Az Európai Unió kiberbiztonsági szabályozása új szintre lépett. A NIS2 irányelv célja, hogy egységes és magasabb szintű kiberbiztonságot biztosítson az EU tagállamaiban működő szervezetek számára.

A változás nemcsak a kritikus infrastruktúrát üzemeltető vállalatokat érinti: közvetett módon a biztonságtechnikai rendszerek gyártói, integrátorai és beszállítói is a szabályozás hatása alá kerülnek.

Ebben a cikkben áttekintjük:

• mi a NIS2 irányelv célja,
• kiket érint,
• milyen kiberbiztonsági követelményeket támaszt,
• és hogyan illeszkednek ezekhez a modern biztonságtechnikai megoldások.

Mi az a NIS2 irányelv?

A Network and Information Security Directive (NIS2) az Európai Unió kiberbiztonsági irányelve, amely a 2016-os NIS1 szabályozás továbbfejlesztett változata. Az új irányelv célja, hogy erősítse a digitális infrastruktúra ellenálló képességét és a kibertámadásokra adott reakciók hatékonyságát mind az állami, mind a magánszektorban.

Az irányelv 2023-ban lépett hatályba, és az EU tagállamok feladata, hogy azt saját nemzeti jogrendszerükbe átültessék.

Fontos szempont, hogy a megfelelés hiánya nemcsak pénzügyi bírságot jelenthet: bizonyos esetekben a vezetőség személyes felelőssége is felmerülhet.

Kikre vonatkozik a NIS2?

Az irányelv elsősorban az úgynevezett „essential” és „important” szervezetekre vonatkozik.

A szabályozás jellemzően azokra a szervezetekre érvényes, amelyek:

• legalább 50 alkalmazottal rendelkeznek,
• és 10 millió eurót meghaladó éves árbevételt érnek el. 

Ugyanakkor a szabályozás hatása ennél szélesebb: azok a beszállítók és technológiai partnerek, akik ilyen szervezetek számára nyújtanak termékeket vagy szolgáltatásokat, szintén érintettek lehetnek.

Ez a biztonságtechnikai rendszerek piacán is egyre fontosabb szempont.

A NIS2 legfontosabb biztonsági követelményei

A NIS2 irányelv átfogó kockázatkezelési és kiberbiztonsági intézkedéseket ír elő.

A legfontosabb kiberbiztonsági területek:

Terület	Mit jelent a gyakorlatban
Biztonsági szabályzatok	Incidenskezelés, adatkezelés és eszközmenedzsment
Ellátási lánc biztonsága	Beszállítók és technológiai partnerek kockázatkezelése
Hálózatbiztonság	Titkosítás, többfaktoros hitelesítés
Sérülékenység-kezelés	Biztonsági hibák felismerése és javítása
Üzletmenet-folytonosság	Mentések és válságkezelési folyamatok
Kiberbiztonsági képzés	Rendszeres oktatás és tudatosság növelése

Ezek a követelmények segítik a szervezeteket abban, hogy megelőzzék vagy gyorsan kezeljék a kibertámadásokat. 

Hogyan kapcsolódik mindez a biztonságtechnikai rendszerekhez?

A modern videómegfigyelő és beléptető rendszerek ma már hálózati eszközök, amelyek az IT infrastruktúra részeként működnek.

Ez azt jelenti, hogy a projektek során egyre fontosabb:

• a biztonságos hálózati konfiguráció,
• a megfelelő jogosultságkezelés,
• a firmware-frissítések,
• és a kiberbiztonsági irányelvek betartása.

A gyártók ezért egyre inkább „security by design” megközelítést alkalmaznak, vagyis a biztonsági funkciók már a terméktervezés során beépülnek a rendszerbe.

Hogyan felelnek meg a Hikvision eszközök a NIS2 elvárásainak?

A Hikvision eszközök számos olyan beépített biztonsági funkcióval rendelkeznek, amelyek segítenek megfelelni a modern kiberbiztonsági követelményeknek, valamint támogatják a NIS2 irányelvben megfogalmazott elveket.

