a&wxx$

3t&3 Wd e8 w3

XI

,r*:**

aau&$#

t}ti un n trl !u!+ t)t) \/ lt t

',,,^"5!a!]c {J/ r #{Das ts

alDuoyed j e] al

KffiW

nuvloH uCI-tltA 31t$v^ nNvS0ngvc ysrHy*t lllv0v NViAYIS0 u00031"{r

I f.i-:' :' ..

t.top4 li ut?'.:.. '

ltolpzuqt 7p

,a

L9I""""of,IleuJoJur oletualsls ur JolaleoJluof, EoJeluaueldul'9'St9I """""""' ""'rJnJSrJ e1 rnlnsundsgr e rS JolrJnf,srJ EeJezrJolruohtr 'S'g

29I"""'""'' rnpdruS lnJpeJ ur eJelrun rJEpJoqE Joun eoJeJn8tsV't't'S09I """"""" """"""""'II aletrrnras ap alaf, rS apuos;ad rolatep

e a{ca1o.rd ap alaiur.lac aJlur JSrJ el mpsundseJ eaJeleJol .t.r.S

BSI "":"1""" "":"""""""" f,srJ el sundspr ap aluelsxaelesaco.ld ur Jolelep e a{ca1o;d ap rolepadse ea;er8a1q.Z.t.g

rsrr el sundsp.r ap el.rndrg'1'7'g""'JsrJ e1 ynsundseg't'S

BtI """"""" uqr8al rnpsaJalur eoJef,rJrluepr

tS [VlaA) rsrJ ap razrleue earezllear n;]ued ar3o1opo1a6'g'g'g621""""""" """"'alep ap xng aorJo nJlued lezrpue ap apedsy'7'g'gszl]ezlpue ap e1e(uasa ere;cnlerd ap r€o1odr1'g'g'g821"""""""""""""""""'i" """"""'3sIJapIezIIEueasndnselllpels'Z't'S6II """"""" ,apuosrad etep, ap pldacuo3 .1.g.9

9II"""'"""'""""""""""" """"""""""'lnlnJSrJ rrJpnlela rS u.rporgrluapr

Inlxeluoo ur eleuosJad rolalep e{calord puurrrd acgrcads epadsy.g'gh0r""""" [VgWg - srsr{puy speJJA pue apohl e.lnleg)

- [gOhlV) rol rolapaJg e rS a;epagaq ep rolrrnpohl enpuy'Z'Z'S00I """"""" "':"""""r"""""""'rslr ep IezIIeuE aladelg '1'7'g

66 """"""""""""""""" 3slu 3p EZrlEuv.z.sI8""""""""' "'JI JolrJnlsrJ Ie lueue8eueru ap FsaJoJd 'I'S

""'II JolrJnf,srJ Inluaua8eue6y .g

1L""""'JolUnJsIJ lnluaua8euBru nJluad aleuorieuJalul apJepuels rS epo1a61 .p

rerierurogur ealEJrJn3asu; roleiueu;og"rad e aJeJnselu ap ue;3o;d rnun eeJrnJlsuof .t.g

82""""""""" 'JolrJnf,srJ lnluarua8eueu uud I$pq.rncasrnlnlueua8euer,u EarEpJoqV - roletrEp e a{cato.ld ap lruapge ppotehtr .Z.t

6I """"""""""""""":""""' .'.............ladeuroJul Ealetrrnras .I.t9I """"""""' """"'arperuroJur orualsrs nrluad FInJsIr pluetua8euel4tr .t

rnlnf,srJ lnluaua8euehtr'Z

alureu[-]uv^nJ

surJdnJIrruno] OlJ alurpaslulounag o8nl

ep alrrurl nes rlnJSrtInruauop ur JaprJ EJ

leuos;ad lelJEJef, n

nJ rrlrqesuodsal ag

@

5.7. Integrarea procesului de i:r::- -- l: r- : - . .. - - ' .' .:'. :rocesele IT ...........1'77

5.7.1. Modelul de manageme:::r:'.r' ' . -:-:: : ,., : --:.i-ea

managementului de rrsc i: ll 1,7 7

181

5.7.3. Analiza transferului datelor personale in contextul mai multorsisteme IT interne gi/sau externe....... ..............'...i..............'.'...181

5.7.4.lntegrarea protecliei datelor in procesul de dezvoltare software .......L82

5.8. Riscuri specifice in cazul utilizirii unei organizalii terle... ..'...'189

6. Registrul Riscurilor .................... ..........................L94

7. Rolul liniilor de apirare intr-o organizafie gi asigurarea conformitifii....2037.1. Rolul liniilor de apirare intr-o organizalie .203

7.1.1. Prima Linie de Apira4e - Managementul OperalionaI............'................2067.t.2. A doua linie de aplrare - Funcliile de conformitate 9i

managementul riscurilor .................... ....................207

7.7.3. Atreia linie de apirare - Auditul intern.......... ........................208

7.1.4. Liniile de apirare pentru proteclia datelor personale ......209

7.2. Asigtxarea conformidlii ............ ..............270

8. Standarde minime de risc informatic aliniate cu strategia afaceriigi cu apetitul definit pentru risc ............., ..2t6

9. Factorul uman.......... .........................222

10. Rezilienla - Strategii impotriva evenimentelor necunoscute,sau cu un nivel ridicat de incertitudine....................... ..................'.'.'..230

12. Termeni, definilii ,,,,,,,,,,,',,,,,,,,.',,23 6

5.7 .2. indeplinire a obli galiilor de rispuns la solicitirile p ers o anelorvizate gi a obligaliilor referitoare la investigafii fpentru protecliadatelor personale)

Societatea nc,.foarte dinamic, r=,dezvoltiri a fost .modalit5lii de cor..noliunea de dista:.:

Pentru a rea..:procesele din cai:,plus, diversitatea :nostru de afacer. :contracarare a e..'.protecfie, devine c.este necesari o ab.

La aceasti e,,'c

proteja aspectele L

segmentului de p..

financiar-bancar, a(

ce privegte aborda:recent o serie de o:gi a sistemele infor:

AvAnd in vedementate metodolc:abordate riscurile,al riscului. Conco:trebuie respectateprocesele organiza.

