Zprávy a změny
Změny v normě, nová místa právních předpisů a co se v praxi ptají objednatelé a banky — a co s tím musíte dělat.
Vícefaktorové ověřování v metalurgickém a výrobním průmyslu: kde je povinné a kde ne?
Povinnost péče nevyjmenovává technologie jménem, ale popisuje, kde se očekává silné zabezpečení přístupu — a proč starší výrobní systémy často vyžadují jiný přístup.
Přečtete si více →Zálohování a obnovení v metalurgickém a výrobním průmyslu: kdy jste ji naposledy otestovali?
Záloha, která existuje, nic neříká, pokud ji nikdo nezkusil obnovit. Tento článek vysvětluje, proč je právě v metalurgickém a výrobním průmyslu test obnovení těžištěm, nikoli samotná záloha.
Přečtete si více →Registrace incidentů v metalurgickém a výrobním průmyslu: co zaznamenáváte?
Co musíte zaznamenat, pokud kybernetický incident postihne vaše výrobní prostředí, a proč stroje připojené k síti vyžadují jiný přístup než přenosný počítač v kanceláři.
Přečtete si více →Řízení přístupu v metalurgii a výrobě: kdo má přístup k jakým výrobním systémům?
Praktický výklad řízení přístupu pro výrobní podniky: kdo má přístup k jakým systémům, jak to nastavíte pro stroje a PLC připojené k síti, a na co se přesně ptají vaši odběratelé.
Přečtete si více →Jaké požadavky kládají objednávatelé na průmysl kovů a výroby po NIS2?
Objednávatelé, kteří sami spadají pod NIS2, převádějí své povinnosti péče do smluvních požadavků pro dodavatele v průmyslu kovů a výroby — se zvláštní pozorností na stroje a výrobní systémy, které jsou připojeny k síti.
Přečtete si více →Spadá metalurgický a výrobní průmysl pod direktivu NIS2?
Pro kovářské podniky a strojárenské firmy závisí povinnost podle NIS2 na třech věcech zároveň: přesný sektor, velikost podniku a role v dodavatelském řetězci větší objednávky.
Přečtete si více →Bezpečnostní dotazník v metalurgii a strojírenství: které otázky se vracejí?
Dodavatelé v metalurgii a strojírenství často dostávají stejné otázky týkající se jejich výrobního prostředí. Tento článek uvádí opakující se kategorie s výrobními systémy připojenými k síti v centru pozornosti.
Přečtete si více →Zvědomování a školení v instalatérském oboru: co vyžaduje povinnost péče NIS2?
Povinnost péče vyžaduje, aby byli zaměstnanci v instalatérské společnosti pravidelně informováni o kybernetických rizicích; vedoucí pracovníci mají samostatnou osobní povinnost školení. Tento článek vysvětluje rozdíl.
Přečtete si více →Co by mělo být součástí zásad bezpečnosti informací instalační společnosti?
Přehled toho, co by měly obsahovat zásady bezpečnosti informací pro instalační sektor, zejména proto, že technici pracují na místě u klientů a mají přístup ke jejich budovám a systémům.
Přečtete si více →Politika dodavatelů pro instalační společnosti: jak posuzujete, kdo se může u vašeho zákazníka dostat dovnitř?
Instalační společnost sama pracuje s dalšími subdodavateli, samostatně pracujícími odborníky a dodavateli, kteří získávají přístup do budov a systémů vašeho zákazníka. Tento článek ukazuje, jak zmapovat a posoudit svůj vlastní dodavatelský řetězec.
Přečtete si více →Vícefaktorová ověřování v instalační branši: kde je povinné a kde ne?
Přehled toho, kde se v instalační branši očekává dvoustupňové ověřování, a proč přístup ke zprávám a systémům u zákazníků na místě často vyžaduje zvláštní úvahu.
Přečtete si více →Zálohování a obnovení v instalační branži: kdy jste to naposledy testovali?
Záloha, kterou nikdo nikdy neobnovil, není záruka, ale pouhý předpoklad. Tento článek vysvětluje, co "testování" konkrétně znamená pro instalační podnik s přístupem k budovám a systémům zákazníků.
