Τράπεζα γνώσης

Τι ζητά η NIS2 από τον οργανισμό σας;

Εξήγηση για όσους αντιμετωπίζουν το θέμα για πρώτη φορά. Κάθε ακρωνύμιο εξηγείται στο σημείο όπου εμφανίζεται.

• Εμπίπτει το έργο μου στο NIS2; — Δύο πράγματα το καθορίζουν: ο τομέας σας και το μέγεθός σας. Αλλά υπάρχει μια τρίτη ομάδα που εξαιρείται και λαμβάνει ωστόσο τις απαιτήσεις.
• Ο πελάτης σας στέλνει ένα ερωτηματολόγιο ασφάλειας κυβερνητικών — τι κάνετε τώρα; — Δεν εμπίπτετε αυτοί στο πεδίο εφαρμογής, αλλά λαμβάνετε ωστόσο τις απαιτήσεις. Γιατί συμβαίνει αυτό και ποια είναι μια καλή απάντηση.
• Η υποχρέωση φροντίδας: οι δέκα μέτρα από το άρθρο 21 — Τι ακριβώς αναμένεται από εσάς, ανά μέτρο — και πώς μπορείτε να δείτε ότι έχει ρυθμιστεί.
• Η υποχρέωση αναφοράς: 24 ώρες, 72 ώρες και ένας μήνας — Τρεις στιγμές, και καμία από αυτές δεν είναι η υποχρέωση αναφοράς εντός 24 ωρών στο οποίο συνήθως αναφέρεται.
• Ο Νόμος περί Ασφάλειας Κυβερνητικών: τι ισχύει στις Κάτω Χώρες — Η ολλανδική εφαρμογή της NIS2, και γιατί δεν υπάρχει περίοδος μεταβάσεως.
• NIS2 και ISO 27001: ποια είναι η διαφορά; — Το πρότυπο βοηθά, αλλά δεν το καλύπτει πλήρως. Όπου επικαλύπτονται και όπου όχι.

Οι δέκα μέτρα της υποχρέωσης φροντίδας

Το άρθρο 21, παράγραφος 2 της Οδηγίας τα αναφέρει ως α έως και ι. Αυτό είναι αυτό από το οποίο αποτελείται ένα δοσιέ, και σε αυτό βασίζεται το ερωτηματολόγιο ασφάλειας κυβερνητικών του πελάτη σας.

1. Ανάλυση κινδύνου και πολιτική ασφάλειας πληροφοριών (υπο-στοιχείο α)
   Μια τεκμηριωμένη αξιολόγηση του τι μπορεί να πάει στραβά και η πολιτική που αποκρίνεται σε αυτό. Αυτή είναι η βάση πάνω στην οποία στηρίζονται τα άλλα εννέα.
2. Αντιμετώπιση περιστατικών (υπο-στοιχείο β)
   Πώς προσέχετε ότι κάτι πηγαίνει στραβά, ποιος κάνει τι τότε και πώς το τεκμηριώνετε. Επίσης το ζήτημα ποιος αποφασίζει αν πρέπει να αναφερθεί.
3. Συνέχεια δραστηριότητας και διαχείριση κρίσεων (υπο-στοιχείο γ)
   Αντίγραφα ασφαλείας, ανάκαμψη μετά από διακοπή λειτουργίας και τι συμβαίνει εάν το σημαντικότερο σύστημά σας είναι εκτός λειτουργίας για μια εβδομάδα. Συμπεριλαμβανομένης της ανάκαμψης δοκιμασμένης, όχι μόνο περιγραφόμενης.
4. Ασφάλεια στην αλυσίδα εφοδιασμού (υπο-στοιχείο δ)
   Η ασφάλεια των προμηθευτών σας και των παρόχων υπηρεσιών, στο βαθμό που επηρεάζουν τα δικά σας συστήματα. Αυτή είναι η διάταξη λόγω της οποίας οι δικοί σας πελάτες σας στέλνουν ένα ερωτηματολόγιο.
5. Ασφάλεια κατά την αγορά, ανάπτυξη και συντήρηση (υπο-στοιχείο ε)
   Πώς ενσωματώνετε την ασφάλεια κατά την αγορά ή κατασκευή συστημάτων και πώς αντιμετωπίζονται οι τρωτότητες μόλις γίνουν γνωστές.
6. Αξιολόγηση της αποτελεσματικότητας (υπο-στοιχείο ζ)
   Μέτρηση για να δείτε αν αυτό που έχετε ρυθμίσει λειτουργεί επίσης. Χωρίς αυτό, μια λίστα μέτρων παραμένει μια πρόθεση.
7. Βασική υγιεινή και ευαιсθησία (υπο-στοιχείο η)
   Ενημερώσεις, πολιτική κωδικών πρόσβασης, δικαιώματα που δεν είναι ευρύτερα από το απαιτούμενο — και άνθρωποι που ξέρουν σε τι πρέπει να προσέχουν. Η κατάρτιση κρεμιέται εδώ.
8. Κρυπτογραφία και κρυπτογράφηση (sub h)
   Πότε κρυπτογραφούνται τα δεδομένα, κατά τη μεταφορά και την αποθήκευση, και ποιες είναι οι σχετικές συμφωνίες.
9. Ασφάλεια προσωπικού, πολιτική πρόσβασης και διαχείριση εταιρικών πόρων (sub i)
   Ποιος μπορεί να έχει πρόσβαση σε τι, τι συμβαίνει όταν κάποιος φεύγει από την εργασία, και ποιες συσκευές και συστήματα υπάρχουν στην πραγματικότητα.
10. Πολλαπλή επαλήθευση και ασφαλής επικοινωνία (sub j)
    Δυστοιχία σε δύο στάδια όπου είναι σημαντικό, και ασφαλής φωνητική, βιντεο και κειμενική επικοινωνία. Επίσης εκτακτη επικοινωνία εάν τα συνήθη κανάλια δεν λειτουργούν.

Πότε πρέπει να κάνετε αναφορά;

Τρεις στιγμές, και καμία από τις τρεις δεν είναι «η υποχρέωση αναφοράς εντός 24 ωρών» στην οποία συχνά αναφέρεται. Αυτό ισχύει μόνο εάν εσείς ο ίδιοι υπάγεστε στο νόμο.

Οι προθεσμίες αρχίζουν από τη στιγμή που λαμβάνετε γνώση του συμβάντος. Ετοιμάζουμε τα κείμενα· εσείς υποβάλλετε την αναφορά στην πύλη της δικής σας αρχής εποπτείας.