Cyber Fundamentals Framework

“Cyber Fundamentals Framework” dezvoltat de Centrul pentru Securitate Cibernetică din Belgia (CCB) este un răspuns la directiva NIS2 și reglementările aferente. Acest cadru își propune să ofere o abordare proporțională și bazată pe risc pentru îmbunătățirea rezilienței cibernetice în toate tipurile de organizații, adaptând măsuri la dimensiunea organizației, expunerea la riscuri și impactul potențial al incidentelor. Inspirat de standarde internaționale precum NIST CSF, ISO 27001 și IEC 62443, cadrul definește niveluri de asigurare (Basic, Important, Essential) cu cerințe de securitate crescătoare și măsuri concrete. Implementarea este evaluată printr-un sistem de măsurare a maturității și printr-o schemă de evaluare a conformității, incluzând auto-evaluări, verificări și certificări, cu inspecții obligatorii pentru entitățile considerate esențiale.

De ce este important “Cyber Fundamentals Framework”

Cadrul Cyber Fundamentals (CyFun®) este important pentru mai multe motive esențiale, vizând îmbunătățirea securității cibernetice la nivel național și organizațional în Belgia, dar și dincolo de aceasta, inclusiv în România acționând ca un răspuns la directiva NIS2.

• Răspuns la NIS2 și transpunere în România: Cadrul este conceput ca un răspuns la, și dincolo de Directiva NIS2, facilitând transpunerea acesteia în România. Directiva NIS2 este pusă în aplicare, în România prin ORDONANŢA DE URGENŢĂ Nr. 155/2024 din 30 decembrie 2024 privind instituirea unui cadru pentru securitatea cibernetică a reţelelor şi sistemelor informatice din spaţiul cibernetic naţional civil.
• Obiective strategice:
  • Protejarea datelor.
  • Reducerea semnificativă a riscului celor mai comune atacuri cibernetice.
  • Creșterea rezilienței cibernetice a organizațiilor.
  • Transformarea României într-una dintre țările europene cu cea mai mică vulnerabilitate cibernetică.
• Măsuri acționabile și proporționale: Cadrul oferă măsuri acționabile ca o rutină pentru a proteja datele și a reduce riscurile. Măsurile pe care entitățile trebuie să le ia sunt proporționale și bazate pe standarde internaționale și pe stadiul actual al tehnologiei. Proporționalitatea este un principiu cheie, realizat prin niveluri de asigurare bazate pe riscul cibernetic.
• Bazat pe standarde internaționale și adaptabilitate: Cadrul utilizează NIST CSF ca punct de plecare deoarece este comun și accesibil, adaptabil la multe tehnologii, faze ale ciclului de viață, sectoare și utilizări, este bazat pe risc și pe standarde internaționale, și este un document viu. De asemenea, include referințe normative precum ISO 27001/2, IEC 62443 și CIS Controls.
• Evaluarea riscurilor: Evaluarea riscurilor este elementul central al Cadrului Cyber Fundamentals și este obligatorie. Aceasta se bazează pe dimensiunea entității, gradul de expunere la riscuri, probabilitatea apariției incidentelor și severitatea acestora (inclusiv impactul social și economic). Există un instrument de evaluare a riscurilor pentru a determina nivelul de asigurare.
• Beneficii pentru organizații:
  • Conformitatea cu cerințele NIS2.
  • Asigurarea securității cibernetice în lanțul de aprovizionare.
  • Poate fi folosit pentru a demonstra reziliența entităților către bănci și companii de asigurări.
  • Certificarea sub acreditare poate duce la o eficiență a costurilor.
  • Permite definirea unei căi de creștere pentru fiecare entitate.
• Abordare holistică: Se concentrează atât pe conștientizare și training, cât și pe măsuri tehnice de securitate și guvernanță, abordând măsuri pentru oameni, procese și tehnologie.
• Măsurabilitate și evaluare a conformității: Cadrul este măsurabil prin niveluri de maturitate (Inițial, Repetabil, Definit, Gestionat, Optimizat) legate de documentare și implementare.

