Τα δέκα μέτρα της υποχρέωσης φροντίδας, σε απλή γλώσσα
Εάν η οργάνωσή σας εμπίπτει στην Οδηγία NIS2 ως ουσιώδης ή σημαντική οντότητα, ισχύει μια υποχρέωση φροντίδας: πρέπει να λάβετε κατάλληλα μέτρα για να διαχειριστείτε τους κινδύνους για τα δίκτυά σας και τα συστήματα πληροφοριών. Η Οδηγία το αναπτύσσει σε μια σειρά δέκα ειδών μέτρων, που αναφέρονται στο άρθρο 21. Διατυπώνονται σκόπιμα ευρέως, ώστε να ταιριάζουν σε μια εγκαταστάσεων με είκοσι υπαλλήλους και σε μια ενεργειακή εταιρεία με χίλιους. Πώς αναγνωρίζετε ότι ένα μέτρο έχει διευθετηθεί; Όχι με ένα τικ, αλλά με τρία πράγματα που συνδέονται: ένα συγκεκριμένο έγγραφο ή μια τεχνική ρύθμιση που υλοποιεί το μέτρο, το όνομα κάποιου που είναι υπεύθυνος γι' αυτό, και μια στιγμή κατά την οποία έχει ελεγχθεί τελευταία.
Τα δέκα μέτρα διαιρούνται περίπου σε τέσσερις ομάδες: γνώση και καταγραφή κινδύνων, αντιμετώπιση περιστατικών, διαχείριση της αλυσίδας εφοδιασμού και διατήρηση του ανθρώπινου δυναμικού και της τεχνολογίας σε τάξη. Παρακάτω θα τα δούμε, όχι ως κατάλογο για σήμανση αλλά ως εξήγηση του τι σημαίνει κάθε μέτρο στην πράξη.
Γνώση και καταγραφή κινδύνων
Το πρώτο μέτρο είναι μια πολιτική για ανάλυση κινδύνων και ασφάλεια πληροφοριών: ένα έγγραφο που περιγράφει ποια συστήματα είναι σημαντικά, τι μπορεί να πάει στραβά και πώς το αξιολογείτε. Δεν χρειάζεται να είναι ένα ογκώδες έκθεση, αλλά κάτι που ένας εξωτερικός παρατηρητής — ένας εποπτικός φορέας, ένας αγοραστής, ένας νέος συνάδελφος — μπορεί να διαβάσει και να καταλάβει. Επιπλέον, η Οδηγία αναφέρει πολιτικές και διαδικασίες για την αξιολόγηση της αποτελεσματικότητας των μέτρων: καταγράφετε όχι μόνο τι κάνετε, αλλά και πώς ελέγχετε αν λειτουργεί. Και υπάρχει ένα ξεχωριστό μέτρο για κυβερνυγιεινή και εκπαιδεύσεις: πρακτικοί βασικοί κανόνες και η ικανότητα των υπαλλήλων να αναγνωρίσουν ένα ύποπτο μήνυμα ηλεκτρονικού ταχυδρομείου.
Αντιμετώπιση περιστατικών
Μια δεύτερη ομάδα αφορά το τι συμβαίνει εάν κάτι πάει στραβά. Η διαχείριση περιστατικών σημαίνει ότι υπάρχει μια διαδικασία για το ποιος κάνει τι μόλις ανακαλυφθεί ένα περιστατικό και πώς αυτό δηλώνεται. Η συνέχεια δραστηριότητας — που περιλαμβάνει διαχείριση αντιγράφων ασφαλείας, ανάκαμψη από κρίση και διαχείριση κρίσης — αφορά το πώς μπορείτε να συνεχίσετε μετά από μια διακοπή ή επίθεση: έχετε ένα ενημερωμένο αντίγραφο ασφαλείας, γνωρίζετε ποιος συντονίζει την κρίση και έχει δοκιμαστεί ποτέ. Αυτό είναι το μέρος όπου οι οργανώσεις συχνά βασίζονται χωρίς να το έχουν δοκιμάσει, και ακριβώς αυτή η δοκιμή είναι αυτό που θέλει να δει ένας εποπτικός φορέας ή αγοραστής.
