ארגונים חייבים תמיד להיות מודעים לנוף התאימות המשתנה ללא הרף כדי להגן על הנכסים הרגישים שלהם ולהימנע מתשלום מיליונים בקנסות. ההתפתחות המהירה של איומי הסייבר הניזונים מהמגיפה העולמית ולוחמת הסייבר אילצה את האיחוד האירופי (EU) לעדכן את הוראת ה-NIS שלו.
אנו מבינים את הכאב שבצורך לקרוא מאות דרישות ומסמכי חקיקה, אז עשינו זאת עבורך. מאמר זה יעזור לך לבנות את המסע שלך לעמידה ב-NIS2 ויספק לך רשימה מעשית של שיטות עבודה מומלצות כדי להכין את הארגון שלך מבעוד מועד.
להדרכה מפורטת יותר, הורידו את הספר האלקטרוני שלנו (באנגלית), עם רשימת בדיקה מלאה לעמידה ב-NIS2 ושלבים לעמידה בכל דרישת אבטחת סייבר.
סקירה כללית של הוראת NIS2
NIS2 , או הוראה (EU) 2022/2555, מטרתה לשפר את הרמה הכוללת של אבטחת הסייבר בתוך האיחוד האירופי ולהבטיח את החוסן של רשתות ומערכות מידע של גופים קריטיים הפועלים באזור. NIS2 היא בעצם קבוצה של דרישות אבטחת סייבר לארגונים בתעשיות רבות החיוניות לכלכלת האיחוד האירופי.
NIS2 נכנסה לתוקף בינואר 2023. ההוראה מרחיבה מאוד את ההיקף ומציגה דרישות אבטחה, חובות דיווח וסנקציות, כתגובה לתדירות ולהשפעה הגוברות של מתקפות סייבר על תשתיות קריטיות באיחוד האירופי בשנים האחרונות. המדינות החברות נדרשו להטמיע את האמצעים בחקיקה הלאומית עד 17 באוקטובר 2024, אך חלק מהן לא השלימו את עדכון החקיקה במועד.
חשיבותה של הוראת NIS2 לעסקים
המגזרים והעסקים הקריטיים באירופה היו יעד למספר הולך וגדל של התקפות זדוניות בשנים האחרונות. על פי דו"ח נוף האיומים של ENISA 2023 , נוף אבטחת הסייבר במדינות החברות באיחוד האירופי "היה עד לעלייה משמעותית הן במגוון והן בכמות של מתקפות סייבר והשלכותיהן".
על ידי נקיטת אמצעי אבטחת סייבר הנדרשים על פי הוראת NIS2, ארגונים יכולים להתנגד למגמה שלילית זו ולהגן על עצמם מפני הנדסה חברתית, התקפות שרשרת אספקה ואיומים אחרים המתוארים בדו"ח ENISA. בין היתר, הקפדה על NIS2 יכולה להועיל לארגון שלך באופן הבא:
- הימנעות מקנסות ותביעות משפטיות
- שיפור חוסן הסייבר
- שיפור ניהול הסיכונים
- חיזוק האמון של שותפים ולקוחות
- אבטחת נתונים רגישים
- תגובה מהירה לאירועים
הימנע מקנסות ותביעות משפטיות
שפר את חוסן הסייבר
שפר את ניהול הסיכונים
הגבר את האמון של השותפים והלקוחות
אבטח נתונים רגישים
הבטח תגובה מהירה לאירועים
למרות שהשגת תאימות ל-NIS2 עשויה להיות לא קלה, היתרונות שלה לטווח ארוך עבור עסקים הם משמעותיים. על ידי אימוץ גישה פרואקטיבית לאבטחת סייבר ויישום דרישות אבטחת הסייבר של NIS2, ארגונים יכולים להגן על הפעילות העסקית שלהם, לשמור על המוניטין שלהם ולתרום לאקוסיסטם דיגיטלי עמיד ומאובטח יותר באיחוד האירופי.
