1 मई, 2023 को आईटी सुरक्षा अधिनियम 2.0 में संशोधन लागू होगा। जब संक्रमण अवधि समाप्त हो जाती है, बीएसआई महत्वपूर्ण बुनियादी ढांचे के ऑपरेटरों से नई आवश्यकताओं की मांग कर रहा है। वह विस्तार से क्या होगा, कौन प्रभावित होगा और तब तक क्या उपाय किए जाने चाहिए। से एक टिप्पणी रडार साइबर सुरक्षा।
साइबर अपराधी तेजी से महत्वपूर्ण बुनियादी ढांचे के ऑपरेटरों और विशेष आर्थिक महत्व वाली कंपनियों को निशाना बना रहे हैं। इससे न केवल लाखों का उत्पादन नुकसान हो सकता है और बाधाओं की आपूर्ति हो सकती है, बल्कि सबसे खराब स्थिति में यह सार्वजनिक सुरक्षा को खतरे में डाल सकता है। इसके अलावा, KRITIS संचालकों को न केवल मौद्रिक रूप से प्रेरित ब्लैकमेल प्रयासों से खुद को सुरक्षित रखना होगा। हाइब्रिड युद्ध के हिस्से के रूप में राजनीतिक रूप से प्रेरित हमले भी वास्तविक खतरा बन गए हैं।
ITSig 2.0 - मई 2.0 से IT सुरक्षा अधिनियम 2023
जर्मन विधायक ने सूचना प्रौद्योगिकी प्रणालियों की सुरक्षा बढ़ाने के लिए दूसरे अधिनियम के साथ 2021 की शुरुआत में इन खतरों पर प्रतिक्रिया व्यक्त की - संक्षेप में: आईटी सुरक्षा अधिनियम 2.0। इसके साथ, मौजूदा बीएसआई कानून को और बिंदुओं द्वारा पूरक बनाया गया। एक दूसरा नेटवर्क और सूचना सुरक्षा निर्देश (NIS 2) भी EU स्तर पर लागू होगा।
पारंपरिक KRITIS ऑपरेटरों के अलावा, जिन कंपनियों को "विशेष सार्वजनिक हित" के रूप में जाना जाता है, जैसे कि आयुध निर्माता या विशेष रूप से महान आर्थिक महत्व वाली कंपनियां, अब कुछ आईटी सुरक्षा उपायों को भी लागू करना चाहिए। परिणामस्वरूप, अपशिष्ट निपटान और आयुध उत्पादन जैसे क्षेत्रों को शामिल करने के लिए महत्वपूर्ण बुनियादी ढांचे के चक्र का विस्तार किया गया।
आईटी सुरक्षा अधिनियम 2.0: एक नज़र में नई आवश्यकताएं
- क्रिटिकल इंफ्रास्ट्रक्चर ऑपरेटरों को 1 मई, 2023 तक अटैक डिटेक्शन सिस्टम को नवीनतम रूप से लागू करना चाहिए।
- KRITIS संचालकों को महत्वपूर्ण घटकों के नियोजित प्रारंभिक उपयोग के संघीय आंतरिक मंत्रालय को सूचित करना चाहिए, उदाहरण के लिए यदि निर्माता किसी तीसरे देश द्वारा नियंत्रित किया जाता है या जर्मन संघीय सरकार, यूरोपीय संघ या नाटो के सुरक्षा नीति लक्ष्यों का खंडन करता है।
- विशेष जनहित में कंपनियां नियमित रूप से स्व-घोषणा प्रस्तुत करने के लिए बाध्य हैं। उन्हें यह बताना होगा कि पिछले दो वर्षों में आईटी सुरक्षा के क्षेत्र में कौन से प्रमाणपत्र किए गए हैं और उनके आईटी सिस्टम को कैसे सुरक्षित किया गया है।
महत्वपूर्ण बुनियादी ढांचे की सुरक्षा के उपाय
KRITIS ऑपरेटरों और कंपनियों को साइबर हमलों से अपने आईटी और नियंत्रण प्रौद्योगिकी की रक्षा करने की आवश्यकता है, उन्हें एकीकृत समाधानों की आवश्यकता है जो सूचना सुरक्षा पर आईटी सुरक्षा अधिनियम 2.0, बीएसआई अधिनियम और आईएसओ मानक 27001 के अनुरूप हों। इसलिए प्रौद्योगिकी पक्ष में निम्नलिखित पहचान मॉड्यूल का उपयोग किया जाना चाहिए:
