Kako se lotite NIS2 kot MKB, brez da naredite letni projekt?
Najkrajša pot ni pisanje velikega načrta, temveč začetek s tem, kar že imate. Večina MKB-podjetij ima že politiko gesel, urnik varnostnih kopij, seznam oseb z dostopom do posameznih sistemov in osebo za stike na področju IT. To ni popolna politika varnosti podatkov, ampak je izhodišče dosja: za vsak ukrep dokumentirajte stanje, osebo, ki je zanjo odgovorna, in dokazilo, da se izvaja.
Dosje, zgrajeno na tak način, ni projekt, ki traja mesece. Je seznam, ki ga odprete danes in raste med delom: en ukrep je že tam, drugi se doda ta mesec. Ni trenutka, ko je "končano", in to tudi ni namen. Obveza za varnost podatkov, ki izhaja iz Direktive NIS2 in nacionalnih zakonov, ni enkratna vaja, temveč stalna praksa. Delujoči register se bolje ujema s tem kot debel dokument, ki po predaji izgineta v mapi.
Začnite s tistim, kar že imate, ne s prazno stranjo
Številna podjetja mislijo, da začnejo pri nič, ko prvič slišijo NIS2. To je redko res. Inštalacijsko podjetje ima ponavadi že dogovore o tem, kdo ima dostop do sistemov strank, oddelek za človeške vire ima postopek za odvzem dostopa ob prekinitvi zaposlitve, skoraj vsako podjetje ima neko obliko varnostne kopije, tudi če ni dokumentirana kot "politika varnostnih kopij". Prvi korak je torej ne pisanje, temveč popis: kaj že počnemo, kje je to dokumentirano in kdo to lahko dokaže.
Nato se postavlja vprašanje, katere dele še manjka. To ne prihrani le časa, ampak preprečuje tudi dvojno delo ali nastavljanje politik za nečesa, kar je v praksi že dobro urejeno, le še ni vidno. Če želite najprej vedeti, ali vaša organizacija sploh spada pod to, ali je prizadeta prek stranke, lahko to vidite s nekaj vprašanji, kje bolj ali manj stojite, ne da bi morali kaj kupiti.
En ukrep, eno stanje, en odgovoren, en dokaz
Srž delujoče evidence je preprosta: za vsak ukrep štiri fiksna polja. Stanje kaže, ali je nešto urejeno, delno urejeno ali je še treba narediti. Odgovorna oseba je tista, ki je zanjo odgovorna, ne nujno sam direktor. Dokazilo je tisto, kar dokazuje obstoj ukrepa: urnik, izvoz iz sistema, podpisan dokument. Brez teh štirih polj ostane dossier zbirka dobrih namer; s temi polji postane nekaj, s čimer lahko odgovorite tudi na varnostno vprašalnik stranke, ker ni treba improvizirati, temveč se nasloniti na tisto, kar je že dokumentirano.
Ta struktura dobro deluje tudi zato, ker ne morate vsega naenkrat napadati. Lahko začnete z ukrepi, za katere že imate največ, ki jih hitro uredite, in ostalo postopoma. Pregled, katere ukrepne zaveza za varnost podatkov natančno pričakuje in kaj spada pod to, najdete v podrobno obdelanih temah po situaciji.
Zakaj je to hitrejše, kot se sliši
Vtis, da je NIS2 letni projekt, pogosto nastane zato, ker ljudje razmišljajo o popolnem dokumentu politike, ki mora biti naenkrat gotov. Delujoči register deluje obratno: začne se majhno in nepopolno ter se samodejno posodablja pri vsaki spremembi v vaši organizaciji, ker ste tako ali tako že v toku te spremembe. Nov dobavitelj, drug sistem dostopa, nova zaposlena oseba z upravičenji — vsak trenutek je naraven priložnost za posodobitev dosja namesto da vse enkrat letno ponavljate.
Kaj dosje prinese in kaj ne
Iz vzdrževanega registra sledijo dokumenti, ki jih potrebujete: sama politika, odgovori na vprašalnike kupcev in pripravljeni besedili za registracijo ali prijavo pri nadzornem organu. To prijavo ali registracijo morate sami vložiti na portalu vašega nadzornega organa; register to pripravi, vendar ne prevzame vložitve. Register tudi ni nadomestek za revizijo, test penetracije ali certifikacijo — to ostane delo specialistov, prav tako kot odzivanje na incidente, če se kaj resnično zgodi narobe.
Kdor natančno želi vedeti, kako tak register nastane in kateri viri se pri tem uporabljajo, to prebere na strani o od koder prihajajo podatki na platformi. Glede situacije v vaši organizaciji in posledičnih pravnih posledic ostaneta pravnik ali pristojni nadzorni organ pravi naslov za stik.
Želite videti, kje se vaša organizacija trenutno nahaja, potem naredite brezplačno NIS2-preverjanje ali prelistajte teme, ki se najbolj ujemajo z vašo situacijo.