Konference společnosti Lenovo k nové směrnici EU o kybernetické bezpečnosti NIS2

Akci, která proběhla v kongresovém centru hotelu ILF v Praze, zahájili za Lenovo Karel Jareš (relationship manager) a Miloš Malček (services and solutions sales executive).

„Moc děkujeme, že jste si našli čas na dnešní konferenci a pevně věříme, že vás témata zaujmou a budou pro vás přínosná. V Lenovu si letošní rok spojujeme se třemi hlavními výzvami – pokračujícím nástupem umělé inteligence, finišováním přechodu podniků na Windows 11 a novou legislativou spojenou s NIS2, kvůli které jsme se dnes sešli,“ uvítal účastníky Karel Jareš.

Návrh zákona pohledem paragrafů

Petr Novotný z právní kanceláře MT-Legal představil širší souvislosti nově připravované legislativy, jako je podstata právní úpravy, aktuální legislativní situace v ČR, dopad na zahrnuté subjekty, bezpečnost dodavatelského řetězce a role NÚKIB. Hlavním důvodem pro přípravy směrnice NIS2 je rychlý rozvoj digitalizace a elektronizace, což přináší větší kybernetické hrozby, a nedostatky původního nařízení NIS.

NIS2 platí od 16. 1. 2023 a transpoziční lhůta vyžaduje účinnost nového ZKB od 18. 10. 2024. Očekává se však, že nový ZKB nabude účinnosti nejdříve na přelomu let 2024 a 2025. Klíčové změny zahrnují hlubší přeshraniční spolupráci, větší zapojení Evropské komise, certifikaci kybernetické bezpečnosti, rozšíření počtu povinných osob a změnu způsobu jejich identifikace. Novinkami jsou povinné vzdělávání vrcholného managementu a významně zvýšené pokuty za nedodržení povinností.

Nový ZKB rozděluje povinné osoby do dvou kategorií: s nižšími povinnostmi (mírnější požadavky) a vyššími povinnostmi (přísnější požadavky), důležitá je i velikost organizace a její roční obrat nebo rozvaha. Celkem půjde v ČR o nejméně šest až sedm tisíc subjektů. Nové předpisy zahrnují také prověřování bezpečnosti dodavatelského řetězce, hlášení událostí a incidentů NÚKIBu, provádění protiopatření a pravidelné zavádění bezpečnostních opatření.

Na závěr Petr Novotný doporučil sledovat legislativní proces, provést interní audit, aktualizovat bezpečnostní politiky, školit klíčové osoby a plně využít přechodné období pro nezbytné přípravy.

Příležitost, nebo opruz?

Ve druhé prezentaci se legislativou okolo kybernetické bezpečnosti zabýval nezávislý kyber-bezpečnostní konzultant Aleš Špidla.

„Kybernetická a informační bezpečnost není otázkou zákonů, je otázkou pudu sebezáchovy,“ začal svou prezentaci Špidla, který následně navázal zamyšlením nad otázkou „Co vlastně kybernetickou bezpečností chráníme?“ A odpověděl si, že: „Je to primárně schopnost naplňovat základní úlohu firmy, nemocnice, úřadu, školy a kohokoliv dalšího…“. Nejde tedy jen o byznys, ale i o funkce a služby mnoha dalších institucí…

Špidla během svého vystoupení hovořil o klíčových změnách, ale s důrazem na praktické pojetí. Šlo např. o témata, jako jsou výrazně širší záběr regulace, dopad na bezpečnost celé instituce, orientace na službu, zodpovědnost vrcholného vedení, důraz na řízení rizik, netechnické bezpečnostní požadavky a dodavatelský řetězec. S tím vším podle Špidly nerozlučně souvisejí také změny na trhu práce a palčivý nedostatek IT pracovníků i odborníků na kybernetickou bezpečnost.

Druhá část prezentace byla věnována detailnějšímu pohledu na bezpečnostní opatření v režimech nižších i vyšších povinností a závěrečné diskuzi o tom, jak postupovat v případě bezpečnostního incidentu.

Portfolio Lenovo není jen hardware

Miloš Malček, services and solutions sales executive, zodpovědný za prodej služeb a řešení Lenovo v ČR a SR, se ve svém vystoupení zaměřil na řešení a služby společnosti Lenovo a jejích partnerů, které mohou být užitečné při snaze vyhovět některým požadavkům nejen nového zákona o kybernetické bezpečnosti.

Obecně můžeme u společnosti Lenovo a jejích partnerů hledat pomoc v oblastech analýzy a řízení rizik a politik informační bezpečnosti, vyhodnocování incidentů včetně jejich detekce a reakce na ně, řízení kontinuity činností a krizové postupy nebo bezpečnosti dodavatelského řetězce. Dále jde i o bezpečnost sítí a aplikační bezpečnost, monitoring zranitelností, politiku a procedury zahrnující testování a audit, základní počítačovou „hygienu“, řízení přístupů a školení kyberbezpečnosti. V neposlední řadě jde o použití kryptografie nebo multifaktorové autentizace.

Z konkrétních řešení můžeme vyzdvihnout např. ThinkShield BuildAssure (ověření „čistoty“ dodaných zařízení a řízení dodavatelů), ThinkShield Remote Supervisor Password (centrální správa hesel BIOS/UEFI), Churchill & Harriman Security Risk Assessment (nezávislé a efektivní vyhodnocení bezpečnostních rizik s komplexní závěrečnou zprávou a doporučeními), Absolute Secure Endpoint (počítačová hygiena, zabezpečení a správa koncových bodů), Scalefusion MDM (správa zařízení se systémy Windows, Android, iSO/iPad OS, MacOS, Linux prostřednictvím jednotné konzole), Lenovo Device Manager (správa flotily zařízení různých značek), Sepio USB Defense (úplná kontrola periferií připojených k USB portům), Cigent Data Defense (šifrování až na úroveň souborů, řízení přístupů k nim, řízení identit a jejich oprávnění a ověřování), Critical Start Managed Cyber Risk Reduction (monitorování kybernetických rizik a reakce na ně) nebo Secret Double Octopus (multifaktorováautentizace bez nutnosti používání hesel).

Kdy je správný okamžik zbavit se dat?

Sofia Rybakova a Marco Risse ze společnosti Blancco se v závěrečné prezentaci zabývali nakládáním s daty na konci jejich životního cyklu včetně jejich řízené a prokazatelné likvidace bez možnosti obnovení či zneužití. Technologie společnosti Blancco jsou součástí portfolia Lenovo ThinkShield, což uživatelům této značky usnadňuje přístup k možnosti bezpečné likvidace dat (souborů na discích či přenosných médiích, virtuálních strojů, částí úložišť či dat v mobilních zařízeních), a dalším bezpečnostním opatřením.

Likvidace dat má ve vztahu k NIS2 významnou roli a je důležitá pro bezpečnost informací, ale přináší i řadu dalších výhod v oblasti udržitelnosti, efektivity a úspory nákladů. Postupy firmy Blancco jsou navíc v souladu s ESG, protože podporují cirkulární ekonomiku, umožňují znovupoužití hardwaru a redukují množství elektronického odpadu.

Fotografie: © Libor Makrlík