M5EVALUARE FINALĂ & PLAN DE ACȚIUNE
1 / 10
Meniu Comun Modul 1 Modul 2 Modul 3 Modul 4 Modul 5 Blocul 6 Livrabile
Pro-Lex IT · Modulul Final · Certificare
Modulul 5
Evaluare Finală
și Plan de Acțiune
Testul final acoperă toate cele 4 module anterioare. Elaborezi Planul de Acțiune Organizațional adaptat realității tale. Primești certificatul de absolvire al seriei complete de training.
5.1
Test de evaluare finală — 30 de întrebări din toate modulele
⏱ 30 min · slide-urile 1–3
5.2
Elaborarea Planului de Acțiune Organizațional
⏱ 35 min · slide-urile 4–7
5.3
Sesiune Q&A și concluzii · Certificat de absolvire
⏱ 25 min · slide-urile 8–9
5.1 · Test de evaluare finală
Test final — Întrebările 1–10
⏱ 30 min total · 30 întrebări
📋 Instrucțiuni: 30 de întrebări organizate pe 3 slide-uri (10 pe slide). Selectați răspunsul corect pentru fiecare. Scorul final și analiza pe module apar după ultima întrebare. Minim 60% (18/30) pentru promovare. Nu există limită de timp — puteți reveni la slide-urile anterioare.
Î 1/30
M1 · Securitate Cibernetică
Care sunt cei trei piloni ai securității cibernetice (triada CIA)?
  • Confidențialitate, Integritate, Autorizare
  • Criptare, Izolare, Autentificare
  • Confidențialitate, Integritate, Disponibilitate
  • Conformitate, Inventariere, Auditare
CIA Triad: Confidențialitate (datele sunt accesibile numai persoanelor autorizate), Integritate (datele sunt complete și nemodificate neautorizat), Disponibilitate (sistemele funcționează când ai nevoie). Cei 3 piloni ghidează orice decizie de securitate.
Î 2/30
M1 · Securitate Cibernetică
Un angajat primește un SMS: „Coletul tău de la Poșta Moldovei a fost reținut. Taxă vamală: 15 MDL — plătești la: posta-md-livrare.ru/plata". Ce este aceasta?
  • O notificare legitimă de la Poșta Moldovei
  • Un atac de tip Smishing — phishing prin SMS
  • Un email de marketing agresiv
  • O eroare de sistem a operatorului de telefonie
Smishing = SMS + phishing. Semnele clare: domeniu .ru în loc de .md, cerere de plată prin link extern, urgență. Poșta Moldovei nu solicită plăți prin link-uri SMS. Accesezi direct posta.md din browser pentru a verifica orice colet.
Î 3/30
M1 · Securitate Cibernetică
Care este cel mai eficient singur lucru pe care îl poți face azi pentru a-ți proteja conturile online?
  • Instalezi cel mai scump antivirus disponibil
  • Îți schimbi parola la fiecare 30 de zile
  • Nu mai folosești rețele Wi-Fi publice niciodată
  • Activezi MFA (autentificarea în doi pași) pe email și pe sistemele critice
MFA blochează 99,9% din atacurile automatizate de tip credential stuffing (Microsoft, 2023). Este gratuită, durează 5 minute de configurat și oferă cel mai mare ROI de securitate per efort investit. Antivirusul, Wi-Fi-ul și rotația parolelor sunt și ele utile, dar niciuna nu se apropie de impactul MFA.
Î 4/30
M1 · Securitate Cibernetică
Ransomware-ul a criptat fișierele organizației tale. Care este singura resursă care poate garanta recuperarea fără a plăti răscumpărarea?
  • Un backup izolat de rețea, actualizat și verificat periodic
  • Un antivirus premium cu funcție de decriptare
  • Negocierea cu atacatorii pentru reducerea prețului
  • Repornirea repetată a calculatoarelor afectate
Un backup izolat (offline sau în cloud separat) este singurul lucru pe care ransomware-ul nu îl poate atinge. Antivirusul nu poate decripta fișiere criptate cu algoritmi puternici. Plata nu garantează recuperarea (40% din cazuri — cheia nu funcționează). Repornirea poate agrava situația.
Î 5/30
M1 · Securitate Cibernetică
Ce înseamnă tehnica „pretexting" în contextul social engineering?
  • Atacatorul trimite un email cu text pretins oficial
  • Atacatorul creează un site fals identic cu unul legitim
  • Atacatorul inventează un scenariu fals (ex: „Sunt de la IT") pentru a manipula angajatul să dea acces sau informații
  • Atacatorul încearcă parole comune în ordine
Pretexting = crearea unui pretext (scenariu inventat) convingător. „Sunt de la firma IT și am nevoie de parola dvs. pentru mentenanță urgentă" sau „Sunt auditorul Ministerului Finanțelor — aveți nevoie să îmi dați acces imediat". Nicio firmă IT legitimă nu are nevoie de parola ta.
Î 6/30
M2 · Protecția Datelor
Conform Legii nr. 133/2011 și GDPR, care este termenul pentru notificarea ANDPDCP în cazul unui incident cu date personale?
  • 7 zile calendaristice de la producerea incidentului
  • 72 de ore din momentul în care operatorul a luat cunoștință de incident
  • 30 de zile după finalizarea investigației interne complete
  • Imediat, în timp real, prin alertă automată
72 de ore — termen strict conform art. 33 GDPR și Legea 133/2011. Calculul pornește din momentul în care organizația (operatorul) a luat cunoștință — nu din momentul producerii. Puteți trimite o notificare preliminară dacă investigația este în curs, cu completare ulterioară.
Î 7/30
M2 · Protecția Datelor
Care dintre următoarele date este considerată „categorie specială" (date sensibile) conform GDPR și Legii 133/2011?
  • Adresa de email și numărul de telefon
  • Numele și prenumele unei persoane
  • Data de naștere și adresa de domiciliu
  • Diagnosticul medical, orientarea sexuală, datele biometrice
Categoriile speciale (art. 9 GDPR) includ: date de sănătate, biometrice, genetice, despre rasă sau origine etnică, opinii politice, convingeri religioase, orientare sexuală, apartenența sindicală. Aceste date necesită temei legal suplimentar și protecție sporită față de datele personale obișnuite.
Î 8/30
M2 · Protecția Datelor
Un beneficiar solicită în scris ștergerea datelor sale din sistemele organizației. Care este termenul legal pentru răspuns?
  • 30 de zile calendaristice, cu posibilitate de prelungire motivată cu încă 60 de zile
  • 7 zile lucrătoare de la primirea solicitării
  • Imediat, în aceeași zi
  • Nu există termen — organizația decide când răspunde
