Tổng quan về Chỉ thị NIS2 của Châu Âu

NIS2 là một chỉ thị mới của EU mà bạn cần chú ý.

Mặc dù không thể phủ nhận rằng sự số hóa đã làm cho các quy trình nội bộ và bên ngoài trở nên hiệu quả hơn, giúp việc di chuyển hàng hóa dễ dàng hơn và giảm thiểu chi phí, nhưng chính sự phụ thuộc vào các hệ thống kỹ thuật số liên kết này đã khiến các nhà sản xuất—và chuỗi giá trị của họ—trở nên dễ bị tổn thương trước một mức độ đe dọa an ninh mạng chưa từng có, khi các tội phạm mạng ngày càng nhắm vào các lỗ hổng trong chuỗi cung ứng. 

Liên minh Châu Âu một lần nữa đã giải quyết vấn đề lo ngại sâu sắc này thông qua Chỉ thị về An ninh Mạng và Thông tin NIS2, áp dụng các biện pháp pháp lý nhằm tăng cường các biện pháp phòng thủ an ninh mạng trên một phạm vi rộng lớn hơn của các ngành, giới thiệu trách nhiệm giải trình của ban điều hành, buộc các công ty phải chịu trách nhiệm về chuỗi cung ứng của mình, và áp dụng các hình phạt tài chính nghiêm ngặt đối với việc không tuân thủ.

Hãy khám phá xem Chỉ thị NIS2 thiết lập các tiêu chuẩn mới cho an ninh mạng và điều này có ý nghĩa gì đối với bạn và các đối tác kinh doanh của bạn.

Mối đe dọa ngày càng tăng của An ninh Mạng trong Ngành PCB

Khi khả năng của các đối thủ phát triển, phản ứng của chúng ta cũng phải như vậy.

Theo Báo cáo Mối đe dọa Toàn cầu 2024 của CrowdStrike, vào năm 2023, ngành công nghệ là ngành được nhắm mục tiêu nhiều nhất cho hoạt động xâm nhập tương tác, và ngành viễn thông là ngành được nhắm mục tiêu thứ hai.

Part Insights Experience

Access critical supply chain intelligence as you design.

Learn More

Là thành phần chính trong hầu hết các thiết bị điện tử, PCBs là tài sản quan trọng trong các ngành công nghiệp thiết yếu như hàng không vũ trụ, ô tô và y tế; bất kỳ sự gián đoạn nào trong chuỗi cung ứng PCB do các mối đe dọa mạng có khả năng gây ra hiệu ứng domino trên toàn bộ các ngành, gây ra sự chậm trễ tốn kém và tình trạng đình trệ hoạt động. Tuy nhiên, trong thập kỷ qua, sản xuất đã được biến đổi bởi những gì được gọi là Công nghiệp 4.0 và các đổi mới số như bản sao số, robot, AI, điện toán đám mây và Internet vạn vật công nghiệp (IIoT). Mặc dù những tiến bộ này tăng cường sự phát triển và hiệu quả, chúng cũng tăng cường sự phơi bày của ngành trước các mối đe dọa mạng, tạo ra các điểm nhập mới cho tội phạm mạng khai thác.

Những yếu tố khác làm tăng rủi ro an ninh mạng trong sản xuất bao gồm việc đào tạo nhân viên không đủ, nơi mà sự thiếu ý thức có thể dẫn đến mật khẩu yếu hoặc dễ bị tấn công lừa đảo. Ngoài ra, việc phụ thuộc vào các hệ thống lỗi thời không có tính năng bảo mật hiện đại tạo ra rủi ro mạng, cũng như chuỗi cung ứng phức tạp với nhiều đối tác bên thứ ba cung cấp nhiều điểm nhập cho tin tặc. Bản chất cạnh tranh cao của ngành và sự phụ thuộc vào hoạt động dựa trên dữ liệu cũng tăng khả năng bị trộm cắp sở hữu trí tuệ hoặc vi phạm dữ liệu.

