V letu 2022 so se stroški večjih kibernetskih incidentov povečali za 25 odstotkov. Kljub temu so evropski izvajalci storitev, ki poslujejo v skladu z direktivo NIS, v povprečju le za 0,4-odstotne točke povečali izdatke za kibernetsko varnost znotraj svojih IT-proračunov.
Poročilo ENISA o naložbah v kibernetsko varnost razkriva, da so organizacije pripravljene povečati proračun za kibernetsko varnost, vendar 47 odstotkov vseh anketiranih organizacij v naslednjih dveh letih ne načrtuje polne zaposlitve strokovnjakov za informacijsko varnost.
Analiza varnostnih popravkov kritičnih IT in OT sredstev v sektorju prometa je pokazala, da 51 odstotkov organizacij potrebuje en mesec za odpravo kritičnih ranljivosti, 21 odstotkov pa jih za to potrebuje od enega meseca do šest mesecev. Le 28 odstotkov anketiranih organizacij na primer odpravi kritične ranljivosti na kritičnih sredstvih v enem tednu.
Kot je dejal izvršni direktor Evropske agencije za kibernetsko varnost, Juhan Lepassaar, je upravljanje ranljivosti bistveno in mora iti z roko v roki z iniciativami vgrajene varnosti. »Hkrati pa moramo nenehno vlagati v področja, kot so identifikacija, upravljanje in poročanje o ranljivostih, ki lahko vplivajo na varnost celotnega digitalnega enotnega trga."
Letošnje poročilo o naložbah NIS ugotavlja, da v 46 odstotkih anketiranih organizacij traja več kot 1 mesec, da odpravijo kritične ranljivosti.
ENISA je v novem poročilu preučila, kako so leta 2022 operaterji bistvenih storitev ter ponudniki digitalnih storitev (OES/DSP) vlagali v kibernetsko varnost in se prilagajali ciljem direktive NIS. Anketa je zajela 1.080 subjektov iz vseh 27 držav članic EU.
Ključne ugotovitve raziskave
Ocenjeni neposredni stroški resnega varnostnega incidenta so v letu 2022 znašali 250 tisoč evrov, v letu 2021 pa 50 tisoč evrov manj.
Delež proračuna za IT, ki so ga operaterji bistvenih storitev ter ponudniki digitalnih storitev namenili kibernetski varnosti, je leta 2022 dosegel 7,1 odstotka, kar je za 0,4 odstotne točke več v primerjavi z letom 2021.
42 odstotkov OES/DSP se je leta 2022 naročilo na namensko kibernetsko zavarovanje, kar pomeni 30-odstotno povečanje od leta 2021. Kljub temu se je le 13 odstotkov tovrstnih majhnih in srednjih podjetij odločilo za kibernetsko zavarovanje.
OES/DSP namenjajo informacijski varnosti le 11,9 odstotka svojih polno zaposlenih strokovnjakov za IKT, kar predstavlja zmanjšanje za 0,1 odstotne točke.
OES/DSP med polno zaposlenimi za informacijsko varnost zaposlujejo povprečno 11 odstotkov žensk. Glede na mediano, ki znaša nič odstotkov, pa večina anketiranih organizacij sploh ne zaposluje žensk kot del svojih polno zaposlenih strokovnjakov za informacijsko varnost.
47 odstotkov operaterjev bistvenih storitev ali ponudnikov digitalnih storitev v naslednjih dveh letih ne namerava polno zaposliti strokovnjaka za informacijsko varnost.
Organizacije, ki načrtujejo polne zaposlitve strokovnjakov za informacijsko varnost, imajo v povprečju štiri polno zaposlene in bodo v naslednjih dveh letih zaposlile dva dodatno polno zaposlena strokovnjaka. Kar 83 odstotkov anketiranih organizacij je izjavilo, da se srečujejo s težavami pri zaposlovanju vsaj na enem področju informacijske varnosti.
Operaterji bistvenih storitev ali ponudniki digitalnih storitev v EU so v povprečju zaposlovali 20 odstotkov pogodbenih sodelavcev za pokrivanje potreb po polno zaposlenih na področju informacijske varnosti, pri čemer so imeli pri varnosti največ pogodbenih sodelavcev za kibernetsko varnostno operativo.
Upravljanje ranljivosti
Letošnje poročilo o naložbah NIS ugotavlja, da v 46 odstotkih anketiranih organizacij traja več kot 1 mesec, da odpravijo kritične ranljivosti. Izboljšave pri medoperabilnosti, avtomatizaciji in poenostavitvi postopkov za izmenjavo informacij lahko bistveno prispevajo k zagotavljanju razkritja ranljivosti. Kot so zapisali avtorji poročila, morajo imeti dobavitelji informacijskih rešitev ustrezna orodja, postopke in ljudi, da izvajajo prakse vgrajene varnosti in zmanjšajo tveganje za uporabnike. Same organizacije pa so odgovorne za zmanjšanje časa med razkritjem ranljivosti in njihovo odpravo – tudi s pomočjo orodij za avtomatizirano izmenjavo informacij o ranljivostih.
Nova evropska direktiva na področju informacijske varnosti NIS2 vzpostavlja osnovni okvir s ključnimi akterji za usklajeno razkrivanje ranljivosti, ki bodo odkrite v EU. Ustvarja evropsko zbirko podatkov ranljivosti za javno znane ranljivosti v izdelkih in storitvah IKT, ki jo bo upravljala in vzdrževala agencija EU za kibernetsko varnost. Kot pravijo v agenciji, bo kombinacija nacionalnih in evropskih prizadevanj osnova za oblikovanje zrelega okolja, ki bo obvladovalo razkrivanje ranljivosti znotraj EU. Poleg NIS 2 evropski okvir kibernetske varnosti vključujeta tudi predlagani Zakon o kibernetski odpornosti (CRA) in Zakon o kibernetski solidarnosti (CSoA). Slednja vključujeta določbe za dodatne ukrepe za izboljšanje upravljanja ranljivosti v EU, kot so dodatni ukrepi za zagotavljanje kakovosti izdelkov in storitev, ki bodo prispevali k obravnavi varnosti skozi celoten življenjski cikel izdelka.
