Kümmekond meetmest kohustusest, tavakeeles
Kui teie organisatsioon langeb NIS2 direktiivi alla oleulisena või olulise üksusena, kehtib teile kuluvuse kohustus: peate võtma asjakohaseid meetmeid oma võrgu- ja infosüsteemide riskide maandamiseks. Direktiiv detailiseerib seda kümmekonna meetmetüübi seeriaga, mis on loetletud artiklis 21. Need on tahtlikult laialt sõnastatud, et sobiks nii kahekümne töötajaga paigaldusettevõttele kui ka tuhandete töötajatega energiaettevõttele. Kuidas näete, et meetme on käsitletud? Mitte märkekohalt, vaid kolme omavahel seotud asjast: konkreetne dokument või tehniline seade, mis täidab meetme, isik, kes selle eest vastutab, ja aeg, millal seda viimati kontrolliti.
Kümmekond meetmest jaotuvad ligikaudu neljaks rühmaks: riskide teadmine ja registreerimine, juhtumite käsitlemine, ahela juhtimine ning inimeste ja tehnika korraldamine. Käsitleme allpool neid, mitte kui kontrollnimistikku, mida märkida, vaid kui selgitust, mida iga meetme praktikas tähendab.
Riskide teadmine ja registreerimine
Esimene meetme on riskianalüüsi ja infosüsteemi turvalisuse poliitika: dokument, mis kirjeldab, millised süsteemid on olulised, mis võib valesti minna ja kuidas seda hinnatakse. See ei pea olema pikk aruanne, kuid peab olema midagi, mida välisstaajaline — järelevalveasutus, ostetav, uus kolleeg — saab lugeda ja mõista. Lisaks nimetab direktiiv poliitika ja protseduure meetmete tõhususe hindamiseks: te ei tähista mitte ainult, mida teete, vaid ka kuidas kontrollite, kas see toimib. Ja on eraldi meetme kübertervisele ja koolitustele: praktilised põhireeglid ja töötajate võime tuvastada kahtlane e-post.
Juhtumite käsitlemine
Teine rühm käsitleb, mis juhtub, kui asi siiski läheb valesti. Juhtumite käsitlemine tähendab, et on olemas protseduur, kes mida teeb, kui juhtumine avastakse, ja kuidas sellest teatakse. Ärikontinuiteet — mis sisaldab varukoopiahaldust, taastumist hädaolukorrast ja kriisijuhtimine — käsitleb küsimust, kuidas jätkate pärast häiret või rünnakut: kas teil on ajakohane varukoopiaväljapanek, teate te, kes kriisi koordineerib, ja kas seda on kunagi testitud. See on osa, mille suhtes organisatsioonid usaldavad sageli, testimata seda, ja just see test on see, mida järelevalveasutus või ostetav soovib näha.
Ahela juhtimine
Direktiiv pühendab eraldi meetme tarneahela turvalisusele, sealhulgas suhtele üksikute tarnijatega. See on põhjus, mille tõttu saavad ka kohustusetud KKM-ettevõtted nimekirju oma tellijatelt: tellijal peab olema oma ahel hinnatud, et selle meetmega arvestada. Seotud meetme puhul käib see võrgu- ja infosüsteemide omandamise, arendamise ja hooldamise turvalisuse kohta, sealhulgas haavatavustega käitlemise kohta — nii et ka küsimus, kuidas tarkvara ostetakse ja uuendatakse.
Inimesed ja tehnika korralduses
Viimane rühm on kõige tehniline, kuid mitte vähem konkreetne. Personaliturve, pääsupoliitika ja ärivahendite haldumine käsitlevad küsimust, kes milliste süsteemideni pääseb ja mis juhtub, kui keegi tööst lahkub. Mitmeosalise autentimise või sarnaste lahenduste kasutamine ning turvaline kõne-, video- ja tekstsuhtlus ja turvatud hädaolukorrasideteabekanalid on meetme, mis on igapäevase praktikaga kõige lähemal: kas e-posti sisselogimine ja ärisüsteemidesse sisenemine on ainult parooliga võimalik, või on teine samm olemas. Ja vajaduse korral käib see krüptograafia kasutamise poliitika ja protseduuride ning vajaduse korral krüpteerimise kohta.
Mis neid kümne meetme ühine joon on see, et kõik neist nõuavad kolme asja: tõendit, omanikku ja kontrollimomenti. See on täpselt see, kuidas elusat dossee' ehitati, mitte hetktõmmis, mis pool aastat hiljem juba aegunud on. Kui rangelt peab mõõdet teie organisatsiooni puhul täitma, sõltub teie organisatsiooni suurusest ja sektori riskidest — selle kohta annab tasuta kontroll paar küsimusega esmase näidu.
Neile, kes soovivad teada, kuidas need kümme mõõdet muutuvad riiklikuks seaduseks ja konkreetseks sammudeks teema kaupa, on olemas ülevaade teema kaupa, sorteeritud olukorra järgi. Seal on ka selgitatud, milline allikas millise selgitusega seotud on ja millal seda konsulteeriti, nagu kirjeldatud leheküljel, kust teave pärineb. Küsimuse osas, mis täpselt tasuta on ja mis aboneeringuga kaasas käib, on olemas korduma kippuvate küsimuste ülevaade.
Need kümme mõõdet on raamistik, mitte harjutus, millel on üks õige vastus. Mis on teie organisatsioonile sobiv, sõltub teie sektorist, suurusest ja süsteemidest, millest sõltute — selle kohta annab seadustekst ise ja järelevalveasutuse selgitus kõige kindlama vastuse. Kas soovite kõigepealt teada, kas ja kuidas see hooldustandvastutus teie organisatsioonile kehtib, alustage tasuta NIS2-kontrollist või sirvige secria.eu teadusbaasi.