Dyrektywa NIS, czyli nowe zasady ochrony informacji krytycznych

6 lipca bieżącego roku Parlament Europejski oficjalnie przyjął dyrektywę bezpieczeństwa sieci i informacji

Warszawa, 11 lipca 2016 – Dyrektywa NIS (ang. Network and Information Security Directive) dotycząca bezpieczeństwa sieci teleinformatycznych i przetwarzanych w nich informacji została właśnie zatwierdzona przez Parlament Europejski oraz rządy państw unijnych. Państwa członkowskie mają 21 miesięcy na wdrożenie nowego prawa do przepisów krajowych oraz 6 miesięcy na określenie dostawców kluczowych usług. Nowe unijne standardy obligują firmy i instytucje do upubliczniania informacji o zaistniałych atakach cybernetycznych.

Dyrektywa była wyczekiwana od długiego czasu, a jej treść została uzgodniona i ogłoszona przez Radę Europy jeszcze w grudniu 2015 roku. Dzięki przyspieszeniu procedury 6 lipca tego roku dokument został uchwalony przez Parlament Europejski.

„Najważniejszy jest fakt, że dyrektywę objęto klauzulą implementacji w ciągu 21 miesięcy we wszystkich krajach członkowskich. Oznacza to, że wszystkie organizacje wymienione w tej dyrektywie jako należące do sektorów, w których przedsiębiorcy świadczą usługi istotne z perspektywy bezpieczeństwa wewnętrznego, mają trochę czasu na przygotowanie się do nowych regulacji. Dyrektywa dotyczy nie tylko instytucji państwowych, lecz także komercyjnych, będących krytycznymi z punktu widzenia państw. A zatem wpływa na sektory takie jak bankowość, finanse, wytwarzanie i dystrybucja energii, transport, opieka zdrowotna, usługi internetowe i administracja publiczna. Ważne jest również to, że nowe przepisy dotyczą nie tylko lokalnych przedsiębiorstw czy organizacji, lecz także tych działających w skali globalnej, takich jak Facebook, Google, Amazon – one w takim samym stopniu są zobowiązane do zgłaszania zdarzeń oraz do zapewnienia jak najwyższego poziomu ochrony tych informacji, które są u nich przetwarzanie” – mówi Michał Jarski, Regional Director CEE w firmie Trend Micro.

Jawność zaistniałych wycieków danych

Najważniejszą zmianą, jaką pociągnie za sobą wejście nowych przepisów, będzie konieczność zgłaszania i raportowania wszelkiego rodzaju wycieków danych i naruszeń bezpieczeństwa do organów określonych w przepisach lokalnych. Bardzo ważne jest wskazanie, które organy będą odpowiadały za obsługę bieżących incydentów. W Polsce od początku lipca istnieje nowa jednostka o nazwie Narodowe Centrum Cyberbezpieczeństwa, powstała na bazie CERT Polska, a także związana z NCC cała struktura CERT-ów odpowiedzialnych za poszczególne sektory gospodarki, począwszy od CERT-u rządowego poprzez spodziewane do powstania na przykład dla bankowości czy sektora energetycznego.

Cyberbezpieczeństwo pioryrtetem dla władz UE

Zmiany wniesione przez dyrektywę NIS staną się uzupełnieniem uchwalonej wcześniej regulacji o nazwie GDPR (ang. General Data Protection Regulation) dotyczącej przetwarzania oraz bezpośredniej ochrony danych osobowych, gromadzonych przez różnego rodzaju jednostki. Połączenie nowego prawa dotyczącego bezpieczeństwa sieciowego w ogólności z wymogami odnoszącymi się do przetwarzania danych osobowych stwarza zupełnie nową strukturę, która wymusza wręcz nawiązanie i zacieśnienie współpracy pomiędzy sektorem prywatnym a publicznym oraz pomiędzy poszczególnymi państwami. Z punktu widzenia odporności takiego dużego organizmu, jakim jest Unia Europejska, jest to ogromny krok naprzód, który będzie wymagał gigantycznego wysiłku oraz nakładów finansowych, niemniej jednak pozwoli na koordynację działań przeciwko przestępcom, szpiegom czy hacktywistom zakłócającym działanie systemów rządowych.

„W skali globalnej straty, które są powodowane przez ataki włamywaczy elektronicznych, są liczone w setkach miliardów dolarów rocznie. Codziennie pojawia się pół miliona nowych, nigdzie nieidentyfikowanych wcześniej zagrożeń. To są zagrożenia zarówno w formie malware’u, złośliwego kodu, lecz także różnego rodzaju mechanizmy, które pozwalają włamywaczom na wykradanie indywidualnych kont bankowych. Do nich zliczamy również popularne ostatnio ataki typu rasnsomware, które cyberprzestępcy stosują w celu łatwego wzbogacenia się. Prócz ekonomicznie motywowanych zagrożeń, mamy też do czynienia z całą masą ataków z pogranicza wojny hybrydowej” – mówi Michał Jarski, Regional Director CEE w firmie Trend Micro.

