- \n
- JAKIE WYMAGANIA STAWIA PRZED ORGANIZACJAMI I MENED\u017bERAMI DYREKTYWA NIS2? <\/strong><\/li>\n
- KT\u00d3RE KLUCZOWE ELEMENTY ORGANIZACJA MUSI UWZGL\u0118DNI\u0106 OCENIAJ\u0104C SWOJ\u0104 ZGODNO\u015a\u0106 Z NIS2? <\/strong><\/li>\n
- W JAKI SPOS\u00d3B PRZE\u0141O\u017bY\u0106 ZAPISY DYREKTYWY NA REALNE DZIA\u0141ANIA I Z KT\u00d3RYCH US\u0141UG KORZYSTA\u0106?<\/strong><\/li>\n<\/ol>\n<\/td>\n<\/tr>\n<\/thead>\n<\/table>\n
Podstawowym celem wdro\u017cenia dyrektywy NIS 2 jest osi\u0105gni\u0119cie wysokiego wsp\u00f3lnego poziomu cyberbezpiecze\u0144stwa w ca\u0142ej Unii Europejskiej przez ograniczenie ryzyka wyst\u0105pienia incydent\u00f3w i zminimalizowanie negatywnych skutk\u00f3w takich zdarze\u0144. Dlatego dyrektywa wprowadza niemal takie same obowi\u0105zki dla podmiot\u00f3w kluczowych i wa\u017cnych (wi\u0119cej o tym, co decyduje o zaliczeniu organizacji do tych kategorii w pierwszej cz\u0119\u015bci materia\u0142u o NIS2<\/a>) \u2013 wszystkie organizacje obj\u0119te NIS2 maj\u0105 obowi\u0105zek wprowadzi\u0107 dane \u015brodki.<\/p>\n
Co najistotniejsze \u2013 \u015brodki te maj\u0105 uwzgl\u0119dnia\u0107 specyfik\u0119 danej organizacji, czyli musz\u0105 by\u0107 proporcjonalne zar\u00f3wno do jej wielko\u015bci, jak i zagro\u017cenia potencjalnymi incydentami bezpiecze\u0144stwa oraz ich ewentualnymi skutkami. O tym, jakie \u015brodki s\u0105 adekwatne w danej organizacji, decyduje ona sama.<\/p>\n
Kary s\u0105 odstraszaj\u0105ce<\/h2>\n
R\u00f3\u017cnice mi\u0119dzy podmiotami kluczowymi i wa\u017cnymi dotycz\u0105 przede wszystkim trybu nadzoru. W przypadku podmiot\u00f3w wa\u017cnych stosowany jest nadz\u00f3r uproszczony, po stwierdzonym naruszeniu (tzw. ex post). W przypadku podmiot\u00f3w kluczowych nadz\u00f3r jest proaktywny (ex ante) i obejmuje m.in. regularne audyty oraz dora\u017ane, wyrywkowe kontrole.<\/p>\n
W przypadku stwierdzenia narusze\u0144 w\u0142a\u015bciwy organ nadzoruj\u0105cy mo\u017ce m.in. wyda\u0107 ostrze\u017cenie, nakaza\u0107 wdro\u017cenie zalece\u0144, a w skrajnych przypadkach nawet tymczasowo zakaza\u0107 prowadzenia dzia\u0142alno\u015bci. Mo\u017ce tak\u017ce na\u0142o\u017cy\u0107 kar\u0119 zakazu pe\u0142nienia funkcji zarz\u0105dczych na osoby zajmuj\u0105ce kierownicze stanowiska w organizacji (na poziomie dyrektora generalnego lub przedstawiciela prawnego)[i]<\/a>. Istotne jest r\u00f3wnie\u017c zagro\u017cenie bardzo wysokimi karami finansowymi \u2013 nak\u0142adanymi na podmioty kluczowe do kwoty 10 mln euro lub co najmniej 2 proc. rocznego \u015bwiatowego obrotu, a na podmioty wa\u017cne \u2013 7 mln euro lub co najmniej 1,4 proc. rocznego \u015bwiatowego obrotu (w obu przypadkach zastosowanie ma kwota wy\u017csza).<\/p>\n
