Autor: Angelo LĂZĂU / Evaluator de risc la securitate fizică și Expert, specialist în domeniul SECURITĂȚII
Articol de fond dedicat Rezilienței Infrastructurilor critice, convergenței cyber-physical și analiza de risc
Abstract
Anul 2026 aduce o schimbare radicală în peisajul securității fizice și al managementului riscului din România. Sub impactul directivelor europene NIS2 și CER, corelate cu modificările istorice aduse Legii nr. 333/2003 prin OUG nr. 37/2026, securitatea fizică fuzionează definitiv cu cea cibernetică, transformându-se dintr-o obligație administrativă într-un pilon de reziliență corporativă. Articolul analizează impactul tehnologiilor „Physical AI”, al arhitecturilor Edge-Cloud și al modelelor Zero Trust asupra industriilor critice (bănci, centre de date). Totodată, lucrarea evidențiază o triere nemiloasă a pieței din România: evaluatorii clasici din Registrul Național (RNERSF) care activează ca simpli „semnatari de formulare” dependenți de proiectanți vor fi eliminați, lăsând locul unei noi generații de evaluatori-consultanți capabili să gestioneze riscuri hibride și să colaboreze direct cu responsabilii NIS și top managementul executiv.
Epoca în care securitatea fizică a unei organizații se rezuma la un gard perimetral, o barieră clasică și un dosar cu șine intitulat „Analiză de risc la securitate fizică” – completat formal doar pentru a evita amenzile organelor de control – a apus definitiv.
Anul 2026 marchează o transformare radicală. Sub presiunea pachetului legislativ european de elită (Directivele NIS2 și CER) și a exploziei tehnologice induse de Inteligența artificială fizică (Physical AI), securitatea nu mai este o cheltuială tactică de subsol. Ea a devenit un pilon strategic de date și o componentă critică a rezilienței corporative, unde deciziile greșite atrag răspunderea penală directă a consiliilor de administrație.
- Noua paradigmă: Trecerea de la reactiv la Predictiv prin „Physical AI”
Conform studiilor globale din industrie (precum raportul Genetec State of Physical Security), peste 45% dintre directorii de securitate (CSO) din întreaga lume au prioritizat bugetarea algoritmilor de inteligență artificială aplicată.
În arhitecturile moderne, camerele de supraveghere au încetat să mai fie simple instrumente pasive de înregistrare folosite doar post-incident. Ele au devenit noduri inteligente de calcul de tip Edge AI, capabile să proceseze metadate în timp real și să reducă alarmele false cu până la 90%. Sistemele moderne „înțeleg” contextul: detectează automat un comportament premergător unei efracții (staționare prelungită, testarea barierelor), recunosc automat echipamentele de protecție (PPE) în zone industriale și alertează dispeceratele înainte ca intruziunea fizică să aibă loc.
Nu în ultimul rând, controlul accesului a migrat masiv în arhitecturi de tip ACaaS (Access Control as a Service) bazate pe Cloud. Cartelele de proximitate din plastic – extrem de vulnerabile la clonare – sunt înlocuite rapid cu identificarea biometrică multifactorială (biometrie facială, scanarea venelor din palmă) și credențiale criptate pe smartphone, guvernate de principiul IT „Zero Trust” (nimic nu este de încredere, totul se re-autentifică dinamic).
2. Anatomia Amenințării: Incidente care au Schimbat Regulile Jocului
Pentru a înțelege de ce trebuie să se modifice metodologia analizei de risc, trebuie să privim modul în care s-au transformat incidentele de securitate pe plan internațional și național:
CASE STUDY 1 (REAL ÎNTÂMPLAT)
Incendiul și Erorile de Securitate Fizică de la Centrul de Date OVHcloud (Strasbourg)
În martie 2021, un incendiu devastator a distrus complet centrul de date SBG2 al companiei OVHcloud (cel mai mare furnizor de cloud din Europa) și a afectat parțial alte trei unități din complex.
Pentru evaluatorii de risc, acest caz este cel mai important exemplu modern despre cum vulnerabilitățile de design fizic, arhitectură și proceduri administrative pot anula orice barieră de securitate software.
[Defecțiune Inversor UPS] ──► Incendiu în camera tehnică
┌────────────────────────┴─────────────────────────┐
▼ ▼
[Sistem de ventilație liberă (efect de coș)] [Podele din lemn și structură mixtă]
│ │
▼ ▼
[Propagare fulgerătoare la servere] [Prăbușire fizică a clădirii SBG2]
Vulnerabilitățile de Securitate fizică și Management identificate
Spre deosebire de un atac cibernetic clasic, raportul oficial al Biroului de Investigare a Accidentelor (BEA-RI) a scos la iveală erori majore în gestionarea securității fizice a clădirii:
- Sistemul de ventilație (Designul clădirii): Centrul de date folosea un sistem de răcire prin ventilație naturală (fără aer condiționat industrial masiv). Curtea interioară funcționa ca un imens horn. În momentul izbucnirii incendiului, curentul de aer a alimentat flăcările și le-a propagat vertical prin toată clădirea în doar câteva minute.