Fontosabb technológiák és biztonsági mechanizmusok:

Secure Boot

• biztosítja, hogy az eszköz csak hitelesített firmware-rel induljon el

Digitálisan aláírt firmware

• ellenőrzi a frissítések integritását és eredetét

Titkosított kommunikáció

• védi a hálózaton továbbított adatokat

Security by Default konfiguráció

• gyárilag letiltott nem biztonságos protokollok
• csak a szükséges portok nyitottak

Szerepköralapú jogosultságkezelés

• pontosan szabályozható adminisztrátori és felhasználói hozzáférés

Sérülékenység-kezelés és firmware-frissítések

• folyamatos biztonsági javítások és frissítések

Hikvision Security Response Center

• dedikált szervezet a biztonsági incidensek és sérülékenységek kezelésére

Ezek a funkciók együtt egy többrétegű védelmi architektúrát alkotnak, amely csökkenti a támadási felületet és növeli a rendszer ellenálló képességét.

Mit kell tennie a telepítőnek NIS2 szempontból?

A NIS2 irányelv nemcsak a végfelhasználó szervezeteket érinti, hanem közvetetten a biztonságtechnikai integrátorokat és telepítőket is.

A projektek során egyre nagyobb hangsúlyt kap a rendszerek kiberbiztonsági szempontból helyes konfigurációja.

Az alábbi lépések segítenek abban, hogy egy videómegfigyelő rendszer megfeleljen a modern kiberbiztonsági elvárásoknak.

1. Biztonságos alapkonfiguráció

Telepítéskor mindig:

• változtassuk meg a gyári jelszavakat (Hikvision esetén már nincs alapértelmezett jelszó)
• használjunk erős jelszópolitikát
• korlátozzuk az adminisztrátori hozzáférést
• tiltsuk le a nem használt szolgáltatásokat

2. Hálózati szegmentáció

A videómegfigyelő rendszerek lehetőség szerint:

• külön VLAN-ba kerüljenek
• ne legyenek közvetlenül elérhetők az internetről
• csak a szükséges rendszerekkel kommunikáljanak.

Ez jelentősen csökkenti egy esetleges támadás hatását.

3. Firmware-frissítések kezelése

A rendszeres firmware-frissítés alapvető kiberbiztonsági követelmény.
Javasolt:

• rendszeresen ellenőrizni a gyártói frissítéseket
• a kritikus biztonsági javításokat mielőbb telepíteni
• karbantartási ütemtervet kialakítani.

4. Hozzáférés-kezelés

A hozzáférési jogosultságokat mindig a least privilege elv alapján kell kialakítani.

Ez azt jelenti, hogy minden felhasználó csak a munkájához szükséges minimális jogosultságot kapja.

5. Rendszeres audit és karbantartás

A NIS2 egyik fontos eleme a folyamatos kockázatkezelés.

Ezért ajánlott:

• rendszeres biztonsági auditot végezni
• ellenőrizni a konfigurációkat
• dokumentálni a rendszer változásait.

A kiberbiztonsági követelményeknek való megfelelés érdekében a Hikvision több szinten építi be a biztonsági mechanizmusokat termékeibe és fejlesztési folyamataiba.

További biztonsági háttér és szabványok

Folyamatos sérülékenység-kezelés és frissítések

A Hikvision külön Security Response Center szervezetet működtet, amely a termékekben található sérülékenységek kezeléséért és a biztonsági frissítések kiadásáért felel.

Ennek keretében:

• folyamatosan monitorozzák a biztonsági incidenseket
• együttműködnek a nemzetközi sérülékenységi adatbázisokkal
• és rendszeresen firmware-frissítéseket biztosítanak a felhasználók számára.

Nemzetközi kiberbiztonsági szabványok támogatása

A Hikvision számos nemzetközi kiberbiztonsági szabvány és tanúsítás követelményeit is figyelembe veszi, többek között:

• ISO 27001
• ISO 27701
• ETSI EN 303645
• Common Criteria

Ezek a keretrendszerek hozzájárulnak ahhoz, hogy a termékek megfeleljenek a modern kiberbiztonsági elvárásoknak. 

Összegzés

A NIS2 irányelv új korszakot nyit az európai kiberbiztonságban. Bár elsődlegesen a kritikus infrastruktúrát érinti, hatása az egész digitális ökoszisztémára kiterjed – így a biztonságtechnikai iparágra is.

A telepítők, integrátorok és végfelhasználók számára egyaránt fontos, hogy olyan technológiákat válasszanak, amelyek megfelelnek a modern kiberbiztonsági követelményeknek.

Érdekel, hogyan segíthetnek a biztonságtechnikai rendszerek a NIS2 követelmények teljesítésében?

Olvasd el a részletes útmutatót