NIS2 dan Remote Access: Tinjauan Praktis untuk Tim IT

Akses jarak jauh bukanlah kategori kepatuhan NIS2 yang terpisah. Namun, penggunaannya mempengaruhi banyak area yang dicakup oleh Direktif, termasuk kontrol akses, otentikasi, manajemen kerentanan, keamanan rantai pasokan, penanganan insiden, dan kelangsungan bisnis.

Bagi sysadmin, tim IT ramping, dan penyedia layanan terkelola, pertanyaan praktisnya bukan apakah NIS2 menyebut Protokol Desktop Jarak Jauh secara langsung. Pertanyaannya adalah apakah koneksi jarak jauh menciptakan risiko yang telah diidentifikasi, dikendalikan, dipantau, dan didokumentasikan oleh organisasi dan bagaimana. TSplus Advanced Security dapat membuktikan sebagai alat yang sangat penting dalam proses ini serta dalam menjaga keamanan server Anda.

Apa itu NIS2?

Umumnya dikenal sebagai NIS2, Arahan (EU) 2022/2555 adalah arahan Uni Eropa yang bertujuan untuk melindungi infrastruktur digital Ini ditujukan terutama untuk infrastruktur kritis dan memperluas ruang lingkup arahan sebelumnya (NIS1). NIS 2 melanjutkan pekerjaan perlindungan siber yang dimulai dengan NIS pada tahun 2016. Salah satu persyaratan yang ditetapkannya adalah batas maksimum untuk pemberitahuan insiden (24 jam awal dan 72 jam rinci) dan untuk laporan lengkap yang diserahkan (kurang dari 1 bulan).

Secara singkat, organisasi yang terlibat dalam perluasan ini melihat kewajiban hukum infrastruktur TI mereka diperkuat, terutama terkait dengan manajemen risiko, pelaporan insiden, dan tanggung jawab. Untuk tujuan kami, ingatlah penekanan khusus yang diberikan pada risiko siber. Perubahan yang signifikan adalah bagaimana sektor-sektor NIS2 yang dianggap sangat sensitif (kritis tinggi) juga mencakup perusahaan-perusahaan kecil, organisasi publik dan swasta, serta badan-badan yang lebih kecil dibandingkan NIS dan "kritis" mencakup sektor dan ukuran tambahan.

PDF: ENISA NIS 2 - selebaran yang menunjukkan evolusi NIS1 ke NIS2

NB: implementasi nasional dan penasihat

NIS2 diterapkan melalui legislasi negara-negara individu, dan kewajiban spesifik sektor mungkin berlaku. Panduan ini memberikan informasi keamanan teknis daripada nasihat hukum. Organisasi harus mengonfirmasi status dan tanggung jawab mereka dengan otoritas nasional yang sesuai atau penasihat yang berkualitas.

Apa Arti NIS2 untuk Remote Access?

Direktif NIS2 menggambarkan kerangka kerja keamanan siber Eropa yang umum yang mencakup 18 sektor kritis. Ini mengharuskan entitas menengah dan besar yang beroperasi di sektor-sektor tersebut untuk menerapkan langkah-langkah manajemen risiko keamanan siber yang proporsional dan melaporkan insiden signifikan.

Akses jarak jauh memasuki kerangka ini sejak saat seorang karyawan, administrator, kontraktor, atau penyedia terhubung ke jaringan dan sistem informasi dari luar batas keamanan normalnya. NIS 2 menetapkan bagaimana setiap potensi masalah atau risiko keamanan siber harus dikelola, diawasi, dicatat, dilaporkan, dan bagaimana cara bereaksi terhadap peristiwa, dan dengan demikian, ini mencakup bagaimana perusahaan dan badan mengakses data, aplikasi, layanan, dan infrastruktur TI secara jarak jauh.

PDF: ENISA NIS 2 - selebaran yang menunjukkan sektor-sektor dalam lingkup NIS2

Organisasi mana yang perlu menilai kepatuhan NIS2?