Conform art. 12 GDPR și Legea 133, termenul de răspuns la orice cerere a persoanei vizate (acces, rectificare, ștergere, opoziție) este 30 de zile, cu posibilitate de prelungire cu până la 60 de zile suplimentare în cazuri complexe, cu notificarea persoanei despre prelungire.
Î 9/30
M2 · Protecția Datelor
Care dintre următoarele practici respectă principiul „minimizării datelor" din GDPR?
  • Colectezi cât mai multe date posibil pentru a fi pregătit pentru orice situație viitoare
  • Colectezi datele și le stochezi nelimitat — niciodată nu știi când sunt necesare
  • Colectezi doar datele strict necesare pentru scopul specific declarat, în cantitatea minimă necesară
  • Colectezi date pentru scopuri generale nedefinite și le folosești oricând
Minimizarea datelor (art. 5 GDPR): datele trebuie să fie adecvate, relevante și limitate la ceea ce este necesar pentru scopul specificat. Dacă pentru un serviciu ai nevoie doar de nume și email — nu colectezi CNP, adresă, telefon. „A fi pregătit pentru orice" nu este un scop valid.
Î 10/30
M2 · Protecția Datelor
O angajată ONG copiază fișa unui beneficiar (cu CNP și diagnostic medical) în ChatGPT pentru a genera mai rapid un raport. Ce problemă juridică ridică această acțiune?
  • Nicio problemă — documentul rămâne intern și ChatGPT nu îl publică
  • Transfer ilegal de date personale (inclusiv date sensibile) pe servere externe fără temei legal, fără consimțământul beneficiarului și fără garanții adecvate (GDPR art. 44, Legea 133)
  • O problemă minoră de confidențialitate care nu atrage răspundere juridică
  • Este permis dacă angajata șterge conversația după
Datele introduse în ChatGPT (versiunea gratuită) ajung pe serverele OpenAI din SUA fără garanții GDPR. CNP + diagnostic = date personale + date sensibile. Transferul este ilegal conform art. 44-49 GDPR fără mecanisme de garanție. Ștergerea conversației locale nu elimină datele de pe serverele OpenAI.
5.1 · Test de evaluare finală
Test final — Întrebările 11–20
Î 11/30
M3 · Politica AI
Ce înseamnă „hallucination" (halucinație) în contextul instrumentelor AI?
  • Sistemul AI refuză să răspundă la întrebări sensibile sau controversate
  • AI-ul afișează imagini aleatoare neașteptate în interfață
  • Sistemul AI funcționează lent din cauza suprasolicitării serverelor
  • AI-ul generează informații false care par plauzibile — fapte inventate, articole de lege inexistente, surse fictive
Hallucination = AI-ul produce cu mare încredere informații complet false. Un AI poate cita un articol din Legea 133/2011 care nu există, poate inventa statistici sau poate genera detalii biografice fictive. Orice informație importantă din AI trebuie verificată în sursa originală înainte de utilizare în documente oficiale.
Î 12/30
M3 · Politica AI
Care dintre utilizările AI de mai jos este PERMISĂ fără restricții suplimentare?
  • Generarea de idei pentru un eveniment public al organizației, fără a introduce date personale sau informații confidențiale
  • Traducerea unui contract cu un partener prin Google Translate gratuit
  • Transcrierea automată a unei ședințe interne unde se discută cazuri individuale de beneficiari
  • Introducerea listei de salarii a angajaților în Gemini pentru analiză comparativă
Brainstorming pentru conținut generic fără date sensibile = utilizare ideală AI. Celelalte opțiuni implică date confidențiale (contract, date beneficiari, salarii) introduse în sisteme AI publice gratuite — ceea ce poate constitui transfer ilegal de date și expunere de informații confidențiale.
Î 13/30
M3 · Politica AI
Ce înseamnă „anonimizarea înainte de AI" și de ce este importantă?
  • Crearea unui cont anonim pe platforma AI pentru a nu fi identificat
  • Ștergerea istoricului conversației cu AI după fiecare sesiune de lucru
  • Înlocuirea datelor reale (nume, CNP, adresă) cu date fictive în prompt înainte de a folosi AI, și completarea datelor reale manual în documentul final
  • Utilizarea AI exclusiv în modul incognito al browser-ului
Anonimizarea = înlocuiești „Ion Popescu, CNP 123..." cu „Persoana A, [CNP omis]..." în promptul AI, beneficiezi de asistența AI pentru structură și formulare, apoi completezi manual datele reale în documentul final. Astfel AI ajută fără să primească date personale reale.
Î 14/30
M3 · Politica AI
De ce sunt mai riscante versiunile GRATUITE ale instrumentelor AI (ChatGPT free, Gemini free) față de versiunile Enterprise?
  • Versiunile gratuite sunt mai lente și dau răspunsuri de calitate mai slabă
  • Versiunile gratuite pot folosi datele introduse pentru antrenarea modelului și nu oferă garanțiile contractuale GDPR oferite de versiunile Enterprise/Pro
  • Versiunile gratuite nu suportă limba română
  • Versiunile gratuite au o limită de caractere care poate trunchia documentele
Versiunile gratuite procesează datele utilizatorilor și pot folosi conversațiile pentru antrenarea modelelor (implicit activat). Versiunile Enterprise/Pro oferă contracte DPA (Data Processing Agreement) conforme GDPR, garantează că datele nu sunt folosite pentru antrenare și pot fi stocate în UE.
Î 15/30
M3 · Politica AI
Ce categorie de date NU trebuie NICIODATĂ introdusă într-un instrument AI extern, public sau gratuit?
  • Titlurile de articole din presa publică
  • Textul legilor și regulamentelor publice
  • Ideile generale pentru un proiect nou al organizației
  • Datele personale ale beneficiarilor, angajaților sau partenerilor (nume, CNP, adresă, diagnostic, salarii, date juridice)
Lista roșie absolută: date personale ale beneficiarilor/angajaților, date medicale/sensibile, informații financiare confidențiale (salarii, bugete), parole și date de acces, documente contractuale, planuri strategice interne, informații juridice despre litigii. Toate celelalte categorii menționate pot fi introduse în AI fără probleme.
Î 16/30
M4 · Incident Response
Care este structura corectă a Playbook-ului de Răspuns la Incidente (ordinea pașilor)?
  • Detectare → Raportare → Izolare → Recuperare → Documentare
