Europejskie cyberbezpieczeństwo: postępy i nowe wyzwania
Europejska agencja cyberbezpieczeństwa Enisa opublikowała swój aktualny raport NIS360, kreśląc przy tym zróżnicowany obraz cyfrowej odporności Europy. Powszechne wdrażanie dyrektywy NIS2 o bezpieczeństwie sieci i informacji przynosi według niego efekty i powoduje w wielu branżach wzmożone inwestycje w infrastrukturę krytyczną. Mimo to między realną sytuacją zagrożenia a faktyczną odpornością na kryzysy w wielu obszarach o znaczeniu systemowym wciąż zieje niebezpieczna luka.
Metodyka oceny: od poziomu dojrzałości do strefy ryzyka
Na potrzeby badania Enisa oceniła cały ekosystem branż. Ocena obejmuje jakość ustaw, przygotowanie przedsiębiorstw i siłę uderzeniową organów nadzoru. Temu poziomowi bezpieczeństwa przeciwstawia się krytyczność społeczną, mierzoną stopniem cyfryzacji i możliwymi efektami kaskadowymi awarii dla obywateli.
Ze stosunku zależności i poziomu bezpieczeństwa Enisa wyprowadza „strefę ryzyka" dla sektorów, których dojrzałość leży poniżej średniej UE. Ponieważ ogólny poziom wzrósł, do tej strefy zagrożenia wsunęły się nowe obszary.
Transport szynowy i zaopatrzenie w wodę w strefie ryzyka
Szczególnie niepokojący jest rozwój sytuacji w transporcie szynowym oraz w zaopatrzeniu w wodę pitną i odprowadzaniu ścieków. Oba obszary całkowicie wsunęły się do strefy ryzyka. Krytyka sprowadza się do tego, że sektory te nie nadążają za tempem rynku.
W transporcie szynowym napastnicy koncentrują się na przestarzałych technologiach operacyjnych i technikach nastawnic. Stanowi to poważny problem, ponieważ wiekowe systemy radiowe i baza centrów sterowania są skrajnie trudne do łatania. Dają nawet napastnikom możliwość zdalnego zatrzymywania pociągów. Znaczenie dla logistyki wojskowej czyni ponadto transport szynowy coraz częstszym celem cyberataków.
Zaopatrzenie w gaz jako promyk nadziei
Pozytywny trend odnotowuje natomiast zaopatrzenie w gaz, które dzięki intensywniejszej wymianie informacji zdołało wyskoczyć ze strefy ryzyka.
Wyzwania specyficzne dla branż
Sektor kosmiczny: różnice jakości i ryzyka geopolityczne
Niepokojąca pozostaje sytuacja w sektorze kosmicznym, naznaczonym ogromnymi różnicami jakości. Społeczeństwo cyfrowe coraz bardziej zmierza ku zależności od danych satelitarnych na potrzeby nawigacji, handlu finansowego i klimatologii. Ta kluczowa rola czyni ten obszar celem geopolitycznych cyberataków, na przykład przez zagłuszanie GPS, które od kilku lat powoduje problemy na Bałtyku.
Ponieważ NIS2 obejmuje dotąd tylko części łańcucha dostaw, panuje nierównowaga: giganci lotnictwa są znakomicie chronieni, podczas gdy mniejsi dostawcy noszą ze sobą znaczne braki bezpieczeństwa.
Gospodarka morska i bezpieczeństwo portów
W gospodarce morskiej cyberataki na usieciowione sektory portowe grożą nawet zachwianiem globalnych łańcuchów dostaw. Rosnące usieciowienie dźwigów portowych i systemów okrętowych z chmurą otwiera furtki. Krajowym administracjom portowym często dotkliwie brakuje ekspertyzy IT.
Ochrona zdrowia i usługodawcy IT w środku stawki
Ochrona zdrowia i usługodawcy IT walczą z barierami strukturalnymi. Szpitale cierpią z powodu braku budżetu i kadr, co pod presją czasu opieki nad pacjentami czyni je idealnym celem szantażystów ransomware. Dostawcy usług IT służą z kolei cyberatakującym jako strategiczna trampolina, aby przez dostępy serwisowe jednocześnie przejmować setki sieci klientów.
Administracja państwowa pozostaje w tyle
Sektorowi publicznemu brakuje przede wszystkim ekspertyzy w zakresie cyberbezpieczeństwa na poziomie kierowniczym, dlatego aktualizacje bezpieczeństwa trwają często miesiącami, a portale urzędowe regularnie padają ofiarą skutecznych ataków phishingowych i przeciążeniowych.
Sektory odnoszące sukcesy: od banków po energetykę
Jako skała w przyboju sprawdzają się tradycyjnie silnie regulowane sektory, takie jak bankowość, telekomunikacja i zaopatrzenie w energię elektryczną. Nowe w tej czołówce wysokiej dojrzałości cyberbezpieczeństwa są infrastruktury rynku finansowego i usługi zaufania. Napędzone regulacjami rynku finansowego DORA bezpieczeństwo zostało tam z powodzeniem zakotwiczone jako ryzyko biznesowe w najwyższym kierownictwie.
Trendy przyszłości i rekomendacje strategiczne
Na przyszłość Enisa identyfikuje trzy megatrendy, które wstrząsną strukturą bezpieczeństwa: błyskawiczny rozwój AI, dostarczający napastnikom nowych narzędzi, takich jak deepfake'i, wysoce złożone łańcuchy dostaw oprogramowania oraz zawirowania geopolityczne.
Agencja bezwzględnie zaleca sektorom krytycznym przejście od czysto biurokratycznej kultury compliance do żywej, odpornej praktyki. Oznacza to zasadnicze przeorientowanie strategii bezpieczeństwa, wykraczające poza samo spełnianie wymagań regulacyjnych.
Podsumowanie: między postępem a rosnącymi wyzwaniami
Raport NIS360 uwidacznia, że europejski krajobraz cyberbezpieczeństwa naznaczony jest znacznymi różnicami między sektorami. Podczas gdy dyrektywa NIS2 daje pozytywne impulsy, a niektóre branże osiągają wyraźne postępy, wskutek postępującej cyfryzacji i nowych sytuacji zagrożenia powstają także nowe ryzyka. Rosnąca strefa ryzyka pokazuje, że ciągłe dostosowania i inwestycje w cyberbezpieczeństwo infrastruktury krytycznej są nieodzowne, aby nadążyć za dynamiczną sytuacją zagrożenia.
