Mikill fjöldi fyrirtækja með ófullnægjandi netvarnir Lovísa Arnardóttir skrifar 8. október 2024 13:47 Unnur Kristín Sveinbjarnardóttir, sviðsstjóri stafræns öryggis hjá Fjarskiptastofu segir mikla aukna ábyrgð á stjórnendum fylgja tilskipuninni. Mynd/Valgarður Gíslason Sviðsstjóri hjá Fjarskiptastofu segir nýja Evróputilskipun um netöryggi setja ríkari skyldur á stjórnendur stofnanna og fyrirtækja að tryggja að fram fari áhættumat á netöryggi. Gert er ráð fyrir að innleiðingu ljúki á Íslandi 2026. Hér á landi er talið að lítið sé vitað um fjölda netárása á ári. Ný Evróputilskipun um netöryggi (NIS2) tekur gildi í aðildarríkjum Evrópusambandsins 18. október næstkomandi. Með tilkomu hennar verða fyrirtæki og stofnanir sem falla undir nauðsynlega og mikilvæga starfsemi skyldug til að tryggja að birgjar og þjónustuaðilar fylgi ströngum öryggiskröfum og stjórnendur bera ábyrgð á því að svo sé gert. Netöryggisráðstefna Fjarskiptastofu fór fram á Hilton Reykjavík Nordica. Í opnunarávarpi sínu sagði Hrafnkell V. Gíslason, forstjóri Fjarskiptastofu, það hlutverk stofnunarinnar að framfylgja regluverki varðandi netöryggi á Íslandi. Hann sagði undirbúning við innleiðingu NIS2 vera hafinn hér á landi, Fjarskiptastofa leggi áherslu að innleiðing muni vonandi eiga sér stað árið 2026. Hrafnkell sagði í ávarpi sínu mikilvægt að auka samstarf aðila sem koma að netöryggi á Íslandi, um þjóðaröryggismál sé að ræða. Sem dæmi segir Hrafnkell að um þriðjungur þeirra fyrirtækja sem falla undir fyrri tilskipunina, NIS1, sé með ófullnægjandi stöðu varðandi stjórnunarkerfi netöryggis. Þau fyrirtæki sem féllu undir fyrri tilskipun eru um 80 en í nýju tilskipuninni margfaldast fjöldinn. Þá sagði Hrafnkell nágrannaríki okkar greina um 100 APT nettatvik á ári og hérlendis uppgötvist um fimm slík atvik árlega. Ástæðan sé ekki að fjöldi árása sé fátíðari hér, heldur vitum við bara ekki af þeim. APT netatvik eru árásir vel skipulagðra hópa sem nota háþróaðar aðgerðir til að komast inn í mikilvæg kerfi, stela upplýsingum og valda tjóni. Meira samstarf „Þetta er tilskipun sem er sett í desember 2022 og er grundvallarlöggjöf sem er sett til að fylgja eftir nýrri netöryggisstefnu Evrópusambandsins, sem er sett á sama tíma. Henni er ætlað að lyfta netöryggisstigi álfunnar upp,“ segir Unnur Kristín Sveinbjarnardóttir, sviðsstjóri stafræns öryggis hjá Fjarskiptastofu. Hér er yfirlitstafla yfir svið atvinnulífsins sem falla undir. Ath skiptist í tvo flokka en sömu kröfur gilda um þá en eftirlit með þeim er eilítið ólíkt. Það er meira fyrir „nauðsynlega aðila“ Hún segir tilskipunina ekki bara ná til krítískra innviða á markaði heldur setji hún einnig kröfur á aðildarríkin sjálf. „Þá gerir hún einnig kröfu um nokkuð mikið samstarf milli aðildarríkja og netöryggisstofnanna í stórum netatvikum eða netárásum.