Cristiana Deca, Decalex Digital: Încrederea consumatorului român se recâștigă greu | Prima rundă

Companiile medii și mari din România acordă tot mai multă atenție conformității și securității cibernetice, pe fondul noilor reglementări precum NIS2 (directiva UE care obligă companiile să implementeze măsuri stricte de gestionare a riscurilor asociate cu securitatea cibernetică) și AI Act (primul cadru legislativ pentru reglementarea inteligenței artificiale). Totodată, există un interes crescut pentru automatizarea proceselor și optimizarea resurselor prin soluții bazate pe AI.

„Vedem un nivel mai mare la nivel de boarduri, legat de ce înseamnă, ce impact poate să aibă chiar la nivel lor personal al oamenilor din management. Vedem o tendință și o dorință de a automatiza lucruri, de a îmbunătăți procese care nu merg în companie”, a spus Cristiana Deca la emisiunea „Prima rundă.”

Investițiile în măsurile de siguranță cibernetică și conformitate au crescut în special după pandemie, care a accelerat digitalizarea. Conformitatea nu mai este privită doar ca o obligație sau un cost, ci ca o componentă importantă pentru reputația unei companii și pentru menținerea încrederii consumatorilor.

„Piața de cybersecurity crește cu 30% pe an, ceea ce este enorm pentru o piață care nu are cultura conformității. [...] Companiile au înțeles că, de fapt, costul în bani este mai mic decât costul reputațional. În momentul în care reputațional vorbind te atinge o astfel de situație, costurile sunt mult mai mari pentru că încrederea consumatorului se recâștigă foarte, foarte greu, cel puțin în piața din România. Noi avem și un ADN de popor neîncrezător, probabil și din cauza istoricului nostru. Vedem că există această tendință de a avea mai grijă de informațiile pe care companiile le au, pentru a-și păstra relația cu consumatorul.”

Diferențe între piața din România și Europa

• În Londra ne-am extins ca să înțelegem profilul clientului de acolo. Este fascinant să vezi niște diferențe atât de mari. Am observat că ei sunt foarte ancorați în soluții tehnologice și preferă soluții SaaS,  la care se adaugă ulterior proiecte de consultanță dacă este nevoie.
• În UK este mult mai transparent și mai ușor de înțeles care sunt cerințele legislative. Am observat că au o deschidere mai mare spre a avea încredere în tine ca furnizor încă de la început. Acolo pierzi încrederea dacă nu ți-ai făcut treaba, la noi o câștigi mai greu.

Bune practici din alte piețe europene 

• La început, când nu ai bugete de conformitate, soluția este să lucrezi cu soluții SaaS de conformitate. 
• Dacă vrei să ai un business sănătos, dar la început nu îți permiți investiții mari, soluția este să implementezi servicii de bază și să ai în vedere lucrurile acestea încă de la început. Pe măsură ce te dezvolți și îți creezi educația necesară, înțelegi când trebuie să treci la următorul nivel.
• Am văzut în ultimii doi ani această tendință și în România, ca firmele mici să își creeze măcar o zonă de siguranță pe partea de conformitate.

Cele mai frecvente vulnerabilități din companii 

• Cea mai mare vulnerabilitate este omul. În pandemie, toată lumea a început să lucreze cu excepții, iar aceste excepții au devenit o regulă de a opera în organizații.
• Aceste reguli nu erau stabilite prin proceduri, erau niște excepții pe situații ad-hoc care, prin uzanță, au devenit reguli. Noi suntem și un popor care vrea să rezolve lucrurile, dar rezolvarea aceasta nu înseamnă de cele mai multe ori să respectăm o regulă, ci să găsim soluția.
• Din pandemie ne-am creat ideea asta că „lasă că de data aceasta fac așa, că e mai ușor”. Acestea sunt cele mai frecvente cazuri care duc la erori, incidente și scurgeri de informații.
• Ceea ce insistăm noi să se întâmple în organizații este educația permanentă a oamenilor, nu o dată pe an. O dată pe săptămână sau o dată pe lună, să primească un reminder, un infografic, sau orice care să-i amintească de acest subiect.
• Din prea multă încredere în mediul în care lucrează și în colegi, oamenii dau click pe tot felul de mail-uri, spam-uri sau tentative de spoofing, acestea sunt unele dintre cele mai frecvente erori care duc la incidente.

