Cristiana Deca, Decalex: De ce serviciul externalizat de guvernanţă cibernetică este o variantă de luat în seamă în actualul context digital?

Ce protocoale de guvernanţă şi supraveghere preventivă a implementat conducerea înainte de producerea unui atac cibernetic? Este prima întrebare la care va trebui să răspundă un CEO şi întreg consiliul de administraţie al companiei pe care o conduce, întrebare de al cărei răspuns depind reputaţia şi sănătatea financiară a companiei, conform unui comunicat de presă remis redacţiei.

Din păcate, avem în aceste zile un exemplu concret chiar în cazul unei entităţi publice din România - Agenţia Naţională de Cadastru şi Publicitate Imobiliară (ANCPI) - care trece prin cea mai gravă breşă de securitate cibernetică înregistrată până acum de o instituţie a statului.

În ultimii 20 de ani, în economia globală se duce o adevărată cursă a înarmării tehnologice. Potrivit datelor Institului Gartner, companiile din întreaga lume au direcţionat anual aproape 200 de miliarde de euro către securitatea cibernetică în perioada 2006 - 2026. Numai în ultimii doi ani, cheltuielile utilizatorilor finali pentru soluţii de securitate au atins praguri ameţitoare: 183 de miliarde dolari în 2024 (aproximativ 169 de miliarde euro) şi 213 miliarde de dolari în 2025 (aproximativ 196 miliarde euro).

Sumele de mai sus au fost direcţionate, potrivit rapoartelor companiilor, în firewall-uri de ultimă generaţie, soluţii antivirus bazate pe inteligenţă artificială, sisteme de detecţie a intruziunilor şi platforme complexe de răspuns la incidente. Paradoxal însă, curba atacurilor cibernetice şi a pagubelor colaterale continuă să crească. Majoritatea organizaţiilor suferă din cauza unei mari vulnerabilităţi, adesea ignorată: absenţa unei guvernanţe coerente a riscului cibernetic. Aici poate fi de ajutor Cyber Governance-as-a-Service (CGaaS), care mută centrul de greutate al apărării digitale din camera serverelor direct în sala Consiliului de Administraţie. Când răspunderea este directă, se presupune că executivii se vor concentra pe cele mai bune soluţii şi măsuri de protecţie cibernetică.

Securitatea cibernetică a fost tratată exclusiv ca problemă tehnică, administrată de departamentul IT. Totul se schimbă odată cu intrarea în vigoare a Directivei Europene NIS2, alinierea la standardele ISO 27001:2022, adoptarea cadrului NIST Cybersecurity Framework şi, mai ales, normele severe privind rezilienţa operaţională digitală (DORA), care impun o realitate juridică nouă în Uniunea Europeană.

Poate demonstra Consiliul de Administraţie că a luat decizii informate, documentate şi proporţionale pentru a gestiona riscul cibernetic, aceasta este întrebarea. Administratorii trebuie acum să gestioneze ameninţările digitale cu aceeaşi rigoare cu care supraveghează riscurile financiare, de piaţă sau de conformitate legală.

La nivelul Uniunii Europene, Agenţia pentru Securitate Cibernetică (ENISA) arată că blocajul actual nu rezidă în lipsa tehnologiei pe piaţă, ci în incapacitatea cronică a managementului de a coordona eficient investiţiile, procesele interne şi responsabilităţile executive.

Criza talentelor

Dacă soluţia este guvernanţa, de ce nu îşi angajează fiecare companie propriul Chief Information Security Officer (CISO) de elită? Uniunea Europeană se confruntă cu o criză structurală de personal calificat. ENISA estimează un deficit de aproximativ 300.000 de specialişti în securitate cibernetică la nivelul blocului comunitar.

Analiza ISC2 (Cybersecurity Workforce Study) plasează această penurie în contextul pieţei globale:

• Forţa de muncă activă în Europa: ~1,4 milioane de profesionişti în cybersecurity.

• Necesarul real de specialişti: ~1,8 milioane.

• Deficitul net estimat: 424.000 de experţi.

Un CISO cu experienţă, capabil să navigheze hăţişul legislativ european şi să vorbească limba afacerilor în faţa board-ului, a devenit o resursă scumpă pentru întreprinderile mijlocii şi chiar pentru multe companii mari cu capital local. Încercarea de a clădi o echipă internă completă de guvernanţă se dovedeşte a fi o strategie nesustenabilă din punct de vedere financiar.

Cyber Governance-as-a-Service (CGaaS)

Modelul CGaaS apare ca un răspuns pragmatic la această criză de talente şi la cerinţele stricte de reglementare. Acesta permite companiilor să îşi externalizeze strategic funcţia de guvernanţă cibernetică, fără a externaliza infrastructura tehnică sau controlul operational, dar obţine acces scalabil la experţi seniori (care acţionează ca un Virtual CISO sau consilier de bord), capabili să traducă riscul cibernetic în indicatori economici şi decizii strategice.

În managementul modern, cele mai costisitoare erori survin din cauza ezitărilor sau a deciziilor politice deficitare de la nivel executiv. CGaaS acţionează ca o poliţă de asigurare strategică, prevenind o suită de riscuri majore: sancţiuni drastice, care pot fi de până la 10 milioane de euro sau 2% din cifra de afaceri globală, răspunderea personală a directorilor, blocaj decizional, în cazul atacurilor, plus consecinţe în amonte şi în avalul businessului.