Securitatea datelor nu mai este de mult doar o problemă a departamentului IT. Poți avea cele mai bune firewall-uri, criptare și politici scrise impecabil — dacă un angajat dă click pe linkul greșit sau trimite un fișier cui nu trebuie, toate acele măsuri pot fi ocolite într-o secundă.
Cifrele confirmă: conform studiilor de industrie, aproximativ 82% dintre breșele de securitate implică un element uman. Întrebarea reală nu este, așadar, „sunt oamenii un risc?", ci „am făcut ceva ca să-i transform într-o apărare?".
De ce sunt oamenii ținta preferată
Un atacator serios știe că e mult mai ușor să păcălești o persoană decât să spargi un sistem bine configurat. De aceea cele mai multe atacuri nu sunt „tehnice", ci de manipulare: un email care pare de la șef și cere urgent o plată, un mesaj care imită banca, un apel în care cineva se dă drept colegul de la IT.
Toate folosesc aceleași pârghii: graba, frica de a greși, dorința de a fi de ajutor și încrederea că „dacă pare oficial, e oficial". Niciuna dintre ele nu ține de inteligență — ține de context și de obișnuință. Exact de aceea se pot antrena.
Unde se rupe veriga, în practică
În munca de zi cu zi, incidentele rareori arată spectaculos. Cel mai des sunt gesturi banale:
- Click pe un link de phishing sau deschiderea unui atașament infectat, dintr-un email care părea legitim.
- Parole slabe sau refolosite pe mai multe conturi — o singură scurgere și se deschid toate ușile.
- Email trimis greșit: un „Reply all" sau o adresă autocompletată greșit, iar date personale ajung la destinatari nepotriviți.
- Date în fișiere nesecurizate: liste cu persoane în Excel-uri trimise pe chat, stocate pe desktop sau urcate în cloud personal.
- Shadow IT și AI necontrolat: instrumente și aplicații folosite fără aprobare, în care angajații lipesc, fără să realizeze, date confidențiale.
- Sesiuni și ecrane lăsate deschise în spații accesibile altora.
Niciunul nu necesită rea-intenție. Sunt scurtături făcute de oameni ocupați, care nu au fost niciodată ajutați să vadă unde e linia roșie.
De la verigă slabă la prima linie de apărare
Un angajat informat face exact opusul: observă că ceva „nu miroase a bine", nu dă click, întreabă și raportează. Devine, practic, un senzor de securitate. Iar o organizație cu sute de astfel de senzori e mult mai greu de atacat decât una care se bazează doar pe tehnologie.
O instruire care chiar funcționează are câteva trăsături:
- Adaptată rolului. Omul de la marketing, cel de la HR și cel de la IT au riscuri diferite. Un training generic pentru toți se uită repede.
- Scurtă și repetată. Sesiuni mici, dese, cu exemple reale, în loc de un curs maraton o dată la trei ani.
- Practică. Simulări de phishing și scenarii din viața firmei, nu doar citate din regulament.
- Fără pedeapsă pentru raportare. Dacă cine raportează o greșeală e certat, data viitoare o va ascunde. O cultură sănătoasă tratează raportarea ca pe un lucru bun.
Pe acest subiect am scris pe larg și despre cultura de securitate cibernetică și despre securitatea resurselor umane în ISO 27001, dacă vrei să mergi mai în profunzime.
Ce cere, de fapt, GDPR
Instruirea nu e o idee bună „în plus" — decurge direct din lege. Articolul 32 cere măsuri tehnice și organizatorice adecvate, iar oamenii pregătiți sunt o măsură organizatorică de bază. Articolul 39 dă responsabilului cu protecția datelor (DPO) sarcina expresă de a sensibiliza și instrui personalul. Iar principiul responsabilității (art. 5 alin. 2) îți cere nu doar să fii conform, ci să poți demonstra acest lucru.
În controale, dovada unor sesiuni de instruire reale este un factor atenuant important. O echipă lăsată complet neinstruită este, dimpotrivă, greu de apărat. Despre ce înseamnă concret protecția datelor angajaților poți citi și în articolul protecția datelor angajaților în resurse umane.
Instrumente care îți ușurează munca
Bunăvoința nu e suficientă; ai nevoie și de un sistem care să facă instruirea simplă și demonstrabilă. Două lucruri ajută cel mai mult:
- Cursuri online, pe înțelesul oamenilor. Pe cursuri.infoshare.ro ai e-learning GDPR și securitate adaptat rolurilor, cu certificat la final și evidență automată a cine a parcurs și când — exact dovada de care ai nevoie la un audit.
- O platformă care ține totul la un loc. Pe askGDPR.ro ai autoevaluarea, asistentul AI și managementul instruirilor în același loc cu restul conformității, ca să nu te pierzi printre fișiere Word.
Dacă vrei ca tot acest lucru să fie coordonat de cineva care îți cunoaște organizația, îți punem la dispoziție și un DPO externalizat, iar pachetul nostru de servicii GDPR include construirea unui program de instruire adaptat riscurilor tale.
În concluzie
Factorul uman nu este, prin natura lui, nici verigă slabă, nici linie de apărare. Devine una sau alta în funcție de cât investești în oameni. Prevenția — un training scurt, o autoevaluare făcută la timp, o întrebare pusă unui asistent înainte de un click — este întotdeauna mai ieftină decât o breșă gestionată sub presiunea sancțiunilor. Iar firma care înțelege asta nu doar evită amenzi: transmite, în fiecare interacțiune, că tratează datele oamenilor cu seriozitate.
Întrebări frecvente
Chiar implică oameni majoritatea breșelor de date?
Da. Studiile de industrie arată constant că în jur de 74-82% dintre breșe au la bază un element uman: un click pe phishing, o parolă slabă, un email trimis greșit sau o configurare neglijentă. Tehnologia contează, dar atacatorii țintesc cel mai des oamenii, nu firewall-ul.
Cât de des ar trebui instruiți angajații pe GDPR?
Recomandarea practică este: la angajare, apoi cel puțin o dată pe an, plus ori de câte ori apar schimbări importante (proceduri noi, instrumente noi, un incident relevant). Sesiunile scurte și repetate funcționează mai bine decât un training lung, o dată la câțiva ani.
Este obligatorie instruirea GDPR a angajaților?
GDPR nu impune un curs cu un anumit nume, dar instruirea decurge direct din lege: art. 32 cere măsuri organizatorice adecvate, art. 39 dă DPO-ului sarcina de a sensibiliza și instrui personalul, iar principiul responsabilității (art. 5 alin. 2) îți cere să poți demonstra ce ai făcut. În practică, lipsa oricărei instruiri este greu de justificat în fața ANSPDCP.
Cum dovedesc instruirea în cazul unui control ANSPDCP?
Păstrezi dovezi: liste de participare, datele sesiunilor, materialele folosite și, ideal, rezultatele unor mici teste de verificare. O platformă de e-learning ține automat aceste evidențe, iar registrul de instruiri arată clar cine, când și ce a parcurs.
Transformă-ți echipa în prima linie de apărare
Începe cu o autoevaluare gratuită pe askGDPR.ro, instruiește-ți oamenii cu cursurile noastre online și, dacă vrei, lasă coordonarea pe mâna unui DPO externalizat.