1 травня 2023 року набуде чинності поправка до Закону про безпеку інформаційних технологій 2.0. Після закінчення перехідного періоду BSI вимагає від операторів критичної інфраструктури нових вимог. Що це буде детально, кого стосуватиметься та які заходи необхідно вжити до того часу. Коментар від Радар кібербезпеки.
Кіберзлочинці все частіше націлюються на операторів критичної інфраструктури та компанії особливого економічного значення. Це може не тільки призвести до виробничих втрат на мільйони і вузьких місць у постачанні, але в гіршому випадку може поставити під загрозу громадську безпеку. Крім того, оператори KRITIS мають не лише захищати себе від спроб шантажу, мотивованого грошовими коштами. Політично вмотивовані напади в рамках гібридної війни також стали реальною загрозою.
ITSig 2.0 – Закон про ІТ-безпеку 2.0 від травня 2023 року
Німецький законодавець відреагував на ці небезпеки ще в 2021 році другим законом про підвищення безпеки систем інформаційних технологій - коротко: Законом про безпеку ІТ 2.0. Таким чином, існуючий закон BSI був доповнений іншими пунктами. Друга Директива про мережеву та інформаційну безпеку (NIS 2) також буде прийнята на рівні ЄС.
Крім традиційних операторів KRITIS, компанії, що представляють «особливий суспільний інтерес», такі як виробники озброєнь або компанії з особливо важливим економічним значенням, тепер також повинні впроваджувати певні заходи ІТ-безпеки. У результаті коло критичної інфраструктури було розширено за рахунок таких секторів, як утилізація відходів і виробництво озброєнь.
Закон про безпеку ІТ 2.0: короткий огляд нових вимог
- Оператори критичної інфраструктури повинні впровадити системи виявлення атак не пізніше 1 травня 2023 року.
- Оператори KRITIS повинні повідомити Федеральне міністерство внутрішніх справ про заплановане початкове використання критичних компонентів, наприклад, якщо виробник контролюється третьою країною або суперечить цілям політики безпеки Федерального уряду Німеччини, ЄС або НАТО.
- Компанії, що становлять особливий суспільний інтерес, зобов’язані регулярно подавати самодекларацію. Вони повинні пояснити, які сертифікації у сфері ІТ-безпеки були проведені за останні два роки та як їхні ІТ-системи були захищені.
Заходи захисту критичної інфраструктури
Операторам і компаніям KRITIS, які потребують захисту своїх ІТ і технологій керування від кібератак, потрібні інтегровані рішення, які відповідають Закону про безпеку ІТ 2.0, Закону про BSI та стандарту ISO 27001 щодо інформаційної безпеки. Тому з технологічного боку слід використовувати наступні модулі виявлення:
- Аналіз даних журналу (LDA) / інформація про безпеку та керування подіями (SIEM): це означає збір, аналіз і кореляцію журналів із різноманітних джерел. Це призводить до сповіщень про проблеми безпеки або потенційні ризики.
- Управління вразливістю та відповідність вимогам (VMC): Управління вразливістю забезпечує безперервне, внутрішнє та зовнішнє сканування вразливостей із комплексним виявленням, перевіркою відповідності та тестуванням для повного покриття. У рамках відповідності програмного забезпечення авторизоване використання програмного забезпечення для кожного сервера або групи серверів визначається за допомогою набору правил і постійного аналізу. Змінене програмне забезпечення можна швидко розпізнати.
- Моніторинг стану мережі (модуль OT): повідомляє про зв’язки в режимі реального часу, які вказують на порушення безпомилкової роботи. Таким чином умови технічного перевантаження, фізичні пошкодження, неправильні конфігурації та погіршення продуктивності мережі розпізнаються негайно, а джерела помилок визначаються безпосередньо.
- Аналітика мережевої поведінки (NBA): за допомогою аналізу мережевої поведінки виявлення небезпечних зловмисних програм, аномалій та інших ризиків у мережевому трафіку можливе на основі механізмів виявлення на основі сигнатур і поведінки.
- Endpoint Detection & Response (EDR): Endpoint Detection and Response означає аналіз, моніторинг і виявлення аномалій на комп’ютерах (хостах). З EDR забезпечуються дії активного захисту та миттєва оповіщення.
🔎 Частина 1: Закон про ІТ-безпеку 2.0 для Kritis (Зображення: Radar Cyber Security).
Через складність подальшу обробку важливої для безпеки інформації з цих модулів здійснюють фахівці з безпеки. Ви оцінюєте та розставляєте пріоритети автоматично отриманої статистики з величезної колекції даних. Результати цього аналізу є основою для ініціювання правильних контрзаходів власними фахівцями.
Щоб забезпечити найкращу безпеку даних, також рекомендується налаштувати локальні рішення як найбезпечнішу форму розгортання. Навіть якщо тенденція зростає до хмари, це проблематично з точки зору високого рівня чутливості даних у зоні KRITIS.
Центри кіберзахисту (CDC) для захисту критичної інфраструктури
Завдяки Центру кіберзахисту (CDC) - також відомому як Центр безпеки (SOC) - оператори та компанії KRITIS можуть ефективно реалізувати всі вищезазначені моменти, щоб реалізувати послідовну інтегровану концепцію безпеки для своєї ІТ- та OT-інфраструктури. . CDC охоплює технології, процеси та експертів, відповідальних за моніторинг, аналіз і підтримку інформаційної безпеки організації. CDC збирає дані в режимі реального часу з мереж організації, серверів, кінцевих точок та інших цифрових активів і використовує інтелектуальну автоматизацію для виявлення, визначення пріоритетів і реагування на потенційні загрози кібербезпеці - XNUMX/XNUMX. Це дозволяє швидко стримувати та нейтралізувати загрози.
🔎 Частина 2: Закон про ІТ-безпеку 2.0 для Kritis (Зображення: Radar Cyber Security).
Крім того, рекомендується використовувати європейські технології безпеки для операторів і компаній KRITIS, які представляють особливий суспільний інтерес. Таким чином можна легко виконати законні вимоги щодо захисту даних. До них належать, наприклад, вимоги Загального регламенту ЄС про захист даних (GDPR) і вимоги закону BSI щодо належного підтвердження ваших запобіжних заходів, щоб уникнути порушення доступності, цілісності, автентичності та конфіденційності ваших систем інформаційних технологій, компонентів або процеси, які необхідні для функціонування критичної інфраструктури, якою вони керують, є актуальними.
Атаки на європейський KRITIS посиляться
Використання європейських технологій безпеки також полегшує BSI перевірку критичних компонентів, щоб гарантувати, що учасники третіх країн не можуть отримати доступ до конфіденційної інформації в будь-який час, порушуючи захист даних ЄС. Це особливо важливо в часи, коли Закон про конфіденційність між США та Європою не діє.
Слід очікувати, що атаки на критичну інфраструктуру Європи продовжуватимуть зростати в майбутньому, і це особливо очевидно на геополітичній арені з війною в Україні. За допомогою цілісного рішення Cyber Defence Center німецькі оператори KRITIS можуть значно підвищити свою кіберстійкість, щоб захистити себе від атак.
Більше на RadarCS.com
Про Radar Cyber Security Radar Cyber Security керує одним із найбільших центрів кіберзахисту в Європі в центрі Відня на основі власної технології Cyber Detection Platform. Керуючись сильним поєднанням людських знань і досвіду в поєднанні з останніми технологічними розробками десятирічної науково-дослідної роботи, компанія поєднує комплексні рішення для завдань, пов’язаних із безпекою ІТ та ОТ, у своїх продуктах RADAR Services і RADAR Solutions.