Cyber Fundamentals Framework

“Cyber Fundamentals Framework” dezvoltat de Centrul pentru Securitate Cibernetică din Belgia (CCB) este un răspuns la directiva NIS2 și reglementările aferente. Acest cadru își propune să ofere o abordare proporțională și bazată pe risc pentru îmbunătățirea rezilienței cibernetice în toate tipurile de organizații, adaptând măsuri la dimensiunea organizației, expunerea la riscuri și impactul potențial al incidentelor. Inspirat de standarde internaționale precum NIST CSF, ISO 27001 și IEC 62443, cadrul definește niveluri de asigurare (Basic, Important, Essential) cu cerințe de securitate crescătoare și măsuri concrete. Implementarea este evaluată printr-un sistem de măsurare a maturității și printr-o schemă de evaluare a conformității, incluzând auto-evaluări, verificări și certificări, cu inspecții obligatorii pentru entitățile considerate esențiale.

De ce este important “Cyber Fundamentals Framework”

Cadrul Cyber Fundamentals (CyFun®) este important pentru mai multe motive esențiale, vizând îmbunătățirea securității cibernetice la nivel național și organizațional în Belgia, dar și dincolo de aceasta, inclusiv în România acționând ca un răspuns la directiva NIS2.

• Răspuns la NIS2 și transpunere în România: Cadrul este conceput ca un răspuns la, și dincolo de Directiva NIS2, facilitând transpunerea acesteia în România. Directiva NIS2 este pusă în aplicare, în România prin ORDONANŢA DE URGENŢĂ Nr. 155/2024 din 30 decembrie 2024 privind instituirea unui cadru pentru securitatea cibernetică a reţelelor şi sistemelor informatice din spaţiul cibernetic naţional civil.
• Obiective strategice:
  • Protejarea datelor.
  • Reducerea semnificativă a riscului celor mai comune atacuri cibernetice.
  • Creșterea rezilienței cibernetice a organizațiilor.
  • Transformarea României într-una dintre țările europene cu cea mai mică vulnerabilitate cibernetică.
• Măsuri acționabile și proporționale: Cadrul oferă măsuri acționabile ca o rutină pentru a proteja datele și a reduce riscurile. Măsurile pe care entitățile trebuie să le ia sunt proporționale și bazate pe standarde internaționale și pe stadiul actual al tehnologiei. Proporționalitatea este un principiu cheie, realizat prin niveluri de asigurare bazate pe riscul cibernetic.
• Bazat pe standarde internaționale și adaptabilitate: Cadrul utilizează NIST CSF ca punct de plecare deoarece este comun și accesibil, adaptabil la multe tehnologii, faze ale ciclului de viață, sectoare și utilizări, este bazat pe risc și pe standarde internaționale, și este un document viu. De asemenea, include referințe normative precum ISO 27001/2, IEC 62443 și CIS Controls.
• Evaluarea riscurilor: Evaluarea riscurilor este elementul central al Cadrului Cyber Fundamentals și este obligatorie. Aceasta se bazează pe dimensiunea entității, gradul de expunere la riscuri, probabilitatea apariției incidentelor și severitatea acestora (inclusiv impactul social și economic). Există un instrument de evaluare a riscurilor pentru a determina nivelul de asigurare.
• Beneficii pentru organizații:
  • Conformitatea cu cerințele NIS2.
  • Asigurarea securității cibernetice în lanțul de aprovizionare.
  • Poate fi folosit pentru a demonstra reziliența entităților către bănci și companii de asigurări.
  • Certificarea sub acreditare poate duce la o eficiență a costurilor.
  • Permite definirea unei căi de creștere pentru fiecare entitate.
• Abordare holistică: Se concentrează atât pe conștientizare și training, cât și pe măsuri tehnice de securitate și guvernanță, abordând măsuri pentru oameni, procese și tehnologie.
• Măsurabilitate și evaluare a conformității: Cadrul este măsurabil prin niveluri de maturitate (Inițial, Repetabil, Definit, Gestionat, Optimizat) legate de documentare și implementare.

