Dyrektywa NIS2. O nowych zasadach dotyczących cyberbezpieczeństwa. [Wywiad]

Nowe wytyczne dotyczące bezpieczeństwa w sieci określa Dyrektywa NIS2, której zapisy juz wkrótce mają wejść w życie. Dlatego warto dowiedzieć się, jakie zmiany niesie za sobą nowa regulacja i jak najlepiej się do nich przygotować. Dlatego o komentarz zwróciliśmy się do ekspertów: Norberta Nowaka, specjalisty ds. cyberbezpieczeństwa w OPTeam oraz Artura Olszynki, specjalisty ds. rozwiązań IT dla sektora publicznego w OPTeam. Odpowiadając na kluczowe pytania, wyjaśnią procedury, wymagania i zalecenia związane z planowanym już na ten rok obowiązkowym zwiększeniem bezpieczeństwa w obszarze IT.

Czym jest Dyrektywa NIS2 raczej nie trzeba już wyjaśniać. Ważniejszą kwestią wydaje się, jakie wymagania dotyczące bezpieczeństwa zostały w niej zawarte.

Norbert Nowak: Dyrektywa NIS2 wymusza na podmiotach jej podległych stosowanie zabezpieczeń elementów wprost wskazanych w artykule 21. dokumentu. Zdefiniowane obszary możemy zabezpieczyć poprzez właściwie skomponowane polityki i standardy (tutaj warto zwrócić uwagę szczególnie na standard ISO27001), ale również stosując konkretne narzędzia wspierające zadania działu Cybersecurity. NIS2 wymaga, aby środowisko nie tylko zapewniało ciągłość działania czy dostarczało środki ochrony, np. łańcucha dostaw i wymiany danych, ale również umożliwiało analizę stanu infrastruktury oraz jej ciągły monitoring, tak, żeby w momencie wystąpienia anomalii móc zareagować w jak najkrótszym czasie. Choć dążymy do ograniczenia ryzyka incydentu, gdyby jednak ów się wydarzył, niezbędna będzie jego właściwa obsługa. W tym zakresie również należy posiadać stosowne procedury i narzędzia.

Oczywiście, ochrona krytycznych systemów wymaga stosowania szczególnych metod zabezpieczeń, które również zostały określone w zapisach dyrektywy.

Artur Olszynka: Każdy podmiot ma obowiązek wprowadzić dane środki, tak kluczowy, jak i ważny. Jednak, co istotne, mają one uwzględniać w pewnym stopniu specyfikę danej organizacji. Są one zależne od poziomu ryzyka, wielkości podmiotu oraz prawdopodobieństwa wystąpienia incydentów i ich dotkliwości. Najważniejszym wymogiem, obok wdrożenia środków zarządzania ryzykiem w cyberbezpieczeństwie jest zgłaszanie incydentów poważnych.

Norbert Nowak: Istotnym elementem, na który wskazuje nam treść rozporządzenia, jest również bezpieczeństwo zasobów ludzkich – to możemy podnieść, wdrażając standard szkoleń w organizacji.

Artur Olszynka: Tutaj pojawiają się obowiązkowe szkolenia dla kadry kierowniczej oraz zalecane szkolenia dla pracowników – oczywiście z dziedziny zapobiegania incydentom związanym z cyberbezpieczeństwem.

Znamy już wymogi, pytanie więc, jakie są zalecenia dotyczące przygotowania do ataków cybernetycznych?

Artur Olszynka: Przygotowanie do ataków cybernetycznych wymaga holistycznego podejścia, które obejmuje zarówno techniczne środki bezpieczeństwa, jak i edukację personelu oraz procedury reagowania na incydenty.
Norbert Nowak: Budowa kompleksowego systemu ochrony zasobów przed cyberzagrożeniami powinna bazować na narzędziach, które umożliwiają nam zdefiniowanie i minimalizację ryzyk. Niezbędna okazuje się więc precyzyjna analiza ryzyka, która powinna przyjąć formę nieco bardziej złożoną niż ta znana z dokumentacji RODO. Dynamika zmian w infrastrukturze informatycznej jest z reguły nieco większa niż w przypadku zakresu przetwarzanych danych osobowych w organizacji.

Po akceptacji ryzyk, niezbędnym elementem okazuje się monitoring środowiska oraz możliwość szybkiej reakcji na incydenty. W tym zakresie nieocenione wsparcie mogą przynieść systemy klasy SIEM oraz SOAR, które usprawnią wgląd w zasoby oraz reakcje na wykryte anomalie. Podobnie, stosowanie technologii XDR pozytywnie wpłynie na naszą gotowość do obrony przed działaniami cyberprzestępców.

Nasza infrastruktura musi być nie tylko na bieżąco monitorowana, ale również powinniśmy weryfikować czy zastosowana ochrona jest wystarczająca. W tym celu zaleca się stosowanie narzędzi do zarządzania podatnościami bądź standardu testów penetracyjnych w organizacji.

