Органы ЕС должны повысить свою готовность к кибербезопасности

Количество кибератак на органы ЕС резко возрастает. Уровень
готовности к кибербезопасности в органах ЕС варьируется и в целом не
соизмеримы с растущими угрозами. Поскольку органы ЕС решительно
взаимосвязаны, слабость в одном может подвергнуть других угрозам безопасности.
Таков вывод специального доклада Европейского суда
Аудиторы, которые проверяют, насколько подготовлены руководящие органы ЕС
против киберугроз. Аудиторы рекомендуют связывать кибербезопасность
должны быть введены правила, а количество ресурсов, доступных для
Группа реагирования на компьютерные чрезвычайные ситуации (CERT-EU) должна быть увеличена. То
Европейская комиссия также должна способствовать дальнейшему сотрудничеству между
органов, говорят аудиторы, в то время как CERT-EU и Агентство Европейского Союза по
Кибербезопасность должна уделять больше внимания тем органам ЕС, у которых меньше
опыт управления кибербезопасностью.*

Значительные инциденты кибербезопасности в органах ЕС увеличились более чем
в десять раз в период с 2018 по 2021 год; удаленная работа значительно увеличилась
количество потенциальных точек доступа для злоумышленников. Значимые инциденты
как правило, вызваны сложными кибератаками, которые обычно включают использование
новых методов и технологий, и могут потребоваться недели, если не месяцы, чтобы
исследовать и оправиться от. Одним из примеров стала кибератака на
Европейское агентство по лекарственным средствам, где произошла утечка и манипулирование конфиденциальными данными
подорвать доверие к вакцинам.

«*Учреждения, органы и агентства ЕС являются привлекательными целями для потенциальных
злоумышленников, особенно групп, способных выполнять очень сложные
стелс-атаки для кибершпионажа и других гнусных целей*», — сказал
Беттина Якобсен, член ECA, руководившая аудитом. «*Такие атаки могут иметь
значительные политические последствия, наносят ущерб общей репутации ЕС,
и подрывают доверие к его институтам. ЕС должен активизировать свои усилия по
защищать свои организации*».

Главный вывод аудиторов заключался в том, что институты, органы и
агентства не всегда хорошо защищены от киберугроз. Они не
последовательно подходить к кибербезопасности, основным элементам управления и ключевым
передовой опыт в области кибербезопасности не всегда применяется, и кибербезопасность
обучение не проводится систематически. Распределение ресурсов на
кибербезопасность сильно различается, и ряд органов ЕС тратят
значительно меньше, чем у сопоставимых аналогов. Хотя различия в
уровни кибербезопасности теоретически могут быть оправданы различным риском
профили каждой организации и различные уровни чувствительности
данные, с которыми они работают, аудиторы подчеркивают, что недостатки кибербезопасности в
один орган ЕС может подвергнуть несколько других организаций кибербезопасности
угрозы (органы ЕС все связаны друг с другом, а часто с общественностью и
частные организации в государствах-членах).

Группа реагирования на компьютерные чрезвычайные ситуации (CERT-EU) и Европейский Союз
Агентство по кибербезопасности (ENISA) — две основные структуры ЕС, которым поручено
оказание поддержки по кибербезопасности. Однако они не смогли
предоставлять органам ЕС всю необходимую им поддержку благодаря ресурсу
ограничения или приоритет отдается другим областям. Обмен информацией
также недостаток, говорят аудиторы: например, не все органы ЕС несут
своевременные отчеты об уязвимостях и важных аспектах кибербезопасности
инциденты, которые повлияли на них и могут повлиять на других.

В настоящее время не существует законодательной базы по обеспечению информационной безопасности и
кибербезопасность в учреждениях, агентствах и органах ЕС. Они не подлежат
к самому широкому законодательству ЕС о кибербезопасности, директиве NIS 2016 года или
к его предложенной редакции, директиве NIS2. Также нет
исчерпывающую информацию о суммах, потраченных органами ЕС на
кибербезопасность. Общие правила информационной безопасности и
кибербезопасности для всех органов ЕС включены в сообщение о ЕС
Стратегия Союза безопасности на период 2020-2025 гг., опубликованная
Комиссия в июле 2020 г. В Стратегии кибербезопасности ЕС для цифровых
Десятилетие», опубликованном в декабре 2020 года, Комиссия обязалась предложить
положение об общих правилах кибербезопасности для всех органов ЕС. Это также
предложил создать новую правовую основу для CERT-EU, чтобы усилить
его полномочия и финансирование.

e>

Поделиться этой статьей: