Старите компютри, NIS2 и ISO 27001: кои да смените и кои да изолирате

Нека бъдем честни: освен регулаторни изисквания и разходи, NIS2 е добър повод отговорните мениджъри да погледнат реално киберсигурността и състоянието на техниката и системите, с които работят всеки ден. Кои фирми попадат в обхвата и какво изисква законът сме описали подробно в статията NIS2 (МИС 2) за фирми. Тук ще говорим за нещо, което рядко се обсъжда: старите компютри и системи и кога те трябва да бъдат сменени, а кога изолирани.

Понеже техническите мерки в NIS2 до голяма степен съвпадат с тези в стандарта ISO 27001, всичко по-долу важи и за фирмите, които се готвят за сертификат, и за всяка фирма, която просто не иска да бъде лесна мишена.

Защо старите системи са първата цел

С навлизането на изкуствения интелект атаките стават все по-автоматизирани. Според доклада на Агенцията на ЕС за киберсигурност ENISA Threat Landscape 2025 още в началото на 2025 г. над 80% от наблюдаваните фишинг и социално-инженерни кампании в света са били подпомогнати от изкуствен интелект. А в доклада за 2026 г. ENISA посочва, че при 60% от пробивите, за които е установено как е станал достъпът, атакуващите са използвали уязвимост. Атакуващите не избират жертвите си по размер на фирмата. Те сканират интернет за най-лесните входове, а първи по ред са:

• остарели системи извън поддръжка (EOL), за които вече не излизат поправки за сигурност;
• необновени защитни стени и сървъри;
• лошо поддържани работни станции с остарял софтуер или софтуер, свален от нерегламентирани източници.

Как изглежда това на практика сме описали в казуса за пощенски сървър извън поддръжка, който беше пробит седмици след като уязвимостта стана публична. Вижте и как се управлява мрежовата сигурност във фирмата и защитата от ransomware.

„Щом работи, значи е наред"

Много пъти съм чувал: „Щом работи, значи е наред". „Във фабриката ни има машини с Windows 7." „Знам управител, който още използва XP." Същото вече важи и за Windows 10 - вижте Windows 10 след края на поддръжката: какво да направи фирмата сега.

Това, че нещо работи, не означава, че е защитено. Система извън поддръжка няма да покаже, че е уязвима. Тя ще работи нормално до деня, в който някой я използва като вход към останалата мрежа.

Офис компютрите се сменят

Правилото при обикновените компютри в администрацията е просто: ако не поддържат актуална операционна система, те се подменят с такива, които я поддържат. Там няма причина да се поема рискът. Цената на нов компютър е малка в сравнение с престоя и разходите след пробив, а обновленията за сигурност отново започват да пристигат автоматично.

Кога старият компютър трябва да остане

Изключенията са компютрите, свързани със специализирано оборудване. Това са случаите със специални контролери: стари, много специализирани машини, за които производителите никога не са писали драйвери или софтуер за по-нови операционни системи.

Това не означава, че машини за стотици хиляди евро трябва да бъдат изхвърлени. Означава, че рискът от компютрите, които ги управляват, трябва да бъде преценен внимателно, а самите компютри да бъдат изолирани от останалата инфраструктура. На практика това значи:

• Опис: да знаете точно кои стари компютри имате, за какво служат и кой отговаря за тях. Добра отправна точка е IT одитът на фирмената инфраструктура.
• Отделна мрежа: старите компютри да са в отделен сегмент, отделен от офисната мрежа със защитна стена.
• Без интернет: достъп само до това, което машината реално ползва, и нищо повече.
• Без излишни функции: изключени услуги, споделяния и USB достъп, които не са нужни за работата.
• Контролиран отдалечен достъп: ако производителят на машината трябва да се свързва, само през защитен канал и само когато е нужно.

Хардуер на 20+ години: какво става, ако изгори

Има и друг аспект: как се поддържа хардуер на 20 и повече години и какво става, ако изгори хард дискът или паметта. Ако компютърът, който управлява производствена линия, спре, спира и линията.