Współpraca międzynarodowa

Europejska Agencja Bezpieczeństwa Sieci i Informacji (ENISA) zacznie odgrywać bardzo ważną rolę w budowaniu sieci współpracujących ze sobą zespołów narodowych. Do tej pory było to ciało o niewykorzystanym potencjale, bliżej nieokreślonych kompetencjach – natomiast teraz faktyczna będzie rola koordynacyjna tego organu.

Nowe przepisy nadają również ogromną rolę firmom komercyjnym, które są dostawcami technologii ochronnej, czyli wszystkich rozwiązań pozwalających na realizację skutecznych taktyk obronnych przed cyberzagrożeniami. Motywacją do korzystania z zaawansowanych systemów zabezpieczeń będzie nie tylko nakaz ujawniania informacji o zdarzeniach naruszeń bezpieczeństwa, lecz także konieczność udowodnienia, że zrobiło się wszystko, aby do takich incydentów nie dopuścić. Zadaniem firm komercyjnych będzie zatem dostarczenie takich narzędzi, które pozwolą zminimalizować ryzyko wystąpienia incydentów.

Równocześnie dyrektywa ta wzmocni współpracę dostawców z sektora Security IT z Europolem, Interpolem czy innymi jednostkami służącymi ściganiu przestępców oraz aktywnemu neutralizowaniu zagrożeń. Kluczowe będzie tu dzieleniu się informacjami o obserwacjach dotyczących cyberzagrożeń w skali światowej z CERT-ami narodowymi – w taki sposób, żeby wyposażać je w odpowiednią wiedzę z różnych źródeł i laboratoriów badawczych. Przekazanie informacji pozwoli na ostrzeżenie i podniesienie dodatkowych zabezpieczeń w tych obszarach, które jeszcze nie zostały dotknięte.

Informacje o firmie Trend Micro

Trend Micro Incorporated jest światowym liderem w dziedzinie rozwiązań zabezpieczających środowiska przetwarzania w chmurze. Dzięki technologiom zabezpieczającym treści internetowe i systemom zarządzającym zagrożeniami firma tworzy bezpieczny świat wymiany informacji cyfrowych. Oferta Trend Micro skierowana jest do użytkowników indywidualnych i do przedsiębiorstw. Jako pionier w dziedzinie bezpieczeństwa serwerów z ponad 20-letnim doświadczeniem, firma zapewnia najlepsze na rynku zabezpieczenia klientów, serwerów i cloud computingu, dopasowane do potrzeb partnerów oraz odbiorców produktów i usług. Pozwalają one na szybsze powstrzymanie zagrożeń i chronią dane w środowiskach fizycznych, zwirtualizowanych i opartych na chmurze.

Produkty i usługi Trend Micro wykorzystują wiodącą, bazującą na technologii cloud computing infrastrukturę bezpieczeństwa Trend Micro™ Smart Protection Network™. Gwarantuje ona blokowanie zagrożeń tam, gdzie się pojawiają, czyli w Internecie. Za najwyższą jakość i niezawodność rozwiązań Trend Micro odpowiada zespół złożony z ponad tysiąca ekspertów w dziedzinie zagrożeń. Więcej informacji o firmie można znaleźć na stronie www.trendmicro.pl.

Informacje na temat firmy Trend Micro

Trend Micro Incorporated (TYO: 4704, TSE: 4704) jako światowy lider w dziedzinie oprogramowania i rozwiązań zabezpieczających dąży do zapewnienia bezpiecznego globalnego środowiska wymiany informacji cyfrowych. Od ponad 25 lat jej pracownicy dokładają wszelkich starań, aby zapewnić bezpieczeństwo użytkownikom, rodzinom, firmom i organizacjom rządowym korzystającym z możliwości współczesnych technologii i nowych sposobów udostępniania informacji.

Informacje stanowią obecnie w firmach jeden z najcenniejszych zasobów strategicznych, który decyduje o ich przewadze nad konkurencją i odpowiednim funkcjonowaniu. Gwałtowny rozwój technologii związanych z urządzeniami przenośnymi, sieciami społecznościowymi i środowiskiem chmury sprawia, że ochrona tych informacji stanowi coraz większe wyzwanie. Organizacjom potrzebna jest odpowiednio dobrana strategia ochrony.

Informacje są chronione w sposób inteligentny z użyciem innowacyjnych rozwiązań zabezpieczających, które można łatwo wdrożyć, bezproblemowo nimi zarządzać i dopasować do zmieniającego się ekosystemu. Rozwiązania firmy Trend Micro zapewniają wielopoziomową ochronę zawartości na urządzeniach przenośnych i serwerach oraz w punktach końcowych, bramach i chmurze. Korzystając z tych rozwiązań, organizacje mogą zapewnić bezpieczeństwo użytkowników końcowych, zmieniających się centrów danych, zasobów w chmurze i innych informacji zagrożonych coraz bardziej wymyślnymi atakami.

Wszystkie rozwiązania korzystają z opartego na chmurze mechanizmu globalnej ochrony przed zagrożeniami, Trend Micro™ Smart Protection Network™, a ich obsługę zapewnia 1200 ekspertów ds. zagrożeń z całego świata. Dodatkowe informacje — www.trendmicro.pl.