Lecția de azi pentru IMM-uri: o echipă informată este un control de securitate

Astăzi, 27 iulie, Federal Trade Commission (FTC) din SUA și Veterans Business Outreach Centers au organizat o sesiune pentru proprietari de mici afaceri despre evitarea fraudelor și reducerea riscurilor de cybersecurity. Mesajul central este simplu: o echipă informată este cea mai bună apărare împotriva escrocilor și infractorilor cibernetici. Evenimentul este orientat spre SUA și nu creează obligații în România, dar controlul evidențiat este universal.

Majoritatea IMM-urilor nu pierd bani fiindcă angajatul nu a auzit niciodată cuvântul phishing. Pierd când o cerere realistă apare într-un moment aglomerat: un furnizor schimbă contul bancar, un director cere un fișier confidențial, un pretins tehnician IT solicită un cod MFA sau un client este convins să instaleze acces la distanță.

Fă din „verifică” un proces, nu o trăsătură de personalitate

Îndemnul de a fi atent este slab, pentru că atacatorii fabrică urgență, autoritate și familiaritate. Un control mai bun oferă o acțiune scurtă, folosibilă sub presiune: oprește tranzacția, verifică solicitarea printr-un canal obținut independent și raportează tentativa. Persoana care pune o plată pe pauză trebuie susținută, nu criticată că încetinește activitatea.

Pentru schimbarea datelor bancare, folosește un număr de telefon deja cunoscut și un al doilea aprobator. Pentru recuperarea unui cont, folosește fluxul de suport documentat, nu numărul de la care ai fost sunat. Pentru documente și credențiale sensibile, confirmă destinatarul și folosește un canal aprobat de partajare securizată. Sunt reguli de business care fac acțiunea sigură și ușor de aplicat.

Rutina minimă anti-fraudă pentru un IMM

• Definește cererile care cer mereu verificare independentă: schimbări de cont bancar, plăți urgente, modificări de payroll, coduri MFA sau de recuperare, aplicații de acces la distanță și fișiere confidențiale
• Publică contacte de escaladare de încredere pentru financiar, IT, HR și conducere; nu lăsa niciodată apelantul sau emailul să aleagă canalul de verificare
• Folosește scenarii pe rol pentru cei care aprobă plăți, administrează date de furnizori, resetează conturi sau comunică cu clienții
• Oferă angajaților o singură rută simplă de raportare și notează ce s-a întâmplat inclusiv când nu există pierdere; near miss-urile arată unde procesul e neclar
• Revizuiește procesul după fiecare exercițiu sau tentativă raportată și comunică echipei schimbarea făcută

Trainingul devine dovadă când comportamentul poate fi testat

Procentul de finalizare este o administrare utilă, dar nu demonstrează că echipa va contesta o cerere convingătoare. Combină învățarea scurtă și repetată cu simulări, exemple pe roluri și revizuirea de către manageri a cazurilor care contează. Măsoară raportarea, verificarea și escaladarea, nu doar faptul că cineva a văzut un video.

Pentru organizațiile românești care intră sub NIS2, igiena cibernetică și trainingul fac parte din managementul riscului; pentru cele din afara sferei, aceeași rutină protejează cash flow-ul, încrederea clienților și relațiile cu furnizorii. AWARELY Learning susține awareness pe roluri, dovezi de finalizare și cicluri de recertificare, astfel încât controlul uman să poată fi operat și revizuit în timp.