Pentru a armcpracticile autorititdologie de creare, r

Aceasti carte '

prezentAnd un setevaluarea gi monitcacestora. Integrarealt aspect importaimportante ce fac p

nJelou Jo]lln altsen /nueapnqpg esrr- *=a? uet^elto.topoaqf

'pluerJua aJqrreuraldrur o plrqrsod ce; ao aluegodrurt{euuogut IaJlsE purJaJo 'rupJJnl ps-lncted ad letell U En al luepodur padse 11e

un alsa InlnJsrJ p luaua8eueu ap p;aua8 lnsa:o:d uJ JI rnlnJsu eare-lSalul 'EJolsaf,e

aleseJpe aleoJluoJ Joun eaJellotzep e1 rS runcard'lolgnlsrJ eaJezrJolruotu rS ea;enlezra'earergquapr e1 e1n[e JoA aJ rrferu.to;ur ap IEnpE rS laldruoc retu ]V3 las un pugluaza;d':o1t{eztue8Jo ale Iipllsarau Jolsaf,e JoJnln} ea:eurdruelur ur eurl auef, E}sEeJV

'IJnJSIJ ap e1e8a1 ;olasaco;d E aJezrluarJga rS a:ezr.rolruoru 'eJeaJJ ap arSolop-oJar.u o eJesalau alsa 'JEJuEq-JeDuEuU Inruauop uJ alElol .ro1{q1uo1ne agoqcetdtS alaiutrac nJ JollJnf,sl.t pluarua8eueu rS Ezrleue er8alur rS ezruoru.re E nJluad

'ra{ezrue8ro alasacordnc a1e;3a1ut tS aleluarualdur arJ ES JEsef,eu alsa 'oJEruJn ur"rd 'r$ elepadsar arnqaJle;e1uaua18oJ ep Jolatusrue8ro ep rS alrlelsr8al alaiurrar lualruoJuo3 'rnlnf,srJ IEluaue8eueu ap Inlnplo aledela e1eo1 e;adoJe af, euJalur asacord rS [a1;ncsu alepJoqeIJ JoA eJeJ uI eaurpJo ezrlr.lorrd e n.rluadJ rnlnosrJ e erleue ep rfolopolau alelueru-e1dur pqle ES arnqoJl apiezrueS;o 'eluaaca.rg rJpqurqls alsaJe aJepel uJ puglv

'alrleruJoJur alauralsrs e rS

Jolelep eticalord agSarrud aJ eaal ur pnads ur'aJelualurldns rrie8rlqo ap arJas o ]uaJoJosnporlul pUIIJ'Ellqerrlde erielsr8al rS auralur alaseco.rd'pield ed EeJEpJoqe a1(alud eceaaJ uI aAIleJIJIuuas IJ9JIJIpotu snpe ne art3olouqal rJEqr.urr.l:S alsoJe';erueq-;enueugInJopas nrlued 'ealelrlrlre preoSp;sap rS3 eriezrue8ro erer ug pield ap rnlnluau8asealellllqels ';o1a1ep ericelord toprolerunsuor ericalord ep uri ec alapadse e[alo;de n-nuad rarfelsr8al elqcadsrad urp alr.lods uo8u rS g8nepe as arinlona plseeJe e.I

'eJElrun eJEpJoqe o EJEseJau alsaIf,unle tS puorierado nJlsou Inrpeu rueuoqsa8 es ner8 reru eJ uJ al urp aurlap'a(calordap Jolepoleur ttfplrxaldruoc ea.talSaJl nJ Elepo 'rJnJele Jolalenluala E eJeJef,eJluoJtS edcalo.rd ep rlruqa] rS apoleur gcpcerd ur ruaund ps g8rlqo eu rJateJe ap nJlsouInlnlparu e areuo(cunJ Eunq rS a1a1ep piuluarue aJeJ Jolaloluad ealelrs;arrrp 'sn1dul'alualla4 trglsn[e Ellsa]ou rS axalduoc reru urlep rariezrue8ro InJpEJ urp elasaoo.ldtS 11 alttinlos 'pie1d ap egrirpuoo el Enurluoc a;eldepe ElsEarE ezrleal e nrluad

'Elelnue 1so; e piuetslp ap eaunriou- redezrue8Jo eJEJE ur rS pror-lalur ur Jolelep e aJalrusue;1/arerrunuoJ ap Idpillepoue eJEqurqJS o aJnpoJd as 'eiurcasuoo ldarq 'rar8olouqa1 elinlola lsoJ E IJpllolzapIalsaJE IE lteJlp lellnzal un Jer 'r{an alapadse eleol uI llirulsoJ 'crtueurp aueoJaJellolzap ep saro;d un-r1ur.rd apetep alaurlln ur lnoaJl e eJlseou ealelerJos

aJeJnpoJlul'I

IBIeri:a1otd n.r1-.

JOIaUeosi;

11T"""""".,.

LLt"""""'tt atesaro.

laliezrue6ro ;nrpe: u1 rarli

10

Corelat cu riscul IT, vom prezeitia s. :rn::::::r'.1t1 riscurilor din perspectiva

protecliei datelor personale, atAt in cazul unor pl'oi=c:e noi [privacy by design), cAt 9i

in cazul modificirii proiectelor existente sau r.no:ltorizarri activitSlii de prelucrare

existenti. Abordarea managementului risculur va ir-iclLtde toate etapele relevante, de la

identificare, evaluare, remediere pAni la rnonitorizat'e, concentrAndu-se asupra

mecanismelor de cooperare gi proceselor ce pot fi stabilite in interiorul 9i in exteriorul

organizafiei. Scopul este de a identifica in totalitate riscurile gi a minimiza impactul

acestora.Vom exemplifica situafii frecventintAlnite in practici pentru riscurile IT 9i riscurile

privind datele personale, pentru a evidenlia pagii ce pot fi urmali in stabilirea unor

procese clare pentru adaptarea la noile cerinle Iegale.

