ARHITECTURA ÎNCREDERII ȘI PROBA PRIMELOR ORE

De Angelo Lăzău · Timp de lectură: aproximativ 50 de minute

Cuprins

1. Introducere
2. Cadrul conceptual și normativ
3. Securitatea fizică: fundația rezilienței
4. Ingineria socială: atacul asupra încrederii
5. Amenințarea din interior: riscul care are deja acces
6. Decizia în criză: primele ore
7. Discuție: un model integrat
8. Concluzii
9. Bibliografie și note

1. Introducere

În februarie 2024, personalul Institutului Regional de Oncologie din Iași a lucrat o zi întreagă pe hârtie, cu peste 180 de internări și spitalizări de zi, iar rezultatele analizelor au fost tipărite direct din aparate.^[1] Cauza nu a fost o defecțiune tehnică banală, ci un atac de tip ransomware asupra unei platforme informatice folosite de zeci de spitale. Cu opt ani înainte, directoarea financiară a filialei din Bistrița a grupului german Leoni transferase aproximativ 40 de milioane de euro în urma unor mesaje electronice care păreau trimise de conducerea din Germania.^[2] În ambele cazuri, investiția în tehnologie exista. Ceea ce a lipsit a fost, într-o formă sau alta, pregătirea oamenilor: fie a celor care au primit un mesaj convingător, fie a celor care au trebuit să decidă sub presiune.

Literatura de specialitate și rapoartele de referință converg asupra unei constatări incomode: componenta umană este simultan cea mai exploatată suprafață de atac și ultima linie de apărare a organizației. Raportul Verizon privind investigarea breșelor de date din 2026 constată că 62% dintre breșe au implicat elementul uman,^[3] iar Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA) identifică phishingul ca vector inițial în aproximativ 60% dintre intruziunile analizate în perioada iulie 2024 – iunie 2025.^[4] În România, Directoratul Național de Securitate Cibernetică (DNSC) a raportat pentru 2025 o creștere cu 353% a incidentelor de compromitere a conturilor și cu peste 70% a incidentelor de phishing față de anul precedent.^[5]

Cu toate acestea, factorul uman este tratat, de regulă, fragmentat. Ingineria socială este percepută ca problemă a departamentului IT, amenințarea din interior ca subiect de resurse umane sau de contrainformații, iar managementul crizelor ca exercițiu de comunicare publică. Teza acestui articol este că fragmentarea însăși reprezintă o vulnerabilitate. Cele trei dimensiuni descriu momente succesive ale aceluiași ciclu de risc: înainte (atacatorul extern încearcă să obțină acces prin manipulare), în interiorul perimetrului (o persoană cu acces legitim produce, cu sau fără intenție, un prejudiciu) și după (conducerea trebuie să înțeleagă situația și să decidă în condiții de incertitudine). Un incident real le traversează adesea pe toate trei: un apel telefonic convingător compromite un cont, contul oferă acces din interior, iar accesul declanșează o criză pe care conducerea trebuie s-o gestioneze în primele ore. Toate trei se sprijină, la rândul lor, pe o fundație fizică (perimetrul, accesul, paza), tratată în capitolul 3, fără de care nicio altă măsură nu este eficientă.

1.1. Metodologie

Articolul folosește o abordare calitativă, bazată pe analiză documentară și pe metoda studiilor de caz multiple.^[6] Sursele includ acte normative europene și românești, rapoarte anuale ale unor organisme publice și private de referință (DNSC, ENISA, FBI IC3, Verizon, Ponemon Institute), documente judiciare și comunicări oficiale ale companiilor (inclusiv raportări către autoritățile pieței de capital), precum și literatura academică privind influența socială, riscul din interior și managementul crizelor. Cazurile au fost selectate după trei criterii: documentare publică suficientă, relevanță pentru una dintre cele trei dimensiuni și diversitate geografică și sectorială, cu accent pe cazuri care implică organizații din România.

Abordarea are limite asumate. Cazurile publice sunt, prin natura lor, cele în care prejudiciul a fost suficient de mare pentru a deveni vizibil; incidentele gestionate cu succes rămân, de regulă, necunoscute. Informațiile din surse deschise pot fi incomplete, iar companiile au interesul legitim de a nu face publice toate detaliile. Concluziile trebuie citite, de aceea, ca analize ale unor tipare recurente, nu ca reconstituiri exhaustive.

2. Cadrul conceptual și normativ

2.1. Securitatea corporativă ca domeniu integrat

Securitatea corporativă desemnează ansamblul măsurilor prin care o organizație își protejează oamenii, activele, informațiile și continuitatea activității împotriva amenințărilor intenționate. Evoluția ultimului deceniu a fost marcată de convergență: separarea tradițională dintre securitatea fizică (pază, control al accesului, sisteme tehnice) și securitatea informației a devenit tot mai greu de susținut, întrucât atacurile combină frecvent cele două planuri. Un vizitator care intră neînsoțit într-o clădire poate conecta un dispozitiv la rețea; un cont compromis poate deschide uși controlate electronic. În ambele cazuri, veriga decisivă este o persoană care permite, din neatenție sau încredere, ceea ce procedurile ar fi trebuit să oprească.

Termenul factor uman este folosit aici în sens larg: include comportamentul individual (percepție, atenție, reacția la presiune), dinamica organizațională (cultura, procesele, relațiile ierarhice) și capacitatea decizională a conducerii.

2.2. Cadrul normativ european

Directiva NIS2. Directiva (UE) 2022/2555 (NIS2) a transformat pregătirea oamenilor dintr-o bună practică într-o obligație pentru entitățile esențiale și importante. Articolul 20 alineatul (2) prevede că membrii organelor de conducere ale acestor entități sunt obligați să urmeze cursuri de formare, iar statele membre trebuie să încurajeze entitățile să ofere formare similară, periodic, angajaților, astfel încât aceștia să dobândească cunoștințe suficiente pentru a identifica riscurile și a evalua practicile de gestionare a acestora.^[7] Articolul 21 alineatul (2) litera (g) include, între măsurile minime de gestionare a riscurilor, „practicile de bază în materie de igienă cibernetică și formarea în domeniul securității cibernetice”.^[8] Articolul 23 stabilește termenele de raportare a incidentelor semnificative: avertizare timpurie în 24 de ore, notificare în 72 de ore și raport final în cel mult o lună.^[9] Organele de conducere răspund, potrivit art. 20 alin. (1), pentru încălcarea obligațiilor de gestionare a riscurilor.

În România, NIS2 a fost transpusă prin Ordonanța de urgență a Guvernului nr. 155/2024, aprobată prin Legea nr. 124/2025. Transpunerea românească este mai strictă decât directiva în două privințe. Mai întâi, articolul 14 alineatul (2) al ordonanței cere ca membrii organelor de conducere să urmeze „cursuri de formare profesională acreditate” și obligă entitățile să asigure formarea profesională a întregului personal, nu doar să o încurajeze; nerespectarea obligației de către conducere este contravenție.^[10] Cadrul de acreditare era, la data redactării, încă în curs de elaborare: proiectul DNSC de regulament privind autorizarea furnizorilor de formare în securitate cibernetică, pus în dezbatere publică în iunie 2026, prevede un standard distinct pentru „management executiv”, cu examen sub coordonarea DNSC.^[11] În al doilea rând, orice entitate identificată drept entitate critică este considerată entitate esențială, indiferent de dimensiune.^[12] Până în 2025, aproximativ 680 de organizații fuseseră înregistrate ca entități esențiale sau importante, iar DNSC estima depășirea pragului de 3.000 în 2026.^[13]

Directiva CER. Directiva (UE) 2022/2557 privind reziliența entităților critice, transpusă în România prin Legea nr. 294/2024, abordează complementar reziliența fizică și operațională a entităților critice.^[14] Legea cere entităților critice o evaluare proprie a riscurilor în 9 luni de la notificare și aplicarea măsurilor de reziliență la 10 luni, inclusiv gestionarea securității personalului, cu „cerințe de formare și calificări adecvate”, și conștientizarea personalului prin „cursuri de formare, diseminarea de materiale informative și participarea la exerciții de testare”.^[15] Spre deosebire de NIS2, legea nu cere ca această formare să fie acreditată. Hotărârea Guvernului nr. 1.115/2025 detaliază măsurile și menționează explicit conștientizarea privind ingineria socială și abordarea amenințărilor interne.^[16] Autoritățile competente sectoriale au fost stabilite prin Decizia prim-ministrului nr. 55/2025, iar lista entităților critice, aprobată prin decizie a prim-ministrului, nu este publică.^[17] La cererea autorităților, entitățile trebuie să prezinte dovada aplicării măsurilor, inclusiv rezultatele unui audit efectuat de un auditor independent și calificat, ale cărui cerințe urmează să fie stabilite prin ordine ale autorităților sectoriale.^[18] Împreună, NIS2 și CER reflectă recunoașterea normativă a convergenței dintre riscurile fizice și cele cibernetice.

GDPR. Regulamentul (UE) 2016/679 impune operatorilor măsuri tehnice și organizatorice adecvate (art. 32) și notificarea încălcărilor securității datelor în 72 de ore (art. 33).^[19] În același timp, GDPR limitează măsurile pe care o organizație le poate lua pentru a-și supraveghea angajații, aspect esențial pentru tratarea amenințării din interior (secțiunea 5.6).

2.3. Cadrul normativ românesc relevant

Pe lângă transpunerile menționate, câteva acte normative naționale sunt direct relevante: Legea nr. 333/2003 privind paza obiectivelor, bunurilor, valorilor și protecția persoanelor, cu normele de aplicare aprobate prin H.G. nr. 301/2012, care impun evaluarea riscului la securitate fizică; Legea nr. 190/2018, care reglementează, la art. 5, condițiile monitorizării angajaților prin mijloace video sau de comunicații electronice;^[20] Codul muncii, care stabilește limitele informațiilor ce pot fi solicitate la angajare (art. 29) și regimul clauzelor de confidențialitate și de neconcurență (art. 21 și 26); Legea nr. 361/2022 privind protecția avertizorilor în interes public, care obligă angajatorii cu cel puțin 50 de salariați să aibă canale interne de raportare;^[21] și Legea nr. 11/1991 privind combaterea concurenței neloiale, împreună cu OUG nr. 25/2019, care protejează secretul comercial.^[22]

2.4. Un reper comparativ: abordarea americană a amenințării din interior

Statele Unite au dezvoltat cel mai elaborat cadru instituțional pentru amenințarea din interior, în special după cazurile Manning (2010) și Snowden (2013). Ordinul executiv 13587 din 7 octombrie 2011 a creat National Insider Threat Task Force și a impus agențiilor federale programe dedicate,^[23] iar reglementarea privind securitatea industrială (NISPOM, 32 CFR Part 117) obligă contractorii cu acces la informații clasificate să implementeze propriile programe privind amenințarea din interior.^[24] Modelul nu este transpozabil ca atare în companiile românești, dar oferă două principii utile: abordarea multidisciplinară (securitate, resurse umane, IT, juridic) și accentul pe detecția timpurie a comportamentelor, nu pe sancționarea ulterioară.

3. Securitatea fizică: fundația rezilienței

Dezbaterea publică despre NIS2 a mutat atenția aproape exclusiv spre spațiul cibernetic. Pentru o entitate critică, însă, cea mai directă cale de a întrerupe un serviciu esențial rămâne adesea fizică: un cablu tăiat, un gard forțat, o dronă deasupra unei stații de tratare, un contractor care intră cu un ecuson împrumutat. Securitatea fizică nu este un capitol vechi, depășit de digitalizare, ci fundația pe care se sprijină toate celelalte straturi. Un server protejat logic, dar accesibil fizic, nu este protejat; o procedură de criză care presupune accesul echipei în dispecerat nu funcționează dacă dispeceratul nu poate fi apărat. Capitolul de față arată cum tratează noul cadru normativ protecția fizică, ce aduce în plus față de practica românească existentă și de ce trebuie privită împreună cu factorul uman.

