Raport specjalny Bezpieczeństwo banków 2017: Mały damski pistolecik

Krzysztof Maciejewski

Zaprawdę słuszne i zbawienne jest walczyć z globalną mafią hakerów i cybernetycznych przestępców. Niebawem więc państwa europejskie otrzymają (niekoniecznie za darmo) zupełnie nowy oręż, którym będą mogły się posłużyć. Czy raczej, którym będą musiały to robić. Chodzi oczywiście o słynną dyrektywę NIS, czyli nowe zasady ochrony informacji krytycznych. Za tym anglojęzycznym skrótem (Network and Information Security Directive) kryje się przepis 2016/1148/UE, dotyczący bezpieczeństwa sieci teleinformatycznych i przetwarzanych w nich informacji, który w przyspieszonym tempie zatwierdził zarówno Parlament Europejski, jak i rządy państw unijnych

Unijne unisono

Zgodnie z dokumentem podpisanym 6 lipca 2016 r. państwa członkowskie uzyskały 21 miesięcy na wdrożenie nowego prawa do przepisów krajowych oraz 6 miesięcy na określenie dostawców kluczowych usług. Nowe unijne standardy obligują m.in. firmy i instytucje do upubliczniania informacji o zaistniałych atakach cybernetycznych. Dyrektywa była wyczekiwana od bardzo dawna, a jej treść została uzgodniona i ogłoszona przez Radę Europy jeszcze w grudniu 2015 r. Zdaniem niektórych obserwatorów, najważniejszym elementem tej dyrektywy jest jej powszechność – oto bowiem klauzula implementacji w ciągu 21 miesięcy obowiązywać ma wszystkie kraje członkowskie.

Tylko teoretycznie czasu mamy dużo – wszak obejmuje ona wszystkie organizacje należące do sektorów, w których przedsiębiorcy świadczą usługi istotne z perspektywy bezpieczeństwa wewnętrznego. Co więcej, dyrektywa dotyczy nie tylko instytucji państwowych, lecz także komercyjnych, będących krytycznymi z punktu widzenia poszczególnych państw. To oznacza, że wpływa na takie sektory, jak bankowość, finanse, wytwarzanie i dystrybucja energii, transport, opieka zdrowotna, usługi internetowe i administracja publiczna i… można by jeszcze trochę wymieniać.

Z czym ta walka?

Skalę problemu z cyberprzestępczością ilustruje wiele bardzo alarmujących raportów. Weźmy chociażby „2016 Security Report”, przygotowany przez firmę Check Point Software Technologies. Wynika z niego, że w przeciętnym przedsiębiorstwie co 4 sekundy ściągane jest nieznane złośliwe oprogramowanie, co 32 minuty dane wrażliwe wysyłane są poza firmowe serwery, a straty firm zwią...