Kuidas võtta NIS2-d ette väikese või keskmise ettevõttena ilma aastaprojektita?
Lühim tee pole suur plaan kirjutada, vaid alustada sellest, mis juba olemas on. Enamikul väikestel ja keskmistel ettevõtetel on juba paroolipoliitika, varukoopiate plaan, loetelu, kellel on juurdepääs millistele süsteemidele, ja IT-kontaktisik. See pole täielik küberturvalisuse poliitika, kuid see on dokumentatsiooni aluspunkt: kirjutada iga mõõtme kohta üles, milline on selle olek, kes on sellega seotud vastutav ja milline tõendmaterjal näitab, et see ka reaalselt toimib.
Dokumentatsiooni sel viisil ehitamine pole kuude pikkune projekt. See on loetelu, mille avate täna ja mis kasvab teie töö käigus: üks mõõde on juba olemas, teine lisatakse selle kuu jooksul. Hetke pole, mil oleks "valmis", ja selline polegi eesmärk. NIS2-juhendis ja rahvuslikel seadustes määratud hoolduskohustus ei ole ühekordne tegevus, vaid jätkuv praktika. Elutegevusliku registri paigutus sobib sellega paremini kui paks dokument, mis pärast üleandmist mappi kaob.
Alustage sellest, mis juba olemas on, mitte tühjast leheküljest
Paljud ettevõtted arvavad, et alustavad nullist, niipea kui sõna NIS2 langeb. See on harva nii. Paigaldusettevõttel on tavaliselt juba kokkulepitud, kellel on juurdepääs klientide süsteemidele, HR-osakonnale on protsess juurdepääsu tühistamiseks ametist lahkumise ajal, ja peaaegu igal ettevõttel on mingisugune varukoopiamise vorm, isegi kui see pole paberil kirjas kui "varukoopiate poliitika". Seega ei ole esimene samm kirjutamine, vaid inventuur: mida teeme juba, kus on see dokumenteeritud ja kes saab seda tõestada.
Alles seejärel tuleb küsimus, millised osad veel puuduvad. See ei säästa mitte ainult aega, vaid vältib ka topeltööd või poliitika kehtestamist millegi kohta, mis praktikas on juba hästi korraldatud, lihtsalt pole veel nähtavaks tehtud. Kui soovite esmalt teada, kas teie organisatsioon siin kohal üldse osaleb või kas klindi kaudu on seotud, saab seda näha paari küsimusega, kus te ligikaudu seisite, ilma et peaksite midagi ostma.
Üks mõõde, üks olek, üks vastutav, üks tõend
Funktsionaalse dokumentatsiooni tuum on lihtne: iga mõõtme kohta neli kindlat välja. Olek näitab, kas midagi on korraldatud, osaliselt korraldatud või tuleb veel ette võtta. Vastutav isik on see, kes sellega tegelemine on vastutav, kuid mitte tingimata juht ise. Tõendmaterjal näitab, et mõõde on olemas: ajakava, süsteemist eksport, allkirjastatud dokument. Ilma nende nelja väljata jääb dokumentatsioon heade kavatsuste kogumiks; nende väljadega muutub see millekski, millega saate kliendi turvalisuse küsitlusele vastata, kuna ei pea improviseerima, vaid saate kasutada seda, mis juba dokumenteeritud on.
See struktuur töötab hästi ka sellepärast, et ei pea kõike korraga ette võtma. Võite alustada mõõtmetest, milleks on teil juba kõige rohkem, mis on kiiresti korrast ära võtta, ja ülejäänud järk-järgult lahendada. Ülevaate, milliseid mõõtmeid hoolduskohustus täpselt nõuab ja mida selle alla kuulub, leiate väljatöötatud teemade alt iga olukorra kohta.
Miks see kiiremini käib, kui kõlab
Mulje, et NIS2 on aastaprojekt, tekib sageli sellepärast, et inimesed mõtlevad täielikule poliitikadokumendile, mis peab korraga valmis olema. Elutegevuslik register töötab vastupidiselt: see algab väike ja mittetäielik ning uuendatakse automaatselt iga kord, kui teie organisatsioon muutub, kuna te olete niikuinii muudatusega seotud. Uus müüja, teine juurdepääsusüsteem, uus töötaja administraatoriõigustega — iga moment on looduslik punkt dokumentatsiooni uuendamiseks, selle asemel et aasta läbi kõik ümber teha.
Mida dokumentatsioon annab ja ei anna
Säilitatud dokumendifolderist leiate vajalikud dokumendid: poliitika ise, vastused hankijate küsimustikele ja ettevalmistatud tekstid registreerimiseks või teatiseks järelevalveasutusele. Seda teatist või registreerimist peate ise järelevalveasutuse portaali kaudu esitama; dokumendimapp valmistab seda ette, kuid ei võta esitamist üle. Dokumendimapp ei asenda ka audiiti, penetratsioonitesti ega sertifitseerimist — see jääb spetsialiseeritud osapoolte tööks, samuti juhtumite lahendamine juhul, kui midagi tegelikult valesti läheb.
Kes täpselt tahab teada, kuidas selline dokumendimapp luuakse ja milliseid allikaid seejuures kasutatakse, loeb seda lehel kust pärineb platvormis olev teave. Teie enda organisatsiooni olukorra ja seotud juriidiliste tagajärgede puhul jääb jurist või pädev järelevalveasutus sobivaks kontaktisikuks.
Kui soovite näha, kus teie organisatsioon praegu asub, tehke tasuta NIS2-kontroll või sirvige teemasid, mis teie olukorraga kõige paremini sobivad.