Varnost omrežij in storitev ter celovitosti omrežij

Ustrezna omrežna in informacijska varnost sta izredno pomembna dejavnika za normalno delovanje gospodarstva in razvoj družbe. Prekinitve ali poslabšanje delovanja elektronskih komunikacijskih storitev zaradi zlonamernih dejanj, naravnih nesreč, sistemskih ali človeških napak lahko kritično vplivajo na delovanje informacijske družbe. Evropska direktiva 2009/140/ES je prinesla številne zakonodajne spremembe in dopolnitve s področja elektronskih komunikacij. Ena od pomembnih usmeritev direktive je zaveza, da se mora zagotoviti ustrezna varnost in celovitost omrežij in storitev. Slovenija je omenjeno direktivo prenesla v nacionalni okvir v okviru Zakona o elektronskih komunikacijah.

ZEKom-1 v 7. poglavju nalaga operaterjem, da morajo sprejeti ustrezne tehnične in organizacijske ukrepe za ustrezno obvladovanje tveganja za varnost omrežij in storitev, zlasti z namenom preprečevanja in zmanjševanja učinkov varnostih incidentov na uporabnike in medsebojno povezana omrežja. Operaterji morajo sprejeti vse potrebne ukrepe za zagotovitev celovitosti svojih omrežij, z namenom, da se zagotovi neprekinjeno izvajanje storitev prek teh omrežij. Operaterjem je tudi naložena obveznost obveščanja in poročanja v primeru kršitev varnosti ali celovitosti. Agencija v okviru svojih pristojnostih o posameznih kršitvah varnosti in storitev ter o kršitvah celovitosti omrežij po potrebi in glede na stopnjo kršitve obvešča nacionalno kontaktno točko za obravnavanje varnostnih incidentov (SI-CERT), nacionalne regulatorne organe v drugih državah članicah ter Evropsko agencijo za varnost omrežij in informacij (ENISA).

Agencija je v skladu ZEKom-1 objavila Splošni akt o varnosti omrežij in storitev, s katerim je podrobneje določila organizacijske ukrepe, ki jih morajo sprejeti operaterji, da zagotovijo celovitost svojega omrežja ter neprekinjeno delovanje storitev prek teh omrežij. V skladu s Splošnim aktom mora operater vzpostaviti in vzdrževati dokumentiran sistem za upravljanje varovanja informacij (SUVI) ter sistem upravljanja neprekinjenega poslovanja (SUNP). Tehnični ukrepi niso bili določeni, saj so pogojeni z značilnostjo poslovanja, organizacije, lokacije, velikosti, tehnologije ter izvedene analize tveganja vsakega operaterja posebej. V primeru kršitev varnosti omrežij in storitev ali celovitosti omrežij, če bi te pomembno vplivale na delovanje javnih komunikacijskih omrežij ali izvajanje javnih komunikacijskih storitev mora operater takoj, ko to zazna obvestiti agencijo.

Poročilo o incidentu varnosti in celovitosti (26.63 kB)

[ Prenesi ]

Incident reporting template (28.37 kB)

[ Prenesi ]

Obvestilo o omejitvah ter prekinitvah v omrežju in storitvah (18.92 kB)

[ Prenesi ]

Več o varnosti omrežij lahko preberete na naslednjih straneh:

• Portal delovne skupine Article 13a
• Zlorabe in vdori v zasebne naročniške centrale (PBX) ter potrebni ukrepi
• SI-CERT
• Spletno oko
• Varni na spletu

Priporočila ENISE:

• Threat Landscape and Good Practice Guide
• Security Guide for ICT Procurement
• Secure ICT Procurement in Electronic Communications
• Upravljanje neprekinjenega poslovanja za majhna in srednja podjetja
• Tehnične smernice za vzpostavitev minimalnih varnostnih ukrepov
• Tehnične smernice za poročanje o varnostnih incidentih
• Pregled relevantnih standardov in dobrih praks s področja omrežne in informacijske varnosti
• Sheme za nadzor varnostnih ukrepov