{"id":77449,"date":"2025-03-31T16:30:09","date_gmt":"2025-03-31T14:30:09","guid":{"rendered":"https:\/\/biznes.t-mobile.pl\/?p=77449"},"modified":"2025-03-31T16:44:58","modified_gmt":"2025-03-31T14:44:58","slug":"bezpieczenstwo-lancucha-dostaw-cz-1-jak-sie-przygotowac-na-cyberzagrozenia-z-dyrektywa-nis2","status":"publish","type":"post","link":"https:\/\/biznes.t-mobile.pl\/pl\/bezpieczenstwo-lancucha-dostaw-cz-1-jak-sie-przygotowac-na-cyberzagrozenia-z-dyrektywa-nis2","title":{"rendered":"Bezpiecze\u0144stwo \u0142a\u0144cucha dostaw cz. 1: jak si\u0119 przygotowa\u0107 na cyberzagro\u017cenia z\u00a0dyrektyw\u0105 NIS2"},"content":{"rendered":"\n\n\n
CZEGO SI\u0118 DOWIESZ Z TEGO MATERIA\u0141U:<\/span><\/strong>\n
    \n
  1. JAK MOG\u0104 WYGL\u0104DA\u0106 ATAKI Z WYKORZYSTANIEM PODATNO\u015aCI U DOSTAWC\u00d3W? <\/strong><\/li>\n
  2. CO PRZEWIDUJE DYREKTYWA NIS 2 W KONTEK\u015aCIE CYBERBEZPIECZE\u0143STWA \u0141A\u0143CUCHA DOSTAW? <\/strong><\/li>\n
  3. JAKIE ASPEKTY CYBERBEZPIECZE\u0143STWA POWINNY OBJ\u0104\u0106 PRZYGOTOWANIA DO WDRO\u017bENIA POSTANOWIE\u0143 NIS2? <\/strong><\/li>\n
  4. DLACZEGO KONTROLOWANIE POZIOMU ZABEZPIECZE\u0143 IT U DOSTAWC\u00d3W JEST TAK TRUDNE? <\/strong><\/li>\n
  5. JAK ZMIENIA SI\u0118 \u015aWIADOMO\u015a\u0106 I PODEJ\u015aCIE DO CYBERBEZPIECZE\u0143STWA NA POLSKIM RYNKU?<\/strong><\/li>\n<\/ol>\n<\/td>\n<\/tr>\n<\/thead>\n<\/table>\n

    Zacznijmy od podstaw \u2013 atak przez \u0142a\u0144cuch dostaw wykorzystuje potencjalnie s\u0142abiej chronione i mniej widoczne dla organizacji elementy infrastruktury, w szczeg\u00f3lno\u015bci nale\u017c\u0105ce do partner\u00f3w biznesowych. Taki cyberatak mo\u017ce odbywa\u0107 si\u0119 przez oprogramowanie lub sprz\u0119t, a jego celem jest zwykle zaburzenie proces\u00f3w produkcji lub dystrybucji towar\u00f3w i \u015bwiadczenia us\u0142ug, co prowadzi do bezpo\u015brednich strat finansowych zaatakowanej organizacji.<\/p>\n

    Jednocze\u015bnie s\u0105 to ataki trudne do wykrycia \u2013 w ko\u0144cu cyberprzest\u0119pcy wykorzystuj\u0105 zaufanie do partner\u00f3w, regularnych dostawc\u00f3w czy sprzedawc\u00f3w us\u0142ug i urz\u0105dze\u0144 tworz\u0105cych infrastruktur\u0119 IT. Pos\u0142uguj\u0105 si\u0119 z\u0142o\u015bliwym kodem dodawanym do projekt\u00f3w budowanych w oparciu o oprogramowanie open-source, wykorzystuj\u0105 komercyjne aplikacje, zmieniaj\u0105 funkcje urz\u0105dze\u0144, a ostatnio wspomagaj\u0105 si\u0119 r\u00f3wnie\u017c technikami sztucznej inteligencji do identyfikowania luk w zabezpieczeniach \u0142a\u0144cuch\u00f3w dostaw.<\/p>\n

    Zagro\u017cona infrastruktura krytyczna<\/h2>\n

    Raport Reversing Labs \u201eThe 2025 Software Supply Chain Security Report\u201d po\u015bwi\u0119cony atakom na dostawc\u00f3w oprogramowania[i]<\/a> wskazuje, \u017ce \u201ebezpiecze\u0144stwo \u0142a\u0144cucha dostaw odstaje od og\u00f3lnego poziomu cyberbezpiecze\u0144stwa, a przest\u0119pcy atakuj\u0105 coraz wi\u0119ksze cele, dotykaj\u0105c oprogramowania zarz\u0105dzaj\u0105cego biznesem i infrastruktur\u0105 krytyczn\u0105\u201d.<\/p>\n