כעת בוא נגלה אם הארגון שלך נמצא בהיקף ההנחיה.
על מי חלה NIS2?
NIS2 חלה על גופים הפועלים באיחוד האירופי, ללא קשר לנוכחות הגיאוגרפית של הישות . ארגונים במגזרים הבאים כפופים להנחיה:
| מגזרים הכפופים ל-NIS2 | |
|---|---|
|
גופים חיוניים, או גופים הפועלים במגזרים בעלי קריטיות גבוהה ( NIS2 נספח I ) |
|
|
גופים חשובים, או גופים הפועלים במגזרים קריטיים אחרים ( NIS2 נספח II ) |
|
הערה: אנא עיין בסעיף 2 להוראת NIS2 ובנספחים I ו-II להנחיה לפרטים נוספים על מגזרים וארגונים מושפעים.
המשך לקרוא לשלבים מעשיים להבטחת עמידה בדרישות של NIS2.
5 טיפים ושיטות עבודה מומלצות לעמידה ב-NIS2
בחלק זה, נסקור טיפים שימושיים ושיטות עבודה מומלצות להתכונן לתאימות ל-NIS2:
- הבינו את ההיקף
- למדו את דרישות האבטחה של NIS2
- ערכו ניתוח פערים
- הקצו את המשאבים הדרושים
- שתפו את ההנהלה הבכירה
1
להבין את ההיקף
2
למדו את דרישות האבטחה של NIS2
3
ביצוע ניתוח פערים
4
הקצו את המשאבים הדרושים
5
שתף את ההנהלה הבכירה שלך
1. הבינו את ההיקף
הבנת ההיקף של NIS2, מערכות ה-OT/IT שלך שנופלות תחת היקף זה, ואתגרים בהשגת תאימות הם הצעדים הראשונים להשגת תאימות ל-NIS2. שקול את השאלות הבאות:
- אילו שירותים חיוניים מספק הארגון שלך?
- האם הארגון שלך יכול להיחשב לישות חיונית או חשובה במדינה שלך?
- אילו אמצעי אבטחה חדשים עשוי הארגון שלך להטמיע כדי להבטיח תאימות?
- האם יש לך ספקים, שותפים או לקוחות הכפופים להנחיה?
- האם עליך לכלול התחייבויות חדשות בהסכמי חוזה עם הספקים והשותפים שלך לגבי עמידה ב-NIS2?
אם הארגון שלך שייך למגזרים הקריטיים המוגדרים ב-NIS2, חשוב לקחת בחשבון גם את גודל הארגון שלך, שכן רק ארגונים בינוניים וגדולים כפופים ל-NIS2.
ארגונים עם פחות מ-50 עובדים ומחזור שנתי או סך מאזן שנתי של עד 10 מיליון אירו אינם מושפעים מ-NIS2 אלא אם הם נחשבים בעלי חשיבות קריטית לחברה. סעיף 2 להוראה מספק גם רשימה של חריגים אחרים ללא קשר לגודל הישות.