Beneficiile obținute de persoanele care urmează cursuri de pregătire pe baza CyFun®

Așa cum am discutat anterior, Cadrul CyFun® pune un accent puternic pe “conștientizare și training” ca parte a abordării sale holistice care vizează “oameni, procese și tehnologie” pentru a îmbunătăți securitatea cibernetică. Măsurile propuse de cadru sunt menite să “protejeze datele” și să “reducă semnificativ riscul celor mai comune atacuri cibernetice”. Prin urmare, o persoană care urmează cursuri de pregătire bazate pe CyFun® va obține următoarele beneficii:

• Creșterea competențelor și cunoștințelor în securitate cibernetică: Curricula bazată pe CyFun® oferă o înțelegere aprofundată a măsurilor acționabile pentru a proteja datele și a reduce riscurile cibernetice. Aceasta include cunoștințe despre controalele (cerințele) cadrului și ghidurile asociate.
• Dezvoltarea unei mentalități orientate spre risc: Cadrul se bazează pe evaluarea riscurilor, iar formarea ajută persoanele să înțeleagă cum să identifice, să evalueze și să gestioneze riscurile cibernetice în rolurile lor.
• Îmbunătățirea capacității de a răspunde la incidente: Componenta “Respond: Acting on a detected cybersecurity incident” a cadrului (care include Analiză, Planificare Răspuns, Atenuare, Îmbunătățire și Comunicare) oferă cursanților abilități practice în gestionarea incidentelor de securitate.
• Adaptabilitate la diverse tehnologii și sectoare: Deoarece CyFun® utilizează NIST CSF ca punct de plecare, care este “adaptabil la multe tehnologii, faze ale ciclului de viață, sectoare și utilizări”, persoanele formate vor putea aplica cunoștințele într-o varietate de contexte profesionale.
• Recunoaștere profesională și oportunități de carieră: Deținerea unor cunoștințe și abilități validate de un cadru recunoscut, cum este CyFun®, sporește credibilitatea profesională și deschide noi oportunități în domeniul securității cibernetice.
• Contribuția la reziliența organizațională: Persoanele instruite în conformitate cu CyFun® vor putea deveni agenți activi în implementarea și menținerea măsurilor de securitate cibernetică ale organizației, contribuind direct la “creșterea rezilienței cibernetice a organizațiilor”.
• Aplicabilitate practică a standardelor internaționale: Formarea integrează cunoștințe din standarde internaționale precum NIST CSF, ISO 27001/2, IEC 62443 și CIS Controls, oferind o bază solidă, bazată pe cele mai bune practici.

Cyber Fundamentals Basic

Despre curs

Acest curs intensiv oferă o înțelegere cuprinzătoare a măsurilor fundamentale de securitate cibernetică necesare pentru protejarea organizațiilor împotriva celor mai comune amenințări digitale. Bazat pe framework-ul CyberFundamentals dezvoltat de Centre for Cybersecurity Belgium, cursul integrează cele mai bune practici din standardele internaționale de referință precum NIST Cybersecurity Framework, ISO 27001/27002, IEC 62443 și CIS Critical Security Controls.

Prin sesiuni interactive online desfășurate onlinem, participanții vor învăța să implementeze un set concret de 34 de controale de securitate organizate în jurul a cinci funcții esențiale: Identificare, Protecție, Detectare, Răspuns și Recuperare. Cursul pune accent special pe 13 măsuri cheie care oferă cel mai mare impact în reducerea riscurilor cibernetice, asigurând o abordare pragmatică și eficientă pentru îmbunătățirea rezilienței organizaționale.

Programul combină prezentări teoretice cu exemple practice și studii de caz relevante pentru mediul de afaceri românesc, oferind participanților instrumentele necesare pentru a construi o strategie solidă de securitate cibernetică adaptată nevoilor specifice ale organizației lor.

