NIS2 και ISO 27001: επαναχρησιμοποιήστε δικλίδες, εξετάστε τα κενά

Ένα πρόγραμμα ISO 27001 μπορεί να παρέχει μια ισχυρή λειτουργική δομή για την Οδηγία NIS2: αξιολόγηση κινδύνων, υπόλογους υπευθύνους, δικλίδες, τεκμήρια και βελτίωση. Το επόμενο βήμα είναι μια αξιολόγηση, απαίτηση προς απαίτηση, του τι καλύπτει πράγματι αυτή η δομή.

Για έναν CTO, το χρήσιμο ερώτημα δεν είναι αν τα πλαίσια επικαλύπτονται. Είναι αν μια υλοποιημένη δικλίδα προστατεύει τη σχετική υπηρεσία, ικανοποιεί την εφαρμοστέα υποχρέωση και παράγει τεκμήρια που στηρίζουν αυτό το συμπέρασμα. Επαναχρησιμοποιήστε την υλοποίηση όπου ισχύουν αυτές οι προϋποθέσεις· διατηρήστε τις νομικές και λειτουργικές διαφορές όπου δεν ισχύουν.

Κατανοήστε τι θεμελιώνει κάθε πλαίσιο

Το ISO/IEC 27001 καθορίζει απαιτήσεις για ένα σύστημα διαχείρισης ασφάλειας πληροφοριών (ΣΔΑΠ) με καθορισμένο πεδίο. Οι ρήτρες 4 έως 10 αφορούν τη δομή διαχείρισής του, συμπεριλαμβανομένης της αντιμετώπισης κινδύνων, της αξιολόγησης επιδόσεων και της βελτίωσης. Το Παράρτημα Α περιέχει 93 δικλίδες αναφοράς σε οργανωτικές, ανθρώπινες, φυσικές και τεχνολογικές κατηγορίες. Η εφαρμοσιμότητα των δικλίδων βασίζεται στον κίνδυνο· δεν είναι απαίτηση να υλοποιηθεί κάθε δικλίδα με τον ίδιο τρόπο. Το ISO 27002 παρέχει καθοδήγηση υλοποίησης.

Η Οδηγία NIS2 είναι οδηγία της ΕΕ που ενσωματώνεται μέσω εθνικής νομοθεσίας. Η εφαρμοσιμότητα εξαρτάται από τον τομέα, το μέγεθος, την υπηρεσία και ειδικούς κανόνες συμπερίληψης. Τα παραρτήματα I και II προσδιορίζουν τους σχετικούς τομείς, αλλά ο τομέας από μόνος του δεν καθορίζει αν ένας οργανισμός είναι βασική ή σημαντική οντότητα. Ορισμένες οντότητες καλύπτονται ανεξαρτήτως μεγέθους.

Οι πρακτικές διαφορές είναι:

Η πιστοποίηση διενεργείται από ανεξάρτητους φορείς πιστοποίησης, όχι από τον ISO. Δεν αποδεικνύει συμμόρφωση με την Οδηγία NIS2, και η Οδηγία NIS2 κατά κανόνα δεν απαιτεί πιστοποίηση ISO 27001. Η επιβολή μπορεί να περιλαμβάνει εποπτικά μέτρα και κυρώσεις· η πιστοποίηση ISO έχει διαφορετικό σκοπό διασφάλισης.

Ξεκινήστε από την αντιστοίχιση των ορίων

Συγκρίνετε το πιστοποιημένο πεδίο του ΣΔΑΠ με τις νομικές οντότητες και τις υπηρεσίες που υπάγονται στην Οδηγία NIS2. Ένα πιστοποιητικό που καλύπτει μια ομάδα ανάπτυξης μπορεί να αφήνει εκτός των ορίων του τις λειτουργίες παραγωγής, μια άλλη θυγατρική ή πρόσθετες τοποθεσίες.