Các mối đe dọa mạng có thể xuất hiện dưới nhiều hình thức, bao gồm tấn công chuỗi cung ứng, mã độc tống tiền, trộm cắp sở hữu trí tuệ và phá hoại sản xuất, gây ra rủi ro tài chính, chiến lược và danh tiếng đáng kể.

Các Loại Tấn Công Mạng Phổ Biến Trong Sản Xuất

Các loại tấn công mạng phổ biến trong sản xuất và cách chúng hoạt động:

• Tấn công mã độc tống tiền: Phần mềm độc hại ("malware") hạn chế quyền truy cập vào hệ thống máy tính hoặc các tệp tin cho đến khi một khoản tiền chuộc được trả.
• Tấn công lừa đảo: Email, trang web hoặc tin nhắn lừa đảo được thiết kế để lừa đảo cá nhân tiết lộ thông tin nhạy cảm.
• Chiến dịch "Whaling": Các cuộc tấn công lừa đảo tinh vi nhắm vào các cá nhân có vị trí cao trong tổ chức.

Điều này trông như thế nào trong thực tế? Thông qua một cuộc tấn công mã độc tống tiền, các tác nhân xấu có thể ngừng sản xuất hoàn toàn, với những tổn thất lan truyền cả lên và xuống chuỗi cung ứng. Việc tiết lộ các thiết kế PCB độc quyền thông qua vi phạm dữ liệu có thể dẫn đến tổn thất thị trường và bất lợi cạnh tranh có thể xảy ra.

Part Insights Experience

Access critical supply chain intelligence as you design.

Learn More

Là một ví dụ gần đây về mối đe dọa rất thực tế mà an ninh mạng gây ra cho ngành công nghiệp, nhà cung cấp bán dẫn có trụ sở tại Mỹ là Microchip Technology đã xác nhận rằng một cuộc tấn công ransomware gần đây đã dẫn đến việc đánh cắp thông tin cá nhân và dữ liệu khác từ hệ thống của họ. Công ty đã báo cáo sự cố vào ngày 20 tháng 8, thông báo cho Ủy ban Chứng khoán và Giao dịch Mỹ (SEC) rằng một số máy chủ và hoạt động kinh doanh đã bị ảnh hưởng. Tuy nhiên, họ đã quản lý để kiểm soát cuộc tấn công bằng cách cô lập các hệ thống bị ảnh hưởng.

Hiểu về Chỉ thị NIS2

Một sự mở rộng của Chỉ thị NIS được giới thiệu vào năm 2016, chủ yếu nhắm vào các ngành hạ tầng quan trọng như năng lượng và vận tải, NIS2 mở rộng phạm vi của khuôn khổ quy định ban đầu, yêu cầu các tổ chức trong một loạt ngành công nghiệp rộng lớn hơn áp dụng chúng, phản ứng với sự trưởng thành và cường độ tăng lên của cảnh quan an ninh mạng hiện nay.

Những khía cạnh chính của chỉ thị mà bạn cần chú ý bao gồm:

