Дигиталният свят се развива с бързи темпове, а с него растат и регулациите за неговата защита. Ако притежавате или управлявате компания, която предоставя cloud (облачни) услуги, хостинг, колокация или действа като доставчик на управлявани услуги (Managed Services Provider), в полезрението ви вече трябва да е едно основно съкращение: NIS2.
Новата европейска Директива за мрежова и информационна сигурност (МИС2) променя изцяло правилата на играта. Тя превръща киберсигурността от „добра практика“ в строго законово задължение с тежки финансови последици при неспазване.
В тази статия ще разгледаме на разбираем език какво представлява NIS2, защо доставчиците на облачни и хостинг услуги са под лупа и какви стъпки трябва да предприемете веднага.
Какво е NIS2 и защо засяга точно cloud услугите?
Директивата NIS2 има една основна цел: да повиши общото ниво на киберсигурност в рамките на Европейския съюз. За разлика на първата директива NIS от 2016 г., която засягаше само шепа огромни корпорации, NIS2 драстично разширява обхвата си.
Секторът на цифровата инфраструктура е класифициран като „сектор с висока критичност“. Това означава, че ако предлагате някоя от следните услуги, вие почти сигурно попадате под ударите на закона:
- Доставчици на облачни услуги (Cloud Computing Services): SaaS, PaaS, IaaS.
- Доставчици на услуги за центрове за данни (Data Center Services): колокация и отдаване на сървърно пространство.
- Доставчици на услуги за DNS: регистри и регистратори на домейни.
- Доставчици на хостинг услуги: споделен хостинг, VPS, наемане на сървъри.
- Доставчици на управлявани услуги за сигурност (MSSP / MSP): външни ИТ отдели и аутсорсинг на поддръжка.
Забележка: Дори и да сте малко или средно предприятие, ако оперирате в сектора на цифровата инфраструктура или веригата за доставки на критични сектори, изключенията за размер на фирмата често не се прилагат.
Защо облачните доставчици са критична мишена?
Замислете се: къде се съхраняват данните на модерния бизнес? Къде работят техните ERP и CRM системи, онлайн магазини и сайтове? Точно така – във вашите облачни платформи и сървъри.
Ако хакери компрометират един доставчик на хостинг или облачни услуги, те получават достъп до стотици или хиляди негови клиенти наведнъж. Този тип атака се нарича атака по веригата за доставки (Supply Chain Attack). Именно затова регулаторите изискват от доставчиците на облачни услуги да са добре защитени.
Основни изисквания на NIS2 към облачните и хостинг оператори
Ако попадате под обхвата на директивата, вашата организация трябва да внедри конкретни технически и организационни мерки. Ето най-важните от тях:
1. Управление на инциденти и ранно предупреждение
Вече не можете да криете или да отлагате съобщаването за пробив. При сериозен киберинцидент сте длъжни да изпратите:
- Ранно предупреждение до националния компетентен орган в рамките на 24 часа.
- Първоначална оценка на инцидента в рамките на 72 часа.
- Финална оценка и доклад до 1 месец след събитието.
2. Сигурност на веригата за доставки
Вие не само трябва да пазите себе си, но и да проверите сигурността на вашите собствени доставчици – например производителите на хардуер или лицензодателите на софтуер, които използвате в дейността си.
3. Криптиране и управление на достъпа (Zero Trust)
Изисква се внедряване на строги политики за достъп. Използването на мултифакторна автентификация (MFA) за вашите администратори и клиенти вече е задължителен минимум, а не опция. Данните (както в покой, така и при пренос) трябва да бъдат надеждно криптирани.
4. Непрекъсваемост на бизнес процесите (Business Continuity)
Трябва да имате работещ и редовно тестван план за действие при кризи. Какво правите, ако центърът ви за данни остане без захранване? Как възстановявате архивите (backups) при огромна рансъмуер атака? NIS2 изисква да имате писмени и проиграни процедури за тези сценарии.
Лична отговорност на ръководството: голямата промяна
Това е моментът, в който нещата стават сериозни за мениджмънта. Киберсигурността вече не е тема, която изпълнителният директор може просто да „прехвърли“ на системния администратор.
Според NIS2:
- Ръководните органи носят лична административна отговорност за одобряването и надзора на мерките за киберсигурност.
- При установяване на системни нарушения, управителите и членовете на борда могат да бъдат временно отстранени от длъжност.
- Финансовите санкции за юридически лица са огромни – до 10 милиона евро или 2% от общия годишен световен оборот (което от двете е по-високо).
Как да преминете от регулация към реална защита?
За да не бъде привеждането в съответствие просто „работа по документи“, подходът ви трябва да бъде дълбоко технически и адаптиран за спецификите на облачните среди:
- Одит на ниво виртуализация, хипервайзори и API-та
Тъй като управлявате споделени ресурси, първата стъпка е да се подсигури изолацията между отделните наематели (tenant isolation). Проверете сигурността на управлението на хипервайзорите и публичните API интерфейси, които клиентите ви ползват за управление на своите ресурси. - Преминаване към Zero Trust за административен достъп
Ограничете изцяло директния достъп на вашите системни администратори и инженери до критичната инфраструктура. Всеки достъп трябва да минава през строга система за управление на привилегиите (PAM) с мултифакторна автентификация и детайлно записване на сесиите. - Автоматизирано засичане на аномалии (SIEM/SOC)
За да спазите бруталния 24-часов срок за докладване на инцидент, ръчното преглеждане на логове е невъзможно. Нуждаете се от автоматизирана система за управление на събитията (SIEM), свързана с денонощен център за сигурност (SOC), която да филтрира шума и да ви алармира само за реални заплахи. - Тестване на плановете за възстановяване (DR drills)
Не чакайте истински инцидент, за да разберете дали бекъпите ви работят. Провеждайте редовни симулации на пълно сриване на системата (Disaster Recovery) и измервайте времето за възстановяване на данните, за да сте сигурни, че гарантирате непрекъсваемост на бизнеса.
Заключение
Привеждането в съответствие с NIS2 не е просто досадно административно задължение. За доставчиците на cloud и хостинг услуги това е огромно бизнес предимство. Клиентите все по-често ще избират партньори, които могат да докажат, че са сертифицирани и съобразени с новите европейски изисквания за сигурност. Не чакайте крайните срокове и първите глоби. Превърнете киберсигурността в свое конкурентно предимство още днес.
