Когато говорим за управление на отпадъци, рядко първата асоциация е киберсигурността.
Обикновено мислим за събиране, транспортиране, сортиране, рециклиране и обезвреждане. Но днес всички тези процеси все повече зависят от дигитални технологии.
Софтуер управлява логистиката. Свързани системи следят контейнери и превозни средства. Автоматизирани инсталации обработват отпадъци. Данните се използват за планиране, контрол и оптимизация.
Това носи ефективност. Но създава и нов риск.
Колкото по-дигитално става управлението на отпадъци, толкова по-важна става неговата киберсигурност.
Именно затова секторът вече е част от обхвата на европейската директива NIS2.
Защо NIS2 засяга управлението на отпадъци?
NIS2 разширява обхвата на европейските правила за киберсигурност и включва управлението на отпадъци сред „другите критични сектори“ в Annex II на директивата.
Текстът обхваща предприятия, които извършват дейности по управление на отпадъци съгласно европейското законодателство, като са изключени предприятията, за които тази дейност не е основна икономическа дейност. Като общо правило NIS2 е насочена към средни и големи организации в определените сектори, но конкретната приложимост трябва да се оцени според характеристиките на организацията и националното законодателство.
Тук е важно да разграничим и два сектора, които често се възприемат като едно и също, но според закона имат различна степен на критичност:
Управление на отпадъци – включен в Анекс II
Събиране, пречистване и обезвреждане на отпадъчни води – част от Анекс I, което е от секторите с висока критичност.
Това показва колко сериозно европейската регулаторна рамка разглежда непрекъсваемостта и сигурността на услуги, от които зависи нормалното функциониране на обществото
Как изглежда една кибератака срещу организация за управление на отпадъци?
Не всяка кибератака изглежда като сцена от филм.
Понякога започва с компрометиран служебен акаунт. Понякога с фишинг имейл. Понякога с уязвимост във външно достъпна система или компрометиран доставчик.
Представете си следния сценарий:
Компания използва централизирана система за планиране на маршрутите на своите автомобили, управление на заявки, отчетност и комуникация между различни обекти.
След успешна атака достъпът до системата е блокиран.
Внезапно организацията трябва да работи без актуална информация за графици, маршрути или оперативни задачи. Част от процесите преминават ръчно. Възникват закъснения. Клиентите започват да усещат последствията.
При по-сериозен инцидент могат да бъдат засегнати и системи, които подпомагат автоматизирани или индустриални процеси.
Киберинцидентът вече не е само проблем на ИТ отдела. Той може да се превърне в оперативен проблем.
Именно тук започва разговорът за киберустойчивост.
Какво изисква NIS2 на практика?
NIS2 не казва на всяка организация да купи един конкретен продукт.
Подходът е базиран на управление на риска.
Организациите в обхвата трябва да предприемат подходящи и пропорционални технически, оперативни и организационни мерки за управление на рисковете за сигурността на техните мрежови и информационни системи, както и да бъдат подготвени за докладване на значими инциденти. Сред темите, които директивата поставя във фокус, са управлението на риска, сигурността на веригата на доставки, управлението на уязвимости и повишаването на осведомеността.
На разбираем език това означава да има ясен отговор на няколко важни въпроса.
Кои системи са критични?
Организацията трябва да знае кои дигитални системи са необходими, за да продължи нормалната ѝ работа.
Това могат да бъдат системи за управление на операции, логистика, проследяване на превозни средства, индустриални системи, бази данни или комуникационна инфраструктура.
Не можете да защитите ефективно нещо, което не сте идентифицирали.
Къде са основните рискове?
Следващата стъпка е оценка на заплахите и уязвимостите.
Кои системи са изложени на интернет? Кой има достъп до тях? Използва ли се многофакторна автентикация? Поддържа ли се актуален софтуерът? Има ли сегментация между различните системи?
Това не са само технически въпроси. Това са въпроси за риска за целия бизнес.
Как ще открием атака?
Много организации все още разбират за инцидент едва когато той вече е причинил проблем.
Ефективната киберзащита обаче изисква видимост.
Трябва да има механизми за наблюдение на системите, анализ на събитията и своевременно откриване на подозрителна активност.
Колкото по-рано бъде открита една атака, толкова повече възможности има за ограничаване на последствията.
Как ще реагираме?
Един от най-важните въпроси е:
Какво правим, ако утре ключова система спре да работи заради киберинцидент?
Добрият план не е документ, който стои в папка. Той трябва да отговаря ясно:
- кой открива и оценява инцидента
- кой взема критичните решения
- кои системи могат да бъдат изолирани
- как се комуникира вътрешно и външно
- как се възстановява нормалната работа
Тези сценарии трябва да бъдат не само написани, но и тествани.
Рискът може да дойде и през доставчик
Секторът разчита на множество външни партньори – доставчици на софтуер, облачни услуги, оборудване, телекомуникационни услуги и поддръжка.
Това означава, че собствената киберсигурност на организацията е само част от картината.
NIS2 поставя специален акцент върху рисковете по веригата на доставки. Важно е организациите да си зададат въпроси като:
- Какъв достъп имат нашите доставчици?
- Какви изисквания за киберсигурност поставяме към тях?
- Какво ще се случи, ако критичен външен партньор бъде компрометиран?
Хората остават част от защитата
Нито една технология не може да премахне напълно човешкия фактор.
Един служител, който разпознава фишинг атака и знае как да я докладва, може да предотврати сериозен инцидент.
Затова обучението и изграждането на култура на киберсигурност не трябва да бъдат формалност.
Те са част от ежедневната устойчивост на организацията.
Киберсигурността не е отговорност само на ИТ екипа. Тя е отговорност на цялата организация.
От къде да започне бизнесът?
За много организации първата стъпка е да установят дали и до каква степен попадат в обхвата на NIS2.
След това е необходима реална оценка на текущото състояние.
Един NIS2 Gap Assessment може да помогне да се идентифицират приложимите изисквания, съществуващите мерки и критичните пропуски.
Следва изграждането на приоритетен план.
Не всичко трябва да бъде направено едновременно.
Важно е организацията да разбере кои рискове са най-значими и кои мерки ще имат най-голям ефект върху нейната устойчивост.
Управлението на отпадъци е част от инфраструктурата, без която съвременното общество не може да функционира нормално.
Затова защитата на дигиталните системи, които поддържат тази дейност, вече не е просто техническа задача. Тя е част от управлението на риска.
CyberOne може да подпомогне организациите от сектора с оценка на приложимостта на NIS2, анализ на киберриска, идентифициране на пропуски и изграждане на практически мерки за по-висока киберустойчивост.
Защото когато една критична услуга зависи от технологии, киберсигурността вече е част от самата услуга.
Свържете се с екипа на CyberOne за безплатна 15-минутна консултация, за да анализираме вашата подготвеност спрямо изискванията на NIS-2