- Materiale de construcție neconforme: Clădirea avea o structură mixtă, iar podelele erau realizate din materiale care nu asigurau o rezistență la foc de minimum 2 ore (cerință standard pentru infrastructuri critice). Acest lucru a dus la prăbușirea fizică a tavanelor peste servere.
- Lipsa sistemului automat de stingere cu gaz: Camera serverelor nu era echipată cu un sistem de stingere cu gaz inert (care inundă camera și stinge focul fără a distruge circuitele). Personalul a încercat stingerea manuală, dar fumul toxic i-a forțat să abandoneze clădirea.
- Întreruperea energiei electrice: Personalul tehnic nu a avut un mecanism rapid (Buton de panică general) pentru oprirea instantanee a alimentării din exterior. Pompierii au sosit la fața locului, dar nu au putut interveni cu apă timp de aproape două ore deoarece rețeaua electrică de mare tensiune era încă activă și genera arcuri electrice periculoase.
Amploarea și Impactul asupra Clienților
- Distrugere totală: Clădirea de 4 etaje SBG2 a fost arsă complet, transformând în cenușă serverele fizice și hard-disk-urile a mii de companii.
- Impact global: Peste 3,6 milioane de site-uri web și servicii cloud au fost offline la nivel mondial. Printre entitățile afectate s-au numărat agenții guvernamentale din Franța, bănci, platforme de gaming și companii media.
- Impact local: Numeroase publicații și site-uri din România (precum G4Media) care își găzduiau serverele în acel centru de date au fost complet offline timp de mai multe zile, pierzând date din cauza lipsei unui backup extern.
Iluzia Backup-ului în același spațiu fizic
Cea mai mare eroare de management de risc a fost stocarea backup-urilor în aceeași cameră sau clădire fizică cu serverele de producție. Mulți clienți care plătiseră opțiunea de „backup inclus” au descoperit că și serverul principal, și serverul de backup au ars în același incendiu, provocând o pierdere definitivă de date.
CASE STUDY 2 (IPOTETIC- TEORETIC):
Scenariu: atac hibrid asupra Infrastructurii Energetice
Într-un incident care a generat unde de șoc în comunitatea globală de securitate, o stație electrică majoră a fost scoasă din funcțiune în urma unui atac coordonat. Atacatorii au folosit drone comerciale modificate pentru a survola perimetrul și a lansa dispozitive de scurtcircuitare direct pe transformatoarele de înaltă tensiune, în timp ce, simultan, sistemul de monitorizare video (VMS) al dispeceratului a fost paralizat printr-un atac cibernetic de tip DDoS. Acest incident a demonstrat că evaluările de risc care nu iau în calcul amenințările tridimensionale (drone / spațiu aerian) și convergența cibernetică sunt complet inutile în fața războiului hibrid modern.
Scenariu: Breșa prin inginerie socială și intruziune la un Centru de date
Un important furnizor de servicii cloud a suferit o breșă majoră de securitate după ce un atacator, deghizat în tehnician de mentenanță de la o companie de utilități, a reușit să treacă de recepția clădirii folosind o legitimație falsificată (inginerie socială). Profitând de neatenția personalului de pază și de lipsa unui sistem de autentificare cu doi factori (MFA) la intrarea în camera serverelor, acesta a montat un dispozitiv fizic de tip keylogger/sniffer direct pe un switch comercial principal. Rezultatul? Compromiterea datelor a mii de clienți, un prejudiciu uriaș de imagine și o amendă colosală pe linie de GDPR. Incidentul a scos la iveală vulnerabilitatea clasică a sistemelor românești: securitate fizică aparent solidă la perimetru, dar vulnerabilitate totală în interior din cauza lipsei procedurilor dinamice de verificare a identității.
3. Ghid tehnic aplicat pe industrii critice
Cerințele tehnice și operaționale s-au specializat profund, lăsând în urmă soluțiile generice „valabile pentru orice clădire”.
A. Centre de Date (Data Centers) – Obiectiv: Zero trust fizic absolut
În 2026, centrele de date nu își mai pot permite vulnerabilități perimetrale. Arhitectura lor de securitate fizică trebuie să implementeze:
- Segmentarea rețelelor de securitate (VLAN izolate): Toate camerele IP și controllerele de acces trebuie separate complet de rețeaua de producție și de internetul public, cu trafic criptat end-to-end (AES-256) pentru a preveni atacurile de tip Man-in-the-Middle.
- Control de acces în cascade concentrice: Trecerea de la perimetru la recepție, apoi în coridoare și, în final, la nivel de rack, trebuie guvernată de sisteme de identificare biometrică corelate cu profile de lucru temporare. Accesul la un rack specific se deblochează doar dacă tehnicianul are un tichet de mentenanță activ în sistemul ITSM.
