DNSC: instruirea angajaților devine o măsură esențială de apărare împotriva atacurilor cibernetice

Directoratul Național de Securitate Cibernetică (DNSC) a publicat un nou „Ghid pentru elaborarea unei politici de instruire în domeniul securității cibernetice”, un document care oferă organizațiilor din România un model de referință pentru dezvoltarea programelor de formare dedicate angajaților și consolidării culturii de securitate cibernetică.

În contextul în care atacurile informatice devin tot mai sofisticate, iar metodele de inginerie socială bazate pe phishing, deepfake sau inteligență artificială sunt din ce în ce mai frecvente, DNSC subliniază că factorul uman rămâne cea mai exploatată vulnerabilitate.

Potrivit ghidului, peste 80% dintre incidentele de securitate cibernetică au la bază erori umane, precum accesarea unor linkuri malițioase, utilizarea unor parole slabe, configurarea greșită a sistemelor sau transmiterea accidentală a informațiilor sensibile. Din acest motiv, instruirea continuă nu mai este privită ca o opțiune, ci ca o componentă esențială a strategiei de securitate a oricărei organizații.

Un ghid pentru toate categoriile de personal

Documentul publicat de DNSC se adresează tuturor categoriilor de angajați și urmărește:

• dezvoltarea și consolidarea culturii de securitate cibernetică;
• reducerea riscurilor generate de factorul uman;
• respectarea cerințelor legale și de conformitate;
• pregătirea personalului pentru identificarea, raportarea și gestionarea incidentelor de securitate cibernetică.

Ghidul vine și în contextul aplicării prevederilor OUG nr. 155/2024, aprobată prin Legea nr. 124/2025, care obligă entitățile esențiale și importante să implementeze măsuri tehnice, operaționale și organizatorice pentru gestionarea riscurilor cibernetice, inclusiv prin formarea și conștientizarea personalului.

Instruirea trebuie adaptată rolului fiecărui angajat

DNSC recomandă ca programele de formare să nu fie identice pentru toți angajații, ci adaptate responsabilităților și nivelului de acces al fiecărei categorii de personal.

Astfel, ghidul propune programe dedicate pentru angajații obișnuiți, personalul IT și de securitate, management, administratorii de sisteme, personalul care gestionează date cu caracter personal, furnizorii externi și noii angajați. Temele abordate includ phishing, parole și autentificare multifactor (MFA), inginerie socială, utilizarea responsabilă a instrumentelor bazate pe inteligență artificială, răspunsul la incidente și securizarea infrastructurilor IT.

Simulările de phishing și exercițiile practice, recomandate organizațiilor

Printre metodele recomandate pentru dezvoltarea competențelor de securitate cibernetică se regăsesc:

• sesiuni față în față;
• module de e-learning;
• simulări de phishing;
• exerciții de tip tabletop pentru management;
• webinarii;
• campanii interne de conștientizare;
• cursuri certificate;
• competiții de tip Capture The Flag (CTF) pentru personalul tehnic.

DNSC subliniază că utilizarea combinată a acestor metode contribuie la o retenție mai bună a informațiilor și la dezvoltarea unor comportamente securizate în activitatea de zi cu zi.

Evaluarea continuă a eficienței programelor

Ghidul recomandă ca organizațiile să monitorizeze permanent eficiența instruirii prin indicatori de performanță precum rata de participare la cursuri, rezultatele testelor, numărul incidentelor raportate intern sau reducerea incidentelor provocate de erori umane.

De asemenea, sunt recomandate audituri periodice, simulări de atacuri și actualizarea anuală a politicilor de instruire, dar și după incidente semnificative sau modificări legislative ori tehnologice.

Prin publicarea acestui ghid, DNSC transmite un mesaj clar: reziliența cibernetică a unei organizații nu depinde doar de tehnologie, ci și de nivelul de pregătire al oamenilor care o folosesc. Investiția în educația și conștientizarea angajaților reprezintă una dintre cele mai eficiente măsuri pentru prevenirea incidentelor și reducerea impactului atacurilor informatice.