در حالی که کمتر از یک ماه تا مهلت به‌روزرسانی شده دستورالعمل امنیت شبکه و اطلاعات (NIS2) باقی مانده است، سازمان‌ها در سراسر اتحادیه اروپا در حال آماده‌سازی برای اجرایی شدن کامل مقررات جدید در 17 اکتبر هستند. با این حال، به همین جا ختم نمی شود. در هفدهم ژانویه 2025، قانون جدید مقاومت عملیاتی دیجیتال (DORA) برای سازمان‌های مالی و تامین‌کنندگان IT شخص ثالث این بخش نیز اجرایی خواهد شد.

سازمان‌ها در سراسر اتحادیه اروپا و سازمان‌هایی که در جاهای دیگر مستقر هستند و با نهادهای منطقه تجارت می‌کنند، با فشار فزاینده‌ای برای همسویی با این الزامات نظارتی مواجه هستند. به نظر می رسد همگرایی این چارچوب ها در مجموع بیش از 170000 سازمان اروپایی را تحت تأثیر قرار دهد - با 150000 سازمان تحت تأثیر NIS2 و تخمین ها حاکی از آن است که بیش از 22000 نهاد مالی و ارائه دهندگان خدمات ICT تحت تأثیر DORA قرار گرفته اند.

NIS2 و DORA چیست؟

هدف NIS2 ارائه قوانین جامع اتحادیه اروپا در مورد امنیت سایبری است. دامنه دستورالعمل NIS را گسترش می دهد و الزامات امنیتی سخت تری را برای 18 بخش کسب و کار معرفی می کند. مشابه مقررات عمومی حفاظت از داده ها (GDPR)، NIS2 برای پل زدن اقدامات و رویکردهای امنیت سایبری در سراسر سازمان ها برای کمک به تقویت زیرساخت های دیجیتال اروپایی کار خواهد کرد.

DORA یک دستورالعمل خاص بخش برای مؤسسات مالی است که رویکرد آنها را به ریسک عملیاتی هدف قرار می دهد. DORA دو هدف روشن دارد. اولاً، برای تشدید مدیریت ریسک فناوری اطلاعات در سراسر بخش خدمات مالی. ثانیا، هماهنگ کردن مقررات مدیریت ریسک فناوری اطلاعات که در حال حاضر در کشورهای عضو اتحادیه اروپا وجود دارد.

DORA جایی برای اختیار در سطح کشورهای عضو باقی نمی گذارد، در حالی که NIS2 دستورالعملی است که به کشورها اجازه می دهد قوانینی را بر اساس نیازهای ملی خاص خود تدوین کنند.

استراتژی های انطباق برای NIS2 و DORA

در حالی که ممکن است به نظر برسد که برای کسب و کارهایی که در حال حاضر در شرایط سخت اقتصادی دست و پنجه نرم می کنند، اعمال شود، مقرراتی مانند اینها در پاسخ به چشم انداز تهدید فزاینده وضع شده اند و اجرای تغییرات مورد نیاز فرصت های جدیدی را برای افزایش انعطاف پذیری سایبری و به طور کلی به ارمغان می آورد. وضعیت امنیتی برای استفاده از این فرصت‌ها و جلوتر ماندن از مقررات ورودی، 9 استراتژی انطباق سازمان‌ها باید اتخاذ کنند:

ارزیابی جامع ریسک: سازمان ها باید یک ارزیابی ریسک کامل انجام دهند که الزامات NIS2 و DORA را پوشش دهد. این باید شامل شناسایی دارایی های حیاتی، ارزیابی تهدیدات بالقوه، و ارزیابی تاثیر سناریوهای مختلف ریسک باشد. یک رویکرد ارزیابی ریسک یکپارچه به شناسایی آسیب‌پذیری‌های رایج و توسعه یک استراتژی کاهش کارآمد کمک می‌کند.

آموزش و پرورش: به دلیل منابع محدود، سازمان ها اغلب خود را در برابر تهدیدات سایبری آسیب پذیر می بینند. اما حتی زمانی که منابع محدود هستند، کسب‌وکارها می‌توانند جلسات آموزشی و آگاهی دهی مستمر را اجرا کنند و همچنین اقدامات امنیتی کاملاً تعریف شده را ایجاد و اجرا کنند. با این آموزش منظم، سازمان ها می توانند فرهنگ لازم برای رعایت و آگاهی امنیتی را پرورش دهند.

اتخاذ یک مدل مسئولیت مشترک: در سال‌های اخیر، مجرمان سایبری تاکتیک‌های خود را ارتقا داده‌اند و کسب‌وکارها را برای اقدام سریع تحت فشار شدید قرار داده‌اند. راهی برای رسیدگی به این نگرانی‌ها، اتخاذ یک مدل مسئولیت مشترک برای اطمینان از به‌روز بودن سیاست‌ها و شیوه‌های امنیتی است و به طور یکنواخت در سراسر سازمان‌ها اعمال می‌شود و هیچ سنگيني را به جا نمي‌گذارد. یک استراتژی انطباق فعال با نقش ها، مسئولیت ها و اهداف به وضوح تعریف شده در خط مشی شرکت، مطابق با دستورالعمل های NIS2 و DORA شروع می شود.

