Când o organizație începe pregătirile pentru implementarea OUG 155/2024, apare frecvent întrebarea: „Ce curs trebuie să urmeze persoana responsabilă?”

Întrebarea merită extinsă: ce trebuie să știe și să poată face echipa care implementează cerințele?

Am primit o serie de întrebări din partea participanților referitoare la pregătirea profesională și competențele echipei care implementează cerințele OUG 155/2024. Chiar dacă ordonanța specifică anumite cursuri și certificări pe care trebuie să le dețină persoanele responsabile, există și alte cerințe care presupun competențe pentru evaluarea riscurilor, elaborarea politicilor, gestionarea incidentelor și recuperarea sistemelor. Un coordonator trebuie să înțeleagă legătura dintre aceste domenii, iar echipa trebuie să poată transforma cerințele în procese funcționale, decizii și măsuri verificabile.

Nu este necesar ca fiecare persoană să parcurgă toate cursurile prezentate în acest articol. Este necesar ca echipa să acopere competențele relevante pentru organizație, prin personal propriu și, după caz, specialiști externi.

Ce cerințe de formare profesională regăsim în OUG 155/2024?

  1. Membrii organelor de conducere ale entităților esențiale și importante trebuie să urmeze cursuri de formare profesională acreditate pentru identificarea riscurilor și evaluarea practicilor de gestionare a acestora și a impactului asupra serviciilor — art. 14 alin. (2).
  2. Entitățile esențiale și importante asigură în mod regulat formarea profesională a întregului personal — art. 14 alin. (2).
  3. Responsabilul cu rețelele și sistemele informatice, desemnat în entitățile esențiale, cu excepția entităților administrației publice, precum și a microîntreprinderilor și întreprinderilor mici, trebuie să urmeze un curs de specialitate acreditat, recunoscut de DNSC, în termen de 12 luni de la desemnare — art. 14 alin. (4) lit. e).
  4. Formarea membrilor echipelor CSIRT vizează pregătirea pentru gestionarea incidentelor și desfășurarea activității CSIRT — art. 13 lit. g), art. 15 și art. 30–34.
  5. Pregătirea auditorilor de securitate cibernetică este legată de efectuarea auditului reglementat și de cerințele aplicabile auditorilor — art. 11 alin. (5)–(6) și art. 57–58. Pentru efectuarea auditului de securitate cibernetică este necesar un atestat de auditor, aspect pe care îl detaliez mai jos.

Să luăm pe rând programele de formare menționate și să vedem care sunt disponibile la data publicării acestui articol:

  1. Cursul destinat membrilor organelor de conducere — indisponibil. Se așteaptă publicarea de către DNSC a deciziei pentru aprobarea standardului de pregătire a membrilor organelor de conducere ale entităților esențiale și importante și a listei de certificări de securitate cibernetică.
  2. Formarea profesională a întregului personal, prin cursul de igienă cibernetică — indisponibilă. Se așteaptă publicarea de către DNSC a standardului de pregătire și a tematicii cursului.
  3. Responsabilul cu rețelele și sistemele informatice – indisponibil. Se așteaptă publicarea de către DNSC a listei certificărilor recunoscute pentru această categorie de personal. Deși în prezent organizăm cursul „Manager Securitatea Informației” (COR 133048 – Chief Information Security Officer – CISO), acesta este prevăzut doar în proiectul de ordin al DNSC, nefiind încă inclus într-un ordin sau într-o decizie în forma finală.
  4. Cursul pentru formarea membrilor echipelor CSIRT — disponibil. Este un curs autorizat de DNSC, disponibil la furnizorii de formare profesională autorizați.
  5. Cursul pentru auditori de securitate cibernetică — disponibil. Este un curs autorizat de DNSC, disponibil la furnizorii de formare profesională autorizați.

Foarte important: conform art. 58 din OUG 155/2024, auditul de securitate cibernetică se realizează de către auditori de securitate cibernetică ce dețin un atestat valabil, eliberat de DNSC.

Atestatul este eliberat de DNSC în baza cererii transmise de auditor. Dosarul trebuie să conțină dovezi privind experiența, potrivit art. 25 din OSSG nr. 559/2021, și certificările suplimentare prevăzute la art. 25 și în anexa nr. 5 la același ordin.

Dacă ne referim strict la pregătirea profesională necesară pentru obținerea atestatului de auditor de securitate cibernetică, trebuie să dețineți certificatul de auditor de securitate cibernetică eliberat de DNSC în urma participării la curs și a promovării acestuia la un furnizor de formare autorizat, precum și cel puțin una dintre certificările specificate în anexa nr. 5.

În portofoliul RQM Cert găsiți cursuri de pregătire pentru următoarele certificări din anexa nr. 5 la OSSG nr. 559/2021:

Ce alte competențe sunt necesare echipei?

Pe lângă cerințele explicite privind formarea profesională din OUG 155/2024, avem nevoie de competențe în managementul riscurilor, securitatea informației, răspunsul la incidente, continuitatea activității și recuperarea sistemelor.

Cursurile de mai jos pot sprijini dezvoltarea competențelor necesare pentru aceste activități. Ordonanța nu le impune nominal și nu stabilește că o persoană trebuie să le absolve pe toate.

