NIS2 atplaukė į uostą: kam iš tiesų taikomi kibernetinio saugumo reikalavimai?

Todėl transportas įtrauktas į NIS2 direktyvos, Lietuvoje dažniau vadinamos TIS 2, reguliavimo sritį. Nacionalinėje teisėje jos nuostatos įgyvendinamos atnaujintu Kibernetinio saugumo įstatymu.

Vis dėlto čia svarbu nepadaryti pernelyg plačios išvados. Ne kiekviena logistikos įmonė, vežėjas ar sandėlis automatiškai tampa tiesioginiu NIS2 subjektu. Statusas priklauso nuo vykdomos veiklos, įmonės dydžio, teikiamų paslaugų svarbos ir to, ar organizacija įtraukta į Kibernetinio saugumo subjektų registrą.

Ką sužinosite?

• Kurioms transporto organizacijoms NIS2 gali būti taikoma tiesiogiai.
• Kaip reikalavimai pasiekia mažesnius rangovus ir tiekėjus.
• Ką logistikos įmonei praktiškai reiškia kibernetinės rizikos valdymas.
• Kada verta skirti vidinį arba išorinį saugumo vadovą.

Transportas įtrauktas į NIS2, bet ne visas vienodai

NIS2 transportą priskiria didelio kritiškumo sektoriams. Į jos taikymo sritį patenka tam tikros aviacijos, geležinkelių, vandens ir kelių transporto organizacijos.

Jūrų transporto srityje tai gali būti keleivių ir krovinių vežimo bendrovės, uostų valdymo institucijos, uosto įrenginius eksploatuojantys subjektai bei laivų eismo paslaugų operatoriai. Kelių transporto dalyje direktyva orientuota ne į kiekvieną krovinių vežėją, o, pavyzdžiui, į eismo valdymo institucijas ir intelektinių transporto sistemų operatorius.

Todėl vien įmonės veiklos apibūdinimo „dirbame logistikos srityje“ nepakanka. Pirmas klausimas turėtų būti ne „ar transportui taikoma NIS2?“, o „ar mūsų konkreti veikla ir organizacijos dydis atitinka subjekto kriterijus?“

Lietuvoje potencialius subjektus identifikuoja Nacionalinis kibernetinio saugumo centras. Į registrą įtrauktos organizacijos informuojamos tiesiogiai. Mažoms ir labai mažoms įmonėms įstatymas paprastai netaikomas, tačiau numatytos išimtys, kai jų paslaugos yra kritiškai svarbios arba veiklos sutrikimas galėtų sukelti reikšmingų pasekmių.

Esminiams ir svarbiems subjektams skiriasi priežiūros režimas, tačiau tai nereiškia, kad svarbiam subjektui saugumo priemonės tampa neprivalomos.

Kodėl tai aktualu būtent Klaipėdos uostui?

Klaipėdos uostas yra ne viena organizacija, o tarpusavyje susijusių įmonių, sistemų ir paslaugų tinklas. Krovinių judėjimas priklauso nuo terminalų, muitinės duomenų, vežėjų platformų, automatizuotų vartų, ryšio sistemų ir daugybės išorinių paslaugų teikėjų.

Kuo daugiau procesų skaitmenizuojama, tuo svarbiau žinoti ne tik tai, kaip jie veikia įprastą dieną, bet ir kas nutiktų sutrikus vienai svarbiai grandžiai.

Apie tai kalbama ir pačiame uoste. „Vakarų ekspresas“ jau rašė, kad Klaipėdos uoste stiprinamas ne tik fizinis, bet ir kibernetinis saugumas. Uosto direkcijos vadovybė pabrėžė nepertraukiamos veiklos svarbą ir būtinybę saugoti plika akimi nematomą infrastruktūros dalį.

Tai gerai parodo pasikeitusį požiūrį: kibernetinis saugumas nebėra vien IT skyriaus klausimas. Uostui ar terminalui tai yra tokia pati veiklos tęstinumo tema kaip elektros tiekimas, fizinė apsauga ar galimybė aptarnauti laivus.

