De unde vine cerința și cui i se aplică?
Începe prin a nota sursa, versiunea, data și domeniul vizat: compania, procesul, sistemul sau serviciul. Separă o obligație legală de o clauză contractuală, de un standard adoptat și de o regulă internă. O solicitare a unui client poate necesita o analiză chiar dacă firma nu intră direct în domeniul unei anumite reglementări.
Pentru securitatea datelor personale, GDPR cere măsuri adecvate riscului și revizuirea lor atunci când este necesar. Articolul 32 nu impune aceeași configurație tehnică tuturor companiilor. Alegerea unei măsuri trebuie explicată prin context și risc. GDPR, art. 24 și 32, text consolidat EUR-Lex.
În România, dacă dispozițiile respective ale OUG nr. 155/2024 se aplică entității, măsurile de securitate includ evaluarea eficacității, controlul accesului și autentificarea prevăzută de art. 13, după caz. Încadrarea și regulile sectoriale se verifică înainte de atribuirea obligației. OUG nr. 155/2024, art. 2 alin. (3), art. 11 și art. 13 lit. b), f) și j), forma consolidată la 6 iulie 2026.
Ce situație ai constatat?
Descrie ceea ce ai verificat, fără să extinzi concluzia la întreaga firmă. În exemplul nostru fictiv, echipa examinează 12 conturi administrative dintr-un sistem. Pentru 9 conturi confirmă că autentificarea multifactor este configurată și impusă; pentru celelalte 3, situația rămâne de clarificat. Notează data, sistemul, metoda și limitele verificării.
Existența unei metode MFA înregistrate pe cont nu demonstrează singură că sistemul o cere la autentificările vizate. Verifică politica efectivă și excepțiile. Rezultatul „9 din 12” descrie grupul analizat, nu un procent de conformitate al companiei.
Cum formulezi activitatea și rezultatul așteptat?
O activitate utilă precizează ce trebuie schimbat și cum va fi verificat. De exemplu: „Clarifică cele 3 conturi administrative, aplică măsura aprobată și verifică politica de autentificare pentru cele 12 conturi din domeniu”. Dacă un cont nu mai este necesar, decizia poate fi retragerea accesului, nu păstrarea lui doar pentru a atinge un indicator.
Stabilește criteriul de închidere înainte de intervenție. Poate fi confirmarea protecției pentru toate conturile care trebuie să rămână active, cu excepțiile explicate și aprobate de persoana competentă. O excepție internă nu înlătură o obligație legală. Dacă lipsește informația, păstrează punctul deschis.
Cine execută, cine aprobă și până când?
Desemnează persoana care face intervenția, persoana care poate aproba schimbarea și cine verifică rezultatul. Precizează sistemul în care se lucrează și accesul necesar. Într-o echipă mică, rolurile pot fi cumulate dacă regulile aplicabile permit; decizia și execuția trebuie să poată fi urmărite separat.
Termenul intern se stabilește după risc, dependențe și resurse. Dacă există un termen legal sau contractual, notează separat sursa și evenimentul de la care se calculează. O dată introdusă într-un plan nu devine automat termen legal. Vezi și modelul pentru roluri și responsabilități.
Ce dovadă păstrezi după intervenție?
Leagă activitatea de rezultatul verificabil: configurația relevantă, jurnalul modificării, raportul de verificare și eventualele excepții. Indică autorul, momentul, sistemul și metoda folosită. Un test se face numai cu autorizare, în condiții care protejează serviciul și datele.
Păstrează numai informațiile necesare. Nu include parole, coduri de recuperare sau chei de acces. Limitează destinatarii și durata de păstrare a materialelor care conțin date personale. GDPR, art. 5 alin. (1) lit. c), e) și f). Pentru alegerea materialelor, citește ce dovedește un document și ce dovedește aplicarea măsurii.
Cum reverifici și când revii la activitate?
Compară rezultatul cu observația inițială, pentru același domeniu și printr-o metodă comparabilă. Dacă la final confirmi protecția pentru toate cele 12 conturi, explică exact ce ai testat și ce nu ai testat. Dacă ai retras un cont, arată schimbarea domeniului; nu ascunde diferența într-un procent.
Stabilește următoarea revizuire și evenimentele care o declanșează: conturi noi, modificări ale politicii, schimbarea aplicației sau un incident. Modelul de mai jos include aceste câmpuri. Turul platformei Cremene arată cum poate fi organizată legătura dintre activitate, responsabil și dovadă; intervenția tehnică rămâne în sistemul administrat de echipă.