(Detaliile clientului au fost anonimizate. Situația reflectă un caz complex, tipic pentru un obiectiv de tip hipermarket cu depozit anexă, aflat sub incidența cerințelor minimale de securitate.)
Această evaluare de risc la securitate fizică analizează, printr-un studiu de caz real, vulnerabilitățile identificate la un hipermarket cu depozit propriu.
Ce presupune o evaluare de risc la securitate fizică
CONTEXT
Un hipermarket cu suprafață de vânzare de cca. 4.000 mp și un depozit anexă pentru stocare marfă, situat în aceeași incintă, a solicitat analiza de risc la securitate fizică în urma unei modernizări a sistemului de supraveghere video — trecerea de la camere analogice la un sistem IP, 4K, cu funcții de analiză video bazată pe inteligență artificială (detectare intruziune, recunoaștere comportament, numărare persoane, alertare automată).
Sistemul fusese instalat cu câteva luni înainte de firma furnizoare, fără o analiză de risc prealabilă care să stabilească exact ce zone funcționale necesitau ce nivel de acoperire — o problemă frecventă atunci când proiectarea sistemului tehnic precedă, în loc să urmeze, evaluarea de risc.
CONTEXTUL LEGISLATIV — O CONFUZIE FRECVENTĂ DUPĂ OUG 37/2026
Cazul acesta ilustrează și o confuzie pe care o întâlnesc tot mai des, apărută odată cu intrarea în vigoare a OUG 37/2026: pentru obiectivele cu pază neînarmată, proiectul sistemului de alarmare nu mai este supus avizării prealabile a poliției — decizia de a instala sistemul nu mai așteaptă un aviz emis înainte de începerea lucrărilor, ca înainte.
Mulți manageri de securitate din companii mari au interpretat asta ca „nu mai e nevoie de analiză de risc” sau „nu mai trebuie transmis nimic poliției” — inclusiv, în acest caz, furnizorul de sisteme care a instalat echipamentul. Mai grav decât confuzia furnizorului a fost însă cea de la nivelul beneficiarului: managerul/responsabilul de securitate al hipermarketului, cel care ar fi trebuit să cunoască primul modificările legislative și să ceară explicit o analiză de risc înainte de a aproba instalarea, nu a semnalat nimic — a preluat, fără verificare, interpretarea furnizorului că „fără aviz de poliție” înseamnă „fără nicio obligație”. Această dublă confuzie, a furnizorului și a beneficiarului deopotrivă, e tiparul cel mai frecvent pe care îl întâlnesc după intrarea în vigoare a OUG 37/2026 — responsabilitatea de a cunoaște exact ce s-a schimbat și ce a rămas neschimbat cade, în ultimă instanță, pe supervizorul de securitate din companie, nu pe furnizorul de echipamente.
La această confuzie s-a adăugat una secundară, la fel de răspândită: managerul de securitate a considerat că, întrucât modernizarea a constat „doar” în înlocuirea camerelor (trecerea la 4K cu analiză AI), fără nicio modificare a clădirii sau a arhitecturii spațiului, nu era nevoie de proiect nou și nici de o analiză de risc actualizată — raționamentul fiind că obligația de revizuire se leagă strict de schimbări arhitecturale sau funcționale ale obiectivului. În realitate, orice modificare a componentelor sistemului de alarmare — inclusiv simpla înlocuire a camerelor cu altele, cu alte caracteristici tehnice și alt tip de acoperire — face parte din proiectul sistemului de alarmare și din analiza de risc care îl fundamentează, și trebuie reflectată în modificările ulterioare transmise poliției, indiferent dacă pereții sau structura clădirii au rămas neschimbați. De fapt, legea (Legea 333/2003, cu modificările OUG 37/2026) prevede altceva: proiectul sistemului de alarmare și analiza de risc la securitate fizică (sau fișa de securitate, după caz) trebuie transmise obligatoriu, în format electronic, către unitatea de poliție competentă, în cel mult 15 zile calendaristice de la elaborarea lor — doar că fără să mai fie nevoie de aprobare prealabilă înainte de instalare. Absența avizării nu înseamnă absența obligației de raportare; înseamnă doar că raportarea s-a mutat de la „aviz înainte” la „notificare electronică după”.
Pentru un hipermarket ca cel din acest caz, care se încadrează la cerințe minimale de securitate prin suprafața comercială de peste 500 mp, această distincție contează direct: instalarea sistemului fără nicio analiză de risc și fără nicio transmitere ulterioară către poliție nu e doar o breșă tehnică, ci și o neconformitate legală activă, chiar dacă nimeni din companie nu a realizat asta în momentul instalării.
ZONA DE ACCES ȘI ZONA PERIMETRALĂ
Ce am găsit:
- Camerele 4K cu detectare AI a intruziunilor de pe latura din spate a depozitului aveau câmpul vizual parțial blocat de paleții de marfă depozitați temporar lângă gardul perimetral — un unghi mort creat după instalare, prin modul de operare al depozitului, nu prin proiectare defectuoasă inițială.