• Phạm vi Mở rộng: Không giống như tiền nhiệm của mình, Chỉ thị NIS2 bao gồm một loạt các ngành rộng lớn hơn, mở rộng từ các ngành công nghiệp hạ tầng cốt lõi sang một loạt các ngành sản xuất, bao gồm cả sản xuất PCB, được phân loại dưới danh mục ngành "thiết yếu". Mục tiêu là bảo vệ các thực thể cung cấp dịch vụ quan trọng cho hoạt động kinh tế và xã hội.
• Yêu cầu Bảo mật Nghiêm ngặt hơn: NIS2 thúc đẩy các biện pháp bảo mật mạng mạnh mẽ hơn bằng cách yêu cầu các tổ chức triển khai các thủ tục để phát hiện và xử lý các sự cố mạng, đồng thời đảm bảo tính liên tục của doanh nghiệp, bao gồm các yêu cầu về phòng ngừa sự cố, quản lý rủi ro và phản ứng sự cố.
• Bảo mật Chuỗi Cung Ứng Được Tăng Cường: Được quy định trong Điều 21(2)(d), một trong những yếu tố quan trọng nhất của Chỉ thị NIS2 đối với các nhà sản xuất giới thiệu các tiêu chuẩn để đánh giá tư thế bảo mật mạng của các nhà cung cấp. Theo quy định này, các thực thể chính và thiết yếu phải triển khai các biện pháp kỹ thuật, vận hành và tổ chức phù hợp và tỷ lệ để bảo vệ an ninh chuỗi cung ứng.
• Nghĩa vụ Báo cáo Sự cố: Dưới NIS2, các tổ chức hiện nay được yêu cầu báo cáo các sự cố cho các cơ quan quốc gia, đặt ra thời hạn 24 giờ cho báo cáo ban đầu và cập nhật thêm trong vòng 72 giờ.
• Trách nhiệm và Quản trị: Thêm một tầng trách nhiệm mới cho các giám đốc công ty, dưới NIS2, các tổ chức phải bổ nhiệm một sĩ quan hoặc quản lý được chỉ định chịu trách nhiệm về bảo mật mạng, và ban quản lý cấp cao có thể bị giữ trách nhiệm về sự không tuân thủ. 
• Xử phạt đối với Sự Không Tuân Thủ: Chỉ thị NIS2 cho phép áp dụng các biện pháp phạt tài chính đáng kể đối với sự không tuân thủ. Các hình phạt này có thể thay đổi nhưng có thể lên tới €10 triệu hoặc 2% doanh thu toàn cầu của công ty, tạo ra một động lực kinh tế mạnh mẽ để tuân thủ các tiêu chuẩn.

NIS2 Có Ý Nghĩa Gì Đối Với Chuỗi Cung Ứng Của Bạn

Bằng cách đặt ra các tiêu chuẩn an ninh mạng nghiêm ngặt hơn đối với các ngành công nghiệp quan trọng, Chỉ thị NIS2 mang lại cả cơ hội và nghĩa vụ cho các nhà sản xuất PCB phải đáp ứng các tiêu chuẩn an ninh mạng cao hơn và tạo ra các chuỗi cung ứng kiên cường hơn trong quá trình đó.

Dưới đây là một số tác động cụ thể của chỉ thị đối với chuỗi cung ứng sản xuất PCB:

Meet US Government Security Requirements

Foster real-time collaboration with enhanced data security and access controls

Find Out More

Tiêu Chuẩn An Ninh Mạng Cao Hơn

Chỉ thị NIS2 yêu cầu các nhà sản xuất PCB phải đáp ứng một bộ yêu cầu an ninh mạng nghiêm ngặt, bao gồm việc tạo và duy trì các khung an ninh mạng mạnh mẽ, từ việc đánh giá định kỳ về lỗ hổng an ninh đến việc triển khai xác thực đa yếu tố và các giao thức mã hóa.

Các tổ chức sẽ cần đảm bảo họ có các cơ chế và ngân sách để liên tục xác định, đánh giá và giảm thiểu rủi ro mạng, một cam kết có thể yêu cầu tuyển dụng nhân sự an ninh mạng chuyên dụng, đầu tư vào các công cụ phát hiện mối đe dọa tiên tiến và tạo ra các trung tâm hoạt động an ninh (SOCs) để giám sát hoạt động mạng. Đối với những người trước đây chỉ dành nguồn lực hạn chế cho an ninh mạng, đây là một sự thay đổi cần được lên kế hoạch cẩn thận.

Tăng Cường Hiển Thị và Minh Bạch Chuỗi Cung Ứng

Mục tiêu tăng cường an ninh chuỗi cung ứng của chỉ thị sẽ yêu cầu tăng cường minh bạch từ nhà cung cấp và đối tác và có thể yêu cầu các nhà sản xuất tiến hành kiểm toán và đánh giá an ninh trên chuỗi cung ứng để đảm bảo tuân thủ các yêu cầu của NIS2.