“ Unnur segir að nýja tilskipunin margfaldi umfang aðila á markaði miðað við fyrri tilskipun. Það séu settar auknar kröfur á margfalt fleiri aðila. Í dag séu um 70 til 80 fyrirtæki skilgreind sem mikilvægir innviðir en með innleiðingu þessarar tilskipunar verðiþau mörg hundruð. „Það er verið að taka alla opinbera aðila, opinberar stofnanir og einhverjar stofnanir á sveitarstjórnarstigi inn í þetta líka. Þetta verður einhver bylgja,“ segir Unnur og sömuleiðis fyrirtæki innan ákveðinna sviða sem eru með fleiri en 50 í vinnu, en sum fyrirtæki falli undir hana óháð stærð. Eins og til dæmis fjarskiptafyrirtæki og fyrirtæki sem veita þjónustu á sviði rafrænna undirskrifta. Innleiðing síðar á Íslandi Tilskipunin tekur gildi í Evrópu í næstu viku, 18. október, og er að sögn hennar sem dæmi gert ráð fyrir að við það muni 30 þúsund fyrirtæki í Þýskalandi falla undir hana og fleiri á Ítalíu. Unnur segir flest aðildarríki Evrópusambandsins ljúka innleiðingu tilskipunarinnar um áramót en Ísland muni gera það aðeins síðar. Það sé verið að vinna í frumvarpsdrögum en málið sé til dæmis ekki á þingmálaskrá ráðherra. Það sé því óljóst hvenær það gerist á Íslandi. „Tilskipunin mun hafa gríðarleg áhrif og í raun á alla sem eru að nýta sér einhverja upplýsingatækni í veitingu á sinni þjónustu,“ segir hún og nefnir sem dæmi heilbrigðisþjónustu, lyfjaframleiðslu, matvæladreifingu og öll fjarskiptafyrirtæki og gagnver. Um 300 manns sóttu ráðstefnuna sem fór fram í dag. Aðsend Unnur segir að í tilskipuninni sé einnig að finna ákvæði sem kveður á um skyldur stjórnenda. Að þeir beri ábyrgð á öllum netöryggisráðstöfunum eða -skipulagi og hafi yfirumsjón á innleiðingu. Þetta sé nýtt ákvæði. „Það er gerð krafa um að þeir hafi ákveðna getu og þekkingu til þess að meta áhættu og áhrif af netógnum á reksturinn.“ Hún segir þung viðurlög við þessu eins og hefðbundnar sektir eða fyrirmæli en stjórnvöld geti líka leyst frá skyldum á meðan er verið að bæta úr. „Það er verið að setja þetta á annað stig innan Evrópu.“ Símboðaárásin dæmi um alvarlega birgjakeðjuárás Netöryggisráðstefnan var tvískipt. Í fyrri hluta var fjallað um ábyrgð stjórnenda en í seinni hluta, eftir hádegi, var fjallað um netöryggi innan stjórna fyrirtækja og birgjakeðjuöryggi. „Öryggi birgjakeðju eru kannski orð sem fólk skilur ekki í fyrstu en það eru allir þjónustuaðilarnir sem þú hefur. Fyrir til dæmis fjarskiptafyrirtækin eru það Huawei og Ericson,“ segir Unnur. Hún segir Crowdstrike árásina í sumar vera árás á birgi. „Við finnum að það þarf að árétta að sá sem rekur þjónustuna ber að fullu ábyrgð á því að áhættumeta alla þjónustuaðila inni í sína virðiskeðju þjónustu. Þú ert að veita þjónustu og ert með þrjá til fimm birgja og þú getur ekki valið þetta blind. Þú þarft að taka þetta inn í netöryggisskipulagið þitt og áhættumatið. Símboðaárásin í Líbanon er kannski nýjasta á alvarlegasta dæmi um birgjakeðjuárás, þar sem birgjakeðjunni var stofnað í hættu einhver staðar á leiðinni. Þetta er ekki bara kerfið, þetta er líka allur búnaðurinn.“ Hvað varðar upplýsingar og fræðslu um tilskipunina segir Unnur Fjarskiptastofnun á fleygiferð við að útbúa efni. Það sé mikil eftirspurn eftir upplýsingum og sem dæmi hafi verið um 300 skráðir á ráðstefnuna í dag. „Eins og er þetta bara leiðinlegur lagatexti á heimasíðu Evrópusambandsins en við erum að reyna að bregðast við með viðburðum eins og þessum.