Organisasi di sektor seperti energi, transportasi, kesehatan, perbankan, infrastruktur digital, administrasi publik, manufaktur, dan manajemen layanan TI mungkin termasuk dalam lingkup. Penyedia layanan terkelola dan penyedia layanan keamanan terkelola sangat relevan karena teknisi mereka sering memiliki akses yang lebih tinggi ke beberapa lingkungan pelanggan.

Ukuran hanyalah salah satu faktor di antara yang lain. Beberapa entitas mungkin termasuk dalam lingkup terlepas dari ukuran karena fungsi, kritikalitas, atau penunjukan mereka berdasarkan hukum nasional. Oleh karena itu, MSP harus menilai baik kewajiban mereka sendiri maupun kondisi keamanan di mana mereka mengakses sistem pelanggan.

Mengapa Implementasi Nasional Penting?

NIS2 adalah sebuah Direktif, sehingga setiap Negara Anggota harus mengimplementasikannya melalui legislasi nasional, sesuai dengan pedoman transposisi yang ditetapkan. Definisi, proses pendaftaran, otoritas yang berwenang, prosedur pengawasan dan penegakan hukum dapat berbeda antara negara.

Komisi Eropa juga mengusulkan amandemen yang ditargetkan terhadap NIS2 pada Januari 2026 untuk memperjelas ruang lingkup dan menyederhanakan bagian-bagian dari kerangka kerja. Halaman NIS2 Komisi saat ini masih menggambarkan perubahan tersebut sebagai amandemen yang diusulkan, jadi tim TI harus memverifikasi status legislatif mereka dan aturan nasional yang berlaku sebelum mengandalkan interpretasi kepatuhan.

Apa yang Harus Ditinjau Tim IT di Bawah Pasal 21 NIS2?

Artikel 21 memerlukan entitas yang penting dan esensial untuk mengambil langkah-langkah teknis, operasional, dan organisasi yang sesuai dan proporsional. Matriks berikut menerjemahkan area yang paling relevan ke dalam pertanyaan akses jarak jauh.

area tinjauan NIS2	Pertanyaan akses jarak jauh	Bukti untuk diperiksa
Manajemen risiko dan aset	Sistem mana yang menerima koneksi jarak jauh atau administratif?	Diagram inventaris dan arsitektur
Kontrol akses	Siapa yang dapat terhubung, dan apa yang dapat diakses oleh setiap akun?	Ulasan pengguna, grup, dan hak istimewa
Autentikasi	Di mana MFA diperlukan dan diterapkan?	Kebijakan dan catatan konfigurasi
Keamanan rantai pasokan	Bagaimana MSP dan pemasok terhubung?	Persetujuan, akun, kontrak, dan log
Penanganan insiden	Bisakah sesi yang mencurigakan direkonstruksi?	Acara, peringatan, dan log yang disimpan
Kepastian bisnis	Bisakah layanan yang terpengaruh pulih dengan aman?	Rekaman uji cadangan dan pemulihan

Tinjauan harus menghasilkan tindakan korektif dan bukti bahwa keputusan telah dibuat. Konfigurasi yang secara teknis baik yang tidak ditinjau, diuji, atau didokumentasikan oleh siapa pun mungkin masih meninggalkan celah operasional.

Pemetaan Sistem Akses Jarak Jauh dan Paparan Internet

Mulailah dengan inventaris lengkap jalur akses jarak jauh. Sertakan pendengar Remote Desktop, Gateway RD, konsentrator VPN, portal browser, server Windows yang dihosting di cloud, konsol manajemen, agen dukungan tanpa pengawasan, dan antarmuka administrasi di luar jalur.

Inventaris harus mengidentifikasi pemilik, tujuan bisnis, port yang terbuka, metode otentikasi, pengguna yang berwenang, dan sistem yang dapat dijangkau melalui setiap jalur. Gerbang yang tidak aktif, aturan firewall sementara, dan akun vendor yang terlupakan sering kali tetap di luar pemantauan rutin.

Setelah peta akses selesai, hapus paparan yang tidak perlu. Menerbitkan RDP langsung ke internet sebaiknya dihindari. Di mana RDP tetap diperlukan, Daftar periksa penguatan RDP memberikan panduan yang lebih mendalam tentang Otentikasi Tingkat Jaringan, gerbang, sertifikat, pembatasan firewall, dan kontrol sesi.

