Банка със знания

Какво изисква NIS2 от вашата организация?

Обяснено за онези, които се занимават с това за първи път. Всяка съкращение се обяснява на място, където се появява.

• Попада ли моята компания под NIS2? — Два фактора го определят: вашия сектор и вашия размер. Но има и трета група, която попада извън действието и въпреки това получава изискванията.
• Вашият клиент изпращане опитвалник за кибербезопасност — какво сега? — Вие сами не попадате под действието, но получавате изискванията. Защо се случва това и какво е добрия отговор.
• Задължението за полагане на разумна дейност: десетте мерки от член 21 — Какво конкретно се очаква от вас за всяка мярка — и как ще видите, че е уредено.
• Задължението за докладване: 24 часа, 72 часа и един месец — Три момента, и нито един от тях не е задължението за докладване в рамките на 24 часа, за което обикновено се говори.
• Законът за кибербезопасност: какво важи в България — Българската реализация на NIS2, и защо няма период на адаптация.
• NIS2 и ISO 27001: каква е разликата? — Стандартът помага, но не покрива всичко. Където се припокриват и където не.

Десетте мерки от задължението за полагане на разумна дейност

Член 21, параграф 2 на Директивата ги изброява като a до j. Това е това, от което се състои един досие, и на което се основава опитвалникът за кибербезопасност от вашия клиент.

1. Анализ на риска и политика за информационна безопасност (подточка a)
   Документирана оценка на това, което може да се случи криво, и политиката, която отговаря на това. Това е основата, на която се основават другите девет.
2. Управление на инцидентите (подточка b)
   Как ще разберете, че нещо е грешно, кой кво прави тогава и как го записвате. Също и въпросът кой решава дали трябва да се докладва.
3. Устойчивост на бизнеса и управление на кризите (подточка c)
   Резервни копия, възстановяване след авария и какво се случва, ако вашата най-важна система е изключена за седмица. Включително че восстановлението е тестирано, а не просто описано.
4. Безопасност в веригата на доставки (подточка d)
   Безопасността на вашите доставчици и услугодатели, доколкото това засяга вашите собствени системи. Това е определението, поради което вашите собствени клиенти ви изпращат опитвалник.
5. Безопасност при закупуване, разработка и поддържане (подточка e)
   Как вие включвате безопасност при закупуване или изграждане на системи и как се обработват уязвимостите щом станат известни.
6. Оценка на ефективността (подточка f)
   Измерване дали това, което сте уредили, действително работи. Без това списъкът с мерки остава намерение.
7. Основна хигиена и осведоменост (подточка g)
   Актуализации, политика за пароли, права, които не са по-широки от необходимото — и хора, които знаят на какво трябва да обърнат внимание. Обучението е свързано с това.
8. Криптография и криптиране (подточка h)
   Когато данните се криптират, при предаването и съхранението им, и с какви договорни условия.
9. Сигурност на персонала, политика на достъпа и управление на корпоративни ресурси (подточка i)
   Кой има достъп до какво, какво се случва когато служител напусне, и кои устройства и системи всъщност съществуват.
10. Многофакторна верификация и защитена комуникация (подточка j)
    Двустепенна верификация където е важно, и защитена гласова, видео- и текстова комуникация. Также резервна комуникация, ако обичайните канали се прекъснат.

Кога трябва да съобщите?

Три момента, и никой от тях не е "задължението за съобщение в 24 часа", което често се цитира. Това се прилага само ако вие самите попадате под закона.

Периодите започват от момента, когато осъзнаете инцидента. Ние подготвяме текстовете; вие сами ги подавате в портала на вашия надзорен орган.