2. למדו את דרישות האבטחה של NIS2
סעיף 21 להוראה מתווה את הדרישות העיקריות של NIS2, רובן מתמקדות באבטחה ארגונית:
- מדיניות לניתוח סיכונים ולאבטחת מערכות מידע
- טיפול באירועים
- המשכיות עסקית, כגון ניהול גיבויים, התאוששות מאסון וניהול משברים
- אבטחת שרשרת האספקה, כולל היבטי אבטחה ביחסים בין כל ישות לבין הספקים או נותני השירות הישירים שלה
- אבטחה ברכישה, בפיתוח ובתחזוקה של רשתות ומערכות מידע, כולל טיפול בפגיעויות וחשיפתן
- מדיניות ונהלים להערכת האפקטיביות של אמצעי ניהול סיכוני הסייבר
- נוהלי היגיינת סייבר בסיסיים והדרכה בנושא אבטחת סייבר
- מדיניות ונהלים לשימוש בקריפטוגרפיה ובמידת הצורך בהצפנה
- אבטחת משאבי אנוש, מדיניות בקרת גישה וניהול נכסים
- שימוש בפתרונות אימות רב שלבי או אימות רציף, תקשורת קולית, וידאו וטקסט מאובטחת ומערכות תקשורת חירום מאובטחות בתוך הישות, במידת הצורך
1
מדיניות בנושא ניתוח סיכונים ואבטחת מערכות מידע
2
טיפול בתקריות
3
המשכיות עסקית, כגון ניהול גיבוי והתאוששות מאסון, וניהול משברים
4
אבטחת שרשרת האספקה, לרבות היבטים הקשורים לאבטחה הנוגעים ליחסים בין כל גורם לספקים או נותני שירות ישירים שלו
5
אבטחה ברכישה , פיתוח ותחזוקה של רשתות ומערכות מידע , כולל טיפול וחשיפה של פגיעות
6
מדיניות ונהלים להערכת האפקטיביות של אמצעי ניהול סיכוני אבטחת סייבר
7
נוהלי היגיינת סייבר בסיסיים והדרכה בנושא אבטחת סייבר
8
מדיניות ונהלים בנוגע לשימוש בקריפטוגרפיה ובמידת הצורך בהצפנה
9
אבטחת משאבי אנוש, מדיניות בקרת גישה וניהול נכסים
10
השימוש בפתרונות אימות רב-גורמי או אימות מתמשך, תקשורת קולית, וידאו וטקסט מאובטחת ומערכות תקשורת חירום מאובטחות בתוך הישות, במידת הצורך
בעוד שחוקים ותקנות ספציפיים שיאומצו מתוך NIS2 עשויים להיות שונים בין המדינות החברות, כולן יקבעו את אותן דרישות אבטחת סייבר, כך שתוכל להתחיל להתכונן להוראת NIS2 כבר עכשיו.
3. ערכו ניתוח פערים
לאחר שזיהית את ההיקף והדרישות של NIS2, אתה מוכן להשוות אותם לאמצעי האבטחה הקיימים המיושמים בארגון שלך. ניתוח פערים מגשר על כל הפער הקיים בין מצב הציות הנוכחי למצב הרצוי.
לניתוח פערים נכון, בצע את השלבים העיקריים הבאים:
- הגדר את הדרישות וההיקף של ניתוח פערים. חבר הצהרת היקף המתארת את התהליכים, המערכות, המדיניות והאנשים שתעריך.
- קבע את אמות המידה הרצויות. הגדר את מצב התאימות האידיאלי שהארגון שלך רוצה להשיג.
- הערך את מצב אבטחת הסייבר הנוכחי שלך. הערך ותעד את מדיניות אבטחת הסייבר הקיימת שלך, נהלים ובקרות.
- השוו את הבקרות הקיימות לאלו הנדרשות. הצלב את אמצעי אבטחת הסייבר ואת המדיניות הנוכחיים שלך עם דרישות ההנחיה NIS2.
- זיהוי פערי ציות. זהה תחומים שבהם מצב אבטחת הסייבר הנוכחי שלך אינו עומד בדרישות.
- תעדוף את הפערים. קבע את רמת החומרה וההשפעה של פערי הציות שזוהו.
- לפתח תוכנית פעולה. בהתבסס על הפערים שזוהו ועל אמות מידה מוגדרות, צור מפת דרכים מפורטת לכיסוי כל פערי הציות, עם יעדים ומועדים ברורים.
שקול לבצע ניתוח פערים באופן קבוע כדי להתעדכן בדרישות אבטחת סייבר המשתנות ללא הרף ולזהות פגמים פוטנציאליים בתוכנית התאימות שלך.