“ Tækni Fjarskipti Evrópusambandið Netglæpir Netöryggi Mest lesið ORA svarar fyrir fiskbúðinginn: „Stundum þarf bara pung í að gera breytingar“ Neytendur Segir stjórnendur ætla að skilja skuldirnar eftir á Íslandi Viðskipti innlent „Hef engar upplýsingar um að eitthvað óeðlilegt hafi átt sér stað“ Viðskipti innlent 208 sagt upp í fimm hópuppsögnum Viðskipti innlent Samkaup eignast 38 prósenta hlut í Kjötkompaní Viðskipti innlent Einar rýfur þögnina: Vísar kenningum um fléttu á bug Viðskipti innlent Einn stofnenda Play og Leifur í framkvæmdastjórn Icelandair Viðskipti innlent Íþróttafræðin inn á vinnustaðinn: Yfirmenn ekki lengur alvitri einhyrningurinn Atvinnulíf Eiríkur Orri til Ofar Viðskipti innlent Spá óbreyttum stýrivöxtum í næstu viku Viðskipti innlent Fleiri fréttir „Það er kennitöluflakk í skilgreiningu sinni“ Einar rýfur þögnina: Vísar kenningum um fléttu á bug Bein útsending: Ársfundur atvinnulífsins Spá óbreyttum stýrivöxtum í næstu viku „Hef engar upplýsingar um að eitthvað óeðlilegt hafi átt sér stað“ 208 sagt upp í fimm hópuppsögnum Einn stofnenda Play og Leifur í framkvæmdastjórn Icelandair Eiríkur Orri til Ofar Samkaup eignast 38 prósenta hlut í Kjötkompaní Segir stjórnendur ætla að skilja skuldirnar eftir á Íslandi „Það verður andskoti flókið“ Kaupfélagið á bak við risaviðskipti í Iceland Seafood Múlakaffi nýtir farþegamiðstöðina yfir veturinn „Við munum gæta réttar kröfuhafa í hvívetna“ Viðkvæm staða í björgunaraðgerðum Play Europe Horfa fram á tugmilljarða samdrátt og bíða í ofvæni eftir loðnufréttum Hætti korteri eftir peppfund með Möltufólkinu Isavia gefur strandaglópum engin grið Ásgeir og Darri til Landslaga Sahara og Olís tilnefnd til tvennra alþjóðlegra verðlauna Hvetur stjórnvöld til að veita ferðaskrifstofum lán eins og í Covid Búið að greiða laun og barnabætur Stefna á að hefja starfsemi á Möltu innan tíu vikna Snaps teygir anga sína út á Hlemm „Það er svo langt síðan að við höfðum ekki trú á Play“ Arnar Þór og Unnur Lilja skipta búi Play Bændaferðir færa sig í skemmtiferðasiglingar Fallið frá kröfum um neyðarfjarskipti á hálendinu Play með sex prósent flugsæta til og frá landinu Hrun í makríl og kolmunna Sjá meira
Ný Evróputilskipun um netöryggi (NIS2) tekur gildi í aðildarríkjum Evrópusambandsins 18. október næstkomandi. Með tilkomu hennar verða fyrirtæki og stofnanir sem falla undir nauðsynlega og mikilvæga starfsemi skyldug til að tryggja að birgjar og þjónustuaðilar fylgi ströngum öryggiskröfum og stjórnendur bera ábyrgð á því að svo sé gert. Netöryggisráðstefna Fjarskiptastofu fór fram á Hilton Reykjavík Nordica. Í opnunarávarpi sínu sagði Hrafnkell V. Gíslason, forstjóri Fjarskiptastofu, það hlutverk stofnunarinnar að framfylgja regluverki varðandi netöryggi á Íslandi. Hann sagði undirbúning við innleiðingu NIS2 vera hafinn hér á landi, Fjarskiptastofa leggi áherslu að innleiðing muni vonandi eiga sér stað árið 2026. Hrafnkell sagði í ávarpi sínu mikilvægt að auka samstarf aðila sem koma að netöryggi á Íslandi, um þjóðaröryggismál sé að ræða. Sem dæmi segir Hrafnkell að um þriðjungur þeirra fyrirtækja sem falla undir fyrri tilskipunina, NIS1, sé með ófullnægjandi stöðu varðandi stjórnunarkerfi netöryggis. Þau fyrirtæki sem féllu undir fyrri tilskipun eru um 80 en í nýju tilskipuninni margfaldast fjöldinn. Þá sagði Hrafnkell nágrannaríki okkar greina um 100 APT nettatvik á ári og hérlendis uppgötvist um fimm slík atvik árlega. Ástæðan sé ekki að fjöldi árása sé fátíðari hér, heldur vitum við bara ekki af þeim. APT