Πώς αντιμετωπίζετε NIS2 ως ΜΜΕ, χωρίς να το κάνετε ετήσιο έργο;
Η συντομότερη διαδρομή δεν είναι η σύνταξη ενός μεγάλου σχεδίου, αλλά η έναρξη με αυτό που υπάρχει ήδη. Τα περισσότερα ΜΜΕ έχουν ήδη μια πολιτική κωδικών πρόσβασης, ένα πρόγραμμα δημιουργίας αντιγράφων ασφαλείας, ένα κατάλογο με τις περιοχές πρόσβασης σε διάφορα συστήματα και ένα άτομο επικοινωνίας για θέματα ΤΠ. Αυτό δεν είναι ένα ολοκληρωμένο κυβερνοασφάλειας πολιτική, αλλά είναι το σημείο εκκίνησης ενός δοσιέ: καταγράφετε ανά μέτρο ποια είναι η κατάσταση, ποιος είναι υπεύθυνος και ποιο αποδεικτικό στοιχείο δείχνει ότι πράγματι εφαρμόζεται.
Η δημιουργία ενός δοσιέ με αυτόν τον τρόπο δεν είναι ένα πολύμηνο έργο. Είναι ένας κατάλογος που ανοίγετε σήμερα και αυξάνεται καθώς εργάζεστε: το ένα μέτρο βρίσκεται ήδη εκεί, το άλλο προστίθεται τον περασμένο μήνα. Δεν υπάρχει στιγμή κατά την οποία θα είναι «έτοιμο», και αυτό δεν είναι και ο σκοπός. Η υποχρέωση φροντίδας που προκύπτει από την Οδηγία NIS2 και τους εθνικούς νόμους σχετικά με αυτό δεν είναι μια εφάπαξ άσκηση αλλά μια συνεχιζόμενη πρακτική. Ένα ζωντανό αρχείο ταιριάζει καλύτερα σε αυτό παρά ένα παχύ έγγραφο που εξαφανίζεται σε ένα φάκελο μετά την ολοκλήρωση.
Ξεκινήστε με αυτό που υπάρχει ήδη, όχι με μια λευκή σελίδα
Πολλές εταιρείες πιστεύουν ότι ξεκινούν από το μηδέν μόλις ακούσουν τη λέξη NIS2. Σπάνια συμβαίνει αυτό. Ένας εγκαταστάτης συνήθως έχει ήδη συμφωνίες σχετικά με το ποιος έχει πρόσβαση στα συστήματα των πελατών του, ένα τμήμα HR έχει διαδικασία για την ανάκληση της πρόσβασης κατά την αποχώρηση από την υπηρεσία, και σχεδόν κάθε εταιρεία έχει κάποια μορφή δημιουργίας αντιγράφων ασφαλείας, έστω και αν δεν είναι καταγεγραμμένη ως «πολιτική δημιουργίας αντιγράφων ασφαλείας». Το πρώτο βήμα είναι επομένως όχι η σύνταξη, αλλά η απογραφή: τι κάνουμε ήδη, πού είναι καταγεγραμμένο και ποιος μπορεί να το αποδείξει.
Μετά από αυτό ακολουθεί το ερώτημα ποια τμήματα λείπουν ακόμα. Αυτό εξοικονομεί όχι μόνο χρόνο, αλλά αποτρέπει επίσης να κάνετε διπλή εργασία ή να θεσπίσετε πολιτική για κάτι που είναι ήδη καλά οργανωμένο στην πράξη, απλώς δεν είναι ακόμα ορατό. Αν θέλετε πρώτα να ξέρετε αν η οργάνωσή σας εμπίπτει εδώ ή εάν επηρεάζεται μέσω ενός πελάτη, αυτό μπορεί να φανεί με λίγες ερωτήσεις να δείτε περίπου πού βρίσκεστε, χωρίς να χρειάζεται να αγοράσετε κάτι.