Dekalog mened\u017cera ds. cyberbezpiecze\u0144stwa<\/h2>\n
Jak uchroni\u0107 siebie i firm\u0119 przed konsekwencjami braku zgodno\u015bci z postanowieniami NIS2? Sp\u00f3jrzmy na obowi\u0105zki nak\u0142adane przez dyrektyw\u0119 na podmioty kluczowe i wa\u017cne. Powinny one uwzgl\u0119dni\u0107 wszystkie rodzaje zagro\u017ce\u0144 i obejmowa\u0107[ii]<\/a>:<\/p>\n
- \n
- analiz\u0119 ryzyka i polityki bezpiecze\u0144stwa IT,<\/li>\n
- procedury obs\u0142ugi (czyli zapobiegania, wykrywania i reagowania) incydent\u00f3w,<\/li>\n
- procedury zapewnienia ci\u0105g\u0142o\u015b\u0107 dzia\u0142ania i zarz\u0105dzania kryzysowego,<\/li>\n
- kontrol\u0119 bezpiecze\u0144stwa \u0142a\u0144cucha dostaw,<\/li>\n
- zasady bezpiecze\u0144stwa w procesie nabywania, rozwoju i utrzymania sieci i system\u00f3w (w tym obs\u0142ugi i ujawniania podatno\u015bci),<\/li>\n
- polityk\u0119 i procedury (testy i audyty) s\u0142u\u017c\u0105ce ocenie skuteczno\u015bci \u015brodk\u00f3w zarz\u0105dzania ryzykiem,<\/li>\n
- podstawowe praktyki cyberhigieny i szkolenia pracownik\u00f3w w zakresie cyberbezpiecze\u0144stwa,<\/li>\n
- zasady wykorzystania kryptografii i szyfrowania,<\/li>\n
- polityk\u0119 kontroli dost\u0119pu i zarz\u0105dzania aktywami,<\/li>\n
- w stosownych przypadkach stosowanie uwierzytelniania wielosk\u0142adnikowego, zabezpieczonych po\u0142\u0105cze\u0144 g\u0142osowych, tekstowych i wideo oraz zabezpieczonych system\u00f3w \u0142\u0105czno\u015bci.<\/li>\n<\/ul>\n
Co jeszcze jest istotne dla zapewnienia zgodno\u015bci z przepisami? Dyrektywa NIS2 wprowadza trzystopniowe raportowanie powa\u017cnych incydent\u00f3w bezpiecze\u0144stwa. Pierwszym etapem jest wczesne ostrze\u017cenie (w ci\u0105gu 24 godzin od ujawnienia incydentu), kt\u00f3rego celem jest ograniczenie rozprzestrzenienia si\u0119 potencjalnego zagro\u017cenia. Drugim etapem jest zg\u0142oszenie (w ci\u0105gu 72 godzin) zawieraj\u0105ce wst\u0119pn\u0105 ocen\u0119 skutk\u00f3w incydentu. Ostatnim za\u015b jest sprawozdanie ko\u0144cowe przedstawione w ci\u0105gu miesi\u0105ca i zawieraj\u0105ce szczeg\u00f3\u0142owy opis, przyczyn\u0119 i skutki incydentu[iii]<\/a>.<\/p>\n
Rozwi\u0105zania na wyci\u0105gni\u0119cie r\u0119ki<\/h2>\n