Obiectivele de învățare

La finalizarea acestui curs, participanții vor fi capabili să:

• Înțeleagă ce înseamnă securitatea cibernetică pentru afacerea lor și de ce este importantă protejarea informațiilor companiei. Veți putea identifica care sunt cele mai valoroase informații ale organizației dvs. (date despre clienți, informații financiare, documente confidențiale) și veți înțelege consecințele pe care le poate avea pierderea sau compromiterea acestora.
• Recunoască principalele amenințări digitale cu care se confruntă o organizație în activitatea zilnică – de la emailuri frauduloase și virusi, până la accesări neautorizate și pierderi de date. Veți învăța să identificați semnele de avertizare și să evitați capcanele comune în care cad multe organizații.
• Implementeze măsuri simple dar eficiente de protecție pe care le poate aplica oricine, indiferent de cunoștințele tehnice. Acestea includ crearea de parole puternice, activarea verificării în doi pași pentru conturi importante, și organizarea corectă a accesului angajaților la informații.
• Creeze o rutină de salvare a datelor importante care să vă protejeze împotriva pierderilor accidentale sau a atacurilor de tip ransomware. Veți învăța unde și cum să stocați copii de siguranță ale informațiilor critice și cum să le testați pentru a vă asigura că funcționează când aveți nevoie de ele.
• Stabilească reguli clare pentru angajați privind utilizarea în siguranță a calculatoarelor și internetului la locul de muncă. Veți putea elabora instrucțiuni simple pe care toți colegii să le înțeleagă și să le urmeze, creând astfel o cultură a securității în organizație.
• Știe ce să facă când ceva nu merge bine – cum să recunoască un posibil atac cibernetic, cui să raporteze, ce măsuri imediate să ia pentru a limita pagubele și cum să revină la normal după un incident. Veți avea un plan clar de acțiune pe care îl poate urma oricine din organizație.
• Comunice eficient cu specialiștii IT atunci când aveți nevoie de ajutor tehnic sau când doriți să implementați soluții mai avansate. Veți învăța vocabularul de bază necesar pentru a înțelege recomandările experților și pentru a lua decizii informate privind investițiile în securitate.
• Evalueze nivelul actual de protecție al organizației folosind o listă simplă de verificare pe care o veți primi la curs. Aceasta vă va ajuta să identificați unde sunteți bine protejați și unde mai aveți de lucru, permițându-vă să prioritizați eforturile și bugetul pentru securitate.

Toate aceste competențe sunt prezentate într-un limbaj accesibil, cu exemple concrete din situații reale întâlnite de organizații similare cu a dumneavoastră, astfel încât să puteți aplica imediat ceea ce învățați, fără a avea nevoie de cunoștințe tehnice prealabile.

Abordarea educațională

Cursul este structurat pe baza unei metodologii interactive și orientate spre aplicabilitate practică, incluzând:

• Prezentări structurate și ghidate – Fiecare modul începe cu o explicație clară a conceptelor fundamentale, folosind diagrame și exemple concrete pentru a facilita înțelegerea. Instructorul va prezenta pas cu pas cerințele fiecărui control de securitate și motivația din spatele acestora.
• Exerciții practice și demonstrații live – Participanții vor vedea demonstrații în timp real ale implementării măsurilor de securitate și vor avea oportunitatea să exerseze configurarea controalelor într-un mediu simulat sigur.
• Discuții interactive și sesiuni Q&A – După fiecare modul major, se alocă timp pentru întrebări și discuții, permițând participanților să clarifice aspectele complexe și să împărtășească experiențe din propriile organizații.
• Studii de caz adaptate realității românești – Vor fi analizate incidente reale de securitate și modalități de prevenire, cu accent pe provocările specifice întâmpinate de organizațiile din România.
• Materiale suport comprehensive – Participanții vor primi un suport de curs care conține 122 de pagini de informații detaliate.

Cui i se adresează acest curs?