Perkuat Identitas, MFA, dan Hak Akses Terendah

Menetapkan akun

Setiap pengguna jarak jauh harus memiliki identitas yang dapat dipertanggungjawabkan. Akun administrator yang dibagikan menyulitkan untuk menentukan siapa yang terhubung, tindakan apa yang dilakukan, dan apakah kredensial disalahgunakan.

Misalnya, tindakan di area ini akan membawa Anda ke:

• pisahkan akun standar dan akun istimewa,
• batasi keanggotaan grup administratif dan
• secara teratur menghapus akses yang tidak lagi diperlukan.

Namun, Anda juga perlu menetapkan pemilik untuk akun layanan, akun darurat, dan identitas yang tidak aktif serta menetapkan jadwal tinjauan dan pengecualian yang terdokumentasi.

Langkah-langkah manajemen risiko keamanan siber

Pasal 21 menjelaskan langkah-langkah keamanan siber untuk manajemen risiko. Ini termasuk kebijakan pengendalian akses, manajemen aset, dan otentikasi multi-faktor atau berkelanjutan jika diperlukan. Panduan teknis ENISA merekomendasikan otentikasi yang aman berdasarkan pembatasan akses dan klasifikasi aset, dengan bukti seperti log otentikasi, kebijakan akses, dan catatan konfigurasi.

Tindakan keamanan lebih lanjut

MFA harus mendapatkan perhatian khusus untuk akses yang terhubung ke internet, akun administratif, dan koneksi pihak ketiga. A Kepercayaan Nol remote access pendekatan kemudian dapat menambahkan kepercayaan perangkat, pembatasan kontekstual, dan verifikasi berulang alih-alih memperlakukan setiap koneksi yang terautentikasi sebagai sama aman.

Kontrol MSP, Akses Pemasok dan Pihak Ketiga

Mengelola akses eksternal

Akses pemasok harus dikelola sebagai hubungan layanan yang terdefinisi, bukan sebagai kenyamanan teknis informal. Tim TI harus mengetahui penyedia mana yang memiliki akses, mengapa akses diperlukan, ke sistem mana, dan siapa yang menyetujui pengaturan tersebut.

• Gunakan akun bernama kapan pun memungkinkan.
• Batasi hak istimewa untuk pekerjaan yang sedang dilakukan.
• Tetapkan tanggal kedaluwarsa untuk akses sementara.
• Nonaktifkan akun segera setelah kontrak atau tugas dukungan berakhir.
• Koneksi di luar lokasi yang disetujui atau jam kerja harus memicu tinjauan.

Perjanjian untuk pelaporan insiden

Kontrak dan prosedur operasional juga harus mendefinisikan bagaimana pemasok melaporkan dugaan insiden, menjaga log yang relevan, dan bekerja sama dengan penyelidikan. Ini membantu menghubungkan kontrol akses teknis dengan persyaratan NIS2 untuk keamanan rantai pasokan.

MSP dan penyedia layanan lainnya

Untuk MSPs Prinsip yang sama berlaku dalam kedua arah. Penyedia harus melindungi akun teknisinya sambil memberikan bukti yang cukup kepada pelanggan bahwa akses istimewa dikendalikan dan dapat dipertanggungjawabkan.

Kurangi Kerentanan dan Paparan Ransomware

Server akses jarak jauh berada dekat dengan sistem otentikasi, aplikasi, dan data bisnis. Pembaruan keamanan yang hilang, kredensial yang lemah, atau izin yang berlebihan dapat mengubah satu akun yang terkompromi menjadi insiden server yang lebih luas.

• Tentukan kepemilikan untuk sistem operasi, gateway, klien, dan pemeliharaan aplikasi.
• Jika pembaruan keamanan tidak dapat diterapkan segera, dokumentasikan alasan, risiko residual, dan langkah-langkah kompensasi.
• ENISA menyebut catatan patch, rencana penanganan risiko, dan keputusan non-patching yang terdokumentasi sebagai contoh bukti yang berguna.
• Pengurangan paparan harus disertai dengan pemeliharaan.
• Batasi alamat IP yang diterima dan asal geografis di mana secara operasional sesuai, segmentasikan server kritis dan batasi apa yang dapat diakses oleh sesi jarak jauh.