Cele mai costisitoare greșeli în cybersecurity și conformitate

• Cea mai scumpă greșeală este acest spoofing care se face în special în zona financiară, prin mail-uri care vin către departamentul financiar să aprobe sau să confirme o plată.
• O altă greșeală foarte scumpă este luarea unor decizii fără a cunoaște contextul organizațional. Această problemă nu se rezolvă fără să știi unde ești, fără acea radiografie pe care o faci prin analiza GAP. Dacă nu ai analiza aceasta, nu știi ce să măsori și cu ce te confrunți.
• După directiva NIS2, oamenii și boardurile au început să înțeleagă că trebuie să facă această analiză ca să vadă cum stau. Degeaba implementezi zece soluții de securitate cibernetică dacă nu știi de unde ai plecat. După directiva aceasta vedem o tendință ca managerii să vrea să fie educați și să înțeleagă ce decizii iau în board. Un manager poate fi tras la răspundere dacă a tăiat bugetul pe această zonă și a avut loc un incident. 

Impactul NIS2 și AI Act asupra strategiilor de business

• Este pentru prima oară când partea de securitate cibernetică este la masa de board, lângă buget, provizioane și toate celelalte subiecte importante. Pentru companiile listate la bursă este deja un indicator de performanță care se măsoară prin raportare.
• Conformitatea a fost întotdeauna privită ca ceva foarte rigid, ceva care ține de legal sau de tehnic. Acum, AI Act și Directiva NIS2 aduc acest subiect direct în board.
• Bugetul trebuie să fie separat pentru protecția board-ului și trebuie votat separat pentru lucrurile din această zonă.
• În strategia de business, orice automatizare vine la pachet cu întrebarea: cum ne uităm la soluția aceasta din perspectivă de risc? În momentul în care ai un flux automatizat cu AI care este și conform, ai probabil un avantaj competitiv foarte mare în piață.
• Majoritatea companiilor au înțeles că AI înseamnă să tai costuri și resurse, dar AI-ul încă face erori foarte mari. Majoritatea soluțiilor halucinează și este nevoie de oameni în spate care să le verifice. Dacă ai tăiat costul omului și l-ai trimis acasă, nu mai ai know-how să verifici soluția pe care ai implementat-o.
• Comisia Europeană a introdus acest strat de verificare umană pe zona de AI conformity, iar eu consider că este extrem de important. Acest lucru transformă omul într-o valoare foarte mare pentru companii în continuare.

Cum ar trebui abordată corect guvernanța AI

• Să nu pleci de la ideea că tai costuri, ci că introduci un nivel de rapiditate mai mare pe un anumit flux. Trebuie să pui un obiectiv clar și să stabilești unde dorești să ajungi.
• Niciun flux nu poate fi automatizat 100%. Automatizând 80% dintr-un flux, trebuie să vezi în ce părți poți interveni, unde sunt quick win-urile și unde poți măsura dacă soluția halucinează sau nu.
• Trebuie să măsori impactul și să vezi ce alte resurse mai ai nevoie ca să aduci soluția la un nivel optim. Proiectul acesta este mai degrabă un proiect de strategie de business decât de conformitate.
• Pe fiecare pas din strategie există acest strat de verificare: să vedem dacă respectă normele din zona protecției datelor și drepturile oamenilor. Aici se adaugă toată partea de siguranță cibernetică și protecție a datelor.
• Din perspectiva noastră, noutatea a fost GDPR și este în continuare baza. GDPR-ul a reglementat pentru prima dată AI-ul și de acolo a plecat totul.

