Jak podejmuje się wdrażanie NIS2 jako małe lub średnie przedsiębiorstwo, bez zamiany tego w projekt trwający rok?
Najkrótsza droga to nie napisanie wielkiego planu, ale rozpoczęcie od tego, co już istnieje. Większość małych i średnich przedsiębiorstw ma już politykę haseł, harmonogram kopii zapasowych, listę osób mających dostęp do poszczególnych systemów i osobę kontaktową ds. IT. To nie jest pełna polityka bezpieczeństwa cybernetycznego, ale jest to punkt wyjścia dla dokumentacji: dla każdego środka ustalić jego status, kto za niego odpowiada i jaki dokument dowodzi, że rzeczywiście się to dzieje.
Budowanie dokumentacji w ten sposób nie jest projektem trwającym miesiące. To lista, którą otwiera się dzisiaj i która rośnie podczas pracy: jeden środek już tam jest, kolejny pojawia się w tym miesiącu. Nie ma momentu, w którym jest "gotowe", a to nie jest też celem. Obowiązek należytej staranności wynikający z dyrektywy NIS2 i krajowych ustaw na jej podstawie nie jest ćwiczeniem jednorazowym, ale praktyką ciągłą. Żywy rejestr lepiej się do tego nadaje niż gruby dokument, który po dostarczeniu znika w teczce.
Zacznij od tego, co już istnieje, a nie od pustej kartki
Wiele firm sądzi, że zaczynają od zera w momencie, gdy pada słowo NIS2. Tak rzadko bywa. Firma instalacyjna zwykle ma już ustalenia dotyczące dostępu do systemów klientów, dział HR ma proces wycofywania dostępu przy rozwiązaniu umowy, a prawie każda firma ma jakąś formę kopii zapasowych, nawet jeśli nie są formalnie opisane jako "polityka kopii zapasowych". Pierwszy krok to zatem nie pisanie, ale przeprowadzenie inwentaryzacji: co już robimy, gdzie to jest udokumentowane i kto może to wykazać.
Dopiero wtedy pojawia się pytanie, które części jeszcze brakuje. To nie tylko oszczędza czas, ale także zapobiega wykonywaniu pracy podwójnie lub opracowywaniu polityk dla rzeczy, które w praktyce są już dobrze uregulowane, tylko jeszcze nie są widoczne. Chcesz najpierw wiedzieć, czy Twoja organizacja w ogóle tutaj podlega, czy jest osiągnięta poprzez klienta? kilka pytań pokazuje, gdzie mniej więcej się znajdujeszbez konieczności kupowania czegokolwiek.
Jeden środek, jeden status, jeden właściciel, jeden dokument
Jądro sprawnej dokumentacji jest proste: na każdy środek cztery stałe pola. Status pokazuje, czy coś jest rozstrzygnięte, częściowo rozstrzygnięte, czy jeszcze się ma stać. Właściciel to osoba odpowiadająca za to, niekoniecznie sam dyrektor. Dokument to to, co dowodzi istnienia środka: harmonogram, eksport z systemu, podpisany dokument. Bez tych czterech pól dokumentacja pozostaje zbiorem dobrych zamiarów; z tymi polami staje się czymś, czego można użyć do odpowiadania na kwestionariusze bezpieczeństwa od klientów, ponieważ nie trzeba improwizować, ale można wrócić do tego, co już jest ustalone.
Ta struktura działa również dobrze, ponieważ nie musisz brać się za wszystko jednocześnie. Możesz zacząć od środków, na które masz już najwięcej, które można szybko uporządkować, i pozostałe realizować etapami. Przegląd tego, jakie dokładnie środki wymaga obowiązek należytej staranności i co pod niego podlega, znajdziesz w opracowanych tematach dla każdej sytuacji.
Dlaczego to idzie szybciej niż się wydaje
Wrażenie, że NIS2 to projekt trwający rok, Often pojawia się dlatego, że ludzie myślą w kategoriach kompletnego dokumentu polityki, który musi być gotowy za jednym razem. Żywy rejestr działa odwrotnie: zaczyna się mały i niekompletny, i jest automatycznie aktualizowany przy każdej zmianie w organizacji, ponieważ i tak już się tym zajmujesz. Nowy dostawca, inny system dostępu, nowy pracownik z prawami administratora — każdy moment jest naturalnym punktem zaczepienia do aktualizacji dokumentacji, zamiast robienia wszystkiego raz w roku.
Co dokumentacja zapewnia, a czego nie
Z prowadzonego dossier wynikają dokumenty, które są Panu potrzebne: sama polityka, odpowiedzi na listy kontrolne od odbiorców oraz przygotowane teksty do rejestracji lub zgłoszenia organowi nadzoru. To zgłoszenie lub rejestrację musi Pan sam złożyć za pośrednictwem portalu swojego organu nadzoru; dossier przygotowuje to, ale nie przejmuje składania. Dossier nie zastępuje również audytu, testu penetracyjnego ani certyfikacji — to pozostaje zadaniem wyspecjalizowanych stron, podobnie jak reagowanie na incydenty, gdy faktycznie coś pójdzie nie tak.
Kto dokładnie chce wiedzieć, jak takie dossier powstaje i jakie źródła są przy tym wykorzystywane, przeczyta to na stronie na temat skąd pochodzi informacja na platformie. W przypadku sytuacji Pana własnej organizacji, wraz z wynikającymi z niej konsekwencjami prawnymi, prawnik lub właściwy organ nadzoru pozostają odpowiednim punktem kontaktowym.
Jeśli chce Pan zobaczyć, gdzie Pana organizacja znajduje się w tym momencie, wykonaj bezpłatny test NIS2 lub przejrzyj tematy, które najlepiej odpowiadają Pana sytuacji.