Chodzi o dyrektywę NIS2 („network and information systems”), która przebudowuje europejski schemat infrastruktury krytycznej i cyfrowej:

• zwiększy wymagania w sferze cyberbezpieczeństwa,
• rozszerzy zakres podmiotów zobowiązanych do ich stosowania.

Wspomniana dyrektywa NIS2 wprowadza szereg wymogów, które mają na celu ochronę podmiotów publicznych i przedsiębiorstw przed cyberzagrożeniami oraz minimalizację ryzyka utraty danych i szkód finansowych z nimi związanych. Obejmie ona wszystkie średnie i duże podmioty działające w sektorach, których dotyczy regulacja – m.in. energetyki, transportu, telekomunikacji, dostawców danych, platformy mediów społecznościowych i dostawców centrów danych i ochrony zdrowia.

Aby uniknąć ataków, szpitale muszą podjąć odpowiednie środki ostrożności

Liczba cyberataków na sektor służby zdrowia wzrosła o 60% w ciągu ostatniego roku, a hakerzy atakują sektor ochrony zdrowia 1669 razy na tydzień. Głównym powodem ataków jest chęć uzyskania dostępu do danych pacjentów lub cennej dokumentacji medycznej.

W zeszłym roku doszło do ataku na Instytut Centrum Zdrowia Matki Polki w Łodzi, co spowodowało wyłączenie systemów informatycznych szpitala. Choć personel nadal przyjmował pacjentów, to musiał pracować w warunkach sprzed 30 lat. Atak nie spowodował bezpośredniego zagrożenia życia pacjentów.

Według dyrektora zarządzającego firmy Check Point Software w Polsce, wiele organizacji opieki zdrowotnej posiada dobre zarządzanie ryzykiem, ale brakuje im kompleksowej polityki cyberbezpieczeństwa. Ataki hakerskie na sektor medyczny są coraz powszechniejsze, a ich skutki mogą być poważne, np. uniemożliwienie świadczenia pomocy.

Eksperci szacują, że w wyniku ataków hakerskich w zeszłym roku szpitale straciły prawie 40% danych. Czarnorynkowa cena wykradzionych danych medycznych to już nawet 1000 USD za jednego pacjenta. W związku z dyrektywą NIS 2 sektor medyczny staje przed rosnącymi kosztami informatycznymi i brakiem wykwalifikowanego personelu IT.

Znaczące zmiany czekają fabryki, elektrownie, wodociągi, banki i szpitale

Dyrektywa NIS2 ma zabezpieczyć czułe punkty UE na wypadek zagrożeń porządku publicznego takich jak: ataki terrorystyczne, sabotaże czy cyberataki. Państwa UE mają ściślej współpracować w ramach zwalczania cyberprzestępczości. Powołana zostanie Europejska Sieć Organizacji Łącznikowych ds. Cyberkryzysów (EU-CyCLONE), która ma odpowiadać za wsparcie koordynacji zarządzania incydentami i dużymi kryzysami cybernetycznymi.

A zagrożenia dla wielu sektorów rosną w Polsce i na świecie w ekspresowym tempie. Z najnowszych danych firmy Check Point Research (30.03.2023) wynika, że najczęściej atakowanym sektorem w Polsce jest tzw. branża krytycznej infrastruktury i użyteczności publicznej (3670 razy tygodniowo). Na drugim miejscu pod tym kątem znajduje się sektor finansów i bankowości (1216) a na trzecim instytucje rządowe (1080). Sektor zdrowia na świecie jest trzecim najczęściej atakowanym (1669 razy tygodniowo).

Co będzie w praktyce oznaczać dyrektywa NIS2 dla firm i podmiotów publicznych

Nowa dyrektywa NIS2 wprowadza obowiązek tworzenia centrów bezpieczeństwa i implementacji nowoczesnych rozwiązań technologicznych w przedsiębiorstwach i podmiotach publicznych. Nowe przepisy zobowiązują również przedsiębiorstwa do opracowania odpowiednich polityk i procedur testowania oraz audytów. Ponadto, firmy będą musiały szybko reagować na incydenty i zapewnić bieżącą obsługę oraz analizę ich przyczyn i skutków.

W związku z tym wyzwaniem będzie najprawdopodobniej dostęp do odpowiedniej liczby specjalistów oraz najnowszych systemów zabezpieczeń, a także wprowadzenie rozwiązań adekwatnych do ryzyka.

Specjaliści wskazują, że kluczowe jest stosowanie kompleksowych rozwiązań ochrony bezpieczeństwa, umożliwiających prewencję, analizę, monitoring i bieżącą obsługę incydentów. Za nieprzestrzeganie przepisów grożą wysokie grzywny, a firmy, które ich nie przestrzegają, mogą stracić certyfikaty, zezwolenia lub całość działalności gospodarczej.

Mając na uwadze lawinowo rosnąca ilość ataków zarówno na infrastrukturę krytyczną jak i tysiące małych firm, kluczem będzie zastosowanie systemów, nie tylko detekcji incydentów, która jest bardzo ważna i potrzebna do ich analizy, ale również prewencji i szybkiego reagowania w postaci kompleksowych rozwiązań ochrony bezpieczeństwa, umożliwiających analizę, monitoring, raportowanie i bieżącą obsługę incydentów – mówi Wojciech Głażewski z firmy Check Point Software Technologies.

Ekspert wskazuje, że stosowanie już teraz adekwatnych do ryzyka mechanizmów ochronnych jest dobrym posunięciem. Za nieprzestrzeganie przepisów grożą bowiem wysokie grzywny – nawet do 10 milionów Euro lub 2 proc. globalnych obrotów. W pierwszej kolejności firmy zostaną wezwane do usunięcia uchybień lub zapewnienie zgodności, a w przypadku braku pożądanych działań mogą stracić certyfikaty czy zezwolenia na świadczenie usług, lub nawet na całość działalności gospodarczej. Kary przewidziane są też dla dyrektorów generalnych i przedstawicieli prawnych spółek.

Źródło: Check Point Software. Foto: Pixabay