Десять мер из обязательства по должной осмотрительности простым языком
Если ваша организация подпадает под действие Директивы NIS2 как существенный или важный субъект, на вас распространяется обязательство по должной осмотрительности: вы должны принять надлежащие меры для управления рисками в отношении ваших сетевых и информационных систем. Директива расшифровывает это в ряде десяти типов мер, перечисленных в статье 21. Они намеренно сформулированы широко, чтобы подходили как для установочной компании с двадцатью сотрудниками, так и для энергетической компании с тысячей сотрудников. Как узнать, что мера надлежащим образом организована? Не по галочке, а по трем взаимосвязанным элементам: конкретный документ или техническая настройка, которые реализуют меру, имя лица, ответственного за это, и время, когда это в последний раз проверялось.
Десять мер условно делятся на четыре группы: выявление и документирование рисков, реагирование на инциденты, управление цепью поставок и надлежащее состояние персонала и техники. Ниже мы рассмотрим их не как контрольный список для отметки, а как объяснение того, что каждая мера означает на практике.
Выявление и документирование рисков
Первая мера — это политика анализа рисков и безопасности информации: документ, который описывает, какие системы являются критически важными, что может пойти не так и как вы это оцениваете. Это не обязательно должен быть объемный отчет, но это должно быть что-то, что может прочитать и понять посторонний человек — надзиратель, заказчик, новый коллега. Кроме того, Директива указывает на политику и процедуры оценки эффективности мер: вы не только документируете то, что вы делаете, но и проверяете, работает ли это. И есть отдельная мера для кибергигиены и обучения: практические базовые правила и способность сотрудников распознавать подозрительное письмо.
Реагирование на инциденты
Вторая группа касается того, что происходит, если что-то все же идет не так. Управление инцидентами означает наличие процедуры, которая определяет, кто что делает при обнаружении инцидента и как об этом сообщается. Непрерывность деятельности — включая управление резервными копиями, восстановление после чрезвычайных ситуаций и управление кризисом — касается вопроса о том, как вы можете продолжить работу после сбоя или атаки: у вас есть актуальная резервная копия, знаете ли вы, кто координирует кризис, и было ли это когда-нибудь протестировано. Это часть, в которую организации часто полагаются, не проверив это, и именно такую проверку хочет увидеть надзиратель или заказчик.
Управление цепью поставок
Директива отводит отдельную меру безопасности цепи поставок, включая отношения с отдельными поставщиками. Это причина, по которой даже не подпадающие под обязательство МСБ получают от своих заказчиков списки вопросов: их заказчик должен оценить собственную цепь, чтобы соответствовать этой мере. Связанная с этим мера касается безопасности при закупке, разработке и обслуживании сетевых и информационных систем, включая обращение с уязвимостями — то есть также вопрос о том, как приобретается и поддерживается программное обеспечение.
Люди и техника в порядке
Последняя группа наиболее техническая, но не менее конкретная. Безопасность персонала, политика доступа и управление активами касаются того, кто может иметь доступ к каким системам и что происходит, когда человек увольняется. Использование многофакторной аутентификации или аналогичных решений, а также защищенная голосовая, видео- и текстовая коммуникация и защищенные системы экстренной коммуникации — это мера, которая наиболее близка к повседневной практике: все еще возможен вход в электронную почту и корпоративные системы только с паролем, или есть второй этап. И где применимо, речь идет о политике и процедурах использования криптографии и, где это имеет значение, шифрования.
Това, което имат общо тези десет мерки, е, че всички изискват три неща: доказателство, отговорник и момент на проверка. Именно това е начинът, по който е структуриран живой регистър, вместо снимка, която е остаріла след половин година. Колко строго трябва да бъде изпълнена мярката във вашия случай, зависи от размера на вашата организация и рисковете, свързани с вашия сектор — по този въпрос дава безплатната проверка в няколко въпроса първа посока.
За тези, които искат да знаят как тези десет мерки се преобразуват в национално законодателство и конкретни стъпки по всяка тема, има преглед по тема, подредени по ситуация. Там е обяснено и кой източник отговаря на което обяснение и на кой дату е бил консултиран, както е описано в страницата за произхода на информацията. За въпроса какво точно е безплатно и какво включва абонамента, има преглед на често задавани въпроси.
Тези десет мерки са рамка, не упражнение за попълване с един правилен отговор. Това, което е подходящо за вашата организация, зависи от вашия сектор, размер и системите, от които сте зависими — по този въпрос самият закон и обяснението на надзорния орган дават най-сигурния отговор. Ако първо искате да знаете дали и как задължението за внимание от директива NIS2 се прилага към вашата организация, започнете със безплатната NIS2-проверка или разгледайте базата на знания на secria.eu.