3.1. Securitatea fizică în CER și NIS2

Legea nr. 294/2024 enumeră protecția fizică printre măsurile de reziliență pe care entitatea critică este obligată să le ia: art. 13 alin. (1) lit. b) cere protecția fizică adecvată a spațiilor și a infrastructurii critice.^[25] Directiva CER oferă exemplele concrete pe care legiuitorul le are în vedere: împrejmuiri, bariere, instrumente și rutine de monitorizare a perimetrului, echipamente de detecție și controlul accesului.^[26] Normele aprobate prin HG nr. 1.115/2025 coboară aceste cerințe la nivelul măsurilor efective, inclusiv delimitarea zonelor de securitate, controlul accesului, paza la obiectiv și măsurile privind dronele.^[27]

NIS2 ajunge la aceeași concluzie pe drumul invers. Directiva cere ca măsurile de gestionare a riscurilor să urmeze o abordare care ține seama de toate pericolele și să protejeze nu doar rețelele și sistemele informatice, ci și „mediul fizic” al acestora.^[28] Transpunerea românească precizează că protecția se asigură „atât la nivel logic, cât și fizic”.^[29] Pentru anumite categorii de furnizori digitali (centre de date, servicii de cloud, servicii DNS și altele), Regulamentul de punere în aplicare (UE) 2024/2690 detaliază cerințele într-o secțiune dedicată securității fizice și de mediu: utilitățile-suport, protecția împotriva amenințărilor fizice și de mediu, controlul perimetrului și al accesului fizic.^[30] Regulamentul nu se aplică direct tuturor entităților, dar oferă cel mai precis reper european pentru ceea ce înseamnă protecție fizică „adecvată” în jurul sistemelor informatice.

Cele două regimuri se întâlnesc, așadar, literal, la ușa camerei serverelor. Pentru o entitate critică, care este în același timp entitate esențială NIS2,^[12] perimetrul, accesul și paza servesc simultan ambelor legi și trebuie proiectate o singură dată, coerent.

3.2. Fundația românească: analiza de risc la securitate fizică

România are, în acest domeniu, un avantaj real. De mai bine de un deceniu, Legea nr. 333/2003 și normele aprobate prin HG nr. 301/2012 impun ca măsurile de securitate fizică să se bazeze pe o analiză de risc efectuată de evaluatori înscriși în Registrul național al evaluatorilor de risc la securitatea fizică.^[31] Multe entități au deja o metodologie, o documentație și un istoric al măsurilor luate.

Analiza clasică a fost construită însă, în principal, în jurul amenințărilor intenționate asupra obiectivului: efracție, furt, vandalism, agresiune. Legea nr. 294/2024 cere mai mult. Evaluarea riscurilor prevăzută la art. 12 trebuie să ia în considerare toate riscurile relevante, naturale sau provocate de om, inclusiv cele hibride și teroriste, precum și dependențele față de alte sectoare și alte state.^[32] Analiza de risc la securitate fizică rămâne o bază solidă, dar nu ține automat locul evaluării CER. Ea trebuie extinsă în cel puțin cinci direcții: sabotajul infrastructurii și amenințările hibride; dronele; riscul generat de personalul propriu și de contractori; dependențele critice (energie, comunicații, apă, furnizori); legătura cu analiza riscului cibernetic, pentru ca aceeași vulnerabilitate să nu fie tratată de două ori, cu concluzii diferite.

3.3. Amenințări noi asupra infrastructurii fizice

Evenimentele ultimilor ani arată că infrastructura fizică a devenit ținta preferată a unor acțiuni ieftine, greu de atribuit și cu efect disproporționat. La 8 octombrie 2022, cabluri ale rețelei de comunicații feroviare GSM-R au fost tăiate în două locuri aflate la sute de kilometri distanță, iar Deutsche Bahn a oprit circulația în nordul Germaniei timp de aproape trei ore.^[33] În octombrie 2023, gazoductul Balticconnector dintre Finlanda și Estonia și mai multe cabluri de telecomunicații au fost avariate; ancheta finlandeză a indicat ancora navei Newnew Polar Bear.^[34] În ziua de Crăciun a anului 2024, cablul electric Estlink 2 a fost avariat, iar autoritățile finlandeze au reținut nava Eagle S.^[35] În septembrie 2025, drone neidentificate au închis timp de ore aeroportul din Copenhaga, apoi pe cel din Aalborg, iar autoritățile daneze au vorbit despre un atac hibrid.^[36] În noiembrie 2025, o explozie a avariat calea ferată Varșovia–Lublin, folosită și pentru transporturile către Ucraina; premierul Donald Tusk a calificat-o drept un act de sabotaj fără precedent.^[37] România însăși s-a confruntat, în același interval, cu pătrunderi repetate ale unor drone în spațiul aerian național, în contextul atacurilor asupra porturilor ucrainene de la Dunăre.

Trei lecții se desprind de aici. Atacurile vizează punctele de joncțiune dintre responsabilități, unde nu este clar cine trebuie să detecteze și cine să reacționeze: operatorul, autoritatea sau forțele de ordine. Primul semnal este, de cele mai multe ori, fizic și local: un paznic, un dispecer, un locuitor care observă ceva neobișnuit. Costul atacului este minim, iar efectul se măsoară în ore de întrerupere a unui serviciu esențial. Acestea sunt exact riscurile pe care evaluarea CER trebuie să le cuprindă.

3.4. Factorul uman în securitatea fizică

Barierele fizice sunt la fel de eficiente ca oamenii care le folosesc. Accesul „la remorcă” (tailgating), ușa ținută deschisă din politețe, ecusonul neverificat, vesta reflectorizantă și clipboardul care conferă unui străin aerul de contractor sunt aplicații fizice ale acelorași principii de influență discutate în capitolul 4. Paznicul este primul senzor al organizației, dar numai dacă știe ce să observe și i se dă autoritatea să întrebe.

Recunoașterea ostilă merită o atenție aparte. Aproape orice atac fizic planificat este precedat de o fază de observare: fotografieri ale perimetrului, întrebări despre programul turelor, drone deasupra obiectivului, vizite sub pretexte comerciale. Ghidurile autorității britanice de securitate protectivă (NPSA) arată că această fază este și momentul în care atacatorul este cel mai vulnerabil la descurajare și detecție, dacă personalul a fost pregătit să recunoască semnalele și să le raporteze.^[38] Legea nr. 294/2024 răspunde acestui risc prin cerințele privind securitatea personalului, formarea și conștientizarea (art. 13 alin. (1) lit. e) și f)) și prin verificarea antecedentelor pentru funcțiile sensibile (art. 14).^[15] Contractorii de mentenanță, firmele de pază externalizate și furnizorii cu chei sau carduri de acces se află adesea în afara acestor programe, deși au exact accesul pe care un atacator îl caută.

3.5. Convergența fizic–personal–cibernetic

Incidentele reale nu respectă organigrama. Un gard tăiat noaptea poate fi o simplă tentativă de furt, o recunoaștere sau prima etapă a unui atac care continuă prin rețea; un cont de contractor folosit în afara programului poate fi o eroare sau semnalul unui acces fizic neautorizat. Dacă securitatea fizică, resursele umane și echipa IT lucrează în registre separate, nimeni nu are imaginea completă.

Convergența are câteva consecințe practice: un registru unic al riscurilor, în care sunt trecute împreună amenințările fizice, de personal și cibernetice; un singur canal de raportare a incidentelor, cu reguli clare de escaladare; responsabilul cu securitatea fizică așezat la aceeași masă cu responsabilul cu securitatea cibernetică atunci când se decide; exerciții comune, cu scenarii care pornesc dintr-un eveniment fizic și continuă în spațiul cibernetic. Același eveniment poate declanșa simultan termenul de 24 de ore pentru notificarea CER și termenul de 24 de ore pentru avertizarea timpurie NIS2,^[39] iar conducerea trebuie să știe dinainte cine le gestionează pe amândouă. Securitatea fizică este, astfel, nu doar fundația rezilienței, ci și primul test al integrării pe care o propune acest articol.

4. Ingineria socială: atacul asupra încrederii

4.1. Definiție și mecanisme psihologice

Ingineria socială desemnează ansamblul tehnicilor prin care un atacator determină o persoană să efectueze o acțiune sau să divulge o informație contrar intereselor organizației sale, exploatând mecanisme psihologice normale, nu vulnerabilități tehnice. Kevin Mitnick, unul dintre cei mai cunoscuți practicieni ai domeniului înainte de a deveni consultant în securitate, a sintetizat ideea afirmând că factorul uman este „veriga cea mai slabă” a securității.^[40] Formula este, totuși, incompletă: oamenii nu sunt slabi, ci funcționează după regulile normale ale cooperării sociale, iar atacatorul transformă aceste reguli în instrumente.

Robert Cialdini a identificat principiile care stau la baza influenței sociale: reciprocitatea, angajamentul și consecvența, dovada socială, simpatia, autoritatea, raritatea și, în edițiile recente, unitatea.^[41] Aproape orice scenariu de inginerie socială combină cel puțin două dintre ele. Mesajul „de la directorul general” exploatează autoritatea; termenul „până la ora 16:00” creează raritate de timp; referirea la un coleg cunoscut aduce dovada socială. La acestea se adaugă ceea ce psihologia cogniției numește procesare rapidă, intuitivă (Sistemul 1, în terminologia lui Daniel Kahneman): sub presiune și în fluxul obișnuit al muncii, oamenii decid prin scurtături mentale, nu prin analiză deliberată.^[42]

Din experiența profesională a autorului în domeniul HUMINT, se poate adăuga o observație metodologică: tehnicile de elicitare, adică obținerea de informații prin conversație fără ca interlocutorul să realizeze că oferă ceva valoros, sunt aceleași, fie că sunt folosite de un serviciu de informații, fie de un grup infracțional. Diferă scopul, nu mecanismul. De aceea, pregătirea eficientă nu constă în memorarea unor exemple de mesaje frauduloase, ci în înțelegerea mecanismului, astfel încât persoana să-l recunoască și atunci când ia o formă nouă.

4.2. Amploarea fenomenului

Datele recente confirmă că ingineria socială rămâne principalul vector de acces inițial:

• Verizon DBIR 2026: elementul uman este implicat în 62% dintre breșe, față de aproximativ 60% în ediția anterioară.^[3]
• ENISA Threat Landscape 2025: dintre cele 4.875 de incidente analizate (iulie 2024 – iunie 2025), phishingul a reprezentat vectorul inițial în aproximativ 60% dintre intruziuni, urmat la distanță de exploatarea vulnerabilităților (21%).^[4]
• FBI Internet Crime Complaint Center (IC3), raportul pentru 2025: pierderi raportate de 20,88 miliarde de dolari, dintre care peste 3 miliarde provin din compromiterea emailului de afaceri (Business Email Compromise, BEC). Pentru prima dată, raportul a urmărit separat infracțiunile asistate de inteligența artificială: 22.364 de plângeri și pierderi de peste 893 de milioane de dolari.^[43]
• DNSC, raportul anual pentru 2025: incidentele de compromitere a conturilor au crescut de la 248 la 1.125 (+353%), iar cele de phishing la 4.975 (+70,6%); fraudele și tentativele de fraudă au ajuns la 3.937 (+91%).^[5]

Cifrele trebuie interpretate cu prudență metodologică: fiecare raport are propria definiție a incidentului și propriul eșantion. Convergența lor este însă semnificativă: indiferent de sursă și de jurisdicție, manipularea oamenilor rămâne poarta principală de intrare.

4.3. Studii de caz

Cazul Leoni Wiring Systems (România, 2016). În august 2016, grupul german Leoni a anunțat o pierdere de aproximativ 40 de milioane de euro la filiala din Bistrița. Atacatorii au clonat conturile de email ale unor directori din Germania și au transmis instrucțiuni de transfer directoarei financiare a filialei, care a virat sumele în conturile indicate.^[2] Cazul este paradigmatic pentru frauda de tip BEC sau „CEO fraud”: nu a fost compromis niciun sistem informatic al companiei, ci relația de autoritate dintre sediul central și filială. Distanța geografică, ierarhia și obișnuința de a executa instrucțiunile venite „de sus” au creat condițiile perfecte. Lecția principală nu este tehnică, ci procedurală: orice instrucțiune de plată neobișnuită trebuie confirmată printr-un canal independent, indiferent de nivelul ierarhic aparent al emitentului.