- Detecție video a anomaliilor de tip „Tailgating”: Camerele dotate cu IA detectează instant dacă două persoane intră printr-o ușă securizată folosind o singură scanare de cartelă/biometrie, blocando automat restul ușilor de pe traseu și alarmând echipa de intervenție rapidă.
B. Sectorul Financiar-Bancar – Obiectiv: Securitate inteligentă centrată pe client și fraudă
Pentru instituțiile bancare, noile reglementări europene impun protejarea nu doar a valorilor fizice, ci și a continuității serviciilor financiare:
- Analiză acustică și senzorială integrată: Zonele de ATM-uri și self-service sunt dotate cu senzori IoT capabili să identifice zgomote specifice (bormașini, explozibili gazoși, spargerea geamurilor) sau comportamente suspecte (staționare prelungită fără tranzacție), declanșând automat măsuri de descurajare (generatoare de ceață opacă, sirene de înaltă frecvență).
- Sisteme de recunoaștere automată a plăcuțelor de înmatriculare (ANPR): Zonele de încărcare/descărcare a vehiculelor de transport valori (CIT) sunt automatizate complet. Porțile și barierile se deschid exclusiv dacă numărul vehiculului, amprenta biometrică a șoferului și intervalul orar pre-programat coincid perfect în sistemul central.
4. Cutremurul legislativ național: Cum OUG nr. 37/2026 a redefinit legea nr. 333/2003
Dacă directivele europene NIS2 și CER acționează de sus în jos, impunând standarde strategice globale, Ordonanța de Urgență nr. 37/2026 (intrată în vigoare la 6 mai 2026) reprezintă reconfigurarea din temelii a cadrului de execuție din România. Această ordonanță nu doar că simplifică procedurile administrative, ci redesenează modul în care companiile și evaluatorii se raportează la securitatea fizică:
- Sita minimală de securitate: Analiza de risc la securitate fizică nu mai este un document universal obligatoriu pentru orice entitate comercială. OUG nr. 37/2026 introduce o distincție clară: analiza de risc rămâne obligatorie exclusiv pentru unitățile pentru care normele metodologice stabilesc cerințe minimale de securitate (bănci, casierii mari, bijuterii, stații PECO etc.).
- Apariția fișei de securitate: Pentru toate celelalte entități care nu intră sub incidența cerințelor minimale (de exemplu, spațiile comerciale mici sau birourile cu risc redus), ordonanța introduce un document complet nou: fișa de securitate. Aceasta se bazează pe o autoevaluare a conducătorului unității, eliminând obligativitatea contractării unui evaluator extern.
- Digitalizarea relației cu IGPR: Birocrația aprobărilor clasice a fost masiv redusă. Pentru obiectivele cu pază neînarmată, s-a eliminat complet necesitatea avizului prealabil al poliției. Conducătorii de unități au acum obligația de a transmite în format pur electronic către organele de poliție planurile de pază, analizele de risc sau noile fișe de securitate.
- Licențierea permanentă: Companiile de pază și instalatorii de sisteme tehnice scapă de calvarul reînnoirii licențelor la fiecare 3 ani, acestea devenind permanente (cu obligația de a raporta modificările structurale în termen de 15 zile).
Fuziunea dintre Național (OUG 37/2026) și European (NIS2/CER)
Capcana în care cad mulți manageri este izolarea acestor legi. Mecanismul de funcționare în 2026 este unul de tip “pâlnie”: directiva NIS2/CER impune reziliența sistemică, în timp ce OUG 37/2026 execută trierea fizică pe teren.
“Dacă o companie este exceptată de OUG nr. 37/2026 de la întocmirea unei analize de risc clasice (folosind doar o fișă de securitate internă), dar acea companie este clasificată ca „entitate esențială” sub Directiva NIS2, criteriile europene vor prevala. Managementul va fi obligat să auditeze cibernetic și fizic sistemul de securitate, indiferent de simplificările administrative oferite de legislația națională. OUG nr. 37/2026 oferă debirocratizare pentru micul comerț, dar ridică miza responsabilității pentru infrastructurile mari”.
ÎNTREBAREA RĂMÂNE, ”CINE FACE AUDITUL FIZIC, RESPONSABILUL NIS SAU EVALUATORUL DE RISC LA SECURITATE FIZICĂ?
5. Noua eră profesională: pregătirea Evaluatorilorde risc la securitate fizicîă și distincția de rol față de Responsabilul NIS
Transformarea legislativă și tehnologică impune o recalibrare profundă a competențelor profesionale din piața de securitate. Un evaluator de risc care refuză să înțeleagă rețelele IP, protocoalele de criptare și bazele inteligenței artificiale va deveni irelevant în fața noilor cerințe ale beneficiarilor.
