Pre veľkých aj pre malých
Firmy mylne predpokladajú, že bezpečnostné smernice sa týkajú len veľkých korporácií. Aj napriek tomu, že smernica je primárne zameraná na poskytovateľov základných a digitálnych služieb, môže ovplyvniť aj menšie organizácie, ktoré sú súčasťou dodávateľského reťazca alebo sú považované za kľúčových hráčov vo svojom odvetví.
Nielen kyber a nielen technológie
Aj keď je hlavným cieľom posilniť kybernetickú bezpečnosť v členských štátoch EÚ, smernica NIS2 sa týka aj odolnosti infraštruktúry a pripravenosti na rôzne incidenty, nielen na kybernetické útoky.
Hoci je technológia dôležitou súčasťou kyberbezpečnosti, smernica sa týka ľudských a procesných aspektov kybernetickej bezpečnosti, respektíve odolnosti.
Prekliatie menom GDPR
Azda najčastejší mýtus je ten, že po splnení GDPR bude organizácia aj v súlade s NIS2. Aj napriek tomu, že existujú určité prieniky medzi nariadením GDPR a smernicou NIS2 v oblastiach riadenia incidentov a ich oznamovania, sú to dve odlišné právne úpravy s rôznymi cieľmi.
GDPR sa zameriava na ochranu osobných údajov, zatiaľ čo NIS2 je zameraná na zabezpečenie kritickej infraštruktúry a služieb.
Smernica je cieľovým stavom
Tak táto interpretácia je znakom základnej neznalosti, keďže smernicu NIS2 čaká ešte transpozícia do legislatívy jednotlivých štátov.
Nech už je proces akýkoľvek dlhý alebo rýchly, pre organizácie platí, že by mali neustále hodnotiť a aktualizovať svoje bezpečnostné postupy a riešenia v reakcii na meniace sa prostredie a kybernetické útoky. Ani splnenie aktuálnych legislatívnych požiadaviek nie je cieľovým stavom, po ktorom je organizácia v bezpečí a nemusí už v oblasti bezpečnosti nič robiť. Pre správne interpretovanie a pochopenie požiadaviek legislatívy je dôležité, aby organizácie konzultovali potreby a požiadavky s odborníkmi na kyberbezpečnosť a s právnymi poradcami.
Čo nás zabolí
Opäť – nedostatok profesionálov. Budú chýbať manažéri kybernetickej bezpečnosti, analytici aj ďalšie profesie v tejto oblasti. Nová bezpečnostná smernica kladie totiž vyššie nároky na bezpečnostné a oznamovacie požiadavky v súvislosti s kybernetickou bezpečnosťou.
Opäť – financie. Kyberodolnosť si vyžaduje náklady na softvérové a hardvérové vybavenie, školenia, vzdelávania a certifikácie. Tieto náklady sú často vysoké, avšak straty spôsobené nedostatočnou kybernetickou odolnosťou môžu byť rádovo vyššie.
Prečo nás čaká SOC rok
Vzhľadom na zvýšené požiadavky v oblasti kyberbezpečnosti bude pre mnohé organizácie kľúčovou súčasťou ich bezpečnostnej stratégie vytvorenie alebo využitie strediska bezpečnostných operácií – Security Operation Center (SOC).
Jedným zo základných aspektov strediska bezpečnostných operácií je totiž schopnosť nepretržitého monitorovania a rýchlej reakcie na bezpečnostné incidenty.
Na detekciu pokročilých a neustále sa meniacich hrozieb SOC využíva sofistikované nástroje a techniky. Poskytuje aj odporúčania pre lepšiu prevenciu, čo pomáha organizáciám zlepšovať odolnosť proti kybernetickým hrozbám.
Živá dokumentácia
Úlohou profesionálneho SOC tímu je vytvárať a udržiavať potrebnú dokumentáciu o detegovaných hrozbách a incidentoch, ako aj procedúry a postupy pre správne a včasné oznamovanie incidentov v súlade s požiadavkami smernice NIS2.
Výstupy, akými sú analýzy hrozieb, incidentov a trendov môžu byť integrované do celkového procesu riadenia rizík organizácie, čím sa zabezpečí lepšie riadenie a minimalizácia kybernetických incidentov. V konečnom dôsledku, vytvorenie SOC alebo využitie môže byť pre mnohé organizácie základným krokom k splneniu požiadaviek NIS2.
Čím skôr, tým lepšie
Pri rozhodovaní medzi externým SOC a jeho internou prevádzkou je dôležité zvážiť veľkosť a potreby organizácie, finančné zdroje, interné zručnosti a očakávania týkajúce sa kybernetickej bezpečnosti.
Medzi nesporné výhody externého SOC patria predvídateľné náklady založené na pevne stanovených mesačných alebo ročných poplatkoch. Počiatočné investície sú minimálne, keďže väčšinu nástrojov a infraštruktúry poskytuje dodávateľ. Rovnako ako zručnosti odborníkov, ktorí sa špecializujú iba na túto oblasť.
Jozef Bálint, konzultant kybernetickej bezpečnosti Alison Slovakia