Δημιουργήστε μια σύγκριση πεδίου που καταγράφει:

• Τις καλυπτόμενες νομικές οντότητες, χώρες, υπηρεσίες και τη βάση συμπερίληψης.
• Τα σχετικά συστήματα, δίκτυα, τοποθεσίες και τους υποστηρικτικούς προμηθευτές.
• Το πεδίο του ΣΔΑΠ, το πεδίο του πιστοποιητικού και τις εξαιρέσεις.
• Τις εφαρμοστέες εθνικές απαιτήσεις, τους τομεακούς κανόνες και τις αρμόδιες αρχές, συμπεριλαμβανομένων των εφαρμοστέων υποχρεώσεων καταχώρισης, των απαιτούμενων πληροφοριών για την οντότητα, των καναλιών υποβολής και των υποχρεώσεων επικαιροποίησης.
• Ποιος ενέκρινε την αξιολόγηση εφαρμοσιμότητας και πότε πρέπει να επανεξεταστεί.

Διακρίνετε ένα κενό πεδίου από ένα κενό δικλίδων. Ένα παραγωγικό περιβάλλον εκτός του ΣΔΑΠ μπορεί να έχει ήδη καλές δικλίδες πρόσβασης, αλλά οι δικλίδες αυτές χρειάζονται ακόμη υπεύθυνο, αξιολόγηση και τεκμήρια στο πλαίσιο της εργασίας για την Οδηγία NIS2.

Ελέγξτε την τομεακή νομοθεσία πριν διπλασιάσετε υποχρεώσεις. Το άρθρο 4 αφορά τη σχέση με τομεακές νομικές πράξεις της Ένωσης. Για τις χρηματοοικονομικές οντότητες, η σχέση με τον Κανονισμό DORA απαιτεί ανάλυση ανά ρόλο. Για δραστηριότητες στη Γερμανία, συμβουλευτείτε τις πληροφορίες του BSI για την NIS2 αντί να υποθέτετε ότι οι υφιστάμενες υποχρεώσεις KRITIS και οι υποχρεώσεις της Οδηγίας NIS2 είναι πανομοιότυπες.

Αντιστοιχίστε υλοποιημένες δικλίδες, όχι ετικέτες που ταιριάζουν

Το άρθρο 21 απαιτεί κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα. Οι δέκα ελάχιστοι τομείς μέτρων του αποτελούν σημείο εκκίνησης για την αντιστοίχιση, αλλά η παρόμοια διατύπωση είναι χρήσιμη ένδειξη, όχι απόδειξη ισοδυναμίας.

Χρησιμοποιήστε τα παρακάτω ως ερεθίσματα επισκόπησης, όχι ως αυτόματες δηλώσεις κάλυψης:

Η Δήλωση Εφαρμοσιμότητας καταγράφει τις αναγκαίες δικλίδες και το σκεπτικό συμπερίληψης ή εξαίρεσης. Δεν είναι εναλλάξιμη με το σχέδιο αντιμετώπισης κινδύνων, τα ευρήματα του εσωτερικού ελέγχου ή τα αρχεία ανασκόπησης από τη διοίκηση. Χρησιμοποιήστε αυτά τα στοιχεία μαζί για να εξηγήσετε τόσο τον σχεδιασμό όσο και τη λειτουργία.

Μια πολιτική θέτει προσδοκίες. Μια εξαγωγή διαμόρφωσης μπορεί να δείξει την υλοποίηση. Τα αποτελέσματα επισκοπήσεων πρόσβασης, τα αιτήματα αποκατάστασης και τα αρχεία δοκιμών μπορούν να δείξουν τη λειτουργία. Επαναχρησιμοποιήστε τεκμήρια μόνο όπου το σύστημα, η περίοδος και ο στόχος της αξιολόγησης ταιριάζουν.

Αποφύγετε τα σταθερά ποσοστά επικάλυψης. Η κάλυψη εξαρτάται από την υλοποίηση και το νομικό πεδίο· ένας καθολικός αριθμός δεν μπορεί να αποδείξει ετοιμότητα.

Δημιουργήστε μια διαδρομή αναφοράς περιστατικών που λειτουργεί υπό πίεση

Ένα σχέδιο απόκρισης ευθυγραμμισμένο με το ISO μπορεί να υποστηρίζει την ανίχνευση, τον περιορισμό, τη διερεύνηση και την ανάκαμψη χωρίς να ορίζει την κανονιστική κοινοποίηση. Το άρθρο 23 της Οδηγίας NIS2 προσθέτει υποχρεώσεις αναφοράς για σημαντικά περιστατικά.

