Wyzwania Cyberbezpieczeństwa 2022 Perspektywa EY

DORA, czyli operacyjna cyfrowa odporność 

Digital Operational Resiliance Act (DORA) to projekt rozporządzenia Unii Europejskiej, która ma na celu ujednolicenie przepisów w zakresie cyfrowej odporności w krajach Wspólnoty. Regulacje, których finalna wersja powinna zostać opublikowana w pierwszym kwartale 2022 r., dotyczą sektora finansowego, ale jest on rozumiany bardzo szeroko. Obejmuje m.in. banki, ubezpieczycieli, przedsiębiorstwa inwestycyjne, ale także podmioty, z którymi ta gałąź gospodarki silnie współpracuje, takie jak firmy audytowe lub dostawcy rozwiązań informatycznych.  

Część organizacji może być przekonana, że założenia nowego rozporządzenia już sprawnie u nich funkcjonują. Jednak może to być złudne. DORA rzeczywiście dubluje niektóre obowiązki, ale nawet wtedy są one doprecyzowane np. w obszarze informowania o incydentach wynikających z KSC czy RODO. DORA ma to ujednolicić, usystematyzować i sprawić, by rozproszone obowiązki zaczęły obejmować cały sektor finansowy w spójnej formie. Zatem ich realizacja wymagać będzie zupełnie nowego spojrzenia. 

Najważniejsza różnica dotyczy poszerzenia listy podmiotów. Do tej pory obowiązki związane z zapewnieniem cyberbezpieczeństwa w sektorze finansowym dotyczyły niemal wyłącznie banków. Zgodnie z projektem zarządzania, lista podmiotów ulegnie poszerzeniu np. o ubezpieczycieli. Wprowadzona zostanie również kontrola zewnętrznych dostawców, na których bardzo mocno polega cały sektor finansowy. W rezultacie szczególnego znaczenia nabiera kontrola z jakich rozwiązań instytucja finansowa korzysta i komu dane firmy oraz jej klientów są powierzane. 

NIS2 – czyli dwa lata przed rewolucją 

W grudniu 2020 roku Komisja Europejska przedstawiła nowy pakiet rozwiązań, którego częścią jest dyrektywa w sprawie środków na rzecz poprawy wspólnego poziomu cyberbezpieczeństwa, nazywana NIS2.  

Propozycja KE wprowadza szereg zmian. Dyrektywą objęte zostaną zupełnie nowe branże takie jak, podmioty prowadzące działalność badawczo-rozwojową w zakresie produktów leczniczych, apteki, administracja publiczna, usługi pocztowe i kurierskie, gospodarowanie odpadami, a także produkcja i przetwarzanie żywności. Wiele z tych sektorów wcześniej nie miało obowiązków w zakresie, jakim jest cyberbezpieczeństwo i dlatego nie podejmowało działań w tym zakresie lub realizowało je w ograniczony sposób.  

NIS2 wprowadzi także dodatkowe obowiązki dla podmiotów, m.in. konieczność zapewnienia ciągłości działania i zarządzania kryzysowego, zapewnienie bezpieczeństwa łańcucha dostaw, obowiązek testowania procedur i audytów, a także konieczność wykorzystywania kryptografii i szyfrowania danych. Niewypełnienie obowiązków będzie skutkować bardzo wysokimi karami finansowymi — co najmniej 10 mln euro lub 2% całkowitego rocznego światowego obrotu przedsiębiorstwa. 

Razem z wprowadzonymi wymaganiami, wzrasta również zakres uprawnień organów kontrolnych i nadzorczych (organów właściwych ds. cyberbezpieczeństwa) Beda one miały możliwość podejmowania działań w zakresie m.in. kontrola na miejscu i nadzór zewnętrzny (również wyrywkowa), występowanie z wnioskiem o udzielenie informacji uważanych za niezbędne do oceny środków bezpieczeństwa lub wyznaczenie inspektora, który przez jakiś czas będzie monitorował ich realizację.  

Sztuczna inteligencja – zagrożenia związane ze zmianami regulacyjnymi 

Popularność rozwiązań opartych na sztucznej inteligencji zwiększa się błyskawicznie. Z jednej strony technologia ta stwarza ogromne korzyści i możliwości, z drugiej – wiążą się z nią ryzyka, którym należy zapobiegać poprzez wdrożenie odpowiednich mechanizmów kontrolnych. W zakresie zgodności z prawem należy mieć na uwadze podejście regulacyjne, w szczególności przygotowywane obecnie przepisy w Unii Europejskiej. 

W kwietniu 2021 roku opublikowano projekt rozporządzenia  - tzw. Akt o Sztucznej Inteligencji. W projekcie pojawia się pierwsza prawna definicja sztucznej inteligencji, wyznaczająca ramy do jakich systemów będą miały zastosowanie przepisy. Przedstawiony jest także katalog zakazanych praktyk. Definicję i zakres stosowania będą mogły być aktualizowane przez Komisję Europejską o nowe technologie i praktyki w miarę  rozwoju technologicznego. Rozporządzenie to będzie pierwszym tego typu unijnym, kompleksowym aktem prawnym regulującym sztuczną inteligencję. 