Pentru a completa intreaga suiti de noliuni necesare unei organizalii in vederea

unui management de risc eficient, am prezentat aspecte legate de factorul uman 9i roluldeterminant al acestuia in toate activitifile organizaliei, inclusiv a celor de

management al riscului, precum gi cu privire Ia mdsurile care ar trebui luate in vederea

cregterii rezilienlei organizaliei.in afari de legislalia existenti, au fost introduse norme noi pentru a reglementa

aspectele legate de schimbirile tehnologice referitoare la: utilizarea soluliilor de cloud

computing [ghidurile EBAI referitoare Ia cloud computing2, Cloud Act adoptat inStatele Unite ale Americii3J, securitatea informatici [Directiva NIS adoptati de UEa),

serviciile oferite Ia distanli [Directiva serviciilor de plati, dispozilii legate de

securitatea serviciilor de tip internet-banking).Specific pentru aspectele legate de risc, in contextul reglementirilor legale in

vigoare, Autoritatea de Supraveghere Financiari a stabilit in 2015 un set de cerinleminimale obligatorii elaborat sub denumirea de Normas nr. 6/2015 privindgestionarea riscurilor operafionale generate de sistemele informatice. Ulterior, a fost

modificati gi imbunit;Fti prin Norma nr. 4/20L86. Norma stabilegte procese 9i

indicatori pentru evaluarea, supravegherea gi controlul riscurilor operalionale IT.

StrAns legat de riscurile operafionale privind sistemele informatice, trebuie avute

in vedere gi riscurile privind prelucrarea datelor personale. Aceste doui tipuri de

riscuri sunt corelate intr-o anumiti misurS, in special in aspecte ce lin de

1 European Banking Authority.2 EBA/REC/2017/03, ,,Recommandations on outsourcing to cloud sewice providers".: The Clariflring Lawful Overseas Use of Data Act or CLOUD Act [H.R. 4943) https://www.congress.

gov/bill/11Sth-congress/house-bill/4943/text, accesat Ia data de 4 octombrie 2019.+ Directiva (UE) 2016/1,148 privind misuri pentru un nivel comun ridicat de securitate a relelelor 9i

a sistemelor informatice in Uniune.s Norma nr.612075 privind gestionarea riscurilor operalionale generate de sistemele informatice

utilizate de entitifile reglementate, autorizate/a\/izate gi/sau supravegheate de ASF qi Ghidul de indru-mare aferent.

6 Norma nr.4/2018 privind gestionarea riscurilor operalionale generate de sistemele informatice

utilizate de entitilile attorizatefavizate/inregist|ate, reglementate gi/sau supravegheate de citreAutoritatea de Supraveghere Financiari.

Theodor Octavian Adam, Larisa Gibudeanu, Vasile Victor Rotaru

confidenlialitatea :

administrare? zcc=:

tractanfi, furnizorPentru aspec-=

european a fost a--.

RomAniain 2001 :.gi existd gi alti )eg:s

datelor personale s

Convenlia Consili:prisma procesirtt a

De-a lungul t.:unitari a fost nece,

organizalii. Relel'a::

emis diferite ghrdLrr

De asemenea, au foEDPBs ghiduri pent

in plus, releva:'menfionate in Capit

conformitate cu pr€

La nivel europeRegulamentul EU .informatice gi a tel:prin prisma admiri.informatici a prod'.

in RomAnia, pe:

personale este in r

Supraveghere a Prconduitl nu conli:riscurilor.

Astfel, din pers

situaliile practice dpornire pentru ana

inci de la incelunor posibile amerAbilitatea de a idnefavorabile gi de a

z Grupul de Lucr

r e c omme ndati o n / i n d e x-B European Data P

o Regulamentul [Ltehnologia informaliei :

Th

nJelou Jo])n altsen /nueapnqpg esue'l ';=p7 ue Aello lopoaql

'[grrlauraqro ea]ElIJnf,as purmrd 1n1uaue1n5a6J tolrriecrunuoc r( ra{eruto;ur erSolouqalnrluad a:r1au;aqrc njplrrncas Ealeluruar pumrrd lS VSINS pur.u-rd IBB/610Z [gg] pluaurep8a1 6

'prEog uortlalord EIECI ueadorng s'5I02 atJquo]to t Elep EI tesarrE'w1q'ua xapw/uotlDpuawwo)a)

-uorutdo/uorloluawn)op /67-ap4to/acqsn[/na'ndotna.ca//:sdyq ,62 Inlorruv nr]n.I ap Indntg /

EaJIniaIAEJdns nrluad pllqesuadslpur elsa piueproruol ur Euorif,e E ep rS olrqeJoleJau

IEriualod alal ap alrqero^eJ olrrienlrs a8uqsrp E ap rS eJrJrluapr e ap ealelrlrqv'AlllledruoJ feluele un IJaJo]od af, IiplunUodo Joun E rS rc'ugiuluaue alrqrsod,tounEiualsxa .reop aundnsaJd nu InJSTJ Ef, IedeJ leuoriuatu ernqaJl lndaour EI ap Elul

'alEuosJed Jolalep lolilaloJd Er.usrJd urJd JolrJnlsrJ ezrlEue nJluad aJruJodap pund un PluIZaJdaJ sns rctu aleuoriuau alrJnprq8 'nruauop urp arqce:d ag{en1rseJeJaprsuos uJ pugnt rs a;eo3m ur erielsrSel nt rripl[uJoJuoJ EAr]JadsJad urp 'laJ]sv

'JOIrJnlSrJ

EaJaf,npal rS EeJeJlsru[upE 'EaJeJrJrtruepr ap alB8al apadse auriuoJ nu E]rnpuolep rnFpos InlJaroJd ESul 'lEuosJad JaIJEJES nr rolelBC rrJPJJnlard e aJarlSa^eJdnsap EleuodeN eelElrJolnv rS nrueuop ulp eldplrlue aJluJ arinrsrp uJ alse aleuosradJolalep EaJEJf,nlaJd nJluad pllnpuoo ap poJ un'JeJuEq InJo]las nJlued'erueruog u1

