NIS2 kommer att införlivas i lag i alla EU:s medlemsländer om tre månader. Den kräver förbättrad baslinjesäkerhet, incidentrespons, säkerhet i försörjningskedjan och mycket mer för att göra operatörer av viktiga tjänster mer cybermotståndskraftiga. Om organisationer var i tvivel om varför sådana regler är nödvändiga, behöver du inte leta längre än den senaste NHS ransomware-katastrofen.

Lyckligtvis kan branschens bästa praxis räcka långt för att både effektivisera NIS 2-efterlevnaden och minska risken för en livshotande cyberincident.

Sjukvård under eld

I slutändan riktades ransomware-attacken som hade en sådan katastrofal inverkan på NHS-patienter mot en föga känd vårdleverantör av patologitjänster och i skrivande stund hade den orsakat att över 800 planerade operationer och 700 polikliniska möten ställdes in och omarrangeras, inklusive några potentiellt livräddande procedurer. Dessa siffror avser de två mest drabbade NHS Trusts - King's College Hospital NHS Foundation Trust och Guy's and St Thomas' NHS Foundation Trust - och endast för 3-9 juni, så den faktiska störningen kommer sannolikt att bli ännu större.

Utöver de inställda besöken tvingades NHS att vädja om blodgivare och volontärer efter händelsen. Även om leverantören i fråga, Synnovis, planerar att återställa viss IT-funktionalitet "under de kommande veckorna", varnade de för att "fullständig teknisk återställning" skulle ta längre tid, och att störningar sannolikt kommer att uppstå i "månader".

Ransomware-aktörer riktar in sig på hälso- och sjukvården allt oftare, och varje gång de gör det finns det en risk för att störningar i tjänsten kan få en potentiellt livshotande inverkan på patienter. I Alabama år 2021 stämde mamman till ett nio månader gammalt barn sjukhuset där hennes dotter föddes och hävdade att de inte hade avslöjat att de hade drabbats av en ransomware-attack vid den tidpunkten. Eftersom cyberattacken störde kritiska operativa tekniska enheter (OT) kunde läkare inte övervaka barnets tillstånd ordentligt, enligt mamman. Tyvärr ådrog hon sig allvarliga hjärnskador och avled nio månader senare.

25 % risk för dödsfall

Naturligtvis är hälso- och sjukvården bara en av många kritiska nationella infrastruktursektorer där cyberattacker kan få ödesdigra konsekvenser. Regeringens rapport National Risk Register 2023 uppskattar att en allvarlig cyberattack mot CNI har en chans på 5–25 % att inträffa under de kommande två åren. Den hävdar att detta kan resultera i dödsfall på upp till 1000 personer och offer på upp till 2000.

I många sådana organisationer är det användningen av OT- och IoT-teknik som kan utsätta dem för attacker med farliga kinetiska effekter. Detta kan ses inom vattenreningsbranschen, där en attack 2016 resulterade i att hotande aktörer ändrade nivån av kemikalier i dricksvatten fyra gånger innan attacken flaggades.

Enligt Anton Shipulin, cybersäkerhetsevangelist på OT-säkerhetsspecialisten Nozomi Networks , är det utmanande men genomförbart att utföra riktade livshotande cyberattacker.

"Det kräver flera villkor för hotaktören, inklusive processkunskap, tid, pengar, personal och ett sårbart mål", säger han till ISMS.online.

"Men när livskritiska eller farliga processer är starkt beroende av digital teknik, kan till och med oriktade attacker eller tekniska fel äventyra dessa system, vilket potentiellt kan orsaka dödsfall eller skador. Detta gäller särskilt inom sektorer som hälsovård, industriell robotik och kemikalier.”

Sean Tufts, managing partner för kritisk infrastruktur på Optiv, håller med om att ransomware fortfarande är det mest potenta hotet mot CNI, med tanke på det stora antalet grupper i stort och den lätthet med vilken många kan utnyttja luckor i skyddet.

"En hacker som spränger en transformatorstation eller ett raffinaderi är inte omöjligt, men väldigt svårt. Du skulle behöva en mycket avancerad hackningsorganisation i kombination med ett team som vet hur kraftverk fungerar”, säger han till ISMS.online.

"Det mer sannolika scenariot är att en hackare på låg nivå lägger ett ransomware-paket på ett system och stoppar en fysisk process. Om den processen är ett transportband, oljepump, elektrisk brytare eller styrsystem för berg- och dalbana, kan saker och ting bokstavligen snurra ur kontroll. Vår branschs nuvarande motto är "cybersäkerhet är säkerhet. Säkerheten är cybersäker”. Vi vill att utrustningen nära vår teknikers fingrar ska vara under deras kontroll.”

Avvärja hot och rädda liv

Alla dessa faktorer ökar insatserna avsevärt för cybersäkerhetsledare som verkar i sådana branscher. Frågan blir då, hur kan de förbättra cyberresiliens till den punkt där risken för livet hanteras på ett adekvat sätt?

"CISO:er bör tänka på hur de skulle kunna fortsätta tillhandahålla räddningstjänsten i händelse av ett långvarigt nätverksavbrott och införliva detta i en incidentresponsplan", råder S-RM-medarbetare för incidentrespons, James Tytler.

"De bör också genomföra regelbundna bordsövningar för att se till att alla relevanta parter är medvetna om sina roller och ansvar i förväg", säger han till ISMS.online.

Enligt Optivs Tufts kommer NIS 2 att tillhandahålla en användbar uppsättning säkerhetsmetoder att arbeta mot.

"NIS2s fokus på att sätta en cybersäkerhetsbaslinje som företag kan växa in i är mycket viktigt för att frigöra budget från historiskt lågmarginalföretag", hävdar han.

Men med tanke på Storbritanniens utträde ur EU kommer förordningen inte att gälla för alla organisationer. Ändå är NIS2 inte det enda spelet i stan, enligt Nozomi Networks Shipulin.

"Nästan alla kritiska infrastrukturindustrier som använder cyberfysiska system styrs av lokala bestämmelser eller internationella standarder som tar upp säkerheten för dessa system", förklarar han. "Därför är det bästa tillvägagångssättet att börja med att granska riktlinjerna för cybersäkerhet som tillhandahålls av branschregulatorn eller sektorspecifika internationella föreningar."

Bästa praxisstandarder som ISO27001 och IEC 62443 kan också hjälpa . Den förra kommer att minska säkerhetsproblem i IT-system som kan utnyttjas av ransomware-aktörer, och den senare är särskilt användbar eftersom den är utformad specifikt för OT-miljöer som industriella styrsystem.

"Denna standard byggdes av utövare, inte regulatorer. Dess tillämpbarhet är mycket hög och anpassad till våra branschbehov”, säger Optivs Tufts.

Med insatserna så höga måste CISO:er i CNI-sektorer komma tillbaka på den främre foten.