Afacerea mică și PFA-ul în fața unui atac cibernetic

Multe familii din România au o mică afacere: un PFA de programare, un cabinet, un magazin, o firmă de construcții cu doi angajați, o activitate de contabilitate de acasă. Pentru ele, un atac cibernetic nu înseamnă doar pierderea pozelor de familie, ci și a facturilor, a clienților și a venitului. Capitolul acesta e un plan simplu de protecție și continuitate, la nivelul unei afaceri mici, fără departament IT. Nu înlocuiește sfatul contabilului și al unui specialist în securitate, dar acoperă ce poți face singur.

Riscurile principale pentru o afacere mică

Frauda cu IBAN-ul schimbat: cea mai scumpă greșeală

E una dintre cele mai frecvente și mai păgubitoare fraude pentru firmele mici. Escrocii intră în e-mailul tău sau al unui partener, urmăresc conversațiile și, la momentul potrivit, trimit o factură reală, dar cu alt IBAN.

• Spune-le și clienților tăi: „Contul nostru nu se schimbă prin e-mail. Dacă primiți un astfel de mesaj, sunați-ne.”
• Pune IBAN-ul în contracte și pe site-ul firmei.
• Pentru plăți mari, folosește regula „patru ochi”: o a doua persoană verifică.

Protecția de bază, în 10 puncte

1. E-mailul firmei: parolă unică, autentificare în doi pași (ideal cheie fizică), alerte la autentificări noi.
2. Conturi separate: ce e al firmei nu stă în contul personal de e-mail sau pe telefonul copiilor.
3. Manager de parole cu seif separat pentru firmă; acces de urgență pentru o persoană de încredere.
4. Actualizări automate pe toate calculatoarele și telefoanele folosite pentru firmă.
5. Copii de siguranță 3-2-1 pentru contabilitate, contracte, baza de clienți (vezi copiile de siguranță), cu cel puțin o copie offline, testată.
6. Conturi de utilizator standard pe calculatoare; drepturi de administrator doar când e nevoie.
7. Angajații (dacă ai): conturi personale, nu o parolă comună; acces scos imediat la plecare.
8. Plăți: verificare telefonică a oricărei schimbări de IBAN; limite de plată în internet banking.
9. Wi-Fi separat pentru clienți și pentru casele de marcat/POS, unde e posibil.
10. Un plan de continuitate pe o pagină, tipărit.

Obligațiile digitale fiscale și ce faci când pică

În România, facturarea electronică prin sistemul e-Factura al ANAF a devenit obligatorie pentru tot mai multe categorii de tranzacții, iar casele de marcat transmit date către ANAF. Regulile și termenele s-au schimbat de mai multe ori; verifică situația ta cu contabilul.

• Accesul la SPV/e-Factura: depinde de certificatul digital (token sau cloud). Ține minte data expirării și ai un plan de înlocuire rapidă.
• Programul de facturare: exportă periodic facturile și registrele într-un format deschis (PDF, Excel/CSV), în backup.
• Dacă sistemul ANAF e indisponibil: documentează cu capturi de ecran; urmărește anunțurile ANAF privind prelungirea termenelor; discută cu contabilul ce documente de rezervă emiți.
• Casa de marcat: află din manual și de la firma de service ce faci la pană de curent sau de comunicație (multe aparate stochează datele și le transmit ulterior). Ține un rulou de hârtie de rezervă.

Planul de continuitate pe o pagină

Răspunde, în scris, la întrebările de mai jos și tipărește foaia. O ții în birou și acasă.

Dacă te lovește un ransomware

1. Deconectează imediat de la rețea calculatoarele afectate (cablu, Wi-Fi). Nu le opri brutal dacă un specialist îți cere să le păstrezi pentru analiză.
2. Deconectează discurile de backup.
3. Sună la firma de IT (dacă ai) și raportează la DNSC (1911).
4. Nu plăti răscumpărarea. Recomandarea autorităților e clară: plata nu garantează recuperarea și finanțează alte atacuri.
5. Anunță poliția.
6. Dacă au fost afectate date personale ale clienților sau angajaților, evaluează împreună cu un specialist obligația de notificare a ANSPDCP (GDPR: în cel mult 72 de ore de la constatare, dacă încălcarea prezintă un risc pentru persoane) și, uneori, a persoanelor afectate.
7. Restaurează din copiile offline, pe sisteme curate.
8. Comunică onest clienților ce s-a întâmplat și ce să facă (de exemplu: atenție la e-mailuri în numele tău).

NIS2: te privește?

Prin OUG 155/2024, regulile europene NIS2 au extins obligațiile de securitate cibernetică la multe firme mijlocii și mari din sectoare importante. Majoritatea PFA-urilor și microîntreprinderilor nu intră direct sub aceste obligații, dar pot fi afectate indirect: clienții mari, care intră, le pot cere furnizorilor măsuri de securitate în contracte. Dacă lucrezi pentru firme din energie, sănătate, transport sau administrație, întreabă-ți clienții ce așteaptă de la tine.

Asigurarea

Există polițe de asigurare pentru riscuri cibernetice, inclusiv pentru firme mici. Pot acoperi costuri de recuperare, consultanță, uneori pierderi de venit. Citește atent excluderile (multe nu acoperă fraudele în care angajatul a autorizat plata). Asigurătorul va cere de obicei măsuri minime: doi pași, backup, actualizări.

Angajații: cel mai bun senzor

Într-o firmă mică, oamenii observă primii lucrurile ciudate: un e-mail neobișnuit, un calculator lent, o cerere de plată atipică. Spune-le clar că vrei să afli de orice suspiciune și că nimeni nu e pedepsit pentru că a raportat, nici dacă a dat click din greșeală. O greșeală raportată în 5 minute costă mult mai puțin decât una ascunsă o săptămână. Fă o scurtă discuție de 15 minute la câteva luni, cu exemple reale de mesaje false.

Afacerea, familia și casa

La afacerile de familie, granița dintre casă și firmă e subțire. Câteva reguli:

• Laptopul firmei nu e folosit de copii pentru jocuri.
• Contabilitatea nu stă pe același disc cu pozele de familie fără backup separat.
• Rezerva de numerar a familiei e separată de casa firmei.
• Ambii parteneri știu unde sunt actele firmei, tokenul, parolele de urgență.