Artur Olszynka: Wskazana konieczność monitorowania i wykrywania niestandardowych zachowań w sieci odnosi się zarówno do komputerów użytkowników, jak i serwerów oraz ruchu np. na stronach internetowych i udostępnionych usługach. Oczywiście jest to zależne od specyfiki organizacji i dlatego poza ogólnymi zasadami cyberbezpieczeństwa należy odpowiednio dobrać narzędzia, które będą jej chronić.

Skoro mowa o monitorowaniu i raportowaniu incydentów, jak przedstawiają się związane z tym wytyczne?

Norbert Nowak: Wgląd w aktualny stan infrastruktury pozwala nam skutecznie badać jej spójność oraz w możliwie krótkim czasie reagować na potencjalne incydenty. W optymalnym środowisku monitoring pozwoli analizować ruch w czasie rzeczywistym, co sprawi, że wiedzę na temat incydentu uzyskamy niemal natychmiastowo. NIS2 definiuje incydent jako poważny wtedy, kiedy zostaną spełnione określone warunki:

• po pierwsze, incydent spowodował lub może spowodować dotkliwe zakłócenia operacyjne usług lub straty finansowe dla danego podmiotu,
• po drugie, incydent wpłynął lub jest w stanie wpłynąć na inne osoby fizyczne lub prawne, powodując znaczne szkody majątkowe i niemajątkowe.

W sytuacji, takiego zdarzenia konieczne jest właściwe zaraportowanie zdarzenia do odpowiedniego CSIRT. Pierwsze zgłoszenie – tzw. wczesne ostrzeżenie powinno nastąpić w czasie do 24 godzin od uzyskania informacji o incydencie. Kolejne, właściwe zgłoszenie musi zostać przesłane nie później niż po 72 godzinach od powzięcia wiedzy o zdarzeniu. Należy zaznaczyć, że zgłoszenie musi zawierać konkretne informacje dotyczące sytuacji, potencjalnych konsekwencji oraz skutków. Na etapie obsługi incydentu konieczne jest raportowanie działań do właściwego organu, zaś maksymalnie po miesiącu należy przekazać sprawozdanie końcowe z przeprowadzonych prac.

Artur Olszynka: Na wniosek CSIRT lub, jeżeli ma to zastosowanie, właściwego organu dany podmiot składa także sprawozdanie okresowe na temat odpowiednich aktualizacji statusu incydentu. Sprawozdanie końcowe składa się nie później niż miesiąc po zgłoszeniu incydentu, chyba że dany incydent dalej trwa, wówczas takie sprawozdanie składa się miesiąc po zakończeniu trwania incydentu.

Załóżmy, że doszło do naruszenia bezpieczeństwa. Co w takiej sytuacji? Jakie są procedury postępowania?

Norbert Nowak: Choć głównym założeniem wymaganych przez NIS2 zmian jest minimalizacja ryzyka incydentu bezpieczeństwa, dyrektywa definiuje też pewne obowiązki w sytuacji, w której istnieje uzasadnione podejrzenie, że do ataku mogło dojść.
Pierwszym, a jednocześnie najważniejszym obowiązkiem jest prawidłowa obsługa incydentu oraz określenie jego źródła, konsekwencji oraz wolumenu grupy potencjalnie poszkodowanych. Wszelkie zebrane informacje muszą zostać zaraportowane do właściwego CSIRT w czasie wskazanym w dyrektywie.

Jeśli obsługa incydentu zostanie zakończona w czasie do miesiąca od zdarzenia, należy przygotować sprawozdanie końcowe podsumowujące przeprowadzone czynności oraz zakres w jakim zostanie zabezpieczona wykryta podatność, która doprowadziła do zdarzenia. W przypadku, kiedy rozwiązanie problemu trwa dłużej, wymóg sprawozdania końcowego musi zostać spełniony w terminie do miesiąca od zakończenia działań.

Obowiązkiem każdego podmiotu jest pełna współpraca z organem nadzorczym. Warto mieć na uwadze, że rola CSIRT nie ogranicza się jedynie do kontroli i narzucenia kar. Specjaliści wesprą nas w obsłudze incydentu oraz wskażą najlepsze do realizacji kolejne kroki.

Artur Olszynka: Można powiedzieć, że procedury sprowadzają się do siedmiu etapów postępowania. Zgłoszenie incydentu, zebranie dotyczących go informacji, jego analiza w celu zrozumienia i przeciwdziałania w przyszłości, zapewnienie ciągłości działania i minimalizacja skutków, poinformowanie stron o wycieku ich danych lub ewentualnym skutkach, współpraca z organami państwowymi, udokumentowanie informacji związanych z incydentem.

