mikä todiste on toimitettava jokaista turvatoimenpidettä kohti

Jokaista toimenpidettä varten on dokumentti, joka osoittaa tilan

Todistusaineisto on jotain, joka osoittaa, että toimenpide ei ole vain keksitty, vaan myös todella olemassa ja käytössä. Pääsynvalvonnassa se voi olla esimerkiksi luettelo siitä, kenellä on pääsy mihin ja kuinka sitä seurataan; korjauskäytännössä loki tai raportti, josta käy ilmi, että päivitykset todella toteutetaan; häiriöprosessissa prosessin vaiheet kuvattuna, mahdollisesti täydennettynä raporteilla tapauksesta, jossa prosessi on toteutettu tai testattu. Muoto vaihtelee toimenpiteittäin, mutta periaate on aina sama: väite ilman taustalla olevaa dokumenttia on vaikea erottaa aikeesta.

Se, mikä todistusaineisto on sopiva, riippuu siitä, mitä toimenpide itse sisältää — organisaatoriset toimenpiteet, kuten käytäntödokumentaatio, vaativat erilaista todistusaineistoa kuin tekniset toimenpiteet, kuten salaus tai verkon segmentointi. Organisaatoriset näkökulmat liittyvät usein kirjattuun politiikkaan; mitä vastuukäytäntöjä minulla on oltava NIS2:ta varten antaa lisätietoja siitä. Teknisen puolen osalta on kyse pikemminkin kokoonpanoista, lokeista tai testituloksista. Kaikissa tapauksissa todistusaineistolla on oltava nimi, päivämäärä ja mieluiten omistaja — henkilö, joka voi selittää, miksi dokumentti sanoo mitä se sanoo. Kuka se organisaatiossasi on, on erillinen kysymys, jota käsitellään erikseen kohdassa kenen tulee organisaatiossani olla vastuussa toimenpiteestä.

Mistä tämä jako kymmeneen toimenpiteeseen tulee

NIS2-direktiivin 21 artiklan 2 kohta luettelee kymmenen toimenpidekategoriaa, joita huolehuolto kattaa, riskianalyysistä pääsynvalvontaan ja kriisinhallintaan; Kansainvälisen kyberturvallisuuslain siirtäminen Hollannissa ottaa tämän jaon käyttöön. Direktiivi itse ei määrää kiinteää todistusmuotoa, mutta tunnetut ISO/IEC 27001 Annex A -hallintakäytännöt otetaan usein käytännölliseksi soveltamiseksi, mukaan lukien niihin liittyvä todistustyyppi. NCSC antaa neuvontaa huolehuolosta yleisesti ottaen ilman, että se määrää pakollista todistusainetta kunkin toimenpiteen osalta.