Standard ocupaţional
Specialist în proceduri şi instrumente de securitate a sistemelor informatice
În sectorul: Tehnologia informaţiei, comunicaţii, poştă
Cod:.
Data aprobării: 16.10.2008
Denumire document electronic:
Versiunea: 0
Data de revizuire preconizată: octombrie 2010

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 2 din 30
Iniţiatorul standardului: Centrul de Pregătire în Informatică – CPI-S.A.
Standardul a fost elaborat în cadrul proiectului PHARE / 2005/ 017-553.04.02.02.01. 810 “Elaborarea
de standarde ocupaţionale pentru domeniul tehnologiilor informaţiei”.
Coordonatorul echipei de redactare a standardului ocupaţional: ing. Cecilia Târâcă, consultant în
informatică, evaluator de competenţe profesionale certificat de CNFPA – Centrul de Pregătire în
Informatică CPI-S.A.
Echipa de redactare:
Mihaela Tudose, economist – cibernetică, formator, formator de formatori, evaluator de competenţe
profesionale certificat de CNFPA - Centrul de Pregătire în Informatică CPI-S.A.
Eugenia Alexandra Mihaela Aldica, matematician- informatică, formator, formator de formatori,
evaluator de competenţe profesionale certificat de CNFPA - Centrul de Pregătire în Informatică CPI-S.A.
Verificatorul standardului ocupaţional: ing. Nica Gălbenuşi
Redactorii calificării: Mihaela Tudose; Eugenia Alexandra Mihaela Aldica
Denumirea analizei ocupaţionale: Specialist în proceduri şi instrumente de securitate a sistemelor
informatice
Data elaborării analizei ocupaţionale: mai 2008
Responsabilitatea pentru conţinutul acestui standard ocupaţional şi al calificărilor bazate pe acest
standard ocupaţional revine Comitetului sectorial Tehnologia informaţiei, Comunicaţii, Poştă.
Data validării: 3 octombrie 2008
Comisia de validare:
Preşedinte: Gheorghe Şerban
Membrii: Remus Tudorică
Ştefania – Carmen Dimofte

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 3 din 30
Descrierea ocupaţiei
Specialistul în proceduri1 şi instrumente2 pentru securitatea sistemelor informatice3 este persoana responsabilă cu
găsirea şi implementarea celor mai potrivite măsuri şi mijloace pentru protejarea sistemelor informatice, astfel încât
informaţia cu care operează organizaţia să fie sigură şi corectă. Specialistul răspunde oficial de dezvoltarea,
analiza, evaluarea şi implementarea politicii de securitate a informaţiei4 într-o organizaţie. Se consideră că un
sistem informatic cuprinde: calculatoare, sisteme de transmitere a datelor, alte componente hardware, sisteme de
operare, aplicaţii şi componente software, date prelucrate precum şi personalul implicat în introducerea, păstrarea,
prelucrarea şi extragerea informaţiilor. Tehnologia Informaţiei şi Comunicaţii (prescurtat IT&C sau TIC) cuprinde
setul de instrumente tehnice ce includ echipamentele hardware, componentele software, reţelele de calculatoare,
echipamentele de comunicaţii şi standardele asociate lor. Este cadrul folosit pentru obţinerea, distribuirea, păstrarea
şi folosirea informaţiei. Specialistul în proceduri şi instrumente pentru securitatea sistemelor informatice are
competenţe legate de: asigurarea protecţiei informaţiei, detectarea şi evaluarea vulnerabilităţilor şi a riscului,
folosirea tehnologiilor adecvate pentru asigurarea securităţii reţelelor de comunicaţii, a celor de calculatoare, a
echipamentelor şi a componentelor software de orice fel, indiferent de specificul informaţional al organizaţie.
Protecţia sistemelor informatice este asigurată prin: prevenirea oricăror acţiuni îndreptate împotriva funcţionarii
corecte a sistemelor informatice, prin identificarea vulnerabilităţilor, reducerea numărului şi a pagubelor ce pot
apărea ca efect al atacurilor materializate ca urmare a breşelor de securitate generate de vulnerabilităţi.
Specialistul in proceduri si instrumente de securitate a sistemelor informatice:
elaborează şi aplică elemente din programul de securitate, inclusiv cele referitoare la securitatea fizică a
datelor, asigură confidenţialitatea informaţiilor şi disponibilitatea lor pentru persoanele în drept să le obţină
şi să le folosească;
identifică si evaluează vulnerabilităţile sistemului informatic, identifică ameninţările potenţiale, evaluează
şi prioritizează pierderile şi acţiunile îndreptate către reducerea ameninţărilor si a pierderilor de orice fel;
găseşte răspunsurile la violările de securitate identificate şi raportate;
proiectează politici si proceduri de securitate aplicabile sistemului informatic;
elaborează ghiduri de bună practică legate de cerinţele de securitate ale sistemului informatic şi de măsurile
necesare pentru protejarea sistemului;
aplică standardele de securitate pentru reţele şi calculatoare şi validează din punctul de vedere al securităţii
sistemul informatic (soluţia IT&C aflată in funcţiune);
monitorizează / supraveghează aplicarea măsurilor de securitate proiectate pentru protejarea bunurilor
fizice, a aplicaţiilor şi a altor produse software, a datelor şi colecţiilor de date faţă de utilizarea neautorizată;
analizează şi revizuieşte ameninţările, vulnerabilităţile, politicile, procedurile şi instrumentele legate
asigurarea securităţii sistemului informatic;
elaborează rapoarte legate de asigurarea securităţii sistemului informatic, de gradul de aplicare a măsurilor
de securitate stabilite, de vulnerabilităţile cunoscute şi asumate.
1 Prin procedură se înţelege metoda de rezolvare a unei probleme, defalcată în etape succesive.
2 Instrumentul este sistemul tehnic pentru cercetarea, observarea, măsurarea sau controlul unor mărimi şi este folosit pentru
îndeplinirea unei acţiuni sau atingerea unui scop.
3 Sistemul informatic este sistemul bazat pe TIC ce permite: introducerea, stocarea, prelucrarea si extragerea informaţiilor.
4 Informaţia = ştire, veste, comunicare, lămurire, un mesaj primit şi înţeles.

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 4 din 30
Activitatea specialistului în proceduri şi instrumente pentru securitatea sistemelor informatice poate fi considerată
ca laborioasă, de mare întindere şi complexitate şi de mare răspundere. Informaţiile sunt esenţiale pentru
organizaţii: informaţiile sigure şi corecte permit desfăşurarea normală a activităţii unei organizaţii şi oferă încredere
în relaţiile cu clienţii şi partenerii.
Principalele activităţi ale specialistului în proceduri şi instrumente pentru securitatea sistemelor informatice sunt
legate de:
Elaborarea inventarului informaţiilor şi al bunurilor care au legătură cu informaţia, inclusiv identificarea
proprietarului (deţinătorului) informaţiei, responsabil cu aplicarea strictă a măsurilor de securitate;
Clasificarea informaţiilor după gradul de protecţie specifică necesară;
Stabilirea procedurilor de copiere, păstrare, transmitere, distrugere, salvare, restaurare, prelucrare pentru
fiecare categorie (clasă) de informaţii identificată în organizaţie;
Elaborarea documentelor privitoare la strategia şi obiectivele de securitate ale organizaţiei şi la cadrul
organizaţional de aplicare;
Construirea modelului ameninţărilor şi al vulnerabilităţilor cu care se confruntă organizaţia şi stabilirea
criteriilor pentru evaluarea importanţei riscurilor;
Stabilirea legăturilor dintre ameninţări, vulnerabilităţi, probabilitatea de materializare, pierderi potenţiale,
riscuri şi construirea pe această bază a tabelului riscurilor ce pot afecta activitatea şi dezvoltarea normală a
organizaţiei;
Elaborarea planului de management al riscurilor, al acţiunilor de prevenire şi de reacţie după materializarea
ameninţării / vulnerabilităţii, precum şi elaborarea planului măsurilor de securitate aplicabile;
Definitivarea politicii de securitate a organizaţiei ce va conţine măsuri de securitate defalcate pentru fiecare
post de lucru (rol îndeplinit în organizaţie). Măsurile sunt aplicabile la nivelul resurselor umane, mediului
de lucru, comunicaţiilor şi operaţiunilor efectuate în organizaţie, controlului accesului, achiziţionării,
dezvoltării şi întreţinerii componentelor hardware şi software, al managementului incidentelor de securitate
şi al continuării activităţilor organizaţiei.
Proiectarea procedurilor de testare / verificare a aplicării măsurilor de securitate în organizaţie, respectiv
evaluarea conformităţii rezultatelor cu obiectivele din strategia de securitate a organizaţiei;
Elaborarea planului de implementare a măsurilor de securitate, a celui de testare periodică a reacţiei la
incidente previzibile; stabilirea persoanelor responsabile cu implementarea măsurilor de securitate;
Elaborarea planului de comunicare (de alertă) şi răspuns la apariţia incidentelor sau la suspiciunea apariţiei
unui incident, inclusiv a planului de identificare a atacului, atacatorului şi de acumulare a dovezilor;
Proiectarea machetei jurnalelor / formularelor pentru: raportarea incidentelor identificate şi a răspunsurilor,
documentarea detaliată a incidentelor, identificarea erorilor şi a deficienţelor de funcţionare ;
Elaborarea codului de conduită în vederea asigurării securităţii informaţiei în organizaţie, a ghidului de
aplicare a măsurilor de securitate; organizarea sesiunilor de instruire şi antrenare a personalului pentru
aplicarea procedurilor de securitate.
Principalele responsabilităţi ale specialistului în proceduri5 şi instrumente6 pentru securitatea sistemelor
informatice sunt:
Identificarea cerinţelor de securitate a informaţiei
Proiectarea procedurilor de securitate a informaţiei
5 Prin procedură se înţelege metoda de rezolvare a unei probleme, defalcată în etape succesive.
6 Instrumentul este sistemul tehnic pentru cercetarea, observarea, măsurarea sau controlul unor mărimi şi este folosit pentru
îndeplinirea unei acţiuni sau atingerea unui scop.