Cursul este special conceput pentru profesioniști care nu dețin cunoștințe tehnice avansate în domeniul securității cibernetice, dar care au responsabilități legate de protejarea informațiilor și sistemelor organizației. Este soluția ideală pentru:

• Proprietari de afaceri mici și mijlocii care înțeleg importanța protejării datelor companiei, dar nu știu de unde să înceapă sau care sunt măsurile esențiale pe care trebuie să le implementeze. Cursul oferă un ghid clar și practic, fără jargon tehnic complicat.
• Manageri non-IT cu responsabilități de securitate care au primit sarcina de a îmbunătăți securitatea organizației, dar nu au background tehnic. Vor învăța să comunice eficient cu echipele IT și să ia decizii informate privind investițiile în securitate.
• Personal administrativ care gestionează sisteme informatice în organizații mici unde nu există departament IT dedicat. Aceștia vor dobândi cunoștințele de bază necesare pentru a configura și menține măsuri esențiale de protecție.
• Antreprenori și start-up-uri care doresc să construiască de la început o cultură de securitate în organizația lor, înțelegând că prevenția este mult mai eficientă și mai puțin costisitoare decât remedierea după un incident.
• Angajați din diverse departamente (HR, financiar, administrativ) care lucrează cu date sensibile și doresc să înțeleagă cum să contribuie la securitatea organizației prin practici corecte de lucru.
• Reprezentanți ai microîntreprinderilor care nu își permit specialiști dedicați de securitate, dar care procesează date importante ale clienților și trebuie să respecte cerințe minime de protecție.
• Manageri de proiect și coordonatori care supervizează implementarea de sisteme noi și doresc să integreze aspectele de securitate încă din faza de planificare, fără a depinde exclusiv de consultanți externi.

Cursul este structurat astfel încât să fie accesibil persoanelor fără pregătire tehnică prealabilă, folosind explicații clare, exemple concrete din viața reală și concentrându-se pe acțiunile practice pe care fiecare participant le poate implementa imediat în organizația sa.

De ce să participi?

• Vei înțelege în sfârșit ce înseamnă securitatea cibernetică fără să te pierzi în termeni tehnici complicați. Multe cursuri de securitate sunt create de specialiști pentru specialiști, folosind un limbaj greu de înțeles. Acest curs a fost special conceput pentru persoane ca tine, care au nevoie de soluții practice, nu de teorie complexă. Vei pleca acasă știind exact ce trebuie să faci, nu doar ce ar trebui să știi.
• Vei economisi bani evitând greșelile costisitoare pe care le fac majoritatea afacerilor mici și mijlocii. În loc să înveți din propria experiență dureroasă după un atac cibernetic, vei afla care sunt capcanele comune și cum să le eviți. Un singur incident prevenit poate economisi organizației tale mii sau zeci de mii de euro în recuperare și pierderi de productivitate.
• Vei putea implementa măsuri de protecție chiar din ziua următoare, fără să aștepți consultanți sau specialiști.Cursul se concentrează pe acțiuni concrete pe care le poți face tu însuți sau le poți coordona cu ușurință. De exemplu, vei ști cum să configurezi copii de siguranță automate, cum să setezi parole sigure pentru toată echipa și cum să verifici dacă sistemele tale sunt actualizate.
• Vei câștiga încrederea clienților și partenerilor demonstrând că iei în serios protecția datelor lor. În era GDPR și a scurgerilor masive de date, clienții vor din ce în ce mai mult să știe că informațiile lor sunt în siguranță. După acest curs, vei putea să le explici clar ce măsuri ai implementat și de ce datele lor sunt protejate la tine.
• Vei dormi mai liniștit știind că ai făcut tot ce trebuie pentru a-ți proteja afacerea. Incertitudinea și frica de necunoscut sunt adesea mai stresante decât problemele reale. După curs, vei avea o imagine clară asupra riscurilor reale și vei ști că ai implementat măsurile esențiale de protecție. Nu vei mai fi la mila „norocului” când vine vorba de securitate.
• Vei putea comunica eficient cu furnizorii IT și vei evita să plătești pentru servicii de care nu ai nevoie. Mulți antreprenori se simt vulnerabili când discută cu specialiști IT, temându-se că vor fi păcăliți sau că vor cumpăra soluții prea scumpe. După curs, vei înțelege suficient pentru a pune întrebările potrivite și pentru a evalua dacă recomandările primite sunt realmente necesare pentru situația ta.
• Vei primi instrumente practice pe care le poți folosi imediat în organizația ta. Nu vei pleca doar cu informații teoretice, ci cu modele de politici, liste de verificare și ghiduri pas cu pas pe care le poți adapta și implementa. Este ca și cum ai avea un consultant de securitate în buzunar, gata să te ajute ori de câte ori ai nevoie.
• Investiția ta de timp este minimă comparativ cu impactul pe termen lung. Vei dobândi cunoștințe care îți vor proteja afacerea pentru anii următori. Este mai puțin timp decât petreci într-o zi rezolvând probleme cauzate de un singur virus sau atac cibernetic, dar beneficiile vor dura mult mai mult.