Cho\u0107 nowa dyrektywa nak\u0142ada wymieniowe wy\u017cej obowi\u0105zki na wszystkie podmioty, regu\u0142a proporcjonalnego i odpowiedniego stosowania \u015brodk\u00f3w ochrony sprawia, \u017ce nie istnieje jedno gotowe rozwi\u0105zanie techniczne gwarantuj\u0105ce \u201ezgodno\u015b\u0107 z NIS2\u201d. Stawia to w trudnej sytuacji firmy, kt\u00f3re do tej pory nie przyk\u0142ada\u0142y du\u017cej uwagi do standard\u00f3w cyberbezpiecze\u0144stwa. Takie organizacje cz\u0119sto nie posiadaj\u0105 w\u0142asnego zespo\u0142u specjalist\u00f3w ds. bezpiecze\u0144stwa system\u00f3w IT. A trzeba podkre\u015bli\u0107, \u017ce r\u00f3wnie\u017c one mog\u0105 podlega\u0107 regulacjom NIS2.<\/p>\n
Dla takich organizacji T-Mobile przygotowa\u0142o us\u0142ugi pokrywaj\u0105ce w znacznej mierze najwa\u017cniejsze wymogi nak\u0142adane przez NIS2. Wirtualny specjalista ds. bezpiecze\u0144stwa informacji (vCISO) pe\u0142ni funkcj\u0119 zaufanego doradcy firmy, zapewniaj\u0105c wiedz\u0119 i umiej\u0119tno\u015bci niezb\u0119dne do zarz\u0105dzania systemem IT, polityk\u0105 bezpiecze\u0144stwa, identyfikacj\u0105 ryzyka oraz zgodno\u015bci\u0105 z regulacjami. Mo\u017ce r\u00f3wnie\u017c zarz\u0105dza\u0107 dost\u0119pem i uprawnieniami, tworzy\u0107 plany awaryjne, prowadzi\u0107 badania bezpiecze\u0144stwa dostawc\u00f3w i na tej podstawie dobiera\u0107 komponenty technologiczne.<\/p>\n
Organizacja mo\u017ce r\u00f3wnie\u017c skorzysta\u0107 z us\u0142ugi badania wra\u017cliwo\u015bci<\/a> polegaj\u0105cej na identyfikacji podatno\u015bci i luk bezpiecze\u0144stwa ca\u0142ej infrastruktury IT oraz w szczeg\u00f3lno\u015bci system\u00f3w poczty i aplikacji webowych. Pozwala to r\u00f3wnie\u017c na przeprowadzenie symulacji realnych kampanii phishingowych ukierunkowanych na wybrane grupy pracownik\u00f3w. Mo\u017cliwe jest r\u00f3wnie\u017c zweryfikowanie bezpiecze\u0144stwa IT organizacji<\/a> przez przeprowadzenie przegl\u0105d\u00f3w oraz test\u00f3w penetracyjnych (symulowanych cyberatak\u00f3w), a w zale\u017cno\u015bci od ich wynik\u00f3w wdro\u017cenie dodatkowych szkole\u0144 dla pracownik\u00f3w, doradztwo w zakresie zmiany architektury IT oraz wykorzystywanego sprz\u0119tu i oprogramowania. Gwarantuje to realizacj\u0119 postanowie\u0144 NIS2 m\u00f3wi\u0105cych o analizie ryzyka i polityki bezpiecze\u0144stwa informatycznego.<\/p>\n
W obszarze zarz\u0105dzania incydentami zaufany partner mo\u017ce dostarczy\u0107 zewn\u0119trzne us\u0142ugi monitoringu i analizy SOC (Security Operations Center)<\/a>. Dzi\u0119ki temu rozwi\u0105zaniu zesp\u00f3\u0142 profesjonalist\u00f3w T-Mobile dba o bezpiecze\u0144stwo IT firmy spe\u0142niaj\u0105c za\u0142o\u017cenia dyrektywy NIS2. Co wi\u0119cej, jest to model dzia\u0142ania optymalny kosztowo (stworzenie w\u0142asnego SOC to