“Prevenția, detecția timpurie și răspunsul profesionist fac diferența dintre o criză majoră și un incident controlabil.”
Incidentele de securitate cibernetică nu mai pot fi tratate ca excepții sau situații-limită, fiind deja parte din normalitatea operațională a organizațiilor, indiferent de industrie sau dimensiune. În România, anul 2024 a marcat o intensificare clară a amenințărilor cibernetice, tendință care s-a consolidat și în 2025. Datele Directoratului Național de Securitate Cibernetică arată o explozie a malware-ului (+286,8%) și o creștere a atacurilor ransomware, vizând în principal persoane juridice. În paralel, fraudele informatice, atacurile brute-force și incidentele de tip cont compromis au devenit tot mai frecvente, semnalând automatizarea atacurilor și orientarea acestora către zonele slab protejate sau insuficient monitorizate.
Safetech Innovations operează un centru de monitorizare și răspuns la incidente de securitate cibernetică, având denumirea STI CERT®. Cu o experiență de peste un deceniu în monitorizarea și gestionarea riscurilor cibernetice pentru organizații din multiple industrii, STI CERT a acumulat o perspectivă practică asupra modului în care incidentele evoluează și asupra deciziilor care fac diferența între un incident controlabil și o criză de business.
„STI CERT contribuie la securizarea a peste 80.000 de angajați și identifică, în medie, aproximativ 180 de incidente lunar. Această expunere ne oferă o perspectivă clară asupra modului în care riscurile cibernetice se transformă, foarte rapid, în probleme de business. Detecția timpurie și intervenția rapidă sunt esențiale pentru a preveni escaladarea și pentru a limita impactul operațional și financiar”, afirmă Oana Anghel, Security Operations Manager al Safetech Innovations.
Incidente diferite, aceeași lecție pentru management
Analiza incidentelor investigate de STI CERT arată un tipar constant: majoritatea sunt descoperite târziu, abia atunci când afectează activitatea curentă. Rareori există o singură cauză, iar impactul final este rezultatul acumulării mai multor vulnerabilități.
„Am selectat, pentru acest articol, trei cazuri recente de investigație avansată a incidentelor, din organizații care nu aveau servicii de monitorizare cibernetică la momentul compromiterii: două atacuri ransomware și un caz de exfiltrare de date realizată de un fost angajat. Diferite ca formă, dar similare prin consecințe, atacurile conturează o imagine clară asupra riscurilor reale cu care se confruntă organizațiile moderne și asupra importanței unui răspuns profesionist, documentat și etic.”, ne propune Oana Anghel.
“Primul caz, un atac ransomware a blocat accesul angajaților la sisteme critice, problema devenind vizibilă abia după aproape o zi, când activitatea a fost afectată. Incidentul nu a fost detectat de mecanisme automate, ci prin sesizările utilizatorilor care nu se mai puteau autentifica. Investigația a relevat un lanț clasic de compromitere: phishing, furt de credențiale și, ulterior, criptarea sistemelor critice.
Al doilea caz: un fost angajat a extras date sensibile, generând riscuri directe de conformitate și expunere juridică, incident depistat la ceva timp după plecarea acestuia din companie. Suspiciunea a apărut la nivel de management, nu ca urmare a unei alerte tehnice, iar analiza forensic a confirmat transferuri neautorizate, cu implicații directe asupra confidențialității.”
În cel de-al treilea, un atac avansat, un ransomware fileless, cu impact operațional major. Au fost afectate stațiile de lucru utilizate la casele de marcat și sisteme din departamentele financiar și IT, ducând la blocaje majore și pierderi de productivitate, fiind descoperit la aproape două zile de la compromitere.”
„Analiza incidentelor de securitate în care am lucrat recent ne arată că multe organizații descoperă problemele de securitate abia atunci când ele încep să afecteze direct operațiunile și rezultatele financiare. De cele mai multe ori, incidentele apar la intersecția dintre oameni, procese și tehnologie, iar lipsa unor procese mature de detecție și a monitorizării continue face diferența dintre un incident gestionabil și o criză”, concluzionează Oana Anghel, Safetech Innovations.
Care sunt cele mai relevante amenințări cibernetice?
Statisticile privind incidența tipurilor de atacuri diferă mult de la o regiune la alta. Spre exemplu, printre cele mai frecvente incidente mitigate de companiile din Top 250 MSSP publicat de MSSP Alert, (https://www.msspalert.com/top-250-2025) în care este inclusă și Safetech Innovations, se află phishing-ul prin e-mail (96%), exploatarea vulnerabilităților (94%), ransomware (92%), scurgerile de date și atacuri brute-force, raportate de 85%, respectiv 80% dintre furnizorii de servicii gestionate de securitate.
Riscurile generate de astfel de incidente depășesc zona tehnică. Ele includ pierderi financiare directe (de exemplu, indisponibilizarea caselor de marcat în incidentul 3), afectarea reputației, riscuri legale și de conformitate, dar și pierderea încrederii clienților și partenerilor.