A. Cum se adaptează pregătirea Evaluatorilor de Risc?
Programele de formare continuă pentru evaluatorii înscriși în Registrul Național trebuie să depășească programa clasică axată exclusiv pe tehnici de efracție și dispunere a posturilor de pază umană. Evaluatorul modern are nevoie de o pregătire multidisciplinară: alfabetizare digitală și rețelistică, competențe avansate în standarde internaționale (ISO 31000, ISO 27001, ISO 22301) și simulări avansate de amenințări hibride (drone, inginerie socială).
B. Delimitarea clară a rolurilor: Evaluatorul de risc vs. Responsabilul NIS
Odată cu implementarea Directivei NIS2, în cadrul organizațiilor apare o potențială confuzie de atribuții. Pentru o guvernanță corectă, companiile trebuie să facă o distincție netă între cele două roluri, care nu se suprapun, ci se completează în mod sinergic:
- Evaluatorul de risc la securitate fizică: Este un expert tehnic și operațional autorizat, axat pe vulnerabilitățile tangibile și fizice ale organizației. Rolul său este să identifice breșele din perimetru, sistemele de control acces, supraveghere video și procedurile umane de securitate. El livrează un raport punctual sau periodic care stabilește măsurile concrete de protecție fizică a activelor, clădirilor și personalului.
- Responsabilul NIS (sau Ofițerul de securitate cibernetică): Este un specialist strategic axat pe reziliența digitală și sistemică a rețelelor și sistemelor informatice care susțin serviciile esențiale ale companiei. Rolul său este continuu și global: el monitorizează constant traficul de data, guvernează politicile cibernetice și se asigură că infrastructura IT care controlează securitatea fizică nu este compromisă.
Punctul de fuziune: Responsabilul NIS nu va dicta cum se montează o barieră sau un senzor seismic, dar va impune Evaluatorului de Risc criteriile cibernetice pe care acele dispozitive hardware trebuie să le respecte pentru a fi conectate la rețeaua companiei.
C. Trierea naturală a pieței: Supraviețuirea Experților vs. dispariția „Semnatarilor de formulare”
Noile reglementări și complexitatea tehnologică vor funcționa ca o sită nemiloasă pentru profesioniștii din domeniu. Piața din România trece printr-un proces sever de epurare a practicilor neortodoxe din ultimul deceniu.
Până recent, exista o categorie extinsă de evaluatori de risc „de birou”. Aceștia nu realizau o analiză veritabilă, ci se bazau în totalitate pe firmele de instalare a echipamentelor de securitate sau pe proiectantul sistemelor tehnice pentru a le livra, de-a gata, configurațiile și chiar textul analizei. Rolul acestor evaluatori se rezuma la a pune o semnătură și o ștampilă pe un document standardizat, copiat după șabloane rigide, doar pentru ca beneficiarul să obțină avizul Poliției.
Această practică va dispărea definitiv din următoarele considerente:
- Sancțiunile din NIS2/CER schimbă optica beneficiarilor: Managerii de top (CEO/CFO) au înțeles că o analiză de risc superficială le poate aduce amenzi de milioane de euro sau chiar răspundere penală personală. Ei nu mai caută cel mai ieftin evaluator care „rezolvă un dosar”, ci experți capabili să le protejeze business-ul.
- Proiectele clasice sunt oarbe la riscurile hibride: Un proiectant de sisteme tehnice este calificat să deseneze amplasarea unor camere sau cabluri, dar nu are competența de a evalua riscul de inginerie socială, impactul financiar al unui atac cibernetic asupra serverului VMS sau reziliența pe lanțul de aprovizionare.
- Cernerea profesională: Evaluatorii care refuză să facă pasul spre digitalizare și care depind de „ajutorul” subcontractanților vor fi marginalizați rapid în zona obiectivelor mici (comerț de cartier), unde tarifele sunt nesemnificative. Pe piața mare, a infrastructurilor critice, a centrelor de date, a băncilor și a logisticii, vor supraviețui exclusiv evaluatorii-consultanți, capabili să poarte un dialog de la egal la egal cu top managementul.
6. Matricea de Tranziție: Cum trebuie să arate securitatea
Pentru directorii de securitate și evaluatori, tabelul de mai jos reprezintă ghidul obligatoriu de tranziție instituțională:
| Vector de Evaluare | Abordarea Tradițională (Depășită) | Abordarea Modernă (Conformă NIS2/CER) |
| Arhitectura Rețelei | Camere și controllere conectate în rețeaua generală de birou. | Segmentare totală (VLAN), criptare end-to-end și protocoale securizate. |
| Managementul Identității | Cartele magnetice simple distribuite pe bază de încredere administrativă. | Zero Trust: Autentificare biometrică + credențiale mobile criptate. |
| Metodologia de Risc | Analiză calitativă rară (hârtie completată pentru conformitate administrativă). | Evaluare cantitativă continuă bazată pe scenarii hibride și date live din teren. |
| Guvernanța Dispozitivelor | Verificarea manuală, reactivă a camerelor (când se observă lipsa înregistrărilor). | SecOps automatizat: Monitorizarea centralizată a firmware-ului și a stării de sănătate IoT [SecuriThings]. |
| Răspunderea Legală | Delegată total către șeful de obiectiv sau firma de pază externă. | Asumată direct și exclusiv de către Top Management (CEO/Consiliu de Administrație). |
7. Paradoxul Legislativ românesc: De ce Legea 333/2003 și HG 301/2012 au rămas oarbe la ”Era digitală”?
Legislatia veche lovește exact în inima celei mai mari probleme legislative actuale din România privind managementul riscului: ruptura totală dintre securitatea fizică tradițională și securitatea digitală modernă.