Pertahanan terhadap Ransomware juga perlu mencakup pencegahan, deteksi, penahanan, dan pemulihan. Kami Buku Panduan Ransomware untuk Lingkungan RDS menjelaskan bagaimana tahap-tahap ini diterapkan pada infrastruktur sesi jarak jauh Windows.

Sentralisasi Acara, Peringatan, dan Tinjauan Keamanan

Log akses jarak jauh harus menunjukkan lebih dari sekadar apakah suatu layanan sedang berjalan. Tim TI memerlukan peristiwa autentikasi yang berhasil dan gagal, koneksi yang diblokir, aktivitas istimewa, perubahan firewall, peringatan keamanan, dan pola akses yang tidak biasa.

Sinkronisasi waktu sangat penting karena penyelidik mungkin perlu membandingkan peristiwa dari server Windows, gateway, firewall, platform identitas, dan sistem pemasok. Selain itu, periode retensi harus mendukung respons insiden dan persyaratan regulasi organisasi.

ENISA mengidentifikasi log VPN dan akses jarak jauh, termasuk upaya, koneksi yang berhasil, dan anomali, sebagai contoh bukti. Ini juga merekomendasikan untuk mempertahankan diagram jaringan saat ini, konfigurasi firewall, dan log akses yang menunjukkan bahwa hanya personel yang berwenang yang mengubah aturan keamanan.

Penting juga untuk menetapkan pemilik untuk setiap kategori peringatan dan mendefinisikan kapan suatu peristiwa harus dieskalasi. Memang, dasbor yang tidak ditinjau oleh siapa pun tidak memberikan pemantauan yang efektif.

Apa Bukti yang Harus Dihasilkan oleh Tinjauan Akses Jarak Jauh NIS2?

Kesiapan NIS2 bergantung pada lebih dari sekadar mengaktifkan fitur keamanan. Tim TI harus dapat menunjukkan bagaimana kontrol dipilih, dikonfigurasi, ditinjau, dan ditingkatkan.

Kontrol Dokumen dan Keputusan Keamanan

File ulasan praktis harus mencakup:

• Inventaris dan diagram arsitektur akses jarak jauh saat ini
• Kebijakan akses jarak jauh yang disetujui dan akses istimewa
• Tinjauan hak istimewa pengguna, grup, dan administratif
• Kebijakan MFA dan bukti konfigurasi
• Firewall, catatan izin IP dan pembatasan geografis
• Persetujuan akses MSP dan pemasok
• Rekaman patch dan pengecualian yang didokumentasikan
• Hasil uji keamanan dan latihan insiden
• Rekaman uji cadangan dan pemulihan
• Rencana remediasi dan risiko residual yang diterima

Rekaman ini harus sesuai dengan lingkungan langsung. Diagram lama atau spreadsheet akun yang tidak lagi mencerminkan Active Directory tidak memberikan jaminan yang dapat diandalkan.

Perusahaan Panduan implementasi teknis ENISA mengandung contoh praktis dari bukti dan implementasi kontrol. Lingkup langsungnya terbatas pada kategori entitas yang diatur oleh Peraturan Pelaksanaan Komisi (UE) 2024/2690. Ini mencakup infrastruktur digital yang relevan, manajemen layanan TIK, dan entitas penyedia digital. Sementara organisasi lain masih dapat menggunakan contohnya sebagai panduan teknis, mereka tidak boleh menganggap setiap detail secara otomatis berlaku untuk mereka.

Siapkan Data Akses Jarak Jauh untuk Pelaporan Insiden

Pasal 23 menetapkan proses pelaporan bertahap untuk insiden signifikan. Ini mencakup peringatan awal dalam waktu 24 jam setelah menyadari insiden, pemberitahuan insiden dalam waktu 72 jam dan, secara umum, laporan akhir dalam waktu satu bulan setelah pemberitahuan insiden. Prosedur nasional dan persyaratan spesifik sektor masih harus diperiksa.