Kaip reikalavimai pasiekia mažesnes įmones?

Net jeigu ekspeditorius, krovos rangovas ar IT paslaugų teikėjas nėra įtrauktas į Kibernetinio saugumo subjektų registrą, NIS2 poveikį jis gali pajusti per savo užsakovus.

Tiesioginiai reguliavimo subjektai privalo vertinti tiekimo grandinės saugumą. Tai reiškia, kad jie turi peržiūrėti santykius su tiekėjais, įvertinti jų keliamą riziką ir įsitikinti, kad partneriai gebės tinkamai reaguoti į incidentą.

Praktikoje tai gali virsti papildomu sutarties priedu ar saugumo klausimynu:

• Kas turi administratoriaus prieigą prie kliento sistemų?
• Per kiek laiko pranešama apie incidentą?
• Ar išbandytas duomenų atkūrimas iš atsarginių kopijų?
• Kaip panaikinamos išėjusių darbuotojų prieigos?
• Ar įvykus incidentui tiekėjas bendradarbiaus su užsakovu?

Klausimynas dar nereiškia, kad mažesnė įmonė pati tapo NIS2 subjektu. Tačiau neaiškūs atsakymai gali turėti komercinių pasekmių – nuo papildomų derybų iki sprendimo rinktis kitą tiekėją.

Čia ir atsiranda praktinis skirtumas tarp formalios ir realios parengties. Politiką galima parašyti greitai. Įrodymus, kad procesai veikia, tenka sukaupti.

Ką reiškia valdyti kibernetinę riziką?

Logistikos įmonėje rizikos valdymas prasideda ne nuo ilgo dokumentų rinkinio. Pirmiausia reikia suprasti, nuo kokių sistemų priklauso kasdienė veikla ir kas nutiktų joms sustojus.

Pradiniame plane turėtų atsirasti bent šios sritys:

• Sistemos ir priklausomybės. Kokios platformos, įrenginiai ir tiekėjai būtini krovinių judėjimui?
• Prieigų valdymas. Kas gali prisijungti prie svarbių sistemų ir ar naudojamas kelių veiksnių autentifikavimas?
• Incidentų valdymas. Kas priima sprendimus, kam pranešama ir kur saugomi reikalingi kontaktai?
• Veiklos tęstinumas. Ar galima dirbti sutrikus pagrindinei sistemai ir ar atsarginės kopijos tikrai atkuriamos?
• Tiekėjų priežiūra. Kurie partneriai turi prieigą prie duomenų ar infrastruktūros?
• Darbuotojų mokymai. Ar žmonės atpažintų suklastotą sąskaitą, netikrą vežėjo dokumentą ar prisijungimo puslapį?

Tiesioginiams subjektams svarbus ir incidentų pranešimo procesas. Apie didelį kibernetinį incidentą NKSC turi būti pranešama nedelsiant, bet ne vėliau kaip per 24 valandas, o per 72 valandas pateikiamas pirminis jo sunkumo ir poveikio vertinimas.

Jeigu incidento metu įmonė dar tik pradeda ieškoti, kas turi NKSC kontaktą ir kas gali sustabdyti pažeistą sistemą, planas jau vėluoja.

Kodėl visko nereikėtų palikti „kompiuterių žmogui“?

IT specialistas gali prižiūrėti įrangą, vartotojų paskyras ir techninius sprendimus. Tačiau kibernetinio saugumo valdymas apima ir klausimus, kurių vienas IT darbuotojas neturėtų spręsti savarankiškai.

Kas gali priimti veiklos sustabdymo riziką? Kiek įmonė pasirengusi investuoti į atsparumą? Kokie saugumo reikalavimai turi būti įtraukti į tiekėjų sutartis? Kada apie incidentą informuojami klientai ir institucijos?

Tai jau vadovybės lygmens sprendimai. Pagal Kibernetinio saugumo įstatymo reikalavimus už priemonių įgyvendinimą tiesiogiai atsako organizacijos vadovas, kuris taip pat turi pasirūpinti už kibernetinį saugumą atsakingų asmenų paskyrimu.