wydatek, kt\u00f3ry dla wielu firm mo\u017ce by\u0107 nie do prze\u0142kni\u0119cia), a tak\u017ce niewra\u017cliwy na problemy zwi\u0105zane z brakiem specjalist\u00f3w ds. cyberbezpiecze\u0144stwa na rynku pracy. Ochrona urz\u0105dze\u0144 mobilnych realizowana mo\u017ce by\u0107 dzi\u0119ki kontroli i zarz\u0105dzaniu nimi w ramach us\u0142ugi Mobile Device Management<\/a> oraz opartej na uczeniu maszynowym Cyber Guard<\/a>.<\/p>\n
Odporno\u015b\u0107 na wy\u017cszym poziomie<\/h2>\n
Szczeg\u00f3lne miejsce w dyrektywie NIS2 zajmuje minimalizacja negatywnych skutk\u00f3w incydent\u00f3w cyberbezpiecze\u0144stwa ich i wp\u0142ywu na funkcjonowanie gospodarki i spo\u0142ecze\u0144stw Unii Europejskiej. Oznacza to zagwarantowanie odporno\u015bci i ci\u0105g\u0142o\u015bci dzia\u0142ania w warunkach kryzysowych (to zdolno\u015b\u0107 po\u017c\u0105dana nie tylko ze wzgl\u0119du na obowi\u0105zki wynikaj\u0105ce z nowej dyrektywy unijnej).<\/p>\n
Podstawowym narz\u0119dziem pozwalaj\u0105cym spe\u0142ni\u0107 wymogi NIS2 jest us\u0142uga AntyDDoS<\/a> polegaj\u0105ca na monitorowaniu ruchu przychodz\u0105cego pod k\u0105tem potencjalnych atak\u00f3w typu Denial of Service i Distributed Denial of Service. W przypadku wykrycia podejrzanej aktywno\u015bci ruch przychodz\u0105cy zostaje w ci\u0105gu jednej sekundy przekierowany do centrum czyszczenia T-Mobile, a system klienta odzyskuje pe\u0142n\u0105 dost\u0119pno\u015b\u0107.<\/p>\n
Niezwykle istotne dla zachowania ci\u0105g\u0142o\u015bci dzia\u0142ania w rozumieniu dyrektywy NIS2 s\u0105 us\u0142ugi zwi\u0105zane z tworzeniem i odzyskiwaniem kopii zapasowych<\/a> z wykorzystaniem infrastruktury T-Mobile oraz \u2013 dla bardziej wymagaj\u0105cych scenariuszy \u2013 us\u0142uga utworzenia i zarz\u0105dzania zapasowym centrum danych (Disaster Recovery as a Service \u2013 DraaS)<\/a>. Pozwala ona na zabezpieczenie ca\u0142ego swojego \u015brodowiska IT lub jego krytycznej cz\u0119\u015bci przed utrat\u0105 danych i brakiem dost\u0119pno\u015bci. W przypadku nieplanowanej przerwy w dzia\u0142aniu g\u0142\u00f3wnego systemu mo\u017cliwe jest jego awaryjne odtworzenie dzi\u0119ki serwerom T-Mobile lub w chmurze publicznej.<\/p>\n
Odmian\u0105 us\u0142ugi DRaaS dla najbardziej wymagaj\u0105cych klient\u00f3w, kt\u00f3rzy nie mog\u0105 pozwoli\u0107 sobie nawet na najkr\u00f3tsz\u0105 przerw\u0119 w dzia\u0142aniu (lub s\u0105 do tego zobligowani przepisami), jest MetroCluster. To dwa centra danych T-Mobile dysponuj\u0105ce tymi samymi, zduplikowanymi danymi. W razie awarii lub cyberataku na jeden system drugi natychmiast przejmuje ca\u0142y ruch.<\/p>\n