- लॉग डेटा विश्लेषण (LDA) / सुरक्षा सूचना और घटना प्रबंधन (SIEM): इसका अर्थ है विभिन्न प्रकार के स्रोतों से लॉग का संग्रह, विश्लेषण और सहसंबंध। इसका परिणाम सुरक्षा समस्याओं या संभावित जोखिमों के लिए अलर्ट में होता है।
- भेद्यता प्रबंधन और अनुपालन (वीएमसी): भेद्यता प्रबंधन पूर्ण कवरेज के लिए व्यापक पहचान, अनुपालन जांच और परीक्षण के साथ निरंतर, आंतरिक और बाहरी भेद्यता स्कैनिंग को सक्षम बनाता है। सॉफ़्टवेयर अनुपालन के भाग के रूप में, प्रत्येक सर्वर या सर्वर समूह के लिए सॉफ़्टवेयर का अधिकृत उपयोग नियमों के एक सेट और निरंतर विश्लेषण का उपयोग करके निर्धारित किया जाता है। हेरफेर किए गए सॉफ़्टवेयर को जल्दी से पहचाना जा सकता है।
- नेटवर्क कंडीशन मॉनिटरिंग (OT मॉड्यूल): यह रीयल-टाइम संचार की रिपोर्ट करता है जो त्रुटि-मुक्त संचालन में व्यवधान का संकेत देता है। तकनीकी अधिभार की स्थिति, भौतिक क्षति, गलत कॉन्फ़िगरेशन और नेटवर्क प्रदर्शन में गिरावट इस प्रकार तुरंत पहचानी जाती है और त्रुटि के स्रोत सीधे पहचाने जाते हैं।
- नेटवर्क बिहेवियर एनालिटिक्स (एनबीए): नेटवर्क व्यवहार विश्लेषण के साथ, हस्ताक्षर और व्यवहार-आधारित पहचान इंजन के आधार पर नेटवर्क ट्रैफ़िक में खतरनाक मैलवेयर, विसंगतियों और अन्य जोखिमों का पता लगाना संभव है।
- एंडपॉइंट डिटेक्शन एंड रिस्पांस (ईडीआर): एंडपॉइंट डिटेक्शन एंड रिस्पांस कंप्यूटर कंप्यूटर (मेजबान) पर विश्लेषण, निगरानी और विसंगतियों का पता लगाने के लिए खड़ा है। ईडीआर के साथ, सक्रिय सुरक्षा क्रियाएं और तत्काल चेतावनी प्रदान की जाती हैं।
🔎 भाग 1: क्रिटिस के लिए आईटी सुरक्षा अधिनियम 2.0 (छवि: रडार साइबर सुरक्षा)।
जटिलता के कारण, सुरक्षा विशेषज्ञों द्वारा इन मॉड्यूल से सुरक्षा-प्रासंगिक जानकारी की आगे की प्रक्रिया की जाती है। आप विशाल डेटा संग्रह से स्वचालित रूप से प्राप्त अंतर्दृष्टि का मूल्यांकन और प्राथमिकता देते हैं। इस विश्लेषण के परिणाम इन-हाउस विशेषज्ञों द्वारा सही प्रतिउपाय शुरू करने का आधार हैं।
सर्वोत्तम संभव डेटा सुरक्षा सुनिश्चित करने के लिए, परिनियोजन के सबसे सुरक्षित रूप के रूप में ऑन-प्रिमाइसेस समाधान स्थापित करने की भी अनुशंसा की जाती है। भले ही रुझान क्लाउड की ओर बढ़ रहा हो, यह KRITIS के क्षेत्र में उच्च स्तर की डेटा संवेदनशीलता के संदर्भ में समस्याग्रस्त है।
महत्वपूर्ण बुनियादी ढांचे की सुरक्षा के लिए साइबर रक्षा केंद्र (सीडीसी)।