netatvik eru árásir vel skipulagðra hópa sem nota háþróaðar aðgerðir til að komast inn í mikilvæg kerfi, stela upplýsingum og valda tjóni. Meira samstarf „Þetta er tilskipun sem er sett í desember 2022 og er grundvallarlöggjöf sem er sett til að fylgja eftir nýrri netöryggisstefnu Evrópusambandsins, sem er sett á sama tíma. Henni er ætlað að lyfta netöryggisstigi álfunnar upp,“ segir Unnur Kristín Sveinbjarnardóttir, sviðsstjóri stafræns öryggis hjá Fjarskiptastofu. Hér er yfirlitstafla yfir svið atvinnulífsins sem falla undir. Ath skiptist í tvo flokka en sömu kröfur gilda um þá en eftirlit með þeim er eilítið ólíkt. Það er meira fyrir „nauðsynlega aðila“ Hún segir tilskipunina ekki bara ná til krítískra innviða á markaði heldur setji hún einnig kröfur á aðildarríkin sjálf. „Þá gerir hún einnig kröfu um nokkuð mikið samstarf milli aðildarríkja og netöryggisstofnanna í stórum netatvikum eða netárásum.“ Unnur segir að nýja tilskipunin margfaldi umfang aðila á markaði miðað við fyrri tilskipun. Það séu settar auknar kröfur á margfalt fleiri aðila. Í dag séu um 70 til 80 fyrirtæki skilgreind sem mikilvægir innviðir en með innleiðingu þessarar tilskipunar verðiþau mörg hundruð. „Það er verið að taka alla opinbera aðila, opinberar stofnanir og einhverjar stofnanir á sveitarstjórnarstigi inn í þetta líka. Þetta verður einhver bylgja,“ segir Unnur og sömuleiðis fyrirtæki innan ákveðinna sviða sem eru með fleiri en 50 í vinnu, en sum fyrirtæki falli undir hana óháð stærð. Eins og til dæmis fjarskiptafyrirtæki og fyrirtæki sem veita þjónustu á sviði rafrænna undirskrifta. Innleiðing síðar á Íslandi Tilskipunin tekur gildi í Evrópu í næstu viku, 18. október, og er að sögn hennar sem dæmi gert ráð fyrir að við það muni 30 þúsund fyrirtæki í Þýskalandi falla undir hana og fleiri á Ítalíu. Unnur segir flest aðildarríki Evrópusambandsins ljúka innleiðingu tilskipunarinnar um áramót en Ísland muni gera það aðeins síðar. Það sé verið að vinna í frumvarpsdrögum en málið sé til dæmis ekki á þingmálaskrá ráðherra. Það sé því óljóst hvenær það gerist á Íslandi. „Tilskipunin mun hafa gríðarleg áhrif og í raun á alla sem eru að nýta sér einhverja upplýsingatækni í veitingu á sinni þjónustu,“ segir hún og nefnir sem dæmi heilbrigðisþjónustu, lyfjaframleiðslu, matvæladreifingu og öll fjarskiptafyrirtæki og gagnver. Um 300 manns sóttu ráðstefnuna sem fór fram í dag. Aðsend Unnur segir að í tilskipuninni sé einnig að finna ákvæði sem kveður á um skyldur stjórnenda. Að þeir beri ábyrgð á öllum netöryggisráðstöfunum eða -skipulagi og hafi yfirumsjón á innleiðingu. Þetta sé nýtt ákvæði. „Það er gerð krafa um að þeir hafi ákveðna getu og þekkingu til þess að meta áhættu og áhrif af netógnum á reksturinn.“ Hún segir þung viðurlög við þessu eins og hefðbundnar sektir eða fyrirmæli en stjórnvöld geti líka leyst frá skyldum á meðan er verið að bæta úr. „Það er verið að setja þetta á annað stig innan Evrópu.