какво доказателство трябва да представя за всяка защитна мярка

При всяка мярка трябва да има документ, който показва статуса

Доказателство е нещо, което показва, че една мярка не само е замислена, но и наистина съществува и се използва. При контрол на достъпа например това е списък на това, кой има достъп до какво и как се записва това; при политика на корекции — дневник или отчет, който показва, че актуализациите наистина се прилагат; при процес на инцидент — описание на стъпките, които трябва да се следват, евентуално допълнено с доклад за един път, когато процесът е бил прилаган или тестван. Формата се различава по мярка, но принципът е винаги един и същ: твърдение без основен документ е трудно да се разграничи от намерение.

Кой точно документ е подходящ, зависи от това, какво съдържа самата мярка — организационна мярка като политически документ изисква различен вид доказателство от техническа мярка като криптография или сегментиране на мрежата. От организационна страна често се касае за установена политика; какви политики трябва да имам за NIS2 отива по-нататък в това. От техническа страна по-скоро се касае за конфигурации, дневници или резултати от тестване. Във всички случаи важи, че доказателството има име, дата и в идеалния случай собственик — някой, който може да обясни защо документът казва това, което казва. Кой е това в организацията е отделен въпрос, който се разглежда отделно при кой трябва да е отговорен в моята организация за дадена мярка.

Откъде идва тази разделяне на десет мерки

Член 21, параграф 2 на Директива NIS2 изброява десет категории мерки, на които почива задължението за старание, от анализ на рисковете до контрол на достъпа и управление на кризи; Законът за киберсигурност преема тази разделяне в холандската трансформация. Самата директива не предписва固定формат на доказателства, но известните контролни мерки от ISO/IEC 27001 Приложение A често се използват като практичен израз, включително вида доказателство, което се подходя. NCSC дава консултации относно задължението за старание в общия смисъл, без да предписва задължително доказателство по мярка.