  • Raportare → Detectare → Izolare → Documentare → Recuperare
  • Izolare → Detectare → Raportare → Recuperare → Documentare
  • Documentare → Detectare → Izolare → Raportare → Recuperare
Ordinea logică: (1) Detectezi că e incident, (2) Raportezi intern și extern, (3) Izolezi pentru a opri răspândirea, (4) Recuperezi (eradici + restaurezi), (5) Documentezi și înveți. Documentarea se face în paralel, dar Raportul Post-Incident se finalizează la final.
Î 17/30
M4 · Incident Response
Ce este CERT-MD și când îl contactezi?
  • Este autoritatea care amendează organizațiile pentru breșe de date personale (echivalentul ANDPDCP pentru cybersecurity)
  • Este o firmă privată de consultanță în securitate cibernetică din Moldova
  • Este Centrul național de Răspuns la Incidente de Securitate Cibernetică — oferă asistență tehnică gratuită organizațiilor moldovenești afectate de incidente
  • Este departamentul de IT al Guvernului Republicii Moldova
CERT-MD (cert.gov.md) = Centrul de Răspuns la Incidente de Securitate Cibernetică, subordonat STISC. Oferă asistență tehnică gratuită, analizează amenințări, coordonează răspunsul național. Contact: cert@cert.gov.md, +373 22 820 170. Se contactează la orice incident tehnic semnificativ — ransomware, malware, DDoS, breach.
Î 18/30
M4 · Incident Response
Organizația a suferit un atac de tip CEO Fraud — contabila a transferat 35 000 MDL într-un cont fraudulos. Care este PRIMA acțiune urgentă?
  • Contactezi imediat ANDPDCP pentru notificarea breșei de date
  • Contactezi imediat banca pentru blocarea sau recuperarea transferului, simultan cu notificarea Poliției Naționale
  • Contactezi atacatorul pentru negocierea returnării banilor
  • Aștepți să verifici dacă transferul ajunge la destinatar înainte de a acționa
În frauda financiară, viteza este critică — băncile pot bloca transferuri frauduloase în primele ore. Suni imediat banca (MAIB: 1313, Moldindconbank: 022 579 000 etc.) ȘI depui sesizare la Poliție simultan. ANDPDCP e relevant dacă sunt și date personale compromise. Așteptarea sau negocierea directă cu atacatorul reduc șansele de recuperare.
Î 19/30
M4 · Incident Response
Ce este tehnica „5 Why" în Post-Incident Review și care este scopul ei?
  • O metodă de identificare a angajaților vinovați pentru aplicarea de sancțiuni disciplinare
  • O procedură de verificare a 5 sisteme cheie după un incident
  • Un checklist de 5 pași pentru recuperarea din backup
  • O metodă de analiză prin întrebări succesive „De ce?" pentru a identifica cauza rădăcină a incidentului și a preveni reapariția
5 Why: întrebi „De ce s-a produs?" → răspunsul → „De ce?" → de 5 ori. Scop: identificarea cauzei profunde, nu a simptomului. Ex: „De ce a dat angajatul clic?" → nu era training recent → „De ce nu era training?" → politica nu impunea training anual → cauza rădăcină: politica de securitate insuficientă. PIR nu este ședință de pedepsire — este ședință de îmbunătățire.
Î 20/30
M4 · Incident Response
Care este diferența esențială între un „eveniment de securitate" și un „incident de securitate"?
  • Nu există diferență — termenii sunt sinonimi
  • Un eveniment afectează calculatoare, un incident afectează servere
  • Evenimentul este orice activitate observabilă (potențial suspectă), incidentul este un eveniment care a cauzat sau riscă să cauzeze daune reale confirmate
  • Un eveniment necesită raportare la CERT-MD, un incident la ANDPDCP
Eveniment = orice activitate observabilă care poate indica o problemă (tentativă de login eșuată, email phishing primit nedeschis). Incident = eveniment cu daune reale confirmate sau risc imediat (credențiale introduse pe site fals, fișiere criptate, date exfiltrate). Distincția determină nivelul de răspuns și urgența acțiunilor.
5.1 · Test de evaluare finală
Test final — Întrebările 21–30 + Rezultate
Î 21/30
M1 · Securitate Cibernetică
Care parolă respectă toate regulile de securitate?
  • Moldova@2024
  • Tractor-Noapte-Cafea-Balti-9!
  • IonPop1987!
  • Parola123
Varianta B este o passphrase de 28+ caractere cu cuvinte aleatorii (nu legate de identitatea ta), cifre și caractere speciale — imposibil de spart prin forță brută. Variantele A și C conțin date predictibile (Moldova, an, nume). Varianta D are un pattern extrem de comun inclus în orice dicționar de atac.
Î 22/30
M1 · Securitate Cibernetică
Vineri seara, un angajat descoperă că fișierele de pe calculatorul de serviciu au extensia .locked și nu se mai deschid. Care este PRIMA acțiune corectă?
  • Deconectează imediat calculatorul de la rețea (cablu Ethernet + Wi-Fi) fără a-l reporni și anunță imediat IT-ul sau RSC-ul
  • Oprește calculatorul și îl lasă până luni când vine IT-ul
  • Formatează calculatorul și reinstalează Windows
  • Plătește răscumpărarea cu cardul personal și cere rambursare de la organizație
Izolarea imediată (deconectare rețea) oprește răspândirea ransomware-ului la celelalte calculatoare și servere din rețea. Nu restarți (poate activa criptarea completă). Nu formatezi (distrugi dovezile). Nu plăti fără consultare specialist. Așteptarea până luni lasă malware-ul activ în rețea 60+ ore.
Î 23/30
M2 · Protecția Datelor
Ce reprezintă principiul „Integritatea și confidențialitatea" din GDPR (art. 5)?
  • Datele trebuie să fie corecte și actualizate permanent
  • Datele trebuie colectate cu consimțământul explicit al persoanei
  • Datele trebuie prelucrate într-un mod care asigură securitatea adecvată — protecție împotriva prelucrării neautorizate, pierderii, distrugerii sau deteriorării accidentale
  • Datele trebuie șterse automat după 12 luni de la colectare
Principiul integrității și confidențialității (art. 5(1)(f) GDPR) impune măsuri tehnice și organizatorice adecvate pentru protejarea datelor: criptare, control acces, backup, politici de securitate, training personal. Acesta este fundamentul juridic al tuturor măsurilor de securitate discutate în modulele 1 și 4.
Î 24/30
M2 · Protecția Datelor
