Securitate cibernetică pentru firme mici: 10 pași care contează

Securitate cibernetică pentru firme mici înseamnă zece obiceiuri: parole unice într-un manager de parole, autentificare în doi pași pe fiecare cont care o oferă, o regulă fixă pentru verificarea cererilor de plată, actualizări automate, backup-uri testate, drepturi de administrator limitate, un Wi-Fi securizat, dispozitive criptate, o procedură clară când pleacă un angajat și un plan scris de incident. Raportul ENISA din 2025 arată că phishingul e circa 60% din intruziunile observate, iar exploatarea vulnerabilităților 21,3%. Cei zece pași țintesc exact aceste două căi de intrare.

De ce sunt țintă firmele mici?

Firmele mici au bani, date despre clienți și acces la parteneri mai mari, dar rareori au pe cineva care se ocupă full-time de securitate. În Threat Landscape 2025, agenția UE pentru securitate cibernetică (ENISA) a analizat 4.875 de incidente produse între 1 iulie 2024 și 30 iunie 2025. Phishingul, în care ENISA include vishingul (phishing prin telefon), malspamul și malvertisingul, a reprezentat circa 60% din cazurile observate. Exploatarea vulnerabilităților a venit pe locul doi, cu 21,3%, iar ENISA notează că vulnerabilitățile noi sunt exploatate în câteva zile de la publicare.

În România, Directoratul Național de Securitate Cibernetică (DNSC) și ING Bank România au avertizat în martie 2026, printr-un comunicat comun, că firmele sunt vizate în special de două scheme: mesaje de phishing care cer actualizarea urgentă a datelor și apeluri false de la cineva care pretinde că sună din partea ANAF. Ambele imită aspectul unei instituții reale și adaugă presiunea timpului.

Cum împiedic parolele furate să-mi deschidă conturile?

Pasul 1: parole unice într-un manager de parole

O parolă refolosită pe zece site-uri înseamnă că o singură scurgere deschide zece uși. Ghidul NCSC pentru organizații mici (publicat la 9 aprilie 2026, revizuit la 21 iulie 2026) recomandă să salvezi parolele pe dispozitiv sau în browser ori să folosești un manager de parole, adică un instrument care generează și memorează parolele în spatele unei singure parole principale. Alege unul de la un furnizor cunoscut, dă-i o parolă principală lungă și unică și începe cu conturile care pot muta bani sau pot reseta alte conturi: emailul, internet banking-ul, contabilitatea sau facturarea, registrarul domeniului și stocarea în cloud.

Pasul 2: autentificare în doi pași peste tot unde există

Autentificarea în doi pași (2FA, pe care NCSC o numește 2-step verification sau 2SV) cere o a doua dovadă după parolă, de obicei un cod. NCSC le spune organizațiilor mici să folosească passkey-uri acolo unde serviciul le acceptă, pentru că un passkey nu poate fi scos de la tine prin păcăleală cum poate fi o parolă. Altfel recomandă o parolă puternică și unică plus 2SV, pe care o numește una dintre cele mai eficiente metode de protecție a conturilor, și spune că orice tip de 2SV e mai bun decât niciunul. Securizează mai întâi emailul, pentru că cine controlează căsuța poate reseta toate celelalte parole. Nu citi niciodată un cod cuiva care te-a sunat. Un cod aparține doar unei acțiuni pornite de tine.

Cum recunosc phishingul și facturile false?

Angajații care cunosc tiparele obișnuite opresc majoritatea tentativelor încă de la primul mesaj. Acestea sunt cele descrise de autoritățile din România și din Europa.

• Actualizarea urgentă a datelor. Un mesaj care pare de la bancă sau de la o autoritate spune că ți se blochează contul dacă nu îți confirmi datele. Linkul duce către un site clonat care colectează date bancare, parole și coduri unice, potrivit DNSC și ING. Tastează tu adresa băncii sau folosește aplicația oficială și verifică expeditorul și linkul fără să dai click. Fiecare SMS cu cod unic numește operațiunea pe care o autorizează codul, deci citește-l.
• Apelul fals din partea ANAF. DNSC și ING descriu apelanți care promit o returnare de taxe, trimit un link și apoi cer instalarea unei aplicații de control la distanță, cum ar fi AnyDesk sau AirDroid, care le dă telefonul și aplicația bancară pe mână. Închide apelul, verifică pe canalele oficiale ale instituției, nu instala nimic pentru un necunoscut și nu lua nicio decizie financiară în timpul unui apel.
• IBAN-ul schimbat. Un email de la un furnizor îți cere să plătești facturile viitoare într-un cont nou. Recomandările Poliției Române privind frauda Business Email Compromise (BEC), publicate în august 2017, descriu atacatori care citesc căsuța de email a unui partener extern, urmăresc corespondența reală și scriu de la o adresă asemănătoare sau identică, indicând un alt cont. Fișa Europol despre frauda cu facturi descrie aceeași tehnică și recomandă verificarea oricărei cereri de schimbare a datelor bancare cu contacte din corespondența anterioară, nu din mesaj.

