Ce înseamnă, de fapt, măsurile tehnico-organizatorice
Atunci când discutăm despre protecția datelor sau securitate cibernetică, prima reacție este de multe ori să ne gândim la departamentul IT. Firewall-uri, antivirus, criptare, backup-uri sau soluții de monitorizare. În realitate însă, atât GDPR, cât și Directiva NIS2 vorbesc despre implementarea unor „măsuri tehnice și organizatorice”, iar alegerea acestor termeni nu este deloc întâmplătoare. Mesajul este simplu: securitatea nu poate fi rezolvată doar prin tehnologie.
GDPR cere organizațiilor să implementeze măsuri adecvate pentru protejarea datelor cu caracter personal, iar NIS2 merge și mai departe, punând accent pe gestionarea riscurilor de securitate cibernetică la nivelul întregii organizații. În ambele cazuri, accentul nu este pus doar pe instrumentele folosite, ci și pe modul în care organizația este condusă, pe procesele existente și pe comportamentul oamenilor care lucrează cu informațiile.
De fapt, termenul „tehnico-organizatoric” spune foarte clar că există două componente care trebuie să funcționeze împreună. Partea tehnică include măsuri precum criptarea, controlul accesului, segmentarea rețelelor, sistemele de detecție a atacurilor sau mecanismele de backup și restaurare. Partea organizatorică se referă la politici, proceduri, responsabilități, evaluări de risc, instruirea personalului și mecanismele prin care organizația se asigură că regulile sunt respectate.
Această abordare este reflectată foarte bine și în standardul ISO 27001, considerat la nivel internațional unul dintre principalele repere pentru managementul securității informației. Standardul nu este construit în jurul ideii de tehnologie, ci în jurul managementului riscurilor. Cu alte cuvinte, nu este suficient să cumperi soluții de securitate; trebuie să înțelegi ce riscuri ai, cine răspunde pentru ele și cum te asiguri că măsurile adoptate funcționează în practică.
Un argument foarte bun în acest sens îl reprezintă controalele de securitate din Anexa A a ISO 27001. O parte dintre acestea sunt evident tehnice și țin de infrastructura IT. Însă multe dintre controale sunt organizaționale: definirea politicilor de securitate, atribuirea responsabilităților, managementul relației cu furnizorii, clasificarea informațiilor, gestionarea incidentelor sau programele de conștientizare pentru angajați. Cu alte cuvinte, standardul recunoaște explicit că securitatea este un efort colectiv.
Un exemplu simplu este reprezentat de atacurile de phishing. O companie poate investi sume importante în tehnologii de securitate, dar dacă un angajat deschide un e-mail fraudulos și furnizează credențiale de acces, incidentul se poate produce în continuare. În multe situații, problema nu este lipsa tehnologiei, ci lipsa instruirii sau a unei culturi organizaționale orientate către securitate.
Din acest motiv, resursele umane, departamentul juridic, achizițiile, managementul și echipele operaționale au un rol la fel de important ca specialiștii IT. Resursele umane contribuie prin procese de recrutare și instruire, departamentul juridic prin clauzele contractuale și evaluarea conformității, iar managementul prin alocarea resurselor și asumarea responsabilității pentru deciziile legate de risc. Securitatea informației devine astfel o componentă a guvernanței organizaționale, nu doar o funcție tehnică.
Această idee este întărită și de NIS2, care pune responsabilitatea direct la nivelul conducerii organizației. Managementul trebuie să aprobe măsurile de securitate, să supravegheze implementarea lor și să se asigure că există resurse suficiente pentru gestionarea riscurilor. Practic, directiva transmite clar că securitatea cibernetică nu poate fi delegată integral către departamentul IT.
În fond, cele mai eficiente programe de securitate sunt cele care reușesc să îmbine oameni, procese și tehnologie. Dacă una dintre aceste componente lipsește, întregul mecanism devine vulnerabil. Tehnologia fără reguli clare poate fi utilizată greșit, regulile fără implicarea oamenilor rămân doar documente, iar personalul bine intenționat nu poate compensa lipsa unor măsuri tehnice adecvate.
Deci, atunci când GDPR, NIS2 sau ISO 27001 vorbesc despre măsuri tehnico-organizatorice, nu se referă doar la soluții IT. Ele descriu un model de responsabilitate distribuită în întreaga organizație. Protecția datelor și securitatea informației sunt un obiectiv comun care trebuie susținut de management și înțeles de fiecare angajat. Doar așa se poate construi un nivel real și sustenabil de reziliență în fața riscurilor actuale.