Các nhà sản xuất PCB có thể cần phải yêu cầu các nhà cung cấp bên thứ ba chứng minh các biện pháp bảo mật của họ, điều này có thể gây ra sự ma sát với các nhà cung cấp và dẫn đến việc đưa ra quyết định chiến lược hơn để đảm bảo tuân thủ, đặc biệt là nếu các nhà cung cấp không sẵn lòng hoặc không thể đáp ứng các tiêu chuẩn của chỉ thị.

Quy trình Báo cáo Sự cố Nghiêm ngặt Hơn

Các nhà sản xuất PCB được yêu cầu báo cáo các sự cố an ninh mạng đáng kể cho các cơ quan quốc gia trong vòng 24 giờ và cung cấp các bản cập nhật tiếp theo trong vòng 72 giờ. Như các nhà sản xuất biết, rút ngắn thời gian hành động giúp giảm thiểu tác động. Mặc dù điều này có thể gây ra lo ngại về hại danh tiếng, việc báo cáo sự cố là cần thiết để hạn chế thiệt hại tiềm năng.

Make cents of your BOM

Free supply chain insights delivered to your inbox

Learn More

Để đáp ứng các yêu cầu báo cáo này, các nhà sản xuất cần có quy trình phát hiện, phân loại và leo thang sự cố mạnh mẽ. Có một kế hoạch phản ứng sự cố được tối ưu hóa sẵn có có thể ngăn chặn các vi phạm leo thang và giới hạn tác động đến chuỗi cung ứng tổng thể.

Trách nhiệm Giám đốc và Văn hóa Quản lý Rủi ro

Một trong những thay đổi có ảnh hưởng nhất của Chỉ thị NIS2 là yêu cầu về trách nhiệm giám đốc trong tuân thủ an ninh mạng. Các giám đốc cấp cao trong các công ty sản xuất PCB giờ đây phải được thông tin và tham gia vào việc lập kế hoạch và phản ứng chiến lược an ninh mạng.

Sự chuyển đổi này nhấn mạnh tầm quan trọng của việc tích hợp an ninh mạng vào cấu trúc quản trị doanh nghiệp. Các nhà điều hành cần được giáo dục về rủi ro mạng và được khuyến khích hỗ trợ các sáng kiến an ninh mạng. Đổi lại, chỉ thị nhấn mạnh đến "văn hóa an ninh mạng," nơi mà nhân viên ở mọi cấp độ được đào tạo về các phương pháp tốt nhất, nhận thức về mối đe dọa, và hành vi số an toàn.

Phạt và Chi phí Không Tuân thủ

Với mức phạt lên đến €10 triệu hoặc 2% doanh thu toàn cầu của công ty, hậu quả tài chính của việc không tuân thủ Chỉ thị NIS2 là nặng nề, và đối với nhiều nhà sản xuất PCB, chúng đặt ra một mối đe dọa nghiêm trọng. Các tổ chức có thể đối mặt với hậu quả nghiêm trọng nếu không đáp ứng các nghĩa vụ pháp lý. Các công ty nên có một lập trường chủ động tận dụng cơ hội để phân biệt và đầu tư vào việc tuân thủ không chỉ như một nghĩa vụ quy định mà còn như một biện pháp tiết kiệm chi phí, tăng cường thương hiệu.

Ngoài các khoản phạt, thiệt hại về uy tín có thể rất lớn, đặc biệt là đối với các nhà sản xuất làm việc với khách hàng nhạy cảm hoặc có tiếng tăm. Sự không tuân thủ hoặc các vi phạm an ninh mạng đáng kể có thể dẫn đến mất lòng tin của người tiêu dùng và đối tác và cuối cùng, rủi ro đối với sự tồn vong và tăng trưởng lâu dài của bạn.