Cazul Tohan (România, 2025). Raportul anual DNSC pentru 2025 descrie un caz de compromitere a emailului la Tohan SA, companie din grupul industrial ROMARM. Atacatorii au preluat controlul a două adrese de email, au configurat redirecționarea automată a mesajelor, au modificat documente din conversații aflate în desfășurare și au obținut astfel transferuri neautorizate de peste 20.000 de euro.^[44] Cazul ilustrează varianta modernă a BEC: atacatorul nu mai trimite un mesaj suspect din exterior, ci se inserează în interiorul unei conversații reale, unde mesajul fraudulos pare perfect legitim. Concluzia DNSC coincide cu cea din cazul Leoni: orice modificare de cont bancar sau solicitare de plată neobișnuită se verifică printr-un al doilea canal.

Cazul „Guccifer” (România – SUA, 2013–2016). Marcel Lehel Lazăr, din Arad, cunoscut sub pseudonimul „Guccifer”, a accesat neautorizat conturile de email și de rețele sociale ale aproximativ 100 de persoane din Statele Unite, inclusiv personalități publice, și a fost condamnat în septembrie 2016 de o instanță federală din Virginia la 52 de luni de închisoare.^[45] Relatările publice despre caz au subliniat folosirea informațiilor disponibile public pentru a ghici răspunsurile la întrebările de securitate ale conturilor. Cazul arată că ingineria socială nu necesită resurse sofisticate, ci răbdare și cercetare în surse deschise (OSINT), și că expunerea publică a liderilor (biografii, rețele sociale, interviuri) devine materie primă pentru atac.

Cazul Twitter (SUA, 2020). La 15 iulie 2020, conturile a zeci de personalități și companii au publicat simultan mesaje frauduloase care cereau transferuri în criptomonede. Investigația Departamentului pentru Servicii Financiare al statului New York a stabilit că atacatorii au sunat angajați ai companiei pretinzând că sunt din departamentul IT și i-au convins să-și introducă datele de autentificare pe o pagină falsă, obținând astfel acces la instrumentele interne de administrare.^[46] Cazul demonstrează că vishingul (phishingul vocal) poate compromite o companie tehnologică de prim rang, cu echipe de securitate numeroase, atunci când atacatorul exploatează contextul (în acest caz, munca la distanță din perioada pandemiei și dificultatea verificării identității colegilor).

Cazul MGM Resorts (SUA, 2023). În septembrie 2023, operatorul de cazinouri și hoteluri MGM Resorts a suferit un atac care i-a perturbat operațiunile timp de mai multe zile. Atacul a fost revendicat de grupul cunoscut ca Scattered Spider, specializat în apeluri telefonice și mesaje SMS frauduloase către personalul de suport tehnic, iar analizele publicate au indicat că accesul inițial a fost obținut printr-un apel la help desk. Într-o raportare către Securities and Exchange Commission, compania a estimat impactul financiar la cel puțin 100 de milioane de dolari.^[47] Help deskul, a cărui funcție este tocmai să ajute rapid utilizatorii, devine astfel ținta ideală: atacatorul exploatează orientarea legitimă a personalului spre serviciu și rapiditate.

Cazul Arup (Hong Kong, 2024). În ianuarie 2024, un angajat al biroului din Hong Kong al firmei britanice de inginerie Arup a participat la o videoconferință în care toți ceilalți participanți, inclusiv persoane care păreau a fi membri ai conducerii, erau imagini și voci generate artificial (deepfake). Convins de autenticitatea întâlnirii, angajatul a efectuat o serie de transferuri totalizând 200 de milioane de dolari Hong Kong (aproximativ 25,6 milioane de dolari americani). Compania a precizat că niciunul dintre sistemele sale interne nu a fost compromis.^[48] Cazul marchează o ruptură calitativă: verificarea vizuală și vocală, considerată până recent suficientă, nu mai oferă garanții. Datele IC3 privind infracțiunile asistate de inteligența artificială (secțiunea 4.2) arată că fenomenul a trecut deja de la excepție la categorie statistică.

4.4. Analiză transversală

Comparația cazurilor relevă un tipar constant, cu patru elemente:

1. Un pretext credibil, construit pe cunoașterea organizației: ierarhia (Leoni), conversațiile în curs (Tohan), procedurile interne (Twitter, MGM) sau chiar aspectul și vocea conducătorilor (Arup).
2. Un declanșator emoțional sau temporal: urgența, confidențialitatea („nu discutați cu nimeni”), autoritatea sau dorința de a ajuta.
3. Un canal care nu permite verificarea imediată: emailul, telefonul, videoconferința.
4. Absența unei reguli simple și asumate care să impună verificarea pe un canal independent înainte de acțiune.

Primele trei elemente sunt controlate de atacator; al patrulea depinde exclusiv de organizație. Aceasta este concluzia practică esențială: nu putem împiedica atacatorul să construiască un pretext credibil, dar putem face ca pretextul, oricât de credibil, să se lovească de o procedură de verificare pe care angajatul o aplică fără să se simtă vinovat că pune la îndoială o instrucțiune venită „de sus”.

4.5. Inteligența artificială: o schimbare de scară

Cazul Arup nu este o anomalie, ci semnalul unei schimbări structurale. Inteligența artificială generativă reduce dramatic costul celor trei resurse de care depindea până recent ingineria socială de calitate: limba, personalizarea și credibilitatea vizuală sau vocală.

În primul rând, mesajele de phishing nu mai trădează atacatorul prin greșeli gramaticale sau formulări nefirești. Un grup infracțional care nu vorbește limba română poate produce acum mesaje corecte, în registrul potrivit unei corespondențe de afaceri, adaptate terminologiei unui anumit sector. Unul dintre indicatorii pe care se bazau instruirile tradiționale („verificați greșelile de exprimare”) își pierde astfel valoarea.

În al doilea rând, personalizarea, care cerea anterior ore de cercetare în surse deschise pentru fiecare țintă, poate fi automatizată. Profilurile profesionale publice, comunicatele de presă, organigramele și interviurile devin materie primă pentru mesaje care fac referire la proiecte reale, colegi reali și evenimente recente.

În al treilea rând, clonarea vocii și a imaginii face posibile atacuri de tip vishing și videoconferințe false care imită persoane cunoscute victimei. Un apel în care „directorul general” cere, cu vocea sa recognoscibilă, o plată urgentă nu mai este un scenariu teoretic.

Consecința pentru apărare este contraintuitivă: pe măsură ce mesajele devin mai credibile, verificarea nu mai poate depinde de calitatea mesajului, ci trebuie să depindă de proces. Întrebarea corectă nu mai este „pare autentic?”, ci „a trecut această solicitare prin canalul de verificare stabilit?”. Organizațiile pot adopta măsuri simple, cu cost redus: cuvinte de cod convenite pentru solicitările financiare urgente, confirmarea obligatorie prin apel invers la un număr din evidențele interne, nu din mesajul primit, și regula conform căreia nicio plată nu se aprobă exclusiv pe baza unei comunicări video sau telefonice.

4.6. Implicații pentru organizații

Instruirea tradițională, sub forma prezentărilor anuale obligatorii, are efecte limitate și de scurtă durată. Literatura și practica indică patru direcții mai eficiente:

• Înțelegerea mecanismului, nu memorarea exemplelor. Angajații care înțeleg principiile influenței recunosc mai ușor scenarii noi.
• Exerciții practice adaptate specificului organizației. Un departament financiar trebuie să exerseze verificarea plăților, un help desk verificarea identității, o recepție controlul accesului.
• Proceduri simple de verificare, asumate explicit de conducere: confirmarea telefonică la un număr cunoscut, dubla aprobare pentru schimbarea conturilor bancare, interdicția transmiterii codurilor de autentificare.
• O cultură a raportării fără sancțiune. Angajatul care raportează că a dat clic pe un link suspect trebuie apreciat, nu pedepsit; altfel, incidentele vor fi ascunse până devin crize.

5. Amenințarea din interior: riscul care are deja acces

5.1. Definiție și tipologie

Amenințarea din interior desemnează riscul ca o persoană cu acces autorizat la resursele unei organizații (angajat, fost angajat, contractor, partener) să folosească acest acces, intenționat sau nu, într-un mod care afectează confidențialitatea, integritatea sau disponibilitatea acestora. Centrul național pentru amenințarea din interior al CERT (Software Engineering Institute, Carnegie Mellon University), principala referință academică a domeniului, distinge între amenințarea intenționată (furt de proprietate intelectuală, sabotaj, fraudă, spionaj) și cea neintenționată (neglijență, eroare, manipulare de către terți).^[49]

Distincția are consecințe practice majore. Studiul Ponemon Institute pentru 2025, realizat pe 349 de organizații din America de Nord, Europa, Orientul Mijlociu, Africa și Asia-Pacific, arată că 55% dintre incidentele din interior sunt cauzate de angajați neglijenți sau neatenți, 20% de angajați „depășiți”, adică manipulați sau cu datele de autentificare furate, și doar 25% de persoane rău-intenționate. Costul mediu anual al riscului din interior a ajuns la 17,4 milioane de dolari pe organizație (față de 16,2 milioane în 2023), iar durata medie de izolare a unui incident a fost de 81 de zile.^[50] Cu alte cuvinte, trei sferturi din problemă nu țin de „trădători”, ci de oameni obișnuiți, iar o cincime se suprapune direct cu ingineria socială analizată în secțiunea anterioară.

5.2. Modelul „căii critice”

Cel mai util cadru analitic pentru amenințarea intenționată este modelul căii critice (critical path), dezvoltat de Eric Shaw și Laura Sellers și publicat în revista Studies in Intelligence a Agenției Centrale de Informații a SUA.^[51] Modelul descrie evoluția unei persoane spre comiterea unui act prejudiciabil prin patru componente cumulative:

1. Predispoziții personale (vulnerabilități preexistente, istoric de conflicte, dificultăți de adaptare);
2. Factori de stres (personali, profesionali sau financiari: divorț, datorii, retrogradare, restructurare);
3. Comportamente îngrijorătoare (încălcări ale regulilor, conflicte, interes neobișnuit pentru informații din afara atribuțiilor);
4. Răspunsuri organizaționale problematice (ignorarea semnalelor, reacții umilitoare sau disproporționate, lipsa sprijinului).

Valoarea modelului constă în a patra componentă: organizația nu este un observator pasiv, ci un actor care poate întrerupe sau accelera parcursul. Un manager care gestionează corect un conflict, un departament de resurse umane care identifică o situație de criză personală și oferă sprijin, o procedură de plecare care revocă accesul la timp pot opri o traiectorie care altfel s-ar fi încheiat cu un incident. Modelul este, în acest sens, profund preventiv și compatibil cu respectarea demnității angajaților.

5.3. Studii de caz

Cazul Levandowski – Waymo (SUA, 2016–2020). Anthony Levandowski, inginer în programul de vehicule autonome al Google (ulterior Waymo), a descărcat, înainte de plecarea din companie, peste 14.000 de fișiere privind tehnologia Lidar dezvoltată de aceasta. După plecare a fondat o companie preluată ulterior de Uber pentru 680 de milioane de dolari. În 2020 a pledat vinovat pentru furt de secrete comerciale și a fost condamnat la 18 luni de închisoare, la o amendă de 95.000 de dolari și la plata a 756.499 de dolari despăgubiri către Google.^[52] Cazul ilustrează cel mai frecvent scenariu de amenințare intenționată în mediul corporativ: exfiltrarea de proprietate intelectuală în perioada premergătoare plecării. Indicatorul comportamental (volumul neobișnuit de date descărcate) era detectabil tehnic; problema a fost corelarea lui cu contextul (plecarea iminentă).