Jakie są sankcje lub kary przewidziane dla podmiotów naruszających przepisy dyrektywy NIS2?

Norbert Nowak: Dzięki nowelizacji prawa w zakresie cyberbezpieczeństwa organy, które zajmują się nadzorowaniem podmiotów zyskują liczne mechanizmy, które wesprą ich w weryfikacji i egzekwowaniu przepisów. Do środków wprost określonych w przepisach należy zaliczyć te związane z kontrolą na miejscu oraz zdalną, regularne audyty, skany bezpieczeństwa czy wnioski o udzielenie konkretnych informacji.

Jeśli wskutek weryfikacji działań podmiotu okaże się, że nie stosuje się on do wymagań ustawodawcy bądź stosowane niewystarczające zabezpieczenia doprowadziły do incydentu, może zostać nałożona na niego kara. Również w tym zakresie dyrektywa wskazuje bardzo szeroki wachlarz narzędzi począwszy od ostrzeżeń czy poleceń wprowadzenia konkretnych środków zaradczych poprzez wyznaczenie urzędnika monitorującego, aż po dotkliwe kary finansowe sięgające 10 mln EUR bądź 2% rocznego obrotu dla przedsiębiorstw kluczowych i 7 mln EUR bądź 1,4% rocznego obrotu dla podmiotów ważnych. Możliwe jest także tymczasowe zawieszenie bądź zakaz prowadzenia działalności.

Należy pamiętać, że NIS2 przyjmuje możliwość nałożenia kar na osoby fizyczne odpowiedzialne za przestrzeganie przepisów w podmiotach kluczowych, np. poprzez nałożenie tymczasowego zakazu pełnienia funkcji zarządczych w danej organizacji.

Artur Olszynka: Dodatkowo dyrektywa NIS2 przewiduje także możliwość nakładania okresowych kar pieniężnych, aby wymusić przestrzeganie przepisów oraz wprowadza sankcje karne z tytułu naruszenia przepisów dyrektywy.

Sankcje i kary są dość wysokie. A jakie są koszty zabezpieczenia przed cyberatakami w stosunku do kosztów potencjalnych konsekwencji?

Artur Olszynka: Chociaż inwestycje związane z zapewnieniem cyberbezpieczeństwa nieraz mogą wydawać się wysokie, to jak pokazują liczne przykłady, brak odpowiednich zabezpieczeń niestety w zasadzie zawsze, w przypadku ataku wiąże się z wysokimi kosztami finansowymi. Dodatkowo bardzo często niesie za sobą uszczerbek na wizerunku danego podmiotu, bez względu na to, w jakim obszarze on działa. Dlatego warto zainwestować w mechanizmy ochronne, co oczywiście zależy od tego, jakiego rodzaju jest to podmiot, jakie dane przetwarza oraz jaki może być koszt przestoju, który będzie miał miejsce w związku z cyberatakiem.

Norbert Nowak: NIS2 nie definiuje konkretnych narzędzi czy metod, które należy wdrożyć, aby spełnić wytyczne. Tak jak w przypadku RODO mówiliśmy o „adekwatności”, tak przepisy NIS2 wymagają, aby zastosowane środki były „proporcjonalne” do charakterystyki naszej organizacji. Oznacza to, że projektując system bezpieczeństwa IT powinniśmy wziąć pod uwagę takie wskaźniki, jak stopień narażenia na ryzyko, wielkość organizacji, prawdopodobieństwo incydentu oraz jego potencjalną dotkliwość, a także skutki społeczno-gospodarcze zdarzenia. Prawidłowo przeprowadzona analiza ryzyka pozwoli nam uzyskać te informacje. Dopiero określenie i analiza wskazanych czynników odpowie na pytanie jakie środki zaradcze będą właściwe dla naszej organizacji oraz z jakim kosztem powinniśmy się zmierzyć.

Również koszt potencjalnego ataku może być zależny od wielu czynników. Przede wszystkim należy rozważyć, z jakim zagrożeniem mamy do czynienia. Inne będą skutki utraty mało istotnych danych, a inne przyniesie wyciek wrażliwych danych naszych klientów i przejęcie ich przez cyberprzestępców. Dyrektywa dotyczy organizacji, które zostały wskazane jako te, których działalność ma znaczący wpływ na funkcjonowanie kraju, zatem w ich przypadku każda forma zagrożenia może wiązać się z licznymi i dotkliwymi konsekwencjami. Należy zaznaczyć, że koszt incydentu nie ogranicza się jedynie do krótkofalowych skutków finansowych, ewentualnych kar i przestoju w działalności, ale obejmuje także długofalowe skutki, zmniejsza zaufanie społeczne, a w skrajnych przypadkach może uniemożliwić bądź znacząco utrudnić dalsze funkcjonowanie przedsiębiorstwa.