Europako NIS2 zuzentarauak zibersegurtasuneko neurriak ezartzera behartzen ditu dagoeneko ETEak

EAEko enpresa-ehunak, batez ere ETE-ek, zibersegurtasunaren eremuan dituen hobekuntza-arloak onartzea da beren egituragatik erasotuak izateko enpresa ahulenak direla onartzea, eta beren baliabide ekonomikoak amaigabeak ez direnez, egunerokoan segurtasun-sistemak ezartzeko baliabide gutxi dituztela onartzea. Testuinguru horretan, Europa jarduteko eta egoera hori aldatzeko prest dago, eta, horretarako, derrigorrez bete beharreko Europako zuzentarau bat idatzi berri du, aurki sartuko dena indarrean. Zer helbururekin? Enpresa guztiek zibersegurtasuneko neurriak ezartzea. Errealitate berri horretatik eratorritako kontuei erantzuteko, Xabier Michelenak zuzendu eta Lorenzo Díaz de Apodacak gidatzen duen Cybertux euskal zentro teknologikoak tresna bat garatu berri du egun Euskadiko ETE-ek bizi duten egoera horretan laguntzeko eta sinplifikatzeko.

Zein da enpresa guztiak zibersegurtasuneko protokoloak ezartzera behartuko dituen Europako araudi horren azken ordukoa?

Europako zuzentarauak NIS2 du izena eta 2020ko abenduan argitaratu zen, baina 2023ko urtarrilean sartu zen indarrean eta, kasu honetan, urriaren 17rako zegoen aurreikusita Espainiako legedian ezartzea. Hortaz, garaiz gabiltza ez delako berehala ezarriko eta une ona da enpresak neurriak hartzen hasteko.

Betetzen ez duen enpresak zer ondorio izan ditzake?

Bada, bete beharreko arau bat dagoen aldi ia guztietan bezala, zigorrik agerikoena ekonomikoa da. Badirudi poltsikoa ukitzen ez badigute ez dugula erreakzionatzen eta, kasu honetan, 10 milioi eurora bitarteko zigorrez edo fakturazioaren % 2az ari gara, enpresa sektore Kritiko batekoa bada, eta 7 milioi eurokoa edo % 1,4koa sektore Garrantzitsu batekoa bada. Eta zigor ekonomikoaz gain, ospea eta, batez ere, lehiakortasuna daude, kolpe handia jasoko luketelako. Zuzentaraua derrigorrez bete behar da; horrek esan nahi du, ez duela balioko atakatik ateratzen lagunduko digun zigilu bat erosteak, argi eta garbi esanda. Orainaldia eta etorkizuna markatuko dituen egiteko modua da.

Neurriak enpresa guztiei eragiten die oro har ala ETE-ei soilik?

Oso definituta dauden sektore kritiko batzuetako enpresa guztiei eragiten die. Eta gure fakturazioaren edo enplegatuen kopuruaren araberakoa da baita ere. Enpresa guztiak gara hirugarrengoen hornitzaileak eta hornikuntza-katearen parte gara. Horregatik, baliteke Europak edo gure bezeroak berak eskatzea zuzentaraua betetzeko, hornikuntza-katean egon daitezkeen arriskuak kudeatzeko.

Arau horren beste alderdi garrantzitsuetako bat da eragin zuzena duela enpresen zuzendaritzan… Zer esan nahi du horrek?

Horren guztiaren azken arduradun nominala zuzendaria dela eta erantzukizun legalak, ekonomikoak eta gaitasungabetzekoak izango dituela. Horregatik, prestakuntza egokia izan beharko du enpresa zibersegurtasunari dagokionez kudeatzeko.

Testuinguru hori mahai gainean jarrita, zein da Europaren benetako helburua zibersegurtasunaren ikuspegitik?

Segurtasunaren maila hobetzea. Baliteke beldurra sartu nahi izatea izugarrizko arazo horrekin amaitzeko; edo baliteke enpresak merituak egitera behartzea, ez soilik gure aktibo propioak babesteko, baita gurekin lan egiten duten bezeroenak ere. Zibersegurtasuna kritikoa da gure bizitzetan, eragiten diguten sektore ekonomiko guztietan dagoelako presente, baita txikienean ere. Horregatik, Europaren helburua da enpresen zibersegurtasuna hobetzea, azpiegitura kritikoak babestea eta, batez ere, egunero jasotzen ditugun eraso horiei erantzuteko gaitasun hobea eta antolatuagoa izatea. Hori guztiaz gain, lankidetza eta komunikazio eraginkorra sustatu nahi dira.