Un ONG din Chișinău publică accidental pe site-ul său public o listă cu numele și diagnosticele tuturor beneficiarilor unui program de sănătate mintală. Ce obligații legale are?
  • Nicio obligație — a fost un accident, nu o intenție malițioasă
  • Trebuie să șteargă pagina și să nu mai vorbească despre incident
  • Trebuie să notifice doar CERT-MD în termen de 72 de ore
  • Notifică ANDPDCP în 72h, notifică personal beneficiarii afectați (date sensibile publicate), ia măsuri imediate de limitare a daunelor (ștergerea publicației, verificarea accesului)
Date medicale publicate accidental = breșă gravă cu risc ridicat pentru persoanele vizate. Obligații: (1) Notificare ANDPDCP 72h obligatorie (date sensibile implicate), (2) Notificarea personală a beneficiarilor (art. 34 GDPR — risc ridicat pentru drepturi), (3) Limitarea imediată a daunelor. Intenția nu are relevanță juridică — accidentul nu exonerează responsabilitatea.
Î 25/30
M3 · Politica AI
Care instrument AI oferă cele mai bune garanții pentru protecția datelor organizației în contextul GDPR?
  • Microsoft Copilot în planul M365 Enterprise (date rămân în tenant-ul organizației, în UE, fără antrenare pe datele clientului)
  • ChatGPT versiunea gratuită — este cel mai folosit și deci cel mai sigur
  • Orice instrument AI dacă îl folosești în mod incognito
  • Google Gemini în contul personal Gmail
Microsoft Copilot în M365 Enterprise: date procesate în tenant-ul propriu al organizației, stocare în UE, fără antrenare pe datele clientului, contract DPA GDPR-compliant. Versiunile gratuite (ChatGPT free, Gemini personal) nu oferă aceste garanții. Modul incognito nu are nicio relevanță pentru datele trimise la serverele AI.
Î 26/30
M3 · Politica AI
Ce este „shadow AI" și de ce reprezintă o problemă pentru organizații?
  • Un AI specializat în securitate cibernetică care monitorizează rețelele organizațiilor
  • Utilizarea instrumentelor AI de către angajați fără știrea sau aprobarea organizației, expunând potențial date confidențiale pe platforme neautorizate
  • O versiune îmbunătățită de AI disponibilă exclusiv guvernelor
  • Funcționalitățile AI ascunse în aplicații legitime despre care utilizatorii nu știu
Shadow AI = angajații folosesc instrumente AI personal (ChatGPT, Gemini etc.) pentru activitate organizațională fără autorizare. Studiile arată că 40-70% din utilizarea AI în organizații este „shadow". Riscul: date confidențiale și date personale ale beneficiarilor ajung pe platforme neautorizate, incontrolabile, posibil pe servere externe fără garanții legale.
Î 27/30
M4 · Incident Response
Matricea RACI din Playbook-ul de Răspuns la Incidente atribuie rolul „A" (Aprobator). Ce înseamnă acest rol?
  • Persoana care execută acțiunea concretă (realizatorul)
  • Persoana care este informată despre progresul acțiunii
  • Persoana care oferă input și expertiză fără a executa
  • Persoana care aprobă și este responsabilă final pentru acțiunea sau decizia respectivă
RACI: R=Responsabil (execută), A=Aprobator (decide și răspunde final), C=Consultat (oferă input), I=Informat (notificat despre rezultat). Aprobatorul este cel care, dacă ceva merge greșit, este responsabil în fața conducerii sau autorităților. De obicei Directorul sau RSC-ul pentru deciziile majore din incident.
Î 28/30
M1 · Securitate Cibernetică
De ce este periculoasă reutilizarea aceleiași parole pe mai multe platforme?
  • Platformele pot detecta parola duplicată și pot bloca contul
  • Face mai dificilă amintirea parolelor diferite
  • Dacă un singur site este compromis, atacatorii pot accesa toate celelalte conturi care folosesc aceeași parolă (atac credential stuffing)
  • Unele platforme interzic prin politicile lor parolele identice
Credential stuffing: atacatorii iau baze de date de parole din breach-uri (ex: LinkedIn 2021, Adobe 2013 — miliarde de parole disponibile) și le încearcă automat pe alte platforme. Dacă parola ta de la un forum neimportant este aceeași cu parola de email sau de bancă — toate conturile tale sunt compromise simultan.
Î 29/30
M2 · Protecția Datelor
Conform legislației moldovenești și GDPR, care este sancțiunea maximă pentru operatorii de date care nu respectă regulile de protecție a datelor?
  • Legea 133 Moldova: până la 50 000 MDL · GDPR: până la 20 milioane EUR sau 4% din cifra de afaceri globală anuală
  • Legea 133 Moldova: avertisment verbal · GDPR: 500 EUR amendă simbolică
  • Legea 133 Moldova: suspendarea activității · GDPR: amendă de 1 000 EUR
  • Nu există sancțiuni financiare — doar obligația de remediere
Legea 133/2011 Moldova prevede amenzi de până la 50 000 MDL pentru persoane juridice. GDPR (aplicabil când procesezi date ale cetățenilor UE) prevede amenzi de până la 20 milioane EUR sau 4% din cifra de afaceri globală — oricare este mai mare. Cele mai mari amenzi aplicate în UE au depășit 1 miliard EUR.
Î 30/30
M4 · Incident Response
Care este lecția fundamentală comună tuturor celor 4 module ale acestui curs?
  • Securitatea cibernetică și protecția datelor sunt responsabilitatea exclusivă a departamentului IT
  • Fiecare angajat este o verigă esențială în lanțul de securitate al organizației — eroarea umană este cauza principală a incidentelor, iar formarea continuă este cea mai eficientă investiție în securitate
  • Tehnologia (antivirus, firewall, criptare) poate preveni complet incidentele dacă este configurată corect
  • Moldova este prea mică pentru a fi o țintă interesantă pentru atacuri cibernetice
Eroarea umană este implicată în 68-85% din incidentele de securitate (ENISA, IBM, Verizon DBIR). Securitatea nu este o problemă de IT — este o problemă de oameni, procese și cultură organizațională. Un angajat educat care recunoaște phishing-ul, folosește MFA și raportează prompt incidentele valorează mai mult decât cel mai scump sistem de securitate.
5.2 · Plan de Acțiune Organizațional
Ce este Planul de Acțiune și de ce îl elaborăm acum?
⏱ 35 min

