Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), będąca implementacją unijnej dyrektywy NIS2 w Polsce, nakłada na firmy obowiązek wdrożenia bardzo konkretnych zabezpieczeń technicznych. Przepisy przenoszą nacisk z ogólnych deklaracji bezpieczeństwa na wymóg stosowania zaawansowanych rozwiązań, takich jak uwierzytelnianie wieloskładnikowe (MFA), rygorystyczna kontrola dostępu oraz sformalizowane polityki kryptograficzne.
Od higieny cyfrowej do twardych wymagań technologicznych
Do tej pory wiele organizacji podchodziło do zabezpieczeń infrastruktury IT w sposób wybiórczy, opierając się na podstawowych mechanizmach ochrony obwodowej. Nowa ustawa o KSC gruntownie zmienia ten paradygmat. Zgodnie z wytycznymi, które mają swoje źródło w art. 21 dyrektywy NIS2, zarówno podmioty kluczowe, jak i ważne muszą wdrożyć odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne. Ustawa wprost wskazuje obszary technologiczne, które nie mogą zostać pominięte w architekturze systemów informatycznych.
Ustawodawca wymaga, aby stosowane technologie były adekwatne do zidentyfikowanego ryzyka. Oznacza to, że tradycyjne hasła lub brak szyfrowania danych wrażliwych nie obronią się w przypadku kontroli lub, co gorsza, po wystąpieniu incydentu bezpieczeństwa. Firmy B2B muszą zweryfikować swój stos technologiczny i dostosować go do nowych standardów prawnych.
Uwierzytelnianie wieloskładnikowe (MFA) jako fundament bezpieczeństwa
Jednym z najbardziej jednoznacznych wymogów technologicznych wprowadzanych przez nowe regulacje jest konieczność stosowania uwierzytelniania wieloskładnikowego (MFA) lub ciągłego uwierzytelniania w odniesieniu do krytycznych systemów i danych. Ustawa traktuje MFA nie jako dobrą praktykę, ale jako bazowy wymóg technologiczny chroniący przed nieautoryzowanym dostępem.
Gdzie wdrożenie MFA jest absolutnie krytyczne?
- Dostęp zdalny i połączenia VPN: Każdy pracownik, kontrahent lub partner B2B łączący się z firmową siecią z zewnątrz musi być uwierzytelniany wieloskładnikowo. Zabezpiecza to organizację przed skutkami kradzieży danych logowania.
- Konta z uprawnieniami administracyjnymi: Administratorzy IT, posiadający dostęp do konfiguracji serwerów, zapór sieciowych (firewall) czy baz danych, muszą podlegać najbardziej rygorystycznym politykom uwierzytelniania, nierzadko wspartym fizycznymi kluczami bezpieczeństwa.
- Dostęp do chmury i systemów ERP/CRM: Systemy przetwarzające kluczowe dane biznesowe, tajemnice przedsiębiorstwa czy dane klientów muszą być chronione przed atakami typu brute-force i credential stuffing.
Wdrożenie MFA to również pierwszy krok w stronę nowoczesnej architektury Zero Trust (Zaufania Zerowego), która zakłada, że żadne urządzenie ani użytkownik nie są domyślnie bezpieczni, nawet jeśli znajdują się wewnątrz sieci firmowej.
Polityka stosowania kryptografii i szyfrowania danych
Nowa ustawa o KSC kładzie ogromny nacisk na zabezpieczenie integralności i poufności informacji. Przepisy wymagają od podmiotów objętych ustawą wdrożenia polityki i procedur dotyczących stosowania kryptografii oraz, w stosownych przypadkach, szyfrowania. Z perspektywy firmy B2B oznacza to konieczność systemowego podejścia do ochrony danych w dwóch kluczowych stanach:
- Data at rest (dane w spoczynku): Szyfrowanie nośników danych, dysków na stacjach roboczych pracowników (np. BitLocker, FileVault), szyfrowanie baz danych oraz macierzy dyskowych w serwerowniach.
