Ο σχεδιασμός για τους high-risk suppliers δεν είναι απλώς θέμα τηλεπικοινωνιών· επηρεάζει συνολικά το περιβάλλον ασφάλειας των Critical Security and Information Infrastructures και επαναφέρει το ερώτημα αν η Ευρώπη χτίζει ανθεκτικότητα ή νέο κανονιστικό ρίσκο.
Η συζήτηση για τον CSA2 συνδέεται άμεσα με το μέλλον των κρίσιμων πληροφοριακών και ψηφιακών υποδομών στην Ευρώπη. Είτε χρησιμοποιηθεί ο όρος CSA2 είτε Critical Information Infrastructure, το ερώτημα είναι το ίδιο: ποια συστήματα, ποια δίκτυα και ποιοι προμηθευτές θεωρούνται αποδεκτοί για την υποστήριξη λειτουργιών που επηρεάζουν ενέργεια, υγεία, τηλεπικοινωνίες, μεταφορές, δημόσια διοίκηση και βιομηχανία.
Ο CSA2 εμφανίζεται ως απάντηση στην ανάγκη για ισχυρότερη ευρωπαϊκή θωράκιση της εφοδιαστικής αλυσίδας Τεχνολογιών Πληροφορικής & Επικοινωνιών (ΤΠ/ICT). Στην πράξη, όμως, η εφαρμογή του επηρεάζει το σύνολο του περιβάλλοντος των κρίσιμων υποδομών, επειδή ο χαρακτηρισμός ενός προμηθευτής (vendor) ως high-risk supplier δεν μένει θεωρητικός. Μπορεί να οδηγήσει σε περιορισμό πιστοποιήσεων, αποκλεισμό από δημόσιες συμβάσεις, επιπτώσεις στη χρηματοδότηση και τελικά σε απομάκρυνση τεχνολογιών από κρίσιμα περιβάλλοντα.
Για τις CII, το κύριο θέμα δεν είναι η πολιτική ονομασία ενός προμηθευτή. Είναι η επιχειρησιακή αλυσίδα εξάρτησης. Ένας πάροχος ενέργειας, ένας τηλεπικοινωνιακός πάροχος, ένα νοσοκομειακό δίκτυο ή ένα βιομηχανικό cluster δεν εξαρτάται μόνο από το hardware. Εξαρτάται από software lifecycle, update channels, patches, replacement cycles, spare parts, monitoring stacks και εξειδικευμένες ομάδες υποστήριξης. Όταν αυτό το οικοσύστημα ανατραπεί κανονιστικά, το ρίσκο δεν περιορίζεται στον προμηθευτή αλλά μεταφέρεται σε ολόκληρη την κρίσιμη λειτουργία.
Αυτός είναι ο λόγος που η συζήτηση για την ασφάλεια των CII απαιτεί τεχνικό ρεαλισμό. Ένα κανονιστικό πλαίσιο που υποχρεώνει μεγάλες αντικαταστάσεις εξοπλισμού χωρίς επαρκείς μεταβατικές περιόδους, χωρίς σαφείς τεχνικές προδιαγραφές και χωρίς εγγυήσεις για interoperability, μπορεί να δημιουργήσει ακριβώς εκείνη την ευπάθεια που υποτίθεται ότι προσπαθεί να εξαλείψει. Οι κρίσιμες πληροφοριακές υποδομές δεν αλλάζουν με πολιτικά συνθήματα· αλλάζουν με μακροχρόνιο σχεδιασμό, δοκιμές και επιχειρησιακή προσαρμογή.
Δείτε επίσης: Cybersecurity Act 2 (CSA2) και ελληνική αγορά ICT: Έρευνα του SecNews
Για αυτόν τον λόγο, οι αποφάσεις γύρω από το CSA2 πρέπει να εξετάζονται με κριτήριο το συνολικό security architecture των critical infrastructures. Αν ο νέος κανονισμός οδηγήσει σε πραγματικά μετρήσιμες απαιτήσεις ασφάλειας, ενισχυμένο testing και αντικειμενικό αξιολόγηση προμηθευτών, θα προσφέρει ουσιαστική αξία. Αν όμως εξελιχθεί σε έναν πολιτικό μηχανισμό ευρείας κατηγοριοποίησης, τότε οι CII στην Ευρώπη θα βρεθούν μπροστά σε νέο επίπεδο τεχνικού, επιχειρησιακού και επενδυτικού ρίσκου.
Η ουσία είναι ότι η προστασία των κρίσιμων υποδομών δεν επιτυγχάνεται μόνο με αποκλεισμούς. Επιτυγχάνεται με standards, με auditability, με δυνατότητα ελέγχου, με διαφάνεια στη διαχείριση ευπαθειών και με ρεαλιστικά πλάνα μετάβασης. Εκεί θα κριθεί τελικά αν ο CSA2 αποτελεί εργαλείο ενίσχυσης της ασφάλειας των CII ή αν θα καταγραφεί ως ακόμη ένα παράδειγμα όπου η κανονιστική φιλοδοξία δημιούργησε περισσότερη αβεβαιότητα από ανθεκτικότητα.
Δείτε επίσης: Cybersecurity Act 2: Τι αλλάζει για την ασφάλεια της εφοδιαστικής αλυσίδας