A gondossági kötelezettség tíz intézkedése, világos nyelven
Ha az Ön szervezete a NIS2-irányelv szerint alapvető vagy fontos entitásnak minősül, gondossági kötelezettség vonatkozik rá: megfelelő intézkedéseket kell tennie a hálózati és információs rendszereire irányuló kockázatok kezeléséhez. Az irányelv ezt tíz fajta intézkedésből álló sorozattal részletezi, amely a 21. cikkben található. Szándékosan széles körűen vannak megfogalmazva, hogy illenek egy húsz fős telepítőcéghez és egy ezerfős energiavállalkozáshoz is. Hogyan látható, hogy egy intézkedés szabályozva van? Nem egy pipás jelöléssel, hanem három olyan dologgal, amely együtt tartozik: egy konkrét dokumentum vagy technikai beállítás, amely megtestesíti az intézkedést, annak a személynek a neve, aki ezért felelős, és az az időpont, amikor ezt utoljára ellenőrizték.
A tíz intézkedés nagyjából négy csoportra oszlik: kockázatok megismerése és dokumentálása, incidensek kezelése, az ellátási lánc irányítása, valamint az emberek és a technika rendben tartása. Az alábbiakban végigmegyünk rajtuk, nem ellenőrző listaként, hanem az egyes intézkedések gyakorlati jelentésének magyarázataként.
Kockázatok megismerése és dokumentálása
Az első intézkedés egy kockázatelemzési és információbiztonsági irányelvkövetelmény: egy dokumentum, amely leírja, mely rendszerek fontosak, mit tehető rosszul, és ezt hogyan értékelheti. Ennek nem kell egy hosszú jelentésnek lennie, de olyannak, amelyet egy külső személy — egy felügyelt szerv, egy megrendelő, egy új kolléga — olvashat és megérthet. Ezenkívül az irányelv az intézkedések hatékonyságának értékelésére vonatkozó irányelveket és eljárásokat említi: nemcsak azt rögzíti, amit tesz, hanem azt is, hogy ellenőrzi-e, működik-e. Van egy külön intézkedés a kibernetikai higiénia és képzésekhez: gyakorlati alapvető szabályok és az alkalmazottak képessége a gyanús e-mail felismerésére.
Incidensek kezelése
A második csoport arról szól, mi történik, ha mégsem sikerül elkerülni. Az incidenskezelés azt jelenti, hogy van egy eljárás arra, hogy ki mit csinál abban a pillanatban, amikor egy incidenst felfedeznek, és hogyan kerül erre sor a bejelentés. Az üzletmenet folytonossága — amely magában foglalja a biztonsági mentés kezelését, a helyreállítást egy noodsituáció után és a kríziskezelést — azt a kérdést érinti, hogyan tud továbblépni egy leállás vagy támadás után: van-e aktuális biztonsági mentése, tudja-e, ki koordinálja a válságot, és ezt már tesztelték-e. Ez az a terület, ahol a szervezetek gyakran akkor támaszkodnak, amikor nem tesztelték meg, és éppen ez a teszt az, amit egy felügyelt szerv vagy megrendelő szeretne látni.
Az ellátási lánc irányítása
Az irányelv külön intézkedést szán az ellátási lánc biztonsága, beleértve az egyedi beszállítókkal való kapcsolatot. Ez az oka annak, hogy az olyan nem kötelezett MKB-vállalatok is kapnak kérdőíveket megrendelőiktől: a megrendelőnek értékelnie kell a saját ellátási láncát ennek az intézkedésnek a teljesítéséhez. A kapcsolódó intézkedés a hálózati és információs rendszerek beszerzése, fejlesztése és karbantartása biztonságára vonatkozik, beleértve a sebezhetőségek kezelésének módját — így azt is, hogyan beszerzik és frissítik a szoftvereket.
Emberek és technika rendben tartása
Az utolsó csoport a leginkább műszaki jellegű, de nem kevésbé konkrét. A személyzeti biztonság, a hozzáférési irányelvek és az üzleti eszközök kezelése arról szólnak, hogy ki mihez férhet hozzá, és mi történik, amikor valaki kilép a szervezetből. A többfaktoros hitelesítés vagy hasonló megoldások használata, valamint a biztonságos hang-, videó- és szöveges kommunikáció és a biztonságos vészkommunikációs rendszerek az a maatregel, amely a legközelebb áll a napi gyakorlathoz: az e-mailre és a céges rendszerekre való bejelentkezés csak jelszóval még lehetséges, vagy van-e egy második lépés. És ahol szükséges, a titkosítás használatára vonatkozó irányelvekre és eljárásokra, és ahol releváns, a titkosítás megvalósítására vonatkozó követelmények vonatkoznak.
Ezeknek a tíz intézkedésnek az a közös jellemzője, hogy mindegyik három dologra kérdez rá: egy bizonyítékra, egy felelősre és egy ellenőrzési időpontra. Ez pontosan így épül fel egy élő dokumentáció, nem pedig egy pillanatfelvétel, amely fél év után már elavult. Az intézkedések szigorossága az Ön szervezete nagyságától és az Ön ágazatára jellemző kockázatoktól függ — erről ad az ingyenes ellenőrzés néhány kérdésben egy első jelzést.
Aki szeretné tudni, hogy ez a tíz intézkedés hogyan fordítódik le az országos jogszabályzatra és konkrét lépésekre témánként, találhat egy témaköri áttekintést, helyzetre szűrveezt. Ott is megtalálható, hogy melyik forrás melyik magyarázathoz tartozik és milyen dátumon volt megtekintve, ahogyan leírható az információ forrásairól szóló oldalon. Az arra vonatkozó kérdésre, hogy pontosan mi ingyenes és mi tartozik az előfizetéshez, a gyakori kérdések áttekintése.
nyújt segítséget. Ez a tíz intézkedés egy keretrendszer, nem pedig egy kitöltési gyakorlat, amelynek egyetlen helyes válasza van. Az Ön szervezete számára megfelelő megoldás az ágazattól, a nagyságtól és az Ön által használt rendszerektől függ — erről a jogszabály maga és a felügyelet hatóság magyarázata ad a legbiztosabb választ. Ha előbb szeretné megtudni, hogy ez a gondoskodási kötelezettség vonatkozik-e az Ön szervezetére és hogyan, kezdje az ingyenes NIS2-ellenőrzéssel, vagy böngéssze a secria.eu tudásbázisát.