Τα στάδια αναφοράς της οδηγίας περιλαμβάνουν κατά κανόνα:

• Έγκαιρη προειδοποίηση χωρίς αδικαιολόγητη καθυστέρηση και εντός 24 ωρών από τη στιγμή που η οντότητα αποκτά γνώση ενός σημαντικού περιστατικού.
• Κοινοποίηση περιστατικού χωρίς αδικαιολόγητη καθυστέρηση και εντός 72 ωρών, η οποία επικαιροποιεί την έγκαιρη προειδοποίηση και παρέχει αρχική αξιολόγηση.
• Τελική έκθεση κατά κανόνα εντός ενός μήνα από την υποβολή της κοινοποίησης του περιστατικού. Για ένα περιστατικό σε εξέλιξη, απαιτείται εκείνη τη στιγμή έκθεση προόδου, με την τελική έκθεση να υποβάλλεται εντός ενός μήνα από τον χειρισμό του περιστατικού.

Πρέπει επίσης να υποβάλλεται ενδιάμεση έκθεση εφόσον τη ζητήσει η CSIRT ή η αρμόδια αρχή.

Ελέγξτε τους εφαρμοστέους εθνικούς και τομεακούς κανόνες: η οδηγία προβλέπει διαφορετικό χρονισμό κοινοποίησης για τους παρόχους υπηρεσιών εμπιστοσύνης. Μη χρησιμοποιείτε ένα γενικό κατώφλι διακοπής λειτουργίας ως υποκατάστατο των εφαρμοστέων κριτηρίων σημαντικότητας.

Ως πρακτική σύσταση υλοποίησης, δημιουργήστε ένα εγχειρίδιο αναφοράς που ορίζει τον υπεύθυνο της αξιολόγησης, τη διαδρομή κλιμάκωσης, τον εξουσιοδοτημένο υποβάλλοντα, το εφεδρικό προσωπικό, το κανάλι της αρχής και τις πληροφορίες που χρειάζονται σε κάθε στάδιο. Καταγράψτε διακριτά τις χρονοσημάνσεις ανίχνευσης, απόκτησης γνώσης, αξιολόγησης σημαντικότητας και υποβολής.

Ασκηθείτε στη διαδικασία με ελλιπείς πληροφορίες. Η ομάδα πρέπει να μπορεί να υποβάλει την απαιτούμενη αρχική αναφορά χωρίς να περιμένει μια ολοκληρωμένη ψηφιακή εγκληματολογική διερεύνηση. Διατηρήστε τις υποβληθείσες εκδόσεις, τις αποδείξεις παραλαβής, τα υποστηρικτικά γεγονότα και τις αποφάσεις για το αν ένα περιστατικό υπερβαίνει το κατώφλι.

Όπου εφαρμόζεται και άλλο καθεστώς αναφοράς, συντονίστε τη διερεύνηση αλλά αξιολογήστε χωριστά κάθε υποχρέωση κοινοποίησης. Μια κοινή εγγραφή περιστατικού δεν καθιστά πανομοιότυπους τους παραλήπτες, τα ενεργοποιητικά γεγονότα ή τις προθεσμίες.

Κάντε τη διακυβέρνηση και την ανθεκτικότητα αποδείξιμες

Το άρθρο 20 απαιτεί από τα όργανα διοίκησης να εγκρίνουν τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας και να εποπτεύουν την εφαρμογή τους. Αφορά επίσης την εκπαίδευση των μελών των οργάνων διοίκησης. Μια υφιστάμενη ανασκόπηση από τη διοίκηση είναι χρήσιμο τεκμήριο, αλλά ελέγξτε αν καταγράφει ρητά τις σχετικές εγκρίσεις, την εποπτεία, τις αποφάσεις και τις ενέργειες παρακολούθησης.

Δώστε στη διοίκηση μια εικόνα έτοιμη για αποφάσεις: επηρεαζόμενες υπηρεσίες, ουσιώδεις κίνδυνοι, επιλογές αντιμετώπισης, ανεπίλυτες εξαιρέσεις και αποτελέσματα αποτελεσματικότητας. Πρακτικά συνεδριάσεων που αναφέρουν απλώς «συζητήθηκε η ασφάλεια» παρέχουν ελάχιστα τεκμήρια ουσιαστικής εποπτείας. Ορίστε για κάθε εγκεκριμένη ενέργεια υπεύθυνο και ημερομηνία επισκόπησης.