“ Símboðaárásin dæmi um alvarlega birgjakeðjuárás Netöryggisráðstefnan var tvískipt. Í fyrri hluta var fjallað um ábyrgð stjórnenda en í seinni hluta, eftir hádegi, var fjallað um netöryggi innan stjórna fyrirtækja og birgjakeðjuöryggi. „Öryggi birgjakeðju eru kannski orð sem fólk skilur ekki í fyrstu en það eru allir þjónustuaðilarnir sem þú hefur. Fyrir til dæmis fjarskiptafyrirtækin eru það Huawei og Ericson,“ segir Unnur. Hún segir Crowdstrike árásina í sumar vera árás á birgi. „Við finnum að það þarf að árétta að sá sem rekur þjónustuna ber að fullu ábyrgð á því að áhættumeta alla þjónustuaðila inni í sína virðiskeðju þjónustu. Þú ert að veita þjónustu og ert með þrjá til fimm birgja og þú getur ekki valið þetta blind. Þú þarft að taka þetta inn í netöryggisskipulagið þitt og áhættumatið. Símboðaárásin í Líbanon er kannski nýjasta á alvarlegasta dæmi um birgjakeðjuárás, þar sem birgjakeðjunni var stofnað í hættu einhver staðar á leiðinni. Þetta er ekki bara kerfið, þetta er líka allur búnaðurinn.“ Hvað varðar upplýsingar og fræðslu um tilskipunina segir Unnur Fjarskiptastofnun á fleygiferð við að útbúa efni. Það sé mikil eftirspurn eftir upplýsingum og sem dæmi hafi verið um 300 skráðir á ráðstefnuna í dag. „Eins og er þetta bara leiðinlegur lagatexti á heimasíðu Evrópusambandsins en við erum að reyna að bregðast við með viðburðum eins og þessum.“
Tækni Fjarskipti Evrópusambandið Netglæpir Netöryggi Mest lesið ORA svarar fyrir fiskbúðinginn: „Stundum þarf bara pung í að gera breytingar“ Neytendur Segir stjórnendur ætla að skilja skuldirnar eftir á Íslandi Viðskipti innlent „Hef engar upplýsingar um að eitthvað óeðlilegt hafi átt sér stað“ Viðskipti innlent 208 sagt upp í fimm hópuppsögnum Viðskipti innlent Samkaup eignast 38 prósenta hlut í Kjötkompaní Viðskipti innlent Einar rýfur þögnina: Vísar kenningum um fléttu á bug Viðskipti innlent Einn stofnenda Play og Leifur í framkvæmdastjórn Icelandair Viðskipti innlent Íþróttafræðin inn á vinnustaðinn: Yfirmenn ekki lengur alvitri einhyrningurinn Atvinnulíf Eiríkur Orri til Ofar Viðskipti innlent Spá óbreyttum stýrivöxtum í næstu viku Viðskipti innlent Fleiri fréttir „Það er kennitöluflakk í skilgreiningu sinni“ Einar rýfur þögnina: Vísar kenningum um fléttu á bug Bein útsending: Ársfundur atvinnulífsins Spá óbreyttum stýrivöxtum í næstu viku „Hef engar upplýsingar um að eitthvað óeðlilegt hafi átt sér stað“ 208 sagt upp í fimm hópuppsögnum Einn stofnenda Play og Leifur í framkvæmdastjórn Icelandair Eiríkur Orri til Ofar Samkaup eignast 38 prósenta hlut í Kjötkompaní Segir stjórnendur ætla að skilja skuldirnar eftir á Íslandi „Það verður andskoti flókið“ Kaupfélagið á bak við risaviðskipti í Iceland Seafood Múlakaffi nýtir farþegamiðstöðina yfir veturinn „Við munum gæta réttar kröfuhafa í hvívetna“ Viðkvæm staða í björgunaraðgerðum Play Europe Horfa fram á tugmilljarða samdrátt og bíða í ofvæni eftir loðnufréttum Hætti korteri eftir peppfund með Möltufólkinu Isavia gefur strandaglópum engin grið Ásgeir og Darri til Landslaga Sahara og Olís tilnefnd til tvennra alþjóðlegra verðlauna Hvetur stjórnvöld til að veita ferðaskrifstofum lán eins og í Covid Búið að greiða laun og barnabætur Stefna á að hefja starfsemi á Möltu innan tíu vikna Snaps teygir anga sína út á Hlemm „Það er svo langt síðan að við höfðum ekki trú á Play“ Arnar Þór og Unnur Lilja skipta búi Play Bændaferðir færa sig í skemmtiferðasiglingar Fallið frá kröfum um neyðarfjarskipti á hálendinu Play með sex prósent flugsæta til og frá landinu Hrun í makríl og kolmunna Sjá meira