Cazul Tesla (SUA – Germania, 2023). În mai 2023, cotidianul german Handelsblatt a anunțat că deține aproximativ 100 GB de date interne Tesla. Investigația companiei a stabilit că doi foști angajați au preluat informațiile încălcând politicile interne de securitate IT și de protecție a datelor și le-au transmis publicației. Datele afectau 75.735 de persoane, angajați actuali și foști, și includeau nume, adrese, numere de telefon și numere de securitate socială. Compania a obținut ordine judecătorești împotriva celor doi, iar dispozitivele care conțineau datele au fost ridicate.^[53] Cazul arată că amenințarea din interior nu se încheie la data încetării contractului: accesul și datele acumulate în timpul angajării pot fi folosite ulterior, iar motivația (în acest caz, posibil, una de tip avertizor, nu de câștig financiar) nu reduce prejudiciul.

Cazul Biot (Italia – NATO, 2021–2024). La 30 martie 2021, căpitanul de fregată Walter Biot, ofițer în Marina Militară Italiană, a fost arestat la Roma în timp ce preda unui atașat militar rus un stick USB cu peste 180 de imagini ale unor documente, dintre care 104 clasificate NATO SECRET sau NATO CONFIDENTIAL, în schimbul a aproximativ 5.000 de euro. Un tribunal militar l-a condamnat în 2023 la 30 de ani de închisoare, iar o instanță penală din Roma, în ianuarie 2024, la 20 de ani pentru spionaj, corupție și divulgarea secretelor de stat.^[54] Pentru organizațiile din spațiul NATO, inclusiv contractorii români din industria de apărare, cazul confirmă că actorii statali continuă să recruteze persoane cu acces, folosind în primul rând motivația financiară.

Cazul Teixeira (SUA, 2023–2024). Jack Teixeira, membru în vârstă de 21 de ani al Gărzii Naționale Aeriene din Massachusetts, specialist IT cu acces la rețele clasificate, a publicat pe platforma Discord, pe parcursul mai multor luni, documente clasificate privind, între altele, războiul din Ucraina. A fost condamnat în noiembrie 2024 la 15 ani de închisoare.^[55] Cazul a devenit o referință în dezbaterea americană despre amenințarea din interior, pentru că motivația nu a fost nici financiară, nici ideologică în sens clasic, ci de statut în cadrul unui mic grup online, iar semnalele de avertizare existente nu au fost corelate la timp.

Cazul Simm (Estonia – NATO, 2008–2009). Herman Simm, înalt funcționar al Ministerului Apărării din Estonia, responsabil chiar cu protecția informațiilor clasificate, a transmis timp de ani de zile informații NATO serviciilor de informații ruse și a fost condamnat în 2009 la 12 ani și jumătate de închisoare.^[56] Cazul rămâne una dintre cele mai grave compromiteri ale Alianței după extinderea spre est și ilustrează paradoxul accesului privilegiat: persoana care controlează măsurile de securitate are și cea mai bună poziție pentru a le ocoli.

5.4. Context românesc

Nu există, în sursele publice, statistici naționale dedicate amenințării din interior în companiile românești, iar cazurile ajung rareori în presă: organizațiile preferă să le gestioneze discret, pe cale disciplinară sau civilă. Câțiva factori structurali sugerează însă că riscul este semnificativ:

• Restructurările și fluctuația de personal din industria prelucrătoare și din serviciile pentru companii multinaționale. Fiecare val de plecări multiplică momentele de vulnerabilitate descrise de modelul căii critice (stres, resentimente, acces neretras la timp).
• Ponderea mare a contractorilor și a personalului temporar, care au acces la spații și sisteme, dar se află în afara proceselor de resurse umane ale beneficiarului.
• Integrarea în lanțuri de aprovizionare globale (automotive, electronice, aerospațial, apărare), în care filialele românești dețin informații ale clienților cu valoare strategică.
• Prezența industriei de apărare și a obiectivelor NATO pe teritoriul național, care face din România o țintă constantă pentru activități de recrutare din partea unor actori statali.

Raportul DNSC pentru 2025 confirmă indirect suprapunerea cu ingineria socială: cazurile de ransomware descrise încep frecvent cu un angajat care deschide un fișier infectat ce pare trimis de un partener de încredere.^[44]

5.5. Indicatori comportamentali: ce se poate observa legitim

Una dintre cele mai frecvente erori în tratarea amenințării din interior este confuzia dintre indicatori comportamentali și trăsături de personalitate. Un program legitim și eficient se concentrează pe fapte observabile, legate de exercitarea atribuțiilor de serviciu, nu pe caracteristici personale sau pe viața privată a angajaților. Tabelul de mai jos sintetizează categoriile de indicatori discutate în literatura de specialitate, adaptate unei organizații civile.

Categorie	Exemple de indicatori observabili	Cine îi observă de regulă
Acces și date	volume neobișnuite de descărcări; acces la informații din afara atribuțiilor; folosirea unor suporturi externe sau a unor servicii cloud personale	IT, proprietarul datelor
Program și prezență	prezență neobișnuită în afara programului, fără justificare; acces fizic în zone fără legătură cu atribuțiile	securitatea fizică, managerul direct
Relația cu regulile	încălcări repetate ale procedurilor; încercări de a ocoli controalele; reticență la verificări de rutină	managerul direct, conformitatea
Context profesional	conflict deschis cu organizația; anunțarea plecării la un concurent; retrogradare sau restructurare	resursele umane, managerul direct
Contacte externe	interes neobișnuit al unor terți pentru informații interne; solicitări repetate de la persoane necunoscute	angajatul însuși, securitatea

Două precizări metodologice sunt esențiale. Prima: niciun indicator, luat izolat, nu dovedește o intenție. Un volum mare de descărcări poate avea o explicație profesională perfect legitimă. Valoarea indicatorilor stă în corelare și în context. A doua: indicatorii trebuie să conducă la o reacție proporțională și respectuoasă (o discuție, o clarificare, o ajustare a accesului), nu la acuzații sau la măsuri umilitoare. În termenii modelului căii critice, un răspuns organizațional disproporționat poate deveni el însuși un factor de accelerare.

5.6. Tensiunea dintre securitate și drepturile angajaților

Gestionarea amenințării din interior se lovește, în Europa, de o limită pe care practica americană o resimte mai puțin: protecția vieții private a angajaților. Hotărârea Marii Camere a Curții Europene a Drepturilor Omului în cauza Bărbulescu c. România (5 septembrie 2017) a stabilit că monitorizarea comunicațiilor electronice ale unui angajat trebuie să respecte o serie de criterii: informarea prealabilă clară a angajatului, existența unui motiv legitim, proporționalitatea, absența unor mijloace mai puțin intruzive și existența unor garanții adecvate.^[57] Curtea a constatat încălcarea articolului 8 din Convenție tocmai pentru că instanțele naționale nu verificaseră aceste condiții.

Criteriile au fost preluate în legislația națională prin art. 5 din Legea nr. 190/2018, care condiționează monitorizarea prin comunicații electronice sau video la locul de muncă de interesul legitim al angajatorului, informarea prealabilă completă a angajaților, consultarea sindicatului sau a reprezentanților salariaților și caracterul subsidiar al măsurii.^[20] Concluzia pentru practică este clară: un program privind amenințarea din interior conform cu dreptul european nu poate fi un program de supraveghere generalizată. El trebuie construit pe transparență, proporționalitate și accent pe prevenție, adică exact pe direcțiile sugerate de modelul căii critice. Legea nr. 361/2022 privind avertizorii completează cadrul: un canal intern de raportare funcțional permite semnalarea problemelor înainte ca acestea să ajungă în spațiul public, așa cum s-a întâmplat în cazul Tesla.

5.7. Cine îi păzește pe paznici: când riscul vine de la vârf

Toate mecanismele descrise până aici presupun, tacit, că cel care observă, cel care raportează și cel care decide sunt oameni de încredere. Ce se întâmplă însă când persoana vizată este chiar directorul general, responsabilul cu conformitatea NIS2, ofițerul de legătură CER sau șeful securității? Întrebarea lui Juvenal, quis custodiet ipsos custodes?, nu este un exercițiu retoric. Este punctul în care cele mai multe programe de securitate cedează.

Istoria recentă oferă exemple greu de ignorat. Herman Simm, cazul analizat mai sus, conducea chiar structura estonă responsabilă cu protecția informațiilor clasificate.^[56] Robert Hanssen, ofițer de contrainformații al FBI, a spionat pentru Moscova timp de peste două decenii; raportul inspectorului general al Departamentului de Justiție a constatat că biroul nu avea controale interne capabile să detecteze un trădător aflat în propriile rânduri.^[58] Joe Sullivan, fost director de securitate al Uber, a fost condamnat în 2022 pentru că a ascuns autorităților americane o breșă de date din 2016, iar condamnarea a fost menținută în apel în 2025.^[59] La Wirecard, companie din indicele DAX prăbușită în 2020 după dispariția a 1,9 miliarde de euro, directorul operațional Jan Marsalek a fugit înainte de a fi pus sub acuzare; în 2025, procurorii britanici l-au indicat drept coordonatorul unei rețele de spionaj în favoarea Rusiei, ai cărei membri au fost condamnați la Londra.^[60]

Dosarele de acest tip arată trei forme ale riscului de la vârf. Prima este trădarea în favoarea unei puteri străine (Simm, Hanssen, cazul Marsalek) sau ascunderea unor fapte față de autorități (Sullivan). A doua, mult mai frecventă în mediul de afaceri, este plecarea la concurență cu informațiile. În 1993, José Ignacio López, vicepreședinte global pentru achiziții al General Motors, a trecut la Volkswagen; GM a susținut că acesta a luat cu el documente privind prețurile furnizorilor, operațiunile fabricilor și viitoare modele Opel, iar disputa s-a încheiat în 1997 cu plata a 100 de milioane de dolari și cu angajamentul Volkswagen de a cumpăra, în șapte ani, piese GM în valoare de un miliard de dolari.^[61] În 2009, Starwood a acuzat doi foști directori care conduseseră brandurile sale de lux că au dus la Hilton peste 100.000 de fișiere electronice, folosite pentru dezvoltarea unui brand concurent; prin acordul din decembrie 2010, Hilton a acceptat restituirea documentelor, o interdicție de doi ani pe segmentul respectiv și un monitor independent.^[62] În 2006, Boeing a plătit 615 milioane de dolari pentru a închide investigațiile privind peste 22.000 de pagini de documente ale concurentului Lockheed Martin, obținute înaintea unei licitații, și recrutarea unei înalte oficiale a Forțelor Aeriene americane de către directorul financiar al companiei; amândoi au recunoscut încălcarea normelor privind conflictul de interese.^[63] Cazul arată că riscul lovește și organizația care primește: informația adusă de la concurență aduce cu ea și răspunderea.

A treia formă este răzbunarea sau șantajul celui care deține privilegiile. Nickolas Sharp, dezvoltator senior la Ubiquiti, a copiat la sfârșitul anului 2020 peste o mie de depozite de cod în timp ce își căuta alt loc de muncă, și-a șters urmele și, ca membru al echipei care investiga chiar acest incident, a cerut companiei, anonim, o răscumpărare de aproximativ 1,9 milioane de dolari; a fost condamnat în 2023 la șase ani de închisoare.^[64] Davis Lu, dezvoltator la Eaton, nemulțumit de restrângerea atribuțiilor după o reorganizare, a plantat în sistemele companiei un cod care s-a declanșat în 2019, în momentul în care contul său a fost dezactivat; a fost condamnat în 2025 la patru ani de închisoare.^[65] Ultimele două cazuri nu privesc directori, ci specialiști cu privilegii de administrator, dar ilustrează aceeași problemă: cel care investighează incidentul sau deține controlul tehnic poate fi chiar autorul lui.

Riscul de la vârf diferă calitativ de cel obișnuit, din patru motive. Persoana are acces privilegiat, adesea nelimitat, la informații, sisteme și spații. Are autoritate asupra celor care ar trebui să o observe: subordonații ezită să raporteze un superior de care depinde cariera lor. Controlează adesea chiar mecanismele de detecție: șeful securității administrează camerele și jurnalele de acces, responsabilul IT administrează jurnalele sistemelor, directorul general numește auditorul intern. În sfârșit, cunoaște modul în care organizația detectează, deci știe cum să evite detecția. Indicatorii comportamentali din secțiunea 5.5 rămân valabili, dar canalele obișnuite prin care ar ajunge la decident sunt blocate sau compromise.

