mely dokumentumot kell benyújtanom biztonsági intézkedésenként

Minden intézkedéshez tartozik egy dokumentum, amely az állapotot mutatja

A bizonyíték egy olyan dokumentum, amely azt mutatja, hogy egy intézkedés nemcsak elgondolva lett, hanem valóban létezik és használatban van. A hozzáférés-vezérlésnél például ez lehet azon személyek áttekintése, akik hova férhetnek hozzá, és hogyan tartják nyilván; a javítási politikánál egy napló vagy jelentés, amely igazolja, hogy a frissítéseket valóban elvégzik; egy incidensmenetrendnél pedig az követendő lépések leírása, szükség esetén kiegészítve egy olyan beszámolóval, amikor a folyamatot végigfuttatták vagy tesztelték. A forma intézkedésenként eltérő, de az elv mindig ugyanaz: egy állítás, amelyet nem támogat alapvetően igazoló dokumentum, nehéz megkülönböztetni egy szándéktól.

Az egyes bizonyítékok közül pontosan melyik megfelelő, függ attól, hogy az intézkedés maga mit jelent — egy szervezeti intézkedés, például egy irányelvdokumentum más típusú bizonyítékot igényel, mint egy technikai intézkedés, például titkosítás vagy hálózati szegmentálás. A szervezeti oldalon gyakran vannak írásban rögzített irányelvek; mely szabályzatokra van szükségem a NIS2-hez részletesebben foglalkozik ezzel. A technikai oldalon inkább konfigurációk, naplók vagy teszteredmények szükségesek. Minden esetben igaz, hogy a bizonyítéknak van egy neve, egy dátuma és ideálisan egy tulajdonosa — valaki, aki meg tudja magyarázni, hogy az adott dokumentum miért azt mondja, amit mond. Az szervezeten belül ki ez, önálló kérdés, amelyet külön kezelünk. kinek kell felelőssé válnia az intézkedésért a szervezetemben.

Honnan ered ez a tíz intézkedésből álló besorolás

A NIS2-irányelv 21. cikk 2. bekezdése a zorgplicht alapját képező tíz intézkedési kategóriáról beszél: a kockázatelemzéstől a hozzáférés-vezérlésen és válságkezelésig; a Cyberbeveiligingswet ezt az osztályozást alkalmazza a holland átültetésben. Az irányelv nem írja elő a bizonyítékformátumot, de az ISO/IEC 27001 Melléklet A-ból ismert ellenőrzési intézkedéseket gyakran gyakorlati megvalósításként használják, beleértve az ahhoz tartozó bizonyítéktípust. Az NCSC általános tájékoztatást nyújt a zorgplichtról, de intézkedésenként nem ír elő kötelező bizonyítékformátumot.