Как да подходите към NIS2 като МКБ, без да го превърнете в годишен проект?
Най-краткия път не е да пишете голям план, а да започнете с това, което вече имате. Повечето МКБ-компании вече имат политика за пароли, график за резервно копиране, списък с това кой има достъп до кои системи и контактно лице за IT. Това не е цялостна политика за кибербезопасност, но е отправна точка на досието: за всяка мярка записват какъв е статусът ѝ, кой е отговорен за нея и какво доказателство показва, че наистина се прилага.
Изграждането на досие по този начин не е проект от месеци. Това е списък, който отваряте днес и който расте докато работите: една мярка вече е там, друга идва този месец. Няма момент, в който е "готово", и това също не е намерението. Задълженията за грижа, които произтичат от Директива NIS2 и националните закони по нея, не са еднократно упражнение, а постоянна практика. Живо регистър е по-подходящ за това, отколкото дебело документ, който след предаване изчезва в папка.
Начнете с това, което вече имате, не с празна страница
Много компании мислят, че започват от нула щом падне думата NIS2. Това е редко. Инсталационна фирма обикновено вече има договорности относно това кой има достъп до системите на клиентите, HR отдел има процес за отнемане на достъп при напускане, и почти всяка компания има някаква форма на резервно копиране, дори и да не е написана като "политика за резервно копиране". Първата стъпка е следователно не да пишете, а да направите инвентар: какво вече правим, къде е записано това и кой може да го докаже.
След това идва въпросът кои части все още липсват. Това не само спестява време, но предотвратява и това да правите двойна работа или да приемаме политики за нещо, което в практиката вече е добре уредено, само че не е видимо. Ако искате първо да разберете дали вашата организация попада под това, или се засяга чрез клиент, то може да се види с няколко въпроса приблизително къде стоите, без да трябва да закупувате нещо.
Една мярка, един статус, един отговорник, едно доказателство
Основата на работещо досие е проста: за всяка мярка четири постоянни полета. Статусът показва дали нещо е уредено, частично уредено или все още трябва да се направи. Отговорникът е лицето, отговорно за това, не непременно самият директор. Доказателството е това, което показва, че мярката съществува: график, експорт от система, подписан документ. Без тези четири полета досието остава сбор от добри намерения; с тези полета то становится нещо, с което също можете да отговорите на анкета за кибербезопасност от клиент, защото не трябва да импровизирате, а можете да се върнете към това, което вече е записано.
Тази структура работи добре и защото не трябва да се захващате с всичко едновременно. Можете да започнете с мерките, за които вече имате повечето, които са бързо да се приведат в ред, и останалото да го вземете поетапно. Преглед на това кои мярки задълженията за грижа точно очакват и какво попада под тях, ще намерите в разработените теми по ситуация.
Защо това се движи по-бързо, отколкото звучи
Впечатлението, че NIS2 е годишен проект, често възниква защото хората мислят в цялостно политическо документ, което трябва да бъде готово наведнъж. Живо регистър работи по обратния начин: начина малко и непълно, и се актуализира автоматично при всяка промяна във вашата организация, защото вече сте заети с тази промяна. Нов доставчик, друга система за достъп, нов служител с административни права — всеки момент е естествено място за актуализиране на досието, вместо да правите всичко наново веднъж годишно.
Какво досието дава и не дава
От поддържан файл следват документите, които ви трябват: самата политика, отговорите на анкетите от получателите и подготвени текстове за регистрация или уведомяване на надзорния орган. Това уведомяване или регистрация трябва сами да подадете чрез портала на вашия надзорен орган; файлът подготвя това, но не поема подаването. Файлът също не е заместител на одит, тест за пенетрация или сертификация — това остава работа на специализирани страни, както и реагирането на инциденти, ако някога нещо се обърка наистина.
Тези, които искат точно да знаят как се създава такъв файл и кои източници се използват при това, могат да прочетат на страницата за откъде идва информацията в платформата. За ситуацията на вашата организация, със съответните правни последици, адвокат или компетентният надзорен орган остават подходящият контакт.
Ако искате да видите где стои вашата организация в момента, направете безплатната NIS2-проверка или разгледайте темите, които най-близо отговарят на вашата ситуация.