Cele mai vulnerabile industrii la atacuri cibernetice

• Aș spune industria energiei, pentru că suntem și în această zonă de război, iar războiul este și la nivel cibernetic foarte mare. România are o poziție geostrategică destul de importantă.
• În industria de energie vedem foarte clar la clienții noștri că sunt sub o presiune enormă din perspectiva aceasta.
• Ulterior aș spune industria bancară, pentru că și aici este o presiune foarte mare. În zona bancară sunt și costurile foarte mari în ceea ce privește atacurile cibernetice și remedierea lor.
• Aș vedea în viitor industria medicală ca fiind următoarea pe listă. Datele pacienților sunt extrem de importante și reprezintă o monedă de schimb extraordinar de puternică. 
• Ca să ne protejăm, principalul lucru pe care trebui să îl facem este educația oamenilor care lucrează în organizații.
• Introducerea de controale tehnice trebuie făcută pe departamente și pe fluxuri integrate în strategia de business a companiei. Totul trebuie să fie foarte personalizat pe tipologia de business. Focusul pe oameni și educația lor sunt foarte importante.

Mituri frecvente despre cybersecurity și GDPR

• În zona de securitate cibernetică, cel mai mare mit este că „am cumpărat o soluție și am rezolvat problema”.
• Toată lumea are soluții în organizații, dar de la a avea o soluție până la a o utiliza corect din perspectiva controalelor și verificărilor este o cale foarte lungă. Aici intervine partea de guvernanță, unde faci curat în resurse și le optimizezi.
• În zona de GDPR, mitul este că dacă ai consimțământul sau ai făcut odată toate documentele, ai rezolvat problema. Autoritatea a spus în multe conferințe că este un proiect continuu.
• Eu le dau exemplu clienților mei cu contabilitatea: o faci lunar și anual. Așa este și în zona de GDPR și securitate cibernetică. Ai lucruri de făcut lunar, trimestrial și anual ca să te asiguri că rămâi la nivelul la care ți-ai dorit să ajungi cu conformitatea.

Nivelul de maturitate al pieței din România 

• Aș spune că în ultimii ani, piața din România se maturizează. Nu este la nivelul Europei de Vest, dar suntem acolo. Cred că în următorii 3-5 ani o să ajungem și noi la nivelul Europei de Vest.
• În lanțul trofic de business din România avem foarte multe companii internaționale cu hub-uri aici, care solicită standardul din Europa de Vest.
• Educația noastră în zona de business vine și forțați de interacțiunile pe care le avem cu marile companii.
• Dacă suntem furnizor la o companie mare, nu putem să bifăm că avem toate lucrurile fără să le avem. Probabil într-o zi vor veni la un audit să verifice că chiar le avem. Se vede că și mentalitatea noastră se schimbă ca oameni, iar acest lucru ajută foarte mult.

Ce înseamnă companie conformă și protejată cibernetic

• Să te asiguri că ceea ce spui că faci există realmente în fluxuri, nu doar în documentație.
• Documentația este ceva ce încununează toate aspectele care țin de procese interne. Dacă ai procese defectuoase, vei avea un business defectuos și automat nu vei avea nici conformitate.
• Dacă procesele tale sunt corecte, business-ul este sănătos și proiectul de conformitate este ceva foarte simplu de făcut.
• În momentul în care vine echipa de consultanți să te ajute în proiectul de conformitate, realmente să coincidă ceea ce spui cu ceea ce găsesc. 
• În România nu se fac audituri de procese atât de des pe cât ar trebui. 90% dintre companiile cu care am lucrat nu aveau audituri anuale de proces sau măcar la doi ani.
• Când introduci o soluție sau tehnologizezi ceva cu AI, fluxurile se schimbă. Dacă nu remapezi fluxurile ca să vezi dacă mai sunt corecte după introducerea unei soluții, nu ai de unde să știi ce se întâmplă acolo.