Přečtete si více →Registrace incidentů v instalační branži: co si zaznamenáte, když se něco pokazí?
Porucha, ukradený klíč nebo nesprávný účet u zákazníka: co si instalační společnost zaznamenává, když se něco pokazí, a proč je to více než chybová zpráva v systému lístků.
Přečtete si více →Řízení přístupu v instalačním průmyslu: kdo má přístup k jakým systémům a klíčům?
Řízení přístupu je opatření, na které se v bezpečnostních dotaznících nejčastěji ptají. Pro instalační podniky to není jen o heslech, ale také o klíčích, kartách a přístupu k místům zákazníků.
Přečtete si více →Jaké požadavky klade objednávatel na instalační společnosti podle NIS2?
Objednávatelé, kteří sami podléhají povinnosti péče NIS2, přeměňují tuto povinnost na smluvní požadavky pro instalatéry — zejména pokud jde o přístup do budov, klíče a stavební systémy. Tento článek vysvětluje, co můžete očekávat, a proč.
Přečtete si více →Podléhá instalační branche NIS2?
Pro instalační firmy závisí odpověď na sektoru, velikosti a přístupu, který mají k budovám a systémům zákazníků, kteří sami podléhají NIS2.
Přečtete si více →Bezpečnostní dotazník v instalačním odvětví: jaké otázky se opakují?
Instalační podnik, který pracuje na místě u klientů a spravuje systémy na dálku, často dostává bezpečnostní dotazník se specifickými otázkami týkajícími se přístupu ke budovám a systémům. Tento článek shrnuje se opakující se otázky.
Přečtete si více →Školení informační bezpečnosti při vývoji softwaru: co vyžaduje povinnost péče?
Povinnost péče podle NIS2 vyžaduje od vývojářů softwaru, aby proškolili zaměstnance v povědomí o bezpečnosti, a dále ukládá samostatnou, osobní povinnost školení pro vedoucí pracovníky. Tento článek vysvětluje rozdíl.
Přečtete si více →Co patří do bezpečnostní politiky pro vývoj softwaru?
Bezpečnostní politika pro vývoj softwaru popisuje jak to, jak chráníte produkt, který budujete, tak i to, jak chráníte své vlastní vývojové prostředí — tento článek vysvětluje, které součásti by do ní měly patřit.
Přečtete si více →Politika dodavatelů pro vývoj softwaru: jak posuzujete své vlastní dodavatele?
Softwarové společnosti samy dostávají bezpečnostní dotazníky, ale musí také posuzovat své vlastní dodavatele. Tento článek ukazuje, jak to budujete, přičemž vývojová linka a kód ve vašem produktu jsou dvěma samostatnými body pozornosti.
Přečtete si více →Vícestupňové ověřování při vývoji softwaru: kde ano a kde ne?
Přehled míst, kde je dvoustupňové ověřování při vývoji softwaru na místě, a situací, kdy to není tak samozřejmé.
Přečtete si více →Zálohování a obnovení ve vývoji softwaru: kdy jste to naposledy testovali?
Zálohování, které jste nikdy neobnovili, je předpoklad, ne opatření — zvlášť ne pro zdrojový kód, vývojový pipeline a tajemství, která za ním stojí.
Přečtete si více →Registrace incidentů při vývoji softwaru: co si poznamenáváte, když se něco pokazí?
Přehled toho, co si softwarová společnost poznamenává v případě incidentu: rozdíl mezi chybou v kódu, který dodáváte, a problémem ve vaší vlastní vývojové infrastruktuře, a co o tom chce vědět váš zákazník.
Přečtete si více →Řízení přístupu ve vývoji softwaru: kdo má přístup ke zdrojovému kódu a vývojové cestě?
Vysvětlení toho, co řízení přístupu znamená pro vývojový tým: kdo má přístup ke zdrojovému kódu, buildovací lince a produkčnímu prostředí, a jak to zaznamenáte ve svém kybernetickém spisu.
