Desať opatrení z povinnosti starostlivosti, v jednoduchej reči
Ak vaša organizácia podľa smernice NIS2 spadá do kategórie kritickej alebo dôležitej entity, platí pre vás povinnosť starostlivosti: musíte prijať vhodné opatrenia na riadenie rizík pre vaše sieťové a informačné systémy. Smernica to rozpracúva v sérii desiatich typov opatrení, uvedených v článku 21. Sú zámerne formulované široko, aby sedeli ako inštalačnej spoločnosti s dvadsiatimi zamestnancami, tak aj energetickému podniku s tisíckou. Ako vidíte, že je opatrenie usporiadané? Nie podľa začiarknutia, ale podľa troch vecí, ktoré spolu patria: konkrétny dokument alebo technické nastavenie, ktoré vyplnia opatrenie, meno osoby za to zodpovednej, a moment, kedy bolo naposledy skontrolované.
Desať opatrení sa zhruba delia do štyroch skupín: poznať a zaznamenávať riziká, zvládať incidenty, riadiť dodávateľský reťazec a udržiavať ľudí a techniku v poriadku. Nižšie si ich prejdeme, nie ako zoznam na odčiarknutie, ale ako vysvetlenie toho, čo každé opatrenie v praxi znamená.
Poznať a zaznamenávať riziká
Prvé opatrenie je politika analýzy rizík a bezpečnosti informácií: dokument, ktorý popisuje, ktoré systémy sú dôležité, čo môže zlyhať a ako to vyhodnocujete. Nemusí to byť rozsiahla správa, ale niečo, čo cudzinka — dozorovateľ, objednávateľ, nový kolega — môže prečítať a pochopiť. Okrem toho smernica spomína politiky a postupy na vyhodnotenie účinnosti opatrení: nielen zaznamenávate, čo robíte, ale aj to, ako skontrolujete, či to funguje. A existuje samostatné opatrenie pre kybernetickú hygienu a školenia: praktické základné pravidlá a schopnosť zamestnancov rozpoznať podozrivý e-mail.
Zvládať incidenty
Druhá skupina sa zaoberá tým, čo sa stane, ak napriek tomu niečo zlyhá. Spracovanie incidentov znamená, že existuje postup, kto čo robí, keď sa incident objaví, a ako sa to hlási. Kontinuita podniku — vrátane riadenia zálohy, obnovy po neplánovanej udalosti a manažmentu kríz — sa zaoberá otázkou, ako pokračujete po výpadku alebo útoku: máte aktuálnu zálohu, viete, kto krízu koordinuje, a bolo to niekedy testované. Toto je oblasť, kde organizácie často spoliehajú bez toho, aby ju testovali, a práve táto skúška je to, čo chce vidieť dozorovateľ alebo objednávateľ.
Riadiť dodávateľský reťazec
Smernica venuje samostatné opatrenie bezpečnosti v dodávateľskom reťazci, vrátane vzťahu s jednotlivými dodávateľmi. Toto je dôvod, prečo dostávajú aj nepodliehajúce malé a stredné podniky zoznamy otázok od svojich objednávateľov: objednávateľ musí vyhodnotiť svoj vlastný reťazec, aby splnil toto opatrenie. Súvisiace opatrenie sa zaoberá bezpečnosťou pri nadobúdaní, vývoji a údržbe sieťových a informačných systémov, vrátane zaobchádzania so zraniteľnosťami — teda aj otázkou, ako sa softvér nakupuje a udržiava.
Ľudia a technika v poriadku
Posledná skupina je najviac technická, ale nie menej konkrétna. Bezpečnosť personálu, kontrola prístupu a správa firemného majetku sa zaoberajú tým, kto má prístup ku ktorým systémom a čo sa stane, keď osoba odíde zo služby. Použitie viacfaktorovej autentifikácie alebo podobných riešení a zabezpečená hlasová, video a textová komunikácia a zabezpečené naliehavé komunikačné systémy je opatrenie, ktoré je najbližšie k dennému životu: je stále možné prihlásenie do e-mailu a firemných systémov iba s heslom, alebo existuje druhý krok. A kde je to vhodné, ide o politiku a postupy pre používanie kryptografie a, kde je relevantné, šifrovania.
Čo spájajú tieto desať opatrení, je to, že všetky si vyžadujú tri veci: dôkazný materiál, zodpovednú osobu a moment na kontrolu. Presne takto je postavený živý spis, na rozdiel od snímky v čase, ktorá je o pol roku už zastaraná. Ako prísne sa musí opatrenie v tvojom prípade vypracovať, závisí od rozsahu vašej organizácie a rizík, ktoré patria do vašej sektora — o tom poskytuje bezplatná kontrola v niekoľkých otázkach prvú indikáciu.
Pre tých, ktorí chcú vedieť, ako sa tieto desať opatrení prekladajú do národného zákona a do konkrétnych krokov v jednotlivých témach, existuje prehľad podľa tém, vybraný podľa situácie. Je tu tiež vysvetlené, ktorý zdroj patrí k akému vysvetleniu a na aký dátum bol konzultovaný, ako je opísané na stránke o pôvode informácií. Na otázku, čo presne je bezplatné a čo patrí k predplatnému, je k dispozícii prehľad často kladených otázok.
Tieto desať opatrení sú rámec, nie cvičenie na vyplnenie s jednou správnou odpoveďou. Čo je pre vašu organizáciu vhodné, závisí od vašej sektora, rozsahu a systémov, na ktorých ste závislí — najsúvislejšiu odpoveď poskytuje samotný zákonný text a vysvetlenie regulačného orgánu. Ak chcete najskôr vedieť, či a ako sa táto povinnosť starostlivosti vzťahuje na vašu organizáciu, začnite s bezplatnou kontrolou NIS2 alebo si prelistujte knižnicu vedomostí na secria.eu.