Probleme și situații inedite întâlnite în companii

• Noi găsim problematică piața de startup-uri, pentru că de cele mai multe ori nu au bugetele necesare pentru programe de conformitate. Vedem startup-uri care ajung în acceleratoare cu soluții care procesează informații sau le folosesc în moduri extrem de nepotrivite, fără să își dea seama.
• Am încercat să facem educație prin participarea la acceleratoare.
• O altă situație este că foarte multe companii au atât de multe soluții cumpărate pe care nu le folosesc sau nu sunt integrate corect. Am întâlnit o companie care avea în jur de 800 de soluții de securitate cibernetică. După audit am ajuns la 200 de soluții pentru toată compania, ceea ce înseamnă costuri enorme economisite.
• Noi îi spunem „groapa de gunoi a aplicațiilor”, pentru că tot adăugăm aplicații fără să le optimizăm. De multe ori, o singură soluție poate face ce fac alte câteva, trebuie doar instalată și configurată corect. 

Provocările startup-urilor legate de conformitate

• La început, fondatorii ar trebui să știe ce trebuie să aibă și să își bugeteze partea de conformitate încă din pitch-ul de investiție. Dacă îți trebuie 30.000 de euro pentru conformitate, îi treci în buget separat, în pitch-ul tău de vânzări.
• Sunt foarte multe companii care pot face un buget estimativ care să meargă într-o investiție.
• Investitorii apreciază transparența, faptul că înțelegi că subiectul acesta te vizează direct, chiar dacă încă nu ai avut buget să faci totul.
• Problema apare când startup-urile ajung în accelerator fără să fi bugetat partea de conformitate și încearcă ulterior să ia bani din investiție pentru asta.
• Odată ce ai luat un buget de la investitor, acesta cere transparență legat de ce faci cu banii.
• Mai degrabă te duci de la început și vorbești cu cineva care să te ajute să îți faci bugetarea. Să faci un prototip nelansat în piață se poate și dacă ai o zonă de conformitate spre minim.
• În momentul în care folosești date reale și ai parteneriate, ar trebui să ai de la început gândit un minim de buget pentru conformitate pentru că vorbim despre niște riscuri foarte mari.

Reglementare vs. tehnologie: presiune sau oportunitate?

• Cred că reglementarea nu va ține niciodată pasul cu tehnologia și nici nu ar trebui să fie acesta scopul.
• Reglementarea ar trebui să ajute la educarea pieței și a oamenilor de business. O mare parte din problemă, în România, este generată de lipsa culturii de conformitate.
• Când a intrat în vigoare GDPR, toată lumea era disperată să nu ia amenzi, dar problema mare era că nimeni nu știa ce date are, unde sunt și ce face cu ele. Acum, 10 ani mai târziu, majoritatea au înțeles că nu amenda este problema. Nu avem încă în ADN-ul acestui popor să facem conformitate. Vedem obligația legală ca pe o presiune pentru că o asociem cu obligațiile către ANAF sau contabilitate. 
• În schimb, autoritatea de la noi a fost destul de relaxată de-a lungul timpului. În Franța sau Germania, inclusiv startup-urile au bugete de conformitate de 30.000-50.000 de euro încă de la lansarea produsului.
• Ei nu simt conformitatea ca pe o presiune, pentru că sunt obișnuiți să includă aceste costuri în produs sau serviciu. La noi, bătălia este de multe ori la cost și preț, nu la calitate.

Cât mai durează schimbarea de mentalitate

• Mai e nevoie de 3-5 ani, aș spune, ca să schimbăm mentalitatea în direcția aceasta. Educația rămâne pilonul de bază. Când ieșim din firmă, noi suntem consumatorii și pe noi ne vizează atacurile cibernetice.
• Astăzi avem oportunitatea să învățăm cum să ne protejăm pe noi. Noi facem foarte multe simulări în companii ca oamenii să înțeleagă efectiv cum arată un atac.

Ce ar trebui să știe antreprenorii despre cybersecurity și conformitate

• Să nu se sperie de subiect. Să nu trateze conformitatea și cybersecurity-ul ca pe ceva ce poate fi lăsat în urmă. 
• Subiectul acesta poate aduce foarte multe beneficii în companie. Poate aduce inclusiv avantaje financiare, dacă știi cum și când să te uiți la el.

‍