Директива NIS 2 - IEC 62443

Сети остаются защищенными,
NIS2 бдительная рука,
Безопасность в тишине.
^{_{Из ChatGPT>}}

NIS 2, что расшифровывается как "Вторая директива по сетевым и информационным системам", - это директива Европейского союза, направленная на установление общих стандартов для повышения кибербезопасности в инфраструктурных секторах. Директива охватывает широкий спектр мер по обеспечению кибербезопасности критически важных предприятий, таких как энергетика, здравоохранение, финансовые услуги, транспорт, водоснабжение, телекоммуникации и поставщики цифровых услуг. Цель - усилить защиту от киберугроз и обеспечить операционную безопасность и устойчивость этих секторов в случае потенциальных кибератак.

Вот только некоторые из этих мер.

Вот лишь два ключевых аспекта NIS 2:

Отчетность об инцидентах

Как предприятие, вы обязаны сообщать о значительных инцидентах, связанных с кибербезопасностью, в соответствующие органы. Цель состоит в том, чтобы улучшить возможности реагирования на инциденты, облегчить обмен информацией и повысить уровень осведомленности о ситуации во всем ЕС.

Управление рисками

Предприятия обязаны применять меры по управлению рисками для эффективного выявления, оценки и снижения рисков кибербезопасности. Это включает в себя принятие соответствующих мер безопасности, реализацию планов реагирования на инциденты, постоянное совершенствование и обучение всего персонала.

Реагирование на нарушения безопасности является ключевым элементом управления рисками и кибербезопасности.

МЭК 62443 - это международная серия стандартов, касающихся кибербезопасности для критически важных в эксплуатации систем автоматизации и управления.

Затрагиваемые сектора:

• Энергетика: электричество, нефть и газ, централизованное теплоснабжение
.
• Транспорт: воздушный, железнодорожный, водный и автомобильный
.
• Банкинг: финансовая инфраструктура
.
• Здравоохранение
• Водопользование: питьевая вода и очистка сточных вод
.
• Цифровые услуги: облачные сервисы, поисковые системы, онлайн-площадки
.
• Отрасли: государственные администрации и местные органы власти
.
• Пищевая промышленность: системы поставок и производства продуктов питания
.
• Химическая промышленность: химическое производство и цепочки поставок
• Космос и оборона
.

Все эти отрасли являются критически важными, и укрепление их кибербезопасности необходимо для обеспечения функционирования общества и непрерывности услуг перед лицом киберугроз.

Темы кибербезопасности разбиты по категориям/ролям заинтересованных сторон, включая:

• Оператор
• Провайдеры услуг (интеграция/обслуживание)
.
• Производители систем/компонентов
.

Технические требования к системам (IEC 62443-3-3) и изделиям (IEC 62443-4-2) оцениваются в стандарте с помощью четырех так называемых уровней безопасности (SL). Различные уровни указывают на устойчивость к различным классам злоумышленников.

1. SL 1 - Защита от случайных атак:
   Этот уровень предполагает, что система способна защитить от простых и случайных атак, таких как автоматические вредоносные программы, которые не имеют преднамеренной цели атаковать систему. Этот уровень считается минимальной мерой безопасности.

2. SL 2 - защита от злоумышленников низкого уровня:
   SL 2 предназначен для систем, которые должны быть способны защитить от атак злоумышленников с ограниченными знаниями и ресурсами, но использующих общедоступные инструменты и методы. Злоумышленники могут целенаправленно атаковать систему, но их навыки невелики.

   У них ограниченные ресурсы и средства для атаки на систему.

3. SL 3 - Защита от злоумышленников со средними навыками:
   Этот уровень предназначен для более сложных атак, когда злоумышленники хорошо оснащены, имеют больше знаний и ресурсов. Они могут использовать специализированные инструменты и методы атак, требующие технических навыков, но не могут быть национальными злоумышленниками высокого уровня.

   .

4. SL 4 - Защита от высокомотивированных и обеспеченных ресурсами злоумышленников:
   Самый высокий уровень безопасности используется для систем, которые необходимо защитить от высококвалифицированных и хорошо финансируемых злоумышленников, таких как кибератаки, спонсируемые государством. Злоумышленники могут использовать целенаправленные и сложные методы атак, требующие глубоких технических знаний и больших ресурсов.

Развитие уровня безопасности требует от систем и продуктов все более строгих технических мер защиты, повышающих их устойчивость к различным типам злоумышленников и используемым ими инструментам.

Директива NIS2 - 4 ключевых требования, которым необходимо соответствовать

Управление рисками и реагирование на инциденты

.

Предприятиям необходимо внедрить меры по управлению рисками, чтобы обеспечить адекватное устранение рисков, влияющих на безопасность их сетей и систем:

• Проведение регулярных оценок рисков
.
• Введение в действие обширных планов реагирования на инциденты и восстановления.
• Внедрение мер безопасности для снижения рисков кибербезопасности, таких как шифрование, управление исправлениями и мониторинг.

Требования к отчетности об инцидентах

.

Согласно NIS2, компании должны сообщать о значительных инцидентах кибербезопасности в национальные компетентные органы (NCA) в строго установленные сроки:

• Первичное уведомление должно быть подано в течение 24 часов
. <Подробный отчет об инциденте должен быть представлен в течение 72 часов.

Безопасность цепочки поставок

.

Компании должны убедиться, что их цепочки поставок и сторонние поставщики услуг отвечают соответствующим стандартам безопасности. Это включает в себя:

• Оценка рисков, создаваемых поставщиками и провайдерами услуг
.
• Убедиться, что услуги третьих сторон, например облачные сервисы или поставщики ИТ-услуг, отвечают требованиям безопасности.
• Выполнение договорных соглашений с поставщиками, определяющих их обязательства по обеспечению безопасности.

Управление и подотчетность

.

Высшее руководство несет ответственность за практику кибербезопасности в организации. Компании должны:

• Назначить человека или команду, ответственную за управление рисками кибербезопасности
.
• Обеспечить надзор на уровне совета директоров и осведомленность об управлении рисками кибербезопасности.
• Обеспечьте обучение и программы повышения осведомленности для сотрудников.

Директива NIS2 - несоблюдение!!!

.
• Штрафы.
• Правовые иски/судебные дела: могут включать судебные иски, поданные пострадавшими сторонами, или правоприменительные действия, поданные регулирующими органами
(в зависимости от степени нарушения).
• Материальный ущерб: Снижение доверия среди клиентов, партнеров и заинтересованных сторон. Это может привести к потере деловых возможностей и негативному общественному мнению.
.
• Перерыв в работе: нарушение бизнес-операций, приводящее к финансовым потерям, простою в работе и повреждению критической инфраструктуры.
.
• Потеря контрактов или лицензий: риск потери контрактов, лицензий или сертификатов, особенно если их несоответствие нормам кибербезопасности ставит под угрозу безопасность и стабильность критически важных услуг или инфраструктуры.

Осейл Вестермо на вебинаре NIS2

.
.

Используемые устройства для обеспечения соответствия требованиям NIS2

.

Мы предлагаем коммуникационное оборудование Westermo, соответствующее стандарту NIS2 (IEC 62443-4-2), для обеспечения безопасности и надежности вашей сети. Наше оборудование специально разработано с учетом высоких требований к кибербезопасности и помогает защитить вашу критическую инфраструктуру и данные.

почему Westermo?

.