एक साइबर रक्षा केंद्र (सीडीसी) के साथ - जिसे एक सुरक्षा संचालन केंद्र (एसओसी) के रूप में भी जाना जाता है - केआरआईटीआईएस ऑपरेटर और कंपनियां अपने आईटी और ओटी बुनियादी ढांचे के लिए एक सुसंगत, एकीकृत सुरक्षा अवधारणा को लागू करने के लिए उपरोक्त सभी बिंदुओं को प्रभावी ढंग से लागू कर सकती हैं। . एक सीडीसी एक संगठन की सूचना सुरक्षा की निगरानी, विश्लेषण और रखरखाव के लिए जिम्मेदार प्रौद्योगिकियों, प्रक्रियाओं और विशेषज्ञों को शामिल करता है। सीडीसी संगठन के नेटवर्क, सर्वर, एंडपॉइंट और अन्य डिजिटल संपत्तियों से रीयल-टाइम डेटा एकत्र करता है और संभावित साइबर सुरक्षा खतरों का पता लगाने, प्राथमिकता देने और प्रतिक्रिया देने के लिए बुद्धिमान स्वचालन का उपयोग करता है - XNUMX/XNUMX। यह खतरों को समाहित करने और जल्दी से बेअसर करने की अनुमति देता है।
🔎 भाग 2: क्रिटिस के लिए आईटी सुरक्षा अधिनियम 2.0 (छवि: रडार साइबर सुरक्षा)।
इसके अलावा, विशेष जनहित में KRITIS ऑपरेटरों और कंपनियों के लिए यूरोपीय सुरक्षा तकनीकों के उपयोग की सिफारिश की जाती है। इस तरह, कानूनी डेटा सुरक्षा आवश्यकताओं को आसानी से पूरा किया जा सकता है। इनमें शामिल हैं, उदाहरण के लिए, ईयू जनरल डेटा प्रोटेक्शन रेगुलेशन (जीडीपीआर) की आवश्यकताएं और आपकी सूचना प्रौद्योगिकी प्रणालियों, घटकों की उपलब्धता, अखंडता, प्रामाणिकता और गोपनीयता में व्यवधान से बचने के लिए आपकी सावधानियों के उपयुक्त प्रमाण के लिए बीएसआई कानून की आवश्यकता। या प्रक्रियाएं जो उनके द्वारा संचालित महत्वपूर्ण बुनियादी ढांचे की कार्यक्षमता के लिए आवश्यक हैं, प्रासंगिक हैं।
यूरोप के KRITIS पर हमले बढ़ेंगे
यूरोपीय सुरक्षा प्रौद्योगिकी का उपयोग भी बीएसआई के लिए महत्वपूर्ण घटकों की जांच करना आसान बनाता है ताकि यह सुनिश्चित किया जा सके कि तीसरे देश के अभिनेता किसी भी समय ईयू डेटा सुरक्षा के उल्लंघन में संवेदनशील जानकारी तक नहीं पहुंच सकते हैं। यह ऐसे समय में और भी महत्वपूर्ण है जब संयुक्त राज्य अमेरिका और यूरोप के बीच गोपनीयता अधिनियम निष्क्रिय है।
यह उम्मीद की जानी चाहिए कि भविष्य में यूरोप के महत्वपूर्ण बुनियादी ढांचे पर हमले बढ़ते रहेंगे और यह यूक्रेन युद्ध के साथ भू-राजनीतिक मंच पर विशेष रूप से स्पष्ट है। एक समग्र साइबर रक्षा केंद्र समाधान के साथ, जर्मन KRITIS ऑपरेटर हमलों के खिलाफ खुद का बचाव करने के लिए अपने साइबर लचीलेपन को महत्वपूर्ण रूप से बढ़ा सकते हैं।
RadarCS.com पर अधिक
रडार साइबर सुरक्षा के बारे में रडार साइबर सुरक्षा मालिकाना साइबर डिटेक्शन प्लेटफ़ॉर्म तकनीक के आधार पर वियना के केंद्र में यूरोप के सबसे बड़े साइबर रक्षा केंद्रों में से एक का संचालन करती है। मानव विशेषज्ञता और अनुभव के मजबूत संयोजन से प्रेरित, दस वर्षों के अनुसंधान और विकास कार्य से नवीनतम तकनीकी विकास के साथ, कंपनी अपने उत्पादों राडार सेवाओं और राडार समाधानों में आईटी और ओटी सुरक्षा से संबंधित चुनौतियों के लिए व्यापक समाधानों को जोड़ती है।