koji dokaz dokazivanja moram dostaviti po mjeri zaštite

Za svakom mjerom ide dokument koji pokazuje status

Dokument za dokazivanje je nešto što pokazuje da mjera nije samo osmišljena, već da zaista postoji i koristi se. Za kontrolu pristupa to je na primjer pregled tko ima pristup čemu i kako se to vodi; za politiku zakrpa zapisnik ili izvještaj koji pokazuje da se ažuriranja doista provode; za proces rukovanja incidentima opis koraka koji se trebaju slijediti, eventualno dopunjen s izvještajem o tome kad je proces proveden ili testiran. Oblik se razlikuje od mjere do mjere, ali princip je uvijek isti: tvrdnja bez temeljnog dokaza teško se razlikuje od namjere.

Koji dokument za dokazivanje je točno prikladan ovisi o sadržaju same mjere — organizacijska mjera poput dokumenta politike zahtijeva drugačiji tip dokaza od tehnijske mjere kao što je enkripcija ili segmentacija mreže. Za organizacijski dio često se radi o uspostavljenom poslovanju; koji dokumenti politike trebam za NIS2 ide dalje. Za tehnički dio prije se radi o konfiguracijama, zapisnicima ili rezultatima testiranja. U svim slučajevima vrijedi da dokument za dokazivanje ima naziv, datum i idealno vlasnika — nekog tko može objasniti zašto dokument kaže ono što kaže. Tko je to u organizaciji je vlastito pitanje koje se obrađuje odvojeno pri tko bi trebao biti odgovoran/odgovorna unutar moje organizacije za mjeru.

Gdje dolazi ova podjela na deset mjera

Članak 21 stavak 2 Direktive NIS2 navodi deset kategorija mjera na koje se obaveza pažnje oslanja, od analize rizika do kontrole pristupa i upravljanja krizom; Zakon o kibernetskoj sigurnosti preuzima ovu podjelu u hrvatsku transpoziciju. Sama direktiva ne propisuje fiksni format dokaza, ali poznate mjere kontrole iz ISO/IEC 27001 Prilog A često se koriste kao praktična primjena, uključujući vrstu dokaza koji joj odgovara. NCSC daje upute o obvezi pažnje u općem smislu, bez da propisuje obavezni dokument za dokazivanje po pojedinoj mjeri.