Cine răspunde de securitate? Minimul de guvernanță pentru o firmă mică

Poți avea MFA, backup și antivirus — dacă nimeni nu răspunde de ele, se degradează în liniște: licența expiră, excepția „temporară” rămâne, angajatul nou nu mai primește instruirea. Securitatea nu e un proiect care se termină, e o responsabilitate care trebuie să aibă un nume de om atașat.

„Guvernanță” sună a corporație, dar la o firmă mică înseamnă trei lucruri simple: un responsabil, un obicei al conducerii și câteva reguli scrise. Ghidul de față le pune pe picioare într-o săptămână, fără birocrație.

Ce-ți trebuie

• Decizia conducerii că securitatea primește un „cine” — cu timp alocat, nu doar cu titlu
• O oră pe trimestru în calendarul conducerii, recurentă, de-acum
• Un loc unde regulile scrise sunt accesibile tuturor (intranet, folder partajat)

Pasul 1: numește responsabilul

1. Alege o persoană — de regulă cineva din IT sau operațional, cu putere reală de a cere schimbări. Poate fi cu o parte din normă; important e să fie una singură și numită oficial, nu „ne ocupăm toți”.
2. Scrie-i pe scurt mandatul: ține evidența măsurilor (inventar, backup, actualizări, accese), semnalează riscurile către conducere, coordonează răspunsul la incidente.
3. Spune-i firmei: un email de la conducere — „X răspunde de securitate; orice suspiciune sau întrebare merge la el/ea”. Vizibilitatea e jumătate din funcție.
4. Dacă expertiza lipsește intern, rolul poate fi sprijinit din exterior (un consultant, câteva ore pe lună) — dar interfața internă rămâne o persoană din firmă.

Pasul 2: ora trimestrială a conducerii

Securitatea discutată doar după incidente e mereu scumpă. O dată pe trimestru, o oră, cu o agendă fixă de patru întrebări:

1. Ce s-a întâmplat? Incidente, tentative, alarme false — inclusiv cele mici, care arată tipare.
2. Unde suntem descoperiți? Responsabilul vine cu 2-3 riscuri concrete, pe limba afacerii („dacă pleacă X, nimeni nu știe parolele de la…”), nu cu jargon.
3. Ce am promis data trecută și ce s-a făcut? Lista scurtă, cu stadiu. Aici se vede dacă guvernanța funcționează.
4. Ce decidem acum? Fiecare decizie cu un responsabil și un termen. O decizie fără termen e o părere.

Procesul-verbal: jumătate de pagină, păstrată. Peste un an, ai istoric — și dovezi, dacă cineva le cere.

Pasul 3: primele trei politici scrise

Nu-ți trebuie 20 de documente. Trei reguli scurte, scrise pe înțelesul oamenilor, acoperă majoritatea situațiilor:

1. Regula de acces și parole: parole unice și lungi, manager de parole, MFA unde există, cine aprobă accesele noi și cine le închide la plecare — ghidul de MFA e anexă naturală.
2. Regula echipamentelor: ce e voie pe dispozitivele de lucru, criptare obligatorie pe laptopuri, actualizări automate, ce faci dacă pierzi un dispozitiv.
3. Regula de raportare: orice pare suspect se raportează imediat responsabilului, fără consecințe — legată direct de planul de răspuns pe o pagină.

Scrie-le pornind de la ce faceți deja și vreți să devină regulă — nu de la un șablon ideal pe care nu-l va respecta nimeni. O pagină per politică e suficient; revizuire o dată pe an sau la schimbări mari.

Verifică rezultatul

• Întreabă trei angajați, la întâmplare: „cine răspunde de securitate la noi?” și „ce faci dacă primești un email dubios?”. Dacă răspund fără să se gândească, guvernanța există.
• La a doua ședință trimestrială, uită-te la lista de decizii din prima: câte s-au făcut? Sub jumătate = agenda e teatru, nu conducere.

Greșeli frecvente

• Responsabil cu titlu, fără timp. Dacă rolul e „pe lângă” un job deja plin, va pierde mereu la prioritizare. Alocă ore explicite.
• Politici copiate de pe internet. 30 de pagini de șablon corporatist pe care nu le-a citit nimeni fac mai mult rău decât lipsa lor: creează iluzia de acoperire.
• Ședința care alunecă în tehnic. Conducerea decide despre riscuri și bani, nu despre versiuni de firewall. Responsabilul traduce.
• Totul depinde de o singură persoană. Responsabilul are concediu și demisie ca oricine — regulile scrise și istoricul ședințelor sunt exact plasa de siguranță pentru asta.

---

Intri sub NIS2? Atunci ce ai citit aici e chiar cerința centrală: OUG 155/2024 pune răspunderea pentru măsurile de securitate explicit pe conducere, cu sancțiuni personale — iar responsabilul, ședințele și politicile scrise sunt forma concretă a acestei răspunderi. Ghidul NIS2 pentru România îți dă imaginea completă.