El 1 de mayo de 2023 entrará en vigor la modificación de la Ley de Seguridad Informática 2.0. Cuando expira el período de transición, BSI exige nuevos requisitos a los operadores de infraestructura crítica. Cuál será eso en detalle, quiénes se verán afectados y qué medidas se deben tomar para entonces. un comentario de Radar de Ciberseguridad.
Los ciberdelincuentes se dirigen cada vez más a operadores de infraestructuras críticas y empresas con especial importancia económica. Esto no solo puede generar pérdidas de producción por valor de millones y cuellos de botella en el suministro, sino que, en el peor de los casos, puede poner en peligro la seguridad pública. Además, los operadores de KRITIS no solo tienen que protegerse contra los intentos de chantaje por motivos monetarios. Los ataques por motivos políticos como parte de la guerra híbrida también se han convertido en una amenaza real.
ITSig 2.0 – Ley de seguridad informática 2.0 a partir de mayo de 2023
El legislador alemán reaccionó ante estos peligros ya en 2021 con la Segunda Ley para aumentar la seguridad de los sistemas de tecnología de la información, en resumen: Ley de seguridad de TI 2.0. Con esto, la ley BSI existente se complementó con otros puntos. Una segunda Directiva de seguridad de la información y las redes (NIS 2) también seguirá su ejemplo a nivel de la UE.
Además de los operadores tradicionales de KRITIS, las empresas de lo que se conoce como “interés público particular”, como los fabricantes de armamento o las empresas con una importancia económica especialmente grande, ahora también deben implementar ciertas medidas de seguridad informática. Como resultado, el círculo de infraestructuras críticas se amplió para incluir sectores como la eliminación de residuos y la producción de armamento.
IT Security Act 2.0: Nuevos requisitos de un vistazo
- Los operadores de infraestructuras críticas deben implementar sistemas de detección de ataques a más tardar el 1 de mayo de 2023.
- Los operadores de KRITIS deben notificar al Ministerio Federal del Interior sobre el uso inicial planificado de componentes críticos, por ejemplo, si el fabricante está controlado por un tercer país o contradice los objetivos de la política de seguridad del Gobierno Federal Alemán, la UE o la OTAN.
- Las empresas de especial interés público están obligadas a presentar periódicamente una autodeclaración. Deben explicar qué certificaciones en el campo de la seguridad informática se han realizado en los últimos dos años y cómo se han asegurado sus sistemas informáticos.
Medidas para proteger la infraestructura crítica
Los operadores y empresas de KRITIS que necesitan proteger su tecnología de control y TI de los ataques cibernéticos necesitan soluciones integradas que estén en línea con la Ley de Seguridad de TI 2.0, la Ley BSI y la norma ISO 27001 sobre seguridad de la información. Por lo tanto, los siguientes módulos de detección deben utilizarse en el lado de la tecnología:
- Análisis de datos de registro (LDA)/gestión de eventos e información de seguridad (SIEM): Esto significa la recopilación, el análisis y la correlación de registros de una amplia variedad de fuentes. Esto da como resultado alertas sobre problemas de seguridad o riesgos potenciales.
- Gestión y cumplimiento de vulnerabilidades (VMC): la gestión de vulnerabilidades permite el escaneo continuo, interno y externo de vulnerabilidades con detección integral, verificaciones de cumplimiento y pruebas para una cobertura completa. Como parte del cumplimiento del software, el uso autorizado de software para cada servidor o grupo de servidores se determina mediante un conjunto de reglas y un análisis continuo. El software manipulado se puede reconocer rápidamente.
- Supervisión del estado de la red (módulo OT): informa comunicaciones en tiempo real que indican una interrupción del funcionamiento sin errores. Las condiciones de sobrecarga técnica, los daños físicos, las malas configuraciones y el deterioro del rendimiento de la red se reconocen inmediatamente y las fuentes de error se identifican directamente.
