Glavni cilj direktive NIS2 jest osigurati što bolju sigurnosnu zaštitu mreža i informacijskih sustava tvrtki važnih za funkcioniranje društva i ekonomije, a u cilju smanjenja rizika od kibernetičkih prijetnji i povećanja razine kibernetičke otpornosti protiv sve učestalijih i sofisticiranijih kibernetičkih napada.

Još 2016. godine donesena je direktiva NIS o sigurnosnoj zaštiti kritičke infrastrukture u Europskoj uniji. Ona je propisivala kibernetičku zaštitu strateške infrastrukture od koje zavisi funkcioniranje društva. Ubrzo se pokazalo da nije dovoljno štititi samo kritičnu infrastrukturu te je sedam godina od prve direktive usvojena njena proširena verzija, direktiva NIS2.

Uz pojačane zahtjeve za upravljanjem rizicima i izvještavanjem o incidentima, širu pokrivenost sektora i subjekata te visoke kazne za neusklađenost, direktiva NIS2 obvezuje stotine tisuća organizacija u EU na procjenu svoga stanja kibernetičke sigurnosti.

Ključne odredbe

Upravljanje rizicima: Organizacije moraju provoditi procjene rizika te razviti odgovarajuće sigurnosne politike i mjere, a u cilju identifikacije, procjene, tretiranja, i u konačnici smanjenja cyber rizika. Mjere koje pritom organizacija mora primijeniti su upravljanje incidentima, jača sigurnost lanca opskrbe, pojačana sigurnost mreže, bolja kontrola pristupa te enkripcija.

Korporativna odgovornost: Svijest uprave društva o rizicima i mjerama zaštite mora biti vrlo visoka. Uprava društva mora preuzeti odgovornost za sigurnost informacijskih sustava kako bi se osiguralo da se pravilno nadgledaju, odobravaju i provode mjere kibernetičke zaštite.

Obveze izvještavanja: Direktivom se želi osigurati pojačana suradnja između država EU. Zbog toga se propisuje da ključni i važni subjekti moraju objavljivati informacije o sigurnosnim incidentima koji značajno utječu na opskrbu uslugama ili na primatelje usluga. Direktivom je određen okvir za proces izvještavanja. Brzo izvještavanje o sigurnosnim incidentima omogućuje organizacijama, kao i nadležnim tijelima, da se pripreme za cyber prijetnje i poduzmu potrebne mjere zaštite. Određeni su specifični rokovi za izvještavanje, koji osiguravaju brzu reakciju i smanjuju potencijalnu štetu.

Kontinuitet poslovanja: Ključni i važni subjekti moraju planirati kontinuitet poslovanja da bi važne usluge i procesi nastavili raditi tijekom i nakon kibernetičkih incidenata. U planovima kontinuiteta poslovanja moraju se definirati timovi za odgovor na krizne situacije te razmatrati sigurnosne procedure i oporavak sustava nakon nastupanja incidenata.

Profesionalno rješenje

Kibernetička zaštita nije nimalo jednostavna i iziskivala bi ogromne troškove kada bi se svaka organizacija sama bavila složenom primjenom direktive NIS2. No, na tržištu postoje profesionalna rješenja, poput A1 Sigurnosnog operativnog centra https://www.a1.hr/poslovni/ict-rjesenja/sigurnosna-rjesenja/sigurnosni-operativni-centar.

Sigurnosni operativni centar (SOC) je rješenje tvrtke A1 Hrvatska, namijenjeno poslovnim korisnicima, koje im osigurava nadzor i detekciju sigurnosnih incidenata te zaštitu od kibernetičkih prijetnji. Napredno i inovativno rješenje tvrtkama osigurava izbjegavanje nepotrebnih gubitaka, očuvanje podataka te sprečavanje potencijalnih napada na krajnje točke.

SOC nudi neprekidan nadzor svih komponenti IT sustava, uključujući mrežni promet, servere i aplikacije, kao i naprednu detekciju svih vrsta prijetnji. U sklopu SOC-a, A1 redovito ispostavlja sigurnosne izvještaje s preporukama za poboljšanje zaštite te daje stručne preporuke i stalnu, 24/7 podršku za poboljšanje sigurnosne strategije.

Uvođenja usluge vrlo je jednostavno. A1 korisnicima nudi analizu postojeće IT infrastrukture i sigurnosnih zahtjeva, nakon čega se A1 SOC prilagođava njihovim specifičnim potrebama i postojećim sustavima, bez ometanja poslovanja. Nakon završetka implementacije, A1 SOC odmah preuzima aktivno praćenje i odgovara na incidente, a redovitim provođenjem testova osigurava se potpuna operativnost i učinkovitost sustava.

Automatsko penetracijsko testiranje

Platforma A1 SOC kontinuirano otkriva unutarnje i vanjske površine za napad i provodi sigurnosnu validaciju pripremljenosti za najnovije napredne prijetnje te dokazuje potencijalni utjecaj eksploatacije svakog sigurnosnog nedostatka i sukladno tome daje prioritet njegovu otklanjanju. U tu svrhu provodi se i automatsko penetracijsko testiranje, koje provodi dubinsku provjeru sigurnosnih pravila i alata.

Na kraju svakog testiranja dostupni su izvještaji, usmjereni na rješenje ranjivosti. Pronađene ranjivosti, kao i svi pronađeni podaci koje je platforma otkrila, tretiraju se povjerljivo.

Test se pokreće bez ikakvih prethodnih informacija o ciljanoj mreži. Oponaša napadače koji aktivno pokušavaju probiti perimetar. Rezultati testa pokazuju što se može otkriti i što je osjetljivo na napad izvana u vrijeme testiranja.

Platforma pokušava iskoristiti statičke ranjivosti i ljudskih pogrešaka na mreži, da bi se postigla opipljiva postignuća, na kraju kojih platforma generira cjelovito izvješće.

Rezultati provedenih testiranja dostupni su u obliku pisanog izvješća preko nadzorne ploče za izvješćivanje. Potencijalno otkrivene ranjivosti kategorizirane su, opisana je ranjivost i, ako je primjenjivo, pružit će se dodatne informacije i upute za ispravljanje ranjivosti.