Hogyan közelít meg egy kkv a NIS2-hez anélkül, hogy egy éves projekt legyen belőle?
A legrövidebb út nem egy nagy terv írása, hanem annak megkezdése, amit már megvan. A legtöbb kkv-nak már van jelszókezelési szabályzata, biztonsági mentési ütemterve, listája arról, hogy ki milyen rendszerekhez fér hozzá, és egy IT-kapcsolattartója. Ez nem teljes körű kiberbiztonsági szabályzat, de jó kiindulópont egy dossziéhoz: minden intézkedésről rögzíteni, hogy mi az aktuális állapota, ki a felelős érte, és milyen bizonyíték mutatja, hogy valóban megtörténik.
Az ilyen módon összeállított dosszie nem hónapok munkája. Ez egy lista, amelyet ma megnyit, és amely nő, ahogy dolgozik: az egyik intézkedés már ott van, a másik ebben a hónapban kerül be. Nincs olyan pillanat, amikor "kész" lenne, és ez nem is a szándék. A NIS2-irányelvből és az erre vonatkozó nemzeti jogszabályokból adódó gondossági kötelezettség nem egyszeri gyakorlat, hanem folyamatos tevékenység. Az élő nyilvántartás jobban illik ehhez, mint egy vastag dokumentum, amely a teljesítés után egy mappában eltűnik.
Az élő nyilvántartás: kezdje azzal, ami már van, ne egy üres lappal
Sok vállalat úgy gondol, hogy a nulláról kezd, amint szóba jön az NIS2. Ez ritkán van így. Egy szerelőcégnek általában már vannak megállapodásai arról, hogy ki fér hozzá az ügyfelek rendszereihez, az emberi erőforrások osztálynak van folyamata az otthagyó alkalmazottak hozzáférésének visszavonásához, és szinte minden cégnek van valamilyen biztonsági mentése, még akkor is, ha azt nem "biztonsági mentési szabályzat" formájában dokumentálták. Az első lépés tehát nem az írás, hanem az inventarizálás: mit csinálunk már, hol van ez dokumentálva, és ki tudja ezt igazolni.
Ezt követően merül fel a kérdés, mely összetevők hiányoznak még. Ez nemcsak időt takarít meg, hanem azt is megelőzi, hogy kettős munkát végezzen, vagy olyan szabályzatot állítson fel valamire, amely a gyakorlatban már jól szervezett, csak még nem látható. Ha először azt szeretné tudni, hogy szervezete valóban ide tartozik-e, vagy egy ügyfélen keresztül érintett, azt azon pár kérdéssel lehet látni, hogy körülbelül hol állanélkül, hogy ehhez bármi vásárlást kellene végezni.
Egy intézkedés, egy állapot, egy felelős, egy bizonyíték
Az eredményes dosszie lényege egyszerű: intézkedésenként négy rögzített mező. Az állapot azt jelzi, hogy valami rendbe van-e hozva, részlegesen vagy még meg kell történnie. A felelős az a személy, aki érte felelős, nem feltétlenül a vezetője. A bizonyíték azt mutatja, hogy az intézkedés létezik: egy menetrend, egy rendszerexportálás, egy aláírt dokumentum. E négy mező nélkül a dosszie jó szándékok gyűjteménye marad; ezek nélkül olyan valamivé válik, amellyel meg tud válaszolni egy ügyfél biztonsági kérdőívére, mert nem kell improvisálnia, hanem visszanyúlhat arra, amit már rögzített.
Ez a szerkezet azért is praktikus, mert nem kell mindent egyszerre megoldania. Elkezdhet azokkal az intézkedésekkel, amelyekre már a legtöbbet tette, amelyek gyorsan rendezhetők, és a többit fokozatosan kezelni tudja. Az intézkedések áttekintése, amelyeket a gondossági kötelezettség pontosan elvár, és mi tartozik alájuk, az alábbi helyen található: részletesen feldolgozott témák helyzetenként.
Miért megy ez gyorsabban, mint amilyennek hangzik
Az az elképzelés, hogy a NIS2 egy éves projekt, gyakran azért keletkezik, mert az emberek egy teljes szabályzati dokumentumra gondolnak, amelyet egyszerre kell elkészíteni. Az élő nyilvántartás fordítva működik: kicsiben és hiányosan kezdődik, majd a szervezet minden változásakor automatikusan frissül, mivel mindenesetre már dolgozik azon a változáson. Egy új szállító, egy másik hozzáférési rendszer, egy új alkalmazott rendszeradminisztrációs jogosultságokkal — minden pillanat egy természetes kiindulópont a dosszie frissítésére, ahelyett, hogy évente egyszer mindent felül kellene vizsgálni.
Mit ad és mit nem ad a dosszie
Az ésszerűen vezetett dossziéból azok a dokumentumok következnek, amelyekre szüksége van: maga az irányelv, az értékelők kérdőívére adott válaszok, valamint előkészített szövegek a regisztrációhoz vagy a felügyeleti hatóság felé történő bejelentéshez. Ezt a bejelentést vagy regisztrációt azonban saját maga nyújtja be a felügyeleti hatóság portálján; egy dosszie erre előkészíti, de nem végzi el helyette. A dosszie nem helyettesíti az auditálást, penetrációs tesztet vagy tanúsítást sem — az továbbra is a szakterületi szakképzett felek feladata, éppúgy, mint az incidenskezelés, ha valóban probléma merül fel.
Aki pontosan szeretné tudni, hogyan jön létre egy ilyen dosszie és mely forrásokat használnak fel hozzá, az elolvassa a ahol az információ az platformon belül található. A szervezete konkrét helyzetét és az ezzel járó jogi következményeket illetően továbbra is a jogi képviselő vagy a felügyeleti hatóság az illetékes kapcsolattartó.
Ha szeretné megtudni, hogy szervezete jelenleg hol helyezkedik el, végezze el az ingyenes NIS2-ellenőrzést, vagy böngéssze végig azokat a témákat, amelyek leginkább az Ön helyzetéhez illeszkednek.