Tim IT harus dapat dengan cepat menetapkan:

• Akun dan sistem mana yang terpengaruh
• Dari mana koneksi berasal
• Ketika otentikasi dan peristiwa sesi terjadi
• Indikator kompromi apa yang diamati
• Apakah pemasok atau MSP terlibat
• Langkah-langkah pengendalian apa yang diterapkan
• Apakah layanan atau pelanggan terganggu
• Bukti apa yang telah dipertahankan

Detail ini harus mengalir ke dalam proses insiden yang telah ditetapkan. Mereka tidak perlu dibangun kembali untuk pertama kalinya selama jendela pelaporan 24 jam.

NIS2 Remote Access Review Checklist

Gunakan daftar periksa ini untuk memprioritaskan siklus tinjauan pertama:

1. Inventarisasi setiap jalur akses jarak jauh dan administratif.
2. Hapus paparan internet yang tidak perlu dan aturan firewall yang usang.
3. Terapkan MFA di mana diperlukan, terutama untuk akses istimewa.
4. Pisahkan akun administrator dari akun pengguna standar.
5. Tinjau pengguna, grup, akun layanan, dan identitas yang tidak aktif.
6. Batasi akses pemasok dan MSP berdasarkan tujuan, sistem, dan durasi.
7. Perbarui server akses jarak jauh, gateway, dan komponen pendukung.
8. Pantau login yang gagal, koneksi yang diblokir, dan peristiwa ransomware.
9. Uji eskalasi insiden, cadangan, dan pemulihan yang aman.
10. Simpan bukti ulasan, pengecualian, dan tindakan korektif.

Daftar periksa mendukung prioritas teknis.

Harap dicatat: menyelesaikannya tidak, dengan sendirinya, membuktikan kepatuhan NIS2.

Bagaimana TSplus Advanced Security Mendukung Kontrol yang Selaras dengan NIS2

TSplus Advanced Security dapat mendukung mengimplementasikan beberapa langkah teknis yang relevan untuk tinjauan akses jarak jauh NIS2. Ini tidak membuat suatu organisasi patuh dengan sendirinya, tetapi fitur-fitur ini memperkuat perlindungan dan visibilitas yang mengelilingi server aplikasi Windows dan lingkungan Remote Desktop.

- Perlindungan terhadap serangan brute force

Bruteforce Protection memantau upaya login Windows yang gagal dan dapat secara otomatis memblokir alamat IP yang melanggar setelah jumlah kegagalan yang telah dikonfigurasi. Ini membantu tim TI merespons tebakan kata sandi yang berulang sambil mempertahankan catatan aktivitas yang diblokir.

- Pembatasan geografis

Perlindungan Geografis dapat mengizinkan atau memblokir koneksi berdasarkan negara, membatasi akses internet ke alamat IP pribadi dan yang telah di-whitelist, serta memantau proses atau port yang dipilih. Firewall terintegrasi menyediakan daftar terpusat dari alamat yang diblokir dan disetujui. Kontrol ini dapat mengurangi asal koneksi yang tidak perlu ketika pembatasan geografi dan IP sesuai dengan model operasi.

Pembatasan jam kerja

Batasi jam kerja membatasi kapan pengguna atau grup yang dipilih dapat terhubung dan dapat memutuskan sesi setelah periode yang diizinkan. Perangkat Tepercaya mengaitkan nama perangkat yang disetujui dengan akun pengguna, menambahkan kondisi lain sebelum akses diterima.

- Manajemen Izin

Manajemen Izin membantu administrator meninjau dan menyesuaikan akses ke sistem file lokal, printer, dan area registri. Sesi Aman dapat mengurangi apa yang dilihat atau dapat diluncurkan oleh pengguna yang terhubung dalam sesi Windows. Fitur-fitur ini mendukung prinsip hak akses minimum, tetapi harus dikonfigurasi berdasarkan peran bisnis yang nyata daripada diterapkan sebagai pembatasan umum. mengimplementasikan

- Perlindungan Ransomware

Perlindungan Ransomware menggunakan analisis statis dan perilaku untuk mendeteksi aktivitas mencurigakan, menghentikan proses yang terpengaruh, dan mengarantina file. Laporan, cuplikan, dan pemberitahuan email mendukung penyelidikan dan respons, meskipun organisasi masih memerlukan cadangan independen dan prosedur pemulihan yang teruji.

