NIS2 の準備方法:知っておくべきこと

NIS2 の実装における重要なマイルストーンに向けて、最近 NIS2 について多くのことが書かれています。18 歳までに^第四に 2024 年 10 月から、加盟国は NIS2 指令の遵守に必要な措置を採用し、公表しなければなりません。

その日は多くの人々にパニックを引き起こすかもしれないが、それは個々の国がNIS2を法制化しNIS1を廃止する必要がある日だ（EU 2016/1148）。個々の組織の遵守期間は、各州が制定する法律で定められます。場合によっては、この日付より最長で 4 年遅れることもあります。

いつでも NIS2 発効するので、今こそ組織がNIS2の義務を遵守する準備を始める時です サイバーレジリエンス。

NIS1 と NIS2 にはどのような違いがありますか?

NIS 指令のバージョン 2 や将来のバージョン 3 が必要な理由について、多くの人が尋ねてきました。

簡単な答えは、物事は変わるということです。

新しい NIS2 指令は、現在のサイバーセキュリティ環境をよりよく反映しています。また、NIS1 から学んだことを基に最新情報も提供しています。

以来 NIS1 2016年に発効しました。

• 重要と見なされる組織のタイプは変化しました。

• 自動化とスマートデバイスの増加に伴い、テクノロジーは変化しました。
• サイバーセキュリティは変化し、静的ネットワークの保護に重点が置かれていたものが、よりアジャイルなアプローチに取って代わられました。
• の採用 ゼロトラスト サイバーセキュリティの導入方法を簡素化し、より安全なアプローチを低コストで実現しました。
• 破壊的攻撃の増加とAIによる攻撃の出現により、サイバー攻撃の種類は変化しています。

NIS1 を更新するもう 1 つの主な理由は、ガバナンスの改善です。2016 年のアイデアは、各州が独自の規制を策定し、国の規制当局がそれを施行するというものでした。残念ながら、NIS1 の導入方法には国によって大きな相違があったため、NIS2 は特定の重点分野について最低限の基準を定め、欧州委員会による監督を強化しました。

最後の変更は、組織の再分類と、指令に含まれる組織の数と規模の拡大です。

• 必須サービスとデジタルサービスプロバイダーの区別は、国にとっての重要性に基づいて組織を分類し、必要不可欠なカテゴリーと重要なカテゴリーに分けることに取って代わられました。

• 現在、従業員が50人を超え、年間売上高が5,000万ユーロを超える組織は、重要な組織として分類されています。

NIS2 は私の組織にどのような影響を与えますか?

NIS2は、加盟国が導入するフレームワークに特定の規則を設定することにより、加盟国間の要件を調和させることを目指しています。これは特定のことに焦点を当てています。 サイバーセキュリティ対策、以下を含む:

• リスク分析と情報システムセキュリティポリシー
• インシデント処理
• 事業継続と危機管理
• サプライチェーンセキュリティ

• 脆弱性の処理と開示を含む、安全なネットワークとシステムの取得、開発、保守
• 対策の有効性を評価するための方針と手続き
• 基本的なコンピューター衛生慣行とサイバーセキュリティトレーニング
• 暗号/暗号化の使用に関するポリシーと手順
• MFA、安全な通信、安全な緊急通信の使用

これらの措置がまだ国内規制に組み込まれていない加盟国は、これらの機能を追加する必要があります。また、これらの国の組織でこれらの規制をまだ実施していない組織は、これらの規制を採用する必要があります。

NIS2 の最大の影響は、これまで NIS1 でカバーされていなかった組織にあると思われます。これは懸念事項のように思えますが、ENISA の調査によると、NIS の実装にかかる平均予算は 14 ～ 18 か月かかるプロジェクトを対象としています。

私の組織が NIS2 に備えるために今できることは何ですか？

2016 年、組織で利用できるセキュリティツールやアプローチは限られており、従来の AV、NAC、ファイアウォールなどの静的テクノロジーや可視性も限られていました。

当時はゼロトラストが話題になっていましたが、すべてのマルウェアを検出してあらゆる攻撃を防ぐことに焦点が当てられていました。今日、ランサムウェアと AI の脅威が組み合わさって、新たな問題が発生しています。NIS2 指令では、こうした問題に対処しようとしています。

加盟国ごとに特定の NIS2 技術要件はまだ用意されていませんが、組織は次のようなテクノロジーを使用して侵害を封じ込めるアプローチを採用することで、コンプライアンスに向けた取り組みを始めることができます。 ゼロトラストセグメンテーション、マイクロセグメンテーションとも呼ばれます。この最新のアプローチでは、侵害は避けられないと想定し、それに応じてプロアクティブなセキュリティ対策が講じられるようにしています。