Kai įmonėje nėra poreikio kurti atskiro etato, viena iš galimybių – išorinis saugumo vadovas. Pavyzdžiui, „ACyber“ teikiama išorinio CISO paslauga gali apimti saugumo būklės ir pasirengimo NIS2 vertinimą, politikų rengimą, incidentų valdymą, darbuotojų mokymus, veiklos tęstinumo planų testavimą bei tiekimo grandinės rizikų priežiūrą.

Tačiau išorinis specialistas neperima įmonės vadovo atsakomybės. Jo vertė atsiranda tada, kai jis padeda vadovybei suprasti rizikas, nustatyti prioritetus ir prižiūrėti, kad sutarti darbai būtų padaryti.

Pamaininis darbas turi savų silpnų vietų

Uosto ir logistikos įmonėse saugumo priemonės turi atitikti realų darbo ritmą. Čia dirbama pamainomis, naudojamos bendros darbo vietos, dalis darbuotojų keičiasi sezoniškai, o dokumentai nuolat gaunami iš išorinių partnerių.

Tokioje aplinkoje kartą per metus parodytas bendras mokomasis vaizdo įrašas duoda nedaug naudos. Daug veiksmingesni trumpi mokymai pagal situacijas, kurias darbuotojas iš tikrųjų gali sutikti:

• pasikeitusi banko sąskaita tiekėjo laiške;
• skubus prašymas atidaryti krovinio dokumentą;
• netikras prisijungimo prie vežėjo sistemos puslapis;
• buvusiam darbuotojui nepanaikinta prieiga;
• kelių žmonių naudojama ta pati paskyra.

Svarbu mokyti ne tik atpažinti įtartiną veiksmą, bet ir žinoti, kam apie jį pranešti. Darbuotojas neturėtų spėlioti, ar incidentas „pakankamai rimtas“.

Nuo ko pradėti?

Pirmiausia verta pasitikrinti, ar įmonė gavo pranešimą apie įtraukimą į Kibernetinio saugumo subjektų registrą. Jeigu pranešimo nėra, reikėtų įvertinti ne vien įmonės dydį, bet ir konkrečias jos paslaugas bei vaidmenį transporto grandinėje.

Toliau – keturi praktiški žingsniai:

1. Susirašyti svarbiausias sistemas, duomenis ir išorinius tiekėjus.
2. Atlikti būklės vertinimą ir išskirti didžiausias spragas.
3. Paskirti žmogų, atsakingą už saugumo darbų koordinavimą.
4. Išbandyti bent vieną realų veiklos sutrikimo scenarijų.

NKSC nurodo, kad į registrą įtrauktiems subjektams organizaciniams reikalavimams įgyvendinti skiriama 12 mėnesių, o daliai techninių reikalavimų – 24 mėnesiai nuo įtraukimo. Vis dėlto termino nereikėtų suprasti kaip kvietimo dar metus nieko nedaryti. Atsarginių kopijų, prieigų ar incidentų valdymo spragos gali išryškėti anksčiau nei ateis patikrinimas.

Saugumas tampa veiklos tęstinumo dalimi

Logistikos įmonės jau moka valdyti fizinę riziką: saugo krovinius, planuoja alternatyvius maršrutus, tikrina rangovus ir draudžia veiklą. Kibernetinė rizika yra dar viena tos pačios disciplinos dalis.

Ne kiekvienai Vakarų Lietuvos įmonei NIS2 bus taikoma tiesiogiai. Tačiau beveik kiekvienai, dirbančiai su dideliais terminalais, transporto operatoriais ar tarptautiniais užsakovais, teks vis dažniau atsakyti į klausimus apie sistemų, duomenų ir veiklos saugumą.

Geriausias laikas į šiuos klausimus atsakyti – dar prieš gaunant kliento klausimyną arba patiriant pirmą rimtesnį sutrikimą.