- Data in transit (dane w przesyłowaniu): Zabezpieczenie komunikacji wewnątrz firmy oraz na styku z systemami zewnętrznymi za pomocą silnych protokołów kryptograficznych (np. TLS 1.3). Dotyczy to zarówno ruchu sieciowego, poczty e-mail, jak i interfejsów API udostępnianych partnerom biznesowym.
Samo uruchomienie szyfrowania to jednak za mało. KSC wymaga posiadania polityki, co w praktyce wymusza uregulowanie kwestii zarządzania kluczami kryptograficznymi. Organizacja musi wiedzieć, kto generuje klucze, gdzie są one bezpiecznie przechowywane (np. w modułach HSM lub dedykowanych usługach chmurowych typu Key Vault), w jaki sposób następuje ich rotacja oraz co dzieje się w przypadku ich kompromitacji.
Bezpieczeństwo zasobów ludzkich i Zarządzanie Dostępem (IAM)
Cyberbezpieczeństwo opiera się na kontroli tego, kto i do czego ma dostęp. Nowe przepisy wymagają wdrożenia rygorystycznych polityk kontroli dostępu do systemów i informacji. Systemy klasy Identity and Access Management (IAM) stają się w dobie KSC niezbędnym narzędziem dla firm o rozbudowanej strukturze organizacyjnej.
Kluczowe w tym aspekcie jest wdrożenie zasady najmniejszego uprzywilejowania (Least Privilege Principle). Pracownicy oraz systemy zewnętrzne powinni posiadać tylko takie uprawnienia, które są absolutnie niezbędne do wykonywania ich obowiązków. Ustawa wymusza również na firmach posiadanie sprawnych procesów zarządzania cyklem życia tożsamości użytkownika (onboarding i offboarding). Z technicznego punktu widzenia oznacza to konieczność natychmiastowego blokowania dostępu i rewokacji certyfikatów w momencie rozwiązania umowy z pracownikiem lub dostawcą zewnętrznym.
Bezpieczna komunikacja wewnętrzna w sytuacjach kryzysowych
Często pomijanym, a niezwykle istotnym wymogiem technologicznym wynikającym z nowych przepisów, jest konieczność zapewnienia zabezpieczonych systemów komunikacji głosowej, wideo i tekstowej wewnątrz podmiotu. Ustawodawca ma tu na myśli przede wszystkim zdolność firmy do bezpiecznej wymiany informacji w trakcie trwania cyberataku.
W przypadku zaawansowanego ataku typu ransomware, podstawowa infrastruktura komunikacyjna (np. firmowy serwer pocztowy czy popularny komunikator zintegrowany z Active Directory) może zostać skompromitowana lub zaszyfrowana. Dlatego firmy objęte KSC muszą posiadać alternatywne, odseparowane od głównej sieci kanały komunikacji (tzw. out-of-band communication), które opierają się na szyfrowaniu End-to-End (E2EE). Kanały te służą zespołom reagowania na incydenty (CSIRT/SOC) oraz kadrze zarządzającej do bezpiecznego koordynowania działań naprawczych bez ryzyka podsłuchania przez atakującego.
Najważniejsze wnioski
- Obowiązkowe MFA: Uwierzytelnianie wieloskładnikowe staje się prawnym wymogiem dla systemów krytycznych, dostępów zdalnych oraz kont uprzywilejowanych. Brak MFA to rażące naruszenie przepisów.
- Zarządzanie kryptografią: Ustawa o KSC wymaga nie tylko włączenia szyfrowania dysków i połączeń, ale posiadania pełnej polityki kryptograficznej, w tym bezpiecznego cyklu życia kluczy szyfrujących.
- Rygorystyczny IAM: Organizacje muszą wdrożyć zasadę najmniejszego uprzywilejowania oraz automatyzację odbierania uprawnień (offboarding), aby zapobiec nieautoryzowanemu dostępowi tzw. martwych kont.
- Komunikacja kryzysowa: Podmioty kluczowe i ważne muszą wdrożyć odseparowane, szyfrowane (E2EE) systemy komunikacji do zarządzania incydentami w przypadku kompromitacji głównej sieci.
Treść ma charakter informacyjny i edukacyjny — nie stanowi porady prawnej. Przy wyniku granicznym skonsultuj się z radcą prawnym lub adwokatem.