Transformă asta într-o regulă: orice schimbare de date bancare se confirmă telefonic, la un număr pe care îl aveai deja, iar prima plată în contul nou o aprobă o a doua persoană. După plată, trimite furnizorului pe email numele băncii și ultimele patru cifre ale contului, cum sugerează Europol. O factură care ajunge în formatul corect poate avea totuși IBAN-ul greșit, deci regula acoperă și facturile primite prin sistemul din ghidul nostru e-Factura. Raportează tentativele la poliție chiar dacă nimeni nu a căzut în plasă, așa cum recomandă Europol.

De ce contează actualizările și cum țin pasul?

Exploatarea vulnerabilităților a fost 21,3% din intruziunile din datele ENISA, iar vulnerabilitățile noi sunt folosite în câteva zile, deci o lună de întârziere la actualizare le dă atacatorilor luna aceea. Ghidul NCSC pentru dispozitive mobile dă sfatul în două fraze scurte: ține dispozitivul actualizat și ține aplicațiile actualizate.

• Activează actualizările automate pentru Windows sau macOS, telefoane, browsere și programele de birou.
• Actualizează routerul Wi-Fi, NAS-ul și imprimantele, pe care lumea le uită pentru că nu au ecran.
• Dezinstalează programele pe care nu le mai folosește nimeni și înlocuiește dispozitivele care nu mai primesc actualizări de securitate.
• Ține un tabel cu dispozitiv, responsabil, sistem de operare și data ultimei actualizări. Îl pornești în zece minute și îți arată ce repari primul.

Cum fac backup la datele firmei?

Aplică regula 3-2-1, pe care NCSC o formulează ca minimum 3 copii, pe 2 dispozitive, din care 1 în afara locației. O copie în cloud contează ca cea din afara locației.

Regula	Ce înseamnă	Exemplu
3 copii	Datele de lucru plus două backup-uri	Fișierele de lucru, un hard disk extern, un backup în cloud
2 dispozitive	Backup-uri pe tipuri diferite de stocare	Discul laptopului și un hard disk extern
1 în afara locației	O copie care nu e în birou	Stocare în cloud sau un disc ținut în altă parte

Alte două lucruri vin din articolul NCSC despre backup-uri offline. NCSC a văzut incidente în care ransomware-ul a criptat datele originale și, odată cu ele, unitățile USB, stocarea în rețea și locațiile cloud conectate care țineau backup-urile, așa că păstrează cel puțin un backup deconectat sau protejat la scriere. Apoi testează backup-urile: restaurează un fișier și un folder întreg în fiecare trimestru și notează cât a durat. Un backup pe care nu l-ai restaurat niciodată este o speranță. Verifică dacă furnizorul de cloud păstrează versiuni mai vechi și fișiere șterse pentru o perioadă, pentru că NCSC notează că asta îți permite să revii după un atac.

Drepturi de administrator, Wi-Fi, criptare și plecarea angajaților: ce închid?

Drepturi de administrator

NCSC avertizează că, dacă ești autentificat ca administrator în timpul unui atac, un infractor poate prelua controlul complet asupra dispozitivului și al conturilor tale și te poate chiar bloca. Folosește un cont obișnuit pentru munca zilnică și contul de administrator doar ca să instalezi programe sau să schimbi setări. Ține rolul de proprietar pe domeniu, consola de administrare a emailului, bancă și cloud la cât mai puține persoane și asigură-te că două persoane de încredere au acces de recuperare.

