NIS2 ja ISO 27001: taaskasutage kontrollimeetmeid, uurige lünki

ISO 27001 programm võib pakkuda NIS2 jaoks tugevat tegevusstruktuuri: riskihindamine, vastutavad omanikud, kontrollimeetmed, tõendid ja täiustamine. Järgmine samm on nõudepõhine hindamine selle kohta, mida see struktuur tegelikult katab.

CTO jaoks ei ole kasulik küsimus see, kas raamistikud kattuvad. Küsimus on selles, kas rakendatud kontrollimeede kaitseb asjakohast teenust, täidab kohaldatavat kohustust ja loob tõendeid, mis seda järeldust toetavad. Taaskasutage rakendust seal, kus need tingimused on täidetud; säilitage õiguslikud ja tegevuslikud erinevused seal, kus need ei ole.

Mõistke, mida kumbki raamistik kehtestab

ISO/IEC 27001 sätestab nõuded kindla ulatusega infoturbe juhtimissüsteemile ehk ISMS-ile. Punktid 4–10 käsitlevad selle juhtimisstruktuuri, sealhulgas riskikäsitlust, toimivuse hindamist ja täiustamist. A-lisa sisaldab 93 viitekontrollimeedet organisatsiooniliste, inimestega seotud, füüsiliste ja tehnoloogiliste kategooriate lõikes. Kontrollimeetmete kohaldatavus on riskipõhine, mitte nõue rakendada iga kontrollimeedet ühtemoodi. ISO 27002 annab rakendusjuhised.

NIS2 on ELi direktiiv, mida rakendatakse riigisisese õiguse kaudu. Kohaldatavus sõltub sektorist, suurusest, teenusest ja konkreetsetest hõlmamisreeglitest. I ja II lisa määravad asjakohased sektorid, kuid ainuüksi sektor ei määra, kas organisatsioon on oluline või elutähtis üksus. Mõned üksused on hõlmatud suurusest olenemata.

Praktilised erinevused on järgmised:

Sertifitseerimise viivad läbi sõltumatud sertifitseerimisasutused, mitte ISO. See ei tõenda NIS2-le vastavust ning NIS2 ei nõua üldjuhul ISO 27001 sertifikaati. Jõustamine võib hõlmata järelevalvemeetmeid ja karistusi; ISO sertifikaadil on teistsugune kindlustunde eesmärk.

Alustage kattuvatest piiridest

Võrrelge sertifitseeritud ISMS-i ulatust NIS2-ga hõlmatud juriidiliste isikute ja teenustega. Arendusmeeskonda hõlmav sertifikaat võib jätta tootmistegevuse, teise tütarettevõtte või täiendavad asukohad oma piiridest välja.

Koostage ulatuse võrdlus, mis salvestab:

• Hõlmatud juriidilised isikud, riigid, teenused ja hõlmamise aluse.
• Asjakohased süsteemid, võrgud, asukohad ja toetavad tarnijad.
• ISMS-i ulatuse, sertifikaadi ulatuse ja välistused.
• Kohaldatavad riigisisesed nõuded, sektorireeglid ja vastutavad asutused, sealhulgas kohaldatavad registreerimiskohustused, nõutav teave üksuse kohta, esitamiskanalid ja ajakohastamiskohustused.
• Kes kinnitas kohaldatavuse hinnangu ja millal tuleb see uuesti üle vaadata.

Eristage ulatuse lünka kontrollimeetme lüngast. Väljaspool ISMS-i olev tootmiskeskkond võib juba omada häid juurdepääsukontrolle, kuid need kontrollimeetmed vajavad siiski NIS2 tööprotsessi raames omanikku, hindamist ja tõendeid.

Kontrollige sektoripõhiseid õigusakte enne kohustuste dubleerimist. Artikkel 4 käsitleb seost sektoripõhiste ELi õigusaktidega. Finantsüksuste puhul nõuab seos DORA-ga rollipõhist analüüsi. Saksamaa tegevuste puhul tutvuge BSI NIS2 teabega, selle asemel et eeldada, et olemasolevad KRITIS-kohustused ja NIS2 kohustused on identsed.

Vastendage rakendatud kontrollimeetmeid, mitte sarnaseid silte

Artikkel 21 nõuab asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ja korralduslikke meetmeid. Selle kümme minimaalset meetmevaldkonda annavad vastendamiseks lähtepunkti, kuid sarnane sõnastus on kasulik vihje, mitte samaväärsuse tõend.