Cyber Fundamentals Essential

Despre curs

Obiectivele de învățare

La finalizarea acestui curs, participanții vor dobândi competențe adaptate nivelului lor de experiență, într-o manieră care permite atât construirea unei baze solide pentru începători, cât și rafinarea expertizei pentru profesioniștii experimentați.

• Pentru participanții aflați la început de drum în securitatea cibernetică: Veți înțelege conceptele fundamentale ale celor cinci funcții din cadrul CyberFundamentals (identify, protect, detect, respond și recover), dobândind vocabularul esențial și capacitatea de a identifica cum se aplică acestea în contexte organizaționale reale. Veți învăța să recunoașteți principalele tipuri de amenințări cibernetice și să înțelegeți logica din spatele măsurilor de protecție. De asemenea, veți dezvolta abilitatea de a participa constructiv la discuțiile despre securitate din organizația dumneavoastră și veți putea identifica când este necesar să solicitați sprijin specializat.
• Pentru profesioniștii cu experiență în domeniu: Veți aprofunda înțelegerea modului în care cadrul CyberFundamentals se integrează cu standardele internaționale pe care deja le cunoașteți, descoperind noi perspective de optimizare a proceselor existente. Veți dezvolta competențe avansate în evaluarea proporționalității măsurilor de securitate raportate la profilul de risc specific organizației dumneavoastră. Cursul vă va oferi instrumente pentru a rafina strategiile de colaborare cu furnizorii și pentru a îmbunătăți mecanismele de guvernanță a securității cibernetice. Veți explora, de asemenea, tehnici avansate de orchestrare a răspunsului la incidente și modalități inovatoare de testare a rezilienței organizaționale.
• Obiective transversale pentru toți participanții: Indiferent de nivelul de experiență, toți cursanții vor dezvolta capacitatea de a comunica eficient despre riscurile cibernetice cu diverse părți interesate, de la conducerea executivă până la echipele tehnice. Veți învăța să adaptați limbajul și abordarea în funcție de audiență, transformând conceptele tehnice complexe în mesaje clare și acționabile. Cursul pune accent pe dezvoltarea unei gândiri critice privind securitatea, care să permită evaluarea continuă a eficacității măsurilor implementate și adaptarea acestora la evoluția amenințărilor.

Un aspect esențial al programului este dezvoltarea capacității de a vedea securitatea cibernetică nu ca un set izolat de măsuri tehnice, ci ca o componentă integrată a strategiei organizaționale. Veți învăța să identificați interdependențele dintre diferitele funcții de securitate și să construiți o abordare holistică care să maximizeze protecția cu resurse optimizate.

Pentru cei care urmăresc certificări profesionale sau conformarea cu cerințe de reglementare, cursul oferă o pregătire solidă, aliniată cu așteptările auditorilor și autorităților de supraveghere. Veți dobândi nu doar cunoștințele teoretice necesare, ci și capacitatea de a demonstra practic implementarea măsurilor de securitate într-un mod documentat și verificabil.

Abordarea educațională

Cursul este structurat pe baza unei combinații de metode teoretice și aplicative, incluzând:

• prezentări detaliate pentru a construi o bază solidă de cunoștințe;
• studii de caz inspirate din incidente reale și bune practici internaționale;
• discuții și dezbateri pe teme de actualitate din domeniul securității cibernetice;
• exerciții și activități practice pentru aplicarea imediată a cunoștințelor dobândite;
• sesiuni interactive de întrebări și răspunsuri pentru clarificarea și aprofundarea conceptelor.

Cui i se adresează acest curs?

Acest program este conceput să ofere valoare atât persoanelor aflate la început de drum, cât și specialiștilor cu experiență. pentru a reflecta diversitatea publicului-țintă, am grupat participanții în trei categorii, în funcție de familiaritatea cu securitatea cibernetică.

