Разобличаване на NIS2

[h3xu]

Европейският парламент въведе нова директива за киберсигурност, наречена NIS2, за да се справи с нарастващия брой кибератаки срещу европейски бизнеси, които са се увеличили със 108% от 2020 г. насам.

NIS2 заменя своя предшественик, NIS1, и разширява обхвата си, за да включва енергетика, транспорт, здравеопазване, финанси, публична администрация, водоснабдяване и др. Предприятията в неговия обхват трябва да спазват новите изисквания, като извършване на надлежна проверка на сигурността на веригата за доставки и подаване на доклади за ранно предупреждение в рамките на 24 часа след инцидент.

NIS2 също така въвежда лична отговорност за ръководните органи за несъответствие, което ги насърчава да приоритизират мерките за сигурност. Държавите членки имат срок до октомври 2024 г. да транспонират директивата в националното законодателство, а засегнатите организации имат 16 месеца, за да я съобразят.

За да се подготвят за NIS2, предприятията трябва да извършат цялостни оценки на риска, за да идентифицират уязвимостите, слабостите и да гарантират, че техните мерки за киберсигурност са ефективни.

-------------------------------------------------------------------------------------------------------------

[Tricky]

От наблюденията,които имам поне за нашата страна,смятам,че действията,които се предприемат са просто една проформа без реална ефективност особено в държавните структури. 
Основно се провеждат обучения по киберсигурност,които са в рамките на 60 мин. и в най-общ смисъл ти казват от кое копче се пуска компютъра.
 

[Avatara]

Ще си позволя да изкажа лично мнение.

Преди всичко е добре чиновниците от Брюксел преди да спускат директиви за киберсигурност да си припомнят "правилото на трите опорни пункта".

Когато се създава подобен документ е нужно да се има в предвид следните аспекти:

• Технически - какъв технически и технологичен ресурс се изисква за неговото изпълнение;
• Финансов - Колко би струвало на държавите членки, изпълнението на директивите;
• Правен - Не нарушава ли този документ влезли в сила законови нормативни актове (регионални и глобални).

Мисля, че и в трите пункта са налице сериозни пропуски. Като най-фрапираща бих посочил самото заглавие на този документ:

 

"Directive on measures for a high common level of cybersecurity across the Union (NIS2 Directive)".

 

По правилно е да се говори за "информационна сигурност" (Information security, IS), а не за "кибернетична" такава.

Това заглавие е типичен пример за все по-задълбочаваща се дефиниционна криза в законодателните институции. 

 

Кибернетиката е наука за управление на процеси.

 

Кибернетиката като наука е създадена от Аристотел, а по негово време не е имало нито internet, нито компютри.

Информационната сигурност и кибернетиката са две различни научни направления, всяко едно със своята специфика.

И за каква кибернетика говорим? Все пак е написано "кибернетична сигурност".

За обща, за теория на сложните системи, за анализ на операциите, за медицинска или социална кибернетика, или за някаква друга "кибернетика"?

Искам да споделя, че теорията на информацията (в която би следвало да се включи и защитата на информацията като наука) е раздел от математическата кибернетика, докато systems engineering е направление в инженерната кибернетика, както и biomedical engineering.

Самата дума "кибернетика" произхожда от гръцката дума за управление "κυβερνητική".

 

Терминът "кибернетика" е въведен в публична употреба от Андре Мари Ампер (André-Marie Ampère), през 1834 година. 

 

Не искам да коментирам до колко някои пасажи в документа са в пълно противоречи е с написаното от Антони Бир (Anthony Stafford Beer), който се счита за баща на т.н. "втора кибернетична вълна", която е толкова актиуалана през последните години (за справка изкуственото зрение, роботехниката, изкуствения интелект и пр.).

Признавам, че за мен е пълна загадка какво отношение имат Viable System Model (VSM), Invention of Team Syntegrity (ITS), Structure Systems Integration (SSI), ергономията, меметиката (тук става повече от забавно), киберсимеотиката (cybersemiotics), адаптивните системи (основа на съвременните военни системи),  сингулярните системи базирани на размита логика, хомеостазиса (реално всяка система е отворена)  и пр. и пр. и пр. със защитата на цифрова информация.

Също така би било добре, авторите на този документ да си припомнят, че освен "цифрова" съществуват и други форми на информация, използвани в системите за управление.

Лично аз, четейки документа останах с впечатление, че съставителите нямат и най-малка представа какво е информация, как се измерва, какви видове информация има, както и много други неща, които определено ме озадачиха.

Впечатлението, с което останах е, че

 

Тази директива е насочена към последствията, а не към превенция на първопричините за информационните престъпления (или за проблемите, свързани с информационната безопасност).

 

Когато един нормативен документ е структуриран по този начин той ще генерира допълнителни проблеми.

Като цяло за мен това е опит да се дублира дейсността по проект на колегите от The National Institute of Standards and Technology (NIST), но с помощта на европейските законодателни институции. 

Забележка: Изказаното от мен мнение е лично и по никакъв начин не би следвало да се свързва със структурата, която представлявам.

 

Directive on measures for a high common level of cybersecurity across the Union (NIS2 Directive)

 

 

Редактирано Май 6, 2023 от Avatara