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 5 din 30
Elaborarea programului de implementare a securităţii informaţiei
Revizuirea modelului ameninţărilor şi al vulnerabilităţilor
Instruirea personalului
Informaţia este considerată o resursă importantă a organizaţiilor. Informaţia poate fi stocată pe hârtie, electronic,
poate fi transmisă prin poştă, transmisă prin mijloace electronice, prezentată pe filme sau comunicată în timpul unei
conversaţii. Securitatea informaţiei se obţine prin acţiuni de protecţie faţă de o gamă largă de ameninţări cu scopul
de a asigura continuitatea activităţii organizaţiei, minimizarea riscului apariţiei şi manifestării unor evenimente
nedorite şi maximizarea investiţiei şi oportunităţilor organizaţiei. Securitatea informaţiei se obţine prin
implementarea unui set adecvat de politici şi proceduri specifice.
Informaţiile şi resursele (bunurile) care au legătură cu informaţia pot fi: baze de date, fişiere de date, contracte,
acorduri, documentaţii, informaţii rezultate din cercetare, manuale de utilizare, specificaţii de realizare, specificaţii
tehnice de orice fel, materiale folosite pentru instruirea personalului, proceduri operaţionale şi ajutătoare, planuri
curente şi cele legate de continuarea activităţii (afacerii), arhive şi informaţii arhivate, dovezi de audit, resurse
software (programe / aplicaţii, sisteme de operare, programe utilitare, instrumente pentru dezvoltarea şi testarea
aplicaţiilor, jurnale de evenimente, jurnale de erori, registrele care consemnează operaţii efectuate şi stări
constatate), resurse hardware (echipamente, inclusiv echipamentele mobile, mijloace / medii de comunicaţii).
Securitatea informaţiei înseamnă protecţia în faţa ameninţărilor identificate şi pentru care a fost evaluat riscul
materializării, manifestării acestora.
Faţă de complexitatea atribuţiilor ce îi revin specialistului în proceduri şi instrumente pentru securitatea sistemelor
informatice, considerăm că practicarea cu succes a acestei ocupaţii necesită vaste cunoştinţe teoretice şi deprinderi
practice, după cum urmează:
solide cunoştinţe de hardware si software: arhitecturi de calculatoare, sisteme de operare, sisteme de fişiere,
permisiuni de acces, privilegii, restricţii, baze de date, aplicaţii diverse;
reţele de calculatoare: topologii LAN, WAN, topologii VLAN, principii de securitate a reţelelor, servere,
proceduri şi instrumente de autentificare, conectarea în reţea, managementul serviciilor director de resurse,
interconectarea reţelelor, echipamente de interconectare, segmentarea reţelelor, firewall, conectivitatea la
Internet, protocoale, infrastructură specifică, servicii de reţea, comunicaţii sigure;
managementul riscului, vulnerabilităţi, ameninţări; politici, proceduri, instrumente pentru: detectarea intruşilor
şi intruziunilor, protecţia faţă de atacurile asupra sistemului informatic, păstrarea integrităţii şi
confidenţialităţii datelor.
În plus, specialistul are nevoie de: gândire logică, abilităţi de analiză, interpretare, prezentare de informaţii, uşurinţă
ţn scrierea de rapoarte, corespondenţă comercială, manuale, ghiduri, uşurinţă in rezolvarea problemelor, atenţie
distributivă, posibilitatea de a lucra sub presiune, abilităţi de comunicare şi persuasiune, capacitatea de a lucra in
condiţii de stres.

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 6 din 30
Unităţile de competenţe cheie
Unitatea 1: Comunicare în limba oficială
Unitatea 2: Comunicare în limbi străine
Unitatea 3: Competenţe de bază în matematică, ştiinţă, tehnologie
Unitatea 4: Competenţe informatice
Unitatea 5: Competenţa de a învăţa
Unitatea 6: Competenţe sociale şi civice
Cod de referinţă:
Unităţile de competenţe generale
Unitatea 1: Aplicarea prevederilor legale referitoare la sănătatea şi
securitatea în muncă şi în domeniul situaţiilor de
urgenţă
Unitatea 2: Aplicarea normelor de protecţie a mediului
Unitatea 3: Aplicarea procedurilor de calitate
Cod de referinţă:
Unităţile de competenta specifice
Unitatea 1:Identificarea cerinţelor de securitate a informaţiei
Unitatea 2:Proiectarea procedurilor de securitate
Unitatea 3:Elaborarea programului de implementare a securităţii
informaţiei
Unitatea 4: Revizuirea modelului ameninţărilor şi al
vulnerabilităţilor
Unitatea 5: Instruirea personalului
Cod de referinţă:

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 7 din 30
Unitatea 1 - Aplicarea prevederilor legale referitoare la securitatea şi sǎnǎtatea în muncǎ
şi în domeniul situaţiilor de urgenţă
(unitate generală)
Coduri de referinţă
Descrierea unităţii de competenţă:
Unitatea cuprinde cunoştinţele şi deprinderile necesare practicantului în vederea aplicării corecte a prevederilor legale
referitoare la sănătatea, securitatea în muncă şi situaţiile de urgenţă în scopul evitării producerii accidentelor, acordǎrii de
prim ajutor şi intervenţiei în cazul situaţiilor de urgenţă.
NIVELUL UNITĂŢII: 2
Elemente de competenţă
Criteriile de realizare din punctul
de vedere al deprinderilor practice
necesare
Criteriile de realizare din punctul
de vedere al cunoştinţelor necesare
Criteriile de realizare din punctul de vedere
al atitudinilor necesare
1. Transpune în practică prevederile
legale referitoare la sănătatea şi
securitatea în muncă
1.1. Însuşirea normelor referitoare la
sănătatea şi securitatea în muncă este
realizată prin participarea la instruiri
periodice, pe teme specifice locului de
muncă.
1.2. Echipamentul de lucru şi protecţie
specific activităţilor de la locul de muncă
este asigurat conform prevederilor
legale.
1.3. Mijloacele de protecţie şi de
intervenţie sunt verificate, în ceea ce
priveşte starea lor tehnică şi modul de
păstrare, conform cu recomandările
producătorului şi adecvat procedurilor de
lucru specifice.
1.4. Situaţiile de pericol sunt identificate
şi analizate în scopul eliminării imediate.
1.5. Situaţiile de pericol care nu pot fi
eliminate imediat sunt raportate
persoanelor abilitate în luarea deciziilor.
Persoana supusă evaluării demonstrează
că ştie şi înţelege:
NSSM şi pentru situaţii de urgenţă.
Legislaţie şi proceduri de lucru
specifice locului de muncă.
Specificul locului de muncă.
Situaţiile de pericol sunt identificate şi
analizate cu atenţie;
Situaţiile de pericol, care nu pot fi eliminate
imediat, sunt raportate cu promptitudine
persoanelor abilitate;
Raportarea factorilor de risc este făcută pe
cale orală sau scrisă;
Înlăturarea factorilor de risc este făcută cu
responsabilitate;
În caz de accident este contactat imediat
personalul specializat şi serviciile de urgenţă;
Măsurile de prim ajutor sunt aplicate cu
promptitudine şi responsabilitate, cu
antrenarea întregii echipe.