'.tolasaco.rd rS JolrrJrAJas tolasnpord E pJrler.uJoJurEeJeJIJnf,as n;]uad nJpef, Inun eaJezIIEaJ purlrqEJs 'rnlnJsrJ rrJeJlsru[upe eursr.ld uudtS piueaalar aJe aJeJuerualSal ElsEatV'GoJef,runuoJ ep Jolr#olouqel e rS arrleu;o;urIliPll;nces earerlJluar IS VSINII e1 aturud nr pugrnr ap ]Eldope 1g lngueueln8aguud sap reur'ruezrp-lepuels e{carrp ur rinJEJlsoJ ne {uacar rSed'ueado.lna Ialru e.I

'JolalEp ericalo;d purArJd aluapazra.ld nJ alelrtuJoJuoJap nJpeJ rnun EaJezrpat lerceds ur ezeapJoqE aJEf,'ruelcnl p p 1n1o1rde3 ur aleuoriuauelapJepuels luns nrualuop ug e(e1s€a1 nc alelruJoJuoJ nJluad alueleloJ ,sn1d u1

'Ud61C ep ateluaualSe; ecrgrcads epadse n-rluad r.rnprq8 efld61ilaJlpr ap 'rode 'rS ,,62 Inlolryv" nJf,n.I ap lndn.rg aJIEJ ep asruo lsoJ nE 'Eeuaruase aC'l apuosrad Jolelep e(calord ap a1e8a1 alenpund apadse n;luad r.rnprq8 alrraJrp sruae ,,62 InloJrUV" nJtn.I ap pdnrg ueedotna Ia^ru EI 'suas gsace uJ lue^alau .rdezrue8to

aJle3 op pcpcerd ut asnd epullslp ro[.rg]ard;a]ur eznEJ urp pJBsaleu lsoJ E EJelruna;elerd;alur JoJEJ e apadse n-nuad r.rnprq8 astua ]soJ nE 'rnlndurrl yn8unl e-aq

'Z00Zqeluetuog ap FIETIJIIeJ 'apuosrad Jolalep e aletuolnE uresacord erusuduud acrzg ;olaueos;ad erioalo.ld el aJeolrJaJal B0I '.tu redo;ng rnlnrlrsuoJ e(uazruo3nes ectlqnd -tolttiectunruol InJopas ug uiplrprfueprJuor eare[alord rS aleuosrad Jolalepearercnlard puurud g)/Bs/zooz E^rparrc rJ re runr 'ptuenale; arfelsrSal EllE rs plsxa rslelsxa e acgroads apadse n;luad '-ln8rsaq 'GOOZI Ltg 'ru ea8al uud 1gg7 uJ Erugr.uoguJ pteluatrtaldrur pulu) lg/9yf 96etlrltelq ur.rd S66I uJ EtEtdope ]soJ e ueado:na

IaAIU el arielsr8al eur-ld 'apuosrad Jolalep ericalo.rd ap a1e8a1 alapadse nluad'Jolalep earernlard ur (uozru"tn;'riuelce;J

-uof,-qns 'nldruaxa apJ rielarcos Jolle earecrldurr rS alep EI rnlnsa3]e eaJeJlsrunupeelSaltrd eJ EaaJ ur rS runca"td 'Jolelep ealelrlrqruodsrp rS ealelu8alur'ea1e1r1e{uaprJuoJ

aJlEf, ap aleaqEa :_:arrlPru.loJur alaua_! :

-nJpur ap InprqS ls i.alrlEruJoJur alarur_ j :

rS rolelaja.r E alElut. ;.

'ssatOuoc'mnn//.s:' ,

ep uli af, allacs:ap undrl pnop a_s

aln^e arnqaJl'el:t'.';1 aleuorjer;;

rS asaco.rd alSa 1 .::1so; e 'rortalln 'ar _

puurud SIOZ/gaiur:er ap les ur- .ur a1e8a1 JolrJqtua.

ap a1e8a1 glilzoc-.'[rllfl aP pleldopr; ;ug leldope try p:-

pnolr ap roprjnlos :eluarualSar E lt-u-;-

eeJepa^ ur elErlJ I] Jep Jola3 E z\tST-.'_l

1n1o.l tS uEuln In,to---leeJapal ur r{ezru::

Joun EaJrlrqEls Lri ._

alrJnlsrJ rS ;1 a1r-rn:s

lnlredurr ezrurrulLr;

InJorJelxa ur rS 1n:cterdnse as-npuV-rlLl.e1 ap'alueaalel aiaca;e;rn1a;d ap IIipritS ggr '[u8rsap lq ,irrerrtpads;ad urp -roil

ttara)n porlu IteriezrueDlo lnlpe) ul to l

12

gi dezvoltarea afacerii, fiind necesare n-.=,rr..-..r-: - -. - ,-- . .al'ora potenlialele riscuri

si fie identificate gi si fie linute sub conrroIndiferent de gradul de maturitate la c.rlc prrcc-;... .i: l-rlall?Eement al riscului a

ajuns, acesta se poate dovedi foarte ineficient daca n,,i se :ile cotlt de un factor critic in

tot acest tablou, gi anume cel uman. Abordarea corecta gi preventivi in aceastd privin!5este la fel de importanti, iar experienfa ne-a dovedit frecvet-it ci misurile de prevenire

eficiente au drept consecin!5 reducerea costurilor opera!ionale. Lucrarea va infdliga

aceste concepte precum gi bunele practici ce pot fi adoptate pentru a obline un mediu

controlabil.Managementul organizaliei cu ajutorul unor procese clar definite, bazate pe

bunele practici folosite de intreprinderi gi institulii mature, este cel care face posibilS

infelegerea riscurilor gi reducerea lor prin instaurarea controalelor potrivite. In lipsa

acestora, este evident ci misiunea reducerii riscurilor ar fi imposibili. Operatiunile

organizafiei, precum gi implementarea schimbirilor necesare nu se pot realiza in

absen!a unor procese potrivite cu obiectivele dorite'Pentru a oferi un set complet de informalii care sd poati fi utilizate ;i si produci

rezultate imediat, lucrarea igi propune si prezinte cAteva tehnici de bazd privind

optimizarea proceselor. Vom prezenta cunogtinlele minime necesare pentru identi-

ficarea, definirea, implementarea, evaluarea gi optimizarea fluxurilor de informaliicare constituie procesele operafionale. Acestea vor acoperi atAt aspectele operalionale

din organizafie, cAt gi aspectele interacliunii acesteia cu persoanele fizice ale ciror date

personale sunt prelucrate [de exemplu, clienfiJ, ori cu furnizori de servicii [de exemplu,

sub-contractanfi, producitori).Cititorul va avea Ia dispozilie informalii cu ajutorul cirora si inleleagi modul in

care mai multe standarde gi practici pot fi utilizate pentru a realiza din procesele 9i

elementele de control implementate un ecosistem informatic orientat citreperformanli gi cu posibilitatea de optimizare continui, pentru a reduce cAt mai multnivelul riscului operalional.