În timp ce Ordonanța de Urgență OUG 37/2026 a modificat recent Legea 333/2003, ea s-a limitat la debirocratizarea licențelor firmelor de pază și eliminarea analizelor de risc pentru microîntreprinderi. Ea nu face nicio referire la infrastructura IT, digitalizare sau reziliență operațională, tratând „securitatea fizică” ca și cum am fi în continuare în anul 2003.
O analiză critică a cadrului normativ din România relevă o vulnerabilitate legislativă majoră: separarea totală a reglementărilor de securitate fizică de realitatea transformării digitale.
Deși companiile își mută activele cele mai valoroase în servere și în cloud, legislația națională de securitate fizică ignoră complet acest aspect.
[CADRUL LEGISLATIV ACTUAL – DECONECTAT]
┌────────────────────────────────────────────────────────┐
│ Legea 333/2003 & HG 301/2012 (Actualizate prin OUG 37)│ │
└───────────────────────────┬────────────────────────────┘
(Focalizare exclusivă pe)
▼
[Seifuri, Grilaje, Camere video, Agenți de pază umane]
▲
│ (Ignoră complet / Vid legislativ)
▼
[Camere de servere, Rack-uri cloud,
Integritatea datelor, Protecția identității digitale, Reziliență operațională]
1. Limitările OUG 37/2026 și blocajul în trecut
Recent adoptata OUG 37/2026 aduce modificări procedurale importante pentrupiața de securitate fizică (ex: licențe permanente pentru firmele de pază, redefinirea pazei cu jandarmi). Cu toate acestea, din perspectiva unui management modern al riscului, ordonanța ratează complet trenul digitalizării:
- Nicio referire la infrastructura IT: Actul normativ continuă să definească „bunurile și valorile” în sens restrictiv (bani, bijuterii, bunuri fizice stocate).
- Unghiul mort al Analizei de Risc (HG 301/2012): Metodologia actuală de evaluare a riscului la securitate fizică (stabilită prin HG 301/2012 și Instrucțiunea MAI 9/2013) obligă un evaluator să verifice uși, ferestre și seifuri. Totuși, legislația nu îl obligă să verifice dacă ușa camerei serverelor are control de acces biometric sau dacă rack-urile ce găzduiesc datele clienților sunt asigurate fizic împotriva intruziunilor.
2. Vidul normativ: Protecția identității și integritatea datelor
Prin noul cadru legislativ, un atacator care folosește inginerie socială (social engineering) pentru a intra fizic într-o clădire și a conecta un stick USB malițios într-un server nu încalcă doar bariere cibernetice, ci profită de eșecul pazei perimetrale. Cu toate acestea:
- Legea 333/2003 nu protejează identitatea digitală: În normele metodologice nu există cerințe pentru securizarea fizică a terminalelor care gestionează identități digitale critice sau token-uri de acces.
- Lipsa corelării cu reziliența operațională continuă: Legislația românească tratează securitatea fizică ca pe o metodă de prevenire a furtului clasic, nu ca pe un pilon logistic esențial pentru asigurarea continuității business-ului (Business Continuity) și a rezilienței în fața dezastrelor.
3. Soluția: Alinierea urgentă cu Directivele Europene (NIS 2 și DORA)
În timp ce legislația românească administrată de MAI/IGPR a rămas încremenită în soluții analogice, Uniunea Europeană obligă statele membre să adopte o abordare holistică (hibridă) prin directivele europene implementate de Directoratul Național de Securitate Cibernetică (DNSC):
- Integrarea securității fizice în IT: Directivele europene stipulează clar că securitatea fizică a serverelor și a rețelelor este parte integrantă din securitatea cibernetică. O breșă fizică în camera serverelor anulează instantaneu orice firewall software.
- Necesitatea reformei: Pentru a nu mai funcționa în două lumi paralele (unde MAI verifică lacătele, iar DNSC verifică serverele), Legea 333/2003 și HG 301/2012 trebuie reformate urgent. Ele trebuie să includă în mod explicit „Infrastructura Digitală și de Date” ca obiectiv de importanță strategică, impunând standarde clare pentru protecția fizică a centrelor de date, a integrității datelor și a rezilienței operaționale.