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 8 din 30
2. Reduce factorii de risc 2.1. Identificarea factorilor de risc este
realizată în funcţie de particularităţile
locului de muncă.
2.2. Raportarea factorilor de risc este
făcută conform procedurilor interne.
2.3. Înlăturarea factorilor de risc este
făcută conform reglementărilor în
vigoare.
3. Respectă procedurile de urgenţă şi
de evacuare
3.1. Accidentul este semnalat cu
promptitudine personalului specializat şi
serviciilor de urgenţă.
3.2. Măsurile de evacuare în situaţii de
urgenţă sunt aplicate corect, respectând
procedurile specifice.
3.3. Măsurile de prim ajutor sunt
aplicate, în funcţie de tipul accidentului.
Gama de variabile
Documentaţie de referinţă: legislaţie specifică securităţii şi sănătăţii în muncă, NSSM şi în domeniul situaţiilor de urgenţă, regulament de ordine interioară (ROI), fişa
postului, plan prevenire şi protecţie, proceduri interne specifice locului de muncă, tematică pentru instruiri etc.
Riscuri: pericol de lovire pe căi de circulaţie, cădere de obiecte şi materiale de la înălţime, în timpul manevrării, proiectare de particule în special în ochi, risc de alunecare,
pericol de tăiere cu scule şi unelte conţinând părţi metalice/ ascuţite, arsuri etc.
Factori de risc: referitori la sarcina de muncă, executant, mediul de muncă, procesul tehnologic.
Particularităţile locului de muncă: în interiorul unor clădiri, manevrări de piese cu risc, condiţii de luminozitate, etc.
Situaţii de urgenţă: accidente, cutremure, incendii, explozii, inundaţii, etc.
Aspecte relevante: fronturi de lucru existente şi tipurile activităţilor desfăşurate, modalitatea de organizare a activităţilor, existenţa şi repartizarea căilor de acces, numărul de
participanţi în procesul de muncă şi distribuirea pe posturi de lucru, condiţiile de iluminare, etc.
Mijloace de semnalizare: utilizate permanent - panouri (indicatoare, plăci), culori de securitate; etichete (pictograme, simbol de culoare pe fond); utilizate ocazional -
semnale luminoase, acustice, comunicare verbală (pentru atenţionare asupra unor evenimente periculoase, chemare sau apel al persoanelor pentru o acţiune specifică sau
evacuare de urgenţă), etc.
Echipamentul individual de protecţie a muncii: halat, mănuşi diverse, etc.
Persoane abilitate: inginer, şef de echipă, responsabili NSSM şi situaţii de urgenţă, medici, pompieri,etc.
Servicii abilitate: servicii de ambulanţă, pompieri, protecţie civilă, etc.
Modalităţi de intervenţie: îndepărtarea accidentaţilor din zona periculoasă, degajarea locului pentru eliberarea accidentaţilor, anunţarea operativă a persoanelor abilitate, etc.
Tipuri de accidente: traumatisme mecanice produse prin cădere, lovire, compresiune, tăiere, alunecare, pătrunderea corpurilor străine în ochi, etc.

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 9 din 30
Tehnici de evaluare recomandate
- Teoretice - test oral, test scris
- Practice - observarea directă în condiţii de muncă reale
- Rapoarte din partea altor persoane.

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 10 din 30
Unitatea 2 - Aplicarea normelor de protecţie a mediului
(unitate generală)
Coduri de referinţă
Descrierea unităţii de competenţă
Unitatea cuprinde cunoştinţele şi deprinderile necesare practicantului în vederea aplicării corecte a normelor de protecţie a
mediului, în scopul diminuǎrii riscurilor de mediu precum şi a consumului de resurse naturale.
NIVELUL UNITĂŢII: 2
Elemente de competenţă Criteriile de realizare din punctul de
vedere al deprinderilor practice
Criteriile de realizare din punctul
de vedere al cunoştinţelor necesare
Criteriile de realizare din punctul de vedere
al atitudinilor necesare
1. Transpune în practică norme de
protecţie a mediului
1.1. Problemele de mediu asociate
activităţilor desfăşurate sunt identificate
corect în vederea aplicării normelor de
protecţie.
1.2. Normele de protecţie a mediului sunt
însuşite prin instructaje periodice pe tot
parcursul executării lucrărilor.
1.3. Normele de protecţie a mediului sunt
aplicate corect evitându-se impactul nociv
asupra mediului înconjurător zonei de
lucru.
Persoana supusă evaluării demonstrează
că ştie şi înţelege:
Norme specifice de protecţie a
mediului.
Legislaţie şi proceduri interne de
urgenţă, specifice.
Particularităţile locului de muncă.
Problemele de mediu, asociate activităţilor
desfăşurate sunt identificate cu atenţie.
Normele de protecţie a mediului sunt însuşite
cu responsabilitate.
Eventualele riscuri ce pot afecta factorii de
mediu de la locul de muncă şi vecinătăţi sunt
anunţate cu promptitudine personalului
abilitat şi serviciilor de urgenţă.
Intervenţia pentru aplicarea de măsuri
reparatorii se desfăşoară cu promptitudine.
Identificarea situaţiilor în care se pot produce
pierderi necontrolate de resurse naturale se
face cu responsabilitate.
2. Acţionează pentru diminuarea
riscurilor de mediu
2.1. Aplicarea procedurilor de recuperare a
materialelor refolosibile se face adecvat
specificului activităţilor derulate.
2.2. Reziduurile rezultate din activităţile de
pe locul de muncă sunt manipulate şi
depozitate conform procedurilor interne,
fără afectarea mediului înconjurător.
2.3. Intervenţia pentru aplicarea de măsuri
reparatorii asupra mediului înconjurător se
face în conformitate cu procedurile de
urgenţă şi legislaţia în vigoare.
2.4. Intervenţia pentru aplicarea de măsuri
reparatorii se desfăşoară evitând agravarea
situaţiei deja create.

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 11 din 30
3. Acţionează pentru diminuarea consumului de resurse naturale.
3.1. Utilizarea resurselor naturale se face judicios.
3.2. Acţiunea pentru diminuarea pierderilor de resurse naturale se face permanent,
conform procedurilor specifice.
Gama de variabile
Documentaţie de referinţă: legislaţie privind protecţia mediului, norme de protecţia mediului, regulament de ordine interioară (ROI), fişa postului, plan prevenire şi protecţie,
proceduri interne specifice locului de muncă, tematică instruiri etc.
Factori de mediu: apă, aer, sol, specii şi habitate naturale.
Riscuri: poluarea apei, aerului, solului, degradarea biodiversităţii, etc.
Factori de risc ce acţionează asupra mediului:
- chimici: substanţe toxice, corozive, inflamabile;
- mecanici: mişcări funcţionale ale echipamentelor etc;
- termici;
- electrici;
- biologici;
- radiaţii;
- gaze (inflamabile, explozive);
- alţi factori de risc ai mediului.
Instructaje periodice: zilnice, săptămânale, lunare sau la intervale stabilite prin instrucţiuni proprii, în funcţie de specificul condiţiilor de lucru.
Persoane abilitate: inginer, şef de echipă, responsabili de mediu, pompieri, etc.
Servicii abilitate: servicii de ambulanţă, pompieri, protecţie civilă, etc.
Resurse naturale: apă, gaze, sol, resurse energetice, etc.
Tehnici de evaluare recomandate
- Teoretice - test oral, test scris
- Practice - observarea directă in condiţii de muncă reale
- Rapoarte din partea altor persoane.