Participanți fără experiență tehnică:

• angajați din departamente non-it (resurse umane, financiar, marketing, vânzări) care gestionează date sensibile și vor să înțeleagă riscurile cibernetice;
• antreprenori și proprietari de afaceri mici sau mijlocii care își administrează singuri infrastructura digitală;
• personal operațional din mediul industrial/ot care trebuie să respecte proceduri de securitate, deși nu are un rol tehnic dedicat;
• studenți, absolvenți și persoane aflate în reconversie profesională, dornice să dobândească o bază solidă pentru viitoare certificări;
• responsabili gdpr sau data protection officers care vor să integreze controale cibernetice în programele de conformitate.

Participanți cu roluri tehnice, nivel intermediar:

• specialiști it care doresc să-și extindă competențele spre guvernanța securității informației;
• administratori de sistem, rețea sau cloud interesați să alinieze practicile curente la standarde internaționale;
• analiști soc și membri ai echipelor de detecție și răspuns care urmăresc o abordare structurată pe funcțiile cyberfundamentals;
• project și product managers implicați în dezvoltarea de soluții digitale și care trebuie să integreze cerințe de securitate încă din faza de design.

Participanți avansați și factori de decizie strategică:

• CISO, manageri de securitate cibernetică și directori it care coordonează programe organizaționale complexe;
• consultanți, auditori interni sau externi și responsabili de implementarea standardelor ISO/IEC 27001, NIST CSF, IEC 62443;
• membri ai echipelor CSIRT, responsabili NIS și personal implicat în relația cu autoritățile competente;
• reprezentanți ai organizațiilor care furnizează sau gestionează infrastructuri it/ot critice și servicii esențiale;
• executive management (CEO, CFO, board members) care trebuie să ia decizii informate privind bugetul și strategia de securitate.

Indiferent de nivel, cursul pune accent pe adaptarea conținutului la realitatea fiecărei categorii, de la terminologia de bază până la tehnici avansate de evaluare a riscului, astfel încât fiecare participant să poată aplica imediat cunoștințele în mediul său profesional.

De ce să participi?

• întrlegerea standardelor europene și internaționale de securitate cibernetică;
• formare completă, practică și adaptată contextului organizațional actual;
• dobândirea de competențe utile în procesele de conformitate și evaluare a riscurilor;
• instrumente clare pentru gestionarea furnizorilor, a incidentelor și a rezilienței operaționale;
• pregătire aplicabilă direct în activitatea profesională și recunoscută la nivel național.

Structura cursului

Cursul este conceput pentru a asigura un parcurs logic și progresiv de formare, distribuit pe durata a patru zile consecutive. Fiecare zi este dedicată aprofundării unor funcții esențiale din cadrul CyberFundamentals, cu scopul de a crea o înțelegere solidă și integrată a măsurilor de securitate cibernetică aplicabile în mediul organizațional actual.

• Ziua 1: Identify & Protect – Sesiunile din prima zi sunt axate pe dezvoltarea competențelor privind identificarea activelor digitale, clasificarea informațiilor, gestionarea responsabilităților cibernetice și implementarea măsurilor de protecție, precum controale de acces, politici de securitate, conștientizare și formare a utilizatorilor.
• Zilele 2 – 3: Detect & Respond – Zilele doi si trei sunt orientate către mecanismele de detecție timpurie a incidentelor, analiză a comportamentelor anormale, utilizarea soluțiilor SIEM și gestionarea răspunsului prin proceduri bine definite, comunicare eficientă, investigații forensice și lecții învățate post-incident.
• Ziua 4: Recover – Ultima zi este dedicată construirii capacităților de reziliență, restaurării funcționalității și continuității serviciilor. Se vor discuta concepte precum planuri de recuperare, RTO și RPO, redundanță, testarea scenariilor de recuperare și planificarea strategică. Sesiunea include, de asemenea, o simulare aplicativă și o recapitulare generală cu sesiune de întrebări și răspunsuri.