- Laporan dan peringatan

Keamanan Lanjutan juga menyajikan peristiwa keamanan, laporan, dan peringatan yang dapat dikonfigurasi dalam satu antarmuka. Ini dapat meningkatkan visibilitas sehari-hari untuk tim kecil yang perlu meninjau serangan yang gagal, koneksi yang diblokir, dan deteksi ransomware tanpa memperkenalkan platform keamanan yang lebih besar.

Menggunakan fitur yang serbaguna untuk melindungi server aplikasi dan meningkatkan penyediaan keamanan

Keamanan Lanjutan tidak menggantikan manajemen identitas, MFA, segmentasi jaringan, penerapan patch, tata kelola pemasok, atau pelaporan insiden. Faktanya, ini paling efektif ketika tanggung jawab ini menjadi bagian dari program keamanan akses jarak jauh yang terdokumentasi. Berdasarkan penggunaan Anda terhadap akses jarak jauh, infrastruktur Anda, dan tujuan kerja organisasi atau perusahaan Anda, panduan dan artikel kami yang lain membahas pendidikan keuangan, kesehatan, agroindustri, dan konteks lainnya.

Kesimpulan

NIS2 menjadikan akses jarak jauh sebagai tanggung jawab manajemen risiko yang terdokumentasi daripada hanya tugas konfigurasi. Tim TI harus menginventarisasi setiap jalur akses, mengontrol hak istimewa, memantau aktivitas mencurigakan, dan menjaga bukti yang dapat digunakan. TSplus Advanced Security dapat memperkuat beberapa perlindungan server Windows sementara organisasi tetap bertanggung jawab atas tata kelola dan kepatuhan.

FAQ

1. Apakah NIS2 Memerlukan MFA untuk Akses Jarak Jauh?

NIS2 mencakup otentikasi multi-faktor atau otentikasi berkelanjutan jika diperlukan. Keputusan tergantung pada risiko, hak istimewa, sensitivitas sistem, dan implementasi nasional. Akses yang menghadap internet, administratif, dan pemasok harus mendapatkan perhatian khusus.

2. Apakah NIS2 Berlaku untuk Penyedia Layanan Terkelola?

Penyedia layanan terkelola dan penyedia layanan keamanan terkelola termasuk dalam kerangka NIS2, tunduk pada definisi, aturan ukuran, pengecualian, dan hukum nasional. MSP harus menilai baik sistem internal mereka maupun akses teknisi ke lingkungan pelanggan.

3. Apakah NIS2 Melarang Protokol Desktop Jarak Jauh?

No. NIS2 tidak melarang RDP. Organisasi harus menilai risikonya dan menerapkan kontrol yang proporsional seperti paparan terbatas, MFA, hak akses minimal, pemeliharaan, pemantauan, dan prosedur insiden yang telah diuji.

4. Bukti Remote Access Apa yang Harus Disimpan oleh Tim IT?

Bukti yang berguna mencakup inventaris, diagram arsitektur, tinjauan akses, konfigurasi MFA, persetujuan pemasok, aturan firewall, log otentikasi, peringatan, catatan patch, pengujian pemulihan, dan keputusan remediasi.

5. Dapatkah TSplus Advanced Security Membuat Organisasi Mematuhi NIS2?

Tidak ada produk tunggal yang menetapkan kepatuhan NIS2. TSplus Advanced Security dapat mendukung perlindungan server, pembatasan akses, pertahanan ransomware, dan visibilitas keamanan. Kepatuhan juga tergantung pada tata kelola, sistem identitas, kebijakan, manajemen pemasok, perencanaan kelangsungan, dan hukum nasional yang berlaku.