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 12 din 30
Unitatea 3 - Aplicarea procedurilor de calitate
(unitate generală)
Coduri de referinţă
Descrierea unităţii de competenţă
Unitatea cuprinde cunoştinţe şi deprinderi necesare pentru îndeplinirea cu succes a activităţilor privind aplicarea procedurilor de
calitate.
NIVELUL UNITĂŢII: 2
Elemente de competenţă Criteriile de realizare din punctul de
vedere al deprinderilor practice
Criteriile de realizare din punctul de
vedere al cunoştinţelor necesare
Criteriile de realizare din punctul de
vedere al atitudinilor necesare
1. Identifică cerinţele de calitate
specifice
1.1. Cerinţele de calitate sunt identificate
corect, prin studierea prevederilor referitoare
la calitatea lucrărilor, din documentaţia
tehnică.
1.2. Cerinţele de calitate sunt identificate pe
baza indicaţiilor din fişele tehnologice,
procedurile / planurile de control.
1.3. Cerinţele de calitate sunt identificate
conform Sistemului de Management al
Calităţii implementat în unitate sau Normelor
interne de calitate.
Persoana supusă evaluării demonstrează că
ştie şi înţelege:
Criterii şi reglementări naţionale privind
asigurarea calităţii;
Prevederile din Procedurile Sistemului
de Management al Calităţii (SMC)
implementat în unitate sau ale Normelor
interne calitate;
Proceduri de lucru, proceduri de control,
tehnologie de lucru etc.;
Proceduri tehnice de asigurare a calităţii;
Acţiunile preventive şi corective
specifice locului de muncă, prevăzute în
SMC sau în Normele interne de calitate.
Cerinţele de calitate sunt identificate cu
atenţie şi responsabilitate.
Procedurile tehnice de calitate sunt
aplicate cu responsabilitate.
Verificarea calităţii lucrărilor executate
se realizează cu responsabilitate.
Verificarea calităţii lucrărilor se
realizează cu exigenţă şi atenţie.
Eventualele neconformităţi constatate
sunt remediate cu promptitudine şi
responsabilitate.
2. Transpune în practică procedurile
tehnice de asigurare a calităţii
2.1. Procedurile tehnice de asigurare a
calităţii sunt aplicate în funcţie de tipul
lucrării de executat.
2.2. Procedurile tehnice de asigurare a
calităţii sunt aplicate permanent, pe întreaga
derulare a lucrărilor, în vederea asigurării
cerinţelor de calitate specifice acestora.
2.3. Procedurile tehnice de asigurare a
calităţii lucrărilor sunt aplicate respectând
precizările din documentaţia tehnică
specifică.

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 13 din 30
3. Controlează calitatea lucrărilor
executate
3.1. Verificarea calităţii lucrărilor executate
se realizează pentru toate operaţiile.
3.2. Caracteristicile tehnice ale lucrărilor
realizate sunt verificate prin compararea
calităţii execuţiei cu cerinţele de calitate
impuse de tehnologia de execuţie şi normele
de calitate specifice.
3.3. Verificarea se realizează, prin aplicarea
metodelor adecvate tipului de lucrare
executată şi caracteristicilor tehnice urmărite.
3.4. Verificarea calităţii lucrărilor executate
se realizează, utilizând corect tehnicile
specifice IT.
4. Remediază neconformităţile
constatate
4.1. Neconformităţile constatate sunt
remediate permanent, pe parcursul derulării
lucrărilor.
4.2. Neconformităţile sunt eliminate prin
înlăturarea cauzelor care le generează.
4.3. Lucrările executate îndeplinesc condiţiile
de calitate impuse de normele de calitate
specifice.
Gama de variabile
Cerinţe de calitate: caiete de sarcini, norme interne, criterii şi reglementări interne, criterii şi reglementări naţionale, standarde tehnice, alte specificaţii.
Tipul lucrării de executat: identificarea cerinţelor de calitate, aplicarea procedurilor tehnice de asigurare a calităţii, verificarea calităţii lucrărilor executate, remedierea
neconformităţilor constatate.
Documentaţia tehnică specifică: proceduri de lucru, proceduri de control, tehnologie de lucru, specificaţii tehnice, etc.
Calitatea execuţiei se referă la: funcţionarea echipamentelor IT&C la parametrii specificaţi în fişele tehnice ale acestora
Metode de verificare a calităţii execuţiei: prin teste asupra parametrilor de funcţionare a echipamentelor IT&C.
Dispozitive / verificatoare pentru controlul şi verificarea calităţii lucrărilor efectuate: aparate de măsură şi control specifice activităţilor din domeniul IT&C, produse
software pentru testare şi benchmark etc.
Cauze care generează defecte: componente şi subansambluri electronice necorespunzătoare, nerespectarea tehnologiei de lucru, documentaţie incompletă, scule
necorespunzătoare, diverse erori umane, etc.

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 14 din 30
Tehnici de evaluare recomandate
- Teoretice - test oral, test scris
- Practice - observarea directă în condiţii de muncă reale
- Rapoarte din partea altor persoane.

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 15 din 30
Unitatea 1. Identificarea cerinţelor de securitate a informaţiei
(unitate specifică)
Coduri de referinţă
Descrierea unităţii de competenţă
Unitatea cuprinde cunoştinţele şi deprinderile necesare pentru:
Identificarea şi inventarierea informaţiilor, bunurilor, valorilor şi resurselor IT folosite în organizaţie şi care au legătură cu
informaţia. Inventarul conţine obiecte clasificate şi etichetate după gradul de protecţie aplicat. Rezultatul identificării şi
inventarierii informaţiilor şi a bunurilor care au legătură cu informaţia este formularea declaraţiei de intenţie referitoare la
strategia şi obiectivele de securitate a informaţiei, la cadrul organizaţional de aplicare a strategiei.
Identificarea ameninţărilor şi a vulnerabilităţilor legate de siguranţa informaţiei şi a bunurilor aflate în legătură cu
informaţiile; identificarea pierderilor (pagube) potenţiale provocate în situaţia materializării ameninţărilor şi probabilitatea
de manifestare a ameninţărilor. Rezultatul este modelul ameninţărilor (vulnerabilităţilor).
Analiza riscurilor, respectiv identificarea riscului (probabilitatea de apariţie a unui incident), evaluarea impactului (pierdere,
pagubă) şi asigurarea unui echilibru între impact şi costurile implementării măsurilor de protecţie. Rezultatul acestei
activităţi este planul de management al riscurilor, unde, pentru fiecare risc identificat sunt stabilite acţiunile preventive şi
reactive (răspunsul în situaţia materializării ameninţării / vulnerabilităţii).
Operaţiile corespunzătoare acestei unităţi de competenţă au drept rezultat final documentul care stabileşte strategia şi obiectivele de
securitate a informaţiei în organizaţie.
NIVELUL UNITĂŢII: 5
Elemente de competenţă Criteriile de realizare din punctul
de vedere al deprinderilor practice
Criteriile de realizare din punctul de
vedere al cunoştinţelor necesare
Criterii de realizare din punctul
de vedere al atitudinilor necesare
1. Identifică resursele şi informaţiile de
protejat
1.1. Obiectele cuprinse în inventarul
informaţiilor, al bunurilor, valorilor şi
resurselor IT care au legătură cu
informaţia sunt etichetate conform
criteriilor de importanţă proprii
organizaţiei.
1.2. Clasificarea informaţiilor şi a
bunurilor se face conform gradului de
protecţie necesară.
1.3. Procedurile speciale de prelucrare,
copiere, păstrare, transmitere, distrugere,
salvare, restaurare respectă gradul de
protecţie necesară fiecărei clase de
informaţii.
Persoana supusă evaluării demonstrează că
ştie şi înţelege:
Particularităţile soluţiilor IT&C
integrate,
Sistemele informatice şi modalităţi de
analiză a sistemelor informatice,
Arhitecturi de calculatoare, sisteme de
operare, sisteme de fişiere, permisiuni la
resurse, privilegii şi restricţii de acces,
baze de date, aplicaţii diverse,
Tipuri de date, proceduri de păstrare,
prelucrare, transmitere, securitatea
datelor, confidenţialitate, integritate,
Resursele şi informaţiile ce vor fi
protejate prin proceduri de securitate
sunt identificate cu atenţie şi
rigurozitate.
Declaraţia de intenţie pentru
strategia şi obiectivele referitoare la
securitatea informaţiei au la bază
gândirea logică, argumentarea solidă
şi denotă abilităţi de prezentare şi
comunicare eficientă a informaţiilor.
Ameninţările şi vulnerabilităţile sunt
identificate cu atenţie la detalii şi
denotă abilităţi de organizare,