Podejście regulacyjne UE sprowadza się do określenia minimalnych wymogów niezbędnych do zapobiegania ryzykom i problemom związanym ze sztuczną inteligencją bez nadmiernego ograniczenia i utrudniania rozwoju technologii, a także bez kreowania nieuzasadnionych kosztów po stronie dostawców i użytkowników systemu. Ogólna zasada zakłada stopniowanie restrykcji zależnie od ryzyka – im większe ryzyko tym bardziej rygorystyczne wymagania. Systemy wysokiego ryzyka objęte będą dodatkowymi obostrzeniami takimi jak: obowiązek sporządzenia szczegółowej dokumentacji, konieczność stosowania odpowiednich praktyk związanych z zarządzaniem danymi, obowiązek dokonywania oceny ryzyka, wymóg rejestrowania zdarzeń czy zapewnienia nadzoru człowieka.  

Projekt rozporządzenia określa także środki nadzorcze, które odpowiednie organy będą mogły wykorzystywać do oceny, czy systemy są zgodne z rozporządzeniem oraz kary, które organy te będą nakładać na podmioty za stosowanie praktyk niezgodnych z przepisami rozporządzenia. Środki te będą dotkliwe. Organy nadzorcze będą mogły żądać pełnego dostępu do danych (w tym kodu źródłowego) oraz pełnej dokumentacji. Dozwolona będzie również ocena systemu sztucznej inteligencji, a także nakładanie obowiązku podjęcia działań naprawczych. Organy nadzorcze będą mogły nawet zakazać lub ograniczyć stosowanie systemu stwarzającego ryzyko, który nie spełnia wymogów określonych w rozporządzeniu. Kary finansowe będą sięgać nawet 30 milionów euro lub 6 % rocznego światowego obrotu. 

Czy compliance-by-design = compliance-by-default? 

Usługi chmurowe umożliwiają dynamiczny rozwój organizacji w ważnych sektorach gospodarki. W polskich realiach najbardziej zaawansowany jest sektor usług finansowych. Opublikowany w styczniu 2020 roku komunikat Chmurowy Komisji Nadzoru Finansowego wskazuje w jaki sposób wdrożyć chmurę w tej branży od strony regulacyjnej, aby zapewnić bezpieczeństwo podczas korzystania z tej technologii.  

Komunikat Chmurowy jest neutralny technologicznie, czyli nie wskazuje wprost, jakie rozwiązania technologiczne mają być przyjęte, a także – poza wyjątkami - nie określa standardów bezpieczeństwa. Przenosi obowiązek podejmowania decyzji dotyczących bezpieczeństwa na podmiot regulowany, ale decyzje te muszą być oparte na wynikach analizy ryzyka. Pierwszym krokiem przy wdrażaniu rozwiązań opartych na usługach chmurowych jest przeprowadzenie analizy luki, czyli sprawdzenie w jakim stopniu organizacja działa w zgodzie z regulacjami. Następnym działaniem jest sporządzenie strategii chmurowej. Ten zaawansowany dokument stwarza ramy koncepcyjne dla całego procesu. Utworzona w ten sposób swoista „mapa drogowa dla projektu” ma brać pod uwagę strategię biznesową, IT oraz bezpieczeństwa. Dodatkowo Komunikat Chmurowy wprowadził obowiązek ciągłego monitorowania i testowania wykorzystywanej usługi. 

Inne gałęzie gospodarki otwierają się na tego rodzaju rozwiązania, co widać zwłaszcza w obszarze energetycznym. Tę potrzebę dostrzegł także prawodawca. W efekcie, we wrześniu 2021 roku, Ministerstwo Klimatu i Środowiska opublikowało rekomendacje w zakresie cyberbezpieczeństwa w sektorze energetycznym.  

Strategię bezpieczeństwa rozwiązań chmurowych można opracować z użyciem podejścia top-down, które oznacza stworzenie ram wymagań bezpieczeństwa o generalnym charakterze, niezwiązanych z konkretną technologią. Opracowane ramy będą odzwierciedlać wymagania bezpieczeństwa przypisane do właściwych informacji. Na tej podstawie tworzy się następnie założenia bezpieczeństwa — zestaw minimalnych wymagań, które dana technologia musi spełnić. Są one opracowywane dla kolejnych usług lub całych rozwiązań chmurowych. 

Założenia bezpieczeństwa zależą od modelu, w którym są świadczone usługi chmurowe. Wyróżniamy trzy podstawowe modele: IaaS (Infrastructure as a Service), PaaS (Platform as a Service) oraz SaaS (Software as a Service). Różnią się one sposobem wykorzystywania, a zatem także podziałem odpowiedzialności między dostawcę usług chmurowych a klienta, który na podstawie umowy będzie z tych usług korzystać. Bardzo ważnym obszarem związanym z bezpieczeństwem chmury, jest również ochrona kryptograficzna, obejmująca szyfrowanie informacji, procedury zarządzania kluczami szyfrującymi, ustalenie poziomów dostępów, zarządzanie cyklem życia algorytmów szyfrujących.  

Wdrożenie chmurowe jest interdyscyplinarnym procesem, w którym można wskazać dwa różne podejścia. Pierwszym jest Compliance-by-design, kiedy o zgodności z regulacjami myśli się od samego początku procesu wdrożenia, już na etapie planowania. Drugim jest Compliance-by-default, czyli założenie, że działania będą zgodne z regulacjami – bez wyłączeń - przez cały czas wdrożenia i eksploatacji.