Zece masurile din obligatia de diligenta cuvenita, in limbaj obisnuit
Daca organizatia dumneavoastra se incadreaza sub Directiva NIS2 ca entitate esentiala sau importanta, exista o obligatie de diligenta cuvenita: trebuie sa luati masuri adecvate pentru a gestiona riscurile pentru sistemele dumneavoastra de retea si informatice. Directiva detaliaza aceasta intr-o serie de zece categorii de masuri, enumerate in articolul 21. Ele sunt intentionat formulate pe scara larga, pentru a se potrivi atat unei intreprinderi de instalatii cu douazeci de angajati, cat si unei intreprinderi de energie cu o mie. Cum recunoasteti ca o masura este implementata? Nu printr-un simplu bifat, ci prin trei lucruri care se potrivesc impreuna: un document concret sau o configuratie tehnica care realizeaza masura, numele unei persoane responsabile pentru aceasta, si o data a ultimei verificari.
Zece masuri se impart grosier in patru grupuri: cunoasterea si inregistrarea riscurilor, gestionarea incidentelor, gestionarea lantului de aprovizionare si mentinerea oamenilor si tehnologiei in ordine. Mai jos le parcurgem, nu ca o lista de verificare de bifat, ci ca o explicatie a ceea ce inseamna fiecare masura in practica.
Cunoasterea si inregistrarea riscurilor
Prima masura este o politica pentru analiza riscurilor si securitatea informatiilor: un document care descrie care sisteme sunt importante, ce poate sa mearga prost si cum evaluati aceasta. Nu trebuie sa fie un raport voluminos, dar trebuie sa fie ceva pe care o persoana externa — un organ de supraveghere, un client, un nou coleg — sa o poata citi si intelege. In plus, directiva mentioneaza politica si proceduri pentru evaluarea eficacitatii masurilor: nu doar ca documentati ce faceti, ci si cum verificati ca functioneaza. Si exista o masura separata pentru igiena cibernetica si instruire: reguli practice de baza si capacitatea angajatilor de a recunoaste un email suspect.
Gestionarea incidentelor
Al doilea grup priveste ceea ce se intampla daca lucrurile se inrautatesc totusi. Gestionarea incidentelor inseamna ca exista o procedura pentru cine face ce de indata ce un incident este descoperit si cum este raportat. Continuitatea activitatii — inclusiv gestionarea copiilor de rezerva, recuperarea dupa o situatie de urgenta si gestionarea crizelor — priveste cum puteti continua dupa o intrerupere sau atac: aveti o copie de rezerva actuala, stiti cine coordoneaza criza si a fost acest lucru testat vreodată. Acesta este componentul in care organizatiile se bazeaza adesea fara sa-l fi testat, si tocmai aceasta testare este ceea ce vrea sa vada un organ de supraveghere sau un client.
Gestionarea lantului de aprovizionare
Directiva dedica o masura separata securitatii lantului de aprovizionare, inclusiv relatiei cu furnizori individuali. Aceasta este motivul pentru care nici intreprinderile mici sau medii care nu sunt obligate sa primeasca liste de intrebari de la clientii lor: acel client trebuie sa evalueze propriul lant pentru a respecta aceasta masura. O masura conexa priveste securitatea achizitiei, dezvoltarii si intretinerii sistemelor de retea si informatice, inclusiv gestionarea vulnerabilitatilor — deci si intrebarea cum este achizitionata software-ul si pastrat la zi.
Oamenii si tehnologia in ordine
Ultimul grup este cel mai tehnic, dar nu mai putin concret. Securitatea personalului, politica de acces si gestionarea activelor organizationale privesc cine poate accesa ce sisteme si ce se intampla atunci cand cineva paraseste serviciul. Utilizarea autentificarii cu mai multi factori sau a solutiilor similare, precum si comunicarea vocala, video si textuala sigura si sistemele de comunicare de urgenta sigure, este masura care este cea mai aproape de practica cotidiana: este inca posibil sa va conectati la e-mail si sistemele organizationale numai cu o parola, sau exista o a doua etapa. Si acolo unde este cazul, priveste si politica si proceduri pentru utilizarea criptografiei si, acolo unde este relevant, criptarii.
Ceea ce au în comun aceste zece măsuri este că toate cer trei lucruri: un document justificativ, un responsabil și un moment de verificare. Aceasta este exact modul în care se construiește un dosar viu, în loc de o imagine de ansamblu care după o jumătate de an devine din nou învechită. Cât de riguros trebuie completată o măsură în cazul dumneavoastră depinde de mărimea organizației dumneavoastră și de riscurile care caracterizează sectorul dumneavoastră — cu privire la aceasta oferă verificarea gratuită în câteva întrebări o primă indicație.
Pentru cei care doresc să afle cum se traduc aceste zece măsuri în legea națională și în pași concreți pe fiecare subiect, există o prezentare generală pe subiect, selectată în funcție de situație. Acolo este de asemenea explicat care sursă corespunde fiecărei explicații și la ce dată a fost consultată, așa cum se descrie pe pagina despre de unde provin informațiile. Pentru întrebarea ce este exact gratuit și ce intră în abonament, există o prezentare generală a întrebărilor frecvente.
Aceste zece măsuri constituie un cadru, nu un exercițiu de completare cu un singur răspuns corect. Ceea ce este potrivit pentru organizația dumneavoastră depinde de sectorul, dimensiunea și sistemele de care depindeți — cu privire la aceasta, textul legii în sine și explicația autorității de supraveghere oferă răspunsul cel mai sigur. Dacă doriți mai întâi să aflați dacă și cum se aplică această obligație de îngrijire organizației dumneavoastră, începeți cu verificarea gratuită NIS2 sau răsfoiți banca de cunoștințe pe secria.eu.