NIS 2 Directive Lead Implementer: coordonarea programului de implementare

Primul pas este înțelegerea proiectului în ansamblu: ce trebuie realizat, cine răspunde, ce resurse sunt necesare și cum se urmărește progresul.

Cursul NIS 2 Directive Lead Implementer dezvoltă o abordare integrată a implementării: planificare, managementul riscurilor, controale de securitate, incidente, comunicare, testare și monitorizare.

Este relevant pentru persoanele care coordonează programul de conformare și trebuie să conecteze activitatea conducerii cu cea a specialiștilor tehnici și operaționali.

ISO 27001 Information Security Lead Implementer: organizarea securității informației

Politicile de securitate devin utile atunci când sunt aplicate consecvent, susținute de responsabilități clare și revizuite pe baza rezultatelor.

Cursul ISO 27001 Information Security Lead Implementer pregătește participanții pentru planificarea, implementarea, administrarea și îmbunătățirea unui sistem de management al securității informației.

Este potrivit pentru membrii echipei care construiesc procesele organizaționale: elaborarea documentației, gestionarea riscurilor, selectarea măsurilor, monitorizarea și îmbunătățirea.

ISO 27005 Information Security Risk Manager sau ISO 27005 Information Security Lead Risk Manager: fundamentarea deciziilor

Ce riscuri trebuie tratate primele? Ce impact poate avea indisponibilitatea unui furnizor? Ce măsuri justifică investiția?

Cursurile ISO 27005 Information Security Risk Manager și ISO 27005 Information Security Lead Risk Manager dezvoltă competențe pentru identificarea, analiza, evaluarea, tratarea și monitorizarea riscurilor de securitate a informației.

Pregătirea este utilă pentru construirea registrului de riscuri, justificarea priorităților și evaluarea dependențelor de furnizori. Metodele învățate trebuie corelate cu metodologia națională aplicabilă.

ISO 27035 Information Security Lead Incident Manager: pregătirea răspunsului la incidente

În timpul unui incident, echipa are nevoie de reguli cunoscute: cine analizează situația, cine decide escaladarea, cine comunică și ce informații se păstrează.

Cursul ISO 27035 Information Security Lead Incident Manager este relevant pentru specialiștii care organizează și coordonează gestionarea incidentelor de securitate a informației.

Aplicabilitatea practică privește fluxurile de răspuns, coordonarea echipelor și documentarea incidentelor. Procedurile rezultate trebuie să includă termenele, destinatarii și mecanismele naționale de raportare.

ISO 22301 Business Continuity Lead Implementer: menținerea și reluarea activității

Un incident poate afecta simultan tehnologia, personalul, furnizorii și serviciile oferite clienților. Organizația trebuie să știe ce activități sunt prioritare și cum le poate susține în condiții de perturbare.

Cursul ISO 22301 Business Continuity Lead Implementer dezvoltă competențe pentru implementarea unui sistem de management al continuității activității.

Pregătirea acoperă analiza impactului asupra activității, evaluarea riscurilor, strategiile, planurile, exercițiile și evaluarea capacității de continuitate.

Este relevant pentru responsabilii de continuitate, managerii operaționali și membrii echipei care stabilesc prioritățile de menținere și reluare a serviciilor.

Lead Disaster Recovery Manager: recuperarea infrastructurii și a sistemelor

Continuitatea activității și recuperarea tehnică trebuie corelate. De exemplu, dacă un serviciu trebuie reluat într-un interval stabilit, echipa IT trebuie să poată restaura sistemele și datele care îl susțin.

Cursul Lead Disaster Recovery Manager se concentrează asupra planificării și organizării recuperării după dezastru.

Este util persoanelor care dezvoltă și testează planurile de recuperare a infrastructurii. Obiectivul practic este verificarea capacității de restaurare în condițiile cerute de activitate, inclusiv a dependențelor dintre sisteme.

ISO 27001 Information Security Lead Auditor: verificarea eficacității

Echipa trebuie să poată determina dacă procesele implementate funcționează și dacă dovezile susțin concluziile raportate conducerii.

Cursul ISO 27001 Information Security Lead Auditor dezvoltă competențe pentru evaluarea sistemului de management al securității informației și identificarea neconformităților.

Pregătirea poate contribui la verificările interne și la urmărirea măsurilor corective. Certificarea ISO 27001 Information Security Lead Auditor nu echivalează cu atestarea DNSC pentru efectuarea auditului de securitate cibernetică reglementat.

De ce contează pregătirea echipei?

În anul 2024, Uniunea Europeană a publicat un sondaj Eurobarometru ale cărui rezultate sunt în concordanță cu concluziile raportului ENISA și evidențiază deficitul tot mai mare de competențe în securitate cibernetică la nivelul Uniunii Europene. Companiile se confruntă cu dificultăți în recrutarea specialiștilor din cauza lipsei candidaților calificați, iar o parte dintre angajații care ocupă roluri în securitatea cibernetică nu dețin calificări formale și nici nu au urmat programe de formare certificate.

Valoarea pregătirii se vede în capacitatea echipei de a aplica împreună cunoștințele dobândite.

Pentru organizația ta, punctul de plecare este să identifici competențele care lipsesc din echipă și să alegi cursurile care îi ajută pe oameni să își îndeplinească responsabilitățile și să gestioneze situațiile concrete cu care se confruntă.