Giderek daha karmaşık hale gelen siber tehditlerin artmasıyla birlikte, Ağ ve Bilgi Sistemleri 2 Direktifi (NIS2)’nin amacı, kritik hizmetleri ve altyapıyı korumak, ve AB ülkelerinde siber saldırıların %46,5’e yükselmiş olması nedeniyle AB şirketlerini daha yüksek standartlara tabi tutmaktır.
NIS2, Avrupa Birliği genelinde ağ ve bilgi sistemlerinin siber güvenliğini güçlendirmeyi amaçlamaktadır ve NIS1 Direktifi’ni temel almaktadır.
NIS2, asıl direktifin kapsamını genişleterek daha geniş bir endüstri ve sektör yelpazesini kapsar ve AB genelinde 100.000’den fazla kuruluşa uygulanır. İşletmeleri “Temel” ve “Önemli” kuruluşlar olarak sınıflandırır ve daha sıkı güvenlik gereklilikleri ile yaptırımlar getirmektedir. NIS2 yürürlüğe girdiğinde, NIS1 Direktifi artık geçerli olmayacaktır.
NIS2 uyumluluğunu kolaylaştırmak için kuruluşların; kurumsal verileri koruyan, düzenleyici gereklilikleri karşılayan ve iş sürekliliğini destekleyen veri koruma stratejileri uygulamaları gerekmektedir.
NIS2 uyumluluğu neden önemlidir?
NIS2’nin AB genelinde standart hale gelmesiyle birlikte, bir şirketin bu düzenlemeye uymadığı tespit edilirse, çok şey risk altına girer. Şirketler çok yüksek para cezalarıyla karşı karşıya kalabilirken, yönetim de şahsen sorumlu tutulabilir. NIS2 kapsamında, yetkililer kuruluşlardan belirli güvenlik önlemlerini uygulamalarını, sistemdeki güvenlik açıklarını gidermelerini ve uyumluluğu sağlamak için denetimler ve teftişler yapmalarını talep etme yetkisine sahiptir.
NIS2 gerekliliklerinin karşılanmaması; şirketleri fidye yazılımı saldırıları, veri kaybı ve sistem kesintileri gibi ciddi tehditlere açık hale getirebilir. NIS2, kritik sistemleri güvence altına almak, verileri korumak ve uyumluluk gerekliliklerini yerine getirmek amacıyla işletmelerde siber güvenliği güçlendirmeyi amaçlamaktadır.
Şirketlerle çalışan tedarik zinciri ortakları ve üçüncü taraf hizmet sağlayıcıları da NIS2 standartlarına uymak zorundadır. Bu nedenle kuruluşların tedarikçilerine yönelik siber güvenlik değerlendirmeleri yapmaları gerekir. Tedarikçiler bu standartlara uymuyorsa, onlarla çalışmaya son verilmesi gerekebilir. Aksi takdirde şirket, NIS2 ile uyumsuzluk riskiyle karşı karşıya kalabilir.
NIS2 kapsamında, enerji, ulaştırma, finans veya sağlık sektörlerine ait olanlar gibi kritik kuruluşlar, 10 milyon avroya kadar veya dünya çapındaki toplam yıllık cirolarının yüzde 2’sine kadar para cezasına çarptırılabilir. İmalat, dijital hizmet sağlayıcılar ve posta sektörleri gibi önemli kuruluşlar ise 7 milyon avroya kadar veya yıllık cirolarının yüzde 1,4’üne kadar para cezasına çarptırılabilir.
Şirketler, NIS2 kapsamında tüm siber güvenlik olaylarını bildirmekle yükümlüdür. Aksi takdirde ciddi cezalarla karşı karşıya kalabilirler. Etkilenen kişilere 24 saat içinde erken uyarı verilmeli, ardından 72 saat içinde resmi bir olay bildirimi yapılmalıdır. Bir ay içinde nihai bir rapor sunulmalı ve sonraki tüm güncellemeler orijinal olay raporuna eklenmelidir.