- Poarta de acces auto pentru aprovizionare, dotată cu cititor de cartelă, era menținută frecvent în poziție deschisă manual de personalul de descărcare, pe durata întregii operațiuni de aprovizionare, anulând practic funcția de control al accesului.
- Iluminatul perimetral, suficient pentru camerele analogice vechi, s-a dovedit insuficient pentru performanța optimă a algoritmilor AI de detectare pe timp de noapte — funcțiile de recunoaștere generau fie alerte false repetate (din cauza cărora personalul a ajuns să le ignore), fie nu detectau deloc mișcarea în zonele slab iluminate.
ZONA DE TRANZACȚIONARE (CASE DE MARCAT ȘI SELF-CHECKOUT)
Ce am găsit:
- Camerele erau orientate spre fața casierului, pentru identificarea persoanei, dar nu acopereau sertarul casei de marcat — exact zona relevantă pentru fraude interne sau tentative de furt la casă.
- Sistemul de self-checkout avea integrat un modul AI de detectare a comportamentului de tip „scanare parțială” (produse trecute pe lângă scaner, cunoscut ca sweethearting), dar modulul rămăsese dezactivat din configurare — funcție achiziționată și plătită, dar niciodată activată de instalator, iar nimeni din partea beneficiarului nu a verificat acest lucru.
- Lipsea corelarea automată dintre fluxul video și jurnalul de tranzacții al sistemului POS, ceea ce transformă orice investigație post-incident într-un proces manual, lent, de vizionare a orelor de înregistrare.
ZONA DE DEPOZITARE
Ce am găsit:
- Zonele cu marfă de valoare ridicată (electronice mici, produse cosmetice scumpe, tutun, băuturi alcoolice premium) nu aveau camere dedicate suplimentare, ci erau acoperite doar tangențial de camerele generale montate pe culoarele principale ale depozitului.
- Rafturile industriale înalte, montate ulterior amplasării inițiale a camerelor, blocau liniile de vedere pe mai multe culoare — o discrepanță frecventă între planul inițial de amplasare a camerelor și modul real de organizare a depozitului, care se schimbă în timp.
- Accesul în depozit se făcea cu un cod PIN comun, cunoscut de tot personalul, netransmis individual pe fiecare angajat — ceea ce elimină practic trasabilitatea: în caz de lipsă de marfă, nu se poate stabili cine a intrat și când.
ZONA DE PROCESARE (NUMĂRĂTOAREA BANILOR ȘI SEIFUL CENTRAL)
Ce am găsit:
- Seiful central, unde se centralizează numerarul de la toate casele la finalul zilei, era din clasa de rezistență inferioară nivelului sumelor efectiv vehiculate — o neconcordanță frecventă atunci când seiful a fost achiziționat la deschiderea magazinului, pentru un volum de vânzări mult mai mic decât cel actual, și nu a mai fost reevaluat de atunci.
- Combinația seifului nu fusese schimbată de la instalarea inițială, deși persoane care o cunoșteau (foști angajați din zona de casierie) nu mai lucrau de mult timp în firmă — o greșeală administrativă, nu tehnică.
- Camera de numărare a banilor nu avea un control de acces distinct de restul zonei administrative, fiind accesibilă cu aceeași cheie/cartelă ca birourile obișnuite.
ZONA ECHIPAMENTELOR DE SECURITATE (CAMERA TEHNICĂ / SERVERUL DE ÎNREGISTRARE)
Ce am găsit:
- Serverul NVR (Network Video Recorder) care stochează înregistrările de la toate camerele avea firmware-ul neactualizat de la data instalării — cu vulnerabilități cunoscute, publice, specifice versiunii respective.
- Parolele implicite de fabrică ale camerelor IP (de tipul admin/admin sau admin/12345) nu fuseseră schimbate la punerea în funcțiune — una dintre cele mai frecvente și mai grave greșeli administrative post-instalare, care lasă practic fluxul video accesibil oricui scanează rețeaua sau caută adresa IP a dispozitivului.
- Interfața web de administrare a NVR-ului era accesibilă din întreaga rețea internă a magazinului, fără segregare pe un VLAN dedicat echipamentelor de securitate — orice calculator din rețeaua administrativă (inclusiv cele folosite de personal pentru sarcini curente) putea, teoretic, accesa panoul de control al sistemului video.
- Fluxul video între camere și NVR nu era criptat, transmis prin RTSP fără autentificare pe segmentul de rețea local — o vulnerabilitate clasică de proiectare, adesea lăsată neschimbată pentru că „așa a venit din fabrică”.