گزارش رویداد یکپارچه: سازمان ها باید یک برنامه واکنش منسجم و یکپارچه برای پاسخگویی به حادثه ایجاد کنند تا الزامات NIS2 و DORA را برآورده کنند، از آنجایی که هر دو مکانیسم های گزارش حادثه را اجباری می کنند. این شامل ساده سازی کانال های ارتباطی به طور موثر، ارتباطات شفاف با مصرف کنندگان و اطمینان از گزارش به موقع به مقامات مربوطه است.

تبدیل امنیت سایبری به یک ارزش اصلی: رهبران امنیتی باید سخت تلاش کنند تا امنیت سایبری را رفع کنند و نشان دهند که چگونه چند تغییر رفتاری می تواند از کل سازمان در راستای NIS2 و DORA محافظت کند. این مسئولیت تیم های رهبری ارشد است که از همان ابتدا امنیت و حریم خصوصی را در طرح های مربوط به داده ها تعبیه کنند.

حاکمیت بین چارچوبی: شرکت ها باید ایجاد تیم های انطباق اختصاصی یا ادغام مسئولیت ها در عملکردهای مدیریت ریسک موجود را برای نظارت بر انطباق مطابق با چارچوب های متعدد در نظر بگیرند. در ایجاد یک ساختار حاکمیتی روشن، سازمان‌ها می‌توانند ثبات را حفظ کنند - از تکرار تلاش‌ها اجتناب کنند و از پاسخگویی اطمینان حاصل کنند.

تست انعطاف‌پذیری سایبری: بدون آزمایش منظم سیستم‌ها و فرآیندها، هیچ انطباق وجود ندارد. سازمان‌ها باید یک برنامه آزمایشی جامع ایجاد کنند که شامل تست نفوذ، تیم‌سازی قرمز و تمرین‌های تداوم کسب‌وکار برای برآورده کردن الزامات NIS2 و DORA باشد. سازمان‌ها باید رویه‌های آزمایشی خود را با الزامات چارچوب‌ها هماهنگ کنند تا از وضعیت امنیتی انعطاف‌پذیرتر اطمینان حاصل کنند.

استفاده از فناوری: برای تسهیل مدیریت انطباق، شرکت‌ها باید از راه‌حل‌های فن‌آوری در استراتژی امنیتی کلی خود استفاده کنند. این شامل راه‌حل‌های مبتنی بر داده‌ها برای ارزیابی ریسک، مدیریت حادثه و تست انعطاف‌پذیری است. برای اطمینان از گزارش دقیق تر، راه حل های خودکار باید در نظر گرفته شود تا به ساده سازی فرآیندها و کاهش تلاش های دستی کمک کند.

توسعه اعتماد و شفافیت: برای اینکه اعتماد وجود داشته باشد، سازمان‌ها باید در راستای NIS2 و DORA نحوه مدیریت کسب‌وکار داده‌ها و اطلاعات شخصی از جمله نحوه ایمن شدن آن‌ها را به اشتراک بگذارند. ارائه این اطلاعات به تقویت ابتکارات امنیتی سایبری گسترده تر کمک می کند. یک پاسخ امنیتی قوی فراتر از حفاظت از داده ها است و شامل تنظیم کننده ها، کارمندان ، مصرف کنندگان و غیره می شود. پس ، تبعیت مداوم می تواند به معنای تفاوت بین شر ضروری و شریک مورد اعتماد باشد.

تبدیل چالش های انطباق به فرصت ها

با توجه به مهلت‌های نهایی رویکرد NIS2 و DORA، اتخاذ یک رویکرد یکپارچه برای مدیریت ریسک، گزارش‌دهی حوادث، آزمایش انعطاف‌پذیری، فناوری و موارد دیگر، می‌تواند به سازمان‌ها کمک کند تا به طور موثر در چشم‌انداز نظارتی حرکت کنند. هدف فقط پیروی از این چارچوب ها نیست، بلکه استفاده از آنها به عنوان کاتالیزور برای افزایش وضعیت امنیتی کلی و انعطاف پذیری عملیاتی است.

ما بهترین ابزارهای نظارت بر شبکه را فهرست کرده ایم.

این مقاله به عنوان بخشی از کانال Expert Insights TechRadarPro تهیه شده است که در آن بهترین و باهوش ترین ذهن ها در صنعت فناوری امروز را معرفی می کنیم. نظرات بیان شده در اینجا نظرات نویسنده است و لزوماً نظرات TechRadarPro یا Future plc نیست. اگر علاقه مند به مشارکت هستید، اطلاعات بیشتری را در اینجا بیابید: https://www.techradar.com/news/submit-your-story-to-techradar-pro