Principiul de proiectare. Răspunsul nu este suspiciunea generalizată față de conducere, ci o regulă de arhitectură: nimeni nu își controlează propriul control. Pentru fiecare funcție-cheie trebuie stabilit dinainte, în scris, un destinatar independent, aflat în afara liniei ierarhice a persoanei respective, către care pot merge semnalele care o privesc. Pentru directorul general, acesta este președintele consiliului de administrație sau al comitetului de audit; pentru șeful securității, auditul intern sau un membru neexecutiv al consiliului; pentru responsabilul NIS2 sau ofițerul de legătură CER, conducătorul entității și, în paralel, auditul intern. Legea nr. 361/2022 cere angajatorilor cu cel puțin 50 de angajați canale interne de raportare;^[21] un canal administrat chiar de persoana raportată nu protejează pe nimeni, de aceea traseul trebuie să permită ocolirea acesteia.

Cine observă: senzorii. Semnalele privind conducerea apar, de regulă, la oameni care nu au rolul formal de a le raporta.

Senzorul	Ce poate observa	Condiția ca semnalul să ajungă
Adjuncții și subordonații direcți	ocolirea procedurilor, cereri neobișnuite, presiuni, izolarea informației	canal de raportare care ocolește persoana vizată; protecție efectivă împotriva represaliilor
Asistenții de conducere și secretariatul	întâlniri, vizitatori și călătorii nedeclarate, documente scoase din circuit	aceeași; instruire care să le spună că pot raporta
Administratorii IT	conturi privilegiate create sau folosite atipic, jurnale șterse, excepții cerute „de sus”	jurnale transmise automat într-un sistem pe care persoana vizată nu îl poate modifica; principiul celor „patru ochi”
Paza și dispeceratul	acces în afara programului, vizitatori neînregistrați, camere dezactivate	registre pe care șeful securității nu le poate edita singur
Financiar-contabilitatea	plăți, contracte și furnizori atipici, conflicte de interese	raportare directă către comitetul de audit
Auditul intern și auditorul extern	abateri de la controale, documente lipsă, explicații inconsecvente	subordonare funcțională față de consiliu, nu față de directorul general
Banca	tranzacții suspecte	raportarea către Oficiul Național de Prevenire și Combatere a Spălării Banilor (Legea nr. 129/2019)[66]
Autoritățile	rezultate ale verificărilor de fond, inspecții, informații din alte surse	verificările prevăzute la art. 14 din Legea nr. 294/2024 aplicate și funcțiilor de conducere sensibile[67]

Cine se autosesizează și cine acționează. În cadrul organizației, competența aparține organelor de guvernanță prevăzute de Legea nr. 31/1990: consiliul de administrație sau de supraveghere pentru directori, adunarea generală pentru administratori.^[68] Pentru entitățile de interes public, comitetul de audit este interlocutorul firesc al auditului intern și al celui extern.^[69] Directorii și administratorii lucrează, de regulă, pe bază de mandat, nu de contract individual de muncă, astfel că măsura se ia printr-un act de guvernanță (suspendare sau revocare), nu prin procedura disciplinară din Codul muncii. În afara organizației intervin, după natura faptei: organele de urmărire penală; Serviciul Român de Informații, competent potrivit Legii nr. 51/1991 privind securitatea națională, atunci când există indicii de spionaj sau de acțiuni ale unor puteri străine;^[70] autoritatea competentă sectorială și CNCPIC, când fapta constituie sau produce un incident CER; DNSC, pentru entitățile NIS2. Directiva NIS2 permite autorităților să ceară, în cazul entităților esențiale, interzicerea temporară a exercitării funcțiilor de conducere de către persoana responsabilă.^[71]

Cum se procedează. Experiența investigațiilor de acest tip conduce la câțiva pași ordonați:

1. Semnalul ajunge la destinatarul independent, nu la persoana vizată și nici la subordonații ei.
2. Evaluare discretă, în cerc restrâns (de regulă, două-trei persoane), fără a alerta persoana și fără a o implica pe ea sau pe oamenii ei în verificare.
3. Mandat de investigație independentă, dat de organul de guvernanță unor specialiști externi (avocat, expert în investigații digitale, după caz detectivi particulari autorizați),^[72] cu respectarea strictă a limitelor legale privind monitorizarea și datele personale (secțiunea 5.6).
4. Conservarea probelor înainte de orice confruntare: jurnale, înregistrări, documente, copii de siguranță.
5. Evaluarea obligațiilor de notificare: termenele CER și NIS2 de 24 de ore, dacă fapta constituie un incident semnificativ; GDPR, dacă sunt afectate date personale; sesizarea organelor de urmărire penală sau a SRI, după caz.
6. Acțiunea simultană: decizia organului competent, retragerea în același moment a tuturor drepturilor de acces fizic și logic (carduri, chei, coduri, conturi privilegiate, acces la furnizori), preluarea funcției de către înlocuitorul desemnat dinainte și informarea autorităților despre schimbarea persoanei de contact.
7. Analiza ulterioară: cum a fost posibil, de ce semnalele nu au ajuns mai devreme, ce se schimbă în arhitectura controalelor.

Momentul plecării. Cazurile López, Starwood, Sharp și Lu au un numitor comun: fereastra de risc maxim este perioada dintre decizia de plecare și ieșirea efectivă, iar uneori chiar momentul dezactivării contului. Pentru funcțiile de conducere și pentru cele cu privilegii, aceasta presupune: clauze de confidențialitate și, unde este cazul, de neconcurență, stabilite de la numire (Codul muncii pentru salariați, contractul de mandat pentru directori);^[73] reevaluarea drepturilor de acces din momentul în care plecarea este anunțată și limitarea lor pe durata preavizului; verificarea retroactivă a jurnalelor de acces și de transfer de date pentru ultimele luni; inventarul codului, al scripturilor și al automatizărilor create de persoana respectivă înainte de dezactivarea conturilor; o discuție de ieșire care reamintește, în scris, obligațiile privind secretul comercial.^[22]

Pentru o societate cu administrator unic care este și asociat, nu există un nivel superior în interior; senzorii sunt atunci exclusiv externi: auditorul financiar, banca, clienții, autoritățile. Pentru entitățile critice și esențiale, însă, existența unui destinatar independent și a unui înlocuitor desemnat este o condiție a rezilienței, iar exercițiul de criză (capitolul 6) este locul firesc în care această ipoteză incomodă poate fi testată fără a acuza pe nimeni.

5.8. Implicații pentru organizații

• Gestionarea întregului ciclu de viață al angajatului: verificări la angajare în limitele legii, acces strict pe principiul necesității, revizuirea drepturilor la schimbarea funcției, revocarea accesului la data încetării, nu ulterior.
• Atenție specială la momentele de tranziție: restructurări, conflicte, plecări la concurență, retrogradări.
• Abordare multidisciplinară: managerul direct, resursele umane, IT-ul și juridicul trebuie să aibă un limbaj comun și un mecanism de coordonare, chiar informal, în organizațiile mici.
• Instruirea managerilor, nu doar a angajaților: managerul este cel care observă primul comportamentele îngrijorătoare și al cărui răspuns poate întrerupe sau accelera calea critică.
• Un destinatar independent pentru fiecare funcție-cheie, inclusiv pentru conducere, șeful securității și responsabilii NIS2 și CER, astfel încât niciun semnal să nu depindă de persoana pe care o privește.
• Respectarea strictă a cadrului legal, care nu este un obstacol, ci o garanție a legitimității programului și a încrederii angajaților.

6. Decizia în criză: primele ore

6.1. Fundamente teoretice

Literatura privind managementul crizelor oferă câteva repere consolidate. Arjen Boin, Paul ‘t Hart, Eric Stern și Bengt Sundelius identifică sarcinile esențiale ale conducerii în criză: înțelegerea situației (sense-making), luarea deciziilor, construirea sensului pentru public (meaning-making), încheierea crizei și învățarea.^[74] Prima sarcină este cea mai frecvent subestimată: cele mai multe eșecuri nu sunt de execuție, ci de interpretare timpurie. Semnalul este văzut, dar nu este recunoscut ca semnal de criză.

Karl Weick și Kathleen Sutcliffe, studiind organizațiile cu fiabilitate ridicată (centrale nucleare, portavioane, controlul traficului aerian), au descris principiile care le permit să funcționeze în medii periculoase. Între acestea, deferența față de expertiză este direct relevantă: în criză, decizia trebuie să migreze spre persoana care cunoaște cel mai bine problema, nu spre cea cu funcția cea mai înaltă.^[75] Gary Klein a arătat, prin cercetări asupra decidenților experimentați (pompieri, comandanți militari, personal medical de urgență), că aceștia nu compară sistematic opțiuni, ci recunosc tipare din experiența anterioară și simulează mental cursul de acțiune.^[76] Implicația este fundamentală pentru pregătire: o echipă care nu a trăit niciodată, nici măcar simulat, o criză de un anumit tip nu are tipare de recunoscut.

În planul comunicării, teoria comunicării situaționale în criză (SCCT), dezvoltată de W. Timothy Coombs, arată că publicul atribuie responsabilitatea organizației în funcție de tipul crizei: victimă (de exemplu, un atac extern), accident sau criză evitabilă (neglijență). Strategia de răspuns trebuie să corespundă nivelului de responsabilitate atribuit: o criză percepută ca evitabilă cere recunoaștere și măsuri corective, nu negare.^[77] Un atac cibernetic plasează inițial organizația în categoria „victimă”, dar percepția se poate schimba rapid dacă se află că accesul a fost posibil printr-o neglijență elementară.

Standardele internaționale au codificat aceste lecții: ISO 22361:2022 privind managementul crizelor și ISO 22398:2013 privind exercițiile, alături de ghidul NIST SP 800-84 privind programele de testare, instruire și exerciții.^[78]

6.2. Ceasul legal

O dimensiune nouă a crizelor de securitate în Uniunea Europeană este ceasul legal. Pentru entitățile esențiale și importante, NIS2 impune avertizarea timpurie a autorității competente în 24 de ore de la luarea la cunoștință a unui incident semnificativ, notificarea în 72 de ore și raportul final în cel mult o lună.^[9] Pentru entitățile critice, Legea nr. 294/2024 adaugă un al treilea ceas: notificarea către CNCPIC și autoritatea sectorială în cel mult 24 de ore de la constatarea unui incident care perturbă sau poate perturba semnificativ serviciul esențial.^[39] Dacă sunt afectate date cu caracter personal, GDPR impune notificarea autorității de supraveghere în 72 de ore.^[19] Termenele curg de la luarea la cunoștință, nu de la finalizarea investigației. În practică, aceasta înseamnă că o echipă de conducere care pierde primele ore stabilind cine decide pierde și o parte substanțială din timpul legal disponibil. Raportul DNSC pentru 2025 menționează procesarea a aproximativ 2.400 de formulare de notificare NIS2, ceea ce arată că mecanismul a devenit operațional.^[13]

6.3. Studii de caz

Maersk și NotPetya (Danemarca, 2017). În iunie 2017, malware-ul distructiv NotPetya a afectat grupul A.P. Møller-Maersk, unul dintre cei mai mari operatori de transport maritim din lume. Președintele consiliului de administrație, Jim Hagemann Snabe, a relatat ulterior, la Forumul Economic Mondial, că grupul a trebuit să reinstaleze 4.000 de servere, 45.000 de calculatoare și 2.500 de aplicații, adică „o infrastructură completă”, în aproximativ zece zile, o operațiune care în mod normal ar fi durat circa șase luni. Pe durata reconstrucției, compania a lucrat cu proceduri manuale, iar volumele au scăzut, potrivit acestuia, cu doar 20%. Costul a fost estimat la 250–300 de milioane de dolari.^[79] Cazul arată că reziliența nu înseamnă evitarea crizei, ci capacitatea de a continua activitatea esențială în moduri degradate, ceea ce presupune proceduri manuale cunoscute și exersate dinainte.

