Assumption of Breach – fundament odporności cyfrowej w erze DORA i NIS2

W świecie cyberbezpieczeństwa powoli żegnamy się z naiwnym przekonaniem, że da się zbudować system nie do złamania. Coraz częściej zamiast tego stosuje się podejście assumption of breach – czyli założenie, że atak na organizację już się udał. Brzmi pesymistycznie? Wręcz przeciwnie. To chłodna kalkulacja, która pozwala firmom przygotować się na najgorsze i przetrwać.

Nowe realia – od ochrony do odporności

Jeszcze niedawno strategia bezpieczeństwa w wielu firmach sprowadzała się do inwestycji w firewalle, systemy antywirusowe czy kontrolę dostępu. Celem było „nie dopuścić do włamania”. Dziś – zwłaszcza w sektorze finansowym – to za mało. Regulacje takie jak DORA (Digital Operational Resilience Act) czy NIS2 jasno mówią: organizacje muszą myśleć o odporności. Nie tylko o zapobieganiu, ale też o tym, jak szybko wstaną z kolan, gdy atak się powiedzie.

DORA nie używa wprost terminu assumption of breach, ale wymusza takie myślenie. Instytucje finansowe muszą wdrożyć ramy zarządzania ryzykiem ICT, mieć gotowe plany reagowania na incydenty i procedury odtwarzania sprawności działania. Innymi słowy – regulator zakłada, że incydenty będą się zdarzać, a sukces mierzy się nie brakiem włamań, ale zdolnością do powrotu do normalności.

Zarząd na pierwszej linii

To nie jest już tylko domena działów IT czy zespołów bezpieczeństwa. Cyberodporność stała się tematem dla zarządów i rad nadzorczych. CEO, CFO i członkowie boardu muszą wiedzieć, jakie mogą być skutki ataku: od przestojów w operacjach, przez kary regulatorów, po utratę reputacji.

W tym układzie rola CISO rośnie – to już nie tylko specjalista od technologii, ale strategiczny doradca, który tłumaczy język zagrożeń na język ryzyka biznesowego. A polityki bezpieczeństwa przestają być dokumentem pisanym „do szuflady” – stają się praktycznym narzędziem zarządzania kryzysem.

Polityka incydentowa – więcej niż regulacyjny obowiązek

Zgodnie z DORA każda instytucja finansowa musi opracować i wdrożyć politykę zarządzania incydentami ICT. Brzmi formalnie, ale jej rola jest znacznie szersza:

▪️ określa, jak wykrywać i obsługiwać incydenty,

▪️ tworzy sieć kontaktów – zarówno wewnątrz organizacji, jak i na zewnątrz,

▪️ definiuje mechanizmy szybkiego reagowania na anomalie,

▪️ reguluje sposób przechowywania dowodów i ich analizę,

▪️ wymusza wyciąganie wniosków z powtarzających się problemów.

W podejściu assumption of breach taka polityka nie jest tylko „checkboxem” dla regulatora. To realny plan działania, oparty na założeniu, że ktoś już znalazł lukę w systemie. Kluczowe pytanie brzmi nie „czy dojdzie do incydentu?”, ale „jak ograniczyć jego skutki i jak szybko wrócić do gry?”.

Testowanie odporności – realizm zamiast pozorów

Największa zmiana dotyczy podejścia do testów. Zamiast symbolicznych pentestów czy raportów ze skanera, które dają fałszywe poczucie bezpieczeństwa, DORA wymaga całego programu testowania odporności. To katalog działań obejmujący m.in.:

▪️ skany podatności i analizy open source,

▪️ testy sieciowe i przeglądy kodu,

▪️ ćwiczenia scenariuszowe i testy end-to-end,

▪️ testy penetracyjne, w tym zaawansowane TLPT (Threat-Led Penetration Testing).

Co ważne – te testy mają być oparte na realistycznych scenariuszach. Zakłada się, że atakujący dostanie się do sieci i sprawdzamy, jak działają detekcja, eskalacja, komunikacja i decyzje na poziomie zarządu. Dopiero wtedy można rzetelnie ocenić gotowość organizacji.

Firmy, które tego nie robią, często przekonują się o swoich słabościach dopiero w prawdziwym kryzysie – a wtedy koszty są największe.

Weź udział w warsztatach „NIS2 & DORA w praktyce prawnej”, 9 października w Warszawie >>

Mindset, który ratuje biznes

Assumption of breach to nie kolejny modny buzzword. To sposób myślenia, który realnie wpływa na to, czy firma poradzi sobie w cyberkryzysie. DORA i NIS2 wymuszają, by ten mindset był obecny w dokumentacji, planach i testach. Ale prawdziwą wartością jest coś więcej – budowa odporności biznesowej, która pozwala organizacji przetrwać i działać dalej mimo cyberataku.

Innymi słowy: regulacje stawiają poprzeczkę, ale to, czy firma potraktuje je jako biurokratyczny obowiązek czy szansę na realne wzmocnienie organizacji, zależy od niej samej.

Praktyka zamiast teorii

Wdrażanie DORA i NIS2 to spore wyzwanie. Dlatego coraz popularniejsze stają się warsztaty i ćwiczenia, które pozwalają przećwiczyć scenariusze „na sucho”. Przykład? Warsztat „Implementacja DORA i NIS2 w praktyce – ryzyka ICT, incydenty i testowanie odporności” podczas konferencji NIS2 & DORA w praktyce prawnej - Zarządzanie ryzykiem regulacyjnym: umowy, procedury, odpowiedzialność zarządu. Uczestnicy dowiedzą się, jak przełożyć przepisy na procedury w firmie, jak budować plany reagowania i jak przygotować się do zaawansowanych testów typu red teaming.

Bo w świecie cyberbezpieczeństwa teoria jest ważna, ale to praktyka decyduje o tym, kto wyjdzie z ataku obronną ręką.

Autor:

Michal Rampášek, Leader of Criminal Law, Cybersecurity, Data and Privacy Protection and Polish Desk, PETERKA & PARTNERS