I oktober 2024 började NIS 2-direktivet att gälla och nu behöver alla som berörs anpassa sin verksamhet. Det uppdaterade direktivet innebär bland annat ett ökat fokus på kryptering och nämner nätverkssegmentering som en grundläggande cyberhygienfaktor. I det här blogginlägget går vi igenom några use case som föreslår lösningar på dessa ämnen.
Vad är nytt med NIS 2?
NIS-direktivet syftar till att främja säkerhetsåtgärder och höja EU:s medlemsländers skyddsnivå för kritisk infrastruktur. Med andra ord förbättrar det informationssäkerheten för operatörer i sektorer som tillhandahåller viktiga tjänster till vårt samhälle och ekonomi.
Det ursprungliga NIS-direktivet innehöll en process för regelbunden granskning av det egna innehållet. Detta har lett till ett föreslaget direktiv för länder i EU om åtgärder för en hög gemensam cybersäkerhetsnivå – detta kallas NIS 2.
NIS 2 innehåller aspekter som åtgärdar brister i det ursprungliga NIS-direktivet. Baserat på dessa brister har nya tillägg gjorts, vilket har resulterat i det nya förslaget NIS 2. Dessa är de mest framträdande tilläggen:
- Större skala än NIS, fler sektorer betraktas som viktiga tjänster
- Chefer hålls ansvariga för att säkra verksamheten.
- Incidentrapportering måste nu göras inom 24 timmar i stället för 72 timmar.
- Högre krav på säkerhet och rapportering, där en lista med minimumkrav måste uppfyllas
- Säkerhet för leverantörskedjor och leverantörer
- Striktare tillsynsåtgärder för nationella myndigheter
- Skillnaden mellan ”operators of essential services” och ”digital service providers” har tagits bort
- Striktare tillsynsåtgärder för nationella myndigheter, striktare efterlevnadskrav
- Harmonisera sanktionssystem mellan medlemsstaterna och möjliggöra administrativa viten. Böterna kommer att vara upp till 10 MEUR eller 2% av verksamhetens totala omsättning i hela världen.
- Cooperation Group får en större roll, samt ökad informationsdelning och samarbete mellan medlemsstaternas myndigheter
Men hur följer man NIS 2-direktivet? Vi har ett antal use case som föreslår några lösningar på de problem som NIS 2-direktivet nämner.
Använd kryptering för att göra din organisation säkrare
I NIS 2 finns rekommendationer om användning av kryptering och kryptografi. Kryptering nämns i artikel 21 i NIS 2-direktivet, där det anges att varje organisation ska ha strategier för kryptografi, samt använda kryptering där det är lämpligt. Bland annat kan kryptering och andra säkerhetsrelaterade funktioner (accesskontroll, skydd av integritet, och oförnekbarhet) ingå i arbetet med att skydda nätverk och informationssystem. Det nämns också att allmänna elektroniska kommunikationsnät och tillgängliga elektroniska kommunikationstjänster bör använda kryptering och särskilt sådan kryptering som kallas end-to-end-kryptering.
Vi har ett antal use case som förslag på hur man använder kryptering för att göra din organisation säkrare.
Use case #1: Säker kommunikation med avlägsna platser
Advenicas SecuriVPN tillhandahåller hållbart skydd för alla slutanvändarapplikationer. Det finns olika modeller och funktioner för olika behov. På huvudkontoret kan SecuriVPN konfigureras för att använda hög tillgänglighet med failover eller dynamisk routing. Mobila kontor kan använda den bärbara SecuriVPN-varianten. Systemet stöder många funktioner som NTP, loggning och automatiska nyckeluppdateringar. Systemet är hårdvarubaserat vilket möjliggör en mycket hög säkerhetsnivå, samt har ett centralt administrationssystem för enkel användning.
Use case #2: Skydd av sensorer
Utplaceringen och skyddet av bandbreddskrävande sensorer med mer video-, data- och rösttrafik kan sätta press på tillgänglig bandbredd och bli dyrt. Trafikskydd genom kryptering kommer med en kostnad på grund av ökad trafik som eskalerar problemet. SecuriVPN kan konfigureras för att kompensera för den låga bandbredden och automatiskt komprimera all data. Den kan också konfigureras för att fungera som enkelriktad security gateway, vilket gör att data endast kan färdas i en riktning.
Läs mer om Advenica SecuriVPN.
Öka din informationssäkerhet med nätverkssegmentering
Nätverkssegmentering nämns i ett av skälen till NIS 2 (förord 89) som en nödvändig och grundläggande cyberhygienfaktor, och återigen (förord 98) för att säkra elektroniska kommunikationstjänster och nätverk. Vi har samlat några use case som beskriver hur nätverkssegmentering kan användas för att förbättra din informationssäkerhet och skydda dina system och nätverk.
Use case #1: Säker IT/OT-integration
Att separera IT och OT i separata segment hjälper till att skydda mot attacker och störningar på IT-sidan som annars riskerar påverkar OT. För att undvika risker på grund av fel i konfiguration eller funktion bör fysisk segmentering och zonindelning användas. Detta innebär att separat hårdvara används för IT och OT.
Det säkraste sättet att ansluta ett integritetskänsligt datanätverk till andra system är att använda datadioder. Alla dataflöden från OT som kan hanteras med datadioder innebär en förenklad säkerhetsanalys, helt enkelt för att en datadiod är så säker och lätt att analysera. Eller, mer korrekt, för att den har så hög assurans.
Use case #2: Säker loggning
Alla zoner som levererar loggdata är skyddade med en datadiod vardera. Dataflödet görs enkelriktat mot loggsystemet. Ett delat loggsystem kan därför användas oavsett antalet zoner som levererar data till loggsystemet. Om någon av zonerna innehåller konfidentiell data måste antingen loggsystemet skyddas på lämplig skyddsnivå eller så måste loggdata från en sådan zon filtreras så att loggsystemet inte kontamineras med konfidentiell data. Detta kan dock leda till att värdet på loggdatan minskar eftersom fritextdata i logghändelser kan behöva filtreras bort, vilket gör det svårare att tolka loggdata.
- Datadioderna gör det omöjligt att använda loggsystemet som språngbräda för en angripare som via nätverket försöker komma vidare in i de skyddade zonerna.
- Datadioderna gör det enkelt att skydda loggsystemet så att ingen obehörig kan komma åt datan.
- Det är mycket svårare för en angripare att täcka sina spår efter en attack eftersom det blir mycket svårare för angriparen att radera logghändelser.
- Det är också möjligt att kryptera anslutningen till loggservern för att förhindra läckage och manipulation av loggdata.
Läs mer om Advenicas datadioder och om nätverkssegmentering.
Behöver du mer hjälp med dina olika säkerhetsutmaningar är du mer än välkommen att kontakta oss!