Norsk Hydro și LockerGoga (Norvegia, 2019). La 19 martie 2019, producătorul de aluminiu Norsk Hydro a fost lovit de ransomware-ul LockerGoga. Compania a refuzat să plătească răscumpărarea, a trecut la operare manuală acolo unde a fost posibil și a restaurat sistemele din copii de siguranță. Costul a fost estimat, în primul trimestru, la 400–450 de milioane de coroane norvegiene.^[80] Hydro a devenit însă un caz de referință mai ales prin transparența comunicării: actualizări frecvente, conferințe de presă regulate și asumarea deschisă a situației. Din perspectiva SCCT, transparența a consolidat percepția companiei ca victimă a unui atac infracțional și a protejat reputația pe termen lung.

Atacul asupra platformei Hipocrate (România, 2024). Începând cu 10 februarie 2024, un atac cu ransomware-ul Backmydata, din familia Phobos, a criptat datele a 26 de spitale care foloseau sistemul informatic de gestiune Hipocrate, iar alte 74 de unități conectate au fost deconectate preventiv de la internet pe durata verificărilor. Atacatorii au cerut 3,5 bitcoin, aproximativ 175.000 de dolari. DNSC a recomandat ferm neplata răscumpărării și a coordonat restaurarea din copii de siguranță; cele mai multe spitale aveau copii recente, dar într-un caz lipseau datele ultimelor 12 zile. Spitalele au revenit temporar la evidențe pe hârtie.^[1] Din perspectiva acestui articol, cazul este relevant prin dimensiunea sistemică a crizei: o vulnerabilitate a unui furnizor comun a produs simultan zeci de crize locale, fiecare conducere de spital trebuind să decidă în paralel, cu informații incomplete, asupra izolării, comunicării cu pacienții și continuității îngrijirii.

Electrica (România, 2024). La 9 decembrie 2024, Grupul Electrica, unul dintre principalii distribuitori de energie electrică din România, a anunțat printr-un comunicat transmis Bursei de Valori București că este ținta unui atac cibernetic. DNSC a atribuit atacul grupării Lynx Ransomware și a precizat că sistemele critice pentru alimentarea cu energie nu au fost afectate, iar Ministerul Energiei a comunicat că sistemul SCADA era izolat și funcțional.^[81] Cazul ilustrează două practici corecte: comunicarea promptă către piață și autorități și separarea arhitecturală între sistemele informatice administrative și cele operaționale, care a limitat impactul asupra serviciului esențial.

Complexul Energetic Oltenia (România). Raportul anual al DNSC pentru 2025 prezintă, între cazurile de ransomware, situația Complexului Energetic Oltenia: aproximativ 20 de calculatoare și 45 de servere afectate, restaurare integrală din copii de siguranță, continuitatea producției și refuzul plății răscumpărării.^[44] Cazul este util tocmai pentru că este unul de succes relativ: arată ce înseamnă, concret, pregătirea anterioară (copii de siguranță funcționale, separarea sistemelor, decizia rapidă de a nu negocia).

6.4. Lecții transversale

Comparația cazurilor relevă cinci lecții:

1. Autoritatea decizională trebuie stabilită înainte de criză, inclusiv înlocuitorii. Crizele izbucnesc frecvent în afara programului, în weekend sau când conducătorul principal este indisponibil.
2. Continuitatea în mod degradat (proceduri manuale, evidențe pe hârtie) trebuie planificată și exersată, nu improvizată.
3. Termenele legale de notificare trebuie urmărite de o persoană desemnată din primele ore.
4. Comunicarea transparentă și coerentă protejează reputația mai bine decât tăcerea sau minimizarea.
5. Interdependențele cu furnizorii (cazul Hipocrate) și cu grupul (în cazul filialelor multinaționalelor) trebuie anticipate: cine decide local și cine global?

6.5. Exercițiul ca instrument

Exercițiul de tip tabletop, adică o simulare în care echipa de conducere discută și decide pe baza unui scenariu care evoluează în timp, este instrumentul principal prin care organizațiile pot construi tiparele de care vorbește Klein fără a aștepta o criză reală. Agenția americană pentru securitate cibernetică și infrastructură (CISA) pune la dispoziție pachete de exerciții gratuite (CISA Tabletop Exercise Packages), iar Centrul Național de Securitate Cibernetică al Regatului Unit oferă instrumentul „Exercise in a Box”.^[82] Valoarea unui exercițiu nu stă în „răspunsurile corecte”, ci în descoperirea, într-un mediu sigur, a lacunelor: o autoritate decizională neclară, un termen legal pe care nimeni nu îl urmărește, un mesaj public nepregătit, o dependență de un furnizor pe care nimeni nu o cunoștea.

6.6. Arhitectura unui exercițiu eficient

Experiența practică și ghidurile citate converg asupra câtorva elemente de proiectare care fac diferența între un exercițiu formal și unul cu adevărat util.

Scenariul trebuie să fie plauzibil și specific. Un scenariu generic („un atac cibernetic afectează firma”) produce discuții generice. Un scenariu construit pe activitatea reală a organizației, pe clienții, furnizorii, sistemele și structura sa de conducere, obligă participanții să folosească informațiile și relațiile reale. Pregătirea se face, de aceea, într-o sesiune comună cu beneficiarul, în care se stabilesc obiectivele exercițiului și se validează plauzibilitatea scenariului.

Evenimentele trebuie introduse progresiv. Un exercițiu bun nu prezintă de la început întreaga criză, ci o dezvăluie treptat, prin evenimente succesive (injects): un semnal ambiguu, apoi o confirmare, apoi o presiune externă (un client, un jurnalist, o autoritate). Această structură reproduce dinamica reală a crizelor și testează exact capacitatea de sense-making descrisă de Boin și colaboratorii săi.

Timpul din scenariu trebuie separat de timpul real. O fază de 40 de minute poate acoperi câteva ore sau zile din criza simulată. Anunțarea explicită a „orei din scenariu” permite testarea termenelor legale (24 și 72 de ore) într-o singură sesiune.

Facilitatorul nu oferă soluții. Rolul său este să pună întrebări neutre („Cine decide?”, „De unde știți?”, „Cine trebuie să afle și când?”) și să observe procesul. Echipa trebuie să descopere singură lacunele; o lacună descoperită este mult mai bine asimilată decât una semnalată.

Evaluarea se face pe proces, nu pe persoane. Criteriile de observare (claritatea autorității decizionale, circulația informației, comunicarea internă și externă, considerarea obligațiilor legale, documentarea deciziilor) permit un raport obiectiv, care nu expune individual participanții și nu creează reticență față de exercițiile viitoare.

Analiza imediată este parte integrantă a exercițiului. Analiza „la cald” (hot debrief), de tipul After Action Review folosit în mediul militar, fixează lecțiile cât timp experiența este proaspătă. Ea se încheie cu un plan de măsuri, fiecare cu un responsabil și un termen.

7. Discuție: un model integrat

7.1. Ciclul factorului uman

Analiza celor trei dimensiuni conduce la un model simplu, pe care îl propunem ca instrument de lucru pentru organizații:

Faza	Dimensiunea	Întrebarea-cheie	Cine trebuie pregătit
Înainte	Ingineria socială	Recunoaștem și oprim manipularea?	Toți angajații, cu accent pe funcțiile expuse (financiar, help desk, recepție, achiziții)
În interior	Amenințarea din interior	Observăm la timp și reacționăm corect și legal?	Managerii, resursele umane, IT, juridic
După	Decizia în criză	Știm cine decide, ce decide și în ce termen?	Echipa de conducere

Cele trei faze nu sunt separate. Cazul MGM a început cu un apel telefonic (inginerie socială), a continuat cu folosirea unui acces din interior (contul compromis) și s-a transformat într-o criză operațională și de comunicare. Cazul Tohan combină compromiterea conturilor cu exploatarea relațiilor de încredere din interiorul unei conversații comerciale. Spitalele afectate în 2024 au trebuit să gestioneze o criză declanșată de o familie de ransomware care pătrunde, de regulă, prin servicii de acces la distanță protejate cu parole slabe sau furate. O organizație care tratează doar una dintre faze rămâne vulnerabilă la celelalte două.

7.2. Un model de intervenție pentru organizațiile din România

Pe baza analizei, propunem un model de intervenție în trei module, corespunzătoare celor trei faze:

• Modulul 1 – Ingineria socială (aproximativ 4 ore, pentru angajați): mecanismele psihologice ale manipulării, tehnicile și canalele de atac, clasificarea informațiilor, exerciții practice pe scenarii adaptate organizației, raportarea incidentelor.
• Modulul 2 – Amenințarea din interior (aproximativ 3 ore, pentru manageri, resurse umane, IT și juridic): tipologia, modelul căii critice, indicatorii comportamentali, prevenția pe ciclul angajării, reacția legală la suspiciuni, în cadrul GDPR, al Legii nr. 190/2018 și al jurisprudenței Bărbulescu.
• Modulul 3 – Exercițiul de criză (aproximativ 4 ore, pentru echipa de conducere): simulare tabletop în cinci faze (detectare, escaladare, presiune publică, revenire, analiză imediată), cu observare pe criterii (autoritate decizională, informare, comunicare internă și externă, obligații legale, documentare) și raport de concluzii.

Patru principii sunt esențiale pentru eficacitate. Primul este adaptarea: scenariile, exemplele și exercițiile trebuie construite pornind de la riscurile reale ale organizației, identificate într-o discuție pregătitoare cu beneficiarul, nu preluate dintr-un model generic. Al doilea este conformitatea: toate recomandările trebuie să respecte cadrul legal românesc și european, în special în materia drepturilor angajaților. Al treilea este delimitarea clară a rolurilor: modelul acoperă componenta umană și decizia conducerii; el completează, dar nu înlocuiește, formarea cibernetică acreditată cerută conducerii de NIS2, iar exercițiul de criză este o simulare de decizie, nu un serviciu de răspuns la incidente cibernetice și nici un audit. Al patrulea este continuitatea: un exercițiu izolat are valoare, dar efectul se consolidează prin repetare periodică, de exemplu anual, cu scenarii diferite, și prin urmărirea măsurilor rezultate.

7.3. Măsurarea eficacității

O întrebare legitimă a oricărei conduceri este: cum știm că pregătirea funcționează? Răspunsul onest este că măsurarea efectelor comportamentale este dificilă, dar nu imposibilă. Propunem câțiva indicatori simpli, accesibili și organizațiilor mici:

• Rata de raportare a mesajelor și apelurilor suspecte. Creșterea ei după instruire este un semn bun, nu unul rău: arată că angajații recunosc tentativele și au încredere că raportarea este binevenită.
• Timpul până la raportare. Un incident raportat în câteva minute are consecințe mult mai mici decât unul descoperit după zile.
• Respectarea procedurilor de verificare a plăților și a schimbărilor de cont, verificabilă prin audit intern.
• Timpul de revocare a accesului la plecarea angajaților și a contractorilor, măsurabil în zile.
• Lacunele identificate în exercițiul de criză și stadiul măsurilor corective la 30, 90 și 365 de zile.

Campaniile de phishing simulat pot completa acești indicatori, dar trebuie folosite cu prudență: dacă sunt percepute ca „capcane” punitive, ele erodează exact încrederea și cultura raportării pe care urmăresc să le construiască. Recomandarea noastră este ca rezultatele să fie folosite exclusiv agregat, pentru îmbunătățirea instruirii, nu pentru sancționarea individuală.

7.4. Limitele analizei

Modelul propus are limite pe care le asumăm. În primul rând, dovezile privind eficacitatea programelor de instruire în securitate sunt eterogene: efectele pot scădea în timp, iar măsurarea lor riguroasă (de exemplu, prin campanii de phishing simulat) ridică propriile probleme etice și metodologice. În al doilea rând, cazurile analizate provin din surse deschise și pot supra-reprezenta incidentele mari și spectaculoase. În al treilea rând, aplicarea modelului în organizațiile mici și mijlocii, care predomină în economia românească, presupune simplificări pe care cercetări viitoare ar trebui să le testeze empiric.

