Conformitate NIS2 și hardening în România

Ce înseamnă hardening aplicat, concret

Pornim de la o linie de bază verificabilă: benchmark CIS pentru distribuția ta, apoi ajustare pe ce rulează efectiv. Dezactivăm servicii nefolosite, scoatem parolele din SSH și lăsăm doar chei, separăm conturile de serviciu, restrângem sudo, activăm auditd și jurnalizarea în afara serverului. Containerele primesc imagini minimale, utilizator non-root și limite de resurse. Bazele de date nu ascultă pe IP public. Fiecare abatere de la standard rămâne documentată, cu motivul ei, ca auditorul să nu descopere surprize.

• SSH pe chei, fără parole, acces administrativ doar din rețea privată
• Benchmark CIS pentru distribuție, cu excepții documentate
• auditd, integritatea fișierelor, jurnale trimise în afara serverului
• Imagini de container minimale, non-root, cu limite de resurse
• Backup imuabil 3-2-1, cu restaurare testată periodic

De ce termenele de patch se măsoară acum în ore

Distanța dintre publicarea unui CVE și primele exploatări în masă s-a prăbușit: ce însemna luni înseamnă acum ore. Scanerele automate și agenții LLM parcurg internetul, recunosc versiunea expusă și încearcă exploit-ul generat, fără intervenție umană. Un server neactualizat nu mai are răgaz. De aceea folosim scanare automată de conformitate (CIS, OpenSCAP, Lynis), detectarea derivei de configurație și termene diferențiate de patch: în ore pentru vulnerabilități exploatate activ, în zile pentru restul. Unde nu putem actualiza imediat, punem patch virtual în WAF.

De la măsuri tehnice la dosarul de conformitate

NIS2 este transpusă în România prin OUG 155/2024 și ordinele DNSC, cu sancțiuni administrative pentru entitățile importante și esențiale. Auditul se face de auditori autorizați DNSC; noi livrăm partea tehnică: inventarul de active, politica de patch-uri, procedura de backup și restaurare, matricea de acces, jurnalele și rapoartele de scanare. Pentru GDPR ai contract de prelucrare conform art. 28, clauze contractuale standard la transferuri și datele în UE. Lucrăm aliniat la ISO 27001.

Linie de bază o dată, verificare lunară

Prima trecere de hardening pe un server este o livrare cu început și sfârșit; ce urmează e verificare. Ceri lucrarea din panoul de client, secțiunea „Servicii DevOps”, cu termenul pe care îl propui tu. Planurile aduc lunar o oră la cPanel, de la Advanced în sus, una până la opt ore la VPS și între cinci și zece ore la dedicate, în funcție de plan, și zece ore la GPU. Un server nou intră de obicei în cotă; un parc întreg sau un audit cu multe cerințe nu, iar restul se facturează separat, la oră. Ce nu folosești într-o lună nu se mută în următoarea.

Cum lucrăm

1. Cererea din panou

   Deschizi cererea în „Servicii DevOps”, spui ce servere intră în scop, ce cadru te obligă (NIS2, GDPR, cerință de client) și termenul dorit.

2. Evaluarea liniei de bază

   Scanăm cu Lynis și OpenSCAP, comparăm cu benchmark-ul CIS, notăm abaterile și impactul lor asupra aplicației tale.

3. Aplicarea măsurilor

   Aplicăm hardening-ul prin Ansible, în ferestre convenite, cu posibilitate de revenire. Testăm aplicația după fiecare grup de schimbări.

4. Predare cu dovezi

   Predăm raportul înainte/după, politica de patch-uri, procedura de restaurare și scriptul care re-verifică lunar linia de bază.

Cazuri de utilizare

Tehnologii

• CIS Benchmarks
• Lynis
• OpenSCAP
• Ansible
• auditd
• nftables
• restic
• Wazuh

Întrebări frecvente

• Ce este NIS2 și cine trebuie să se conformeze?

  Directiva europeană de securitate cibernetică, transpusă în România prin OUG 155/2024 și ordinele DNSC. Acoperă entități esențiale și importante din sectoare precum energie, transport, sănătate, apă, administrație și furnizorii lor digitali. Dacă ești în lanțul de aprovizionare al unei astfel de entități, cerințele ajung la tine prin contract.

• Ce amenzi sunt pentru neconformare NIS2?

  Cadrul din România prevede sancțiuni administrative pentru entitățile importante și esențiale, plus măsuri corective. Practic însă costul apare mai devreme: clienții mari cer chestionare de securitate și dovezi, iar lipsa lor blochează contracte.

• Cât de repede trebuie aplicate patch-urile?

  Pentru vulnerabilități exploatate activ, în ore, nu în săptămâni: scanerele automate găsesc sistemele neactualizate aproape imediat după publicarea CVE-ului. Restul intră în ferestre planificate. Unde actualizarea cere testare, punem între timp o regulă virtuală în WAF și restrângem accesul.

• Ce înseamnă hardening?

  Reducerea suprafeței de atac: scoți ce nu folosești, închizi ce nu trebuie expus, restrângi drepturile la minimul necesar și pornești jurnalizarea. Se măsoară față de un standard, de obicei un benchmark CIS, ca să poți demonstra ce ai aplicat și ce ai exclus motivat.

• Aveți certificare ISO 27001?

  Lucrăm aliniat la ISO 27001 și oferim contract de prelucrare conform art. 28 GDPR, cu clauze contractuale standard pentru transferuri, dar nu revendicăm o certificare. Pentru auditul tău livrăm dovezile tehnice: politici aplicate, rapoarte de scanare, jurnale și proceduri de backup.

• Ce este un benchmark CIS?

  Un set public de configurări recomandate pentru un sistem: Debian, Ubuntu, RHEL, Docker, Kubernetes, PostgreSQL. Îl folosim ca linie de bază măsurabilă, cu scanare automată și raport înainte/după, ca abaterile să fie explicite, nu accidentale.