Това също е част от поддръжката и от планирането на непрекъсваемостта на бизнеса:

• пълно копие на диска (образ), от което компютърът да се възстанови за часове, а не за дни (вижте резервното копиране на фирмени данни и плана за възстановяване при срив);
• резервни части или резервна машина, подготвена предварително;
• план за подмяна, когато производителят предложи съвместимо решение.

Същото изисква и ISO 27001

NIS2 е закон, а ISO 27001 е международен стандарт, по който фирмата може да се сертифицира доброволно. Техническите мерки в двата документа обаче до голяма степен съвпадат. Всичко, описано по-горе, се изисква и от контролите в приложение А на ISO 27001 (версия 2022):

Разликата е в това, което стои около техническите мерки. NIS2 добавя задължения като уведомяване за инциденти в кратки срокове и лична отговорност на ръководството. ISO 27001 изисква система за управление на сигурността с политики, оценка на риска и вътрешни одити. Затова сертификат по ISO 27001 не означава автоматично съответствие с NIS2, но покрива голяма част от техническата основа. Повече за стандарта сме писали в статията Какво включва подготовката за ISO 27001.

И по принцип

Дори фирмата ви да не попада под NIS2 и да не мисли за сертификат, рискът е същият. Атакуващите не проверяват дали сте в обхвата на закона. Опис, обновления, отделна мрежа за старите машини и резервни копия са основна кибер хигиена за всяка фирма с компютри, а не само регулаторно изискване.

Как помагаме с техническите мерки

Затова към абонаментната поддръжка добавихме NIS2 пакет, който покрива техническите мерки, общи за NIS2 и ISO 27001:

• EDR: откриване и спиране на заплахи по компютрите и сървърите;
• SIEM: събиране и анализ на събитията от системите, за да се види атака навреме;
• резервни копия: настройваме подходящо решение на ваш сървър или на нашите сървъри (съхранението при нас се заплаща допълнително);
• patch management: автоматично следене и прилагане на обновленията;
• IPS: система, която разпознава и спира атаките още по пътя им към мрежата. Работим с наличното оборудване, а ако то няма такава функция, препоръчваме модерен UTM/Next Generation Firewall.

В план Професионален пакетът е включен в цената, а към план Стандартен може да бъде добавен срещу доплащане. И в двата случая привеждаме IT средата в техническо съответствие с NIS2 и с техническите изисквания на ISO 27001, а ако решите да се сертифицирате, помагаме и при одита. Документацията, политиките и оценката на риска изготвя наш партньор-консултант, а вие имате един контакт - нас. Отговорността на ръководството остава на фирмата. Сравнение на плановете ще намерите на страницата с плановете.

Често задавани въпроси

Покрива ли ISO 27001 изискванията на NIS2?

Частично. Техническите мерки до голяма степен съвпадат: опис на активите, управление на уязвимостите, резервни копия, наблюдение на събитията и сигурност при доставчиците. NIS2 обаче има задължения, които ISO 27001 сам по себе си не покрива, например уведомяване за значими инциденти в кратки срокове (по директивата ранно предупреждение до 24 часа и уведомление до 72 часа) и лична отговорност на ръководството. Сертификатът е добра основа, но не замества проверката спрямо закона.

Може ли да ползвам Windows 7 при NIS2?

Законът не забранява конкретна операционна система, но изисква управление на уязвимостите, а Windows 7 не получава обновления за сигурност от януари 2020 г. Платената разширена поддръжка също приключи през януари 2023 г. Офис компютър с Windows 7 трябва да бъде сменен. Ако компютърът управлява специализирана машина и няма алтернатива, той може да остане, но изолиран от останалата мрежа и описан в оценката на риска.

Трябва ли да сменя всички стари компютри?

Не. Офис компютрите, които не поддържат актуална операционна система, се сменят. Компютрите към специализирано оборудване се изолират, а за тях се подготвят пълно копие на диска и резервни части. Първата стъпка и в двата случая е опис: да знаете кои компютри имате и за какво служат.

Откъде да започнете

Ако не сте сигурни какво работи във вашата мрежа и кои системи вече не получават обновления, започнете с най-евтината стъпка: преглед на средата. Той не ви задължава с нищо, но показва къде е рискът.

Как да държите под контрол всички фирмени устройства, вижте в Управление на фирмени устройства без хаос.

Нека поговорим | Вижте плановете