Training-ul fără un plan de acțiune concret are un efect limitat. Cercetările arată că organizațiile care implementează un Plan de Acțiune după un training au de 3-4 ori mai multe șanse să aplice efectiv cunoștințele dobândite față de cele care nu fac acest pas.

🎯 Ce este Planul de Acțiune Organizațional? Un document concret, cu termene și responsabili, care transformă cunoștințele din training în politici, proceduri și instrumente reale în organizația ta. Nu este o listă de intenții — este un angajament asumat de conducere și echipă.

Cele 5 domenii ale Planului de Acțiune

🔐
Domeniu 1 — Securitate de bază

MFA, parole, actualizări, backup izolat, antivirus. Măsuri tehnice fundamentale cu impact imediat ridicat și cost scăzut.

📋
Domeniu 2 — Politici și proceduri

Politica de securitate, Politica AI, Procedura de incident, Registrul activităților de prelucrare. Documentele obligatorii legal.

👥
Domeniu 3 — Formare și conștientizare

Training periodic anti-phishing, simulări de incident, onboarding securitate pentru angajați noi. Cultura organizațională.

🚨
Domeniu 4 — Răspuns la incidente

Playbook documentat, roluri alocate, contacte CERT-MD/ANDPDCP salvate, simulări periodice practicate.

⚖️
Domeniu 5 — Conformitate legală

Registrul activităților, politica de confidențialitate, DPO nominalizat, proceduri drepturi persoane vizate, contracte prelucrare.

📌 Cum funcționează Planul de Acțiune interactiv: Pe slide-ul următor selectezi acțiunile relevante pentru organizația ta, le prioritizezi (30/60/90 zile) și generezi un plan exportabil. Nu trebuie să le faci pe toate — concentrați-vă pe primele 10-15 acțiuni cu cel mai mare impact.

Principiul prioritizării: Impact × Urgență × Efort

🟢 Prioritate maximă — Faceți ACUM (această săptămână): MFA pe email · Backup cloud verificat · Parole schimbate pe conturile critice · Playbook-ul distribuit echipei

🟡 Prioritate înaltă — 30 zile: Manager de parole · Actualizări automate activate · Politica AI comunicată · Lista instrumentelor AI aprobate

🔵 Prioritate medie — 60-90 zile: Politica de securitate documentată · Registrul activităților de prelucrare · Simulări phishing · Training onboarding securitate
5.2 · Constructor Plan de Acțiune
Selectați acțiunile prioritare pentru organizația voastră

Bifați acțiunile pe care vă angajați să le implementați. Planul generat poate fi exportat și distribuit echipei.