in manrgementul riscurilor este crucial ca evaluarea riscurilor gi identificarea

eventualelor vulnerabiliteli se se realizeze in TOATE activitilile organizafiei. Doar

astfel este posibilS luarea unor misuri corecte care si ajute la menlinerea sub control

a riscurilor operalionale.

Theodor Octavian Adam, Larisa Gibudeanu, Vasile Victor Rotaru

in contextul ir: --

menteazd sunt din ;=cu ajutorul ciruia siposibilitatea de a ec:

trebuie sI fim capar'noastre. Astfel, respi.trebuie si aiba o pa:evaluate, monitoriza:

Managementul :abilitatea de a puneinstan!i, manager-nelorganizaliile ar treb.chinezi,limba unei c

definegte criza insea:

A. Cum a incepStudiul manage:

R5zboi Mondial, des

protejeze indivizii s:

sunt legate de na;ternoroc, riscul i-a ingri'invdgatul pluridiscinnumirul de rezultar,matematicienii Fern:peste mai putrn de i.

,,future" pe prelul o:

pentru mai multe prr

to Georges DiotrneInteruniversi[r ResearchDepartment of Finance, H

1t Gerolamo Carcl

G ero I o m o Ca rdo no acces a

nJeloE ro]lrn alrsen /nueapnqgg es I e-t -L ecv uetAelto lopoaqlIt

16 I 0Z tsnSne / EJ lr?salre ouDprD)-owDlorag

/tytnr/6Lo'orpadoym ua//:sdllq ,,Erpadop{lua aa{ aqt 'urpadr>1r,11" - ouepre3 orueloraJ rr'EpEueJ'[EaJ]uol 'auuaqlEJ-atulEs-algl '000t 'lEgrluotA JgH 'arueurcJo luarul;edag

pue [JlgUUl]l uotlepodsue.rl pue scrlsrSoJ'slro^\taN asr-rdlalug uo artuo3 qrreasag {1rsra,rrunra1u1

/I-t t0Z-JTSUSl3 ',,anbr1r;3 puE uortruqaq 'fuo1sr;1 :guatua8eueyl IsrU" 'auuorC sa8roag 61

alJo?qJtt eeJeJJnl EJtlqnd Jarlaqleg srno.l'006I el'alof,u3E esnpoJd allnl'u rEr.u nJluadapEJluof, eaueruose alerurJd urrsE8 oBeJrqJ el'ygBI ul 'lnlnzoJo InieJd ad ,,atn1ng"drl lce;luoc InurJd lelsole elsa 'gtll rnpue eruodef ur 'lof,as un ap udnd rctu a]sadJet 'JolIiPlIIIqeqoJd euIJlJop aJdsap nppuodsaJoJ e[ap IeJSed rS lEruJoC rruarJrJetuale{u'eal-ll1x IE Inloras ul 'alellnzeJ ap lElol Inrerunu rS elrqeJoleJ alellnzal ap InreunuaJlulp InUodEJ ad eJ esues eaur;ap rrouEpJEJ orueloJas JBurldrJsrprJnld InlEipAuI'Eel-lAX Ie Inlo3as ul 'luatueo ad lEurf,sEJ e-r druq rselare uJ rS leJoIuBUJ E-r InJSTJ'JoJouap rolrJnloI Eriuede el ep 'ruE ap IIru e( 'JolriplrlrqeqoJd rarJoa] eaJalspu ep ale8al lunsnluatuop Inlsef,e alIuIrFppU'0rJolaluaproce errr.4odruJ elrrueduoJ rS rrzrlrpur aza[a1o.rd

Ps elruetu alrJEJnSrse n3 druq llnur op lerrose lsoJ E Inlrerqns r6ap lerpuow IoqzEueallog IE-ap Iar Ednp erqe ArlJaJa lndaJuJ e rnlnJsrJ rnlnluaua8eueu Inrpnls

etndaJul E run] 'v

'csr.r rS lgl alelrungodo lgle eurueesur EzrJJ elSeuuapaJ Inuuas llnieJdau ap JnEZal un rriplrue(Un ]rnJpp B oJ rripzrlr^rJ raun Eql'ull'pzeurqf,eqtull ur eqeaSap nN 'aJrJrpn4 al ps rs eJeJaprsuoJ uJ er al ps rnqoJl Jp alrdezrueSroaJeJ ad rolipltungodo EeJef,IJpuepl rS aundnsa;d rnlncsr.r Inlueua8eueru 'eiue1sulpurpln uJ nN 'alruJauaq/alasuadruocar rS a1;ncsrJ EiuBIEq uJ aund e ap eoletrrltqeaJdsap rS nrqrlqca e.ldsap'rueeunds runJ e$e'a16aqrol eu rnlnJsrJ plueua8eue6