ゼロトラストの侵害封じ込め戦略には、次の主要な柱が含まれます。

1. 侵害を想定して対策を立てる

2. すべての資産とリソースを特定し、相互依存関係をマッピングします

3. すべての脆弱性と公開ポートから保護

4. 迅速かつ機敏に対応

5. 再感染せずに安全に復元

NIS指令の目的は、欧州連合全体の重要インフラのレジリエンスを向上させることです。これは、攻撃を受けている間もサービスを維持できるようにすることを意味します。

これを実現するには、攻撃を阻止することから、攻撃を封じ込め、組織のビジネスクリティカルなリソースに到達できないようにすることに焦点を移す必要があります。

イルミオはNIS2の要件とどのように一致していますか？

NIS2は主要なサイバーセキュリティ対策の標準化に重点を置いており、イルミオゼロトラストセグメンテーション（ZTS）は以下を満たすのに役立ちます。

1。リスク分析と情報セキュリティに関する方針

アプリケーション依存関係マッピングにより、コンテナ、IoT、仮想マシンを含むすべてのワークロードのトラフィックを単一のコンソールで完全に可視化できます。これにより、セキュリティチームはネットワークリスクを特定し、ポート間の不要な接続をブロックするセキュリティポリシーを作成できます。

2。インシデントハンドリング

侵害が活発な場合、Illumioは迅速に対応して重要なリソースへのアクセスを制限し、攻撃の拡大を阻止し、侵害されたシステムを完全に隔離することができます。侵害後、ZTSは感染したシステムをリアルタイムでインテリジェントに分離し、データを安全に復元できるようにします。

3。事業継続と危機管理

セキュリティチームとITチームは、Illumioを使用して個々の部門やシステムを保護し、攻撃から身を守りながら運用を再開できるようにすることができます。侵害からの復旧中は、不変のデータソースとの接続のみを許可することで、再感染の試みを防ぐことができます。

4。サプライ・チェーン・セキュリティ

Illumioは、環境間の既知の検証済みの通信のみを許可します。これにより、サプライチェーンに侵害があった場合、ZTSはその侵害が組織のシステムに侵入したり広がったりすることを確実に防ぎます。

5。ネットワークと情報システムにおけるセキュリティ

Illumioは、オンプレミスのデータセンターからハイブリッド環境やマルチクラウド環境まで、すべての環境に一貫したマイクロセグメンテーションを拡張します。これにより、攻撃者がネットワークの他の部分に移動できないように、侵害を即座に阻止して封じ込めることができます。

6。対策の有効性を評価するための方針と手続き

Illumio Ransomware Protection Dashboardは、ワークロードのリスクにさらされていること、保護されているワークロードと保護されていないワークロードの可視性、および保護対象範囲スコアに関する洞察を提供することで、攻撃の脅威に対する準備と保護を強化するのに役立ちます。

7。基本的なコンピュータ衛生慣行とサイバーセキュリティトレーニング

Illumioの攻撃対象領域全体をエンドツーエンドで可視化することで、セキュリティギャップに関する洞察が得られ、サイバー衛生とトレーニングのニーズに役立つ情報が得られます。ZTS はまた、避けられないヒューマンエラーによって攻撃者が悪用される脆弱性が残らないようにしています。

8。人的資源のセキュリティ、アクセス制御、および資産管理対策

Illumioを使用すると、セキュリティチームはきめ細かなセグメンテーションポリシーを実装して、人事リソースを含むシステムへのアクセスを制限できます。つまり、ネットワークの一部が侵害されても、攻撃者は重要なリソースに侵入することはできません。

詳細はこちら イルミオで NIS2 コンプライアンスを達成。

NIS2: 必要不可欠なサービスを保護するためのよりシンプルなフレームワーク

従来の防止および検出戦略と比較すると、侵害封じ込めのアプローチははるかに単純です。なぜなら、組織は、阻止する必要のある何千もの事柄ではなく、ネットワーク内で許可される少数の項目を定義するだけで済むからです。AIが脆弱性を発見し、オープンな接続を確立する能力があると、侵害の被害に遭いやすくなります。しかし、アプローチを変えることが助けになります。

リソースがサーバー、クラウド、OTデバイスのいずれにあっても、リソースの保護に重点を置くことで、静的なネットワークベースのセキュリティ技術のポリシーを設計する手間が省けます。

方法に関する詳細情報を入手する イルミオは重要なサービス組織を保護します。

今すぐお問い合わせ 無料のデモとコンサルテーションをご利用ください。