- Análisis del comportamiento de la red (NBA): con el análisis del comportamiento de la red, es posible detectar malware peligroso, anomalías y otros riesgos en el tráfico de la red en función de los motores de detección basados en la firma y el comportamiento.
- Endpoint Detection & Response (EDR): Endpoint Detection and Response significa análisis, monitoreo y detección de anomalías en computadoras (hosts). Con EDR, se proporcionan acciones de protección activa y alertas instantáneas.
🔎 Parte 1: Ley de seguridad informática 2.0 para Kritis (Imagen: Radar Cyber Security).
Debido a la complejidad, el procesamiento posterior de la información relevante para la seguridad de estos módulos lo llevan a cabo especialistas en seguridad. Usted evalúa y prioriza los conocimientos adquiridos automáticamente a partir de una gran recopilación de datos. Los resultados de este análisis son la base para iniciar las contramedidas correctas por parte de especialistas internos.
Para garantizar la mejor seguridad de datos posible, también se recomienda configurar soluciones locales como la forma más segura de implementación. Incluso si la tendencia es cada vez más hacia la nube, esto es problemático en términos del alto nivel de sensibilidad de los datos en el área de KRITIS.
Centros de Ciberdefensa (CDC) para proteger infraestructura crítica
Con un Centro de Defensa Cibernética (CDC), también conocido como Centro de Operaciones de Seguridad (SOC), los operadores y las empresas de KRITIS pueden implementar de manera efectiva todos los puntos anteriores para implementar un concepto de seguridad integrado y coherente para su infraestructura de TI y OT. . Un CDC abarca tecnologías, procesos y expertos responsables de monitorear, analizar y mantener la seguridad de la información de una organización. El CDC recopila datos en tiempo real de las redes, servidores, puntos finales y otros activos digitales de la organización y utiliza la automatización inteligente para detectar, priorizar y responder a posibles amenazas de ciberseguridad, las XNUMX horas del día, los XNUMX días de la semana. Esto permite contener y neutralizar las amenazas rápidamente.
🔎 Parte 2: Ley de seguridad informática 2.0 para Kritis (Imagen: Radar Cyber Security).
Además, se recomienda el uso de tecnologías de seguridad europeas para los operadores y empresas de KRITIS en interés público particular. De esta manera, los requisitos legales de protección de datos se pueden cumplir fácilmente. Estos incluyen, por ejemplo, los requisitos del Reglamento General de Protección de Datos de la UE (GDPR) y el requisito de la ley BSI para la prueba adecuada de sus precauciones para evitar interrupciones en la disponibilidad, integridad, autenticidad y confidencialidad de sus sistemas de tecnología de la información, componentes o procesos que son necesarios para la funcionalidad de las infraestructuras críticas operadas por ellos son relevantes.
Los ataques contra KRITIS de Europa aumentarán
El uso de la tecnología de seguridad europea también facilita que BSI verifique los componentes críticos para garantizar que los actores de terceros países no puedan acceder a información confidencial en violación de la protección de datos de la UE en ningún momento. Esto es aún más importante en tiempos en que la Ley de privacidad entre EE. UU. y Europa está inactiva.
Es de esperar que los ataques a la infraestructura crítica de Europa continúen aumentando en el futuro y esto es particularmente evidente en el escenario geopolítico con la guerra de Ucrania. Con una solución holística del Centro de defensa cibernética, los operadores alemanes de KRITIS pueden aumentar significativamente su resiliencia cibernética para defenderse de los ataques.
Más en RadarCS.com
Sobre Radar Ciberseguridad Radar Cyber Security opera uno de los centros de ciberdefensa más grandes de Europa en el corazón de Viena basado en la tecnología patentada Cyber Detection Platform. Impulsada por la sólida combinación de conocimientos y experiencia humana, junto con los últimos avances tecnológicos de diez años de trabajo de investigación y desarrollo, la empresa combina soluciones integrales para los desafíos relacionados con la seguridad de TI y OT en sus productos RADAR Services y RADAR Solutions.