Krajowy System Cyberbezpieczeństwa

Bezpieczeństwo Usług Kluczowych/Cyfrowych to „osiągnięcie odpowiedniego poziomu bezpieczeństwa systemów informacyjnych służących do świadczenia usług oraz zapewnienia obsługi incydentów” (cytat za Art. 3 Ustawy).

Musimy więc mieć świadomość wszystkich obszarów niezbędnych do zapewnienia bezpieczeństwa.

Na pewno możemy powiedzieć czym cyberbezpieczeństwo nie jest:

• nie jest wdrożeniem systemu SIEM,
• nie jest ustanowieniem SOC/CSIRT,
• nie jest wdrażaniem zaawansowanych narzędzi monitorowania bezpieczeństwa,
• nie jest ustaleniem wektorów ataków i procedur reakcji,
• nie jest żadnym pojedynczym działaniem, o których dotychczas mowa była w literaturze dotyczącej wdrożenia dyrektywy NIS.

Niestety bardzo często wdrożenie dyrektywy NIS (a co za tym idzie Cyberustawy) rozumiane jest jako skuteczne wdrożenie firmowych Security Operations Center (SOC).

Jest to jeden z wątków skutecznego zapewnienia cyberbezpieczeństwa. Na pewno w naszym kraju nowy, podobnie jak fakt, iż instytucje i firmy, często konkurujące ze sobą, dzielą się z podmiotami godnymi zaufania informacjami na temat groźnych incydentów.

Samo przekonanie wszystkich zainteresowanych do pokazywania słabości zajmie z pewnością dużo czasu. Stąd wydaje się nam upraszczanie tematyki zawartej w ustawie o cyberbezpieczeństwie.

Tymczasem już pierwszy akapit rozdziału 3 Cyberustawy określa obowiązki operatorów usług kluczowych w następujący sposób: “Operator usługi kluczowej wdraża system zarządzania bezpieczeństwem w systemie informacyjnym wykorzystywanym do świadczenia usługi kluczowej” [Art. 8 ustawy]. Dalej jest mowa o tym, co się przez to rozumie.

Wymagane jest: wdrożenie zasad zarządzania ryzykiem, wdrażanie odpowiednich i proporcjonalnych do ryzyka zabezpieczeń, zarządzanie incydentami, stosowanie bezpiecznych środków łączności, bezpieczne zarządzanie systemami, monitorowanie informacji o zagrożeniach i podatnościach.