plan lung. O pagină, ținută accesibilă și offline (un document pe sistemul care tocmai a picat nu-ți folosește la nimic):
- Cine decide să oprească sisteme, să notifice.
- Numere de contact: IT intern, furnizor IT, brokerul sau asigurătorul (dacă ai), avocat, conducere.
- Primii pași: izolează sistemele afectate, păstrează dovezi, nu șterge nimic, nu plăti nimic fără consultanță.
- Cine comunică intern și când se pune problema notificării clienților sau a autorităților (la date personale, ANSPDCP).
Rostul ei e simplu: în primele ore ale unui incident, deciziile luate pe loc costă timp. O pagină clară scoate jumătate din ezitare.
Ce răspunsuri să eviți
Cel mai costisitor răspuns e să bifezi ceva ce nu poți dovedi. „Avem MFA peste tot", „backup-ul e testat", dacă ajung într-un contract cu un client sau într-o aplicație de asigurare și nu corespund realității, devin o expunere contractuală și legală, nu doar o lipsă tehnică. Și se văd exact la momentul prost: la o daună sau la un audit.
Diferența care contează nu e între „avem tot" și „nu avem nimic". E între „nu știm" și „știm ce lipsește și avem un plan". Al doilea e perfect acceptabil într-o discuție serioasă. Primul, nu.
De evitat și răspunsurile care par răspunsuri, dar nu sunt: „avem IT" la întrebarea cine are acces la ce; „lucrăm de mult cu ei" la întrebarea ce risc aduce un furnizor.
Plan pe 30 de zile
Pe săptămâni, ca să nu pară un proiect:
Săptămâna 1: Inventar. Lista sistemelor critice, cine administrează fiecare, și ce se oprește dacă pică.
Săptămâna 2: Backup. Un test real de restaurare, cu timpii notați, plus verificarea unei copii izolate și a ce nu intră în backup.
Săptămâna 3: Accesuri și furnizori. Revizuirea accesurilor (conturi vechi, administratori, acces de la distanță, parole împărțite) și lista furnizorilor cu acces.
Săptămâna 4: Incident și goluri. Pagina de incident, plus o listă scurtă cu zonele incerte și ce urmează să îmbunătățești.
La final ai ceva ce înainte nu exista pus cap la cap: o imagine clară a ce ai, ce nu ai, ce ai testat și ce urmează. Asta e, de fapt, „pregătit".
Ce poate rămâne pentru mai târziu
Nu tot trebuie rezolvat în luna asta. Pot aștepta: politicile scrise formale dincolo de strictul necesar, certificările (ISO 27001 și altele), tooling-ul mai avansat. Nu pot aștepta, pentru că de ele depinde dacă îți revii și dacă poți răspunde onest: backup-ul testat, imaginea clară a accesurilor, pagina de incident, și lista golurilor tale.
Cu alte cuvinte, prioritizează după două criterii: ce te face să-ți revii după un incident, și ce poți demonstra. Restul vine după.
Când are sens ajutor extern
Multe firme au o echipă IT de unu-trei oameni, ocupată cu ce e zi de zi. Verificările astea, puse peste asta, sunt greu de încadrat nu pentru că ar fi complicate, ci pentru că cer timp dedicat și un rol care, formal, lipsește: cineva care să țină imaginea completă.
Aici ajută un partener extern să facă testul de restaurare ca lumea, să ducă revizuirea de accesuri într-o săptămână în loc de luni, să pună la punct pagina de incident, și să fie o a doua pereche de ochi pe goluri. Nu în locul echipei tale, ci alături de ea.
La HIFENCE facem exact pregătirea asta, împreună cu echipa internă: punem la punct backup-ul, accesurile, furnizorii și răspunsul la incident, și îți dăm imaginea clară a ce poți demonstra. Dacă te pregătești pentru o discuție de asigurare cyber (sau pur și simplu vrei să știi unde stai înainte să te întrebe altcineva), scrie-ne la [email protected].