Ce este Directiva NIS2 și în ce mod poate avea impact asupra companiilor din România?
Securitatea cibernetică devine din ce în ce mai importantă și necesară în contextul actual, unde zilnic apar în prim-plan noi atacuri cibernetice și incidente de securitate. Directiva NIS2 (transpusă în România la finalul anului 2024 prin OUG 155/2024) este unul dintre modurile prin care Uniunea Europeană contribuie la siguranța companiilor, datelor și a economiei.
Directiva își propune să construiască un cadru puternic pentru a combate riscurile cibernetice, prin măsuri ce impactează companii din sectoarele esențiale și importante din România – regăsite în figura 1. Astfel, siguranța companiilor nu mai este abordată ca o temă proactivă, ci devine o responsabilitate de luat în considerare la fiecare pas, pentru a evita penalitățile de până la 2% din cifra de afaceri și riscurile operaționale asociate unui atac cibernetic.
Figura 1 – sectoare economice afectate de Directiva NIS2
Care sunt principalele provocări pe care le întâmpină companiile mici și mijlocii (IMM-uri) din România în procesul de aliniere la Directiva NIS2?
Experiența și întâlnirile cu peste 100 de IMM-uri de la începutul anului ne-au demonstrat că directiva introduce mult mai multe provocări pentru aceste companii decât pentru cele mai mari.
În primul rând, majoritatea IMM-urilor nu au cadrul operațional necesar pentru a implementa cu succes măsurile impuse de directivă – nu există o echipă de securitate cibernetică, o persoană responsabilă (CISO) sau un proces clar de analiză a riscului și de bugetare. De multe ori, securitatea, o temă relevantă mai ales pentru management, ajunge să fie atribuită echipelor de IT, ceea ce este o greșeală.
De partea cealaltă a balanței, problema este exacerbată de complexitatea și de costurile mari asociate platformelor sau proceselor de securitate, ceea ce descurajează IMM-urile și duce la asumarea riscului în loc de mitigarea acestuia. Directiva își propune să rezolve prima parte a problemei, în timp ce produsele de tipul celor create de Blackshell încearcă să aducă o experiență ușoară și accesibilă IMM-urilor.
3. Ce măsuri concrete ar trebui să adopte aceste companii pentru a se conforma cerințelor impuse de NIS2?
Pentru a se conforma cerințelor NIS2, companiile trebuie să adopte o abordare structurată, bazată pe doi piloni principali: securitatea operațională și guvernanța.
-
Înregistrarea la DNSC și desemnarea unei persoane de contact responsabile, care să coordoneze implementarea măsurilor și să efectueze audituri periodice.
-
Evaluarea detaliată a riscurilor și elaborarea unui plan de continuitate a afacerii, ce include proceduri clare pentru mitigarea problemelor apărute în cazul unui incident.
-
Aplicarea măsurilor tehnice esențiale: criptarea datelor, instalarea și actualizarea constantă a patch-urilor de securitate, precum și utilizarea sistemelor avansate de monitorizare și detecție a vulnerabilităților.
-
Stabilirea unui protocol de raportare rapidă a incidentelor cibernetice, cu notificarea inițială în 24 de ore și un raport detaliat în 72 de ore.
-
Asigurarea că și partenerii din lanțul de aprovizionare respectă standardele stricte de securitate, pentru a minimiza riscurile la nivelul întregii rețele.
Prin adoptarea acestor măsuri, companiile își consolidează protecția împotriva amenințărilor cibernetice și își asigură conformitatea cu NIS2, reducând astfel riscul unor incidente care pot avea un impact semnificativ atât din punct de vedere operațional, cât și financiar.
4. Cum pot companiile fără expertiză internă în securitate cibernetică să își îndeplinească obligațiile impuse de directivă?
Pentru companiile aflate în această situație, primul pas este desemnarea unei persoane responsabile care să coordoneze implementarea măsurilor de protecție. În lipsa unui specialist intern, colaborarea cu firme specializate și utilizarea soluțiilor dedicate pot facilita respectarea cerințelor directivei.
În prima etapă, obiectivul cel mai important este înțelegerea riscurilor specifice companiei și a gradului de conformitate care poate fi atins. Fiecare companie este unică, iar nevoile de securitate pot varia de la o industrie la alta – chiar și în contextul NIS2, aceeași problemă poate fi rezolvată în moduri diferite.
Ca punct de start, soluțiile adoptate trebuie să abordeze:
-
Evaluarea periodică a riscurilor și dezvoltarea unui plan de continuitate a afacerii.
-
Implementarea unor politici clare privind gestionarea accesului în rețea.
-
Criptarea datelor și monitorizarea continuă a vulnerabilităților și a infrastructurii digitale.
5. Ce tipuri de soluții software oferă Blackshell pentru protecția companiilor împotriva amenințărilor cibernetice, în special pentru IMM-uri?
La Blackshell am construit două produse pentru protejarea infrastructurii digitale a companiilor:
-
Stingray – o soluție de tip VPN care combină securizarea și criptarea datelor, gestionarea accesului la resursele companiei, protecția împotriva diferitelor tipuri de atac și auditarea activității din rețeaua companiei.