ECHIPAMENTE MECANO-FIZICE — OBSERVAȚII
- Ușile de acces marfă din zona depozitului aveau grile metalice montate, dar de o clasă de rezistență la efracție (RC) inferioară recomandării pentru valoarea mărfii depozitate în spatele lor.
- Rulourile metalice electrice de la vitrinele frontale nu aveau baterie de back-up, rămânând complet nefuncționale (deschise sau blocate, după caz) în caz de pană de curent — un detaliu simplu, dar cu impact direct asupra securității în afara programului.
- Seiful central, discutat mai sus, nu avea certificare vizibilă conform standardului EN 1143-1, ceea ce a făcut imposibilă verificarea directă a clasei sale reale de rezistență fără documentația de achiziție.
ERORI ADMINISTRATIVE CONSTATATE, TRANSVERSAL PE TOATE ZONELE
- Lista utilizatorilor cu drept de acces (cartele, coduri PIN) nu fusese actualizată după plecarea mai multor angajați în ultimul an — persoane care nu mai lucrau în firmă păstrau, teoretic, acces funcțional.
- Jurnalele de acces generate automat de sistem nu erau verificate periodic de nimeni — sistemul înregistra corect datele, dar nimeni nu le folosea.
- Mentenanța periodică a sistemului de alarmă, prevăzută în contractul cu firma de monitorizare, nu fusese efectuată la termenele stabilite, existând un decalaj de câteva luni.
- Butonul de panică din zona de casierie centrală nu fusese testat de la instalare — o verificare simplă, de câteva minute, dar frecvent omisă.
Convergența securitate fizică – cyber – AI
Vulnerabilitățile identificate la nivelul serverului NVR (firmware neactualizat, parole implicite nemodificate, lipsa segregării pe VLAN, flux video necriptat) nu mai sunt, strict vorbind, probleme de securitate fizică — sunt puncte de intersecție directă cu securitatea cibernetică. Un sistem video IP conectat în rețeaua administrativă a magazinului este, din perspectivă cyber, un dispozitiv de rețea ca oricare altul, iar componentele AI de analiză video (detectare comportament, recunoaștere, alertare automată) adaugă un nivel suplimentar de risc — legat de integritatea datelor pe care algoritmul le procesează și de modul în care rezultatele acestuia sunt folosite sau pot fi manipulate.
Ca evaluator de risc la securitate fizică, am stabilit și comunicat beneficiarului măsurile imediate, cu aplicabilitate directă și fără a necesita competențe suplimentare (schimbarea parolelor implicite, restricționarea accesului la interfața de administrare a NVR-ului) — măsuri care reduc riscul pe termen scurt, până la intervenția unui specialist dedicat.
Pentru componenta propriu-zisă de securitate cibernetică și de evaluare a sistemelor AI (configurarea corectă a segregării de rețea, auditul vulnerabilităților firmware, evaluarea integrității și guvernanței algoritmilor de analiză video), am recomandat beneficiarului inițierea unei evaluări separate, realizată de un specialist în securitate cibernetică/AI — domeniu care depășește aria de competență și de autorizare a unui evaluator de risc la securitate fizică. Cele două evaluări nu se suprapun, ci se completează: analiza de risc la securitate fizică stabilește ce anume trebuie protejat și cu ce prioritate, iar evaluarea cyber/AI stabilește cum se protejează corect componenta digitală a acelorași sisteme.
Recomandări și impact
Raportul de evaluare a stabilit măsurile de securitate necesare, prioritizate: măsuri administrative imediate și cu cost zero (schimbarea parolelor implicite, actualizarea listei de acces, segregarea rețelei video pe VLAN), măsuri cu cost redus pe termen scurt (activarea funcțiilor AI deja plătite, dar neconfigurate) și investiții pe termen mediu (upgrade seif, repoziționare camere în depozit, baterii de back-up pentru rulouri).
Concluzia relevantă pentru client: majoritatea vulnerabilităților identificate nu țineau de calitatea echipamentelor achiziționate — sistemul 4K cu AI era tehnologic performant — ci de modul în care fusese instalat, configurat și, ulterior, administrat. Un sistem scump, prost configurat, oferă adesea o falsă senzație de siguranță mai periculoasă decât lipsa lui.
Concluzie
Cazul ilustrează un tipar comun în obiectivele complexe, cu mai multe zone funcționale: investiția în tehnologie de ultimă generație (camere 4K, analiză AI) nu compensează automat erorile de proiectare, instalare și — cel mai frecvent — administrare ulterioară. O evaluare de risc la securitate fizică verifică exact această corelație dintre echipament, configurare și operare reală, lucru pe care niciun furnizor de echipamente, oricât de bun, nu îl face din oficiu.
Serviciu oferit de World Class “LA-Int&SecRsk” Consultancy — evaluare de risc la securitate fizică, autorizat R.N.E.R.S.F. (poz. 3118). Contact: secriskla@gmail.com | +40 775 697 809 | la-intsecrsk.ro