Η συνέχεια χρειάζεται εξίσου συγκεκριμένη αντιμετώπιση. Το άρθρο 21 περιλαμβάνει αντίγραφα ασφαλείας, αποκατάσταση έπειτα από καταστροφή και διαχείριση κρίσεων· δεν επιβάλλει καθολική απαίτηση για πιστοποίηση ISO 22301. Προσδιορίστε το αναγκαίο βάθος με βάση την υπηρεσία, τους κινδύνους και τους εφαρμοστέους κανόνες.

Δοκιμάστε την επαναφορά και την ανάκαμψη της υπηρεσίας, όχι μόνο την ολοκλήρωση των εργασιών δημιουργίας αντιγράφων. Συμπεριλάβετε εξαρτήσεις όπως υπηρεσίες ταυτοτήτων, DNS, υποστήριξη από προμηθευτές, προνομιακά διαπιστευτήρια και επικοινωνίες όταν το κανονικό περιβάλλον δεν είναι διαθέσιμο. Καταγράψτε τα επιτευχθέντα αποτελέσματα ανάκαμψης και τα ανεπίλυτα εμπόδια σε σχέση με τους συμφωνημένους στόχους.

Τηρήστε ένα ορατό μητρώο διαφορών

Για κάθε απαίτηση, καταγράψτε την πηγή και την έκδοσή της, τις αντιστοιχισμένες δικλίδες, το πεδίο, τις αναφορές σε τεκμήρια, τον ελεγκτή και την αιτιολόγηση επαναχρησιμοποίησης. Διακρίνετε την τεκμηριωμένη κάλυψη, τη μερική κάλυψη, την υλοποίηση που λείπει, τα τεκμήρια που λείπουν και μια αιτιολογημένη απόφαση μη εφαρμοσιμότητας. Η απουσία ενός εγγράφου δεν σημαίνει πάντα απουσία δικλίδας, αλλά απαιτεί διερεύνηση.

Κάθε κενό χρειάζεται υπεύθυνο, απαιτούμενη αλλαγή, προσδοκία τεκμηρίων, προθεσμία και ελεγκτή κλεισίματος. Δώστε προτεραιότητα στις αστοχίες που απειλούν υπηρεσίες ή εμποδίζουν αναφορές με αυστηρές προθεσμίες, αντί να αντιμετωπίζετε κάθε εργασία τεκμηρίωσης ως εξίσου επείγουσα.

Συνήθη λάθη είναι η αντιστοίχιση μόνο του Παραρτήματος Α με παράβλεψη των απαιτήσεων διακυβέρνησης, η αποδοχή ενός πιστοποιητικού προμηθευτή χωρίς έλεγχο του πεδίου του, η αντιμετώπιση των τεκμηρίων του προηγούμενου έτους ως επίκαιρων και το κλείσιμο μιας εργασίας όταν δημοσιεύεται μια πολιτική ενώ η διαδικασία παραμένει αδοκίμαστη. Η καταχώριση ή η πιστοποίηση δεν πρέπει ποτέ να αντιμετωπίζονται ως απόδειξη λειτουργικής υλοποίησης.

Παράδειγμα: επέκταση ενός υφιστάμενου ΣΔΑΠ

Ενδεικτικές παραδοχές: ένας πάροχος διαχειριζόμενων υπηρεσιών διαθέτει ΣΔΑΠ πιστοποιημένο κατά ISO 27001 που καλύπτει την κύρια λειτουργική του ομάδα. Η αξιολόγηση εφαρμοσιμότητας καταλήγει ότι μια υπηρεσία που λειτουργεί μέσω μιας πρόσθετης νομικής οντότητας υπάγεται στην Οδηγία NIS2. Η οντότητα αυτή χρησιμοποιεί την ίδια πλατφόρμα ταυτοτήτων και την ίδια ομάδα περιστατικών, αλλά χωριστές ρυθμίσεις ανάκαμψης.