Cloud Storage and Version Control

Store your libraries and design data in one secure, accessible, and version-controlled space.

Learn More

Cách Tuân thủ Chỉ thị NIS2

Việc tuân thủ Chỉ thị NIS2 đòi hỏi kế hoạch chiến lược và phân bổ nguồn lực. Dưới đây là một số bước mà các nhà sản xuất PCB nên xem xét:

Tiến hành Đánh giá Rủi ro An ninh Mạng: Để giúp tạo ra một chiến lược an ninh mạng mục tiêu và giải quyết trước những khu vực rủi ro cao, bắt đầu với việc đánh giá rủi ro an ninh mạng toàn diện để xác định các điểm yếu tiềm ẩn. 

Phát triển Chiến lược Bảo mật Chuỗi Cung ứng Mạnh mẽ: Làm việc chặt chẽ với các nhà cung cấp để đánh giá các thực hành an ninh mạng của họ và thiết lập kế hoạch hành động để giải quyết bất kỳ mối quan ngại nào. Thiết lập các nghĩa vụ hợp đồng cho việc tuân thủ các tiêu chuẩn an ninh mạng và yêu cầu báo cáo định kỳ về tư thế an ninh.

Triển khai Hệ thống Phát hiện và Phản ứng Sự cố Nâng cao: Đầu tư vào các hệ thống cung cấp khả năng phát hiện và phản ứng với mối đe dọa theo thời gian thực. Thiết lập các quy trình phản ứng sự cố cho phép hành động nhanh chóng và tuân thủ các yêu cầu báo cáo.

Đào tạo Giám đốc và Nhân viên về Các Phương pháp Tốt nhất về An ninh Mạng: Triển khai một chương trình đào tạo mạnh mẽ mà không chỉ bao gồm nhân viên kỹ thuật mà còn có cả giám đốc và tất cả nhân viên. Xây dựng một văn hóa "nhận thức về mạng" có thể giảm thiểu lỗi của con người và tăng cường an ninh mạng tổng thể. Nếu bạn đang tìm kiếm thêm sự giúp đỡ trong lĩnh vực này, Diễn đàn Kinh tế Thế giới cung cấp một cuốn cẩm nang để xây dựng một văn hóa kháng cự mạng trong sản xuất.

Variant Manager

Meet demands of a globalized market that requires unique versions of your PCBs.

Learn More

Thiết lập Quản trị và Trách nhiệm rõ ràng: Bổ nhiệm một sĩ quan an ninh mạng hoặc thiết lập một nhóm chức năng chéo chịu trách nhiệm về tuân thủ an ninh mạng. Nhóm này nên báo cáo định kỳ cho ban giám đốc, cung cấp cập nhật về tuân thủ, rủi ro và quản lý sự cố.

Một Chuỗi Cung Ứng PCB Bền Vững và An Toàn Hơn

Dù việc tuân thủ có thể là một rào cản đòi hỏi sự cam kết, đầu tư và thích nghi đáng kể, nhưng lợi ích thu được là một chuỗi cung ứng PCB minh bạch, an toàn và bền vững hơn.

Để giúp đặt nỗ lực và chi phí vào quan điểm, sự cố chuỗi cung ứng năm 2023 của Applied Material được ước tính gây thiệt hại cho công ty 250 triệu đô la.

Tầm quan trọng của an ninh mạng trong thời đại hiện đại không bị khách hàng và đối tác làm giảm sút và không nên bị đe dọa bởi chuỗi cung ứng của bạn. Bằng cách chủ động xác định các điểm yếu và đảm bảo tuân thủ NIS2, các công ty không chỉ có thể giảm thiểu rủi ro gián đoạn mà còn khẳng định mình là đối tác đáng tin cậy, đáng tin tưởng, đang làm phần việc của mình trong việc đảm bảo sự ổn định và an toàn của chuỗi cung ứng PCB toàn cầu.