Kibernetinio saugumo rizikos valdymo planavimas ir atitikties vertinimas

Apie seminarą

Šiuolaikiniame skaitmeniniame pasaulyje organizacijos ir valstybės susiduria su precedento neturinčiais kibernetiniais iššūkiais. Stiprindama pasiruošimą ir atsparumą šioms grėsmėms, Europos Sąjunga priėmė atnaujintą Tinklų ir informacinių sistemų saugumo direktyvą, žinomą kaip TIS 2 (angl. NIS 2). Naujasis TIS 2 reguliavimas, kuris įsigaliojo 2024 m. spalio 18 d., žymi esminį pokytį ES kibernetinio saugumo reglamentavime ir praktikoje. Ši direktyva nustato naujus standartus ir reikalavimus, užtikrinančius aukštesnį kibernetinio saugumo lygį visoje Europos Sąjungoje.

Lietuvoje naujasis reguliavimas palies net apie 22 tūkstančius įmonių, veikiančių įvairiuose, valstybei strategiškai svarbiuose sektoriuose.

TIS 2 reguliuojami sektoriai – energetika, transportas, bankininkystė, sveikatos priežiūra, vandens tiekimas, skaitmeninės infrastruktūra, viešasis administravimas, maisto pramonė, pašto ir kurjerių paslaugos, atliekų tvarkymas, cheminių medžiagų gamyba ir e-prekyba. TIS 2 žinios taip pat aktualios valstybinių institucijų atstovams, IT infrastruktūros ir paslaugų tiekėjams, auditoriams bei draudimo ekspertams.

Naujasis Kibernetinio saugumo įstatymas, įsigaliojęs 2024 m. spalio 18 d., įgyvendina ES TIS 2 direktyvą ir nustato naują kibernetinio saugumo subjektų klasifikaciją, skirstant juos į esminius ir svarbius subjektus. Įstatymas apima platų sektorių spektrą nuo energetikos iki sveikatos apsaugos, įveda aiškesnius reikalavimus kibernetinio saugumo valdymui, incidentų pranešimui ir rizikų valdymui.

Nacionalinis kibernetinio saugumo centras, kurio įgaliojimai pagal naująjį įstatymą yra sustiprinami, taip pat atskingiems subjektams gali skirt baudas už pažeidimus. Numatyta nauja baudų sistema, kuri diferencijuoja baudas pagal subjekto tipą ir pažeidimo rimtumą. Esminiams subjektams gali būti skiriamos baudos iki 10 mln. eurų arba iki 2% bendros pasaulinės metinės apyvartos, svarbiems subjektams – iki 7 mln. eurų arba 1,4% apyvartos. Biudžetinėms įstaigoms nustatytos mažesnės baudos: esminiams subjektams iki 60 000 eurų (1% biudžeto), svarbiems – iki 30 000 eurų (0,5% biudžeto).

Baudų dydis priklauso nuo pažeidimo tipo: už pavojingus pažeidimus gali būti skiriama iki 100% maksimalios baudos, už vidutinio pavojingumo – iki 50%, už nedidelio pavojingumo – iki 10%.

Krašto apsaugos ministro 2023 m. gegužės 31 d. įsakymas Nr. V-445 atnaujina Saugiojo valstybinio duomenų perdavimo tinklo (SVDPT) veiklos dokumentus ir įveda naują kibernetinio saugumo politiką. Šis valstybinės svarbos tinklas užtikrina saugų duomenų perdavimą tarp institucijų. Dokumente nustatomi konkretūs techniniai ir organizaciniai reikalavimai: audito duomenų tvarkymas, įsibrovimų prevencija, mobiliųjų įrenginių naudojimas, grėsmių valdymas ir incidentų sprendimas. Įvedami griežti saugumo standartai, privalomas 6 mėnesių duomenų kaupimas ir nuolatinė sistemų stebėsena.

Šis seminaras – geriausia proga vadovams ir specialistams sužinoti apie geriausias kibernetinio saugumo praktikas, įgyti vertingų žinių, reikalingų atlikti rizikų vertinimą ir įgyvendinti efektyvų kibernetinio saugumo valdymą: nuo grėsmių identifikavimo ir pažeidžiamumų analizės iki atitikties vertinimo ir tęstinio rizikos valdymo užtikrinimo. Seminaro metu dalyviai ne tik susipažins su sisteminiu požiūriu į kibernetinio saugumo rizikų valdymą, bet ir gaus praktinių įrankių – pradedant informacinių sistemų sąrašų pildymu, baigiant išsamiu kibernetinio saugumo plano rengimu. Ypatingas dėmesys bus skiriamas lokalinių teisės aktų ir dokumentų pavyzdžiams, kurie padės dalyviams efektyviai pritaikyti įgytas žinias savo organizacijose.

Temos