Standarde Globale pentru Securitatea Fizică și Reziliența Infrastructurii IT
┌─────────────────────────────────────────────────────────────┐
│ PILONII REZILIENȚEI ÎN CENTRELE DE DATE │
└──────────────────────────────┬─────────────────────────────┘
▼
┌────────────────────────────────┼──────────────────────────────┐
│ 1. SECURITATE FIZICĂ INTEGRATĂ │ EN 50600 & ISO 27001 (A.11) │
├────────────────────────────────┼──────────────────────────────┤
│ 2. INTEGRITATEA DATELOR │ Redundanță Stocare & TIA-942 │
├────────────────────────────────┼──────────────────────────────┤
│ 3. REZILIENȚĂ OPERAȚIONALĂ │ ISO 22301 & NIS 2 / DORA │
└────────────────────────────────┴──────────────────────────────┘
- 1. Protecția fizică avanasată a centrelor de date
- Securizarea unei camere de servere moderne depășește simpla prezență a unui agent de pază. Standardele internaționale de referință sunt EN 50600 (standardul european pentru centre de date) și clauzele de securitate fizică din ISO/IEC 27001 (Anexa A.11).
- Segmentarea perimetrală în zone de securitate: Standardul EN 50600 impune crearea unor zone concentrice de securitate (conceptul de „ceapă”). Accesul în clădire nu oferă acces în camera serverelor. Fiecare barieră (perimetru exterior, recepție, coridor tehnic, camera rack-urilor) necesită autentificare separată.
- Autentificarea biometrică și capcanele de acces (Man-Traps): Trecerea de la chei fizice sau cartele magnetice (care pot fi furate sau clonate) la controlul de acces biometric (amprentă, scanare de iris). Introducerea de uși duble interconectate (man-traps) care împiedică accesul celei de-a doua uși până când prima nu s-a închis complet, eliminând riscul de tailgating (urmărirea unui angajat autorizat).
- Controlul ambiental strict (ASHRAE): Protecția fizică include controlul automat al temperaturii și umidității. Senzorii de inundație de sub podeaua tehnică și sistemele de detecție timpurie a fumului prin aspirare de aer (sistemele VESDA) pot detecta un incendiu mocnit cu câteva ore înainte ca flăcările să devină vizibile.
- 2. Standarde pentru Integritatea Datelor
- Integritatea datelor înseamnă asigurarea că informațiile nu sunt alterate, șterse sau compromise în mod neautorizat din cauza unor factori fizici sau logici. Aici intervine standardul ANSI/TIA-942.
- Clasificarea TIER (Uptime Institute): Acest standard clasifică infrastructurile fizice de la TIER I la TIER IV. Un centru de date TIER III sau IV garantează integritatea datelor prin faptul că dispune de căi de distribuție a energiei și răcirii complet independente și redundante. Echipamentele pot fi reparate sau înlocuite fără a opri serverele (Fault Tolerant).
- Criptarea datelor la nivel de hardware (Data-at-Rest Encryption): Protecția fizică a hard-disk-urilor este dublată de standardul ISO 27040 (Securitatea stocării). Chiar dacă un atacator reușește să pătrundă fizic în sală și să smulgă un hard-disk dintr-un rack, datele sunt complet inutile deoarece sunt criptate direct prin module hardware AES-256 (Self-Encrypting Drives).
- Sincronizarea Geografică (Geo-Replication): Integritatea nu se bazează pe un singur site. Datele scrise într-o locație fizică sunt replicate în timp real într-un al doilea centru de date situat la o distanță geografică de siguranță (de regulă, minimum 30-50 km), pe o altă placă tectonică și conectat la o altă rețea electrică regională.
- 3. Reziliența Operațională Continuă
- Reziliența operațională reprezintă capacitatea unei organizații de a anticipa, de a se proteja, de a rezista și de a-și reveni în urma unor perturbări majore (atacuri cibernetice, dezastre naturale, defecțiuni tehnice). Standardul de aur în acest domeniu este ISO 22301 (Managementul Continuității Afacerii), dublat acum în UE de directivele legislative obligatorii NIS 2 și DORA.
- Definirea Indicatorilor RTO și RPO: Reziliența nu mai este o promisiune vagă, ci se măsoară matematic prin doi indicatori critici:
- RPO (Recovery Point Objective): Câtă informație își permite compania să piardă (ex: tranzacțiile din ultimele 5 minute sau din ultimele 24 de ore).
- RTO (Recovery Time Objective): Cât timp poate sta sistemul oprit complet până când este restaurat în totalitate (ex: maximum 2 ore în cazul spitalelor sau băncilor).
- Backup-uri de tip Immutable și Air-Gapped (Standardul NIST): Reziliența modernă impune ca copiile de siguranță să fie scrise într-un mod în care nu pot fi modificate sau șterse timp de un anumit număr de zile (immutability), fiind izolate complet de rețeaua principală (air-gapping). Acest lucru previne scenariul în care un ransomware criptează atât producția, cât și backup-urile.
