با پیچیده‌تر شدن تهدیدات سایبری و رشد حملات هدفمند به زیرساخت‌های حیاتی، دولت‌ها و نهادهای بین‌المللی مقررات سخت‌گیرانه‌تری برای حفاظت از داده‌ها و شبکه‌ها وضع کرده‌اند. مقررات جدیدی مانند NIS2 (EU Directive on Network and Information Security) و DORA (Digital Operational Resilience Act) از جمله مهم‌ترین چارچوب‌های امنیت سایبری هستند که تأثیر عمیقی بر سازمان‌ها در سطح جهانی گذاشته‌اند.

این مقاله به بررسی این مقررات، الزامات آنها، و تأثیرشان بر سیاست‌ها و راهکارهای امنیت شبکه در سازمان‌ها می‌پردازد.

آشنایی با NIS2 و DORA

NIS2 چیست؟

نسخه دوم دستورالعمل امنیت شبکه و اطلاعات اتحادیه اروپا است که در سال ۲۰۲۳ تصویب شد و جایگزین NIS1 شد. هدف اصلی NIS2 افزایش تاب‌آوری سایبری سازمان‌های حیاتی و دیجیتال در سراسر اروپا است.

نکات کلیدی NIS2:

• گسترش دامنه شامل سازمان‌های بیشتر (مثل ارائه‌دهندگان خدمات دیجیتال، خدمات شهری، سلامت و انرژی)

• الزام به مدیریت ریسک امنیتی زنجیره تأمین

• نیاز به گزارش‌گری رخدادها در زمان بسیار کوتاه (۲۴ ساعت)

DORA چیست؟

مقررات تاب‌آوری عملیاتی دیجیتال (DORA) ویژه‌ی بخش مالی اروپا است که تمرکز آن بر آمادگی و واکنش سازمان‌های مالی به حملات سایبری، اختلالات دیجیتال و خطرات فناوری اطلاعات است.

نکات کلیدی DORA:

• الزامات سختگیرانه برای آزمون‌های منظم تاب‌آوری

• مدیریت ریسک تأمین‌کنندگان فناوری

• برنامه‌ریزی پاسخ به بحران و گزارش‌دهی سریع

تأثیر مقررات NIS2 و DORA بر امنیت شبکه‌ها

1. افزایش استانداردهای امنیتی در زیرساخت شبکه

این مقررات سازمان‌ها را ملزم به پیاده‌سازی سیاست‌های جامع امنیتی مانند کنترل دسترسی دقیق، رمزنگاری، تفکیک ترافیک و استفاده از فناوری‌هایی مثل ZTNA و Microsegmentation می‌کنند.

2. الزام به نظارت و مانیتورینگ ۲۴/۷

سازمان‌ها باید مانیتورینگ بلادرنگ برای شناسایی سریع تهدیدات و ثبت کامل لاگ‌های شبکه داشته باشند، تا بتوانند در صورت بروز حادثه، گزارش دقیق و فوری ارائه دهند.

3. تمرکز بر امنیت زنجیره تأمین دیجیتال

NIS2 و DORA بر اهمیت بررسی امنیت تأمین‌کنندگان، نرم‌افزارها و سرویس‌های خارجی تأکید دارند. این به معنی نیاز به ارزیابی ریسک طرف‌های سوم (Third-Party Risk Management) است.

4. آزمون‌های نفوذ و ارزیابی منظم امنیتی

در چارچوب DORA، سازمان‌های مالی موظف به انجام آزمون‌های امنیتی منظم از جمله Penetration Testing و Red Teaming هستند.

5. فرهنگ‌سازی امنیت سایبری و آموزش کارکنان

آموزش اجباری کاربران داخلی در حوزه امنیت اطلاعات، بخشی کلیدی از هر دو چارچوب است. این موضوع به ایجاد یک لایه انسانی مقاوم در برابر تهدیدات مهندسی اجتماعی کمک می‌کند.

📊جدول مقایسه‌ای: تأثیر NIS2 و DORA بر امنیت شبکه