Kaip priimsite NIS2, jei esate MVĮ, neiškeldami iš to metų projektą?
Trumpiausias kelias nėra didelis planas, o pradėti nuo to, kas jau yra. Dauguma MVĮ jau turi slaptažodžio politiką, atsarginės kopijos grafiką, sąrašą, kas turi prieigą prie kokių sistemų, ir IT kontaktą. Tai nėra išsamus kibernetinio saugumo politika, bet tai yra dossier pradžia: užrašyti kiekvieno priemonės statusą, kas už tai atsakingas ir koks dokumentas patvirtina, kad tai tikrai atliekama.
Tokiu būdu sudaromas dossier nėra kelių mėnesių projektas. Tai sąrašas, kurį atidarote šiandien ir kuris auga, kai dirbate: viena priemonė jau čia, kita – šį mėnesį. Nėra momento, kada tai būtų "pabaigta", ir tai nėra tikslas. Rūpestinės priežiūros pareiga, kylanti iš NIS2 direktyvos ir dėl jos priimtų nacionalinių įstatymų, nėra vienkartinis įgyvendinimas, o nuolatinė praktika. Gyvas registras labiau tinka, nei sunkus dokumentas, kuris po pristatymo išnyksta aplanke.
Pradėkite nuo to, kas jau yra, o ne nuo tuščio lapo
Daugelis įmonių mano, kad jie pradeda nuo nulio, kai iškyla žodis NIS2. Tai retai buvimas. Diegimo įmonė paprastai jau turi susitarimus dėl to, kas turi prieigą prie klientų sistemų, žmogiškųjų išteklių skyrius turi procesą atšaukti prieigą darbuotojui išėjus, o beveik kiekviena įmonė turi tam tikrą atsarginių kopijų formą, nors ji nėra užrašyta kaip "atsarginės kopijos politika". Pirmasis žingsnis yra ne rašyti, o inventorizuoti: ką mes jau darydome, kur tai dokumentuota ir kas gali tai patvirtinti.
Tada sekanti klausimas – kurie komponentai vis dar trūksta. Tai nešetaupys tik laiko, bet ir išvengsite brangaus darbo ar politikos, skirtos tam, ką praktikoje jau gerai sutvarkyta, tik dar nematyti. Jei iš pradžių norite žinoti, ar jūsų organizacija čia iš viso patenka, ar per kliento grandinę yra veikiama, tai galima pamatyti keliais klausimais, kur jūs maždaug stovite, be jokios poreikio ką nors pirkti.
Viena priemonė, vienas statusas, vienas savininkas, vienas įrodymas
Veiksmingo dossier šerdis yra paprasta: kiekvienai priemonei keturi fiksuoti laukai. Statusas rodo, ar kažkas yra sutvarkyta, iš dalies sutvarkyta, ar dar turi būti atliekama. Savininkas yra asmuo, kuris už tai atsakingas, nebūtinai pats direktorius. Įrodymas yra tai, kas patvirtina, kad priemonė egzistuoja: schema, sistemos eksportas, pasirašytas dokumentas. Be tų keturių laukų dossier lieka gerų ketinimų rinkiniu; su tais laukais jis tampa kažkuo, su kuriuo galite atsakyti ir į kliento saugumo klausimyną, nes nereikia improvizuoti, o galite grįžti prie to, kas jau užfiksuota.
Ši struktūra taip pat paprasta, nes nereikia viško imtis iš karto. Galite pradėti nuo priemonių, kurioms jau daugiausia priruošę, kurias greitai sutvarkyti, ir likučius imtis palaipsniui. Apžvalgą, kokias priemonės iš tiesų reikalauja priežiūros pareiga ir kas po jomis patenka, rasite toliau esančiame detalūs temos pagal situaciją.
Kodėl tai vyksta greičiau, nei atrodo
Įspūdis, kad NIS2 yra metų trukmės projektas, dažnai atsiranda todėl, kad žmonės galvoja apie išsamų politikos dokumentą, kuris turi būti baigtas iš karto. Veikiantis registras veikia priešingai: jis pradedamas mažas ir nepilnas, o su kiekvienu jūsų organizacijos pakitimą automatiškai atnaujinamas, nes jūs vis tiek užsiimate tuo pakitimais. Naujas tiekėjas, kita prieigos sistema, naujas darbuotojas su administravimo teisėmis — kiekvienas momentas yra natūralus dossier atnaujinimui, o ne viskas iš naujo kartą per metus.
Ką dossier suteikia ir ko nesuteikia
Iš peržiūrimo bylos išplaukia dokumentai, kurių jums reikia: pati politika, atsakymai į gavėjų klausimynus ir paruošti tekstai registracijai arba pranešimui priežiūros institucijoms. Tą pranešimą arba registraciją turite pateikti patys per savo priežiūros institucijos portalą; byla tai paruošia, bet nepateikia. Byla taip pat nekeičia audito, penetracinio testavimo ar sertifikavimo — tai lieka specializuotų šalių darbas, kaip ir incidentų reagavimas, jei tikrai nutinka kažkas negerai.
Jei norite žinoti tiksliai, kaip tokia byla susidaro ir kokie šaltiniai naudojami, perskaitykite tai puslapyje apie iš kur platforma gauna informaciją. Jei norite sužinoti apie savo organizacijos situaciją, įskaitant susijusius juridinius padarinius, tinkamas kontaktinis asmuo yra juristas arba atitinkama priežiūros institucija.
Jei norite pamatyti, kurioje vietoje šiuo metu yra jūsų organizacija, atlikite nemokamą NIS2 patikrą arba skaitykite temas, kurios geriausiai atitinka jūsų situaciją.