ποιο αποδεικτικό στοιχείο πρέπει να υποβάλω ανά μέτρο ασφάλειας

Σε κάθε μέτρο συνοδεύεται ένα έγγραφο που δείχνει την κατάσταση

Ένα στοιχείο απόδειξης είναι κάτι που αποδεικνύει ότι ένα μέτρο δεν έχει μόνο σχεδιαστεί, αλλά υπάρχει και χρησιμοποιείται πραγματικά. Για τον έλεγχο πρόσβασης, για παράδειγμα, αυτό είναι μια επισκόπηση του ποιος έχει πρόσβαση σε τι και πώς διατηρείται αυτό· για την πολιτική διόρθωσης, ένα αρχείο καταγραφής ή αναφορά που δείχνει ότι οι ενημερώσεις πράγματι εφαρμόζονται· για μια διαδικασία συμβάντων, μια περιγραφή των βημάτων που πρέπει να ακολουθηθούν, ενδεχομένως συμπληρωμένη με μια έκθεση μιας φοράς που η διαδικασία ακολουθήθηκε ή δοκιμάστηκε. Η μορφή διαφέρει ανά μέτρο, αλλά η αρχή είναι πάντα η ίδια: μια ισχυρισμός χωρίς υποκείμενο έγγραφο είναι δύσκολο να διακριθεί από μια πρόθεση.

Το ποιο στοιχείο απόδειξης είναι ακριβώς κατάλληλο εξαρτάται από το τι περιλαμβάνει το ίδιο το μέτρο — ένα οργανωτικό μέτρο όπως ένα έγγραφο πολιτικής απαιτεί ένα διαφορετικό είδος απόδειξης από ένα τεχνικό μέτρο όπως η κρυπτογράφηση ή η κατάτμηση δικτύου. Για το οργανωτικό μέρος, συχνά πρόκειται για καταγεγραμμένη πολιτική· ποια έγγραφα πολιτικής πρέπει να έχω για το NIS2 προχωράει περαιτέρω. Για το τεχνικό μέρος, πρόκειται περισσότερο για διαμορφώσεις, αρχεία καταγραφής ή αποτελέσματα δοκιμών. Σε όλες τις περιπτώσεις ισχύει ότι το στοιχείο απόδειξης έχει όνομα, ημερομηνία και ιδανικά έναν ιδιοκτήτη — κάποιον που μπορεί να εξηγήσει γιατί το έγγραφο λέει αυτό που λέει. Ποιος είναι αυτός στον οργανισμό είναι μια δική του ερώτηση που αντιμετωπίζεται χωριστά στο ποιος πρέπει να είναι υπεύθυνος μέσα στην οργάνωσή μου για ένα μέτρο.

Από πού προέρχεται αυτή η διαίρεση σε δέκα μέτρα

Το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 αναφέρει τις δέκα κατηγορίες μέτρων που υπόκειται η υπεύθυνη φροντίδα, από την ανάλυση κινδύνων έως τον έλεγχο πρόσβασης και τη διαχείριση κρίσεων· ο Νόμος Κυβερνοασφάλειας αναλαμβάνει αυτή την κατηγοριοποίηση στην ολλανδική υλοποίηση. Η ίδια η Οδηγία δεν προβλέπει ένα σταθερό μορφή απόδειξης, αλλά τα γνωστά μέτρα ελέγχου από το ISO/IEC 27001 Annex A χρησιμοποιούνται συχνά ως πρακτική εφαρμογή, συμπεριλαμβανομένου του είδους απόδειξης που ταιριάζει. Το NCSC παρέχει συμβουλές σχετικά με την υπεύθυνη φροντίδα σε γενικό πλαίσιο, χωρίς να προβλέπει υποχρεωτικό στοιχείο απόδειξης ανά μέτρο.