8. Concluzii

Factorul uman nu este o vulnerabilitate care poate fi eliminată, ci o componentă permanentă a securității oricărei organizații. Datele recente, din România și din spațiul euro-atlantic, arată că manipularea oamenilor rămâne principala poartă de intrare a atacatorilor, că trei sferturi din riscul din interior provin din neglijență sau manipulare, nu din rea-intenție (dar că cel mai grav risc este cel care vine chiar de la vârf, unde controalele obișnuite nu mai funcționează), și că diferența dintre o criză gestionată și una scăpată de sub control se decide, de cele mai multe ori, în primele ore, prin claritatea autorității și calitatea pregătirii anterioare.

Cazurile analizate, de la frauda de 40 de milioane de euro de la Leoni la atacul asupra spitalelor din 2024, de la apelul telefonic care a compromis MGM la videoconferința falsă de la Arup, converg spre aceeași concluzie: tehnologia este necesară, dar nu suficientă. Organizațiile care rezistă sunt cele în care angajații recunosc manipularea și au curajul să verifice, managerii observă la timp semnalele și reacționează corect și legal, iar conducerea știe, înainte de criză, cine decide, ce decide și în ce termen.

Securitatea fizică rămâne fundația acestui edificiu. Sabotajul cablurilor, dronele deasupra aeroporturilor și explozia de pe o cale ferată poloneză arată că amenințările hibride lovesc mai întâi infrastructura fizică, iar primul semnal îl dă, de regulă, un om aflat la fața locului. Analiza de risc la securitate fizică, pe care practica românească o cunoaște de peste un deceniu, trebuie extinsă spre toate pericolele, dependențe și riscul din interior, iar perimetrul, accesul și paza trebuie gândite împreună cu securitatea personalului și cea cibernetică.

Cadrul normativ european, prin NIS2 și CER, a transformat aceste cerințe din recomandări în obligații pentru un număr tot mai mare de organizații; în România, transpunerea NIS2 cere în plus ca formarea conducerii să fie acreditată, iar entitățile critice au de îndeplinit primele termene ale Legii nr. 294/2024 în 2027. Pentru companiile din România, aceasta este o oportunitate: pregătirea oamenilor nu mai este doar o investiție în securitate, ci și o condiție de conformitate și, în ultimă instanță, de încredere din partea clienților, a partenerilor și a autorităților.

Și acum?

Factorul uman nu se rezolvă cu un regulament, ci cu pregătire: angajați care recunosc manipularea, manageri care observă la timp semnalele, o conducere care și-a exersat deciziile înainte de criză. Pentru asta am construit programele de securitate corporativă și seria dedicată entităților critice.

Vedeți programele Programați o discuție gratuită

Angelo Lăzău este Senior Security Expert, evaluator de risc la securitate fizică (R.N.E.R.S.F. poz. 3118) și fost Head of Security al NATO HUMINT Centre of Excellence, cu peste 20 de ani de experiență în securitate și intelligence.

Bibliografie

Acte normative și jurisprudență

• Directiva (UE) 2022/2555 a Parlamentului European și a Consiliului din 14 decembrie 2022 privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune (Directiva NIS2), JO L 333, 27.12.2022.
• Directiva (UE) 2022/2557 a Parlamentului European și a Consiliului din 14 decembrie 2022 privind reziliența entităților critice (Directiva CER), JO L 333, 27.12.2022.
• Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 (Regulamentul general privind protecția datelor), JO L 119, 4.5.2016.
• Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei din 17 octombrie 2024 privind cerințele tehnice și metodologice ale măsurilor de gestionare a riscurilor în materie de securitate cibernetică (NIS2), JO L, 18.10.2024.
• Ordonanța de urgență a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, aprobată prin Legea nr. 124/2025.
• Legea nr. 294/2024 privind reziliența entităților critice, precum și pentru modificarea unor acte normative.
• Hotărârea Guvernului nr. 1.115/2025 pentru aprobarea normelor, procedurilor și măsurilor prevăzute la art. 1 alin. (3) din Legea nr. 294/2024.
• Decizia prim-ministrului nr. 55/2025 pentru aprobarea listei autorităților competente sectoriale în domeniul rezilienței entităților critice.
• Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679.
• Legea nr. 361/2022 privind protecția avertizorilor în interes public.
• Legea nr. 53/2003 – Codul muncii, republicată, cu modificările și completările ulterioare.
• Legea nr. 11/1991 privind combaterea concurenței neloiale; Ordonanța de urgență a Guvernului nr. 25/2019 privind protecția know-how-ului și a informațiilor de afaceri nedivulgate care constituie secrete comerciale.
• Legea nr. 333/2003 privind paza obiectivelor, bunurilor, valorilor și protecția persoanelor; Hotărârea Guvernului nr. 301/2012 pentru aprobarea Normelor metodologice de aplicare.
• Executive Order 13587, Structural Reforms to Improve the Security of Classified Networks and the Responsible Sharing and Safeguarding of Classified Information, 7 octombrie 2011.
• 32 CFR Part 117, National Industrial Security Program Operating Manual (NISPOM).
• Curtea Europeană a Drepturilor Omului (Marea Cameră), Bărbulescu c. România, cererea nr. 61496/08, hotărârea din 5 septembrie 2017.
• Legea nr. 31/1990 privind societățile, republicată.
• Legea nr. 51/1991 privind securitatea națională a României, republicată.
• Legea nr. 129/2019 pentru prevenirea și combaterea spălării banilor și finanțării terorismului.
• Legea nr. 162/2017 privind auditul statutar al situațiilor financiare anuale și al situațiilor financiare anuale consolidate.
• Legea nr. 329/2003 privind exercitarea profesiei de detectiv particular, republicată.
• U.S. Court of Appeals for the Ninth Circuit, United States v. Sullivan, nr. 23-927, 13 martie 2025.

Cărți și articole științifice

• Boin, Arjen; ‘t Hart, Paul; Stern, Eric; Sundelius, Bengt. The Politics of Crisis Management: Public Leadership under Pressure. Ediția a 2-a. Cambridge: Cambridge University Press, 2017.
• Cialdini, Robert B. Influence, New and Expanded: The Psychology of Persuasion. New York: Harper Business, 2021.
• Coombs, W. Timothy. „Protecting Organization Reputations During a Crisis: The Development and Application of Situational Crisis Communication Theory”. Corporate Reputation Review 10, nr. 3 (2007): 163–176.
• Coombs, W. Timothy. Ongoing Crisis Communication: Planning, Managing, and Responding. Ediția a 5-a. Thousand Oaks: SAGE, 2019.
• Kahneman, Daniel. Thinking, Fast and Slow. New York: Farrar, Straus and Giroux, 2011.
• Klein, Gary. Sources of Power: How People Make Decisions. Cambridge, MA: MIT Press, 1998.
• Mitnick, Kevin D.; Simon, William L. The Art of Deception: Controlling the Human Element of Security. Indianapolis: Wiley, 2002.
• Shaw, Eric; Sellers, Laura. „Application of the Critical-Path Method to Evaluate Insider Risks”. Studies in Intelligence 59, nr. 2 (2015). Central Intelligence Agency, Center for the Study of Intelligence.
• Weick, Karl E.; Sutcliffe, Kathleen M. Managing the Unexpected: Sustained Performance in a Complex World. Ediția a 3-a. Hoboken: Wiley, 2015.
• Yin, Robert K. Case Study Research and Applications: Design and Methods. Ediția a 6-a. Thousand Oaks: SAGE, 2018.

Rapoarte și standarde

• CERT National Insider Threat Center. Common Sense Guide to Mitigating Insider Threats. Ediția a 7-a. Pittsburgh: Software Engineering Institute, Carnegie Mellon University, 2022.
• Directoratul Național de Securitate Cibernetică (DNSC). Raport anual 2025. București, 2026.
• European Union Agency for Cybersecurity (ENISA). ENISA Threat Landscape 2025. Atena, 2025.
• Federal Bureau of Investigation, Internet Crime Complaint Center (IC3). 2025 Internet Crime Report. Washington, DC, 2026.
• ISO 22361:2022, Security and resilience — Crisis management — Guidelines.
• ISO 22398:2013, Societal security — Guidelines for exercises.
• National Institute of Standards and Technology. SP 800-84: Guide to Test, Training, and Exercise Programs for IT Plans and Capabilities. Gaithersburg, 2006.
• New York State Department of Financial Services. Twitter Investigation Report. Octombrie 2020.
• Ponemon Institute; DTEX Systems. 2025 Cost of Insider Risks Global Report. 2025.
• Verizon. 2026 Data Breach Investigations Report. 2026.
• National Protective Security Authority (NPSA, Regatul Unit). Ghiduri privind recunoașterea ostilă (Hostile Reconnaissance). npsa.gov.uk.
• U.S. Department of Justice, Office of the Inspector General. A Review of the FBI’s Performance in Deterring, Detecting, and Investigating the Espionage Activities of Robert Philip Hanssen. Washington, DC, august 2003.

Surse privind studiile de caz

• Romania Insider, articol privind frauda de la Leoni Wiring Systems, august 2016: https://www.romania-insider.com/hackers-steal-eur-40-mln-german-group-leoni-subsidiary-romania
• U.S. Department of Justice, comunicat privind condamnarea lui Marcel Lehel Lazăr („Guccifer”), 1 septembrie 2016: https://www.justice.gov/opa/pr/romanian-hacker-guccifer-sentenced-52-months-prison-computer-hacking-crimes
• New York State Department of Financial Services, Report on Investigation of Twitter’s July 15, 2020 Cybersecurity Incident and the Implications for Election Security, octombrie 2020.
• The Register, articol privind costul atacului asupra MGM Resorts, 6 octombrie 2023: https://www.theregister.com/2023/10/06/mgm_resorts_cyberattack_cost/
• Hong Kong Police Force, conferința de presă de la începutul lunii februarie 2024 privind frauda prin videoconferință deepfake (compania nenumită la acea dată).
• CNN Business, „British engineering giant Arup revealed as $25 million deepfake scam victim”, 16 mai 2024, cu confirmarea companiei.
• The Register, articol privind condamnarea lui Anthony Levandowski, 5 august 2020: https://www.theregister.com/2020/08/05/levandowski_prison_sentence/
• Infosecurity Magazine, articol privind breșa de date Tesla, august 2023: https://www.infosecurity-magazine.com/news/tesla-insiders-responsible-for/
• Stars and Stripes, articol privind condamnarea lui Walter Biot, 22 ianuarie 2024: https://www.stripes.com/theaters/europe/2024-01-22/espionage-russia-italy-navy-12755329.html
• Relatări de agenție privind condamnarea lui Jack Teixeira, 12–13 noiembrie 2024 (de exemplu, PBS Frontline: https://www.pbs.org/wgbh/frontline/article/jack-teixeira-sentenced-prison-discord-leaks-classified-documents).
• The Register, articol privind reconstrucția infrastructurii Maersk după NotPetya, 25 ianuarie 2018: https://www.theregister.com/2018/01/25/after_notpetya_maersk_replaced_everything
• Computer Weekly, articol privind costurile atacului asupra Norsk Hydro, 2019: https://www.computerweekly.com/news/252462778/Norsk-Hydro-urges-caution-as-it-counts-cost-of-cyber-attack
• SecurityWeek, articol privind atacul asupra spitalelor din România, 13 februarie 2024: https://www.securityweek.com/ransomware-attack-knocks-100-romanian-hospitals-offline/
• Agerpres, știre privind atacul asupra Grupului Electrica, 11 decembrie 2024: https://agerpres.ro/economic/2024/12/11/dnsc-atacul-cibernetic-asupra-electrica-a-apartinut-gruparii-lynx-ransomware-expertii-recomanda-util–1401911
• Notes from Poland, „Poland confirms act of sabotage behind explosion that damaged rail line”, 17 noiembrie 2025: https://notesfrompoland.com/2025/11/17/poland-confirms-act-of-sabotage-behind-explosion-that-damaged-rail-line/
• Al Jazeera, „Denmark reports ‘hybrid attack’ as drones shutter major airport”, 25 septembrie 2025: https://www.aljazeera.com/news/2025/9/25/denmark-shuts-second-airport-in-a-week-more-unidentified-drones-spotted
• Deutsche Bahn, comunicat privind sabotajul rețelei GSM-R, 8 octombrie 2022; Biroul Național de Investigații al Finlandei (KRP), comunicate privind Balticconnector (octombrie 2023); Poliția finlandeză, comunicate privind Estlink 2 și nava Eagle S (decembrie 2024).
• The Record, „Appellate court upholds sentence for former Uber cyber executive Joe Sullivan”, martie 2025: https://therecord.media/joe-sullivan-former-uber-executive-conviction-upheld
• Irish News (PA Media), „Russian spy ring convicted of ‘industrial scale’ espionage on UK soil”, 7 martie 2025: https://www.irishnews.com/news/uk/russian-spy-ring-convicted-of-industrial-scale-espionage-on-uk-soil-JW7PH6KRLJNGZK5TEED7SKILEI/
• Christian Science Monitor, „Germans Glad as VW Settles Suit”, 13 ianuarie 1997: https://csmonitor.com/1997/0113/011397.intl.intl.4.html
• Travel Weekly, „Hilton and Starwood settle corporate espionage case”, decembrie 2010: https://www.travelweekly.com/Travel-News/Hotel-News/Hilton-and-Starwood-settle-corporate-espionage-case
• U.S. Department of Justice, comunicat privind acordul cu Boeing, 30 iunie 2006: https://www.justice.gov/archive/opa/pr/2006/June/06_civ_412.html
• The Register, articol privind condamnarea lui Nickolas Sharp (Ubiquiti), 12 mai 2023: https://www.theregister.com/2023/05/12/exubiquiti_developer_jailed/
• The Register, articol privind condamnarea lui Davis Lu (Eaton), 22 august 2025: https://www.theregister.com/2025/08/22/worlds_dumbest_it_admin_gets/

