Deset ukrepov iz obveznosti skrbnosti v preprostih besedah
Če vaša organizacija spada pod Direktivo NIS2 kot bistvena ali pomembna entiteta, velja obveznost skrbnosti: sprejeti morate ustrezne ukrepe za obvladovanje tveganj za vaše omrežne in informacijske sisteme. Direktiva to razdelí v vrsto desetih vrst ukrepov, navedenih v členu 21. Namen je bil, da so oblikovani široko, da ustrezajo tako majhnem podjetju za namestitev z dvajsetimi zaposlenci kot tudi energetskemu podjetju s tisoč zaposlenci. Kako vidite, da je ukrep urejen? Ne z obkljukanjem, temveč s tremi stvarmi, ki so povezane: konkretnim dokumentom ali tehnično nastavitvijo, ki izpolnjuje ukrep, imenom osebe, ki je zanjo odgovorna, in časom, ko je bil ta nazadnje preverjen.
Deset ukrepov se nekoliko deli v štiri skupine: poznavanje in beleženje tveganj, obvladovanje incidentov, obvladovanje verige dobaviteljev ter urejenost ljudi in tehnike. Spodaj jih pregleda, ne kot kontrolni seznam za obkljukovanje, temveč kot razlago, kaj vsak ukrep v praksi pomeni.
Poznavanje in beleženje tveganj
Prvi ukrep je politika za analizo tveganja in varnost informacij: dokument, ki opisuje, kateri sistemi so pomembni, kaj se lahko zgodi narobe in kako to ocenjujete. To ne mora biti obsežno poročilo, temveč nekaj, kar lahko prebere in razume zunanji človek — torej nadzornik, naročnik ali nova kolegica. Poleg tega direktiva navaja politiko in postopke za oceno učinkovitosti ukrepov: ne zapišete samo, kaj počnete, temveč tudi kako preverite, ali deluje. In obstaja ločen ukrep za cyber varnost in usposabljanja: praktična osnovna pravila in sposobnost zaposlenih, da prepoznajo sumljiv e-poštni naslov.
Obvladovanje incidentov
Druga skupina obravnava, kaj se zgodi, če pride do napake. Obravnava incidentov pomeni, da obstaja postopek za to, kdo kaj počne takoj ko je incident odkrit in kako se prijavi. Poslovna kontinuiteta — vključno z upravljanjem varnostnih kopij, okrevanjem po nujni situaciji in kriznim upravljanjem — obravnava vprašanje, kako naprej delate po motnji ali napadu: imate redno posodobljeno varnostno kopijo, veste, kdo koordinira krizo, in je bila kdaj že preizkušena. To je del, kjer organizacije pogosto zaupajo, ne da bi ga preverile, in prav ta preverka je tisto, kar želi videti nadzornik ali naročnik.
Obvladovanje verige dobaviteljev
Direktiva namenja ločen ukrep za varnost verige dobaviteljev, vključno z razmerjem do posameznih dobaviteljev. To je razlog, da tudi neprisiljena MKB podjetja prejemajo vprašalnike od svojih naročnikov: njihov naročnik mora oceniti svojo verigo dobaviteljev, da bi izpolnil ta ukrep. Povezan ukrep obravnava varnost pri pridobivanju, razvoju in vzdrževanju omrežnih in informacijskih sistemov, vključno z obravnavanjem ranljivosti — torej tudi vprašanje, kako se programska oprema nabavlja in vzdržuje.
Ljudje in tehnikalec na mestu
Zadnja skupina je najbolj tehnična, vendar nič manj konkretna. Varnost osebja, politika dostopa in upravljanje premoženja podjetja obravnava, kdo dostopa do katerih sistemov in kaj se zgodi, ko nekdo zapusti delovno mesto. Uporaba večfaktorske avtentikacije ali podobnih rešitev, ter varna govornost, video in tekstovne komunikacije in varni sistemi nujne komunikacije je ukrep, ki je najbližje vsakodnevni praksi: je prijava v e-pošto in poslovne sisteme z le geslom še vedno mogoča, ali je treba drugi korak. In kadar je primerno, gre za politiko in postopke za uporabo kriptografije in, kadar je relevantno, šifriranje.
Kaj imajo te deset ukrepov skupnega, je, da vsi zahtevajo tri stvari: dokazilo, odgovornega in trenutek preverjanja. Ravno tako je zgrajen tudi živi dosjej, namesto posnetka, ki je čez pol leta že zastarel. Kako strogo je treba ukrep v vašem primeru izpolniti, je odvisno od velikosti vaše organizacije in tveganj, ki jih ima vaš sektor — o tem daje brezplačna preverka v nekaj vprašanjih prvo nakazilo.
Za tiste, ki želijo vedeti, kako se ti deset ukrepov nanašajo na nacionalni zakon in na konkretne korake po posamezni temi, je na voljo pregled po temi, izbran glede na situacijo. Tu je tudi pojasnjeno, kateri vir sodi k kateri razlagi in na kateri datum je bil preverjen, kot je opisano na strani o tem, od kod prihajajo podatki. Za vprašanje, kaj je natanko brezplačno in kaj sodi v naročnino, je na voljo pregled pogosto zastavljenih vprašanj.
Ti deset ukrepov so okvir, ne vaja s samo enim pravilnim odgovorom. Kaj je ustrezno za vašo organizacijo, je odvisno od vašega sektorja, velikosti in sistemov, od katerih ste odvisni — o tem dajo najprepričljivejši odgovor samokrat besedilo zakona in razlaga nadzornega organa. Če želite najprej vedeti, ali in kako se ta dolžnost skrbnosti nanašana vašo organizacijo, začnite s prosto NIS2-preverjavo ali prepustite branje baze znanja na secria.eu.