    Jakie mog\u0105 by\u0107 skutki takich atak\u00f3w? Powiedzmy tylko o najbardziej wyrafinowanych i najwi\u0119kszych.<\/p>\n

    W grudniu 2020 roku ameryka\u0144ska firma SolarWinds Corporation pad\u0142a ofiar\u0105 ataku hakerskiego. Do aktualizacji oprogramowania umo\u017cliwiaj\u0105cego klientom firmy skuteczniejsze zarz\u0105dzanie sieci\u0105, cyberprzest\u0119pcom uda\u0142o si\u0119 wstrzykn\u0105\u0107 z\u0142o\u015bliwy kod. Dzia\u0142aniem haker\u00f3w zosta\u0142o dotkni\u0119tych 18 tys. klient\u00f3w firmy, w tym organizacje rz\u0105dowe wykorzystuj\u0105ce narz\u0119dzia SolarWinds. Seria atak\u00f3w wykorzystuj\u0105cych luki w zabezpieczeniach firmy kosztowa\u0142a ubezpieczycieli ok. 90 mln dolar\u00f3w, sam\u0105 firm\u0119 ok. 26 mln dolar\u00f3w, a jej akcje spad\u0142y o 40 proc. w ci\u0105gu tygodnia.<\/p>\n

    Jeszcze surowsze konsekwencje przyni\u00f3s\u0142 atak NotPetya w 2017 roku. Za po\u015brednictwem oprogramowania ksi\u0119gowego MEDoc (wykorzystywanego przez wiele firm do rozlicze\u0144) pobierana by\u0142a aktualizacja prowadz\u0105ca do zaszyfrowania danych. Najbardziej dotkni\u0119ta atakiem by\u0142a Ukraina, gdzie \u201etrafiony\u201d zosta\u0142 system pomiaru promieniowania w Czarnobylu, a tak\u017ce m.in. firmy telekomunikacyjne, banki, poczta, koleje, lotniska czy stacje benzynowe. Mi\u0119dzynarodowe korporacje musia\u0142y pogodzi\u0107 si\u0119 z kolosalnymi konsekwencjami finansowymi: Maersk raportowa\u0142 straty na poziomie 200 mln dolar\u00f3w, FedEx \u2013 400 mln dolar\u00f3w, Merck \u2013 blisko 900 mln dolar\u00f3w.  W Polsce atak NotPetya r\u00f3wnie\u017c dotkn\u0105\u0142 kilka firm, zwo\u0142ano z jego powodu posiedzenie Rz\u0105dowego Zespo\u0142u Zarz\u0105dzania Kryzysowego.<\/p>\n

    Co przewiduje dyrektywa NIS2<\/h2>\n

    To w\u0142a\u015bnie m.in. te incydenty pokaza\u0142y, jak istotne jest bezpiecze\u0144stwo informatyczne \u0142a\u0144cuch\u00f3w dostaw. Nie brakuje wr\u0119cz g\u0142os\u00f3w, \u017ce to w\u0142a\u015bnie incydent z SolarWinds zainicjowa\u0142 dyskusj\u0119 na ten temat, a tak\u017ce wywo\u0142a\u0142 zmiany regulacyjna prowadz\u0105ce do wzmocnienia kontroli cyberbezpiecze\u0144stwa. Ten problem w znacznej cz\u0119\u015bci adresowany jest w dyrektywie NIS2.<\/p>\n

    Kwestie zwi\u0105zane z \u0142a\u0144cuchem dostaw s\u0105 uregulowane w art. 7 ust.2 lit. a, art. 21 ust. 2 lit. d dyrektywy NIS2, a tak\u017ce w jej art. 22. Przepisy dyrektywy[ii]<\/a> przewiduj\u0105, \u017ce jednym z obowi\u0105zk\u00f3w dla kluczowych i wa\u017cnych podmiot\u00f3w b\u0119dzie wprowadzenie odpowiednich i proporcjonalnych \u015brodk\u00f3w technicznych, operacyjnych i organizacyjnych w celu zapewnienia bezpiecze\u0144stwa \u0142a\u0144cucha dostaw[iii]<\/a>.<\/p>\n

    Podmioty obj\u0119te NIS2 powinny wzi\u0105\u0107 m.in. pod uwag\u0119:<\/p>\n