Note

1. Agerpres, preluată de Spotmedia, 12 februarie 2024 (45 de internări continue, 85 de internări de zi și 56 de spitalizări de zi la Centrul de screening); pentru amploarea atacului, SecurityWeek, 13 februarie 2024, cu trimitere la comunicările DNSC din 12–13 februarie 2024.
2. Romania Insider, august 2016, pe baza comunicatului Leoni din 16 august 2016. Procurorii au reținut în plângere suma de 37 de milioane de euro.
3. Verizon, 2026 Data Breach Investigations Report. Pentru ediția 2025, ponderea a fost de aproximativ 60%.
4. ENISA, ENISA Threat Landscape 2025 (perioada de referință 1 iulie 2024 – 30 iunie 2025; 4.875 de incidente analizate).
5. Directoratul Național de Securitate Cibernetică, Raport anual 2025, publicat la 14 august 2026.
6. Robert K. Yin, Case Study Research and Applications: Design and Methods, ed. a 6-a (Thousand Oaks: SAGE, 2018).
7. Directiva (UE) 2022/2555, art. 20 alin. (2).
8. Directiva (UE) 2022/2555, art. 21 alin. (2) lit. (g).
9. Directiva (UE) 2022/2555, art. 23 alin. (4).
10. OUG nr. 155/2024, art. 14 alin. (2) și art. 60 alin. (1) lit. h), aprobată prin Legea nr. 124/2025.
11. Proiectul de ordin DNSC privind Regulamentul de autorizare, verificare și revocare a furnizorilor de servicii de formare pentru securitate cibernetică, în transparență decizională în iunie 2026; prezentare în APSAP, „Proiect ordin DNSC 2026: formare în securitate cibernetică”, 26.06.2026. Prevederile au caracter de propunere până la publicarea în Monitorul Oficial.
12. OUG nr. 155/2024, art. 5 alin. (1) lit. c).
13. DNSC, Raport anual 2025: aproximativ 2.400 de formulare de notificare NIS2 procesate și aproape 680 de organizații înregistrate ca entități esențiale sau importante.
14. Directiva (UE) 2022/2557; Legea nr. 294/2024. Termenul de identificare a entităților critice în România a fost 17 iulie 2026.
15. Legea nr. 294/2024, art. 6 alin. (5), art. 12 și art. 13 alin. (1) lit. e)–f).
16. HG nr. 1.115/2025, Anexa 4, art. 10 lit. i) și j).
17. Decizia prim-ministrului nr. 55/2025; Legea nr. 294/2024, art. 26 alin. (2) lit. b) și d).
18. Legea nr. 294/2024, art. 21 alin. (2) lit. b) și alin. (3). La data redactării nu am identificat ordine publicate în temeiul art. 21 alin. (3).
19. Regulamentul (UE) 2016/679, art. 32 și 33.
20. Legea nr. 190/2018, art. 5.
21. Legea nr. 361/2022 privind protecția avertizorilor în interes public.
22. OUG nr. 25/2019 privind protecția know-how-ului și a informațiilor de afaceri nedivulgate care constituie secrete comerciale, care transpune Directiva (UE) 2016/943; Legea nr. 11/1991 privind combaterea concurenței neloiale, în forma consolidată.
23. Executive Order 13587, 7 octombrie 2011; ulterior, National Insider Threat Policy and Minimum Standards for Executive Branch Insider Threat Programs (2012).
24. 32 CFR Part 117 (NISPOM), care impune contractorilor programe privind amenințarea din interior.
25. Legea nr. 294/2024, art. 13 alin. (1) lit. b).
26. Directiva (UE) 2022/2557, art. 13 alin. (1) lit. (b).
27. HG nr. 1.115/2025, Anexa 4, art. 8.
28. Directiva (UE) 2022/2555, art. 21 alin. (2).
29. OUG nr. 155/2024, art. 11 alin. (4).
30. Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei din 17 octombrie 2024, anexa, secțiunea 13.
31. Legea nr. 333/2003, republicată; HG nr. 301/2012 pentru aprobarea Normelor metodologice de aplicare, cu modificările ulterioare.
32. Legea nr. 294/2024, art. 12.
33. Deutsche Bahn, comunicatul din 8 octombrie 2022; Reuters, 8–9 octombrie 2022.
34. Biroul Național de Investigații al Finlandei (KRP), comunicatele din octombrie 2023.
35. Poliția finlandeză, comunicatele din 26–28 decembrie 2024.
36. Al Jazeera, „Denmark reports ‘hybrid attack’ as drones shutter major airport”, 25 septembrie 2025.
37. Notes from Poland, 17 noiembrie 2025; Polskie Radio, 17 noiembrie 2025.
38. National Protective Security Authority (Regatul Unit), ghidurile privind recunoașterea ostilă (Hostile Reconnaissance), npsa.gov.uk.
39. Legea nr. 294/2024, art. 15.
40. Kevin D. Mitnick și William L. Simon, The Art of Deception: Controlling the Human Element of Security (Indianapolis: Wiley, 2002).
41. Robert B. Cialdini, Influence, New and Expanded: The Psychology of Persuasion (New York: Harper Business, 2021). Principiul unității a fost adăugat în edițiile recente.
42. Daniel Kahneman, Thinking, Fast and Slow (New York: Farrar, Straus and Giroux, 2011).
43. Federal Bureau of Investigation, Internet Crime Complaint Center, 2025 Internet Crime Report, publicat în aprilie 2026, ic3.gov.
44. Directoratul Național de Securitate Cibernetică, Raport anual 2025, secțiunea de studii de caz.
45. U.S. Department of Justice, comunicatul din 1 septembrie 2016; U.S. District Court for the Eastern District of Virginia.
46. New York State Department of Financial Services, Report on Investigation of Twitter’s July 15, 2020 Cybersecurity Incident and the Implications for Election Security, octombrie 2020.
47. MGM Resorts International, raportare Form 8-K către SEC, 5 octombrie 2023, relatată de The Register, 6 octombrie 2023. Detaliile privind accesul inițial provin din revendicările atacatorilor și din analize publicate, nu din comunicările companiei.
48. Hong Kong Police Force, conferința de presă de la începutul lunii februarie 2024; identitatea companiei a fost confirmată de Arup pentru CNN Business, 16 mai 2024.
49. CERT National Insider Threat Center, Common Sense Guide to Mitigating Insider Threats, ed. a 7-a (Pittsburgh: SEI, Carnegie Mellon University, 2022).
50. Ponemon Institute și DTEX Systems, 2025 Cost of Insider Risks Global Report (349 de organizații, 8.306 respondenți), comunicat din 25 februarie 2025.
51. Eric Shaw și Laura Sellers, „Application of the Critical-Path Method to Evaluate Insider Risks”, Studies in Intelligence 59, nr. 2 (2015).
52. The Register, 5 august 2020; U.S. District Court for the Northern District of California.
53. Infosecurity Magazine, 22 august 2023, pe baza notificării Tesla publicate de procurorul general al statului Maine.
54. Stars and Stripes, 22 ianuarie 2024; ANSA, 10 martie 2023 și 19 ianuarie 2024.
55. Relatări de agenție din 12 noiembrie 2024; U.S. District Court for the District of Massachusetts.
56. Herman Simm a fost condamnat de Tribunalul Județean Harju (Estonia) în februarie 2009.
57. CEDO (Marea Cameră), Bărbulescu c. România, cererea nr. 61496/08, 5 septembrie 2017, §§ 121–122.
58. U.S. Department of Justice, Office of the Inspector General, A Review of the FBI’s Performance in Deterring, Detecting, and Investigating the Espionage Activities of Robert Philip Hanssen, august 2003.
59. U.S. Court of Appeals for the Ninth Circuit, United States v. Sullivan, nr. 23-927, hotărârea din 13 martie 2025; condamnarea a fost pronunțată în octombrie 2022 de U.S. District Court for the Northern District of California.
60. Relatări de presă privind verdictul de la Old Bailey, Londra, 7 martie 2025 (de exemplu, PA Media, preluat de Irish News). Jan Marsalek nu a fost judecat; afirmațiile privind rolul său aparțin acuzării.
61. Christian Science Monitor, „Germans Glad as VW Settles Suit”, 13 ianuarie 1997; acuzațiile penale formulate în Germania împotriva lui López au fost abandonate în 1998.
62. Travel Weekly, „Hilton and Starwood settle corporate espionage case”, decembrie 2010. Acordul nu a implicat recunoașterea vreunei fapte.
63. U.S. Department of Justice, comunicatul din 30 iunie 2006 (acord civil de 565 de milioane de dolari și penalitate penală de 50 de milioane de dolari).
64. The Register, 12 mai 2023; U.S. District Court for the Southern District of New York.
65. The Register, 22 august 2025; U.S. District Court for the Northern District of Ohio.
66. Legea nr. 129/2019 pentru prevenirea și combaterea spălării banilor și finanțării terorismului.
67. Legea nr. 294/2024, art. 14.
68. Legea nr. 31/1990 privind societățile, republicată, cu modificările și completările ulterioare.
69. Legea nr. 162/2017 privind auditul statutar al situațiilor financiare anuale și al situațiilor financiare anuale consolidate.
70. Legea nr. 51/1991 privind securitatea națională a României, republicată.
71. Directiva (UE) 2022/2555, art. 32 alin. (5) lit. (b).
72. Legea nr. 329/2003 privind exercitarea profesiei de detectiv particular, republicată.
73. Legea nr. 53/2003 – Codul muncii, art. 21–24 (clauza de neconcurență) și art. 26 (clauza de confidențialitate).
74. Arjen Boin et al., The Politics of Crisis Management, ed. a 2-a (Cambridge: Cambridge University Press, 2017).
75. Karl E. Weick și Kathleen M. Sutcliffe, Managing the Unexpected, ed. a 3-a (Hoboken: Wiley, 2015).
76. Gary Klein, Sources of Power: How People Make Decisions (Cambridge, MA: MIT Press, 1998).
77. W. Timothy Coombs, „Protecting Organization Reputations During a Crisis”, Corporate Reputation Review 10, nr. 3 (2007): 163–176.
78. ISO 22361:2022; ISO 22398:2013; NIST SP 800-84 (2006).
79. The Register, 25 ianuarie 2018 (declarațiile lui Jim Hagemann Snabe la Forumul Economic Mondial, Davos).
80. Computer Weekly, 2019.
81. Agerpres, 9 și 11 decembrie 2024, cu trimitere la comunicatele DNSC, Grupului Electrica și Ministerului Energiei.
82. CISA, Tabletop Exercise Packages (CTEP); UK National Cyber Security Centre, Exercise in a Box.