Cea mai mare parte a discuției despre NIS2 s-a purtat până acum în jurul amenzilor și al răspunderii managementului. În acest număr al newsletterului Fort Cyber Brief ne uităm la două sectoare în care miza este operațională înainte de a fi juridică.
Pe scurt
- În sănătate, cel mai expus punct este accesul furnizorilor externi la sistemele critice.
- În energie, provocarea principală este infrastructura mixtă IT și OT/SCADA, cu echipamente vechi de decenii.
- În ambele sectoare, cerințele privind lanțul de aprovizionare oferă companiilor o pârghie contractuală nouă față de furnizori.
Sănătate
Riscul vine, de cele mai multe ori, prin furnizori
Spitalele, clinicile, laboratoarele și farmaciile depind de o rețea extinsă de parteneri: producători de echipamente medicale, furnizori de software pentru laborator și imagistică, servicii cloud și mentenanță. Mulți dintre ei au acces direct la sisteme care procesează date medicale.
Din art. 21, cele mai relevante pentru sector sunt continuitatea activității (categoria 3), securitatea lanțului de aprovizionare (4), criptografia (8) și controlul accesului (9). Evaluarea furnizorilor și introducerea cerințelor de securitate în contracte sunt obligatorii, dar nu sunt încă o practică generalizată în spitalele din România.
Scenariu ipotetic
Furnizorul care întreține sistemul de imagistică al unui spital are acces de la distanță. Datele de autentificare ale unui angajat al furnizorului sunt compromise printr-un atac de phishing, iar atacatorii ajung în rețeaua spitalului. Pentru că accesul extern nu era monitorizat, atacul se extinde: serverele de arhivare a imaginilor sunt criptate, investigațiile sunt amânate, iar spitalul nu poate stabili imediat ce date au fost accesate.
Măsurile care ar fi limitat incidentul sunt cunoscute și accesibile: acces nominal și temporar pentru furnizori, autentificare multifactor, segmentarea rețelei, monitorizarea activității și clauze contractuale privind notificarea incidentelor.
Pentru industria farmaceutică, lanțul se extinde la CMO-uri, distribuitori, depozite și transport cu temperatură controlată. Evaluarea fiecărui furnizor ar trebui să răspundă la o întrebare simplă: poate o vulnerabilitate de la acest partener să oprească producția sau să afecteze trasabilitatea unui lot?
Energie și utilități
Infrastructură modernă construită peste echipamente vechi
Operatorii din electricitate, petrol, gaze, hidrogen și termoficare sunt entități esențiale în sensul NIS2. O întrerupere a sistemelor lor poate afecta mii sau chiar milioane de consumatori.
Dificultatea specifică a sectorului este coexistența sistemelor IT moderne cu echipamente OT/SCADA instalate acum câteva decenii, proiectate înainte ca amenințările cibernetice să fie o preocupare. De aici rezultă prioritățile:
- Inventarul activelor IT și OT și controlul accesului (categoria 9), ca punct de plecare pentru orice altă măsură.
- Securitatea în achiziție și mentenanță (categoria 5), pentru echipamente care rămân în exploatare pe termen lung.
- Gestionarea furnizorilor (categoria 4), având în vedere numărul mare de prestatori implicați în operare.
- Continuitatea activității (categoria 3), pe care toate celelalte o susțin.
Un avantaj pe care îl au multe companii din energie: procesele tehnice sunt deja documentate, ceea ce scurtează semnificativ etapa de inventariere.
Impact de business
Ce câștigă o companie conformă
Conformitatea are un cost, dar produce și rezultate pe care companiile le pot folosi direct în relațiile comerciale și în reducerea costurilor
Pârghie în relația cu furnizorii
Un raport de pentest anual cerut prin contract înlocuiește declarațiile generale despre securitate cu o dovadă verificabilă. Pe baza lui, furnizorii pot fi comparați, li se pot cere remedieri, iar termenii pot fi renegociați.
Redistribuirea riscului operațional
NIS2 oferă temeiul legal pentru clauze prin care furnizorii atestă măsurile de securitate aplicate. Răspunderea legală rămâne la entitatea care raportează incidentul, însă poziția contractuală a companiei se îmbunătățește considerabil dacă incidentul este cauzat de furnizor.
Costuri reduse prin inventarierea activelor
Exercițiul cerut de lege scoate la iveală licențe neutilizate, servere și instanțe cloud redundante și aplicații instalate fără știrea departamentului IT. În multe cazuri, economiile acoperă costul inventarierii.
Credibilitate în procesele de achiziție
Tot mai multe cereri de ofertă includ o secțiune de securitate cibernetică. Lipsa unui răspuns solid poate elimina un furnizor înainte de discuția despre preț.
Perspectiva FORT
Ne așteptăm ca NIS2 să urmeze traseul e-Factura: un domeniu de aplicare restrâns la început, extins treptat. Efectul se vede deja în lanțul de furnizare. Companiile care livrează către spitale sau operatori de energie pot primi cerințe de evaluare a securității, dovezi de incident response și de conformitate, chiar dacă nu sunt vizate direct de lege.
Acest articol este un extras din Whitepaper-ul ”Ce nu-ți spune nimeni despre NIS2”, care analizează zece industrii, fiecare într-un capitol care poate fi citit independent, cu scenarii de risc și recomandări de acțiune.
Vei putea descărca whitepaper-ul curând.
Iar pentru o discuție despre situația organizației tale, programează o întâlnire cu echipa FORT.
