Atacul asupra poliției Dyfed-Powys: serviciile de urgență au continuat, iar datele personalului sunt încă investigate

• Incidentul a fost identificat la 14 septembrie și a afectat unele sisteme non-urgente ale forței.
• Contactele online și prin email au fost indisponibile temporar și au fost restaurate; serviciile 999 și 101 au continuat să funcționeze.
• Forța a aplicat măsuri de precauție, a lucrat cu specialiști și monitorizează sistemele.
• Nu exista, la momentul comunicării, dovadă că datele personale ale publicului au fost accesate sau compromise.
• ICO a primit o raportare, iar investigația este gestionată cu sprijinul unității regionale de criminalitate cibernetică Tarian.

• Nu este publicat vectorul inițial, sistemul de intrare sau vulnerabilitatea exploatată.
• Nu este confirmat ransomware-ul, un actor anume, exfiltrarea sau ștergerea de date.
• Nu este confirmat că datele angajaților au fost accesate; forța investighează dacă ar fi putut fi accesate sau compromise.
• Nu sunt publice tipurile de date, numărul de persoane sau durata eventualului acces.
• Nu trebuie dedus că datele publicului sunt «sigure» în sens absolut; formularea corectă este că nu exista dovadă de acces la data comunicării.

În acest caz, separarea dintre serviciile de urgență și sistemele administrative a limitat efectul vizibil asupra publicului. Nu înseamnă că arhitectura este perfectă și nici că incidentul a fost minor. Înseamnă că organizația a putut menține funcția critică în timp ce alte canale erau investigate și restaurate.

Pentru o instituție din România, aceeași întrebare se aplică indiferent dacă serviciul este poliție, spital, utilitate sau administrație locală: ce funcție trebuie să continue în primele două ore și de ce sisteme, conturi, furnizori și canale depinde? Răspunsul trebuie scris înainte de incident și testat cu oamenii care îl vor executa.

• Minutele 0–15: numește serviciul critic, proprietarul lui și pragul la care continuitatea devine incident semnificativ. Nu începe cu numele atacatorului.
• Minutele 15–35: desenează dependențele reale — identitate, rețea, stații de lucru, telefonie, email, furnizori, acces fizic și date.
• Minutele 35–55: decide ce funcționează manual, ce poate fi izolat și ce contact alternativ rămâne dacă emailul și portalul public nu sunt disponibile.
• Minutele 55–75: stabilește cine anunță angajații, autoritatea competentă, furnizorii și publicul; fiecare rol trebuie să aibă un nume și un înlocuitor.
• Minutele 75–90: notează ce dovezi trebuie păstrate pentru investigație și ce criteriu permite revenirea unui sistem, fără să confunzi restaurarea cu închiderea incidentului.

• Menține o hartă a serviciilor și a dependențelor, nu doar un inventar de servere. Marchează clar ce susține siguranța oamenilor și ce poate aștepta.
• Separă administrarea, accesul furnizorilor și serviciile critice; verifică dacă un cont de suport poate ajunge din zona non-urgentă în zona operațională.
• Păstrează liste offline cu contacte, proceduri manuale și copii de configurare care nu depind de același director de identitate.
• Definește dinainte criteriul pentru «date posibil accesate»: cine investighează, cine decide notificarea și cum sunt protejați angajații cât timp faptele se clarifică.
• Cere furnizorilor dovezi datate despre izolare, restaurare și loguri. «Sistemul este din nou online» nu este dovadă că accesul atacatorului a fost eliminat.

Un incident britanic nu creează obligații pentru o organizație din România. Poate fi însă un scenariu bun pentru a testa obligațiile care există deja: gestionarea riscului, continuitatea, controlul furnizorilor și evaluarea notificării dacă datele personale ar fi putut fi afectate.

Nici faptul că serviciile de urgență au continuat, nici faptul că datele publicului nu erau confirmate ca accesate nu închide analiza. Conducerea trebuie să păstreze cronologia, deciziile, măsurile de precauție și motivul pentru care a notificat sau nu a notificat. Asta este diferența dintre o restaurare rapidă și o lecție reutilizabilă.

Awarely Learning poate rula exercițiul de continuitate pe roluri, iar Awarely Monitor poate lega activele, furnizorii și dovezile de remediere. Încadrarea legală și decizia de raportare rămân ale organizației și ale consultanților săi.