Experiența acumulată în gestionarea acestor incidente arată că securitatea eficientă nu înseamnă reacție punctuală, ci un proces continuu de prevenție, monitorizare și răspuns. Un centru de monitorizare și răspuns la incidente de securitate cibernetică bine operat nu se limitează la intervenția în situații critice, ci identifică tipare, corelează semnale slabe și oprește incidentele înainte ca acestea să afecteze businessul.
Detecție tardivă și cauze recurente
Un element comun tuturor celor trei incidente este modul de descoperire: niciunul nu a fost detectat rapid de un instrument automat. Fie că a fost vorba de utilizatori care nu se mai puteau conecta, de disfuncționalități operaționale sau de o suspiciune de management, atacatorii au avut timp să acționeze nestingheriți.
„Timpul este un factor critic în securitate. Cu cât detectezi mai târziu, cu atât plătești mai mult – financiar, operațional și reputațional”, subliniază Managerul STI CERT din cadrul Safetech Innovations.
Analiza unitară a celor trei cazuri indică un set clar de factori favorizanți:
- factorul uman, de la phishing la offboarding incomplet;
- controale de securitate insuficient mature, precum lipsa DLP, patch management incomplet sau monitorizare limitată a accesului remote;
- încrederea excesivă în infrastructura existentă, fără reevaluări periodice;
- insuficiența mijloacelor de detecție automată, rapidă, a incidentelor de securitate;
- atacuri care exploatează legitimitatea, greu de diferențiat de activitatea normală.
„Niciunul dintre aceste incidente nu a fost cauzat de o singură greșeală. Ele au apărut atunci când s-au aliniat erori umane, lipsă de proceduri și lipsă de tehnologie”, explică Oana Anghel.
Rolul unui SOC în detecție și în limitarea impactului
În toate cele trei situații, intervenția STI CERT a urmat o abordare structurată și proporțională cu gravitatea incidentului. Primele măsuri au vizat limitarea propagării și stabilizarea infrastructurii, prin izolarea sistemelor afectate, restricționarea temporară a accesului de la distanță sau suspendarea anumitor servicii critice.
Un aspect esențial a fost evitarea acțiunilor impulsive care ar fi putut distruge probe sau agrava situația. De exemplu, în cazul insider threat, stația de lucru a fost izolată fără a fi alterată, pentru a permite o analiză forensic validă din punct de vedere juridic. Această etapă de „containment” este adesea subestimată, dar ea face diferența dintre un incident controlat și unul care escaladează rapid.
Investigațiile realizate de echipa SOC au combinat analiza tehnică de detaliu cu respectarea standardelor etice și legale.
Remediere, revenire controlată și recomandări pentru management
În toate cele trei cazuri, remedierea a depășit intervenția punctuală, incluzând revenirea controlată a operațiunilor și un set coerent de măsuri menite să reducă riscul de recurență – de la întărirea controalelor și revizuirea accesului, până la monitorizare continuă și instruirea utilizatorilor – integrate într-un proces de creștere a maturității de securitate. Un principiu constant aplicat de Safetech a fost acela că revenirea rapidă nu trebuie să compromită securitatea: o reluare graduală și verificată este preferabilă unei reporniri în grabă, care poate lăsa atacatorului uși deschise.
„Privite împreună, incidentele confirmă o realitate esențială: securitatea cibernetică nu este un produs, ci un proces. Atacurile diferă ca formă și complexitate, însă lecțiile rămân aceleași – prevenția, detecția timpurie și răspunsul profesionist fac diferența dintre o criză majoră și un incident controlabil. Gestionarea eficientă a riscurilor cibernetice necesită implicarea în egală măsură a managementului de business și a celui IT. Liderii de business trebuie să trateze riscurile cibernetice ca riscuri de business, să înțeleagă impactul lor asupra operațiunilor, reputației și continuității și să susțină investițiile adecvate în oameni, procese și tehnologii” mai afirmă Oana Anghel.
„Responsabilitatea managementului IT este de a asigura controale solide de acces și protecția datelor, procese corecte de onboarding și offboarding și monitorizare continuă, iar un centru de monitorizare și prevenție a riscurilor cibernetice își demonstrează valoarea nu doar prin detecție rapidă, ci prin capacitatea de a corela evenimente, de a interveni eficient, de a preveni recurența incidentelor și de a reduce riscul operațional pe termen lung.”
„Un centru de monitorizare și răspuns la incidente de securitate cibernetică nu înseamnă doar reacție rapidă, ci și capacitatea de a recunoaște tipare și tehnici, de a învăța din incidente și de a preveni recurența lor”, concluzionează Oana Anghel. „Un astfel de mecanism bine operat, cum este STI CERT, se transformă într-un instrument de protecție a valorii, care limitează pierderile financiare și transformă riscurile cibernetice imprevizibile în costuri controlabile, contribuind direct la stabilitatea și predictibilitatea businessului.”
Articolele de publicitate publicate pe ZF.ro sunt marcate cu (P), Advertorial sau Opinia Specialistului.