Podsumowanie<\/h2>\n
Nowe obowi\u0105zki nak\u0142adane na organizacje przez dyrektyw\u0119 NIS2 s\u0105 skomplikowane, a ca\u0142y proces utrudnia brak przepis\u00f3w implementuj\u0105cych te postanowienia na grunt polskiego prawa. Przygotowanie organizacji do wdro\u017cenia wymog\u00f3w NIS2 jest zatem zadaniem do\u015b\u0107 z\u0142o\u017conym. Sytuacj\u0119 komplikuje fakt, \u017ce wiele firm, kt\u00f3re b\u0119d\u0105 podlega\u0107 NIS2, nie zdaje sobie sprawy ze skali wyzwania i zbli\u017caj\u0105cego si\u0119 terminu wej\u015bcia w \u017cycie nowych przepis\u00f3w.<\/p>\n
Jak zatem przygotowa\u0107 si\u0119 na nadej\u015bcie NIS2 i unikn\u0105\u0107 wysokich kar? Organizacje powinny przede wszystkim wskaza\u0107 osob\u0119 lub zesp\u00f3\u0142 odpowiedzialny za dostosowanie do nowych przepis\u00f3w. Dopiero w\u00f3wczas, we wsp\u00f3\u0142pracy z zaufanym partnerem i korzystaj\u0105c z jego do\u015bwiadczenia, firma powinna:<\/p>\n
- \n
- oceni\u0107 ryzyko narusze\u0144 cyberbezpiecze\u0144stwa,<\/li>\n
- wdro\u017cy\u0107 odpowiednie \u015brodki kontroli,<\/li>\n
- stworzy\u0107 kompletne plany reagowania na incydenty bezpiecze\u0144stwa \u2013 od raportowania po zapewnienie ci\u0105g\u0142o\u015bci dzia\u0142ania,<\/li>\n
- wprowadzi\u0107 programy edukacyjne dla pracownik\u00f3w w zakresie cyberhigieny.<\/li>\n<\/ul>\n
Wsp\u00f3\u0142praca merytoryczna:<\/p>\n
T-Mobile Business Solutions<\/p>\n
<\/p>\n
O tym, jaki jest zakres obowi\u0105zywania NIS2 i kiedy ma szans\u0119 wej\u015b\u0107 w \u017cycie w Polsce, a tak\u017ce jakie s\u0105 najwa\u017cniejsze wyzwania w tym procesie \u2013 przeczytasz w tym artykule.<\/a> <\/em><\/p>\n
[i]<\/a> https:\/\/cyberpolicy.nask.pl\/nadzor-nad-podmiotami-kluczowymi-i-waznymi-w-dyrektywie-nis2\/<\/a><\/p>\n
[ii]<\/a> https:\/\/www.traple.pl\/dyrektywa-nis-2-srodki-zarzadzania-ryzykiem\/<\/a><\/p>\n
[iii]<\/a> https:\/\/cyberpolicy.nask.pl\/obowiazki-podmiotow-kluczowych-i-waznych-w-dyrektywie-nis2<\/a>\/<\/p>\n\n
\n\n\n![\"Security](\"https:\/\/biznes.t-mobile.pl\/wp-content\/uploads\/2021\/03\/soc_miniaturka-456x212.jpg\")
<\/figure>\n <\/div>\n \n\n\n Ten artyku\u0142 dotyczy produktu<\/p>\n
Security Operations Center<\/h2>\n Przejd\u017a do\n produktu<\/a>\n <\/div>\n <\/div>\n <\/div>\n<\/div>\n\n\n
- KT\u00d3RE KLUCZOWE ELEMENTY ORGANIZACJA MUSI UWZGL\u0118DNI\u0106 OCENIAJ\u0104C SWOJ\u0104 ZGODNO\u015a\u0106 Z NIS2? <\/strong><\/li>\n
![\"AntyDDoS\"](\"https:\/\/biznes.t-mobile.pl\/wp-content\/uploads\/2021\/03\/antyddos_miniaturka-456x212.jpg\")
<\/figure>\n <\/div>\n