Els organismes de la UE han d'intensificar la seva preparació per a la ciberseguretat

El nombre d'atacs cibernètics contra els organismes de la UE està augmentant considerablement. El nivell
de la preparació per a la ciberseguretat dins dels organismes de la UE varia i, en general, no ho és
d'acord amb les amenaces creixents. Atès que els organismes de la UE estan fortament
interconnectats, una debilitat en un pot exposar els altres a amenaces de seguretat.
Aquesta és la conclusió d'un informe especial del Tribunal Europeu de
Auditors que examina com estan preparats les entitats de govern de la UE
contra les ciberamenaces. Els auditors recomanen que vinculi la ciberseguretat
s'han d'introduir regles i la quantitat de recursos disponibles per al
S'hauria d'augmentar l'equip de resposta a emergències informàtiques (CERT-EU). El
La Comissió Europea també hauria de promoure una major cooperació entre la UE
organismes, diuen els auditors, mentre que el CERT-EU i l'Agència de la Unió Europea per
La ciberseguretat hauria de centrar-se en aquells organismes de la UE que en tenen menys
experiència en la gestió de la ciberseguretat.*

Els incidents significatius de ciberseguretat als organismes de la UE van augmentar més que
deu vegades entre 2018 i 2021; el treball a distància ha augmentat considerablement
el nombre de punts d'accés potencials per als atacants. Incidents importants
generalment són causats per ciberatacs complexos que normalment impliquen l'ús
de nous mètodes i tecnologies, i pot trigar setmanes si no mesos
investigar i recuperar-se. Un exemple va ser el ciberatac al
Agència Europea del Medicament, on es van filtrar i manipular dades sensibles
minar la confiança en les vacunes.

“*Les institucions, organismes i agències de la UE són objectius atractius pel potencial
atacants, especialment grups capaços d'executar altament sofisticats
atacs sigils per a ciberespionatge i altres finalitats nefastes*”, va dir
Bettina Jakobsen, membre de l'ECA que va dirigir l'auditoria. “*Aquests atacs poden tenir
implicacions polítiques significatives, perjudiquen la reputació general de la UE,
i minar la confiança en les seves institucions. La UE ha d'intensificar els seus esforços
protegir les seves pròpies organitzacions.*”

La principal constatació dels auditors va ser que les institucions, òrgans i òrgans de la UE
Les agències no sempre estan ben protegides contra les amenaces cibernètiques. Ells no
abordar la ciberseguretat de manera coherent, els controls essencials i la clau
les bones pràctiques de ciberseguretat no sempre estan vigents, i la ciberseguretat
no s'ofereix formació sistemàtica. L'assignació de recursos a
la ciberseguretat varia molt i diversos organismes de la UE estan gastant
considerablement menys que els companys comparables. Tot i que les diferències en
Els nivells de ciberseguretat es podrien justificar teòricament pel diferent risc
perfils de cada organització i els diferents nivells de sensibilitat de la
dades que manegen, els auditors subratllen que les debilitats de la ciberseguretat en a
Un únic organisme de la UE pot exposar altres organitzacions a la ciberseguretat
amenaces (tots els organismes de la UE estan connectats entre si, i sovint amb el públic i
organitzacions privades dels Estats membres).

L'Equip de Resposta a Emergències Informàtiques (CERT-EU) i la Unió Europea
L'Agència per a la Ciberseguretat (ENISA) són les dues entitats principals de la UE encarregades
donar suport a la ciberseguretat. Tanmateix, no han pogut
proporcionar als organismes de la UE tot el suport que necessiten, a causa dels recursos
limitacions o prioritat a altres àrees. Compartir informació és
també una mancança, diuen els auditors: per exemple, no tots els organismes de la UE ho porten
informar oportunament sobre vulnerabilitats i ciberseguretat important
incidents que els han afectat i poden afectar altres.

Actualment, no hi ha un marc legal per a la seguretat de la informació i
ciberseguretat a les institucions, agències i organismes de la UE. No estan subjectes
a la legislació de la UE més àmplia sobre ciberseguretat, la directiva NIS de 2016 o
a la seva proposta de revisió, la directiva NIS2. Tampoc n'hi ha
informació completa sobre l'import gastat pels organismes de la UE en
seguretat cibernètica. Les normes comunes sobre seguretat de la informació i sobre
la ciberseguretat per a tots els organismes de la UE s'inclouen a la comunicació sobre la UE
Estratègia de la Unió de Seguretat per al període 2020-2025, publicada per la
Comissió el juliol de 2020. A l'Estratègia de ciberseguretat de la UE per al digital
Dècada, publicada el desembre de 2020, la Comissió es va comprometre a proposar a
Reglament sobre normes comunes de ciberseguretat per a tots els organismes de la UE. També
va proposar l'establiment d'una nova base legal per reforçar el CERT-EU
el seu mandat i finançament.

e>

anunci

Comparteix aquest article: