Kymmenen huolelennovelvoitteen toimenpidettä tavallisella kielellä
Jos organisaatiosi kuuluu NIS2-direktiivin soveltamisalaan oleellisena tai tärkeänä yksikkönä, sinulle asetetaan huolelennovelvoite: sinun on toteutettava asianmukaiset toimenpiteet verkon ja tietojärjestelmien riskien hallitsemiseksi. Direktiivi täsmentää sen kymmenen tyyppisen toimenpiteiden sarjalla, jotka on lueteltu artiklan 21 mukaisesti. Ne on muotoiltu tarkoituksella laajalti, jotta ne sopivat kaksikymmentä työntekijää työllistävälle asennusyritykselle ja tuhansia työntekijöitä työllistävälle energiayhtiölle. Miten näet, että toimenpide on järjestetty? Ei raksituksella, vaan kolmella asialla, jotka kuuluvat yhteen: konkreettisella asiakirjalla tai teknisellä säädöllä, joka täyttää toimenpiteet, niiden vastuussa olevan henkilön nimellä ja ajankohdalla, jolloin se viimeksi tarkistettiin.
Kymmenen toimenpidettä jakautuvat karkeasti neljään ryhmään: riskien tunteminen ja kirjaaminen, poikkeamien hallinta, toimitusketjun hallinta ja henkilöstön sekä tekniikan kunnon säilyttäminen. Käymme ne alla läpi, ei tarkistuslistana, jonka merkitset tehdyksi, vaan kunkin toimenpitteen käytännöllisen merkityksen selityksenä.
Riskien tunteminen ja kirjaaminen
Ensimmäinen toimenpide on riskianalyysi- ja tietoturvapolitiikka: asiakirja, joka kuvaa, mitkä järjestelmät ovat tärkeitä, mitä voi mennä pieleen ja miten sitä arvioit. Sen ei tarvitse olla massiivinen raportti, mutta sen on oltava sellainen, että ulkopuolinen henkilö — valvoja, asiakas tai uusi kollega — voi lukea sen ja ymmärtää sen. Lisäksi direktiivi mainitsee politiikat ja menettelyt, joilla arvioidaan toimenpiteiden tehokkuutta: et kirjaa vain sitä, mitä teet, vaan myös sitä, miten varmistat, että se toimii. Ja siellä on erillinen toimenpide kybernetiikan hygieniaan ja koulutukseen: käytännölliset perusperiaatteet ja työntekijöiden kyky tunnistaa epäilyttävä sähköpostiviestiä.
Poikkeamien hallinta
Toinen ryhmä käsittelee sitä, mitä tapahtuu, jos silti menee pieleen. Poikkeamien hallinta tarkoittaa menettelyä, jossa on määritetty, kuka tekee mitä, kun poikkeama havaitaan, ja miten se ilmoitetaan. Liiketoiminnan jatkuvuus — mukaan lukien varmuuskopiointihallinta, palautuminen häiriötilanteesta ja kriisinhallinta — käsittelee sitä, miten jatkat häiriön tai hyökkäyksen jälkeen: onko sinulla ajantasainen varmuuskopio, tiedätkö, kuka koordinoi kriisiä, ja onko se koskaan testattu. Tämä on kohta, johon organisaatiot usein luottavat ilman, että ovat sen tarkistaneet, ja juuri tämä tarkistus on se, jonka valvoja tai asiakas haluaa nähdä.
Toimitusketjun hallinta
Direktiivi omistaa erillisen toimenpitteen toimitusketjun turvaamiselle, mukaan lukien suhteet yksittäisiin toimittajiin. Tämä on syy, miksi myös pienemmät, direktiivin piiriin kuulumattomat yritykset saavat tiedustelukaavakkeita tilaajiltaan: tilaajansa on arvioitava omaa ketjuaan noudattaakseen tätä toimenpidettä. Liittyvä toimenpide käsittelee verkon ja tietojärjestelmien hankintaan, kehittämiseen ja ylläpitoon liittyvää turvaa, mukaan lukien haavoittuvuuksien käsittely — myös kysymys siitä, miten ohjelmistot hankitaan ja ylläpidetään.
Henkilöstö ja tekniikka kunnossa
Viimeinen ryhmä on teknisesti monimutkaisin, mutta ei sen vähemmän konkreettinen. Henkilöstöturvallisuus, pääsynhallintapolitiikka ja yritysvarojen hallinta käsittelevät sitä, kuka voi käyttää mitä järjestelmiä ja mitä tapahtuu, kun joku lähtee. Monivaiheisen tunnistuksen tai vastaavien ratkaisujen käyttö, sekä turvallinen puheen, videon ja tekstiviestinnän ja turvallisten hätäviestintäjärjestelmien käyttö, on toimenpide, joka on lähinnä päivittäistä käytäntöä: onko sähköpostiin ja yrityksen järjestelmiin sisäänkirjautuminen vain salasanalla mahdollista vai onko toinen vaihe olemassa. Ja soveltuvin osin se käsittää salauksen käytöstä ja tarvittaessa salauksesta sekä politiikka että menettelyt.
Näiden kymmenen toimenpiteen yhteinen piirre on, että ne kaikki edellyttävät kolmea asiaa: todistusaineistoa, vastuuhenkilöä ja tarkistusajankohtaa. Tämä on myös juuri se, miten elävä toimikunta rakennetaan, ei kertakuvana, joka vanhenee puolen vuoden kuluttua. Se, kuinka tiukasti toimenpidettä organisaatiossanne on täytettävä, riippuu organisaationne koosta ja sektorille kuuluvista riskeistä — tästä antaa ilmainen tarkistus muutamalla kysymyksellä ensimmäisen viitteen.
Joka haluaa tietää, miten nämä kymmenen toimenpidettä siirtyvät kansalliseen lainsäädäntöön ja konkreettisiksi toimiksi aiheittain, löytää katsauksen aiheen mukaan, lajiteltuna tilanteen perusteella. Siellä on myös selvitetty, mitkä lähteet liittyvät mihin selityksiin ja mihin päivämäärään ne on tarkistettu, kuten sivulla, joka käsittelee tietojen alkuperää. Kysymykselle, mikä tarkasti ottaen on ilmaista ja mikä kuuluu tilaukseen, usein kysyttyjen kysymysten katsaus.
Nämä kymmenen toimenpidettä ovat kehys, ei täyttötehtävä, jolla on yksi oikea vastaus. Se, mikä on sopivaa organisaatiossanne, riippuu sektoristanne, koostanne ja järjestelmistä, joista olette riippuvaisia — siitä antavat varmin vastauksen lain teksti itse ja valvontaviranomaisen selitykset. Haluatteko ensin tietää, koskeeko ja miten tämä huolehtimisvelvollisuus organisaatiotanne, aloittakaa ilmaisella NIS2-tarkistuksella tai selaatkaa tietovarantoa sivustolla secria.eu.