Promet
Upravljanje prometom, luke, zračne luke i željeznica oslanjaju se na sustave koji ne smiju stati, a velik dio njih vrti se na opremi staroj petnaest i više godina.
Što Zakon određuje za ovaj sektor
Promet je drugi sektor Priloga I. Zakona i obuhvaća zračni, željeznički, vodni i cestovni promet. Nadležni CSIRT je za sve podsektore nacionalni centar za kibernetičku sigurnost.
Nadležno tijelo razlikuje se po podsektoru. Za željeznički, vodni i cestovni promet to je središnje državno tijelo za kibernetičku sigurnost, odnosno Sigurnosno-obavještajna agencija (SOA). Za zračni promet Prilog III. navodi Hrvatsku agenciju za civilno zrakoplovstvo (HACZ) kao tijelo nadležno za provedbu posebnih zakona.
Kategorija se utvrđuje prema veličini, uz mogućnost razvrstavanja neovisno o veličini po posebnim kriterijima iz članka 11. Zakona. Sektor je specifičan po velikom broju vanjskih izvođača s pristupom, pa mjera lanca opskrbe ovdje nosi više posla nego drugdje.
Gdje u ovom sektoru najčešće zapinje
Što radimo za Vas
Tko iz sektora ulazi u opseg
Kategoriju utvrđuje nadležno tijelo, a razinu mjera nacionalna procjena rizika; i jedno i drugo razloženo je u pregledu Zakona.
Danska željeznica stala zbog napada na dobavljača
Vlakovi najvećega danskog prijevoznika stajali su nekoliko sati u subotu ujutro. Nitko nije napao željeznicu. Napadnut je Supeo, dobavljač aplikacije preko koje strojovođe dobivaju ograničenja brzine i podatke o radovima na pruzi. Supeo je ugasio poslužitelje da zaustavi napad, aplikacija je prestala raditi i strojovođe su morali stati. Plan neprekinutosti mora obuhvatiti i tuđe poslužitelje, ne samo Vaše.
IZVOR: Priopćenje prijevoznika DSB i izvještaji danske javne radiotelevizije DR, studeni 2022.
Česta pitanja
Pitanja koja u prometu dolaze prva, uglavnom oko izvođača i sustava koji ne smiju stati.
Koji prijevoznici i upravitelji ulaze u opseg?
Zračni, željeznički, vodni i cestovni promet, uključujući luke, zračne luke i upravitelje infrastrukture. Kategorija se utvrđuje prema sektoru i veličini.Kako uskladiti sigurnost sa sustavima koji ne smiju stati?
Planiranim prozorima za izmjene i nadomjesnim mjerama za sve što se ne smije dirati. Odgoda bez roka i bez obrazloženja pred revizorom prolazi kao propust.Što s velikim brojem vanjskih izvođača?
Svaki izvođač s pristupom ulazi u registar dobavljača, s ugovornim odredbama o sigurnosti, pravom uvida i obvezom prijave incidenta. Bez toga njihov incident postaje Vaš.Moramo li spojiti fizičku i kibernetičku sigurnost?
Trinaesta mjera, fizička sigurnost, traži zaštitu prostora i opreme, pa se zapisi dviju službi moraju sastati. Dvije evidencije koje se ne razmjenjuju teško dokazuju jednu mjeru.Vrijede li uz Zakon i sektorski propisi?
Vrijede. U zračnom i pomorskom prometu postoje posebna pravila, pa se prvo razgraniči što ide po Zakonu, a što po sektorskom propisu.Tko je za nas nadležno tijelo?
Za željeznički, vodni i cestovni promet to je središnje državno tijelo za kibernetičku sigurnost. Za zračni promet Prilog III. Zakona navodi Hrvatsku agenciju za civilno zrakoplovstvo kao tijelo nadležno za provedbu posebnih zakona. Nadležni CSIRT je u svim slučajevima nacionalni centar za kibernetičku sigurnost.Ulazi li i incident kod izvođača u naše obveze?
Ako je utjecao na Vašu uslugu, ulazi. Zato podmjera 8.6 traži planove odgovora na incidente koji uključuju izravne dobavljače, a ugovor mora sadržavati obvezu da Vas dobavljač obavijesti u roku koji Vama omogućuje da stignete u svoje rokove.Koliko izvođača ide u registar?
Svi izravni dobavljači i pružatelji usluga, prema podmjeri 8.2. Registar nije popis svih partnera, nego onih koji imaju pristup Vašim sustavima ili podacima, ili čiji ispad zaustavlja Vašu uslugu.Povezane stranice
Stranice na kojima je razrađeno ono što se u prometu traži od mjera i dokaza.
Krenimo od popisa kritičnih sustava.
Pola sata, bez obveze. Krenemo od popisa sustava koji ne smiju stati.