Powrót do bloga

Monitoring sieci pod NIS2: lista kontrolna

NetSenX Team4 min czytania
nis2network-monitoringchecklistmid-market

NIS2 nie wskazuje konkretnego narzędzia do monitoringu, ale wymaga od podmiotów kluczowych i ważnych obsługi incydentów (art. 21) oraz zgłaszania poważnych incydentów w ciągu 24 godzin, 72 godzin i miesiąca (art. 23). W praktyce trzeba więc widzieć, co dzieje się w sieci, i zachowywać na to dowody. Ta lista zamienia oba artykuły w jedenaście konkretnych kroków dla działu IT średniej firmy.

Kogo to dotyczy

NIS2, czyli dyrektywa (UE) 2022/2555, obejmuje średnie i duże organizacje z sektorów wymienionych w jej załącznikach I i II (energetyka, transport, ochrona zdrowia, infrastruktura cyfrowa, produkcja wybranych wyrobów, żywność, gospodarka odpadami i inne), a niektóre podmioty niezależnie od wielkości. Średnie przedsiębiorstwo w rozumieniu UE zatrudnia co najmniej 50 osób albo ma roczny obrót lub sumę bilansową powyżej 10 mln euro.

Każde państwo członkowskie stosuje NIS2 przez własne prawo — na przykład przez Cyberbeveiligingswet w Holandii i znowelizowaną ustawę o krajowym systemie cyberbezpieczeństwa (KSC) w Polsce — dlatego zakres, rejestrację i właściwy CSIRT sprawdź u krajowego organu.

Czego dyrektywa naprawdę wymaga

  • Art. 21 wymaga „odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych”. Na liście są m.in. obsługa incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw oraz polityki oceny skuteczności tych środków.
  • Art. 23 wymaga wczesnego ostrzeżenia w ciągu 24 godzin od powzięcia wiedzy o poważnym incydencie, zgłoszenia incydentu w ciągu 72 godzin i raportu końcowego w ciągu miesiąca od zgłoszenia.

Nie da się dotrzymać 24-godzinnego terminu dla incydentu, którego się nie wykryło. Tu wchodzi monitoring sieci.

Lista kontrolna

  1. Potwierdź swój status. Ustal, czy jesteś podmiotem kluczowym czy ważnym, który organ krajowy sprawuje nadzór i który CSIRT przyjmuje zgłoszenia.
  2. Opisz, co musisz chronić. Wypisz segmenty sieci i zasoby, na których opierają się usługi objęte zakresem — także OT, systemy budynkowe i oddziały, nie tylko biurowy LAN.
  3. Zapewnij widoczność w każdym segmencie. Port SPAN lub TAP albo sensor na hoście w każdym segmencie. Obserwuj ruch wschód–zachód między hostami wewnętrznymi, a nie tylko na brzegu sieci: większość ataków po pierwszym przyczółku przesuwa się lateralnie.
  4. Wypatruj zachowań, które poprzedzają incydent. Beaconing C2, skanowanie wewnętrzne, ruch lateralny i nietypowy wolumen danych wychodzących to kroki widoczne w ruchu, zanim dane wyciekną.
  5. Obejmij ruch szyfrowany, nie łamiąc szyfrowania. Czas, wolumen, cele połączeń i handshake TLS ujawniają beaconing i eksfiltrację bez odszyfrowywania czegokolwiek — dzięki temu sam monitoring łatwiej uzasadnić na gruncie RODO.
  6. Monitoruj OT pasywnie. Odczytuj protokoły przemysłowe z portu lustrzanego; nigdy aktywnie nie odpytuj sterowników PLC ani urządzeń SCADA.
  7. Ustal, kto i kiedy patrzy na alerty. Spisz procedurę obsługi incydentów: kto robi triaż, w jakim czasie i kto może uznać incydent za poważny. Alert, który wyjaśnia, dlaczego się pojawił, jest obsługiwany szybciej niż taki, który tego nie robi.
  8. Zachowuj dowody. Dla każdego incydentu: alerty, decyzje analityków, oś czasu i podjęte działania — w dzienniku audytu, który można przekazać audytorowi albo CSIRT-owi.
  9. Pilnuj terminów zgłoszeń. Uruchamiaj liczniki z art. 23 w chwili powzięcia wiedzy o poważnym incydencie i przećwicz 24-godzinne wczesne ostrzeżenie co najmniej raz, zanim będzie potrzebne.
  10. Chroń dane z monitoringu. Metadane sieciowe zawierają adresy IP, które mogą być danymi osobowymi. Wiedz, gdzie dostawca monitoringu je przechowuje, podpisz umowę powierzenia z art. 28 RODO i oceń dostawcę w ramach łańcucha dostaw.
  11. Sprawdzaj, czy to działa. Okresowo testuj wykrywanie i zgłaszanie, a wynik zapisuj: art. 21 wymaga polityk oceny skuteczności środków.

Gdzie pasuje NetSenX

NetSenX to platforma Network Detection and Response (NDR) dla średnich organizacji w UE, która wykrywa ataki na podstawie zachowania sieci, wyjaśnia każdy alert prostym językiem i przechowuje dane klientów w UE. Z tej listy obejmuje kroki od 3 do 9: jeden agent na porcie SPAN lub TAP obserwuje cały segment, każdy alert wymienia cechy sieciowe, które zdecydowały o jego ocenie, protokoły OT są odczytywane pasywnie od planu Pro, a każdy incydent jest śledzony względem terminów z art. 23. Obowiązki z NIS2 pozostają po stronie Twojej organizacji — narzędzie je wspiera, ale ich nie wypełnia.

Plan Free monitoruje do 3 urządzeń bez opłat; plan Business za 249 € miesięcznie obejmuje do 100. Zobacz plany i ceny NetSenX, stronę o monitoringu sieci pod NIS2 albo porównanie NetSenX z innymi dostawcami NDR.

Źródła

Autor: zespół NetSenX w TriStiX S.L. Artykuł ma charakter ogólnoinformacyjny i nie jest poradą prawną. Pytania: info@netsenx.com.

NetSenX Team

TriStiX S.L.