Notă …
Aprobată prin ORDINUL nr. 180 din 21 februarie 2024, publicat în Monitorul Oficial al României, Partea I, nr. 197 din 11 martie 2024. +
Articolul 1Aplicabilitate(1)Prezenta metodologie stabilește cadrul legal privind instituirea nivelurilor de alertă cibernetică, modalitățile de acțiune în situații de alertă cibernetică, precum și trecerea de la un nivel de alertă la altul.(2)Nivelurile de alertă cibernetică și modalitățile de acțiune în situații de alertă cibernetică sunt parte componentă a ansamblului de măsuri tehnice și procedurale destinate prevenirii, descurajării și combaterii acțiunilor sau inacțiunilor ce se pot constitui în vulnerabilități, riscuri sau amenințări la adresa securității cibernetice a României.(3)Nivelurile de alertă cibernetică și modalitățile de acțiune în situații de alertă cibernetică sunt, de asemenea, parte componentă a măsurilor de conștientizare situațională și comunicare către public a măsurilor recomandate spre implementare, în vederea facilitării managementului situațiilor de criză cibernetică la nivel național. +
Articolul 2Nivelurile de alertă cibernetică(1)Nivelurile de alertă cibernetică reflectă gradul de risc cibernetic la nivel național și exprimă impactul potențial sau materializat al unor vulnerabilități, amenințările, incidente sau atacuri cibernetice identificate de către membrii Consiliului Operativ de Securitate Cibernetică (COSC).(2)La nivel național, sunt definite următoarele niveluri de alertă cibernetică:
| Nivel |
Definiție |
| Scăzut |
Se instituie și se menține atunci când datele si informațiile disponibile la nivelul membrilor COSC indică un grad scăzut de risc de securitate cibernetică la nivel național. |
| Moderat |
Se instituie și se menține atunci când datele și informațiile disponibile la nivelul membrilor COSC indică existența unor riscuri de securitate cibernetică care necesită atenție și monitorizare continuă din partea autorităților competente conform Legii nr. 58/2023 privind securitatea și apărarea cibernetică a României, precum și pentru modificarea și completarea unor acte normative, fără a fi perturbată activitatea infrastructurilor informatice și de comunicații de interes național. |
| Ridicat |
Se instituie și se menține atunci când datele și informațiile disponibile la nivelul membrilor COSC indică existența unor riscuri semnificative de producere a unor atacuri cibernetice de natură a afecta semnificativ securitatea sau activitatea infrastructurilor informatice și de comunicații de interes național și care ar necesita o intervenție sau un răspuns din partea autorităților competente conform Legii nr. 58/2023. |
| Critic |
Se instituie și se menține atunci când datele și informațiile disponibile la nivelul membrilor COSC indică existența unor riscuri iminente de producere a unor atacuri cibernetice de natură a afecta grav securitatea sau activitatea infrastructurilor informatice și de comunicații de interes național, precum și disponibilitatea, confidențialitatea, integritatea datelor și informațiilor gestionate de acestea și care necesită un răspuns imediat și coordonat din partea autorităților competente conform Legii nr. 58/2023. |
(3)Instituirea unui nivel de alertă sau trecerea de la un nivel la altul se realizează prin decizie a directorului Directoratului Național de Securitate Cibernetică (DNSC), în următoarele situații:a)la propunerea COSC; … b)ca urmare a analizei proprii a Directoratului Național de Securitate Cibernetică, cu avizul consultativ și prealabil al COSC; … c)la propunerea uneia din autoritățile competente prevăzute la art. 10 alin. (1) din Legea nr. 58/2023, cu avizul consultativ și prealabil al COSC. … (4)După emiterea deciziei privind instituirea unui nivel de alertă cibernetică, comunicarea publică a acestuia se face de către DNSC prin intermediul mijloacelor de comunicare publică aflate la dispoziție în vederea obținerii unui nivel cât mai ridicat de conștientizare la nivel național. +
Articolul 3Modalități de acțiune în situații de alertă cibernetică(1)Persoanele prevăzute la art. 3 alin. (1) din Legea nr. 58/2023 își vor elabora planurile proprii de acțiune pentru fiecare nivel de alertă cibernetică conform Ghidului de elaborare a planului de acțiune în caz de alertă cibernetică.(2)La instituirea unui nivel de alertă cibernetică, autoritățile competente prevăzute la art. 10 alin. (1) din Legea nr. 58/2023 stabilesc și implementează măsuri specifice pentru gestionarea evenimentelor ce au stat la baza deciziei de instituire a nivelului, în conformitate cu planurile de acțiune corespunzătoare, prevăzute de art. 10 alin. (2) lit. a) din Legea nr. 58/2023.(3)Pentru nivelurile de alertă cibernetică ridicat și critic, autoritățile menționate la alin. (2) au obligația să își coordoneze între ele măsurile și planurile de acțiune corespunzătoare, după caz.(4)Pentru nivelurile de alertă cibernetică ridicat și critic, măsurile și planurile de acțiune se mențin pe termenul de valabilitate a nivelului de alertă, chiar dacă au impact asupra desfășurării activității curente. +
Articolul 4Anexe la metodologieGhidul de elaborare a planului de acțiune în caz de alertă cibernetică este prevăzut în anexa care face parte integrantă din prezenta metodologie. +
ANEXĂla metodologie
GHID