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 16 din 30
2. Formulează declaraţia de intenţie
privind strategia şi obiectivele de
securitate a informaţiei.
2.1.Securitatea informaţiei, domeniul de
aplicare, obiectivele generale, importanţa
securităţii informaţiei pentru organizaţie
sunt conforme cu viziunea şi obiectivele
generale ale organizaţiei.
2.2. Cadrul general de aplicare şi
obiectivele măsurilor de securitate ce
urmează a fi implementate sunt stabilite
şi însuşite de managementul organizaţiei
criptare, decriptare, semnătură
electronică, salvare, restaurarea datelor,
Reţele de calculatoare, topologii, LAN,
WAN, VLAN, VPN, servere,
conectarea la reţea, managementul
serviciului director de resurse,
interconectarea reţelelor, echipamente
de interconectare, segmentarea reţelelor,
firewall, conectivitatea la Internet,
protocoale, infrastructura specifică,
servicii de reţea, standarde aplicabile
reţelelor de calculatoare şi pentru
accesul la Internet,
Echipamentele electronice, erori în
funcţionarea echipamentelor, jurnale de
erori, operaţii de corecţie şi întreţinere,
Erorile în funcţionarea componentelor
software, a sistemelor de operare,
configurări corective, jurnale de erori şi
de evenimente,
Resursele informatice, atacul asupra
resurselor, accesul autorizat şi cel
neautorizat, atacuri din interior şi din
exterior, detectarea intruşilor şi a
intruziunilor, acumularea dovezilor,
Măsuri specifice de prevenire şi
diminuare a pagubelor,
Standarde pentru managementul
securităţii informaţiei,
Analiza calitativă şi cantitativă a
planificare şi de rezolvare rapidă a
problemelor.
Analiza riscurilor se face cu
discernământ, dovedind abilităţi de
prioritizare, capacitatea de a lua
decizii, identificarea de alternative,
creativitate în descoperirea
soluţiilor noi, creativitate şi inovare.
Planul de management al riscului
este elaborat cu atenţie la detalii şi
hotărâre.
Standardele aplicabile sunt
implementate cu rigurozitate şi
promptitudine.
Strategia de securitate este formulată
cu claritate, conciziune, logic şi
simplu.
3. Identifică ameninţări şi vulnerabilităţi 3.1. Ameninţările şi vulnerabilităţile
identificate reflectă inventarul
informaţiilor şi al bunurilor care au
legătură cu informaţia
3.2. Criteriile pentru evaluarea
vulnerabilităţilor sunt conforme cu
viziunea, strategia şi obiectivele
organizaţiei şi sunt acceptate şi însuşite
de managementul organizaţiei.
3.3. Ameninţările şi vulnerabilităţile
identificate vizează următoarele niveluri:
personalul angajat, securitatea fizică,
accesul la informaţii, achiziţionarea,
întreţinerea şi menţinerea în funcţiune a
echipamentelor hardware şi a
componentelor software.
3.4. Managementul vulnerabilităţilor şi
acţiunile pentru continuarea activităţilor
organizaţiei folosesc criterii acceptate şi
însuşite de managementul organizaţiei..

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 17 din 30
4.Analizează riscuri 4.1. Tabelul riscurilor ordonează
ameninţările /vulnerabilităţi conform
criteriilor de importanţă acceptate şi
însuşite de managementul organizaţiei.
4.2.Fiecărui risc identificat în tabelul
riscurilor îi corespunde un plan pentru
diminuarea riscului şi reducerea
pierderilor.
4.3. Există un plan de management
pentru fiecare risc unde sunt stipulate
măsurile preventive şi reactive.
4.4.Există un responsabil desemnat
pentru aplicarea fiecărei măsuri din
planul de management.
riscurilor, managementul riscurilor,
evaluarea / cuantificarea pagubelor /
pierderilor, evaluarea costurilor pentru
implementarea măsurilor de securitate,
evaluarea rezultatelor implementării
măsurilor de securitate,
Organigrama organizaţiei, fişele
posturilor, planul clădirii şi al
dependinţelor, manualele şi ghidurile de
utilizare ale calculatoarelor, aplicaţiilor,
serviciilor, echipamentelor de
comunicaţii şi telecomunicaţii.
5. Elaborează strategia de securitate
privind informaţia
5.1. Strategia privind securitatea
informaţiei pentru organizaţie este
conformă cu riscurile identificate şi
respectă declaraţia de intenţie.
5.2. Strategia de securitate privind
securitatea informaţiei este aprobată de
managementul organizaţiei şi este
publicată spre a fi cunoscută conducerii,
angajaţilor, partenerilor, clienţilor,
furnizorilor.
5.3. Înaintea angajării / colaborării
personalul organizaţiei şi părţile
interesate cunosc şi înţeleg rolul ce le
revine în aplicarea strategiei de securitate
a informaţiei la nivelul organizaţiei.
5.4. Strategia de securitate defineşte:
obiective clare, responsabilităţi
individuale, consecinţele încălcării
măsurilor de securitate, cerinţele privind
instruirea personalului pentru înţelegerea
şi aplicarea măsurilor de securitate .

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 18 din 30
Gama de variabile
În general, pentru informaţii diferite şi organizaţii diferite sunt cerute grade de protecţie diferite.
Bunurile, valorile, resursele IT inventariate pot fi: informaţii – indiferent de suport -, componente software, resurse hardware, alte bunuri şi servicii asociate.
Gradul (nivelul) de protecţie asociat obiectelor inventariate poate fi: indiferent, sensibil, confidenţial, critic, secret, ultra secret, etc.
În funcţie de specificul organizaţiei, de tipul activităţilor desfăşurate, de soluţia IT&C implementată, de pregătirea şi motivarea personalului vor fi identificate ameninţări şi
vulnerabilităţi din cele mai diverse, legate de informaţiile păstrate, prelucrate, transmise, expuse. Profesioniştii IT&C sunt responsabili atât pentru securitatea informaţiei cât
şi pentru breşele de securitate care folosite pot provoca pagube.
Ameninţarea se referă la un pericol sau la o vulnerabilitate. Ameninţările au probabilităţi diferite de a se materializa în evenimente nedorite (incidente). Materializarea unei
ameninţări poate produce pagube diferite în condiţii diferite.
Ameninţările (vulnerabilităţile) corespunzătoare diferitelor niveluri pot fi: erori umane, neglijenţă, furt, fraudă, folosirea incorectă a echipamentelor; securitatea fizică se
poate referi la: securitatea clădirilor, a căilor de acces, a echipamentelor electronice şi de comunicaţii, a personalului; accesul la informaţii se poate referi la: încercarea
(reuşită sau nu) de a citi, vedea (vizualiza), modifica, transfera orice fel de date (texte, grafice, date audio, video, fotografii, desene,etc.);
Riscul este posibilitatea de a suferi o pierdere, o pagubă. Evaluarea şi analiza riscurilor sunt legate de probabilitatea ca o ameninţare să se materializeze şi de pagubele
cuantificabile pe care le poate produce. Analiza riscurilor evidenţiază pericole, evaluează impactul (pierdere, pagubă) şi identifică măsurile de protecţie, anihilare, remediere,
atenuare, transferare a riscului şi costurile aferente.
Planul de management al riscului se referă la acţiunile ce pot conduce la reducerea, eliminarea, transferarea sau asumarea completă a riscului. Responsabilul cu aplicarea
măsurilor din planul de management al riscului poate fi deţinătorul sau proprietarul informaţiei sau al bunului care are legătură cu informaţia. Planul de management al
riscului este instrumentul central pe care se bazează strategia de securitate privind informaţia şi va fi folosit în vederea implementării măsurilor de securitate.
Tehnici de evaluare recomandate
- Teoretice - test oral, proiect,
- Practice - observarea directă in condiţii de muncă reale, demonstraţie structurată
- Rapoarte din partea altor persoane.
- portofoliu de lucrări anterioare.

