Deset mjera iz dužnosti pažnje, u običnom jeziku
Ako vaša organizacija pada pod Direktivu NIS2 kao neophodna ili važna subjekt, primjenjuje se dužnost pažnje: morate poduzeti odgovarajuće mjere za upravljanje rizicima koji prijete vašim mrežama i informatičkim sustavima. Direktiva to detaljnije razrađuje kroz niz od deset vrsta mjera, navedenih u članku 21. Namjerno su formulirane široko kako bi odgovarale i instalacijskoj tvrtki s dvadeset zaposlenih i energetskoj tvrtki s tisuću. Kako prepoznati da je mjera pravilno provedena? Ne kroz markiranje, već kroz tri stvari koja se trebaju zajedno nalaziti: konkretan dokument ili tehnička postavka koja primjenjuje mjeru, imena osobe odgovorne za to, i trenutak kad je to zadnje puta provjeravano.
Deset mjera grubо se dijele u četiri skupine: poznavanje i dokumentiranje rizika, rukovanje incidentima, upravljanje lancem opskrbe, te redoslijed u ljudskim resursima i tehnologiji. Dolje razmatramo svaku, ne kao kontrolni popis koji treba označiti, već kao pojašnjenje što svaka mjera u praksi znači.
Poznavanje i dokumentiranje rizika
Prva mjera jest politika za analizu rizika i sigurnost informacija: dokument koji opisuje koja su sistematska sredstva važna, što može poći naopako i kako to procjenjujete. Ne mora biti obimno izvješće, ali nešto što izvana — nadzornik, kupac, novi kolega — može pročitati i razumjeti. Osim toga, direktiva navodi politiku i postupke za ocjenu učinkovitosti mjera: ne bilježite samo što radite, već i kako provjeravate radi li to. Postoji i odvojena mjera za cyberhigijenu i obuku: praktična osnovna pravila i sposobnost zaposlenih prepoznati sumnjiv e-mail.
Rukovanje incidentima
Druga skupina govori što se događa ako ipak nešto krene po zlu. Rukovanje incidentima znači da postoji postupak tko što radi čim se incident otkrije i kako se to prijavljuje. Neprekinutost poslovanja — što uključuje upravljanje sigurnosnim kopijama, oporavak u slučaju izvanredne situacije i upravljanje krizom — govori kako možete nastaviti rad nakon prekida ili napada: imate li aktualnu sigurnosnu kopiju, znate li tko koordinira krizu i je li to ikad testirano. Ovo je dio gdje se organizacije često oslanjaju bez da ga provjeravaju, a upravo ta provjera je ono što nadzornik ili kupac želi vidjeti.
Upravljanje lancem opskrbe
Direktiva posvećuje odvojenu mjeru sigurnosti lanca opskrbe, uključujući odnos s pojedinim dobavljačima. Ovo je razlog što i MKB-tvrtke koje nisu obvezane moraju primiti kontrolne liste od svojih naručitelja: taj naručitelj mora procijeniti svoj lanac kako bi zadovoljio ovu mjeru. Srodna mjera govori o sigurnosti pri nabavi, razvoju i održavanju mreža i informatičkih sustava, uključujući rukovanje slabostima — dakle, i kako se softver kupuje i održava.
Ljudski resursi i tehnologija
Zadnja skupina je najtehnička, ali ne manje konkretna. Sigurnost osoblja, politika pristupa i upravljanje poslovnom imovinom govore tko može pristupiti kojim sustavima i što se događa kada netko bude otkaza. Korištenje višefaktorske autentifikacije ili usporednih rješenja, te sigurna govorna, video i tekstualna komunikacija i sigurni noovcani komunikacijski sustavi, jest mjera koja je najbliža dnevnoj praksi: je li prijava na e-mail i poslovne sustave moguća samo s lozinkom ili postoji drugi korak. Gdje je primjenjivo, radi se o politici i postupcima korištenja kriptografije i, gdje je relevantno, enkripcije.
Što te deset mjera imaju zajedničko, jest da sve traže tri stvari: dokaz, odgovornu osobu i moment provjere. To je upravo i kako je izgrađena živa datoteka, umjesto snimka koji je već za pola godine zastario. Koliko strogo mjera mora biti ispunjena u vašem slučaju ovisi o veličini vaše organizacije i rizicima koji su svojstveni vašem sektoru — o tome daje besplatna provjera u nekoliko pitanja prvi pokazivač.
Za one koji žele znati kako se te deset mjera prevode u nacionalni zakon i u konkretne korake po temama, postoji pregled po temama, odabran prema situaciji. Tu je također objašnjeno koji izvor pripada kojemu objašnjenju i na koji je datum konzultiran, kako je opisano na stranici o izvoru informacija. Za pitanje što je točno besplatno a što se uključuje u pretplatu, postoji pregled često postavljanih pitanja.
Te deset mjera predstavljaju okvir, ne vježbu ispunjavanja s jednom ispravnom odgovorom. Što je prikladno za vašu organizaciju, ovisi o vašem sektoru, veličini i sustavima od kojih ovisit — o tome daju najsigurniji odgovor sam zakonski tekst i objašnjenja nadzornog tijela. Ako prvo želite znati je li i kako se ta dužnost održavanja primjenjuje na vašu organizaciju, započnite besplatnom NIS2-provjerom ili pregledajte bazu znanja na secria.eu.