'eletpeua;/aleuorinlos'1nzec alse apun'rS alezrJolruotu'alenpna'eleJurluapr luns alrJnJsrJ aleo] ec ern8rse as ps rS pllpe aJedrf,rued o pqle ps arnqaJlInlnJsIJ 1e luerua8eueu ap tnlnsaoo.td EeJeluaualdur nc rrlrqesuodseJ 'laJlsv'aJlseoualeseco-td rS a[iglrlrpE aleq u1 poqcerd p]seaJE lupJ8atur ps rlrqEdEl I'uU ps emqaJlelseaJe nrluad gsul 'riglrunpodo rS rJnJsrJ aJlul EiuEIeq Erqrlrqoa E ep ealelryqrsodeJaJo au InInJSIJ lnluaue8eueyq'ta{ezruE8Jo aluriJsrJ r.ueuorlsa8 gs ern;gr p;ogn[e ncluerua8eueu ap ruelsls un ap elolau uane 'exeldruof, rer.u af, uI aJ urp luns pzealuaur-eldur al Ealsaf,e arec ad aleseco.ld rS 1e: agrieaueBto lgle aJef, ur InlxaluoJ ul

rnlnJsrJ Inlualuefleueytr' 7

IOJlUol qns Ea,lar: i.;eoq 'rarjezrue8-rc

EaJEJrJquapr rS -ro'

llnlu retu lgl aln'J=-arJEJ leluauo t:_,rS alasaco"rd urp EZ

ur Inpou e8ealalL::

'nldruaxa apJ rr: r_i-;,alep JotEJ alE altz:-aleuo(e;ado alall-.r{eu;o;ur ep lolt-:-lluapl n;1uad a_l:s.pur.Lud EZeq ap .--

eonpord ps rS alez '-

ur ezrleal lod as r ..

apunrje.radg'pllqls.esdrl u1 'a1mr,r1od ,:c

elqrsod aleJ e,rei i;-ad alezeq 'alruga:

nrpeu un auriqo e r,_

eSlipJuJ eA earerlnlerruaaerd ap alunsEiPiu1nlrd ptseare r-rr E..

ur JrlUf, JolJeJ un ape rnlnJsrl 1e 1uaua8:

rJnf,srJ a1a1e(ua1od e.

tariezruebro ;nlpe: u1 rarje

o\

14 Managementul riscului, protec!ia datelor personale Si securitatea informaliei in cadrul organizaliei

de la spdculation". Din secolul al XX-lea, cdnd American Association of UniversiQt

Teachers of Insurance publici primul numir din revista ,,The Journal of Risk and

Insurance", gi pAni in zilele noastre, cAnd reglementirile legate de managementul

riscului includ deja acordurile Basel gi Solvency, aceastl disciplina a cipltat din ce ince mai multd importan!5.

in secolul al XXI-lea se spune ci ,,Datele sunt noul aur", ceea ce face din

managementul riscului informatic o preocupare vitalS oricirei organizatii.

B. Ce este managementul riscului?Conform standardului ISO31000, riscul se definegte ca ,,efectul incertitudinii

asupra obiectivelor". Aceasti exprimare a apirut in anul 2009 gi a schimbat modul de

percepfie asupra riscului. Daci anterior conceptul de risc, definit ca ,,probabilitateaunei pierderi", indica doar consecinlele negative ale incertitudinii, odatd cu noua

defini[ie s-a addugat gi sensul unor consecinle pozitive. Obiectivele pot avea,

bineinfeles, diferite dimensiuni - financiare, ce !in de respectarea normelor in vigoare,

de siguran!5, de protecfia mediului sau de sinitate, gi pot fi aplicate la diferite niveluri:

la nivel strategic,la nivel organizafiona], la nivel de proiect, produs sau chiar de proces.

in general, riscul este caracterizat ca fiind produsul dintre consecinlele unui

eveniment (impactul) gi probabilitatea ca acel eveniment sd se materializeze.

Astfel, avem:

R=PxlUnde:R = riscP = probabilitateI = impact potentialin mare, relalia dintre risc, probabilitate gi impact poate fi descrisa de graficul de

mal los:

Existi o rela!;=pe misurd ce imp:. -.

cregte. Privind gra . -

ale impactului saLr =.

acceptabili. Aceas::risc. Este misura .:.

ci meritd 9i benei'i;.,relativ improbabi.=organizalie, ei tre: ..

cu strategia afaceri.,

Pentru manag.:a$a cum este preze:.

o ameninlare si er.:

I-ar avea asupra o:nalitate directi, ir-r i.r

R=AxVxIUnde:

R = riscA = ameninfare.V = vulnerabilit.I = impactul pot

C. Procesul de

Putem privi prodin mai multe sub-p

sub-procese vor fi p:

ansamblu este nece:

aplicabilitat e. Fig u r t

alriscului.

12 NIST Special Publ

:o(E

a

lllr

Probabilitate lP1

Figura 2.7. - Definifia riscului

TheodorOct:. =- -,-- -. ,.:.-,:-.' - ..;ieVictorRotaru

nrelou Joprn alrsen /nueapnqpg es,?- .-::r' uel^e]lo Jopoaql

'sluaussassv {sru SurtrnpuoJ loJ ap:n! - 0 t-008 uortertlqnd IErrads ISIN zr

'rnlnf,srJ Ietuatrra8eueru ep mFserord e nlquesue ap eeut8ewl plulzoJd 'Z'ZDJnfill 'elEtrlrqetrldp

ap Inlnlualuop e IS InplxoluoJ E aJa8eleiuJ Eunq retu o nJluad eresacau alsa nlquesuEap trur8erur e aJef,npoJlur o FSuJ'g 1n1o1rde3 uJ nrlElep ur eleluazeJd g rol asacord-qnsalsaJv'nnulJuof, uraS.lnored al ES elnqaJl a.lec ad edela nes asacord-qns ellnr,u rEru urp

lBruJoJ nJrnl op nJpeJ un puru ef, rnlnosrJ p.rluaua8eueru op psacord urrrd ura1n4

InlnJslr IB tuarue8eueru ap FsaJoJd ')

pduatod ppedun = 1

EelelrlrqEJauln - Aea;eiutuarue = y

ssrJ - u:apun

lx/lxf=fl:pou InJolpruJn ur'glcarrp alelrleu

-odrodord o ec tS eurudxa aleod es erirurgap ElseaJV'ra(ezrue8ro e;dnse eaAE JE-l

luatulua^a ]sa3e oJef, ad ppedrul ap IS alelrlrclpJeuln^ o ezelEoldxe ps erefuruarue oEr ealetrlrqEqord ap arioun; o etsa Inrsru .0t-008 dSJSI^I ep Etetuazard elsa runc eSe

