Нови правила за киберсигурност ще засегнат и по-малките фирми

Повече фирми у нас, дори и по-малки, ще бъдат длъжни да се съобразяват и подготвят за новите европейски регулации за киберсигурност. Текат сроковете за синхронизиране на Закона за киберсигурност с европейска директива, известна като НИС-2. България започна, но не довърши процедурата.

В средата на септември влязоха за обсъждане промените в Закона за киберсигурност, които прилагат новите европейски регулации. Заради преждевременния край на 50-ия парламент, текстовете дори не бяха обсъдени в трите комисии - по вътрешна сигурност, по европейските въпроси, по електронно управление.

Накратко – законът увеличава секторите, в които трябва да спазват правилата за киберсигурност, напримерпроизводство на храни и управление на отпадъците, както и цялата верига на доставки за вече определените за важни сектори като енергетиката. Ръководителите на компании и ИТ мениджъри вече ще носят лична отговорност за пропуски в киберсигурността.

Темата ще става актуална не само за големите, но и за малките компании, смята Иван Пепелов, който работи в консултантска компания, специализирана в сектора за управление на идентичността във фирмите, 

Директивата сваля прага за компании, в които работят до 50 души и не чак толкова голям оборот от 10 милиона. За сравнение – в Германия има около 30 000 фирми, засегнати от тази регулация, посочва експертът.

"В България е четирицифрен броят. Но трябва да излезе конкретният закон, за да може да се прецени кои са фирмите. Моята преценка е, че са около 1000-1500 и са в някои от критичните индустрии. Критичните индустрии са около 30."

Иван Пепелов снимка: Добромир Видев

Повечето малки компании са доставчици на големи и бидейки доставчици, те също ще бъдат засегнати. Доставчик на фирма, която не отговаря на новите критерии, няма да може повече да бъде доставчик, допълва Пепелов.

В големите компании има текучество на кадри. За да се предпазят от изтичане на критични данни към конкуренцията, трябва да въведат такава система, подчертава той.

"Не само това кой до какво има достъп, а всеки да получи правилният достъп, само този, който му трябва и то за времето, за което му трябва."

Хората са най-слабото звено от веригата за киберзащита, твърди и Александър Жеков, управител на фирма, която се занимава с дистрибуция на продукти за IT сигурност.

"Рано или късно ще бъдете пробити. Важно е да имате процеси, с които да реагирате и да възстановите бизнеса и нормалните операции", изтъква Жеков.

Компаниите с над 100 служители имат голям проблем с това да управляват достъпа на служителите си до различните системи. А когато и системите са повече на брой, процесът се усложнява, пояснява той.

"Когато нямаш единно решение, което централизирано да управлява тези процеси, реално нямаш видимост какво се случва вътре в твоята организация."

По данни на ГДБОП, от началото на годината над 80 български фирми са станали жертва на киберпрестъплението "сменен IBAN", като са загубили над 12 милиона евро. Данни на "Евростат" показват, че около 50% от българските компании смятат темата за киберсигурността за нерелевантна за тях. Тези статистики обаче са условни, защото и заради притеснения за репутацията, компаниите не биха си признали, че имат киберпробиви.

В оценката за въздействието за въвеждането на новите промени заради евродирективата законодателят посочва, че новата регулация ще създаде известна тежест за бизнеса и администрацията, глобите също. В предложенията за промени в българския закон една от големите глоби е от 50 000 лева до 2% от общия световен годишен оборот. Същевременно промените "ще съдействат за пренасяне на положителен ефект в киберпрактиката на национално ниво".

Повишените изисквания за киберсигурност ще струват повече на компаниите, поне откъм човешки ресурси, признават запознати. Затова фирмите, предлагащи решения за киберзащита, отчитат тенденцията техните клиенти да разчитат повече на външни доставчици, за да бъдат системите им за защита актуални, отбелязва Иван Пепелов.

Невинаги само големите фирми са атакувани, напомня той и съветва фирмите да не чакат проблеми.

"Преди 2 месеца около 12 болници в Румъния бяха напълно блокирани от хакерска атака, която при наличие на identity мениджмънт решение нямаше да стане. В Германия животоспасяващи системи бяха блокирани. Атаки срещу обществени институции там са ежедневие. Ако вземем една малка община – от 10 000 човека, тя няма ресурса да се защити."

Не е въпрос дали някой акаунт ще бъде хакнат, въпросът е кога, коментира Пепелов.

"Въпросът е този акаунт да има най-малко права. Аз имам т.нар. теория за празното мазе: къща с много неща в нея, някъде отзад има мазе, което е празно. Крадец се опитва 2 часа да влезе в мазето и успява, но какво успява да открадне? Нищо. Мазето е празно. Ако бъде хакнат акаунт, който няма никакви права, няма последствия. Акаунт – примамка, това също е тактика."

Всеки може да кликне на фишинг линк, въпросът е да са минимални последствията, заключава експертът.