🔐
Domeniu 1 — Securitate de bază (tehnică)
Impact imediat · Cost scăzut
Activare MFA obligatoriu pe toate conturile de email ale organizației
Gmail: Cont → Securitate → Verificare în 2 pași · Outlook: Contul meu → Securitate. Termen: această săptămână. Responsabil: IT Admin.
ACUM
Instalarea și adoptarea unui manager de parole organizațional
Bitwarden (gratuit, open-source) sau KeePassXC. Distribuire tuturor angajaților. Termen: 30 zile. Responsabil: IT Admin.
30 zile
Verificarea și activarea actualizărilor automate pe toate calculatoarele
Windows Update: Start → Setări → Actualizare și securitate → Activare automată. Termen: 14 zile. Responsabil: IT Admin.
ACUM
Implementarea regulii 3-2-1 pentru backup-ul datelor organizației
3 copii · 2 medii (HDD local + cloud) · 1 copie offline izolată. Verificare lunară că backup-ul funcționează. Termen: 30 zile.
ACUM
Instalarea și actualizarea antivirusului pe toate calculatoarele
Windows Defender (gratuit, integrat) sau soluție dedicată. Verificare că protecția real-time este activă. Termen: 7 zile.
ACUM
Verificarea pe haveibeenpwned.com a adreselor de email ale organizației
Identificarea conturilor apărute în breach-uri și schimbarea urgentă a parolelor respective. Termen: această săptămână.
ACUM
📋
Domeniu 2 — Politici și proceduri documentate
Obligatorii legal · Mediu termen
Elaborarea și adoptarea Politicii de Securitate Cibernetică
Document care acoperă: parole, MFA, backup, incidente, utilizare dispozitive, Wi-Fi. Semnat de conducere, distribuit tuturor. Termen: 60 zile.
60 zile
Elaborarea și comunicarea Politicii de Utilizare AI
Lista instrumentelor AI aprobate, regulile de utilizare, lista roșie. Comunicată tuturor angajaților. Termen: 30 zile.
30 zile
Documentarea și testarea Playbook-ului de Răspuns la Incidente
Playbook cu roluri, pași, contacte CERT-MD/ANDPDCP/Poliție. Distribuit echipei. Prima simulare programată. Termen: 45 zile.
45 zile
Crearea Registrului Activităților de Prelucrare a Datelor Personale
Documentarea tuturor activităților de prelucrare: scopuri, categorii de date, temei legal, durata stocării, destinatari. Obligatoriu GDPR art. 30. Termen: 60 zile.
60 zile
Actualizarea Politicii de Confidențialitate (Privacy Notice)
Document public care explică beneficiarilor/utilizatorilor: ce date, de ce, cât, drepturile lor. Publicat pe site și la sediu. Termen: 45 zile.
45 zile
👥
Domeniu 3 — Formare și cultură de securitate
Impact pe termen lung · Continuu
Programarea training-ului anual de securitate cibernetică pentru toți angajații
Minim o dată pe an, cu actualizare la amenințări noi. Include simulare phishing. Prima sesiune: în 90 zile. Responsabil: RSC + Management.
90 zile
Simulare phishing trimestrială pentru toți angajații
Trimiterea unui email phishing simulat și monitorizarea răspunsurilor. Feedback imediat și instruire suplimentară pentru cei care au căzut în plasă. Termen: în 60 zile prima simulare.
60 zile
Integrarea securității cibernetice în onboarding-ul angajaților noi
Modulele 1-4 ale acestui training + semnarea Politicii de Securitate înainte de primul acces la sisteme. Responsabil: HR + IT.
30 zile
Distribuirea unui „Card de urgență" cu contactele cheie pentru incidente
Card fizic sau digital: CERT-MD, ANDPDCP, Poliție, Banca, RSC intern. Afișat la fiecare birou. Termen: această săptămână.
ACUM
🚨
Domeniu 4 — Capacitate de răspuns la incidente
Reduce daunele · Prioritate înaltă
Desemnarea și documentarea rolurilor din echipa de răspuns la incidente
RSC, IT Admin, DPO, Director + backup persons. Fiecare știe rolul, responsabilitățile și cu cine comunică. Termen: 14 zile.
ACUM
Salvarea contactelor de urgență (CERT-MD, ANDPDCP, Poliție, Bancă) în telefoanele echipei
cert@cert.gov.md · +373 22 820 170 · andpdcp.md · 112 · numere bancă. Salvate acum în telefoanele RSC, IT, Director. Termen: azi.
ACUM
Realizarea primei simulări practice de incident (scenariu phishing sau ransomware)
Pe baza simulărilor din Modulul 4 al acestui training. Exercițiu tabelar sau live. Termen: 45 zile. Responsabil: RSC.
45 zile
Înregistrarea organizației ca punct de contact la CERT-MD
Înregistrare pe cert.gov.md pentru a primi alerte de securitate și a facilita comunicarea în caz de incident. Termen: 30 zile.
30 zile
⚖️
Domeniu 5 — Conformitate legală (Legea 133/GDPR)
Obligatorii legal · Evitare amenzi
Nominalizarea unui Responsabil cu Protecția Datelor (DPO sau persoană desemnată)
Persoana care coordonează conformitatea GDPR/Legea 133, gestionează solicitările beneficiarilor și notifică ANDPDCP. Termen: 30 zile.
30 zile
Implementarea procedurii de gestionare a drepturilor persoanelor vizate
Cum primești, procesezi și răspunzi la cererile de acces, rectificare, ștergere în 30 de zile. Template scrisori de răspuns. Termen: 45 zile.
45 zile
Revizuirea și actualizarea formularelor de consimțământ pentru colectarea datelor
Formularele trebuie să respecte cele 4 condiții: liber, specific, informat, neambiguu. Verificare de specialist juridic. Termen: 60 zile.
60 zile
Verificarea și actualizarea contractelor cu persoanele împuternicite (furnizori cloud, IT, contabilitate)
Orice terț care procesează date personale pentru organizație necesită un DPA (Data Processing Agreement) conform art. 28 GDPR. Termen: 60 zile.
60 zile
0
Selectați acțiunile prioritare pentru organizația voastră
5.2 · Planul de Acțiune — Vizualizare
Planul tău de acțiune — rezumat și timeline
Selectați acțiunile pe slide-ul anterior pentru a genera planul. Reveniți la slide-ul 5 pentru a adăuga acțiuni.