Přečtete si více →Jaké požadavky obsahuje smlouva o vývoji software po NIS2?
Zadavatel, který sám podléhá povinnosti péče podle NIS2, přeloží tuto povinnost na smluvní požadavky týkající se software, který budujete, a způsobu, jakým ji budujete. Tento článek uvádí, jaké požadavky to obvykle jsou.
Přečtete si více →Spadá vývoj softwaru pod NIS2?
Vývoj softwaru není uveden jako samostatný sektor v přílohách NIS2, ale prostřednictvím cloudových nebo ICT služeb, velikosti vaší společnosti a vaší pozice jako dodavatele se s direktivou můžete setkat.
Přečtete si více →Jaké otázky obdrží softwarová společnost v seznamu otázek NIS2?
Přehled otázek, které se specificky opakují v bezpečnostních dotaznících pro vývojáře softwaru: o kódu, který vytváříte, a o vývojovém procesu, v němž to děláte.
Přečtete si více →Má bezpečnostní povědomostní školení povinný charakter pro poskytovatele ICT služeb podle NIS2?
NIS2 zmiňuje povědomí a školení jako jedno z deseti opatření povinné péče, odděleně od samostatné školící povinnosti vedení. Tento článek vysvětluje rozdíl a co to znamená pro poskytovatele ICT služeb.
Přečtete si více →Co by mělo být v zásadách bezpečnosti informací poskytovatele služeb ICT?
Zásady bezpečnosti informací poskytovatele služeb ICT popisují, jak nakládáte se správou na dálku, přístupem do systémů zákazníků a subdodavateli — tento článek ukazuje, které části do nich patří.
Přečtete si více →Vypracovat zásady pro dodavatele v oblasti ICT služeb: kde začít?
Poskytovatelé ICT služeb sami dostávají od zákazníků dotazníky, ale měli by také hodnotit své vlastní dodavatele: subdodavatele, nástroje pro vzdálenou správu a všechny, kdo mají přístup k zákaznickým systémům.
Přečtete si více →Vícefaktorové ověření v ICT-službách: kde je povinné a kde ne?
Vícefaktorové ověření se objevuje téměř v každé povinnosti péče v NIS2 a v každém bezpečnostním dotazníku, ale požadavek se liší podle přístupové cesty. Tento článek ukazuje, kde se MFA strukturálně očekává a kde diskuse zůstává otevřená.
Přečtete si více →Zálohování a obnova v poskytování ICT služeb: kdy jste to naposledy testoval(a)?
Záloha, která existuje, ale nikdy nebyla obnovena, se nezapočítává při posouzení povinnosti péče. Co to konkrétně znamená pro správu na dálku, přístup k zákaznickým systémům a subdodavatelům.
Přečtete si více →Registrace incidentů v poskytování služeb ICT: co si budete poznamenávat?
Jako poskytovatel služeb ICT často pracujete vzdáleně v systémech zákazníků, někdy i s dalším subdodavatelem. Tento článek popisuje, co si poznamenáváte, když se něco pokazí, abyste to později mohli prokázat.
Přečtete si více →Řízení přístupu ve službách ICT: kdo má přístup kam?
Vysvětlení toho, co řízení přístupu v rámci povinnosti péče NIS2 znamená, a proč se dotazníky na bezpečnost zde ptají nejostřeji na vzdálené správu, přístup zákazníků a subdodavatele.
Přečtete si více →Co opravduje objednatel od poskytovatelů ICT služeb po NIS2
Objednavatelé, kteří sami podléhají povinnostem péče podle NIS2, převádějí tyto povinnosti na smluvní požadavky pro své ICT poskytovatele — týkající se přístupu k systémům, vzdálené správy a subdodavatelů.
Přečtete si více →Spadá správa ICT služeb pod NIS2?
Pro poskytovatele ICT služeb je odpověď dvojí: část samy spadá pod seznam sektorů NIS2, mnohem větší část je zasažena, protože zákazníci je jako dodavatele s přístupem k systémům musí posoudit.
Přečtete si více →Bezpečnostní seznam otázek v poskytování služeb ICT: které otázky se neustále opakují?