Ένα μέτρο, μια κατάσταση, ένας υπεύθυνος, ένα αποδεικτικό στοιχείο
Η ουσία ενός λειτουργικού δοσιέ είναι απλή: ανά μέτρο τέσσερα σταθερά πεδία. Η κατάσταση δείχνει εάν κάτι έχει ρυθμιστεί, εν μέρει ρυθμιστεί ή πρέπει να γίνει ακόμα. Ο υπεύθυνος είναι το άτομο που είναι υπεύθυνο γι' αυτό, όχι απαραίτητα ο διευθυντής. Το αποδεικτικό στοιχείο είναι αυτό που δείχνει ότι το μέτρο υπάρχει: ένα πρόγραμμα, μια εξαγωγή από ένα σύστημα, ένα υπογεγραμμένο έγγραφο. Χωρίς αυτά τα τέσσερα πεδία, ένα δοσιέ παραμένει μια συλλογή καλών προθέσεων· με αυτά τα πεδία, γίνεται κάτι με το οποίο μπορείτε επίσης να απαντήσετε σε ένα κατάλογο ερωτήσεων ασφάλειας ενός πελάτη, επειδή δεν χρειάζεται να αυτοσχεδιάσετε αλλά μπορείτε να ανατρέξετε στο τι υπάρχει ήδη καταγεγραμμένο.
Αυτή η δομή λειτουργεί επίσης καλά επειδή δεν χρειάζεται να αντιμετωπίσετε όλα τα πράγματα ταυτόχρονα. Μπορείτε να ξεκινήσετε με τα μέτρα για τα οποία έχετε ήδη τα περισσότερα, που είναι γρήγορα να ρυθμιστούν, και τα υπόλοιπα να ληφθούν σταδιακά. Μια επισκόπηση του τι ακριβώς περιμένει η υποχρέωση φροντίδας και τι εμπίπτει σε αυτό, θα βρείτε ενδελεχώς αναπτυγμένα θέματα ανά κατάσταση.
Γιατί αυτό πηγαίνει πιο γρήγορα από ό,τι ακούγεται
Η εντύπωση ότι NIS2 είναι ένα ετήσιο έργο προκύπτει συχνά επειδή οι άνθρωποι σκεφτόμαστε σε ένα ολοκληρωμένο έγγραφο πολιτικής που πρέπει να ολοκληρωθεί με μία κίνηση. Ένα ζωντανό αρχείο λειτουργεί αντίθετα: ξεκινά μικρό και ελλιπές, και ενημερώνεται αυτόματα σε κάθε αλλαγή στην οργάνωσή σας, επειδή είστε ήδη ασχολημένοι με αυτή την αλλαγή. Ένας νέος προμηθευτής, ένα άλλο σύστημα πρόσβασης, ένας νέος υπάλληλος με δικαιώματα διαχείρισης — κάθε στιγμή είναι ένα φυσικό σημείο αναφοράς για την ενημέρωση του δοσιέ, αντί να κάνετε όλα τα πράγματα ξανά μια φορά ετησίως.
Τι παράγει και δεν παράγει το δοσιέ
Από ένα διατηρούμενο αρχείο προκύπτουν τα έγγραφα που χρειάζεστε: η πολιτική και οι διαδικασίες, οι απαντήσεις σε ερωτηματολόγια των πελατών σας και προετοιμασμένα κείμενα για την εγγραφή ή την ειδοποίηση της αρμόδιας αρχής. Ωστόσο, την ειδοποίηση ή την εγγραφή πρέπει να την υποβάλετε ο ίδιοι στην πύλη της αρμόδιας αρχής. Ένα αρχείο προετοιμάζει αυτό, αλλά δεν αναλαμβάνει την υποβολή. Το αρχείο δεν είναι ούτε αντικαταστάτης ενός ελέγχου, μιας δοκιμής διείσδυσης ή πιστοποίησης — αυτά παραμένουν έργο ειδικευμένων οργάνων, όπως και η ανταπόκριση σε περιστατικά εάν κάτι πάει λάθος.
Όποιος θέλει να μάθει με ακρίβεια πώς δημιουργείται ένα τέτοιο αρχείο και ποιες πηγές χρησιμοποιούνται, μπορεί να διαβάσει στη σελίδα σχετικά με πού προέρχονται οι πληροφορίες της πλατφόρμας. Για την κατάσταση της δικής σας οργάνωσης και τις σχετιζόμενες νομικές συνέπειες, παραμένουν ένας νομικός ή η αρμόδια αρχή τα κατάλληλα σημεία επικοινωνίας.
Αν θέλετε να δείτε πού βρίσκεται αυτή τη στιγμή η οργάνωσή σας, κάντε τον δωρεάν έλεγχο NIS2 ή περιηγηθείτε τα θέματα που ταιριάζουν περισσότερο στην κατάστασή σας.