Wi-Fi

Schimbă parola implicită de administrare a routerului, folosește WPA2 sau WPA3 cu o parolă lungă, pune vizitatorii pe o rețea de oaspeți și actualizează firmware-ul. Ghidul NCSC pentru dispozitive mobile mai recomandă să eviți hotspot-urile Wi-Fi necunoscute, protecția cu parolă și posibilitatea de a localiza, bloca sau șterge un dispozitiv pierdut.

Criptarea dispozitivelor

Un laptop pierdut e doar o pagubă de hardware dacă discul e criptat. Microsoft spune că Device Encryption pornește BitLocker automat când te autentifici cu un cont Microsoft sau de serviciu și că nu pornește pentru conturile locale. Apple spune că Mac-urile cu Apple silicon sau cip T2 își criptează datele automat, iar FileVault adaugă un strat în plus. Păstrează cheile de recuperare departe de dispozitiv.

Plecarea unui angajat

NCSC observă că conturile fostilor angajați și colaboratori rămân adesea active fără să observe cineva și sugerează să verifici la câteva luni cine are acces la conturile importante. Când pleacă cineva, fă asta în aceeași zi: dezactivează-i conturile și redirecționările de email, scoate-l din seiful comun de parole și schimbă parolele comune, scoate-l din listele de administratori și de recuperare, revocă tokenurile aplicațiilor, recuperează dispozitivele și mută proprietatea fișierelor.

Dacă angajații folosesc asistenți AI, adaugă o regulă: fără date personale ale clienților și fără contracte confidențiale într-un instrument pe care firma nu l-a aprobat. Ghidul nostru despre folosirea AI acoperă verificarea răspunsurilor.

Ce fac dacă am fost atacat și pe cine sun în România?

Scrie planul înainte să ai nevoie de el, pe o singură pagină: cine decide, linia de fraude a băncii, furnizorul tău IT și contactele de mai jos. Apoi urmează această ordine.

1. Izolează problema. Deconectează dispozitivul afectat de la rețea. Nu-l șterge încă, pentru că păstrează dovezi.
2. Sună banca imediat dacă au plecat bani sau ai introdus date bancare. ING precizează că, în majoritatea cazurilor de fraudă, șansele de recuperare a banilor sunt extrem de reduse, deci contează minutele.
3. Resetează de pe un dispozitiv curat. Schimbă parolele și închide celelalte sesiuni, începând cu emailul, și activează 2FA.
4. Păstrează dovezile. Salvează emailurile, capturile de ecran, numerele de telefon și detaliile tranzacțiilor.
5. Raportează. DNSC are linia națională 1911 și un formular online de raportare pentru persoane fizice și juridice. Depune și o plângere la poliție.
6. Verifică obligațiile privind datele personale. Dacă au fost expuse date personale ale clienților sau ale angajaților, articolul 33 din GDPR cere notificarea autorității de supraveghere, în România ANSPDCP, fără întârzieri nejustificate și, dacă e posibil, în cel mult 72 de ore de când ai aflat, cu excepția cazului în care încălcarea nu riscă să afecteze drepturile și libertățile persoanelor. Întreabă în aceeași zi avocatul sau contabilul.

Checklist de securitate IT pentru firme mici

• Parole: o parolă unică per cont, ținută într-un manager de parole.
• 2FA: pe email, bancă, contabilitate, registrarul domeniului și cloud, în această ordine.
• Plăți: schimbările de date bancare se confirmă telefonic, iar prima plată o aprobă o a doua persoană.
• Phishing: angajații cunosc cele trei tipare: actualizare urgentă de date, apel fals ANAF, IBAN schimbat.
• Actualizări: automate peste tot, inclusiv router și NAS, cu o listă de dispozitive.
• Backup: 3-2-1, o copie offline sau protejată la scriere, restaurare testată trimestrul acesta.
• Drepturi de administrator: muncă zilnică în conturi obișnuite, două persoane cu acces de recuperare.
• Wi-Fi: parola implicită schimbată, WPA2 sau WPA3, rețea separată pentru vizitatori.
• Criptare: BitLocker sau Device Encryption pe Windows, FileVault pe Mac, blocare de ecran pe telefoane.
• Oameni și plan: o listă de verificare la plecarea unui angajat și un plan de incident pe o pagină, cu 1911 pe el.

Vrei ajutor să aplici asta la firma ta?

Danube Labs este un studio format dintr-o singură persoană, din București. Dacă vrei să discutăm cum se potrivește această listă cu uneltele tale, programează un apel introductiv gratuit sau citește despre consultanța IT și de automatizare.