de elaborare a planului de acțiune în caz de alertă cibernetică1.Evaluarea și înțelegerea situației curente– Identificarea și inventarierea activelor critice ale organizației: este necesar să fie determinate care sunt activele critice ale organizației, care trebuie protejate cu prioritate (de exemplu: baze de date, servere, terminale de utilizatori) … – Identificarea și evaluarea principalelor tipuri de amenințări: este necesar să se înțeleagă tipurile de amenințări cibernetice potențiale care ar putea afecta organizația … – Identificarea și revizuirea mecanismelor de răspuns la incidente de securitate cibernetică, de recuperare în caz de dezastru și de gestionare a situațiilor de criză: sunt necesare reevaluarea, testarea și revizuirea planurilor, procedurilor, sistemelor și instrumentelor actuale de răspuns la incidente, precum și a celor aferente asigurării de backup și redundanță pentru bazele de date și sistemele critice ale organizației … – Identificarea resurselor (umane și tehnice) aferente măsurilor de securitate și reziliență cibernetică și a eventualelor zone neacoperite: este necesară identificarea personalului cu responsabilități pentru asigurarea securității cibernetice și sistemelor tehnice utilizate [de exemplu, sisteme de informații și gestionare a evenimentelor de securitate (SIEM), sisteme de detecție a intruziunilor (IDS) sau platforme de protecție a terminalelor]. … … 2.Definirea situațiilor care pot genera încadrarea în nivelurile de alertă cibernetică– Tipurile de amenințări: … – este necesar să fie stabilite, pentru fiecare nivel de alertă, raportat la specificul organizației, categoriile de amenințări care trebuie gestionate, cum ar fi cele de tipul: phishing, acces neautorizat, ransomware, exfiltrare de date etc.; … – este necesar să fie evaluate vulnerabilitățile organizației din punctul de vedere al lanțului de aprovizionare, pe componenta TIC, precum și a interconexiunilor cu infrastructuri TIC ale altor organizații. … – Nivelurile de severitate a impactului incidentelor: este necesar să fie clasificate incidentele, vulnerabilitățile și amenințările în niveluri precum „Critic“, „Înalt“, „Mediu“ și „Scăzut“, în funcție de efectele preconizate ale acestora la nivelul organizației dumneavoastră, precum și definirea criteriilor pentru fiecare nivel al impactului. … … 3.Stabilirea unui protocol de reacție, adecvat pentru fiecare nivel de alertă, care să conțină următoarele acțiuni:– evaluarea potențialului de afectare al incidentului sau amenințării la adresa organizației, în conformitate inclusiv și cu datele comunicate de autoritățile competente: este necesar să fie determinat procesul de verificare a legitimității unei alerte, respectiv de evaluare a impactului amenințării asupra organizației; … – stabilirea atribuțiilor și responsabilităților, precum și a procesului de escaladare internă și externă, în funcție de impactul și probabilitatea de afectare a organizației: este necesar să fie definite rolurile și responsabilitățile persoanelor ce vor fi implicate în gestionarea incidentelor de securitate cibernetică pe perioada menținerii nivelului de alertă, pe toate palierele, cu responsabilități pentru toate procesele aferente gestionării situației aferente declanșării fiecărui nivel de alertă cibernetică. Aceasta ar putea include roluri precum răspunsul la incidente, relații publice, CISO etc. Se vor stabili fluxurile ce vor fi utilizate pentru derularea activităților de gestionare a incidentelor și alertelor. Vor fi documentate informațiile legate de datele de contact ale persoanelor din organizație și din afara acesteia implicate în acest proces; … – stabilirea procesului de evaluare a impactului asupra altor organizații; … – elaborarea unei strategii de izolare a incidentului sau de aplicare de măsuri preventive, în cazul unei amenințări cunoscute: este necesar să fie schițați pașii pentru a limita extinderea incidentului sau pentru a preveni materializarea amenințării, precum și pentru minimizarea daunelor; … – măsuri de atenuare a impactului și repunere în funcțiune a echipamentelor și funcțiilor afectate: este necesar să fie descrisă modalitatea de eliminare a sursei de amenințare și de restaurare a operațiunilor la nivel normal; … – plan de comunicare: este necesar să fie revizuite obligațiile legale de raportare a incidentelor, vulnerabilităților sau a informațiilor legate de amenințările cibernetice. De asemenea, este necesar a se decide ce tip de date, când și cum să fie comunicate acestea cu privire la incidentele și amenințările, din interiorul organizației și, eventual, în plan extern (de exemplu, către clienți, alte părți interesate sau prin comunicate publice, dacă este cazul). … … 4.Integrarea planului de acțiune cu sistemele existenteEste necesar ca planul de acțiune să fie congruent cu procesele și procedurile existente în cadrul organizației, prin actualizarea acestora sau integrarea lor în plan. … 5.Testarea regulată a planului de acțiune– Sunt necesare realizarea de scenarii de alertă cibernetică și testarea eficacității planului de acțiune și pregătirea echipei, în conformitate cu fiecare nivel de alertă. … – Sunt necesare revizuirea și analizarea rezultatelor pentru a identifica zonele de îmbunătățire a planului. … … 6.Monitorizare continuă a vulnerabilităților, alertelor de securitate și amenințărilorEste necesar să fie utilizate instrumente de monitorizare continuă pentru a fi la curent cu potențialele amenințări și vulnerabilități. … 7.Instruire și conștientizare– Este necesar să fie instruiți în mod regulat angajații și părțile interesate relevante cu privire la planul acțiune pentru alertă cibernetică. Este necesar să vă asigurați că sunt înțelese rolurile și responsabilitățile de către aceștia și de către managementul organizației. … – Este necesar să fie actualizat materialul de instruire pe măsură ce evoluează peisajul amenințării. … … 8.Revizuire și actualizare– Este necesar să fie revizuit și actualizat periodic planul de acțiune pentru a ține cont de schimbările în activele organizației, peisajul amenințării, tehnologia și alți factori relevanți. … – Este necesar să fie încorporate lecțiile învățate din incidentele anterioare. … …