Poskytovatelé služeb ICT mají díky svému přístupu k systémům klientů často ty nejpodrobnější bezpečnostní seznamy otázek. Tento článek uvádí opakující se témata: vzdálená správa, přístup k systémům klientů a subdodavatelé.
Přečtete si více →Opakování bezpečnostního dotazníku: proč potřebuje podruhé jen pár minut
První bezpečnostní dotazník zákazníka stojí hodiny hledání a formulování. Kdo si odpovědi poznamenává v dossieru, všimne si, že druhý a třetí dotazník už jenom kontrolu a pár úprav.
Přečtete si více →NIS2 pro malé a střední podniky: jak sestavit dokumentaci bez toho, aby to trvalo rok?
Dokumentace NIS2 nemusí být dlouhodobý projekt: začněte s tím, co má vaše firma již k dispozici, a doplňujte ji opatření po opatření se stavem, zodpovědnou osobou a důkazem.
Přečtete si více →NIS2 nebo DORA: které předpisy se vztahují na mou organizaci?
Finanční instituce podléhají DORA a ne NIS2. Tento článek vysvětluje, jak si na základě vašeho sektoru ověříte, které předpisy se na vaši organizaci vztahují.
Přečtete si více →Jak vysoká je pokuta za NIS2 a kdo ji vlastně může dostat?
Směrnice stanovuje vysoké maximální částky, ale ty platí pouze pro organizace, které samy spadají pod NIS2. Pro mnohem větší skupinu dodavatelů není pokuta rizikem, ale smlouva, která zmizí dříve.
Přečtete si více →Je-li jednatel osobně odpovědný podle NIS2?
NIS2 ukládá část povinnosti péče přímo vedení: schvalování, dohled a školení. Tento článek vysvětluje, co to konkrétně znamená a proč to nelze přenechat dodavateli.
Přečtete si více →Existuje certifikát NIS2?
Ne — neexistuje žádný oficiální certifikát NIS2 a žádná instituce, která by jej vydávala. Tento článek vysvětluje, co směrnice skutečně požaduje a jak to lze věrohodně prokázat.
Přečtete si více →NIS2 a ISO 27001: jaký je rozdíl?
Certifikát ISO 27001 pokrývá mnoho z toho, co vyžaduje povinnost péče podle směrnice NIS2, ale nepokrývá povinnost registrace ani oznamovací povinnost vůči orgánu dohledu.
Přečtete si více →Registrace podle směrnice NIS2 u dohledového orgánu: jak to funguje?
Subjekty kritické infrastruktury a subjekty důležitých sektorů se musí sami zaregistrovat u národního dohledu — tento článek vysvětluje, jaké údaje jsou k tomu potřebné a proč vás na to nikdo neupozorňuje.
Přečtete si více →Povinnost hlášení podle NIS2: co znamená přesně 24 hodin, 72 hodin a jeden měsíc?
Směrnice NIS2 stanovuje tři okamžiky hlášení po významném incidentu. To, co se očekává v každém okamžiku, se liší od toho, co se obvykle tvrdí.
Přečtete si více →Které deset opatření očekává povinnost péče podle NIS2 od vaší organizace?
Povinnost péče podle směrnice NIS2 stanovuje deset typů bezpečnostních opatření. Tento článek vysvětluje v srozumitelném jazyce, co každé opatření znamená, a podle čeho poznáte, že je náležitě zavedeno.
Přečtete si více →Bezpečnostní dotazník od klienta: co s ním máte dělat?
Zákazník vám pošle dlouhý dotazník o vaší bezpečnosti a odkazuje na NIS2. Co ten dotazník znamená, proč přichází a jak se dostanete k použitelnému odpovědi.
Přečtete si více →Spadá moje podnikání pod NIS2?
Dvě otázky určují, zda vaše společnost sama spadá pod směrnici NIS2: sektor, ve kterém operujete, a velikost vaší organizace. Pokud na ni nespadáte, můžete se s ní přesto setkat prostřednictvím zákazníka nebo dodavatele.
Přečtete si více →