ETE-en arloan ohikoa da mantra historiko hau entzutea: “Nola egingo didate niri eraso balioa duen ezer ez badut? Zer lapurtuko didate?”

Hori bukatu da eta aitzakia mota horiek desagertu egin beharko dira. Zabarkeria digitalarekin bere kabuz amaitzeko gai izan ez garenez, orain derrigorrez eta erantzukizunak hartuz egin beharko dugu. 2025eko apirilean argitaratuko da NIS2 aplikatuko zaien enpresen zerrenda, zalantzarik ez izateko. Gainera, hornikuntza-katearen parte garenoi gure bezeroek eskatuko digute.

Eguneroko erasoak esan berri duzu… Hala da benetan eta zer eraso mota dira?

Erasoak segundoro gertatzen dira, errepikatu egiten dira erabat eta milaka eta milioika euroko kostuak izaten dituzte. Eta erasoei dagokienez, ikasten goaz, neurriak hartuz goaz, eta, zorionez, eraso guztiak ez dira arrakastatsuak. Baina ezin dugu ahaztu eraso arrakastatsu bat jasaten duten ETE-en % 60 desagertu egiten dela hurrengo sei hilabetetan. Jarduera eteten dute. Oso gogorra da.

Eta nolako erasoak dira?

Ohikoenak dira identitatea ordezkatzeko jasotzen ditugun mezu elektronikoak. Eraso horren helburua da gure egiaztagiriak edo ransomwarea eskuratzea, eta gure datuak zifratzen ditu erreskate bat eskatzeko edo estortsioak egiteko gure informazioaren truke. Eta, jakina, kasu batzuetan, gure sistema zerbait eskatzeko konprometitu beharrean, hirugarrengo batengana sartzeko konprometitzen dute. Batzuetan ez gara helburua, helburura iristeko bitartekoa baizik.

Eta Cybertixen moduko enpresa batek zer eskaintzen du testuinguru horretan?

Cybertixen erronka bat dugu: ETE-ei laguntzea; izan ere, badakigu egunerokoak dituzten baliabideak negozioa aurrera ateratzeko direla. Eta plataforma bat lantzen ari gara, enpresa mota horien segurtasuna errazteko eta automatizatzeko. Plataforma bakar batetik eta maila teknikoan ezagutza oso handirik izan beharrik gabe, modelo horrek aukera ematen du enpresa handietako segurtasuneko tresna ohikoek egiten dutenaren % 95era iristeko. Hau da, modu erraz eta ia automatikoan eta plataforma bakarrarekin, ETEa erabat babestuta eta interes apur bat adierazten duen edonork barrutik kudeatuta egon dadin nahi dugu. Zibersegurtasuna irisgarria eta erabilgarria egiten dugu enpresa guztientzat.

Interesa duten ETE-ek nora jo dezakete?

 SPRI Taldeak sustatzen duen SOC (Security Operations Center) eta Ziber arloko Ziurtapenak programaren dirulaguntzak eska ditzakete. Laguntza horien helburua da ETE-en zibersegurtasuna indartzea SOC zerbitzuak ezartzearekin lotutako proiektuak finantzatzeko eta zibersegurtasunaren arloan aitortuta dauden ziurtagiriak lortzeko. Dirulaguntzek zerbitzu horiekin lotutako gastuen % 75era arte hartuko dute barne, 25.000 euroko mugarekin gehienez ere ETE bakoitzeko. Horri esker, enpresek segurtasun digitala hobetu dezakete proiektuaren kostu osoa ordaindu beharrik gabe.

Eta zer proiektu mota finantzatu daitezke?

 Bi lerro daude. Batek Segurtasun Eragiketa Zentroetako (SOC) zerbitzuak kontratatzea finantzatzen du, enpresek laguntza jaso dezaten haien sistema informatikoak denbora errealean monitorizatzeko eta zaintzeko. Lerro horren barruan sartzen da Cybertixen eskaintzen dugun segurtasuneko jazoerak hautemateko eta arintze-neurriak modu proaktiboan exekutatzeko soluzioa. Eta bigarrena Pentesting zerbitzuentzat eta ENS, ISO 27001 motako ziurtagirientzat da edo NIS2 egokitzeko. Hor ere neurrira egindako zerbitzuak eskaintzen ditugu.