Structura cursului

Cursul se desfășoară pe parcursul unei zile, în format online prin platforma Zoom. Am structurat conținutul în module ușor de urmărit, cu pauze regulate pentru a menține atenția și a permite asimilarea informațiilor. Fiecare modul începe cu explicații simple și exemple din viața reală, pentru ca apoi să trecem la aplicații practice pe care le veți putea folosi imediat în organizația dumneavoastră.

• Modulul 1: Înțelegerea bazelor – Ce trebuie să știți despre securitatea digitală

Vom începe prin a înțelege împreună de ce securitatea cibernetică este importantă pentru orice afacere, indiferent de mărime. Veți învăța să identificați ce informații valoroase aveți în organizație – poate fi vorba despre lista de clienți, rețete secrete, planuri de afaceri sau pur și simplu datele financiare. Vom discuta despre cum circulă aceste informații prin organizația dumneavoastră și cine are acces la ele.

• Modulul 2: Construirea unui zid de protecție – Măsuri practice pe care le puteți implementa

Acesta este cel mai consistent modul, în care vom învăța împreună cum să construiți bariere eficiente împotriva amenințărilor digitale. Vom începe cu lucruri simple dar extrem de importante: cum să creați parole puternice pe care să le țineți minte, de ce este important să aveți parole diferite pentru conturi diferite, și cum să folosiți verificarea în doi pași; vom continua cu organizarea accesului angajaților la informații și cum să organizați folderele și permisiunile astfel încât fiecare să aibă acces doar la ce are nevoie pentru munca sa.

• Modulul 3: Cum să știți când ceva nu este în regulă

În acest modul vom învăța să fim detectivi digitali. Vă vom arăta care sunt semnele că cineva încearcă să vă păcălească sau să vă atace sistemele, și veți afla și cum să țineți evidența a ceea ce se întâmplă în sistemele dumneavoastră.

• Modulul 4: Ce să faceți când se întâmplă ceva rău

Nimeni nu vrea să se gândească la ce se întâmplă dacă protecțiile eșuează, dar este esențial să fiți pregătiți. În acest modul vom crea împreună un plan simplu de acțiune pentru situații de

criză; vom discuta și despre cum să comunicați cu angajații și clienții în timpul unei crize, fără să creați panică dar fiind transparenți despre situație.

• Modulul 5: Revenirea la normal și învățarea din experiență

În această secțiune scurtă vom discuta despre cum să vă recuperați după un incident și, mai important, cum să învățați din experiență pentru a preveni repetarea problemelor.

• Sesiunea finală: Punerea în practică și pașii următori

În ultima oră vom recapitula toate măsurile importante învățate și vom răspunde la toate întrebările dumneavoastră și vă vom oferi resurse suplimentare pe care le puteți consulta după curs.

Pe parcursul întregului curs, vom folosi analogii din viața de zi cu zi pentru a face conceptele ușor de înțeles. Fiecare concept tehnic va fi explicat în termeni simpli, pentru că scopul nu este să deveniți experți IT, ci să vă puteți proteja eficient afacerea.