Thực thi NIS2: Những khoản phạt đầu tiên đã đến, và đó chỉ là khởi đầu

Điều gì đã xảy ra

Trong nhiều năm, Chỉ thị NIS2 là một rào cản pháp lý đáng kể, nhưng trừu tượng, đối với các tổ chức châu Âu. Với mức phạt trần lên tới 10 triệu euro hoặc 2% doanh thu hàng năm toàn cầu, tác động tiềm tàng của nó là rõ ràng, nhưng ý nghĩa thực tế của việc thực thi vẫn còn mang tính lý thuyết. Điều đó đã thay đổi đáng kể vào mùa hè này. Các hình phạt ban đầu hiện đã được ghi nhận ở một số quốc gia thành viên, báo hiệu một sự thay đổi rõ ràng. Một số quốc gia đã ban hành các hình phạt dao động từ khoảng 52.000 euro đến 450.000 euro.

Ngoài các hình phạt tài chính, Ủy ban châu Âu đã chính thức nâng cao lập trường của mình. Ủy ban đã hành động chống lại một số quốc gia thành viên vì đã không chuyển đổi hoàn toàn chỉ thị thành luật quốc gia trước thời hạn tháng 10 năm 2024. Động thái này nhấn mạnh cam kết của Ủy ban trong việc đảm bảo tuân thủ rộng rãi, ngay cả đối với một số nền kinh tế lớn nhất của EU.

Hoạt động giám sát, trên thực tế, đang vượt xa các khoản phạt. Các cơ quan quản lý ở một số quốc gia đã ban hành nhiều lệnh giám sát chính thức. Các chương trình kiểm toán đang hoạt động ở một số lượng đáng kể các quốc gia thành viên, ban đầu nhắm mục tiêu vào các thực thể thiết yếu. Điều này cho thấy một bối cảnh thực thi chủ động, trong đó việc không có khoản phạt chỉ có nghĩa là giám sát viên chưa tiếp cận được tổ chức cụ thể đó, không nhất thiết là tổ chức đó đã tuân thủ.

Tại sao mô hình này cứ lặp đi lặp lại

Mô hình không tuân thủ và thực thi liên tục xuất phát từ một số thách thức cốt lõi mà các tổ chức phải đối mặt. Một vấn đề chính là sự phức tạp của bối cảnh pháp lý. NIS2, GDPR, ISO 27001, DORA và SOC 2 đều đưa ra các yêu cầu riêng biệt, thường có các nhiệm vụ chồng chéo nhưng không hoàn toàn phù hợp. Việc quản lý đồng thời nhiều khuôn khổ là quá sức đối với nhiều nhà lãnh đạo bảo mật.

Một yếu tố quan trọng khác là thời hạn chặt chẽ do các quy định này đặt ra. NIS2 đã có hiệu lực, và DORA sẽ áp dụng từ tháng 1 năm 2025. Các tổ chức đang gấp rút đạt được sự tuân thủ, thường dưới áp lực rất lớn, với thời gian hạn chế để thực hiện các thay đổi toàn diện. Sự vội vàng này có thể dẫn đến sự tuân thủ hời hợt hơn là những cải tiến bảo mật sâu sắc.

Hơn nữa, có một sự thiếu hụt nghiêm trọng về chuyên môn GRC chuyên biệt. Xây dựng năng lực tuân thủ nội bộ mất nhiều năm, một điều xa xỉ mà nhiều tổ chức không có. Khoảng cách tài năng này thường khiến các tổ chức không được trang bị đầy đủ để điều hướng các sắc thái của các chỉ thị như NIS2, không chỉ mở rộng phạm vi của các thực thể được bảo hiểm mà còn chuyển trách nhiệm giải trình. Ví dụ, Điều 20, yêu cầu rõ ràng các cơ quan quản lý phải phê duyệt các biện pháp quản lý rủi ro an ninh mạng và giám sát việc thực hiện chúng.

Sự chuyển đổi từ chỉ thị trừu tượng sang thực thi tích cực cho thấy sự đánh giá thấp phổ biến về cả phạm vi và yêu cầu chi tiết của NIS2.

Kế hoạch tấn công của kẻ tấn công từng bước

Trong khi chỉ thị NIS2 tập trung vào các biện pháp phòng thủ và trách nhiệm giải trình, việc thực thi nó làm nổi bật các lỗ hổng mà kẻ tấn công thường xuyên khai thác. Kế hoạch tấn công của kẻ tấn công chống lại các thực thể không tuân thủ thường bắt đầu bằng việc trinh sát. Chúng quét các tài sản bị lộ công khai, xác định các tổ chức thuộc phạm vi của NIS2, đặc biệt là những tổ chức trong các lĩnh vực quan trọng. Chỉ thị bao gồm một số lượng lớn các thực thể, tạo ra một nhóm mục tiêu rộng lớn.