4. הקצו את המשאבים הדרושים
יישום מוצלח של דרישות ה- NIS2 כרוך בהקצאת המשאבים הדרושים, כולל כסף, אנשים וטכנולוגיה:
הערכת התקציב לפעילויות ציות. התכנון יאפשר לך לקבל אישור מנהלים להחלטות הציות שלך ולהימנע מהוצאות בלתי צפויות.
אין תרחיש אחד שמתאים לכולם לתכנון הגדלת התקציב, מכיוון שהוא תלוי באמצעי אבטחת הסייבר שכבר קיימים בארגון. עם זאת, לפי תקציר דוח הערכת ההשפעה של הנציבות האירופית (SWD(2020) 344), חברות שייכנסו לתחולת המסגרת יצטרכו להגדיל את ההוצאה הנוכחית שלהן על אבטחת ICT ב-22% לכל היותר בשנים הראשונות, וחברות שכבר כפופות להוראת NIS המקורית ב-12%.
הקצה עובדים אחראיים. שלב זה כולל הרכבת צוות האחראי להשגת תאימות. צוות כזה עשוי לכלול מנתחי אבטחה, קציני ציות ואנשי IT. הגדירו בבירור את תחומי האחריות של כל חבר צוות, והבטיחו שכולם מבינים את תפקידו.
השקיעו בטכנולוגיית אבטחה. בדוק אילו פתרונות טכנולוגיים יכולים לעזור לך לסגור את הפערים שזוהו במהלך ניתוח הפערים שלך. ייתכן שתרצה לשקול כלי אוטומציה שיכולים לייעל את תהליכי התאימות ולהפחית את עומס העבודה הידני.
טיפ מבפנים:
כדי להפחית את העומס הפיננסי של יישום טכנולוגיה, אתה יכול להגיש בקשה לסיוע פיננסי מארגונים כמו תוכנית אירופה הדיגיטלית , המממנת יוזמות דיגיטליות שונות.
5. עירבו את ההנהלה הבכירה שלכם
הצלחתה של כל יוזמת ציות מסתמכת על הגיבוי של מנהיגי הארגון שלך . הדירקטוריון חייב להיות מודע לצרכי האבטחה המובילים של הארגון שלך, מכיוון שהוא ממלא תפקיד מכריע בהבטחת עמידה ב-NIS2.
בראש ובראשונה, הודע לדירקטוריון שלך על העונשים המתוארים בהוראת NIS2. בנוסף לקנסות נרחבים, NIS2 מפרטת את אחריותם של "גופי הניהול" לגבי הפרות של דרישות אבטחת סייבר וחובות הדיווח של ההוראה.
- סנקציות נגד מנהלים בכירים
- קנסות: לגופים חיוניים, תקרת קנס של 10 מיליון אירו לפחות או 2% מהמחזור השנתי העולמי, הגבוה מביניהם; לגופים חשובים, 7 מיליון אירו לפחות או 1.4% מהמחזור השנתי העולמי
- השעיה של אישורים והסמכות
סנקציות נגד מנהלים בכירים
קנסות ועונשים של עד 10 מיליון אירו או 2% מהמחזור השנתי העולמי, הגבוה מביניהם
השעיית אישורים
למד מנהלים בכירים על ניהול סיכוני אבטחת סייבר. ערכו מפגשים חינוכיים עם ההנהלה כדי להגביר את הבנתם בנושאי אבטחת סייבר, דרישות אבטחת הסייבר של NIS2 ומצב אבטחת הסייבר הנוכחי של הארגון.
סעיף 20 להוראת NIS2 מחייב את ההנהלה הבכירה של הארגונים:
- לאשר אמצעים לניהול סיכוני סייבר ולפקח על יישומם
- להשתתף בהדרכות ולהציע לעובדים הכשרה דומה באופן קבוע במטרה "לרכוש מספיק ידע ומיומנויות כדי לאפשר להם לזהות סיכונים ולהעריך שיטות ניהול סיכונים באבטחת סייבר"
חפש חסות מנהלים. מצא מנהל שיתמוך ביוזמות אבטחת הסייבר שלך, יקדם את מאמצי הציות שלך ל-NIS2 ויסייע בהשגת המשאבים הדרושים. שיתוף פעולה עם מנהל כזה מאפשר לך להתאים את פעולותיך לציפיות הדירקטוריון ולהאיץ תהליכים הקשורים לציות.
