Dziesięć środków z obowiązku należytej staranności, w prostych słowach
Jeśli Twoja organizacja podlega Dyrektywie NIS2 jako podmiot istotny lub ważny, obowiązuje Cię obowiązek należytej staranności: musisz podjąć odpowiednie środki w celu zarządzania ryzykami dla Twoich sieci i systemów informatycznych. Dyrektywa rozwija to w szereg dziesięciu typów środków wymienionych w artykule 21. Są celowo sformułowane szeroko, aby pasować zarówno do przedsiębiorstwa instalacyjnego z dwudziestu pracownikami, jak i do przedsiębiorstwa energetycznego z tysiącem. Skąd wiadomo, że środek jest wdrożony? Nie z ptaszka w polu, ale z trzech rzeczy, które idą razem: konkretny dokument lub ustawienie techniczne, które wypełnia środek, imię i nazwisko osoby odpowiedzialnej za to, oraz moment ostatniej weryfikacji.
Dziesięć środków dzieli się w przybliżeniu na cztery grupy: poznanie i dokumentowanie ryzyk, obsługa incydentów, zarządzanie łańcuchem dostaw oraz utrzymanie porządku w kwestii ludzi i technologii. Poniżej przejdziemy przez nie, nie jako listę kontrolną do zaznaczania, ale jako wyjaśnienie znaczenia każdego środka w praktyce.
Poznanie i dokumentowanie ryzyk
Pierwszy środek to polityka analizy ryzyka i bezpieczeństwa informacji: dokument opisujący, które systemy są ważne, co może pójść źle i jak to oceniasz. Nie musi to być rozległy raport, ale coś, co osoba trzecia — organ nadzoru, nabywca, nowy pracownik — może przeczytać i zrozumieć. Dyrektywa wymienia także politykę i procedury oceny skuteczności środków: nie tylko dokumentujesz to, co robisz, ale również to, jak sprawdzasz, czy to działa. Istnieje również oddzielny środek dotyczący higieny cybernetycznej i szkoleń: praktyczne reguły podstawowe oraz zdolność pracowników do rozpoznania podejrzanej wiadomości e-mail.
Obsługa incydentów
Druga grupa dotyczy tego, co się dzieje, gdy coś pójdzie nie tak. Zarządzanie incydentami oznacza, że istnieje procedura określająca, kto co robi, gdy incydent zostanie wykryty i jak jest zgłaszany. Ciągłość działalności — w tym zarządzanie kopiami zapasowymi, odzyskiwanie po awarii i zarządzanie kryzysowe — dotyczy pytania, jak można kontynuować działalność po awarii lub ataku: czy masz aktualną kopię zapasową, wiesz, kto koordynuje kryzys, i czy kiedyś to testowałeś. To część, w której organizacje często polegają na czymś bez przetestowania, a właśnie ta weryfikacja to to, co chce zobaczyć organ nadzoru lub odbiorca.
Zarządzanie łańcuchem dostaw
Dyrektywa poświęca oddzielny środek bezpieczeństwu łańcucha dostaw, włączając relacje z poszczególnymi dostawcami. To powód, dla którego również niepodlegające obowiązkowi małe i średnie przedsiębiorstwa otrzymują kwestionariusze od swoich zleceniodawców: zleceniodawca musi sam ocenić swój łańcuch dostaw, aby spełnić ten środek. Powiązany środek dotyczy bezpieczeństwa nabywania, opracowywania i utrzymywania sieci i systemów informatycznych, w tym obsługi luk w zabezpieczeniach — a zatem również tego, jak oprogramowanie jest kupowane i aktualizowane.
Ludzie i technologia w porządku
Ostatnia grupa jest najbardziej techniczna, ale nie mniej konkretna. Bezpieczeństwo personelu, polityka dostępu i zarządzanie aktywami biznesowymi dotyczą tego, kto może uzyskać dostęp do jakich systemów i co się dzieje, gdy ktoś opuszcza pracę. Stosowanie uwierzytelniania wieloflankowego lub podobnych rozwiązań oraz bezpieczna komunikacja głosowa, wideo i tekstowa oraz bezpieczne systemy komunikacji nadzwyczajnej to środek, który jest najbliższy codziennej praktyce: czy logowanie do poczty elektronicznej i systemów biznesowych za pomocą samego hasła jest jeszcze możliwe, czy też istnieje drugi etap. A tam, gdzie mają zastosowanie, chodzi o politykę i procedury dotyczące stosowania kryptografii i, w stosownych przypadkach, szyfrowania.
Co mają wspólnego te dziesięć środków, to że wszystkie wymagają trzech rzeczy: dowodu, właściciela i momentu kontroli. Dokładnie w taki sposób zbudowany jest żywy dossier, zamiast migawki, która za pół roku jest już przestarzała. To, jak rygorystycznie środek musi być wypełniony w Pana przypadku, zależy od wielkości organizacji i ryzyk związanych z Pana sektorem — na ten temat udziela bezpłatna weryfikacja w kilka pytań wstępną wskazówkę.
Dla tych, którzy chcą wiedzieć, jak te dziesięć środków przekładają się na prawo krajowe i konkretne kroki w poszczególnych obszarach, dostępny jest przegląd zagadnienie po zagadnieniu, dostosowany do sytuacji. Tam również wyjaśniono, które źródło odpowiada której informacji i jaki datę ostatniego sprawdzenia, zgodnie z opisem na stronie o pochodzeniu informacji. Odpowiedź na pytanie, co dokładnie jest bezpłatne, a co wchodzi w skład subskrypcji, zawiera przegląd często zadawanych pytań.
Te dziesięć środków to ramy, a nie ćwiczenie z jedną słuszną odpowiedzią. To, co jest właściwe dla Pana organizacji, zależy od sektora, wielkości i systemów, od których zależy — wytyczne samej ustawy i wyjaśnienia organu nadzoru dają pewniej wszystkie odpowiedzi. Jeśli chce Pan najpierw wiedzieć, czy i jak zobowiązanie do należytej staranności z dyrektywy NIS2 ma zastosowanie do Pana organizacji, zacznij od bezpłatnej weryfikacji NIS2 lub przeglądaj bazę wiedzy na secria.eu.