Tiếp theo, kẻ tấn công thường khai thác các điểm yếu chung do các lỗ hổng tuân thủ làm trầm trọng thêm. Điều này bao gồm việc khai thác các hệ thống chưa được vá lỗi, dịch vụ bị cấu hình sai và kiểm soát truy cập yếu, tất cả các lĩnh vực mà NIS2 yêu cầu quản lý rủi ro mạnh mẽ. Điểm mù SAP, chẳng hạn, là một lỗ hổng đã biết, nơi các hệ thống kinh doanh quan trọng thường thiếu sự giám sát an ninh đầy đủ, khiến chúng trở thành mục tiêu chính cho những kẻ tấn công tinh vi tìm cách phá vỡ hoạt động hoặc đánh cắp dữ liệu nhạy cảm. Một số lỗ hổng nghiêm trọng đã bị khai thác trong thực tế, chứng minh tác động thực tế của những sai sót đó.

Cuối cùng, kẻ tấn công nhắm mục tiêu vào việc gián đoạn hoạt động hoặc đánh cắp dữ liệu, biết rằng việc một tổ chức thiếu sự chuẩn bị, được chỉ ra bởi việc không tuân thủ NIS2, cho thấy khả năng phát hiện và phản ứng chậm hơn. Các cuộc tấn công ransomware, chẳng hạn, phát triển mạnh trong các môi trường như vậy, dẫn đến các hệ thống ngoại tuyến và cơ sở hạ tầng quan trọng bị ảnh hưởng. Tiềm năng bị phạt 10 triệu euro vì không tuân thủ không đáng kể so với thiệt hại về hoạt động và danh tiếng từ một cuộc tấn công thành công.

Những gì người phòng thủ đã bỏ lỡ

Người phòng thủ chủ yếu đã bỏ lỡ chiều sâu tích hợp mà NIS2 yêu cầu. Nhiều tổ chức tập trung vào việc cập nhật tài liệu và chính sách, nhưng không thể chuyển đổi những điều này thành các tư thế bảo mật có thể hành động, có thể kiểm chứng được. Các chính sách tồn tại trên giấy nhưng thiếu nội dung, và các quy trình lỗi thời, là những lỗ hổng tài liệu phổ biến mà các kiểm toán viên dễ dàng xác định. Bằng chứng cho kiểm toán viên thường bị phân tán, khiến việc chứng minh sự tuân thủ toàn diện trở nên khó khăn.

Điều quan trọng là, sự nhấn mạnh của chỉ thị vào trách nhiệm giải trình, đặc biệt theo Điều 20, thường khiến các cơ quan quản lý bất ngờ. Điều này quy định rằng ban quản lý không chỉ phê duyệt các biện pháp quản lý rủi ro an ninh mạng mà còn phải tích cực giám sát việc thực hiện chúng. Điều này chuyển an ninh mạng từ một mối quan tâm hoàn toàn kỹ thuật thành một yêu cầu của hội đồng quản trị, một sự chuyển đổi mà nhiều tổ chức đã phải vật lộn.

Hơn nữa, nhiều tổ chức đã đánh giá thấp phạm vi của NIS2, không xác định chính xác liệu họ có đủ điều kiện là một thực thể "thiết yếu" hoặc "quan trọng" hay không. Phạm vi không rõ ràng này dẫn đến các nỗ lực thực hiện chậm trễ hoặc không đủ. Phạm vi rộng của chỉ thị, bao gồm các lĩnh vực từ năng lượng và giao thông vận tải đến chăm sóc sức khỏe và cơ sở hạ tầng kỹ thuật số, có nghĩa là một số lượng lớn các thực thể hiện nằm trong phạm vi của nó, nhiều người trong số đó không quen với các yêu cầu an ninh mạng nghiêm ngặt như vậy.