Kasutage järgmist ülevaatuse ajendina, mitte automaatse katvuse deklaratsioonina:

Kohaldatavuse avaldus salvestab vajalikud kontrollimeetmed ning nende hõlmamise või välistamise põhjenduse. See ei ole vahetatav riskikäsitluskava, siseauditi leidude ega juhtkonnapoolse ülevaatuse kirjetega. Kasutage neid artefakte koos, et selgitada nii ülesehitust kui ka toimimist.

Poliitika kehtestab ootused. Konfiguratsiooni eksport võib näidata rakendamist. Juurdepääsu ülevaatuste tulemused, parandustööde piletid ja testikirjed võivad näidata toimimist. Taaskasutage tõendeid ainult siis, kui süsteem, periood ja hindamise eesmärk ühtivad.

Vältige fikseeritud kattuvusprotsente. Katvus sõltub rakendamisest ja õiguslikust ulatusest; universaalne arv ei saa valmisolekut tõendada.

Looge intsidentidest teavitamise tee, mis toimib surve all

ISO-ga joondatud reageerimiskava võib toetada avastamist, ohjeldamist, uurimist ja taastamist, määratlemata regulatiivset teavitamist. NIS2 artikkel 23 lisab olulistest intsidentidest teavitamise kohustused.

Direktiivi teavitamisetapid hõlmavad üldjuhul järgmist:

• Varajane hoiatus põhjendamatu viivituseta ja 24 tunni jooksul pärast olulisest intsidendist teadasaamist.
• Intsidendi teade põhjendamatu viivituseta ja 72 tunni jooksul, mis ajakohastab varajast hoiatust ja annab esialgse hinnangu.
• Lõpparuanne üldjuhul ühe kuu jooksul pärast intsidendi teate esitamist. Jätkuva intsidendi korral tuleb sel hetkel esitada eduaruanne ja lõpparuanne ühe kuu jooksul pärast intsidendi käsitlemist.

CSIRT-i või pädeva asutuse taotlusel tuleb esitada ka vahearuanne.

Kontrollige kohaldatavaid riigisiseseid ja sektoripõhiseid reegleid: direktiiv sisaldab usaldusteenuse osutajate jaoks teistsugust teavitamise ajastust. Ärge kasutage üldist katkestuse lävendit kohaldatavate olulisuse kriteeriumide asendajana.

Praktilise rakendussoovitusena koostage teavitamise tegevusjuhend, mis määrab hindamise omaniku, eskaleerimistee, volitatud esitaja, asendajad, asutuse kanali ja igas etapis vajaliku teabe. Salvestage avastamise, teadasaamise, olulisuse hindamise ja esitamise ajatemplid eraldi.

Harjutage protsessi puuduliku teabega. Meeskond peaks suutma esitada nõutava esialgse teate, ootamata valmis kohtuekspertiisi uurimist. Säilitage esitatud versioonid, kättesaamiskinnitused, toetavad faktid ja otsused selle kohta, kas intsident ületab lävendi.

Kui kohaldub ka mõni muu teavitamiskord, koordineerige uurimist, kuid hinnake iga teavitamiskohustust eraldi. Ühine intsidendikirje ei muuda adressaate, käivitajaid ega tähtaegu identseks.

Muutke juhtimine ja talitluskindlus tõendatavaks

Artikkel 20 nõuab, et juhtorganid kinnitaksid küberturvalisuse riskijuhtimismeetmed ja teostaksid järelevalvet nende rakendamise üle. See käsitleb ka juhtorganite koolitust. Olemasolev juhtkonnapoolne ülevaatus on kasulik tõend, kuid kontrollige, kas see salvestab selgesõnaliselt asjakohased kinnitused, järelevalve, otsused ja järeltegevused.

Andke juhtkonnale otsustamiseks valmis vaade: mõjutatud teenused, olulised riskid, käsitlusvõimalused, lahendamata erandid ja tõhususe tulemused. Koosolekuprotokollid, mis märgivad üksnes „arutati turvalisust“, annavad sisulise järelevalve kohta vähe tõendeid. Määrake igale kinnitatud tegevusele omanik ja ülevaatuse kuupäev.

Talitluspidevus vajab samavõrra konkreetset käsitlust. Artikkel 21 hõlmab varundamist, avariitaastet ja kriisijuhtimist; see ei kehtesta universaalset nõuet ISO 22301 sertifikaadi kohta. Määrake vajalik sügavus teenuse, riskide ja kohaldatavate reeglite põhjal.

Testige taastamist ja teenuse taastumist, mitte ainult varundustööde lõpuleviimist. Kaasake sõltuvused, nagu identiteediteenused, DNS, tarnijate tugi, privilegeeritud mandaadid ja side olukorras, kus tavapärane keskkond ei ole saadaval. Salvestage saavutatud taastetulemused ja lahendamata takistused kokkulepitud eesmärkide suhtes.