Διαχείριση της αλυσίδας εφοδιασμού
Η Οδηγία αφιερώνει ένα ξεχωριστό μέτρο στην ασφάλεια της αλυσίδας εφοδιασμού, συμπεριλαμβανομένης της σχέσης με μεμονωμένους προμηθευτές. Αυτός είναι ο λόγος για τον οποίο ακόμη και μη-υποκείμενες μικρομεσαίες επιχειρήσεις λαμβάνουν ερωτηματολόγια από τους ανάδοχους τους: ο ανάδοχος αυτός πρέπει να αξιολογήσει τη δική του αλυσίδα για να συμμορφωθεί με αυτό το μέτρο. Ένα σχετικό μέτρο αφορά την ασφάλεια στην απόκτηση, ανάπτυξη και συντήρηση δικτύων και συστημάτων πληροφοριών, συμπεριλαμβανομένης της αντιμετώπισης ευπαθειών — επομένως και του ζητήματος του πώς αγοράζεται και συντηρείται το λογισμικό.
Ανθρώπινο δυναμικό και τεχνολογία σε τάξη
Η τελευταία ομάδα είναι η περισσότερο τεχνική, αλλά εξίσου συγκεκριμένη. Ασφάλεια προσωπικού, πολιτική πρόσβασης και διαχείριση πόρων εταιρείας αφορούν ποιος μπορεί να έχει πρόσβαση σε ποια συστήματα και τι συμβαίνει όταν κάποιος αποχωρεί από την υπηρεσία. Η χρήση πολυπαραγοντικής επαλήθευσης ή παρόμοιων λύσεων, και ασφαλής φωνητική, βίντεο και επικοινωνία μέσω κειμένου και ασφαλή συστήματα έκτακτης επικοινωνίας, είναι το μέτρο που είναι πιο κοντά στην καθημερινή πράξη: είναι ακόμα δυνατή η σύνδεση με διεύθυνση ηλεκτρονικού ταχυδρομείου και συστήματα εταιρείας μόνο με έναν κωδικό πρόσβασης ή υπάρχει ένα δεύτερο βήμα. Και όπου εφαρμόζεται, υπάρχει πολιτική και διαδικασίες για τη χρήση κρυπτογραφίας και, όπου σχετικό, κρυπτογράφησης.
Αυτό που έχουν κοινό αυτά τα δέκα μέτρα είναι ότι όλα ζητούν τρία πράγματα: αποδεικτικό στοιχείο, υπεύθυνο και χρονικό σημείο ελέγχου. Αυτό είναι ακριβώς και ο τρόπος με τον οποίο δομείται ένα δυναμικό δοσιέ, αντί μιας στιγμιαίας εικόνας που είναι ήδη ξεπερασμένη μετά από έξι μήνες. Το πόσο αυστηρά πρέπει να συμπληρωθεί ένα μέτρο στην περίπτωσή σας εξαρτάται από το μέγεθος της οργάνωσής σας και τους κινδύνους που σχετίζονται με τον τομέα σας — σχετικά με αυτό, η δωρεάν έλεγχος σε μερικές ερωτήσεις παρέχει μια πρώτη ένδειξη.
Για όσους θέλουν να ξέρουν πώς αυτά τα δέκα μέτρα μεταφράζονται στον εθνικό νόμο και σε συγκεκριμένα βήματα ανά θέμα, υπάρχει μια περίληψη ανά θέμα, επιλεγμένη ανά κατάσταση. Εκεί εξηγείται επίσης ποια πηγή αντιστοιχεί σε ποια εξήγηση και σε ποια ημερομηνία συστήθηκε, όπως περιγράφεται στη σελίδα σχετικά με το από πού προέρχονται οι πληροφορίες. Για την ερώτηση τι ακριβώς είναι δωρεάν και τι περιλαμβάνεται σε μια συνδρομή, υπάρχει μια περίληψη συχνών ερωτημάτων.
Αυτά τα δέκα μέτρα είναι ένα πλαίσιο, όχι μια άσκηση συμπλήρωσης με ένα σωστό απάντηση. Αυτό που είναι κατάλληλο για την οργάνωσή σας εξαρτάται από τον τομέα σας, το μέγεθος και τα συστήματα από τα οποία εξαρτάστε — σχετικά με αυτό, ο ίδιος ο κείμενο του νόμου και η εξήγηση της εποπτικής αρχής παρέχουν την πιο ασφαλή απάντηση. Αν θέλετε πρώτα να ξέρετε αν και πώς αυτή η υποχρέωση φροντίδας ισχύει για την οργάνωσή σας, ξεκινήστε με τον δωρεάν έλεγχο NIS2 ή φυλλομετρήστε τη βάση γνώσης στο secria.eu.