Decizia privind alocarea resurselor pentru securitatea cibernetică a întreprinderilor mici și mijlocii nu trebuie să fie condiționată de dimensiunea firmei sau de un anumit prag de cifră de afaceri. Gerald Dincă, Chief Information Security Officer (CISO) al Sanador, a explicat că investițiile trebuie să fie direct proporționale cu riscul real identificat. În cadrul conferinței ZF & Orange Business - Reziliența operațională: de la panică la control, acesta a subliniat importanța unei abordări bazate pe necesități concrete.
Gerald Dincă a refuzat ideea existenței unui procent fix, precum 2% sau 3% din buget, care să servească drept normă pentru protecție. El a recomandat utilizarea analizei de risc, un instrument prevăzut și în directiva NIS, pentru a determina sumele necesare. „Am nevoie să investesc 3 lei? 3 lei investesc. Nu-i dau 5 lei, rotunjit; nu-i dau un leu”, a declarat expertul, argumentând că investiția trebuie să fie precisă pentru a evita riscurile suplimentare.
Pentru a ilustra evoluția tehnologică necesară, Gerald Dincă a folosit o analogie cu creșterea unui copil. El a întrebat proprietarii de business dacă ar trimite un copil la facultate purtând hainele de la clasa pregătitoare, subliniind absurditatea de a păstra o tehnologie veche pentru o companie care a crescut. Business-ul, comparat cu un copil care trece prin diverse etape educaționale, necesită o protecție adaptată nivelului de maturitate și de dezvoltare la care a ajuns.
Expertul a combatut și ideea că firmele mici și mijlocii nu își permit un model de securitate matur. El a respins abordarea conform căreia companiile ar trebui să aștepte atingerea unui anumit nivel de venituri pentru a începe protecția. Deși cybersecurity este considerată un centru de cost, Gerald Dincă a insistat că aceasta trebuie privită ca o zonă de risk management, existând soluții potrivite pentru orice tip de afacere.
Cele mai bine protejate organizații sunt cele din sectoarele puternic reglementate, unde maturitatea este semnificativ peste medie. Conform expertului, investițiile în acest domeniu sunt alimentate de doi vectori principali: reglementările existente și, în cel mai nefericit caz, gestionarea unui incident deja produs. El a menționat că companiile ar trebui să acționeze conform ceea ce știu că trebuie să facă, fără a fi motivate exclusiv de frica de amenzile aplicate de DNSC.
În contextul securității digitale, reglementările și monitorizarea de către autorități joacă un rol crucial în stabilirea standardelor de protecție. Instituții precum DNSC monitorizează nivelul de maturitate al organizațiilor, în timp ce directive precum NIS impun cadrul legal pentru gestionarea riscurilor. Aceste măsuri vizează protejarea infrastructurii critice și a datelor, obligând companiile să adopte protocoale de securitate riguroase pentru a preveni incidentele cibernetice.