-
Bluefin – o platformă de identificare și gestionare a amenințărilor cibernetice din cadrul companiilor.
Soluțiile sunt construite folosind cele mai moderne tehnologii și protocoale, asigurând o configurare și o interfață simple și ușor de folosit. Astfel, ele pot fi integrate atât în activitatea IMM-urilor, cât și a companiilor mari sau a instituțiilor publice.
Mai mult, Blackshell oferă asistență pe tot lanțul implementării NIS2, prin traininguri sau proiecte de auditare realizate cu parteneri atent selecționați.
6. Cum pot tehnologiile Blackshell, precum Stingray și Bluefin, să ajute companiile să monitorizeze și să prevină atacurile cibernetice, asigurându-se totodată conformitatea cu NIS2?
În contextul NIS2, securitatea cibernetică poate fi împărțită în două componente cheie: protecție și conformitate.
Produsele Blackshell au fost create cu scopul de a combina aceste două componente într-un pachet pe care orice companie, indiferent de mărime, îl poate folosi – chiar și în absența expertizei interne.
Soluțiile acoperă punctele cheie definite în directivă și oferă un nivel de protecție potrivit problemelor pe care companiile din piață le întâlnesc zilnic – de la mecanisme anti-phishing până la restricționarea accesului neautorizat la sisteme critice.
7. Care sunt domeniile de activitate cele mai expuse la riscuri cibernetice și vulnerabilități, conform observațiilor Blackshell?
Interacțiunile cu clienți și potențiali clienți ne-au demonstrat că nu există o regulă clară în ceea ce privește domeniile de activitate expuse la riscuri cibernetice.
Deși, intuitiv, ne putem gândi că instituțiile financiare, spitalele sau instituțiile publice sunt o prioritate pentru hackeri, realitatea este că orice entitate – de la fabrici de alimente până la cabinete de avocatură – poate prezenta vulnerabilități.
Fiecare sector are specificul său, iar gradul de expunere depinde de infrastructura digitală și de măsurile de securitate implementate. Indiferent de domeniul de activitate, orice companie poate fi țintă, atâta timp cât există puncte slabe în sistemele de protecție.
Astfel, Directiva NIS2 nu trebuie privită doar ca un punct de reglementare, ci și ca un mecanism proactiv de a evita atacurile cibernetice.
8. Ce tipuri de companii sunt cel mai des vizate de atacuri cibernetice și de ce? Sunt IMM-urile la fel de expuse ca și marile corporații?
În ultimii ani, digitalizarea accelerată a business-urilor a produs schimbări majore în ecosistemul de securitate cibernetică: pentru prima dată în istorie, orice companie, indiferent de mărime, este o țintă atractivă.
Atacurile sunt din ce în ce mai puțin specifice, întrucât tehnologia modernă (ajutată de inteligența artificială) a făcut costurile acestora foarte mici pentru grupările infracționale.
Spre deosebire de companiile mari, IMM-urile se află în punctul în care trebuie să își pună problema securității pentru prima dată. Drept urmare, IMM-urile sunt cele mai expuse:
-
Nu au soluții de securitate,
-
Nu au echipe sau responsabili desemnați,
-
Nu au buget dedicat securității IT.
În momentul în care aceste companii nu au proceduri de backup și lucrează cu date sensibile, ele devin o țintă și mai bună pentru atacuri oportuniste.
9. Care sunt principalele tipuri de atacuri cibernetice întâlnite în România în ultima perioadă și cum pot companiile să se protejeze împotriva acestora?
În ultima perioadă, trei tipuri de atacuri cibernetice sunt întâlnite frecvent în România:
-
Phishing-ul – presupune trimiterea de e-mailuri sau mesaje care par autentice, dar care sunt concepute pentru a înșela utilizatorii și a le fura parolele sau alte informații personale.
-
Ransomware-ul – atacatorii blochează accesul la fișierele importante ale unei companii prin criptare și solicită o răscumpărare pentru a le debloca.
-
Atacul DDoS (Distributed Denial of Service) – constă în supraîncărcarea unui site web printr-un număr foarte mare de solicitări simultane, ceea ce duce la blocarea sau întreruperea funcționării acestuia.
Aceste atacuri pot avea consecințe grave asupra activității unei companii, motiv pentru care este esențial ca firmele să își protejeze datele și sistemele informatice prin măsuri adecvate de securitate.
10. Cum asigură Blackshell o implementare ușoară și rapidă a soluțiilor sale de securitate cibernetică, având în vedere că multe companii consideră securitatea cibernetică costisitoare și complicată?
Soluțiile Blackshell au fost create pentru a fi ușor de instalat și de folosit. Produsele noastre sunt moderne și adaptate la realitatea companiilor cu care lucrăm, iar procesul prin care clienții obțin acces la ele poate dura doar câteva minute. Fără hardware sau traininguri îndelungate, securitatea cibernetică devine un aspect continuu prezent în dezvoltare și scalare.
Vrei să afli mai multe despre soluțiile BlackShell? Completează formularul de mai jos sau trimite un e-mail pe adresa [email protected]