הורידו את הספר האלקטרוני שלנו (באנגלית), עם הנחיות מפורטות ושיטות עבודה מומלצות לעמידה בהוראת NIS2 ובכל דרישות אבטחת הסייבר שלה.
עמידה ב- NIS2 מחייבת הטמעת פתרונות תוכנת אבטחת סייבר. ראה כיצד Syteca יכולה לעזור לך לענות על הצרכים שלך בסעיף למטה.
השגת עמידה ב-NIS2 באמצעות Syteca
Syteca היא פלטפורמת ניהול סיכונים פנימיים במחזור מלא שנועדה להרתיע, לזהות ולשבש איומים פנימיים. מצוידת בערכת כלים עשירה, Syteca יכולה לעזור לארגון שלך לשפר את חוסן הסייבר וליישם את רוב הדרישות של NIS2 עם פתרון אחד.
הנה רק חלק מהדרכים בהן תוכל להשתמש ב-Syteca כדי לשפר את הגנת הסייבר של הארגון שלך ולנהל סיכונים פנימיים:
- עקוב ותעד את הפעילות של העובדים והצדדים השלישיים שלך כדי לראות כיצד הם מקיימים אינטראקציה עם הנכסים הרגישים שלך
- נהל הרשאות גישה ואמת את זהויות המשתמש באמצעות 2FA כדי למנוע גישה לא מורשית לנקודות הקצה הקריטיות שלך
- יישם את גישת ה-Just-in-Time ואבטח נתונים רגישים על-ידי הענקת גישה זמנית לשותפים, ספקי צד שלישי וספקים שלך
- קבל התראות בזמן אמת על התנהגות משתמש חשודה כדי שצוות האבטחה שלך יקדים את האיומים
- הגדר אפשרויות תגובה אוטומטית לאירועים כדי לסגור מיד תהליכים חשודים (ב-Windows וב-macOS) ולחסום משתמשים המפרים את מדיניות האבטחה (ב-Windows)
- שלח הודעות אזהרה למשתמשים שמפרים את מדיניות האבטחה כדי להזכיר להם את הכללים הארגוניים
- הפק דוחות מותאמים אישית כדי לקבל פרטים נוספים על פעילות העובדים ולבצע ביקורות אבטחה
אבל הרשימה עוד ארוכה. כדי לראות כיצד Syteca יכולה לעזור לך לעמוד בדרישות של NIS2, קרא את המיפוי המלא בספר האלקטרוני שלנו על עמידה ב-NIS2 (באנגלית).
תיאור מקרה
סיכום
NIS2 דורשת מגופים קריטיים באיחוד האירופי ליישם מגוון רחב של דרישות, המפורטות בסעיף 21 להוראה. אם הארגון שלך הוא ישות חיונית או חשובה, שקול לסגור את כל הפערים בין המצב הנוכחי של הארגון לדרישות NIS2 כדי לשפר את אבטחת הסייבר ולהימנע מקנסות. התמקד בניהול גישה, ניטור פעילות, אבטחת שרשרת האספקה, תגובה לאירועים ואמצעי אבטחת סייבר נוספים המתוארים בהוראה ומוסברים בספר האלקטרוני שלנו על עמידה ב-NIS2 (באנגלית).
כפלטפורמה מקיפה לניהול סיכונים פנימיים, Syteca מציעה יכולות אבטחת סייבר מרובות בפלטפורמה אחת, ועוזרת לך ליישם את רוב האמצעים הנדרשים ב-NIS2.
