iStock Photo Getty Images +
Raportul subliniază preocupările legate de o serie de riscuri, inclusiv riscurile la adresa securității lanțului de aprovizionare, lipsa profesioniștilor din domeniul cibernetic și riscurile generate de activitățile răuvoitoare ale infractorilor cibernetici și ale actorilor din domeniul amenințărilor sponsorizați de stat.
Evaluarea riscurilor a identificat mai detaliat riscurile tehnice și netehnice. Atât în sectorul telecomunicațiilor, cât și în cel al energiei electrice, riscurile legate de lanțul de aprovizionare rămân principala preocupare, în special în ceea ce privește implementarea tehnologiei 5G și infrastructurile de energie din surse regenerabile. Ransomware-ul, dispozitivele de ștergere a datelor și exploatarea vulnerabilităților de tip „zero-day” au fost, de asemenea, identificate ca fiind preocupări permanente, dar presante, în ambele sectoare, în special în ceea ce privește tehnologia operațională.
Pentru sectorul energiei electrice, riscul cel mai critic identificat este reprezentat de persoanele răuvoitoare din interior, stimulate de dificultatea de a verifica în mod adecvat personalul nou și de a atrage talente locale în materie de securitate cibernetică. În sectorul telecomunicațiilor, printre principalele amenințări se numără atacurile prin intermediul infrastructurilor de roaming și atacurile care provin de la rețele bot de mari dimensiuni.
În plus, sabotajul fizic al infrastructurii de cablu și bruierea semnalelor prin satelit au fost identificate ca riscuri specifice care sunt deosebit de dificil de atenuat.
Pentru a atenua aceste riscuri, raportul prezintă o serie de recomandări în 4 domenii care necesită îmbunătățiri, care pot fi rezumate după cum urmează:
- Reziliența și poziția în materie de securitate cibernetică pot fi îmbunătățite prin schimbul de bune practici privind atenuarea ransomware-ului, monitorizarea vulnerabilității, securitatea resurselor umane și gestionarea activelor. În plus, trebuie intensificată cooperarea cu rețeaua tehnică a statelor membre, cu Centrul de răspuns la incidente de securitate informatică (CSIRT),cu autoritățile de aplicare a legii și cu partenerii internaționali. Statele membre ar trebui să efectueze autoevaluări suplimentare pentru sectoare, în conformitate cu Directiva NIS2 și cu Directiva REC.
- Conștientizarea colectivă a situației cibernetice și schimbul de informații trebuie îmbunătățite și trebuie să includă contextul geopolitic, potențialele prejudicii fizice și dezinformarea.
- Planificarea pentru situații de urgență, gestionarea crizelor și colaborarea operațională trebuie îmbunătățite prin scurtarea liniilor dintre sectoare și autoritățile de securitate cibernetică în cadrul procedurilor.
- Securitatea lanțului de aprovizionare ar trebui abordată în continuare prin evaluări subsecvente ale dependențelor de furnizorii din țări terțe cu grad ridicat de risc și prin dezvoltarea unui cadru al UE pentru securitatea lanțului de aprovizionare.
Având în vedere caracterul critic al infrastructurilor și rețelelor care intră în domeniul de aplicare al prezentului raport și având în vedere evoluția rapidă a peisajului amenințărilor și fără a aduce atingere competențelor statelor membre în ceea ce privește securitatea națională, statele membre, Comisia și ENISA sunt încurajate să pună în aplicare aceste măsuri de consolidare a rezilienței cât mai curând posibil, pe baza lucrărilor care au început deja cu privire la punerea în aplicare a unora dintre recomandări.
Descărcați raportul de mai jos pentru mai multe informații.
Contextul
În concluziile sale privind dezvoltarea poziției cibernetice a Uniunii Europene din 23 mai 2022, Consiliul „invită Comisia, Înaltul Reprezentant și Grupul de cooperare NIS, în coordonare cu organismele și agențiile civile și militare relevante și cu rețelele instituite, inclusiv EU CyCLONe, să efectueze o evaluare a riscurilor și să elaboreze scenarii de risc din perspectiva securității cibernetice într-o situație de amenințare sau de posibil atac împotriva statelor membre sau a țărilor partenere și să le prezinte organismelor relevante ale Consiliului”.
În plus, în concluziile sale din 23 mai 2023 privind politica UE în domeniul apărării cibernetice, Consiliul „invită actorii sus-menționați să se asigure că evaluările riscurilor, scenariile și recomandările ulterioare sunt luate în considerare atunci când se definesc și se acordă prioritate măsurilor și sprijinului, la nivelul UE și, după caz, la nivel național”. În plus, Consiliul solicită ca „scenariile de risc să fie luate în considerare de toți actorii relevanți în procesele de evaluare a riscurilor, precum și în dezvoltarea exercițiilor cibernetice”.
Evaluarea riscurilor vine în continuarea unui raport recent privind securitatea cibernetică și reziliența infrastructurilor și rețelelor de comunicații ale UE, care a fost publicat în februarie 2024.
Puteți citi mai multe informații despre politicile de securitate cibernetică.