لائحة NIS2: قالوا إننا مشمولون، كيف أتحقق من الوضع في إيطاليا؟

قبل أن تتلقى فوراً استشارات باهظة، افحص بنود الاستبيان الذي أرسله العميل مع فريقك التقني. غالباً ما يطلبون المصادقة متعددة العوامل والنسخ الاحتياطي المنتظم للبيانات وأمن نقاط النهاية والتشفير. هذه أصلاً نظافة أمنية أساسية، ويمكن حل جزء كبير منها بميزانيات معقولة.

أكثر ما يُشدَّد عليه في نص NIS2 بخصوص الموردين هو إدارة الوصول وخطط الاستجابة للحوادث. سيرغبون على الأرجح في آلية تمكنك من كشف أي تسرب محتمل في شبكتك والإبلاغ عنه خلال 24 ساعة. إذا كانت ماكينات CNC في أرضية الإنتاج على الشبكة المحلية نفسها مع شبكة المكتب، فأول ما عليك البدء به هو تقسيم الشبكة.

نحن مورد قطع غيار لدينا 55 موظفًا، وإيراداتنا حوالي 11 مليون يورو. طلب منا عميلنا الرئيسي في إيطاليا قبل ستة أشهر تدقيقًا مشابهًا. جلب دعم من الخارج وجعل الأنظمة متوافقة مع المعايير كلفنا حوالي 18.000 يورو وثلاثة أشهر من العمل، لكننا نجونا من فقدان العقد الرئيسي.

العملاء المؤسسيون الكبار هذه الأيام يحاولون بضجة NIS2 إلقاء مسؤولياتهم القانونية على متعاقديهم من الباطن. ليس كل بند في النموذج الذي يرسلونه إليكم ملزمًا قانونيًا. في المرسوم الإيطالي مكتوب أنه يجب تقييم الموردين وفق مبدأ التناسب. تفاوضوا باقتراح تدابير أمنية بديلة للبنود التي تتجاوز قدراتكم.

موقع acn الرسمي كان قد نشر دليلًا على شكل استبيان، تدخل رمز ateco الخاص بك فيقول لك مباشرة هل أنت داخل النطاق أم لا. لكن إذا كان هناك ضغط من العميل فذاك الرمز لم يعد له أهمية تذكر للأسف، إن لم يريدوا لا يجددون العقد.

من الواضح أن شركتكم بقيم 68 موظفًا و14 مليون يورو إيرادات تقع في فئة المؤسسات المتوسطة. المنشآت التي تورد قطعًا حساسة لقطاع الطاقة يُتوقع منها الالتزام بشكل غير مباشر بتشريعات أمن سلسلة التوريد حتى لو بقيت خارج النطاق مباشرة. نوصيكم بالإجابة على النموذج المعني بعناية وإبقاء سجلاتكم المؤسسية جاهزة.

الخطوات التي عليكم اتخاذها الآن هي: 1) أكدوا نطاقكم الرسمي من بوابة ACN برمز ATECO الخاص بكم، 2) أدرجوا البنود الناقصة في استبيان العميل حسب أولويتها وأخرجوا ميزانية، 3) بدلًا من إعطاء العميل رد رفض فوري، اكسبوا وقتًا بتقديم خارطة طريق لستة أشهر تتضمن تحسينات أمنية.

قبل عامين مررنا بحالة مشابهة مع مصنّع ألماني في عملية شهادة الجودة. في البداية بدت ثقيلة وغير ضرورية أبدًا، لكن بعد تنفيذ تلك اللوائح وتشديد الأمن الداخلي، منعنا فقدان البيانات داخل الشركة واستخدمناها كمرجع قوي عند تقديم عروض لشركات كبيرة أخرى.

أنت محق تمامًا. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً... هذا كل شيء، أرجو المعذرة إذا أطالت.

أنت محق.

صحيح نظرياً، لكنه لا يسير هكذا عملياً. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

حدث معنا هذا. عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

تقرير الفحص الآلي ليس نفس اختبار الاختراق. إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

حدث معنا هذا. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

بالتوفيق.

عانيت من نفس الشيء.

دعني أشارك تجربتي. على كل حال معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

دعني أتركها كملاحظة، قد تكون مفيدة.

لا أستطيع الموافقة تمامًا على هذا. يعني معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

أعتقد أن الحديث بهذه القطعية في جانب لائحة nis2 صعب. عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

هذا كل شيء، أرجو المعذرة إذا أطالت.