Mikilvægi þess að tilkynna alvarleg atvik og áhættu vegna útfalls á þjónustu hjá Microsoft

Fjarskiptastofa, sem samhæfingarstjórnvald á grundvelli netöryggislaga, og CERT-IS, vill minna á mikilvægi þess að mikilvægar innviðir tilkynni um öll alvarleg atvik og áhættu sem tengjast þjónustuútföllum hjá Microsoft. Undanfarin tilvik hafa sýnt fram á nauðsyn þess að bregðast skjótt við til að tryggja öryggi og stöðugleika þjónustu sem getur haft efnahagsleg og samfélag áhrif.

Stofnunin áréttar að umrædd lagaskylda hvílir á öllum mikilvægum innviðum sem falla undir gildissvið netöryggislaga og fjarskiptalaga. Auk fjarskiptafyrirtækja er um að ræða rekstraraðila nauðsynlegrar þjónustu skv. skrá ráðherra, sbr. auglýsing nr. 1331/2023, sjá: https://www.stjornartidindi.is/Advert.aspx?RecordID=8f219edf-99a8-4c4a-b620-f5daf32b1f4a

Þá nær tilkynningarskylda til alla rekstraraðila skýjavinnsluþjónustu, netmarkaða og leitarvéla á netinu, sem eru stærri en örfélög í skilningi laga um ársreikninga nr. 3/2006.

Tilkynna skal til CERT-IS sem skal miðla umræddum skyldutilkynningum til viðeigandi eftirlitsstjórnvalda sem geta verið Fjarskiptastofa, Embætti landlæknis, Orkustofnun, Samgöngustofa, Umhverfisstofnun og Seðlabanki Íslands.

Tilkynning skal berast eins fljótt og verða má og eigi síðar en 6 klukkustundum eftir að borin hafa verið kennsl á atvik eða áhættu í kerfum rekstraraðila. Í tilkynningu skal m.a. veita eftirfarandi upplýsingar:

1. hvenær atviks eða áhættu varð fyrst vart í net- og upplýsingakerfum;
2. frummat á eðli og/eða tegund atviks eða áhættu í net- og upplýsingakerfum;
3. frummat á umfangi atviks eða áhættu;
4. frummat á mögulegum smitáhrifum;
5. hver sé rekstraraðili umræddra net- og upplýsingakerfa, t.a.m. ef rekstri þeirra er útvistað.

Liggi ekki allar upplýsingar fyrir við framangreind tímamörk aðila að fylgja upprunalegri tilkynningu um atvik eða áhættu eftir með frekari samskiptum við netöryggissveit, eins fljótt og verða má.

Við mat á tilkynningarskyldu skal m.a. horft til hvort áhætta eða atvik

1. hefur eða líklegt þykir að muni valda þjónusturofi eða ósamfellu í veitingu nauðsynlegrar þjónustu;
2. raskar eða líklegt þykir að muni raska öryggi og/eða virkni net- og upplýsingakerfa sem eru grundvöllur fyrir veitingu nauðsynlegrar þjónustu;
3. hefur eða líklegt þykir að muni hafa áhrif yfir landamæri;
4. hefur eða líklegt þykir að muni hafa áhrif á veitingu þjónustu annarra mikilvægra innviða, þar á meðal vegna viðhalds.

Hér má sjá frekari leiðbeiningar CERT-IS (https://cert.is/leidbeiningar-i-atvikum/tilkynna-atvik/)

Ítarlegri upplýsingar má nálgast hjá netöryggissveitinni og hjá Stafrænu öryggi. Tengiliðir Stafræns öryggis eru Unnur Kristín Sveinbjarnardóttir, sviðsstjóri og Arnar Freyr Guðmundsson, fagstjóri netvarna og prófana netöryggis.