Бюджетът за информационни технологии, предназначен за информационна сигурност, намалява
Агенцията на Европейския съюз за киберсигурност публикува най-новия доклад за инвестициите в мрежова и информационна сигурност в ЕС, предоставящ представа за това как NIS Директивата е повлияла на бюджета за киберсигурност на операторите през изминалата година със задълбочени проучвания в енергийния и здравния сектор.
Докладът анализира данни, събрани от операторите на основни услуги (OES) и от доставчиците на цифрови услуги (DSP), посочени в Директивата за МИС (NIS Директива). Анализът се стреми да разбере дали тези оператори са инвестирали бюджетите си по различен начин през последната година, за да изпълнят новите изисквания, определени от законодателния текст.
Изпълнителният директор на Агенцията на ЕС за киберсигурност, Юхан Лепасаар, заявява, че устойчивостта на критични инфраструктури и технологии в ЕС ще зависи до голяма степен от способността ни да правим стратегически инвестиции. „Уверен съм, че разполагаме с компетентността и уменията, които ни карат да постигнем нашата цел, която е да гарантираме, че ще разполагаме с адекватни ресурси за по-нататъшно развитие на нашия капацитет за киберсигурност във всички икономически сектори на ЕС.“
Докладът включва анализ, обхващащ повече от 1000 оператора в 27-те държави-членки на ЕС. Свързаните резултати показват, че делът на бюджета за информационни технологии (ИТ), предназначен за информационна сигурност (ИС), изглежда е по-нисък в сравнение с констатациите от миналата година, спадайки от 7,7% на 6,7%.
Тези цифри трябва да се разглеждат като общ преглед на разходите за информационна сигурност в разнообразна типология на стратегически сектори. Съответно специфични макроикономически непредвидени обстоятелства като COVID19 може да са повлияли на средните резултати.
Какви са основните констатации?
- Директивата за МИС, други регулаторни задължения и заплахите са основните фактори, влияещи върху бюджетите за информационна сигурност;
- Големите оператори инвестират 120 000 евро в Cyber Threat Intelligence (CTI) в сравнение с 5 500 евро за МСП, докато операторите с изцяло вътрешни или вградени SOC харчат около 350 000 евро за CTI, което е 72% повече от разходите на оператори с хибрид SOC;
- Здравният и банковият сектор поемат най-големите разходи сред критичните сектори в случай на големи инциденти в киберсигурността, като средната прека цена на инцидент в тези сектори възлиза на 300 000 EUR;
- 37% от операторите на основни услуги и доставчиците на цифрови услуги не работят със SOC;
- За 69% по-голямата част от техните инциденти с информационната сигурност са причинени от уязвимости в софтуерни или хардуерни продукти, като здравният сектор декларира по-голям брой такива инциденти;
- Киберзастраховането е спаднало до 13% през 2021 г., достигайки ниските 30% в сравнение с 2020 г.;
- Само 5% от МСП сключват киберзастраховка;
- 86% са въвели политики за управление на риска на трети страни.
Основни констатации в секторите здравеопазване и енергетика
- Здраве
От глобална гледна точка инвестициите в ИКТ за здравния сектор изглежда са силно повлияни от COVID-19, като много болници търсят технологии за разширяване на здравните услуги, които да бъдат предоставяни извън болниците. Все пак контролът върху киберсигурността остава основен приоритет за разходите, като 55% от здравните оператори търсят увеличено финансиране за инструменти за киберсигурност.
64% от здравните оператори вече прибягват до свързани медицински устройства и 62% вече са внедрили решение за сигурност специално за медицински устройства. Само 27% от анкетираните OES в сектора имат специална програма за защита от ransomware, а 40% от тях нямат програма за информираност относно сигурността за персонала, който не е ИТ.
- Енергия
Операторите на петрол и газ изглежда дават приоритет на киберсигурността, като инвестициите се увеличават със 74%. Енергийният сектор показва тенденция в инвестициите, които се пренасочват от наследена инфраструктура и центрове за данни към облачни услуги.
Въпреки това, 32% от операторите в този сектор нямат нито един критичен процес на операционна технология (OT), наблюдаван от SOC. OT и IT са обхванати от един SOC за 52% от OES в енергийния сектор.
Заден план
Целта на Директивата относно сигурността на мрежите и информационните системи (Директива МИС) е да се постигне високо общо ниво на киберсигурност във всички държави членки.
Един от трите стълба на Директивата за МИС е прилагането на управление на риска и задължения за докладване за OES и DSP.
OES предоставя основни услуги в стратегическите сектори на енергетиката (електричество, нефт и газ), транспорта (въздушен, железопътен, воден и автомобилен), банковото дело, инфраструктурите на финансовия пазар, здравеопазването, снабдяването и разпределението на питейна вода и цифровата инфраструктура (точки за обмен на интернет, доставчици на услуги на системата за имена на домейни, регистри на имена на домейни от първо ниво).
DSP работят в онлайн среда, а именно онлайн пазари, онлайн търсачки и облачни услуги.
Докладът изследва как операторите инвестират в киберсигурността и спазват целите на Директивата за МИС. Той също така дава преглед на ситуацията във връзка с такива аспекти като персонал за ИТ сигурност, киберзастраховка и организация на информационната сигурност в OES и DSP.
Този доклад отбелязва третото повторение на доклада на ENISA за NIS Investments, който събира данни за това как операторите на основни услуги (OES) и доставчиците на цифрови услуги (DSP), идентифицирани в директивата на Европейския съюз относно сигурността на мрежите и информационните системи (NIS Директива), инвестират своите бюджети за киберсигурност и как тази инвестиция е повлияна от Директивата за МИС. В допълнение, глобалните пазарни тенденции в киберсигурността са представени чрез данни за сигурността и прозрения на Gartner, наблюдавани в световен мащаб и в ЕС, за да се осигури по-добро разбиране на съответната динамика. Тазгодишният доклад представя данни, събрани от 1080 OES/DSP от всички 27 държави-членки на ЕС, и вече може да предостави исторически набор от данни, който позволява годишно сравнение и идентифициране на тенденции. Освен това бяха проведени секторни изследвания за секторите Енергия и Здравеопазване. Като цяло редица абсолютни стойности, като бюджети за ИТ и информационна сигурност (IS) или % от ИТ бюджетите, изразходвани за IS, изглеждат значително по-ниски в сравнение с миналата година. Това може да се отдаде на състава на извадката от проучването и на по-високото представителство на OES от секторите енергетика и здравеопазване поради секторните проучвания, но също така и на макроикономическата среда, като въздействието на COVID-19 върху съответните бюджети.