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 19 din 30
Unitatea 2. Proiectarea procedurilor de securitate
(unitate specifică)
Coduri de referinţă
Descrierea unităţii de competenţă
Unitatea cuprinde cunoştinţele, deprinderile, atitudinile legate de:
Stabilirea gradului în care sistemul de securitate existent în organizaţie răspunde strategiei de securitate privind
informaţia, ameninţărilor şi riscurilor identificate. Rezultatul acestei activităţi este tabloul măsurilor aplicate în vederea
asigurării securităţii informaţiei şi evidenţierea riscurilor pentru care nu se aplică (încă) măsuri de protecţie şi de
securitate.
Elaborarea noilor proceduri de securitate şi modificarea celor existente pentru a se conforma strategiei de securitate a
organizaţiei. Rezultatul se materializează în procedurile şi măsurile de securitate pentru asigurarea securităţii
informaţiei
Identificarea modalităţilor de control al gradului de aplicare în practică a măsurilor de securitate şi evaluarea efectelor pe
care le produc. Rezultatele acestei activităţi sunt: proceduri de testare / verificare a conformităţii cu obiectivele din
strategia de securitate privind informaţia, criterii de evaluare a gradului de îndeplinire a obiectivelor din strategia de
securitate, machete / şabloane etalon pentru monitorizarea aplicării măsurilor de securitate.
NIVELUL UNITĂŢII: 5
Elemente de competenţă Criteriile de realizare din punctul
de vedere al deprinderilor practice
Criteriile de realizare din punctul
de vedere al cunoştinţelor necesare
Criterii de realizare din punctul de
vedere al atitudinilor necesare

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 20 din 30
1.Proiectează tabloul măsurilor de
securitate privind informaţia aplicabile
organizaţiei.
1.1. Tabloul măsurilor de securitate
aplicabile organizaţiei reflectă planul de
management al riscurilor şi măsurile de
securitate aplicabile organizaţiei.
1.2. Tabloul măsurilor de securitate
cuprinde secţiuni distincte pentru:
securitatea resurselor umane, securitatea
fizică şi a mediului de lucru, securitatea
comunicaţiilor şi a operaţiunilor,
controlul accesului, achiziţionarea,
dezvoltarea şi mentenanţa componentelor
hardware şi software ale sistemului
informatic, managementul incidentelor
de securitate şi al continuării activităţii
organizaţiei.
1.3. Măsurile de securitate aplicabile
organizaţiei corespund strategiei de
securitate a organizaţiei şi obiectivelor de
securitate.
1.4. Tabloul măsurilor de securitate
evidenţiază clar riscurile pentru care nu
se aplică măsuri adecvate de securitate.
Persoana supusă evaluării demonstrează
că ştie şi înţelege:
Principiile generale de securitate şi
aplicarea regulilor de securitate la
nivelul componentelor sistemului
informatic,
Standarde de securitate a informaţiei
şi aplicarea lor ( BS 7799 / ISO
177799),
Securitatea serverelor şi a clienţilor,
segmentarea reţelelor,
Securitatea aplicaţiilor, controlul
modificărilor,
Accesul şi securitatea accesului in
Internet şi Intranet,
Securitatea sistemelor de operare şi a
serviciilor,
Criptografie şi tehnici de criptare a
datelor şi a transmisiilor de date,
Controlul securităţii accesului,
controlul accesului la resurse,
securitatea prin parole, drepturi,
Tabloul măsurilor de securitate
privind informaţia aplicabile
organizaţiei este construit cu răbdare
şi atenţie la detalii şi demonstrează
abilităţi de organizare şi planificare a
activităţilor.
Procedurile de securitate, măsurile de
securitate aferente sunt elaborate prin
gândire logică, cercetare şi dovedesc
curiozitate ştiinţifică.
Procedurile şi măsurile de securitate
aferente sunt elaborate cu răbdare,
atenţie la detalii şi rigurozitate.
Testele etalon probează abilităţi de
cercetare /inovare,
investigare,curiozitate ştiinţifică,
gândire logică.

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 21 din 30
2.Elaboreză proceduri noi de securitate şi
le îmbunătăţeşte pe cele existente
2.1. Fiecare procedură de securitate
cuprinde un set bine determinat de
măsuri de securitate.
2.2. Fiecărui compartiment, post de lucru,
rol în organizaţie îi sunt aplicabile
proceduri de securitate strict stabilite.
2.3. Neîndeplinirea procedurilor de
securitate antrenează aplicarea
sancţiunilor specifice.
2.4. Proprietarul sau deţinătorul
informaţiei sau al bunurilor aflate în
legătură cu informaţia este responsabil de
aplicarea strictă a procedurilor şi
măsurilor de securitate.
2.5. Procedurile de securitate sunt clare,
simple, concise, uşor de aplicat şi de
urmărit şi se bazează pe tehnologii.
restricţii, privilegii, autentificarea
utilizatorilor, metode de autentificare,
certificate,
Securitatea bazelor de date,
securitatea în faţa viruşilor
informatici, smart card-uri,
Securitatea resurselor umane,
Securitatea fizică şi a mediului de
lucru,
Securitatea comunicaţiilor, a
operaţiunilor, expunerea informaţiei,
Achiziţionarea, dezvoltarea şi
întreţinerea componentelor hardware
şi software ale sistemului informatic,
Managementul incidentelor de
securitate şi al continuării activităţii
organizaţiei,
Sisteme de detectare a intruşilor şi
intruziunilor, utilitare pentru analiza
traficului de date în reţea,
Utilitare pentru auditul accesului
utilizatorilor la resurse şi servicii,
utilitare pentru analiza evenimentelor,
Criminalitatea informatică, investigare
şi colectarea probelor
3.Elaborează teste etalon pentru controlul
aplicării măsurilor de securitate şi pentru
evaluarea rezultatelor
3.1. Testele etalon sunt construite pentru
fiecare risc identificat.
3.2. Criteriile de conformitate respectă
strategia şi obiectivele de securitate ale
organizaţiei.
3.3. Testele etalon respectă tabloul
măsurilor de securitate privind
informaţia.
Gama de variabile
Se presupune că în fiecare organizaţie funcţionează măsuri de securitate, în formă incipientă sau bine structurate: porţi de acces păzite sau supravegheate de la distanţă,
încăperi / incinte încuiate, calculatoare protejate prin folosirea conturilor de utilizator si a parolelor, blocarea accesului la ecranul desktop în cazul în care calculatorul nu este
folosit un timp ceva mai îndelungat. Aceste măsuri minime de securitate vor fi completate cu măsuri şi proceduri specifice, adecvate obiectivelor de securitate privind
informaţia ale organizaţiei.
Obiectivele privind securitatea informaţiei diferă de la o organizaţie la alta şi se pot referi la: credibilitatea organizaţiei, asigurarea informaţiilor sigure, corecte şi la timp,
creşterea în timp a eficienţei, deschiderea perspectivelor noi pentru organizaţie, motivarea personalului, etc.
Elaborarea / adaptarea măsurilor de securitate nu va afecta activitatea curentă a organizaţiei şi nici a personalului.

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 22 din 30
Tehnici de evaluare recomandate
- Teoretice - test oral, proiect,
- Practice - observarea directă in condiţii de muncă reale, demonstraţie structurată
- Rapoarte din partea altor persoane.
- portofoliu de lucrări anterioare.

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 23 din 30
Unitatea 3. Elaborarea programului de implementare a securităţii informaţiei
(unitate specifică)
Coduri de referinţă
Descrierea unităţii de competenţă
Unitatea de competenţă se referă la cunoştinţele, deprinderile şi atitudinile necesare in vedere conducerii / coordonării
programului de implementare a securităţii informaţiei şi se referă la:
Elaborarea, testarea, implementarea şi revizuirea planului de implementare a măsurilor de securitate corespunzătoare
ameninţărilor (vulnerabilităţilor) cunoscute
Elaborarea şi implementarea planului de testare periodică a reacţiei la incidente
Elaborarea şi implementarea planului de comunicare (alertare) şi de răspuns la apariţia (sau numai la suspiciunea) unui
incident de securitate
Elaborarea şi implementarea procedurilor de acumulare a dovezilor şi identificarea tipului de atac şi al atacatorului.
Raportarea incidentelor şi a răspunsurilor la incidente
NIVELUL UNITĂŢII: 5
Elemente de competenţă Criteriile de realizare din punctul
de vedere al deprinderilor practice
Criteriile de realizare din punctul
de vedere al cunoştinţelor necesare
Criterii de realizare din punctul de
vedere al atitudinilor necesare
1. Elaborează planul de implementare şi
testare a măsurilor de securitate a
informaţiei
1.1. Măsurile de securitate incluse în
planurile de implementare şi testare
respectă politica de securitate a
organizaţiei.
1.2. Măsurile de securitate incluse în
planurile de implementare şi testare unt
aprobate de managementul organizaţiei
care le consideră suficiente pentru
protejarea sistemului informatic.
1.3. Succesiunea şi implementarea
măsurilor de securitate şi a celor de
testare sunt aprobate de managementul
organizaţiei care desemnează persoanele
responsabile cu implementarea şi testarea
măsurilor de securitate
Persoana supusă evaluării demonstrează
că ştie şi înţelege:
Principiile generale de securitate şi
aplicarea regulilor de securitate la
nivelul componentelor sistemului
informatic,
Planificarea şi organizarea
activităţilor,
Măsuri specifice de securitate şi reguli
de aplicare a lor,
Principii de certificare internă şi de
omologare – auditare a sistemelor
IT&C,
Standarde specifice: ISO 17799,
Planul de implementare şi testare a
măsurilor de securitate a informaţiei
este elaborat cu rigurozitate şi
dovedeşte atenţie la detalii, claritate în
luarea deciziilor şi urmărirea atingerii
obiectivelor, logică în abordarea şi
rezolvarea problemelor, capacitatea de
a rezolva eficient probleme.
Implementarea măsurilor de securitate
se face cu obiectivitate şi denotă
aptitudini de comunicare şi relaţionare
cu personalul organizaţiei şi terţi
implicaţi în utilizarea resurselor
Monitorizarea sistemului informatic

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 24 din 30
2. Proiectează şi implementează
măsurile de securitate a informaţiei şi de
testare a reacţiei la apariţia de incidente
2.1. Măsurile de securitate proiectate şi
implementate vizează toate nivelurile de
aplicabilitate:
Resurse umane
Securitatea fizică şi a mediului de
lucru
Managementul operaţiilor şi al
comunicaţiilor
Controlul accesului
Achiziţia, dezvoltarea şi mentenenţa
sistemelor
Managementul incidentelor de
securitate
2.2. Aplicarea măsurilor de securitate şi a
procedurilor de testare a reacţiei la
incidente nu afectează buna desfăşurare a
activităţilor organizaţiei
2.3. Planul de comunicare (alertare,
raportare) a incidentelor şi a suspiciunilor
de apariţie a incidentelor este aprobat de
managementul organizaţiei şi respectă
legile în vigoare şi strategia de securitate
a informaţiei adoptata de organizaţie.
2.4. Procedurile de acumulare a
dovezilor privind identificarea
atacatorului şi a tipului de atac respectă
legile în vigoare şi declaraţia universală a
drepturilor omului
ETSI,
Standarde de evaluare şi omologare
internă a securităţii echipamentelor şi
sistemelor ISO 15408,
Metode, proceduri şi instrumente
pentru testarea securităţii informaţiei,
Sisteme, utilitare pentru identificarea
intruziunilor şi a intruşilor,
Machete, şabloane etalon pentru
verificarea condiţiilor de securitate
curente,
Instrumente, programe utilitare
pentru: supravegherea reţelelor,
supravegherea traficului de date,
monitorizarea performanţelor
sistemelor şi a reţelelor, detectarea
alterării performanţelor.
Instrumente, programe utilitare pentru
verificarea conformităţii sistemelor cu
machete etalon de securitate,
se face cu discernământ, cu
respectarea tuturor legilor în vigoare,
prin asumarea răspunderii pentru
acumularea dovezilor incriminatorii
3. Monitorizează sistemul informatic cu
privire la asigurarea securităţii
informaţiei
3.1. Incidentele de securitate şi atacurile
identificate sunt raportate imediat şi sunt
complet şi corect descrise.
3.2. Raportarea incidentelor se face prin
canale formalizate de management.
3.3. Dovezile acumulate respectă legile în
vigoare şi declaraţia universală a
drepturilor omului

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 25 din 30
Gama de variabile
Planul de implementare şi testare a măsurilor de securitate va fi detaliat în funcţie de dezvoltarea tehnologică, obiectivele, strategia, viziunea organizaţiei şi se va
conforma politicii / obiectivelor de securitate acceptate şi asumate de managementul organizaţiei şi cu respectarea legilor în vigoare. Planul de implementare nu va putea fi
considerat niciodată perfect: s-a dovedit că apar frecvent situaţii neprevăzute care conduc la reevaluarea măsurilor de securitate, la reordonarea lor sau la identificarea unor
condiţii mai bune de aplicare. Utilitarele / machetele / şabloanele folosite pentru monitorizare se vor modifica o dată cu modificarea măsurilor de securitate aplicate şi a
posibilităţilor de supraveghere / auditare. Nu în ultimul rând, atenuarea / diminuarea unor riscuri poate atrage apariţia unor vulnerabilităţi noi care vor trebui la rândul lor
tratate, rezolvate sau asumate.
Incidentele de securitate vor fi descrise / caracterizate prin: simptome, origine, punct de intrare , intenţia atacatorului, gravitatea incidentului, expunerea şi acţiunea întreprinsă
pentru limitarea pagubelor.
Incidentele de securitate pot fi: atacuri, vulnerabilităţi dovedite, breşe recunoscute în securitate, etc.
Masuri specifice de securitate pot fi cele legate de: resurse umane, securitatea fizică şi a mediului de lucru, managementul operaţiunilor şi al comunicaţiilor, controlul
accesului, achiziţia, dezvoltarea şi întreţinerea sistemelor, managementul incidentelor, etc.
Tehnici de evaluare recomandate
- Teoretice - test oral, proiect
- Practice - observarea directă in condiţii de muncă reale, demonstraţie structurată
- Rapoarte din partea altor persoane.
- portofoliu de lucrări anterioare.

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 26 din 30
Unitatea 4. Revizuirea modelului ameninţărilor şi al vulnerabilităţilor
(unitate specifică)
Coduri de referinţă
Descrierea unităţii de competenţă
Unitatea de competenţă cuprinde cunoştinţele, deprinderile şi atitudinile legate de asigurarea securităţii informaţiei ca activitate
continuă. Politica de securitate a unei organizaţii, măsurile de securitate, planul de aplicare a măsurilor de securitate, măsurile de
control şi aplicarea lor vor fi revizuite periodic sau ori de câte ori este nevoie. Incidentele de securitate raportate conduc la
reevaluarea riscurilor şi stabilirea măsurilor de securitate corespunzătoare. Revizuirea modelului ameninţărilor şi al
vulnerabilităţilor este necesară pentru că în organizaţie:
apar informaţii şi resurse noi legate de acestea
au loc modificări ale sistemului informatic (soluţia IT&C) ceea ce determină vulnerabilităţi şi riscuri noi
sunt identificate noi măsuri de securitate şi proceduri adecvate modificărilor survenite
NIVELUL UNITĂŢII: 5
Elemente de competenţă Criteriile de realizare din punctul
de vedere al deprinderilor practice
Criteriile de realizare din punctul
de vedere al cunoştinţelor necesare
Criterii de realizare din punctul de
vedere al atitudinilor necesare

