Decizia nr. 107/2022
privind aprobarea tematicilor pentru formarea auditorilor de securitate cibernetică, a membrilor echipelor CSIRT și a responsabililor cu securitatea rețelelor și sistemelor informatice
prezumat în vigoare
În baza prevederilor
art. 32 alin. (2) lit. e)
și ale
art. 33 alin. (2) lit. e) din Legea nr. 362/2018
privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice, cu modificările și completările ulterioare,
având în vedere dispozițiile
art. 4 lit. f) din Ordonanța de urgență a Guvernului nr. 104/2021
privind înființarea Directoratului Național de Securitate Cibernetică, aprobată cu modificări și completări prin
pentru aplicarea
Normelor
privind autorizarea și verificarea furnizorilor de servicii de formare pentru securitate cibernetică, aprobate prin
Ordinul directorului Directoratului Național de Securitate Cibernetică nr. 106/2022,
în temeiul
art. 7 alin. (3) din Ordonanța de urgență a Guvernului nr. 104/2021
privind înființarea Directoratului Național de Securitate Cibernetică, aprobată cu modificări și completări prin
directorul Directoratului Național de Securitate Cibernetică emite prezenta decizie.
Articolul 1
Se aprobă Tematica pentru formarea auditorilor de securitate cibernetică, prevăzută în
anexa nr. 1 .
Se aprobă Tematica pentru formarea membrilor echipelor CSIRT, prevăzută în
anexa nr. 2 .
Se aprobă Tematica pentru formarea responsabililor cu securitatea rețelelor și sistemelor informatice, prevăzută în
anexa nr. 3 .
Articolul 2
Anexele nr. 1-3
fac parte integrantă din prezenta decizie.
Articolul 3
Prezenta decizie se publică în Monitorul Oficial al României, Partea I.
Directorul Directoratului Național de Securitate Cibernetică,
Petre-Dan Cîmpean
București, 3 noiembrie 2022.
Nr. 107.
Anexa 1 TEMATICA
pentru formarea auditorilor de securitate cibernetică
Formarea profesională
Tema
Instruire
Teoretică
Practică
Formarea auditorilor de securitate cibernetică
FA1
Termeni și noțiuni privind securitatea cibernetică aplicată la nivelul operatorilor de servicii esențiale și furnizorilor de servicii digitale, în conformitate cu legislația în vigoare în domeniul securității cibernetice de la nivelul României și UE
x
FA2
1. Identificarea operatorilor de servicii digitale conform
Normelor metodologice
de identificare a operatorilor de servicii esențiale și furnizorilor de servicii digitale, aprobate prin
Ordinul ministrului comunicațiilor și societății informaționale nr. 599/2019
2. Stabilirea efectului perturbator semnificativ al incidentelor la nivelul rețelelor și sistemelor informatice ale operatorilor de servicii esențiale, conform
Ordinului ministrului comunicațiilor și societății informaționale nr. 601/2019
pentru aprobarea
Metodologiei
de stabilire a efectului perturbator semnificativ al incidentelor la nivelul rețelelor și sistemelor informatice ale operatorilor de servicii esențiale
3. Auditul de securitate pentru stabilirea calității de operator de servicii esențiale, conform
privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice, cu modificările și completările ulterioare
x
x
FA3
Standarde și specificații europene și internaționale aplicabile operatorilor de servicii esențiale, furnizorilor de servicii digitale și auditorilor de securitate cibernetică
x
FA4
Evaluarea implementării cerințelor minime de asigurare a securității rețelelor și sistemelor informatice
x
x
FA5
Condiții și cerințe pentru auditorii de securitate cibernetică:
1. norme privind activitatea auditorilor;
2. cerințe pentru auditorii de securitate cibernetică;
3. codul etic al auditorului de securitate cibernetică
x
x
FA6
Auditul de securitate:
1. desfășurarea auditului de securitate;
2. documente de audit de securitate;
3. cerințe referitoare la desfășurarea unui audit de securitate
x
x
FA7
Cerințe și recomandări privind întocmirea raportului de audit de securitate. Elaborare și completare raport de audit de securitate
x
x
FA8
Formulare/Rapoarte utilizate în activitatea de audit de securitate. Modele și moduri de completare
x
FA9
Verificarea activității auditorilor de securitate cibernetică
x
FA10
Roluri și responsabilități în baza
Legii nr. 362/2018 , cu modificările și completările ulterioare:
1. coordonare strategică;
2. autorități competente și responsabilități; autoritatea competentă la nivel național
x
10 teme/nivel teoretic și practic
