5 acțiuni simple, dar importante, de securitate cibernetică pentru proprietarii de afaceri mici și mijlocii

Cele cinci acțiuni simple care protejează o firmă mică sau mijlocie sunt: parole puternice cu autentificare în doi pași, acces limitat la date, control asupra dispozitivelor personale, angajați instruiți și un plan pentru ziua în care firma este atacată. Niciuna nu cere un buget mare.

Știrile vorbesc mai ales despre breșele de securitate de la corporații și instituții, dar multe dintre firmele atacate sunt mici și mijlocii. De ce se întâmplă acest lucru? Pentru că, în general, firmele mici nu au personalul și nici bugetul necesar pentru soluții de securitate complexe, iar atacatorii știu asta.

Dacă hackerii pot pătrunde în corporații uriașe, cu toată atenția acordată securității cibernetice, ce îi oprește să atace companii mai mici, care nu își pot permite același nivel de protecție? Vestea bună pentru firmele mici și mijlocii este că o securitate informatică adecvată nu este inaccesibilă. Iată câteva sfaturi de securitate cibernetică de care poate beneficia orice proprietar de afacere mică.

Abonamente IT: vreau detalii →

1. Folosiți parole puternice și autentificarea în doi pași

Parolele protejează e-mailul, conturile și rețeaua firmei, dar doar dacă respectă câteva reguli stricte.

O parolă puternică este greu de ghicit atât de oameni, cât și de programele de calculator. Recomandările s-au schimbat față de 2021: ghidul NIST (institutul american de standarde) pentru autentificare, actualizat în 2025, cere parole de cel puțin 15 caractere atunci când parola este singura protecție a contului și de cel puțin 8 caractere când este folosită împreună cu un al doilea factor. Lungimea contează mai mult decât amestecul obligatoriu de cifre și simboluri: o frază din mai multe cuvinte este și sigură, și ușor de ținut minte. Parolele puternice nu conțin cuvinte din dicționar luate singure sau părți din numele utilizatorului și nu se folosesc pentru mai multe conturi.

Același ghid spune că parolele nu trebuie schimbate periodic, ci doar atunci când există semne că au fost compromise. În schimb, merită să aveți o regulă pentru partajarea parolelor, chiar și cu colegii de serviciu.

Ce faceți concret:

• activați autentificarea în doi pași pe e-mail, pe conturile de administrator și pe accesul de la distanță; este cea mai eficientă măsură ieftină;
• folosiți un manager de parole pentru toată echipa, în locul parolelor scrise pe hârtie sau trimise în mesaje;
• acolo unde serviciul permite, folosiți chei de acces (passkeys) în locul parolelor.

Mai multe găsiți în articolul cu reguli de bază pentru crearea de parole sigure.

2. Limitați accesul

Securitatea stratificată (pe niveluri) poate ajuta la păstrarea în siguranță a celor mai sensibile date, chiar dacă sistemul dumneavoastră suferă o breșă. Aceasta înseamnă limitarea accesului la anumite tipuri de informații și adăugarea unor niveluri de protecție, cum ar fi autentificarea în doi pași, criptarea și așa mai departe.

În practică: fiecare angajat are acces doar la datele de care are nevoie, nimeni nu lucrează zilnic cu un cont de administrator, iar conturile celor care pleacă din firmă se închid în aceeași zi. La clienții noștri, pregătim calculatoarele și conturile pentru angajații noi și închidem accesele celor care pleacă.

Backup as a Service: vreau detalii →

3. Controlați dispozitivele personale

În poziția de firmă mică sau mijlocie, este posibil să nu dispuneți de bugetul necesar pentru a le da angajaților laptopuri, tablete și telefoane. Cu alte cuvinte, este posibil ca angajații să utilizeze dispozitive personale pentru a accesa datele companiei.

Dacă acesta este cazul, creați o politică scrisă: dispozitivele care accesează datele firmei au actualizările automate pornite, ecranul blocat cu PIN sau parolă și o soluție de securitate. Cu o soluție de administrare a dispozitivelor (MDM), de pildă Microsoft Intune, firma poate impune aceste reguli și poate șterge de la distanță doar datele firmei de pe un telefon pierdut, fără să atingă pozele sau mesajele personale.

Nu trebuie să invadați viața privată a angajaților sau să interziceți anumite programe și aplicații. Cu toate acestea, trebuie să vă protejați afacerea dacă un dispozitiv personal pune rețeaua în pericol. Detalii în articolul despre echipamentele personale folosite în interes de serviciu.

Servicii IT pentru firme: vreau detalii →

4. Instruiți angajații

Chiar și cu personal de asistență tehnică, angajații pot provoca involuntar breșe dacă nu sunt instruiți corespunzător. Este extrem de important ca angajații să înțeleagă cum folosesc resursele companiei și ce urmări are nerespectarea regulilor de securitate.

Instruirea de azi pune accent pe mesajele de phishing, tot mai credibile de când atacatorii le scriu cu ajutorul inteligenței artificiale, și pe cererile urgente de plată venite pe e-mail sau la telefon, uneori chiar cu vocea imitată a unui șef. Regula de bază: orice cerere de plată sau de schimbare a contului bancar se verifică printr-un apel la un număr cunoscut, nu la cel din mesaj.

5. Planificați ce faceți dacă firma este atacată

Lucrați cu un consultant IT experimentat sau cu personalul IT intern la un plan pentru o breșă de securitate. Pentru că astfel de atacuri sunt frecvente, cel mai bine este să vă pregătiți pentru ce este mai rău. Minimul necesar este un backup (o copie de rezervă a datelor) care să vă ajute să repuneți afacerea în funcțiune dacă pierdeți datele.

Backupul trebuie să aibă o copie în afara rețelei firmei, pe care un atac ransomware să nu o poată cripta, iar restaurarea trebuie testată periodic. Planul spune cine decide, pe cine anunțați (clienți, bancă, autorități) și cum lucrați până revin sistemele. Vedeți și articolul despre planul de răspuns la un atac cibernetic.

Ce s-a schimbat pentru firmele mici și mijlocii din 2021?

Pe lângă cele cinci acțiuni, câteva lucruri sunt noi față de momentul în care am scris acest articol:

• Windows 10 a ieșit din suport pe 14 octombrie 2025. Calculatoarele compatibile trec gratuit la Windows 11; celelalte primesc actualizări de securitate doar prin programul plătit ESU, cel mult până în octombrie 2028. Vedeți cum faceți upgrade-ul.
• NIS2 se aplică și în România. Pentru firmele mijlocii și mari din sectoarele vizate de Directiva NIS2 (transpusă prin OUG 155/2024), aceste măsuri au devenit obligații legale: autentificare în doi pași, backup, instruire și gestionarea incidentelor. Autoritatea competentă este DNSC.
• Incidentele se pot raporta oricând. Orice firmă poate anunța un incident de securitate cibernetică la DNSC, la numărul unic 1911 sau pe platforma PNRISC (pnrisc.dnsc.ro).

Lista completă, cu 15 măsuri minime după ghidurile ENISA, CIS și NIS2, e pe pagina despre Securitate IT pentru firme.

RezolvIT este o firmă de servicii IT gestionate din București, certificată ISO/IEC 27001, care se ocupă de Securitate IT, backup și suport IT pentru firme de orice mărime, inclusiv sub 10 angajați. Oferim și sprijin pentru conformarea cu NIS2. Pornim de la un Audit IT gratuit, din care rezultă și prețul exact.