Danh sách kiểm tra phòng thủ thực tế

• Thực hiện đánh giá phạm vi kỹ lưỡng: Xác định chính xác liệu tổ chức của bạn có phải là một thực thể "thiết yếu" hoặc "quan trọng" theo NIS2 và những quy định cụ thể nào áp dụng.
• Thực hiện quản lý rủi ro mạnh mẽ: Vượt ra ngoài các đánh giá rủi ro lý thuyết để đưa ra các biện pháp thực tế, có thể kiểm chứng để xác định, đánh giá và giảm thiểu rủi ro mạng.
• Tăng cường an ninh chuỗi cung ứng: Giải quyết các lỗ hổng phát sinh từ các nhà cung cấp bên thứ ba, vì NIS2 mở rộng trách nhiệm giải trình trên toàn bộ chuỗi cung ứng.
• Nâng cao khả năng báo cáo sự cố: Đảm bảo có các cơ chế báo cáo nhanh chóng và chính xác, phù hợp với thời hạn báo cáo nghiêm ngặt của NIS2.
• Đầu tư vào chuyên môn GRC: Xây dựng năng lực nội bộ hoặc thuê các chuyên gia bên ngoài để điều hướng bối cảnh pháp lý phức tạp một cách hiệu quả.
• Thường xuyên kiểm tra các biện pháp kiểm soát an ninh: Thực hiện xác thực liên tục các biện pháp an ninh để đảm bảo hiệu quả của chúng chống lại các mối đe dọa đang phát triển.
• Giáo dục và đào tạo ban quản lý: Đảm bảo lãnh đạo hiểu rõ trách nhiệm giải trình của họ theo Điều 20 và tích cực tham gia giám sát an ninh mạng.

Cách kiểm thử tấn công hiện đại đã phát hiện ra điều này

Kiểm thử tấn công hiện đại, đặc biệt là kiểm thử tấn công tự động với các PoC có thể thực thi, cung cấp một giải pháp chủ động để xác định các lỗ hổng mà NIS2 nhằm mục đích khắc phục. Các cuộc kiểm toán tuân thủ truyền thống thường dựa vào việc xem xét tài liệu và đánh giá tĩnh, điều này có thể không tiết lộ các điểm yếu có thể khai thác thực tế. Nền tảng của chúng tôi, với các khuôn khổ của nó, tự động mô phỏng các kịch bản tấn công thực tế chống lại cơ sở hạ tầng của một tổ chức.

Cách tiếp cận này sẽ phát hiện ra "điểm mù SAP" bằng cách chủ động kiểm tra các hệ thống kinh doanh quan trọng để tìm lỗ hổng. Nó sẽ tạo ra các Bằng chứng Khái niệm (PoC) có thể thực thi cho các điểm yếu đã xác định, chứng minh chính xác cách kẻ tấn công có thể khai thác chúng. Điều này cung cấp bằng chứng không thể chối cãi về một lỗ hổng bảo mật, cho phép các tổ chức khắc phục trước khi kiểm toán viên hoặc, quan trọng hơn, kẻ tấn công tìm thấy nó.

Kiểm thử như vậy vượt ra ngoài sự tuân thủ lý thuyết, xác nhận hiệu quả của các biện pháp quản lý rủi ro trên thực tế. Nó sẽ làm nổi bật những thiếu sót trong kế hoạch ứng phó sự cố bằng cách mô phỏng các vi phạm và đánh giá khả năng phát hiện và ngăn chặn của tổ chức. Bằng cách cung cấp những hiểu biết cụ thể, có thể hành động với các PoC có thể thực thi, kiểm thử tấn công tự động cung cấp một con đường rõ ràng để không chỉ tuân thủ, mà còn là khả năng phục hồi thực sự chống lại các mối đe dọa mà NIS2 tìm cách giảm thiểu.

Những gì cần xem tiếp theo

Tương lai gần sẽ chứng kiến các hành động thực thi tăng cường. Các hành động của Ủy ban châu Âu chống lại một số quốc gia thành viên là một sự leo thang chính thức, không phải là một bước cuối cùng. Điều này báo hiệu rằng các quốc gia thành viên, và do đó các thực thể trong đó, sẽ phải đối mặt với áp lực ngày càng tăng để hoàn thành việc chuyển đổi và chứng minh sự tuân thủ.

Hãy mong đợi sự gia tăng liên tục của các lệnh giám sát và tiền phạt trên nhiều quốc gia thành viên hơn. Khi các chương trình kiểm toán trưởng thành và mở rộng từ các thực thể thiết yếu sang các thực thể quan trọng, nhiều tổ chức hơn sẽ bị giám sát. Các khoản phạt đã được ghi nhận có thể chỉ là làn sóng ban đầu, với các hình phạt lớn hơn và các hành động thực thi thường xuyên hơn được dự đoán khi chế độ này có đà.

Hơn nữa, trọng tâm sẽ chuyển từ tuân thủ ban đầu sang tuân thủ liên tục. Các tổ chức phải chuẩn bị cho các cuộc kiểm toán liên tục và thể hiện một tư thế an ninh mạng trưởng thành, thích ứng. Những bài học từ các khoản phạt ban đầu là rõ ràng: NIS2 không còn là một mối đe dọa xa vời mà là một thực tế pháp lý tích cực đòi hỏi sự chú ý ngay lập tức và bền vững từ các CISO và kỹ sư bảo mật trên khắp châu Âu.