30 ore (15 ≥ IP ≥ 10)
Anexa 2 TEMATICA
pentru formarea membrilor echipelor CSIRT
Formarea profesională
Tema
Instruire
Teoretică
Practică
Formarea
membrilor
echipelor CSIRT
FE1
Alerte și avertizări. Modul de acțiune în cadrul alertelor și avertizărilor
x
x
FE2
Gestionarea, analiza și răspunsul în cazul vulnerabilităților identificate
x
x
FE3
Coordonarea răspunsului la vulnerabilitatea identificată
x
x
FE4
Analiza incidentelor de securitate cibernetică
x
x
FE5
Implementarea și evaluarea cerințelor minime de asigurare a securității rețelelor și sistemelor informatice
x
x
FE6
Modalități și soluții de detectare a intruziunilor
x
x
FE7
Gestionarea artefactelor. Analiza, răspunsul și coordonarea răspunsului la artefacte
x
x
FE8
Continuitatea funcționării sistemelor și rețelelor informatice și recuperarea datelor în urma atacurilor cibernetice reușite
x
x
FE9
Exploatarea unei platforme MISP și comunicarea cu echipa CSIRT națională
x
x
FE10
Stabilirea impactului unui incident de securitate cibernetică
x
FE11
Analiza dinamică de risc de securitate cibernetică la nivelul operatorului esențial
x
FE12
Procesul de identificare a alertelor de securitate cibernetică, pregătirea documentelor de notificare și fluxul de notificare
x
x
FE13
Analiza riscurilor de securitate la nivelul operatorului economic, conform standardelor și specificațiilor europene și internaționale stabilite prin
pentru aprobarea Listei standardelor și specificațiilor europene și internaționale
x
13 teme/nivel teoretic și practic
30 ore (15 ≥ IP ≥ 10)
Anexa 3 TEMATICA
pentru formarea responsabililor cu securitatea rețelelor și sistemelor informatice
Formarea profesională
Tema
Instruire
Teoretică
Practică
Formarea responsabililor NIS
FI1
Termeni și noțiuni privind securitatea cibernetică aplicată la nivelul operatorilor de servicii esențiale și furnizorilor de servicii digitale, în conformitate cu legislația în vigoare în domeniul securității cibernetice de la nivelul României și UE
x
FI2
Mijloace și moduri de comunicare cu autoritatea competentă la nivel național pentru securitatea rețelelor și sistemelor informatice stabilite în baza:
1.
privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice, cu modificările și completările ulterioare;
2. actelor normative subsecvente de nivel secundar și terțiar în aplicarea
Legii nr. 362/2018 , cu modificările și completările ulterioare;
3.
Ordonanței de urgență a Guvernului nr. 104/2021
privind înființarea Directoratului Național de Securitate Cibernetică, aprobată cu modificări și completări prin
x
x
FI3
Roluri și responsabilități în baza
Legii nr. 362/2018 , cu modificările și completările ulterioare:
1. coordonare strategică;
2. autorități competente și responsabilități; autoritatea competentă la nivel național; echipele de intervenție în caz de incidente de securitate informatică
x
FI4
Normele tehnice privind cerințele minime de asigurare a securității rețelelor și sistemelor informatice aplicabile operatorilor de servicii esențiale:
1. implementarea cerințelor minime;
2. monitorizarea aplicării;
3. elaborarea raportului de conformitate
x
x
FI5
Analiza riscurilor de securitate la nivelul operatorului economic, conform standardelor și specificațiilor europene și internaționale stabilite prin
Decizia directorului general CERT-RO nr. 88/2020
x
FI6
Procesul de identificare a alertelor de securitate cibernetică, pregătirea documentelor de notificare și fluxul de notificare
x
x
FI7
Procesul de identificare și stabilire a calității de operator de servicii esențiale:
1. încadrarea operatorului economic ca furnizor de servicii esențiale;
2. stabilirea efectului perturbator semnificativ al incidentelor la nivelul rețelelor și sistemelor informatice ale operatorilor de servicii esențiale;
3. elaborarea și transmiterea documentației către autoritatea competentă la nivel național pentru securitatea rețelelor și sistemelor informatice
x
FI8
Normele de aplicare a dispozițiilor privind verificarea și controlul îndeplinirii obligațiilor de securitate cibernetică pentru spațiul cibernetic național civil: - monitorizare, supraveghere, control și sancționare
x
8 teme/nivel teoretic și practic
30 ore (15 ≥ IP ≥ 10)
----
Textul este prelucrat automat din sursa indicată; numerotarea și legăturile pot conține erori. Referințele subliniate duc la actele citate, așa cum au fost identificate de noi.