Pidage nähtavat erinevuste registrit

Salvestage iga nõude kohta selle allikas ja versioon, vastendatud kontrollimeetmed, ulatus, tõendiviited, ülevaataja ja taaskasutuse põhjendus. Eristage toetatud katvust, osalist katvust, puuduvat rakendamist, puuduvaid tõendeid ja põhjendatud mittekohaldatavuse otsust. Dokumendi puudumine ei tähenda alati kontrollimeetme puudumist, kuid see nõuab alati uurimist.

Iga lünk vajab omanikku, nõutavat muudatust, tõendiootust, tähtaega ja sulgemise ülevaatajat. Seadke esikohale tõrked, mis ohustavad teenuseid või takistavad ajakriitilist teavitamist, selle asemel et käsitleda iga dokumenteerimisülesannet võrdselt kiireloomulisena.

Levinud vead on ainult A-lisa vastendamine ja juhtimisnõuete tähelepanuta jätmine, tarnija sertifikaadi aktsepteerimine selle ulatust kontrollimata, eelmise aasta tõendite käsitlemine ajakohastena ja ülesande sulgemine poliitika avaldamisel, kuigi protsess on jäänud testimata. Registreerimist ega sertifitseerimist ei tohiks kunagi käsitleda tegevusliku rakendamise tõendina.

Läbitöötatud näide: olemasoleva ISMS-i laiendamine

Illustratiivsed eeldused: hallatud teenuste pakkujal on ISO 27001 sertifikaadiga ISMS, mis hõlmab tema peamist tegevusmeeskonda. Tema kohaldatavuse hinnang järeldab, et täiendava juriidilise isiku kaudu osutatav teenus kuulub NIS2 kohaldamisalasse. See üksus kasutab sama identiteediplatvormi ja intsidendimeeskonda, kuid eraldi taastekorraldust.

Meeskond võrdleb kõigepealt teenuste piire. Olemasolevad autentimiskonfiguratsioonid võivad toetada mõlemat ulatust, kuid ülevaataja kontrollib, kas täiendava üksuse administraatorid, hädaolukorra kontod ja teenusekontod on hõlmatud. Ainult algset meeskonda hõlmav juurdepääsu ülevaatuse eksport ei saa tõendada täielikku katvust.

Seejärel säilitab intsidendi omanik väljakujunenud reageerimisprotseduuri ning lisab olulise intsidendi hindamise ja asutuse teavitamise tee. Lauaõppus simuleerib tarnija katkestust, mille mõju klientidele on ebaselge. Osalejad salvestavad, millal nad asjakohastest faktidest teada said, kes otsustas olulisuse üle ja kuidas varajane hoiatus esitataks.

Lõpuks viib taristu omanik täiendava üksuse teenuse jaoks läbi taasteõppuse. Test näitab, et taastamise mandaadid sõltuvad kättesaamatust identiteediplatvormist. Lünkade register määrab parandusmeetme ja nõuab enne sulgemist edukat kordustesti.

Tulemuseks on ulatuse võrdlus, ülevaadatud vastendused, laiendatud juurdepääsu ülevaatuse tõendid, teavitamisõppuse kirjed, taastamise tulemused ja juhtkonna kinnitus pooleliolevatele käsitlusmeetmetele. Ühised kontrollimeetmed jäävad ühiseks; üksusepõhised tõendid ja otsused jäävad nähtavaks.

Muutke hindamine hallatavaks tööks

Secani omavahel seotud nõuete ja tõendite mudel annab meeskondadele struktuuri ühise töö ja raamistikupõhiste otsuste säilitamiseks. Modelleerige teenused ja sõltuvused, siduge olemasolevad tõendid asjakohaste kontrollimeetmetega ja muutke puuduv katvus omanikuga ülesanneteks. Hoidke inimkinnitus vastenduste ja tõendijärelduste puhul selgesõnalisena, sealhulgas tehisintellekti abil tehtud ettepanekute puhul. Meie juhend jälgitava raamistikuülese vastendamise kohta selgitab, kuidas säilitada taaskasutuse põhjendust.

Alustage ühest reguleeritud teenusest. Tooge selle ulatus, riskikäsitlus, kohaldatavuse avaldus, intsidendi tegevusjuhend ja hiljutised testitõendid ühisele tehnilisele ja vastavusülevaatusele. Koostage ülevaadatud erinevuste register ja kasutage seejärel tavapäraseid ISMS-i ülevaatustsükleid selle hoidmiseks ajakohasena, kui teenused, tarnijad ja nõuded muutuvad.