Dešimt priemonių iš rūpinimosi pareigos, paprastai tariant
Jei jūsų organizacija patenka į NIS2 direktyvą kaip esminė arba svarbi entiteta, taikoma rūpinimosi pareiga: turite imtis tinkamų priemonių, skirtos valdyti jūsų tinklo ir informacinių sistemų rizikai. Direktyva tai detalizuoja per dešimt priemonių rūšių, išvardytų 21 straipsnyje. Jos sąmoningai suformuluotos plačiai, todėl tinka ir dvidešimties darbuotojų įrenginių įmonei, ir tūkstančio darbuotojų energetikos įmonei. Kaip pamatyti, kad priemonė yra sutvarkyта? Ne pagal varnelę, bet pagal tris dalykus, kurie priklauso vienas kitam: konkretų dokumentą arba techninę nustatymą, kuris įgyvendina priemonę, žmogaus, atsakingo už tai, vardą ir laiką, kada tai buvo patikrinta paskutinį kartą.
Dešimt priemonių maždaug suskirstytos į keturias grupes: rizikos žinojimas ir fiksavimas, incidentų neutralizavimas, tiekimo grandinės valdymas, ir žmonės bei technika tvarkoje. Žemiau jas peržvelgsime ne kaip kontrolinį sąrašą, kurį reikia pažymėti, bet kaip kiekvienos priemonės praktinio turinio paaiškinimą.
Rizikos žinojimas ir fiksavimas
Pirmoji priemonė yra rizikos analizės ir informacinės saugumo politika: dokumentas, kuriame aprašoma, kurios sistemos yra svarbios, kas gali nutikti ne taip ir kaip tai įvertinate. Tai neturi būti didelis ataskaitų tomas, tačiau turėtų būti kažkas, ką gali perskaityti ir suprasti šalinis žmogus — priežiūros institucija, pirkėjas, naujas kolega. Be to, direktyva nurodo politiką ir procedūras priemonių veiksmingumo įvertinimui: ne tik fiksuojate, KĄ darysite, bet ir kaip patikrinsite, ar tai veikia. Yra atskira priemonė kibernetinės higienos ir mokymo dalykams: praktinės pagrindų taisyklės ir darbuotojų gebėjimas atpažinti įtariamą el. laišką.
Incidentų neutralizavimas
Antroji grupė yra apie tai, kas vyksta, jei vis dėlto kažkas klaidžiai pasisuka. Incidentų tvarkymas reiškia procedūros buvimą dėl to, kas ir ką daro, kai tik incidentas aptinkamas, ir kaip jis pranešamas. Verslo tęstinumas — įskaitant atsarginių kopijų valdymą, atstatymo po kritinio įvykio ir krizės valdymą — yra apie klausimą, kaip tęsti darbą po sutrikimo ar atako: turite aktualią atsarginę kopiją, žinote, kas vadovauja krizei, ir ar tai kada nors buvo testuota. Tai dalis, kurioje organizacijos dažnai pasitikli, jos to nepatikrinusios, ir būtent tas patikrinimas yra tai, ką norėtų pamatyti priežiūros institucija arba pirkėjas.
Tiekimo grandinės valdymas
Direktyva skirtą priemonę skiria tiekimo grandinės saugumui, įskaitant santykius su atskirais tiekėjais. Tai priežastis, kodėl ir neprivalomos MKB įmonės gauna klausimynų nuo savo užsakovų: tas užsakovas turi įvertinti savo grandinę, norėdamas atitikti šią priemonę. Susijusi priemonė yra apie saugumą tinklo ir informacinių sistemų įsigijimo, plėtros ir priežiūros metu, įskaitant darbą su šaltimis — taip pat ir klausimą, kaip programinė įranga yra perkama ir prižiūrima.
Žmonės ir technika tvarkoje
Paskutinė grupė yra pati techniniausia, tačiau ne mažiau konkreti. Personalio saugumas, prieigos politika ir verslo ūkio priemonių valdymas yra apie tai, kas gali pasiekti kurias sistemas ir kas vyksta, kai žmogus išvyksta. Daugiafaktorinio autentifikavimo arba panašių sprendimų naudojimas, bei saugi kalba, vaizdo ir tekstinė komunikacija ir saugi neatidėliotino ryšio sistemos, yra priemonė, kuri labai artima kasdienei praktikai: ar vis dar galima prisijungti prie el. pašto ir verslo sistemų tik su slaptažodžiu, ar yra antrasis žingsnis. Ir kur taikytina, yra politika ir procedūros kriptografijos naudojimui ir, kur reikalinga, šifravimui.
Tai, ką šios dešimt priemonių suvienija, yra tai, kad visos jos reikalauja trijų dalykų: įrodymo, atsakingo asmens ir patikrinimo momento. Būtent taip sudaromas gyvasis failas, o ne momentinis vaizdas, kuris per pusę metų jau pasenęs. Kokie griežti turi būti konkrečios priemonės jūsų atveju, priklauso nuo jūsų organizacijos dydžio ir rizikų, būdingų jūsų sektoriui — apie tai duoda nemokama patikra iš kelių klausimų pirmąjį nurodymą.
Tiems, kurie nori sužinoti, kaip šios dešimt priemonių susijusios su nacionaliniu įstatymu ir konkrečiais veiksmais pagal kiekvieną temą, yra apžvalga pagal temą, parengta pagal situaciją. Čia taip pat paaiškintas, kuris šaltinis priklauso kurio aiškinimui ir kada jis buvo peržiūrėtas, kaip aprašyta puslapyje apie informacijos šaltinį. Norint sužinoti, kas tiksliai yra nemokama ir kas priklauso prenumeratai, yra dažnai užduodamų klausimų apžvalga.
Šios dešimt priemonių yra struktūra, o ne užduotis su vienu teisingu atsakymu. Tai, kas tinka jūsų organizacijai, priklauso nuo jūsų sektoriaus, dydžio ir sistemų, nuo kurių jūs priklausote — apie tai patikimiausią atsakymą duoda pati įstatymo tekstas ir priežiūros institucijos aiškinimas. Jei iš pradžių norite sužinoti, ar ir kaip šis rūpinimosi pareiga taikoma jūsų organizacijai, pradėkite nemokama NIS2-patikra arba naršykite žinių banką adresu secria.eu.