Η ομάδα συγκρίνει πρώτα τα όρια των υπηρεσιών. Οι υφιστάμενες διαμορφώσεις αυθεντικοποίησης μπορεί να υποστηρίζουν και τα δύο πεδία, αλλά ο ελεγκτής ελέγχει αν περιλαμβάνονται οι διαχειριστές, οι λογαριασμοί έκτακτης ανάγκης και οι λογαριασμοί υπηρεσιών της πρόσθετης οντότητας. Μια εξαγωγή επισκόπησης πρόσβασης που καλύπτει μόνο την αρχική ομάδα δεν μπορεί να αποδείξει πλήρη κάλυψη.

Στη συνέχεια, ο υπεύθυνος περιστατικών διατηρεί την καθιερωμένη διαδικασία απόκρισης και προσθέτει μια αξιολόγηση σημαντικών περιστατικών και μια διαδρομή κοινοποίησης στις αρχές. Μια άσκηση επί χάρτου προσομοιώνει μια διακοπή προμηθευτή με αβέβαιες επιπτώσεις στους πελάτες. Οι συμμετέχοντες καταγράφουν πότε απέκτησαν γνώση των σχετικών γεγονότων, ποιος αποφάσισε για τη σημαντικότητα και πώς θα υποβαλλόταν μια έγκαιρη προειδοποίηση.

Τέλος, ο υπεύθυνος υποδομών εκτελεί μια άσκηση ανάκαμψης για την υπηρεσία της πρόσθετης οντότητας. Η δοκιμή αποκαλύπτει ότι τα διαπιστευτήρια ανάκαμψης εξαρτώνται από τη μη διαθέσιμη πλατφόρμα ταυτοτήτων. Το μητρώο κενών αναθέτει μια διορθωτική ενέργεια και απαιτεί επιτυχή επανάληψη της δοκιμής πριν από το κλείσιμο.

Τα παραδοτέα που προκύπτουν είναι μια σύγκριση πεδίου, επισκοπημένες αντιστοιχίσεις, διευρυμένα τεκμήρια επισκόπησης πρόσβασης, αρχεία ασκήσεων αναφοράς, αποτελέσματα ανάκαμψης και έγκριση από τη διοίκηση των εκκρεμών ενεργειών αντιμετώπισης. Οι κοινές δικλίδες παραμένουν κοινές· τα τεκμήρια και οι αποφάσεις ανά οντότητα παραμένουν ορατά.

Μετατρέψτε την αξιολόγηση σε συντηρούμενη εργασία

Το μοντέλο διασυνδεδεμένων απαιτήσεων και τεκμηρίων της Secani δίνει στις ομάδες μια δομή για τη διατήρηση της κοινής εργασίας και των αποφάσεων ανά πλαίσιο. Μοντελοποιήστε τις υπηρεσίες και τις εξαρτήσεις, συνδέστε τα υπάρχοντα τεκμήρια με τις σχετικές δικλίδες και μετατρέψτε την κάλυψη που λείπει σε εργασίες με υπευθύνους. Κρατήστε την ανθρώπινη έγκριση ρητή για αντιστοιχίσεις και συμπεράσματα τεκμηρίων, συμπεριλαμβανομένων των προτάσεων με υποβοήθηση από ΤΝ. Ο οδηγός μας για την ιχνηλάσιμη αντιστοίχιση μεταξύ πλαισίων εξηγεί πώς να διατηρείτε το σκεπτικό πίσω από την επαναχρησιμοποίηση.

Ξεκινήστε με μία ρυθμιζόμενη υπηρεσία. Φέρτε το πεδίο της, την αντιμετώπιση κινδύνων, τη Δήλωση Εφαρμοσιμότητας, το εγχειρίδιο περιστατικών και τα πρόσφατα τεκμήρια δοκιμών σε μια κοινή τεχνική επισκόπηση και επισκόπηση συμμόρφωσης. Παραγάγετε ένα επισκοπημένο μητρώο διαφορών και, στη συνέχεια, χρησιμοποιήστε τους κανονικούς κύκλους επισκόπησης του ΣΔΑΠ για να το συντηρείτε καθώς αλλάζουν οι υπηρεσίες, οι προμηθευτές και οι απαιτήσεις.