Modelul de Politică de Securitate — structura recomandată

Dacă organizația nu are încă o Politică de Securitate Cibernetică, aceasta este structura minimă recomandată:

SecțiuneCe include
1. Scop și domeniu de aplicareLa ce se aplică politica, cui se adresează, de la ce dată intră în vigoare
2. Roluri și responsabilitățiRSC, IT Admin, DPO, toți angajații — responsabilitățile fiecăruia
3. Cerințe de autentificareReguli parole (lungime, complexitate, expirare), MFA obligatoriu, manager de parole
4. Utilizarea dispozitivelor și rețelelorCalculatoare organizație vs. personale, Wi-Fi public, lucru de acasă, USB-uri
5. Gestionarea datelorClasificare date, acces pe bază de necesitate (need-to-know), backup, distrugere securizată
6. Utilizarea instrumentelor AILista instrumentelor aprobate, reguli utilizare, lista roșie (date ce nu se introduc în AI)
7. Răspuns la incidenteReferință la Playbook, contacte urgență, obligații raportare internă
8. FormareTraining obligatoriu anual, simulări, onboarding
9. Consecințe nerespectareSancțiuni disciplinare conform regulamentului intern
10. RevizuirePolitica se revizuiește anual sau după fiecare incident semnificativ
📚 Surse și resurse pentru implementareCERT-MD ghiduri: cert.gov.md · ANDPDCP: andpdcp.md · ENISA SME guidelines: enisa.europa.eu · Bitwarden (manager parole gratuit): bitwarden.com · HaveIBeenPwned: haveibeenpwned.com
5.2 · Plan de Acțiune — Responsabili și termene
Distribuirea responsabilităților — cine face ce și până când

Un Plan de Acțiune fără responsabili și termene este o listă de dorințe. Completați tabelul pentru organizația voastră:

Acțiune prioritarăResponsabilTermenResurse necesareStatus
MFA activat pe toate conturile emailIT Admin / Fiecare angajatAceastă săptămână0 cost, 5 min per persoană☐ Neînceput
Verificare breach-uri (haveibeenpwned.com)IT AdminAceastă săptămânăGratuit☐ Neînceput
Card urgență cu contacte incidenteRSC + ITAceastă săptămânăPrintare + distribuire☐ Neînceput
Actualizări automate activateIT Admin14 zile0 cost☐ Neînceput
Manager de parole instalatIT Admin + toți angajații30 zileBitwarden = gratuit☐ Neînceput
Politica AI comunicată echipeiDirector + RSC30 zileDocument intern + ședință☐ Neînceput
Roluri Playbook desemnateDirector + RSC14 zileȘedință echipă + document☐ Neînceput
DPO / Persoană desemnată GDPRDirector30 zileDecizie internă☐ Neînceput
Simulare phishing (primul exercițiu)RSC + IT60 zileTool gratuit (GoPhish) sau extern☐ Neînceput
Registrul Activităților de PrelucrareDPO + Management60 zileTemplate ANDPDCP sau consultant☐ Neînceput
Politica de Securitate CiberneticăRSC + Director60 zileRedactare + adoptare oficială☐ Neînceput
Training anual programatHR + Director90 zileMateriale existente (modulele 1-4)☐ Neînceput
📅 Ședința de follow-up la 30 de zile: Programați deja acum o ședință de 30 de minute peste 30 de zile pentru a verifica progresul. Fiecare responsabil raportează: acțiunile finalizate, blocajele întâmpinate, ajustările necesare. Fără ședința de follow-up, planul rămâne pe hârtie.
🔄 Ciclul de îmbunătățire continuă: Planul de Acțiune nu este un document de o singură dată. Se revizuiește: (1) anual în mod normal, (2) după fiecare incident de securitate, (3) după modificări legislative relevante, (4) la schimbarea structurii organizaționale sau a sistemelor IT.
5.3 · Sesiune Q&A
Întrebări frecvente și răspunsuri — sesiune de clarificări
⏱ 25 min

Această secțiune acoperă cele mai frecvente întrebări ridicate de participanți în sesiunile de training anterioare din organizații moldovenești.

