Zināšanu bāze

Ko NIS2 prasa no jūsu organizācijas?

Skaidrots tiem, kuriem tas ir pirmoreiz. Katrs saīsinājums tiek skaidrots vietā, kur tas parādās.

• Vai moja uzņēmums ietilpst NIS2? — Divas lietas to nosaka: jūsu nozare un jūsu apjoms. Bet ir trešā grupa, kas tur neietilpst un tomēr saņem prasības.
• Jūsu klients nosūta drošības anketu — kas tagad? — Jūs paši tur neietilpstat, bet jūs tomēr saņemat prasības. Kāpēc tas notiek un kāds ir labs atbildes sniegums.
• Piesardzības pienākums: desmit pasākumi no 21. panta — Kas konkrēti no jums tiek sagaidīts katram pasākumam — un kā redzat, ka tas ir noregulēts.
• Paziņošanas pienākums: 24 stundas, 72 stundas un viens mēnesis — Trīs momenti, un neviens no tiem nav paziņošanas pienākums 24 stundu laikā, uz ko parasti tiek atsaukts.
• Kiberjutības likums: kas Latvijā galienes — NIS2 latvijas interpretācija un kāpēc nav pārejas perioda.
• NIS2 un ISO 27001: kāda ir atšķirība? — Standarts palīdz, bet to pilnībā nepārklāj. Kur tie pārklājas un kur nē.

Desmit pasākumi no piesardzības pienākuma

21. panta otrā punktā tie uzskaitīti no a līdz j. Tā ir vieta, no kuras sastāv dosje, un uz ko balstās jūsu klienta drošības anketa.

1. Riska analīze un informācijas drošības politika (apakšpunkts a)
   Dokumentēta vērtējums par to, kas var noiet greizi, un politika, kas uz to reagē. Tā ir pamats, uz kura balstās pārējie deviņi.
2. Starpgadījumu apstrāde (apakšpunkts b)
   Kā jūs pamanāt, ka kaut kas noiet greizi, kas tad dara ko, un kā jūs to dokumentējat. Arī jautājums par to, kas nolemj, vai ir jāpaziņo.
3. Biznesa nepārtrauktība un krīzes pārvaldības (apakšpunkts c)
   Dublējumi, atveseļošana pēc kļūmes, un kas notiek, ja jūsu galvenais sistēma ir ārā vienu nedēļu. Ieskaitant testu atlabošanu, ne tikai aprakstu.
4. Drošības nodrošināšana piegādes ķēdē (apakšpunkts d)
   Jūsu piegādes partneru un pakalpojumu sniedzēju drošības, ciktāl tā ietekmē jūsu sistēmas. Šī ir noteikums, kura dēļ jūsu paši klienti jums nosūta anketu.
5. Drošības nodrošināšana iepirkumos, izstrādē un uzturēšanā (apakšpunkts e)
   Kā jūs ņemat vērā drošību, perkot vai izstrādājot sistēmas, un kā tiek apstrādātas ievainojamības, tiklīdz tās kļūst zināmas.
6. Efektivitātes novērtējums (apakšpunkts f)
   Mērīt, vai tas, ko jūs esat noregulējuši, arī darbojas. Bez tā pasākumu saraksts paliek nodoma paziņojums.
7. Elementārā higiēna un apzinātība (apakšpunkts g)
   Atjauninājumi, paroles politika, tiesības, kas nav plašākas par nepieciešamo — un cilvēki, kas zina, uz ko viņiem jāpievērš uzmanība. Apmācības pie šejienes piekaras.
8. Kriptogrāfija un šifrēšana (apakš h)
   Kad dati tiek šifrēti, pārsūtīšanas laikā un glabāšanā, un kādi ir nolīgumi.
9. Personāla drošība, piekļuves politika un uzņēmuma līdzekļu pārvaldīšana (apakš i)
   Kurš var piekļūt, ko var darīt, kas notiek, ja kāds izstājas no darba, un kādi ierīces un sistēmas patiesībā ir.
10. Daudzveidīga autentifikācija un drošs savienojums (apakš j)
    Divu faktoru autentifikācija, kur tas ir svarīgi, un drošs balss-, video- un teksta savienojums. Arī ārkārtas komunikācija, ja parastie kanāli neizdodas.

Kad jāziņo?

Trīs momenti, un neviens no tiem nav "pārsūtīšanas pienākums 24 stundu laikā", uz ko bieži atsaucas. Tas attiecas tikai tad, ja jūs paši pakļaujaties likumam.

Termiņi sākas no brīža, kad jūs kļūstat pārdomas par incidentu. Mēs sagatavojam tekstus; iesniedzat jūs paši sava pašas uzraudzības iestādes portālā.