După un incident cibernetic:
primele ore și ce urmează

Primele ore: ce faceți și ce nu#

Primele decizii hotărăsc dacă veți mai putea afla ce s-a întâmplat. Ghidurile CISA și NCSC spun același lucru: izolați coordonat, păstrați probele, comunicați pe un canal pe care atacatorul nu îl vede ²⁵.

• Izolați sistemele afectate; dacă sunt multe, scoateți rețeaua offline de la switch. În cloud, faceți un snapshot de volum ².
• Opriți dispozitivele doar dacă nu le puteți deconecta: oprirea distruge probele din memoria volatilă ².
• Faceți imagini de sistem și capturi de memorie pe un eșantion de dispozitive, începând cu probele volatile ².
• Țineți un registru central de decizii — ce, când, cine, de ce — cu ora standardizată ⁵.
• Investigați, pe cât posibil, înainte de restaurare ⁵.

Conflictul dintre păstrarea probelor, izolare și continuitate e real; ENISA cere să fie decis după un proces clar, stabilit dinainte, cu reguli de lanț de custodie ⁸. Ghidul metodologic al ASC preia aceeași cerință pentru Moldova ²⁵.

Cui raportați și în cât timp#

În Republica Moldova, autoritatea competentă e Agenția pentru Securitate Cibernetică (ASC), care e și echipa națională de răspuns la incidente ¹³¹⁴. Un furnizor identificat după Legea 48/2023 o notifică în 24 de ore de la luarea la cunoștință — și atunci când impactul semnificativ doar se poate presupune rezonabil —, revine cu o actualizare în 72 de ore și cu raportul final într-o lună ¹³. Notificarea se face prin formularul „Semnalează un incident” de pe ncsc.md ¹⁶; modelul oficial prevăzut de HG 562/2025 se aprobă de directorul ASC ¹⁵.

Noua lege a datelor personale, Legea 195/2024, e în vigoare din 23 august 2026 și preia regulile GDPR: notificare în cel mult 72 de ore „dacă este posibil”, cu motivul întârzierii dacă se depășește, informarea persoanelor la risc ridicat și documentarea oricărei încălcări ¹⁷²². O firmă din Moldova cu clienți în UE și un reprezentant acolo nu are „ghișeu unic”: notifică fiecare autoritate din statele unde locuiesc persoanele afectate ²³.

Ransomware: a plăti sau nu#

Poziția oficială e aceeași pe ambele maluri ale Atlanticului. CISA și FBI „nu încurajează plata”: nu garantează recuperarea și încurajează alte atacuri; raportați oricum, fie că plătiți, fie că nu ¹². NCSC UK subliniază că organele de aplicare a legii nu încurajează, nu susțin și nu tolerează plata, iar ENISA recomandă să nu plătiți și să nu negociați ⁷⁹. Chiar și după plată, decriptarea poate dura săptămâni și nu repară vulnerabilitățile prin care a intrat atacatorul ⁶.

Ghidurile EDPB tratează separat ransomware-ul: dacă există copie de rezervă și datele nu au fost exfiltrate, notificarea poate să nu fie necesară, dar încălcarea se documentează; iar evaluarea riscului nu așteaptă expertiza criminalistică ²⁴.

Izolare, eradicare, recuperare#

NIST a rescris în 2025 ghidul de răspuns la incidente (SP 800-61 Rev. 3) ca profil al CSF 2.0: fazele vechi se regăsesc în funcțiile cadrului, iar lecțiile învățate se împărtășesc imediat, nu abia la final ¹.

• Stabiliți cauza principală și căutați indicatori de compromitere și persistență și pe ținte neconfirmate — altfel subestimați amploarea ¹.
• Verificați integritatea copiilor de rezervă înainte de restaurare — NCSC recomandă să presupuneți că și ele pot fi compromise ¹⁶.
• Înainte de producție, verificați activele restaurate pentru indicatori de compromitere și remediați cauza principală ¹.
• Căutați malware-ul „precursor” (dropper-ul) înainte de reconstrucție ².
• Declarați sfârșitul incidentului după criterii și scrieți un raport post-acțiune ¹.

După incident: dovada că breșa e închisă#

Faptul că sistemele merg din nou nu înseamnă că atacatorul a plecat. CISA cere, după eradicare, monitorizare pentru reintrare, un test sau o revizuire independentă care să valideze revenirea la normal, testarea controalelor înainte de producție și emularea tacticilor atacatorului ca să verificați contramăsurile ⁴. Avizul AA20-245A recomandă ca eradicarea să fie confirmată de un terț ³, iar NCSC notează că partenerii pot cere asigurare independentă înainte să se reconecteze la sistemele dumneavoastră ⁶.

Ședința de lecții învățate se ține cu responsabili și termene; constatările intră în evaluarea riscurilor, iar jurnalele se păstrează cel puțin 12 luni ¹⁸¹⁵.

Cum vă ajutăm după un incident#

1. Evaluarea de compromitere

   Căutăm urmele atacatorului și mecanismele de persistență pe sistemele restaurate și pe cele neconfirmate.

2. Re-testul vectorului de intrare

   Verificăm că vulnerabilitatea prin care a intrat atacatorul e închisă și că nu există o cale alternativă.

3. Emularea atacului

   Reluăm tacticile atacatorului ca să vedeți dacă detecția și contramăsurile noi funcționează.

4. Raport pentru autoritate și parteneri

   Constatări, dovezi și concluzia testului independent, gata de anexat la raportul final.

Întrebări frecvente