ποιος πρέπει να είναι υπεύθυνος μέσα στην οργάνωσή μου για ένα μέτρο

Η ιδιοκτησία είναι ανατέλιμη ανά μέτρο, όχι σε όλο το οργανισμό

Κάθε μέτρο από την υποχρέωση φροντίδας μπορεί να ανατεθεί σε έναν ιδιοκτήτη εντός του οργανισμού, και στην πράξη αυτό λειτουργεί καλύτερα από μια γενική προσέγγιση «η κυβερνοασφάλεια είναι ευθύνη όλων». Το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 αναφέρει δέκα κατηγορίες μέτρων, από την ανάλυση κινδύνου έως την πολιτική πρόσβασης έως τη διαχείριση περιστατικών, και αυτά διατρέχουν ολόκληρο έναν οργανισμό. Αυτός που διαχειρίζεται την υποδομή πληροφορικής είναι ένας λογικός ιδιοκτήτης για την πολιτική πρόσβασης και την ασφάλεια του δικτύου· αυτός που ασχολείται με διαδικασίες Διοίκησης Ανθρώπινου Δυναμικού ταιριάζει με τον έλεγχο και την εκπαίδευση ευαισθητοποίησης· αυτός που ασχολείται με τις προμήθειες ή τα συμβόλαια αναφέρεται στην ασφάλεια της αλυσίδας προμηθευτών. Ένα άτομο που φέρει τα πάντα, συνήθως ο ιδιοκτήτης ή ένας υπεύθυνος πληροφορικής σε μικρότερους οργανισμούς, στην πράξη γίνεται υπερφορτωμένος και χάνει τη γενική εικόνα.

Η δεύτερη παράγραφος αναφέρεται σε αυτό που σημαίνει συγκεκριμένα η ιδιοκτησία: όχι ότι αυτό το άτομο εκτελεί τα πάντα μόνο του, αλλά ότι αυτό το άτομο γνωρίζει ποια είναι η κατάσταση, ποιο απόδεικτικό στοιχείο αναφέρεται σε αυτό και πότε χρειάζεται προσαρμογή. Αυτή η γενική εικόνα είναι ακριβώς όπου ένα ζωντανό μητρώο ανά μέτρο βοηθάει — ανά μέτρο μια κατάσταση, ένα απόδεικτικό στοιχείο και ένα όνομα δίπλα, αντί της γνώσης που υπάρχει μόνο στο μυαλό κάποιου. Για οργανισμούς που χρειάζεται ακόμα να προσδιορίσουν ποια μέτρα είναι σχετικά και ποιος ταιριάζει, ένα σταδιακό πρόγραμμα δράσης είναι ένα κατάλληλο σημείο εκκίνησης, όπως και το ερώτημα τι σημαίνει η υποχρέωση διαχείρισης κινδύνων σε απλή γλώσσα πριν γίνει η διανομή στους ιδιοκτήτες.

Πού προέρχεται αυτό: άρθρο 21 παράγραφος 2 και Παράρτημα Α του ISO 27001

Το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 αναφέρει τα δέκα μέτρα στα οποία υπάρχει η υποχρέωση φροντίδας, χωρίς να προδιαγράφει μια εσωτερική διανομή ρόλων — αυτή η επιλογή βρίσκεται στον ίδιο τον οργανισμό. Ο Νόμος Κυβερνοασφάλειας, ως ολλανδική απόδοση αυτής της Οδηγίας, επαναλαμβάνει αυτή την υποχρέωση χωρίς να επιβάλλει μια οργανωσιακή δομή. Το ISO/IEC 27001 Παράρτημα Α προσφέρει με τα μέτρα ελέγχου μια κοινή διάταξη που χρησιμοποιείται συχνά για να μεταφράσει αυτές τις ίδιες δέκα κατηγορίες σε συγκεκριμένες, ανατέλιμες εργασίες. Το NCSC τονίζει στη δημόσια ενημέρωσή του σχετικά με την υποχρέωση φροντίδας ότι η ευθύνη ανήκει στον οργανισμό ως σύνολο, το οποίο στην πράξη σημαίνει ότι η εσωτερική διανομή είναι μια επιλογή που ταιριάζει με την υπάρχουσα δομή αυτού του οργανισμού.