Deset opatření z povinnosti péče v srozumitelném jazyce
Pokud vaše organizace podléhá směrnici NIS2 jako subjekt kritické infrastruktury nebo subjekt v důležitém sektoru, platí pro vás povinnost péče: musíte přijmout přiměřená opatření k řízení rizik pro vaše síťové a informační systémy. Směrnice to rozpracovává do řady deseti typů opatření uvedených v článku 21. Jsou záměrně formulována velmi obecně, aby se hodila jak pro instalační podnik s dvaceti zaměstnanci, tak pro energetickou společnost s tisícem zaměstnanců. Podle čeho poznáte, že je opatření náležitě zavedeno? Nejedná se o zaškrtnutí, ale o třech věcech, které spolu patří: konkrétní dokument nebo technické nastavení, které opatření naplňuje, jméno osoby, která za to odpovídá, a čas, kdy bylo naposledy kontrolováno.
Deset opatření zhruba spadá do čtyř skupin: poznání a zaznamenání rizik, zvládání incidentů, řízení dodavatelského řetězce a údržba lidí a techniky. Níže si je projdeme – nikoli jako kontrolní seznam k zaškrtnutí, ale jako vysvětlení toho, co každé opatření v praxi znamená.
Poznání a zaznamenání rizik
První opatření je politika analýzy rizik a bezpečnosti informací: dokument, který popisuje, které systémy jsou důležité, co se může pokazit a jak to posuzujete. Nemusí to být rozsáhlá zpráva, ale mělo by to být něco, co cizí osoba – inspektor, objednávatel, nový kolega – může přečíst a pochopit. Vedle toho směrnice zmiňuje politiku a postupy pro posouzení účinnosti opatření: nezaznamenáváte jen to, co děláte, ale také to, jak ověřujete, že to funguje. A existuje samostatné opatření pro kybernetickou hygienu a školení: praktická základní pravidla a schopnost zaměstnanců poznat podezřelý e-mail.
Zvládání incidentů
Druhá skupinus se týká toho, co se stane, když přesto něco selže. Zpracování incidentů znamená, že existuje procedura pro to, kdo co dělá hned po objevení incidentu, a jak se to hlásí. Kontinuita podnikání – včetně správy záloh, obnovy po havárii a řízení krizí – se týká otázky, jak pokračovat dál po výpadku nebo útoku: máte aktuální zálohu, víte, kdo koordinuje krizi, a bylo to kdy vyzkoušeno. Toto je oblast, kde se organizace často spoléhají, aniž by to testovaly, a právě to testování chce vidět inspektor nebo objednávatel.
Řízení dodavatelského řetězce
Směrnice věnuje samostatné opatření bezpečnosti dodavatelského řetězce, včetně vztahu s jednotlivými dodavateli. To je důvod, proč i malí a střední podniky, kteří nejsou povinné subjekty, dostávají dotazníky od svých zadavatelů: ten zadavatel musí posoudit svůj dodavatelský řetězec, aby splnil toto opatření. Související opatření se týká bezpečnosti při nákupu, vývoji a údržbě síťových a informačních systémů, včetně řešení slabých míst – tedy i otázky, jak se software kupuje a aktualizuje.
Lidé a technika v pořádku
Poslední skupinu je nejpřísnější technicky, ale není méně konkrétní. Bezpečnost personálu, zásady přístupu a správa majetku se týkají toho, kdo má přístup do jakých systémů a co se stane, když někdo opustí službu. Používání vícefaktorového ověřování nebo podobných řešení, a zabezpečená hlasová, video a textová komunikace a zabezpečené systémy nouzové komunikace, je opatření, které nejblíže souvisí s denní praxí: je stále možné se přihlásit k e-mailu a podnikovým systémům pouze pomocí hesla, nebo je tam druhý krok. A pokud je to vhodné, jde o zásady a postupy pro používání kryptografie a, pokud je to relevantní, šifrování.
Co je společné všem těmto deseti opatřením, je fakt, že všechna vyžadují tři věci: důkazní materiál, odpovědného pracovníka a okamžik kontroly. Přesně takto je sestavena živá složka místo snímku, který je za půl roku již zastaralý. Jak přísně se má opatření ve vašem případě vyplnit, závisí na velikosti vaší organizace a rizicích, která jsou typická pro váš sektor — první indikaci poskytuje bezplatná kontrola v několika otázkách .
Pro ty, kteří si chtějí ověřit, jak se tato desítka opatření převádí na národní právní předpisy a konkrétní kroky v jednotlivých oblastech, existuje přehled podle tématu, vydělený podle situace. Je tam také vysvětleno, která zdroj k jaké interpretaci patří a kdy byla konzultována, jak je popsáno na stránce o původu informací. Ohledně otázky, co přesně je bezplatné a co patří k předplatnému, je k dispozici přehled často kladených otázek.
Tato desítka opatření je rámcem, nikoli cvičením s jedinou správnou odpovědí. Co je vhodné pro vaši organizaci, závisí na vašem sektoru, velikosti a systémech, na kterých jste závislí — nejjistější odpověď na to dává samotný znění zákona a podklady regulačního orgánu. Chcete-li nejdřív vědět, zda a jak se tato péče vztahuje na vaši organizaci, začněte s bezplatnou NIS2-kontrolou nebo prohlédněte si znalostní bázi na secria.eu.