O breșă de date la nivel de firmă este un incident serios, dar gestionabil — legislația europeană (GDPR) prevede exact pașii de urmat, iar respectarea lor la timp reduce mult atât riscul pentru persoanele afectate, cât și expunerea legală a firmei. Panica și tăcerea sunt cele mai costisitoare reacții posibile într-o astfel de situație.
O breșă poate lua multe forme: un atac de tip ransomware, un cont administrativ compromis, o configurare greșită a unei baze de date expusă public, sau chiar un angajat care trimite din greșeală un fișier cu date sensibile către destinatarul greșit. Indiferent de cauză, procesul de răspuns rămâne similar — izolare, evaluare, notificare, corectare — iar viteza de reacție contează la fel de mult ca soluția tehnică finală.
Ce faci imediat (primele 30 de minute)
- Izolează sistemele afectate de rețea, fără să le oprești brusc dacă poți evita — păstrează dovezi pentru investigația ulterioară, utile atât intern, cât și pentru autorități.
- Convoacă imediat echipa tehnică internă sau furnizorul IT extern, plus responsabilul cu protecția datelor (DPO), dacă firma are unul desemnat.
- Nu comunica public despre incident înainte de o evaluare inițială — dar pregătește-te să comunici, nu amâna la nesfârșit decizia.
- Documentează tot ce descoperi: ora estimată a incidentului, sistemele afectate, tipul de date posibil expuse, cine a descoperit problema și când.
- Verifică dacă breșa este încă activă (acces neautorizat curent) sau s-a produs deja și a fost descoperită ulterior — determină dacă mai e nevoie de izolare urgentă sau doar de investigație și remediere.
Ce faci în următoarele zile
- Evaluează exact ce date au fost afectate — date de contact, date financiare, date sensibile — și câte persoane sunt implicate în total.
- Dacă breșa prezintă risc pentru drepturile și libertățile persoanelor vizate, ai obligația legală de a notifica ANSPDCP în termen de 72 de ore de la momentul în care ai luat cunoștință de incident.
- Dacă riscul e ridicat pentru persoanele afectate (de exemplu, date financiare sau parole expuse), notifică și direct persoanele vizate, cu recomandări clare (schimbarea parolelor, atenție la phishing ulterior).
- Schimbă toate parolele administrative și de acces la sisteme, de preferat cu autentificare în doi pași activată peste tot, fără excepție.
- Corectează vulnerabilitatea care a permis breșa înainte de a repune sistemele online, altfel riști o repetare rapidă a incidentului.
Cui raportezi
- ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, obligatoriu în 72 de ore dacă există risc pentru drepturile persoanelor vizate.
- DNSC — Directoratul Național de Securitate Cibernetică — recomandat pentru sprijin tehnic și, în anumite cazuri, obligatoriu pentru operatorii de infrastructuri critice.
- Poliția Română, dacă breșa a rezultat dintr-un acces neautorizat sau o infracțiune informatică clară.
- Persoanele afectate direct — clienți, angajați, parteneri — atunci când riscul pentru ele este ridicat, conform evaluării interne.
Cum eviți pe viitor
- Pregătește din timp un plan de răspuns la incidente — cine sună pe cine, cine ia deciziile, cum se comunică — ca să nu improvizezi în mijlocul crizei.
- Fă audituri de securitate periodice și menține backup-uri separate de rețeaua principală, utile inclusiv contra ransomware.
- Activează autentificarea în doi pași pentru toate conturile cu acces administrativ, nu doar pentru cele considerate "importante".
- Limitează accesul la datele sensibile strict la angajații care au nevoie reală de el, conform principiului minimului necesar din GDPR.
- Instruiește periodic angajații despre recunoașterea tentativelor de phishing — o proporție mare dintre breșele de firmă pornesc, de fapt, de la un singur cont de angajat compromis.
Un exemplu concret
O firmă de comerț online descoperă, în urma unui raport primit de la un cercetător de securitate independent, că o bază de date cu adresele de email și numerele de telefon ale clienților era accesibilă public, din cauza unei configurări greșite pe un server nou, ridicat cu câteva săptămâni în urmă. Echipa tehnică izolează rapid accesul, iar evaluarea arată că nu au fost expuse parole sau date de card, dar numărul de persoane afectate depășește câteva mii. Firma notifică ANSPDCP în termenul legal, cu o descriere completă a incidentului, și trimite un email informativ tuturor clienților afectați, explicând ce s-a întâmplat și recomandând atenție sporită la mesaje neașteptate în perioada următoare.
Notificarea la timp, chiar dacă incidentul e neplăcut de recunoscut, protejează firma legal și arată persoanelor afectate că situația e tratată serios — tăcerea, în schimb, transformă aproape mereu un incident tehnic într-o problemă legală mai mare.
Întrebări frecvente
Suntem obligați să anunțăm ANSPDCP chiar dacă nu suntem siguri de impact?
Dacă există un risc rezonabil pentru drepturile persoanelor vizate, da — termenul de 72 de ore curge de la momentul în care ați luat cunoștință de incident, nu de la finalizarea investigației complete.
Ce se întâmplă dacă nu raportăm la timp?
Nerespectarea termenului de notificare poate atrage sancțiuni suplimentare din partea autorității de supraveghere, pe lângă cele legate direct de incidentul în sine.
Trebuie să anunțăm public toți clienții?
Doar dacă riscul pentru ei este ridicat (de exemplu, date financiare sau parole expuse) — evaluarea concretă a riscului determină amploarea comunicării necesare.