Özel olarak tasarlanmış bir yedekleme cihazı ile NIS2 siber güvenlik gerekliliklerini uygulayın
NIS2, veri koruma için bir çerçeve sunar; ancak bu gerekliliklerin nasıl uygulanacağı kuruluşların sorumluluğundadır. ActiveProtect ile şirketler, güçlü yedekleme ve kurtarma özellikleri, birleşik yönetim ve gelişmiş güvenlik önlemleri sayesinde siber güvenlik gerekliliklerini karşılayabilirler.
| NIS2 gereklilikleri | NIS2 gereklilikleri nasıl karşılanır? |
| Article 21(1): “…temel ve önemli kuruluşlar, ağ ve bilgi sistemlerinin güvenliğini tehdit eden riskleri yönetmek için uygun ve orantılı teknik, operasyonel ve organizasyonel önlemler alırlar…” | Yedekleme doğrulama Veri bütünlüğü kontrolleri Değiştirilemezlik Air-gapping |
| Article 21(2)(b): “olay yönetimi;” Article 21(2)(c): “…yedekleme yönetimi ve felaket kurtarma gibi iş sürekliliği ve kriz yönetimi;” | Merkezi yönetim Felaket kurtarma testleri için sandbox ortamı Anında veri geri yükleme |
| Article 21(2)(h): “kriptografi ve uygun olduğu durumlarda şifreleme kullanımına ilişkin politikalar ve prosedürler…” | Uçtan uca güvenli veri iletimi |
| Article 21(2)(i): “…insan kaynakları güvenliği, erişim kontrol politikaları ve varlık yönetimi” Article 21(2)(j): “çok faktörlü kimlik doğrulama veya sürekli kimlik doğrulama çözümlerinin kullanımı…” | Rol tabanlı erişim kontrolü Gelişmiş kimlik doğrulama yöntemleri |
Veri dayanıklılığı: NIS2 kapsamında, işletmeler verilerin güvenli bir şekilde depolanmasını sağlamak için teknik önlemler almak zorundadır. Doğru yedeklemelerin depolandığından emin olmak için ActiveProtect, otomatik yedekleme doğrulama özelliğiyle birlikte sunulur. Ayrıca, bozuk verileri tespit etmek ve onarmak için kendi kendini onarma özelliği kullanılır.
ActiveProtect’in air-gap özellikleri sayesinde yedeklemelerinizi kilitleyin ve izole edilmiş, temiz kopyalarını güvenli bir yerde saklayın. Synology’nin bu amaca özel olarak tasarlanmış yedekleme cihazı, verilerin tahrif edilmesini ve silinmesini önlemek için yerleşik bir değiştirilemezlik özelliğine de sahiptir.
İş sürekliliği: NIS2 gerekliliklerine uyum sağlamak ve iş sürekliliğini garanti altına almak amacıyla ActiveProtect, kullanıcılara korunan iş yüklerini, yedekleme durumunu, tekilleştirme oranını ve daha fazlasını görüntüleyerek veri görünürlüğü sağlayan bir kontrol paneli sunar.
ActiveProtect ayrıca yerleşik bir hipervizör ile birlikte gelir. Böylece şirketler, gerektiğinde verilerin başarılı bir şekilde kurtarılmasını sağlamak amacıyla felaket kurtarma stratejilerini bir sanal ortamda test edebilirler. Kötü amaçlı yazılım tehditleriyle karşı karşıya kaldığınızda, iş faaliyetlerinizi mümkün olan en kısa sürede yeniden başlatmak için verilerinizi anında geri yükleyin.
Veri güvenliği: NIS2, gerektiğinde şifreleme yapılmasını tavsiye ettiğinden, ActiveProtect verileri depolamak için uçtan uca güvenli veri aktarımı kullanır. Veriler uzak bir depolama konumuna aktarıldığında AES-256 şifreleme kullanılır.
Veri erişim güvenlik önlemleri: NIS2, kullanıcı kimliğini doğrulamak için çok faktörlü kimlik doğrulama (MFA) veya diğer kimlik doğrulama çözümlerinin kullanılmasını önerdiğinden, ActiveProtect çok sayıda kullanıcı kimlik doğrulama yöntemi ve erişim kontrolü sunar. Kullanıcı yönetimini merkezileştirmek için Windows AD ve LDAP entegrasyonu yoluyla kullanıcı kimlik doğrulamasını kurun. Şirketler ayrıca, SSO/MFA sunucunuzda yapılandırılmış mevcut MFA yöntemleriyle birlikte SSO’yu da kullanabilir.
ActiveProtect aracılığıyla sunucu erişimi, yedekleme ve geri yükleme ya da salt görüntüleme erişimi için kullanıcı izinleri atayarak çalışanların verilere erişimini sınırlayın.
Synology ActiveProtect hakkında daha fazla bilgi edinmek için buraya tıklayın.