- Testarea și Simulările Periodice de Dezastru (DRP – Disaster Recovery Plans): Un plan de reziliență scris pe hârtie este inutil dacă nu este testat. Standardele cer simulări anuale „Live” în care se oprește intenționat alimentarea centrului de date principal pentru a verifica dacă sistemele secundare preiau automat sarcina în parametrii stabiliți, fără intervenție umană majoră și fără pierderi de date.
Ce ar trebui să schimbe România?
Introducerea acestor standarde ca referințe obligatorii în normele metodologice ale Legii 333/2003 (prin HG 301/2012) ar schimba fundamental piața de securitate din România. Evaluatorii de risc nu ar mai audita doar lacăte și uși de termopan, ci ar fi obligați să verifice nivelul TIER al camerelor de servere și procedurile ISO 22301 de continuitate.
Ghid de recomandări practice: tranziția de la securitatea tradițională la reziliența hibridă
Pentru a asigura o tranziție eficientă și a elimina vulnerabilitățile generate de vidul din Legea 333/2003 și OUG 37/2026, organizațiile moderne ar trebui să implementeze de urgență următorul ghid de bune practici în managementul riscului:
1. Auditarea fizică a infrastructurii critice IT (Dincolo de grilaje)
- Implementarea controlul de acces pe trei niveluri: Clădire generală – Coridor tehnic – Rack individual. Fiecare deschidere de rack de server trebuie monitorizată video și înregistrată digital cu drepturi de acces unice.
- Eliminarea riscului de Tailgating: Instalarea exclusiv de turnicheți complet înalți sau sisteme de uși interconectate (man-traps) la intrarea în camerele tehnice nodale.
2. Securizarea fizică a Identității Digitale
- Protejarea terminalelor administrative: Camerele de unde administratorii de rețea gestionează infrastructura cloud sau sistemele centrale trebuie tratate ca și „Zone de Securitate Clasa I” ceva semanator cu reglementările din HG 585 /2003. Un atacator nu trebuie să poată vedea ecranele sau să aibă acces vizual din exterior (folosiți folii de confidențialitate pe geamuri).
- Seifuri biometrice pentru chei hardware: Token-urile fizice de autentificare (ex: YubiKeys) și cheile de criptare master de rezervă trebuie stocate în seifuri cu deblocare biometrică auditabilă, nu în sertarele birourilor.
3. Garantarea Integrității prin Imutabilitate
- Aplicarea regulii de backup 3-2-1-1-0: 3 copii ale datelor, pe 2 medii diferite, 1 în altă locație geografică, 1 copie complet izolată fizic și logic (Air-Gapped / Offline) și 0 erori după testarea periodică a restaurării.
4. Instituirea Culturii de reziliență operațională
- Calculul impactului financiar al timpului mort (Downtime): Stabilirea de praguri RTO și RPO clare pentru fiecare serviciu în parte. De exemplu: Sistemul de plăți (RTO: 15 minute, RPO: 1 minut); Site-ul de prezentare (RTO: 24 ore, RPO: 24 ore).
- Simularea dezastrului în condiții reale: Organizareai anuală a unui exercițiu de tip „Blackout Test”. Opriți alimentarea electrică principală a sediului central fără preaviz pentru echipajele operaționale și măsurați secundele necesare ca generatoarele și sistemele alternative din cloud să preia 100% din activitate.
Pentru ca analiza să fie completă, este crucial să abordăm vulnerabilitatea cel mai des ignorată în audituri: compromiterea fizică a echipamentelor periferice de securitate IoT (Internet of Things).
Degeaba camera serverelor este protejată ca un buncăr dacă camerele de supraveghere, routerele Wi-Fi, barierele de acces sau cititoarele de cartele montate pe holuri sau la exterior sunt expuse manipulării fizice directe. Un atacator poate folosi aceste echipamente ca „cal troian” pentru a pătrunde în rețeaua IT centrală.
Actualizare Tabel: Adăugarea pilonului pentru echipamente periferice și rețele
| Pilon de Securitate | Standardul Internațional / European | Obiectivul Principal de Securitate | Ce verifică legislația RO actuală (HG 301/2012) | Ce ar trebui să verifice (Abordarea Aliniată NIS 2 / DORA) |
| Protecția Perifericelor și Rețelelor (IoT/Wi-Fi) | ISO/IEC 27400 (Securitate IoT) & IEEE 802.11i | Prevenirea accesului fizic la porturile de rețea, cabluri și puncte de acces wireless pentru a opri interceptarea datelor sau atacurile de tip Man-in-the-Middle. | Doar funcționarea tehnică a camerelor sau alarmelor, fără a verifica dacă echipamentele în sine pot fi sabotate sau deconectate ușor. | Carcase anti-vandalism (IK10), cabluri ecranate în cofraje metalice, criptare la nivel de port (802.1X), izolarea rețelelor Wi-Fi de securitate de rețeaua IT de producție. |
Actualizare Ghid: Secțiunea „Securizarea Fizică a echipamentelor de securitate conectate (Cablu și Wireless)”
Echipamentele de securitate (camere CCTV, routere, switch-uri, noduri IoT) sunt computere specializate conectate la internet. Dacă un atacator are acces fizic la ele, are acces la rețeaua dumneavoastră.