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 27 din 30
1.Identifică modificările apărute în
modelul ameninţărilor şi al
vulnerabilităţilor.
1.1. Informaţiile şi resursele noi legate de
modificarea ameninţărilor sunt
identificate şi inventariate cu
promptitudine pe măsura apariţiei lor.
1.2. Inventarul informaţiilor vehiculate şi
prelucrate în organizaţie, al bunurilor,
valorilor, resurselor IT care au legătură
cu acestea este completat / modificat
prompt cu informaţiile identificate.
1.3. Modificările tehnologice şi cele
curente aduse sistemului informatic
(soluţiei IT&C) sunt identificate separat
şi analizate pentru găsirea
vulnerabilităţilor şi riscurilor noi.
1.4. Tabelul riscurilor este reordonat
după includerea ameninţărilor
/vulnerabilităţilor identificate conform
criteriilor de importanţă acceptate şi
însuşite de managementul organizaţiei.
1.5. Fiecărui risc identificat în tabelul
riscurilor îi corespunde un plan pentru
diminuarea riscului şi reducerea
pierderilor în conformitate cu strategia de
securitate a organizaţiei.
Persoana supusă evaluării demonstrează
că ştie şi înţelege:
Principiile generale de securitate şi
aplicarea regulilor de securitate la
nivelul componentelor sistemului
informatic,
Standarde de securitate a informaţiei ţi
aplicarea lor ( BS 7799 / ISO 177799)
Securitatea serverelor şi a clienţilor,
segmentarea reţelelor,
Securitatea aplicaţiilor, controlul
modificărilor,
Accesul şi securitatea accesului in
Internet şi Intranet,
Securitatea sistemelor de operare, a
serviciilor,
Criptografie şi tehnici de criptare a
datelor şi a transmisiilor de date,
Controlul securităţii accesului,
controlul accesului la resurse,
securitatea prin parole, drepturi,
restricţii, privilegii, autentificarea
utilizatorilor, metode de autentificare,
Resursele şi informaţiile protejate prin
proceduri de securitate sunt
identificate cu atenţie şi rigurozitate.
Ameninţările şi vulnerabilităţile sunt
identificate cu atenţie la detalii şi
denotă abilităţi de organizare,
Tabloul măsurilor de securitate
privind informaţia aplicabile
organizaţiei este construit cu răbdare
şi atenţie la detalii şi demonstrează
abilităţi de organizare şi planificare a
activităţilor
Procedurile de securitate, măsurile de
securitate aferente sunt elaborate prin
gândire logică, cercetare şi dovedesc
curiozitate ştiinţifică
Procedurile şi măsurile de securitate
aferente sunt elaborate cu răbdare,
atenţie la detalii şi rigurozitate

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 28 din 30
2. Revizuieşte tabloul măsurilor de
securitate privind informaţia aplicabile
organizaţiei
2.1. Tabloul măsurilor de securitate
aplicabile organizaţiei reflectă planul de
management al riscurilor şi măsurile de
securitate aplicabile organizaţiei.
2.2. Tabloul măsurilor de securitate
evidenţiază clar şi separat riscurile pentru
care nu se aplică măsuri adecvate de
securitate.
certificate,
Securitatea bazelor de date,
securitatea în faţa viruşilor
informatici, smart card-uri,
Securitatea resurselor umane
Securitatea fizică şi a mediului de
lucru,
Securitatea comunicaţiilor, a
operaţiunilor, expunerea informaţiei
Achiziţionarea, dezvoltarea şi
mentenanţa componentelor hardware
şi software ale sistemului informatic,
Managementul incidentelor de
securitate ţi al continuării activităţii
organizaţiei,
Sisteme de detectare a intruşilor şi
intruziunilor, utilitare pentru analiza
traficului de date în reţea,
Utilitare pentru auditul accesului
utilizatorilor la resurse şi servicii,
utilitare pentru analiza evenimentelor,
Criminalitatea informatică, investigare
şi colectarea probelor.
Gama de variabile
Activitatea de protejare a sistemelor informatice nu se încheie niciodată. Responsabilul cu elaborarea şi implementarea măsurilor de securitate trebuie să facă faţă noilor
provocări tehnologice legate de existenţa, transmiterea, păstrarea, prelucrarea informaţiei
Măsurile de securitate identificate şi aplicate vor împiedica accesul, folosirea neautorizată şi distrugerea informaţiilor şi a echipamentelor legate de acestea.
Tehnici de evaluare recomandate
- Teoretice - test oral, proiect,
- Practice - observarea directă in condiţii de muncă reale, demonstraţie structurată
- Rapoarte din partea altor persoane.
- portofoliu de lucrări anterioare.

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 29 din 30
Unitatea 5: Instruirea personalului
(unitate specifică)
Coduri de referinţă
Descrierea unităţii de competenţă
Unitatea de competenţă cuprinde cunoştinţele, deprinderile şi atitudinile pentru instruirea şi antrenarea personalului pentru
dezvoltarea în organizaţie a unei culturi a securităţii informaţiei; codurile de conduită şi ghidurile de bune practici sunt
componentele principale necesare dezvoltării unei culturi a securităţii informaţiei. Existenţa, calitatea şi utilizarea acestora întreţin
interesul pentru utilizarea şi transmiterea informaţiilor corecte şi sigure. Educarea (instruirea) managementului de vârf asupra
managementului securităţii informaţiei şi asupra posibilelor beneficii este deosebit de importantă pentru succesul general al
organizaţiei. Gradul de securitate a unui sistem informatic depinde în mare măsură de gradul de instruire în domeniu a
persoanelor implicate, de motivarea şi - nu în ultimul rând - de integritatea lor morală.
NIVELUL UNITĂŢII:5
Elemente de competenţă Criteriile de realizare din punctul
de vedere al deprinderilor practice
Criteriile de realizare din punctul
de vedere al cunoştinţelor necesare
Criterii de realizare din punctul de
vedere al atitudinilor necesare
1.Elaborează coduri de conduită, ghiduri
practice şi manuale pentru aplicarea în
organizaţie a măsurilor de securitate
1.1. Responsabilităţile şi rolurile
îndeplinite în aplicarea măsurilor de
securitate– componente ale codului de
conduită - sunt înscrise în fişa postului
pentru tot personalul organizaţiei.
1.2. Sancţiunile disciplinare – pentru
situaţia încălcării măsurilor de securitate
- sunt formulate clar şi sunt cunoscute de
personalul organizaţiei.
1.3. Codurile de conduită, ghidurile
practice, manualele sunt complete,
concise, clare, fără ambiguităţi.
1.4. Codurile de conduită, ghidurile
practice, manualele sunt permanent
disponibile pentru tot personalul
organizaţiei.
Persoana supusă evaluării demonstrează
că ştie şi înţelege:
Tehnici de ordonare şi prezentare
adecvată a informaţiilor,
Tehnici de redactare a materialelor
scrise,
Tehnici de captare a atenţiei
interlocutorilor,
Metode de instruire adecvate adulţilor.
Codurile de conduită, ghidurile
practice şi manualele pentru aplicarea
în organizaţie a măsurilor de
securitate sunt elaborate cu atenţie şi
dovedesc conlucrarea cu toate
compartimentele funcţionale ale
organizaţiei.
Codurile de conduită, ghidurile
practice şi manualele pentru aplicarea
în organizaţie a măsurilor de
securitate sunt redactate simplu şi
corect, fără ambiguităţi şi sunt uşor de
parcurs şi de înţeles.
2.Organizează şi conduce sesiuni de
instruire (antrenament)
2.1. Sesiunile de instruire sunt organizate
cu periodic.
2.2.Sesiunile de instruire sunt
preponderent practice.
2.3. Sesiunile de instruire testează gradul
in care personalul cunoaşte şi înţelege
responsabilităţile ce îi revin.

Standard ocupaţional: Specialist in proceduri si instrumente de securitate a sistemelor informatice
Pagina 30 din 30
Gama de variabile
Ghidurile practice, manualele codurile de conduită au rolul de a asigura un nivel adecvat de conştientizare, educaţie şi instruire în privinţa măsurilor de securitate şi a
utilizării corecte a resurselor şi sistemelor în condiţiile minimizării riscurilor de securitate.
Responsabilităţile şi rolurile au în vedere: confidenţialitatea, protecţia datelor, etica, utilizarea corespunzătoare a echipamentelor şi sistemelor, într-un cuvânt practicile
considerate corecte în organizaţie. Sesiunile de instruire şi cele de exerciţii practice au drept scop sensibilizarea personalului organizaţiei faţă de problemele de securitate a
informaţiei, astfel încât să înţeleagă responsabilităţile ce îi revin şi să fie implicat în acţiunile de reducere a riscurilor de furt, fraudă, folosire necorespunzătoare a sistemelor.
Sancţiunile disciplinare pentru acele persoane care încalcă regulile (măsurile) de securitate trebuie considerate drept elemente de descurajare a practicilor neconforme cu
politica de securitate a organizaţiei.
Tehnici de evaluare recomandate
- Teoretice - test oral, test scris, proiect,
- Practice - observarea directă in condiţii de muncă reale, demonstraţie structurată
- Rapoarte din partea altor persoane.
- portofoliu de lucrări anterioare.