Desmit pasākumi no aprūpes pienākuma, vienkāršā valodā
Ja jūsu organizācija ietilpst NIS2 direktīvā kā būtiska vai svarīga entītija, jums ir aprūpes pienākums: jums jāveic atbilstošie pasākumi, lai pārvaldītu riskus saviem tīkla un informācijas sistēmām. Direktīvā tas ir izstrādāts sērijā no desmit veidu pasākumiem, kas uzskaitīti 21. pantā. Tie ir apzināti plašs formulēti, lai tie būtu piemēroti gan instalācijas uzņēmumam ar divdesmit darbiniekiem, gan enerģijas uzņēmumam ar tūkstošu. Kā jūs redzat, ka pasākums ir norādīts? Ne ar atzīmi, bet ar trim lietām, kas vienmēr iet kopā: konkrēts dokuments vai tehnisks iestatījums, kas aizpilda pasākumu, kāda persona, kura par to ir atbildīga, un brīdis, kad tas pēdējoreiz tika pārbaudīts.
Desmit pasākumi aptuveni sadalās četrās grupās: risikus pazīt un reģistrēt, incidentus novērst, tīklu pārvaldīt un cilvēkus un tehniku sakārtot. Tālāk mēs tos pāriet, nevis kā pārbaudīšanas sarakstu, bet kā katras pasākuma praktisku nozīmi skaidrojošu tekstu.
Risikus pazīt un reģistrēt
Pirmais pasākums ir politika riska analīzei un informācijas drošībai: dokuments, kas apraksta, kuri sistēmas ir svarīgas, kas var noiet greizi un kā jūs to novērtējat. Tam nav jābūt apjomīgam ziņojumam, bet gan kaut kam, ko var lasīt un saprast ārējais novērotājs — uzraugs, pasūtītājs, jauns kolēģis. Turklāt direktīvā minēta politika un procedūras pasākumu efektivitātes novērtēšanai: jūs ne tikai reģistrējat, ko jūs darāt, bet arī kā jūs pārbaudāt, vai tas darbojas. Un ir atsevišķs pasākums kibervēstures un apmācības jomā: praktiski pamatnoteikumi un darbinieku iespēja atpazīt aizdomīgu e-pastu.
Incidentus novērst
Otrā grupa runā par to, kas notiek, ja tas tomēr notiek. Incidentu apstrāde nozīmē, ka ir procedūra par to, kas ko dara, tiklīdz tiek atklāts incidents, un kā tas tiek paziņots. Biznesa nepārtrauktība — ieskaitant rezerves kopijas, atveseļošanu pēc neparedzētas situācijas un krīzes vadību — runā par to, kā jūs varat turpināt pēc pārrāvuma vai uzbrukuma: vai jums ir aktuāla rezerves kopija, zināt, kas koordinē krīzi, un vai tas kādreiz ir pārbaudīts. Šī ir sadaļa, kurā organizācijas bieži paļaujas bez tās pārbaudes, un tieši tā pārbaude ir tas, ko uzraugs vai pasūtītājs vēlas redzēt.
Tīklu pārvaldīt
Direktīvā atsevišķa maatregel paredzēta piegādes ķēdes drošībai, ieskaitant attiecības ar atsevišķiem piegādātājiem. Šis ir iemesls, kāpēc arī nepakļaujošos MKB uzņēmumi saņem jautājumu sarakstus no saviem pasūtītājiem: viņu pasūtītājam jānovērtē sava ķēde, lai izpildītu šo pasākumu. Saistīts pasākums attiecas uz drošību tīkla un informācijas sistēmu iegādes, izstrādes un uzturēšanas laikā, ieskaitant ievainojamības apstrādi — tāpēc arī to, kā tiek iegādāta un uzturēta programmatūra.
Cilvēkus un tehniku sakārtot
Pēdējā grupa ir vistehniski sarežģīta, bet ne mazāk konkrēta. Personāla drošība, piekļuves politika un uzņēmuma īpašuma pārvaldība attiecas uz to, kas var piekļūt kurām sistēmām un kas notiek, ja kāds atstāj darbu. Daudzfaktoru autentifikācijas vai līdzīgu risinājumu izmantošana, kā arī drošas runas, video un teksta komunikācijas un drošas avārijas komunikācijas sistēmas ir pasākums, kas ir vistuvāk ikdienas praksei: vai ir joprojām iespējams pierakstīties e-pastā un uzņēmuma sistēmās tikai ar paroli, vai ir otrā solis. Un ja tas ir piemērojams, tiek minēta politika un procedūras kriptografijas un, ja attiecināmi, šifrēšanas izmantošanai.
Tas, kas šīm desmit pasākumiem ir kopīgs, ir tas, ka viņi visi prasa trīs lietas: pierādījumu dokumentu, atbildīgo personu un kontroles brīdi. Tas ir arī tieši tas, kā ir strukturēts dzīvs dokumentu kopums, nevis uzņemtais momentuzņēmums, kas pēc pusgada jau ir novecojis. Tas, cik stingri pasākums jūsu gadījumā ir jāaizpilda, ir atkarīgs no jūsu organizācijas lieluma un riskiem, kas saistīti ar jūsu nozari — par to sniedz bezmaksas pārbaude pāris jautājumos pirmo norādi.
Tiem, kas vēlas zināt, kā šie desmit pasākumi tiek pārvērsti nacionālajā likumā un konkrētus soļus pa tēmām, ir pieejami pārskats pa tēmām, atlasīts atbilstoši situācijai. Tur ir arī skaidrojumi par to, kuri avoti atbilst kādam paskaidrojumam un kad tie tika skatīti, kā aprakstīts lapā par to, kur nāk informācija. Jautājumam par to, kas tieši ir bezmaksas un kas ietilpst abonementā, ir pieejams biežāk uzdoto jautājumu pārskats.
Šie desmit pasākumi ir ietvars, nevis aizpildīšanas vingrinājums ar vienu pareizu atbildi. Tas, kas ir piemērots jūsu organizācijai, ir atkarīgs no jūsu nozares, lieluma un sistēmām, no kurām jūs esat atkarīgi — par to visdrošākā atbilde ir pati normatīvā teksta un regulatora paskaidrojuma. Ja vispirms vēlaties zināt, vai un kā šī pienākuma prasība attiecas uz jūsu organizāciju, sāciet ar bezmaksas NIS2-pārbaudi vai pārlūkojiet zināšanu bāzi vietnē secria.eu.