❓
„Suntem un ONG mic cu 5 angajați. Ni se aplică toate regulile GDPR și Legea 133?"
▶
Da — GDPR și Legea 133/2011 se aplică oricărui operator de date, indiferent de dimensiunea organizației. Dacă colectați date personale ale beneficiarilor, donatorilor sau angajaților — sunteți operator de date și aveți obligații legale. Există totuși principiul proporționalității: cerințele de documentare și implementare sunt scalate la complexitatea și volumul activităților. Un ONG mic are cerințe mai simple decât o companie cu 500 de angajați — dar nu zero cerințe.
❓
„Dacă am un incident și nu notific ANDPDCP în 72h, ce se întâmplă concret?"
▶
ANDPDCP poate aplica amenzi administrative conform Legii 133/2011 (până la 50 000 MDL pentru persoane juridice) și art. 83 GDPR (până la 10 milioane EUR sau 2% din cifra de afaceri pentru încălcarea obligației de notificare). Pe lângă amenda financiară, există riscul de daune reputaționale semnificative dacă incidentul devine public și organizația nu a notificat. Autoritățile sunt în general mai indulgente cu organizațiile care notifică prompt și demonstrează că au luat măsuri corective față de cele care au ascuns incidentul.
❓
„Putem folosi ChatGPT dacă în prompts nu menționăm explicit numele organizației?"
▶
Problema nu este neapărat menționarea numelui organizației — problema este conținutul concret. Dacă introduci date personale ale beneficiarilor (chiar anonimizate parțial), documente contractuale, bugete sau orice informații care pot fi legate de organizație sau de persoane reale, există riscuri. Regula de bază: dacă conținutul nu ar putea fi publicat pe site-ul public al organizației, nu îl introduci în ChatGPT gratuit. Conținut generic și public = ok. Conținut sensibil sau confidențial = nu.
❓
„Angajatul nostru a dat clic pe un link phishing dar nu a introdus nicio parolă. Trebuie să facem ceva?"
▶
Da — simpla accesare a unui link malițios poate (în unele cazuri) instala malware prin vulnerabilități de browser (drive-by download) chiar fără acțiune suplimentară. Acțiuni recomandate: (1) Verificați că browser-ul și sistemul de operare al calculatorului sunt actualizate, (2) Rulați un scan antivirus complet pe calculatorul respectiv, (3) Verificați că nu există programe necunoscute instalate recent, (4) Documentați incidentul ca eveniment de securitate. Dacă nu a introdus credențiale și nu există semne de infecție — este probabil un eveniment de securitate de severitate scăzută, nu un incident.
❓
„Cum protejăm angajații care lucrează de acasă sau din cafenele?"
▶
Măsuri cheie pentru lucrul de la distanță: (1) VPN obligatoriu pentru accesul la sistemele interne ale organizației — VPN-ul criptează traficul pe rețele nesigure, (2) MFA activat — dacă cineva fură parola, nu poate intra fără al doilea factor, (3) Politică clară: nu se accesează sisteme sensibile de pe rețele Wi-Fi publice fără VPN, (4) Calculatoarele de serviciu nu se împrumută membrilor familiei, (5) Ecranele de blocare automate după 5 minute de inactivitate, (6) Sesiunile de lucru remote se termină prin logout explicit — nu prin simpla închidere a laptop-ului în cafenea.
❓
„Un angajat demisionat a plecat cu date ale organizației. Ce facem?"
▶
Aceasta este o situație de „insider threat" (amenințare internă) și poate constitui un incident de securitate dacă datele includ informații confidențiale sau date personale. Acțiuni: (1) Evaluați ce date au fost luate și ce risc reprezintă, (2) Dacă implică date personale ale terților — evaluați obligația de notificare ANDPDCP, (3) Consultați un avocat — în funcție de gravitate și contractul de muncă, există potențiale căi legale, (4) Implementați imediat procedura de offboarding pentru angajați: revocare imediată a accesurilor în ziua plecării, recuperarea dispozitivelor, schimbarea parolelor partajate.
❓
„Cât de des trebuie să facem training de securitate?"
▶
Minimul recomandat: training complet o dată pe an pentru toți angajații. Suplimentar: simulări phishing trimestrial sau semestrial, newsletter/alerte de securitate lunare cu amenințări noi, training specific la onboarding pentru angajați noi, training ad-hoc după incidente. Cel mai eficient format: scurt și frecvent bate lung și rar. Un email lunar cu 2-3 sfaturi practice + o simulare phishing pe trimestru este mai eficient decât un training de 8 ore o dată la 3 ani.
❓
„Suntem o instituție publică din Moldova. Avem obligații suplimentare față de ONG-urile private?"
▶
Da — instituțiile publice au obligații suplimentare: (1) Legea 16/2019 privind securitatea cibernetică impune măsuri specifice pentru autoritățile publice și operatorii de infrastructuri critice, (2) Cerința de a implementa standarde de securitate conform regulamentelor STISC, (3) Obligații de raportare mai stricte la CERT-MD pentru incidentele care afectează servicii publice, (4) Posibile cerințe de audit de securitate periodic, (5) Cooperarea cu STISC (Serviciul Tehnologia Informației și Securitate Cibernetică) pentru implementarea măsurilor naționale de securitate cibernetică. Consultați: stisc.gov.md și cert.gov.md
5.3 · Concluzii și certificat
Concluziile seriei de training — Ce ai realizat

Cele 5 lucruri pe care le faci diferit de mâine

1
Raportezi imediat orice lucru suspectEmail ciudat, link neașteptat, apel suspect, comportament anormal al calculatorului. Nu mai aștepți, nu mai rezolvi singur — raportezi. Raportarea nu este o problemă, este o contribuție.
2
Activezi și folosești MFA + manager de paroleMFA pe email și sisteme critice. Manager de parole pentru parole unice și puternice. Dacă ai amânat până acum — mâine dimineață, înainte de orice altceva.
3
Aplici „testul de 3 secunde" înainte de orice prompt AIExistă un nume real? Un identificator personal? Document confidențial? Dacă DA la oricare — nu introduci în AI public gratuit. Anonimizezi mai întâi sau nu folosești AI.
4
Știi Playbook-ul și contactele de urgențăCERT-MD, ANDPDCP, termenul de 72h pentru date personale. Știi că izolezi înainte de a repara. Știi că documentezi totul. Acestea nu mai sunt teorii — sunt reflexe.
5
Contribui activ la cultura de securitate a organizațieiDiscuți cu colegii, raportezi riscurile, participi la simulări, revizuiești periodic cunoștințele. Securitatea nu este responsabilitatea unui om — este a tuturor.

Certificatul de absolvire al seriei complete

Certificat de Participare
Training Securitate Cibernetică și Protecția Datelor
Seria completă — 5 module · Republica Moldova · Pro-Lex IT
M1 · Securitate Cibernetică M2 · Protecția Datelor M3 · Politica AI M4 · Incident Response M5 · Evaluare Finală
Data: · Pro-Lex IT · Chișinău, Republica Moldova
📚 Resurse complete pentru continuarea învățării CERT-MD: cert.gov.md · ANDPDCP: andpdcp.md · ENISA (ghiduri UE): enisa.europa.eu · NIST Cybersecurity Framework: nist.gov/cyberframework
Legea 133/2011: legis.md · Legea 16/2019 securitate cibernetică: legis.md · AI Act (UE): eur-lex.europa.eu
Bitwarden: bitwarden.com · HaveIBeenPwned: haveibeenpwned.com · VirusTotal: virustotal.com · STISC Moldova: stisc.gov.md
✦ SERIA COMPLETĂ FINALIZATĂ ✦
Felicitări pentru parcurgerea întregii serii de training!
Cunoștințele acumulate în aceste 5 module reprezintă fundația unei culturi de securitate solide în organizația ta. Implementează Planul de Acțiune, exersează regulat și ține echipa informată.
Pro-Lex IT · Chișinău, Republica Moldova · prolex.md