Še pred nekaj leti je bilo precej običajno, da se je vprašanje informacijske varnosti v podjetju prepustilo zaposlenim v IT. Obiščite spletno stran za več informacij na to temo. Če je računalnik deloval, protivirusni program ni javil težav in je bila elektronska pošta dosegljiva, se o tem pogosto ni razmišljalo prav veliko. Danes je slika drugačna. En sam uspešen kibernetski napad lahko ustavi poslovanje, zaklene podatke ali povzroči precejšnjo finančno škodo. Prav zato je Evropska unija področje kibernetske varnosti zaostrila z direktivo NIS 2.
NIS 2 je naslednik prve direktive NIS iz leta 2016. Novi predpisi zajemajo več dejavnosti. Od organizacij zahtevajo bolj urejen pristop k varovanju informacijskih sistemov. Pri tem ne gre zgolj za tehnično zaščito računalnikov. Vprašanje je tudi, kdo v podjetju sprejema odločitve. Pomembno je, kako se obravnava incident. Pomembno je ali zaposleni sploh vedo, kaj storiti, če se zgodi kaj nenavadnega.
Kaj NIS 2 pomeni v vsakdanjem poslovanju
Recimo, da pride nekega jutra do vdora v informacijski sistem. Zaposleni ne morejo dostopati do datotek, del proizvodnje se ustavi, elektronska pošta ne deluje. Kdo ukrepa? Kdo obvesti vodstvo? Kdo ugotovi, kaj se je zgodilo? In kdo poskrbi, da se sistemi varno ponovno vzpostavijo? Če na ta vprašanja nimate jasnega odgovora, je to znak, da bo treba področje urediti. Direktiva od organizacij zahteva obvladovanje tveganj, zaščito sistemov, postopke za odzivanje na incidente in pripravo na nadaljevanje poslovanja. Podjetje mora imeti pregled nad svojimi sistemi in vedeti, kateri podatki ter storitve so zanj najbolj kritični.
Najprej morate vedeti, kje so šibke točke
V praksi je težko zaščititi nekaj, česar ne poznate. Zato se pri urejanju kibernetske varnosti začne s pregledom obstoječega stanja. Preverijo se informacijski sistemi, dostopi uporabnikov, način shranjevanja podatkov, varnostne kopije, omrežna zaščita in drugi elementi. Pogledati je treba tudi zunanje izvajalce in dobavitelje, saj lahko težava pri enem od njih vpliva na vaše podjetje. Pri takšnem pregledu se hitro pokažejo stvari, ki so bile prej spregledane. Morda ima nekdanji zaposleni še vedno aktiven uporabniški račun. Morda se varnostne kopije sicer izdelujejo, vendar jih nihče ne preverja. Lahko se zgodi tudi, da zaposleni ne vedo, kam prijaviti sumljivo elektronsko sporočilo. Ravno takšne podrobnosti lahko naredijo razliko.
