Kā risināt NIS2 kā MKB, nepārvēršot to gada projektā?
Īsākais ceļš nav liela plāna rakstīšana, bet sākums ar to, kas jau ir pieejams. Lielākajam skaitam MKB uzņēmumu jau ir paroles politika, datu dublēšanas grafiks, saraksts, kurā norādīts, kuriem sistēmām ir piekļuve, un IT kontaktpersona. Tas nav pilns kiberdrošības politikas dokuments, bet tas ir dosiera sākumpunkts: katram pasākumam pierakstīt, kāds ir tā statuss, kurš par to atbild un kāds pierādījums apliecina, ka tas tiek realizēts.
Dosieri šādā veidā izveidot nav ikmēneša ilgs projekts. Tas ir saraksts, ko jūs varat atvērt šodien un kas pieaug, kamēr jūs strādājat: viens pasākums jau ir tur, cits tiek pievienots šomēnesi. Nav brīža, kad tas būtu "pabeigts", un tas nav arī jums paredzēts. Pūliņpienākums, kas izriet no Normatīvā akta NIS2 un tā valsts likumiem, nav vienkāršs uzdevums, bet pastāvīga prakse. Dzīvs reģistrs šeit ir labāks nekā bieza dokumenta, kas pēc iesniegšanas pazūd mapē.
Sāciet ar to, kas jau ir pieejams, nevis ar tukšu lapu
Daudzas uzņēmumi domā, ka viņi sāk no nulles, tiklīdz ir dzirdēts vārds NIS2. Tas reti kad ir tā. Inženierbūves uzņēmumam parasti jau ir noskaidrojumi par to, kuriem ir piekļuve klientu sistēmām, personāla vadības nodaļai ir process piekļuves atsaukšanai darbinieka atlaiduma gadījumā, un gandrīz katram uzņēmumam ir kāda forma datu dublēšanas, pat ja tas nav rakstīts kā "datu dublēšanas politika". Tāpēc pirmais solis nav rakstīšana, bet inventarizācija: ko mēs jau darām, kur tas ir pierakstīts un kurš to var pierādīt.
Tikai pēc tam seko jautājums, kādi elementi vēl trūkst. Tas ne tikai ietaupa laiku, bet arī novērš, ka jūs neveicat dubultu darbu vai izstrādājat politiku kaut kam, kas praksē jau ir labi sakārtots, tikai vēl nav padarīts redzams. Vēlaties vispirms zināt, vai jūsu organizācija šeit vispār ietilpst vai ir saskarsmē ar klienta prasībām, tad to var noskaidrot ar dažiem jautājumiem, kuros var redzēt, kur jūs apmēram stāvat, neizvērtējot jums nepieciešamos ieguldījumus.
Viens pasākums, viens statuss, viens atbildīgais, viens pierādījums
Praktiski dosiera kodols ir vienkāršs: katram pasākumam četri fiksēti lauki. Statuss norāda, vai kaut kas ir sakārtots, daļēji sakārtots vai vēl jādara. Atbildīgais ir persona, kura par to atbild, ne obligāti pats direktors. Pierādījums ir tas, kas apliecina pasākuma esamību: grafiks, sistēmas ekspors, parakstīts dokuments. Bez šiem četriem laukiem dosieris paliek labu nolūku kolekcija; ar šiem laukiem tas kļūst par kaut ko, ar ko jūs varat atbildēt uz klienta drošības jautājumu sarakstu, jo nav jāimprovizē, bet var atsaukties uz to, kas jau ir ierakstīts.
Šī struktūra darbojas arī tāpēc, ka jums nav jāveic viss uzreiz. Varat sākt ar pasākumiem, kuriem jums jau ir vairums, kuros ātri var sakārtot, un pārējos risināt pa posmiem. Apskats par to, kurus riska mazināšanas pasākumus pūliņpienākums precīzi paredz un ko tie ietver, atrodams detalizēti izstrādātās tēmas pēc situācijas.
Kāpēc tas notiek ātrāk, nekā skan
Iespaids, ka NIS2 ir gada projekts, bieži vien rodas tāpēc, ka cilvēki domā par pilnīgu politikas dokumentu, kas vienlaikus jābeidz. Dzīvs reģistrs darbojas pretēji: tas sākas maz un nepilnīgi, un tiek atjaunināts automātiski, katru reizi, kad jūsu organizācijā notiek izmaiņas, jo jūs jebkurā gadījumā jau strādājat pie šīs izmaiņas. Jauns piegādātājs, cita piekļuves sistēma, jauns darbinieks ar administratora tiesībām — katrs moments ir dabiski piesaistīts punkts dosiera atjaunināšanai, nevis vienreiz gadā visu pārtaisīt.
Ko dosieris sniedz un ko nē
No dokumentu uzkrāšanas rezultātā jūs iegūstat nepieciešamos dokumentus: pašu politiku, atbildes uz saņēmēju anketu jautājumiem un sagatavotus tekstus reģistrācijai vai paziņojumam uzraudzības iestādei. Šo paziņojumu vai reģistrāciju jums pašiem ir jāiesniedz uzraudzības iestādes portālā; dokumentu kolekcija to sagatavo, bet nesedz iesniegumos. Dokumentu kolekcija arī nav audita, penetrācijas testa vai sertifikācijas aizstājējs — tas paliek specializēto uzņēmumu darbs, tāpat kā incidentu apstrāde, ja patiešām kaut kas noiet greizi.
Kas precīzi vēlas zināt, kā tāda dokumentu kolekcija tiek izveidota un kādi avoti tiek izmantoti, lasīs to lappusē par no kurienes platformā rodas informācija. Attiecībā uz jūsu paša organizācijas situāciju un ar to saistītajiem tiesiskajiem sekām, tiesnieks vai kompetentā uzraudzības iestāde paliek piemērotais kontaktpunkts.
Ja vēlaties redzēt, kur jūsu organizācija šobrīd atrodas, veiciet bezmaksas NIS2 pārbaudi vai pārlūkojiet tēmas, kas visprecīzāk atbilst jūsu situācijai.