'Elualellqf,a'arirurgap plp o rS EIIIn e5a'crleuuogur rnlnf,srJ pluaua8euEru nluedrrJef,eJe e€a1e;1s nc

tS cqeurro;ur JsrJ ap erurunu alepJepuels no ernlp8al uI ilugap arnqeJ] Ia ,edezrue8;o

o-.t1ul'tErrpap plolrdec ugErel ad suosap rJ eA rsrJ n-4uad FlEedV.elqeqordur AneloralBJepIsuoJ'aatle8au aiutcasuoc alelenluale osaSpdap elelda$e alrroueuaq IS EllJaur pJepaJf, af,aJBoap JSIJ ]ltunuE un atunse rS; es sndsrp alsa EAeulJ aJeJ ur EJnsEru alsg 'f,srJ

el ,,lllade" Fllwnu lsog e 5ge;3 ad eq.lno o ef, Eleluaza;da.r 'pllrull p$ealv 'ppqeldacce

Elltull ldarp plndacrad a.leopl o afa5pdap 1nlsrr'rol rnpsnpord a1e nes lnppedtur a1e

'lfPllllqeqo;d ap ueur tJolEA nJluad ec mlur eleod as 'sns IEur ep pcge.r8 purAIJd 'a1Sa.n

tSndxa ualuns aJeJ el pcsr.r rs'csarc ealelrpqeqord rs priualod ppedwr ac e.tnseru ad

- eletlllqeqo.rd rS tcedurt tS rsr.l artul etElrleuorirodord Fparlp ap arielar o Etslxg

L'- t) -

ap lncqe.r8 ap ESr,its.

'azazllet)a-=

rnun e;ajulcasrroJ:.:'saoo.id ap Jerql nes sl:rtnlen ru allJeJtp E[;_:'a;eo8rn ut JoIaLUJo.: i

'ea,te 1od a[eArlJa _

enou nJ Plepo ,rrui:'

eatelrlrqeqo;d,, e: I .;

ap lnpou ]equtrqls i

rrurpnlruaf,ur Inlla_la

'rriezr ueE.r

urp eleJ a3 eael ,, i:

ur at urp lelpdpc e gu:

lnluaua8eueu ap atEpue ISIU 3o 1eu;nof ;[lrstaaru2 lo uo4nrso:

SIrnln)su ;nluar-ua6eue gr,laliezlue6ro lnrper ul lqrtnu-

16 Managementul riscului, protectla daielor personale $i securitatea informaliei in cadrul organizaliei

Figura 2.2. - Procesul de management al riscului

D. Tipuri de risc

Existi mai multe metode de a implrli riscurile in categorii precum interne 9iexterne (mai precis, endogene gi exogenel3), sau precum topuri ale celor mai impor-tante x tipuri de risc care afecteazi o anumiti industrie. Am ales categoriile principale

de mai jos, considerAndu-le cele mai potrivite pentru studierea gi incadrarea risculuiinformatic in industria financiarS.

Riscul strategic se manifesti cAnd strategia organizaliei devine ineficace, iar dinaceastl cauzi afacerea are de suferit prin neatingerea obiectivelor. Cauzele din care

acest risc poate si apari sunt multiple: intrarea pe pia!5 a unui competitor nou 9i

puternic, o tehnologie noui, cregterea semnificativl a costului anumitor materiale etc.

Riscgl de conformitate se referi la sistemul de reglementiri din lara 9i din

industria in care activeazd, o organizafie. Daci nu sunt respectate, afacerea nu are viali

13 D. Anthony Miles, ,,Risk Factors and Business Models: Understanding the Five Forces ofEnfrepreneurial Risk and the Causes of Business Fhilure", Universal-Publishers, (207L).

Theodor Octavian Adam, Larisa Gibudeanu, Vasile Victor Rotaru

lungd. Chiar dac= . -Vlgoafe,aceSte:S--.cu care firma ::=: .

investeasci in s--.. --.civile, care ridi:1 :.Iegale, riscurile :. .

conformitate,Riscul operatiot

ele pot egua sau ::-interiorul firmel c=:natural. De cele n'.este inclus in ace:--:=

cu toate celelalte :

personale sunt inc. -Riscul de imagi

unui produs defec- .

intr-un timp indel:::.risunet gi relevai.:clienlii firmei din ca -

reputalie, uneori ci.Riscul financiat

veniturilor comprc:intri gi ies din firnr:

Vom reveni as';rmai sus in capitoleie

Thr

n.relou Jo])n alrsen 'nueapnqpg estrel '[riepy uetAe]lo Jopoaql

'IedeuJoJul Ilipq.rnoas e;dnse agrfecqdrur pugnlueJoe'eJeouelln elalolrdeo ur sns retuap rJnf,srJ ap agrro8alec rS 11 ag.rncsrJ a4urp;olaiuapuadapJalur erdnse rualal tuo1

'agnrq a)enueug u"pr"id,"u., ra,p"dsred u1p'nlduraxa ap !u;g urp sar rS p4u1eJef, Iueq ep ellJnxng e1 lercads uJ EJaJaJ as JEp 'ealsaf,E ep asruo-rdruoJ JolrJnlrualp nes JolrJnlsoJ ppedur ur.rd u.lo8aleo allelalal ap rS 1e8e1else JETJuEuU InJsrU

'rrJaf,eJe pleleJ Jerql rJoaun'arielnda.rap aJelu pualqo.rd o etaua8 aleod epeaJv'JrlauJaqr3 3ElE rnun ezneJ urp rauJrJ rrfuarlca;dsap alep ep e;e8tnos o alsa ra{eu;o;ur ealelrJnf,as n.Euad luelalal rS launserap 'lualJa^U nlduraxe ug 'rz p.rn8urs o-J}uJ aprard aleod as.rep le8unlapug drurl un-Jlural(am.rlsuol as punq erietndau 'raruJrJ lelualur saco.rd rnun IE rJo paJap snpo;d rnunp 'alrrte8au tdprtcqqnd 1ntellnzpJ g aleod (puorielnda.r nes) eur8erur ap Intsrg