1. Protecția infrastructurii cablate (Ethernet / Cupru / Fibră)
- Blocarea fizică a porturilor expuse: Toate porturile RJ45 neutilizate de pe switch-uri sau routere aflate în zone accesibile publicului (săli de așteptare, holuri) trebuie blocate fizic cu dopuri speciale cu cheie (LAN port locks).
- Protejarea cablurilor contra interceptării (Wiretapping): Cablurile de rețea care conectează camerele exterioare nu trebuie să fie vizibile sau accesibile. Ele trebuie introduse în cofraje metalice rigide sau țevi de protecție îngropate. Tăierea sau conectarea unui dispozitiv de interceptare (mufă mamă-tată) pe fir permite clonarea adreselor MAC și interceptarea fluxului de date.
- Securitatea la nivel de port (Port Security / 802.1X): Configurarea switch-urile astfel încât, dacă un atacator deconectează o cameră de supraveghere și își conectează propriul laptop la acel cablu, portul respectiv să se blocheze instantaneu și automat (Shut Down), declanșând o alarmă critică în dispecerat.
2. Protecția infrastructurii Wireless / Wi-Fi
- Amplasarea fizică strategică a Access Point-urilor (AP): Routerele și punctele de acces Wi-Fi trebuie montate la înălțimi mari (minimum 3-4 metri) sau în interiorul tavanului fals, protejate în carcase securizate. Un atacator nu trebuie să poată ajunge fizic la butonul de “Reset” hardware al routerului pentru a-l readuce la setările din fabrică (ceea ce ar anula toate parolele de securitate).
- Ecranarea electromagnetică a semnalului (Faraday Shielding): Semnalul Wi-Fi nu trebuie să treacă dincolo de perimetrul fizic al proprietății (de exemplu, în parcarea publică sau pe stradă). Folosirea vopselelor speciale de ecranare electromagnetică sau configurați antenele direcționale pentru ca undele radio să fie concentrate strict în zona controlată intern.
- Separarea totală a rețelelor (VLAN Segmentation): Echipamentele wireless de securitate (bariere auto, senzori IoT, tablete de control) trebuie să funcționeze pe o rețea virtuală complet izolată (VLAN dedicat). Chiar dacă un hacker reușește să spargă parola Wi-Fi a unei camere exterioare, izolarea logică îl va împiedica să sară (lateral movement) în rețeaua unde se află serverele financiare sau bazele de date cu clienți.
- Eliminarea standardelor vulnerabile: Dezactivarea completă a funcției WPS (Wi-Fi Protected Setup) din toate echipamentele. Aceasta poate fi exploatată prin atacuri fizice de proximitate în doar câteva minute. Obligarea utilizarii a protocolului WPA3 Enterprise, care asociază credențiale unice fiecărui dispozitiv, înlocuind clasica parolă unică de rețea (Pre-Shared Key) care poate fi divulgată ușor.
Concluzie: Perspectiva de business
Companiile din România care vor continua să trateze analiza de risc la securitate fizică ca pe o simplă formalitate birocratică se expun nu doar unor amenzi administrative record, ci și unor breșe operaționale catastrofale care le pot scoate definitiv de pe piață. Într-o lume marcată de amenințări hibride și bucle geopolitice tensionate, singura securitate reală este cea integrată, inteligentă și dinamică.
Securitatea fizică nu mai este doar despre „broaște și zăvoare”, ci despre integritatea datelor, protecția identității digitale și reziliența operațională continuă. Pentru liderii de business, investiția în sisteme moderne, unificate și conforme cu directivele europene corelate cu o nouă legislație nu reprezintă un cost birocratic, ci o asigurare directă a continuității afacerii.
Bibliografie și Standarde de Referință:
- Directiva (UE) 2022/2555 a Parlamentului European și a Consiliului (Directiva NIS2).
- Directiva (UE) 2022/2557 a Parlamentului European și a Consiliului (Directiva CER).
- Ordonanța de Urgență a Guvernului nr. 37/2026 (OUG 37/2026) privind modificarea și completarea Legii nr. 333/2003 (M.Of. nr. 381 din 6 mai 2026).
- SR EN ISO 31000:2018 – Managementul riscului. Linii directoare.
- SR EN ISO/IEC 27001:2023 – Securitatea informației, securitatea cibernetică și protecția confidențialității (Anexa A).
- SR EN ISO 22301:2020 – Securitate și reziliență. Sisteme de management al continuității afacerii.
- Genetec Inc. (2026) – State of Physical Security Report 2026 [Genetec].
- SecuriThings (2026) – The Physical SecOps and Enterprise IoT Trends Report [SecuriThings].