'erro8alec Elseaf,e u! asnllur luns apuos.ladJolelep erirelord ep e1e8a1 rJnJSrJ autunue 'easepv 'ruo8alec alplaloJ alpol nJeyaiuapuadepJalur eJepal urp aledprs mqaJl JE nu Jep'auo8alec plseaf,e uJ snlJur elso

[11 lncsr.r nes) ra{eutogur e€olouqo] op lereua8 InJSTJ rJo alpru retu alaf, eC .leJnleu

nJlsezap un IJo luaJnJ ap pued o unca;d euJalxa aluaruruala ap rS rcp rauJrJ InJorJalururp aualsrs nes asaco-ld'ruarueo ep aleznef, g lod a1g 'rJoJa af,npord nes ensa 1od a1e

ts arec 'ra{ezrue8ro ap rz nf, rz ap apiplrrrrpe a;dsug alsaar.rd puorierado Inlsru'elelrluJoJuos

ap ImsIJ ug eged eJetu ur elelf,aual luns alpuos.lad a1a1ep purlud alrJnf,srJ .ap8al

agtitzodsrp no r$gt1ru.lo;uoc errqcadsred urg 1pru reru Jerr.lf, ezrtu pllplJ a-ler lalurnesaco;d nes IzuaLuE ap InJSIJ g8nepe ag 'ezea[eluene o aJEJ rJEqr.urr.lJs ur eJsBe]sa^ural Es lol uJ 'rJnpuoJ rS es;nsa; rou pueJole 'azaru;o;uof, as ES arnqeJl EruJU aJEJ nJ'JolrrA ur rTn8ar rou ep rarirrede InJSTJ slsrxa rS rr.rpqurqcs asndns luns ealsaJe ,a;eo8ur

ug rolln8ar 15;oy8al JoJnlnl ezeeuJoJuoJ as EruJrJ 1ep ]uetuotu un el plep rerq3 .p8un1

rnlnlsu lnluaLla6eueyl

Jo salroj ",.,,

ar, -.,

piem e;e nu Eara::-ulp IS erei urp r..:'3le alPrJalEru lot..--.tS nou -rolrladuo:aJer urp alaznE] _..

ulp JeI 'aleogaut ;-.

InlnssrJ ea-IEJpEl":.elednurrd a1rr.ro3;_:-rodrur reur Jolal .'rS au.ta1ur tunf,a,rc

reriezrue6ro lnrpe: u1 rarje LL

3. Managementul riscului pentru sisteme informatice

Managementul Riscului Informatic [Mnllt+ poate fi definit ca ansamblul eforturilor

depuse in vederea combaterii ameninfirilor, a vulnerabiliti-tilor gi a c6nsecinlelor

datorate datelor neprotejate. Acest concept cuprinde managementul riscului in

proteclia datelor.Pentru a simplifica lucrurile, vom folosi definiliile care urmeazi. InformaFals este

componenta unui proces din activitatea organizaliei [flux de informafii) suslinut de

tehnologie. intreg ansamblul de procese din activitateaorganizafiei, tehnologia pe care

acesta se sprijini, roluri gi responsabiliteli pentru transformarea informaliei [adici de

r ealizar eaactivitililor procesului) il denumim sistem informaticr0.

Atunci cAnd sunt evaluate riscurile unui sistem informatic, analiza de risc porneste

de la vulnerabilitalile acestuia. Sunt evaluate potenliale modalitSli de atac al sistemului

informatic gi, in cazul in care se observi ci atacul ar putea avea succes, sunt luate

misurile necesare pentru a impiedica sau intdrzia reugita acestuia. Dinamica

incredibili cu care noi tipuri de amenin!5ri la adresa mediului nostru de activitate apar

[aproape zilnic) ne obligi sI luim decizii din ce in ce mai dificile 9i firi vreun precedent

pe a cirui similitudine si ne bazim.Evolulia tehnologiei gi cregterea mobilitigii utilizatorilor determinl ca delimitarea

intre viala profesional5 gi cea personalS si fie din ce in ce mai greu de realizat. in acest

sens, este necesar si intreprindem acliuni care si ia in seamd ambele perspective, atAt

cea profesionalS cAt gi cea personal5, firi insl a le afecta independenfa. Suntem in

situalia unei schimbiri de paradigm[ privind securitatea informaliei 9i de aceea este

necesar si avem o abordare holistici privind managementul riscului.

in acest context, avem nevoie de un sistem de lucru simplu 9i eficient care si ne

asigure eficacitatea eforturilor de proteclie a datelor. Practicile in acest domeniu ne

1a Managementul Riscului Informatic [MRI) - IT Risk - definilie - https://en.wikipedia.org/

wiki/lT_risk; ittp://www.opensecurigtarchitecture.org/cms/definitions/it-rlsk, accesat la 10 octombrie

20L9.rs Informalie - definilie - https://ro.wikipedia.org/wiki/nformaa/oCB0/a9Bie, accesat la 10 octombrie

2019.16 Sistem informatic - definilie - https://ro.wikipedia.org/t'iki/Sistem informatic, accesat la

10 octombrie 2019.

Theodor Octavian Adam, Larisa G5budeanu, Vasiie V ctor Rotaru

demonstreazi ci es

cadrul de Iucru pen:procesului), cAt gi :abordare simplific::ci proteclia datelo: .

din urmi delinAnc :

datelorJ. Astfel, r'::managementul ns-informaliei intr-u:rconformitate cu le:.,

:,,r,,r 3.L, SeCUfiE

Si incepem pr.:sale de activitate s.

confundati.Securitatea inio:

matice de accesul ne

rizati sau distruge:Securitatea informa:.practici, proceduri, s

tehnice care, impreuiSecuritatea info:

- cadru de lucru

- dezvoltare de :

- campanii de cc

- dezvoltare de r

- continuitatea :

- sistemul de m:

- analiza de risc,

- ghid de bune p

- confidenlialita

- management i

- plan de securit

- conformitate.

- implementare

- gi altele.

The