NIS2 ja ISO 27001: käytä hallintakeinoja uudelleen, tarkastele puutteita

ISO 27001 -ohjelma voi tarjota NIS2:lle vahvan toimintarakenteen: riskiarvioinnin, vastuulliset omistajat, hallintakeinot, näytön ja parantamisen. Seuraava askel on vaatimus kerrallaan tehtävä arviointi siitä, mitä tämä rakenne todella kattaa.

Teknologiajohtajalle hyödyllinen kysymys ei ole se, menevätkö viitekehykset päällekkäin. Kysymys on siitä, suojaako toteutettu hallintakeino asianomaista palvelua, täyttääkö se sovellettavan velvoitteen ja tuottaako se näyttöä, joka tukee tätä johtopäätöstä. Käytä toteutusta uudelleen silloin, kun nämä ehdot täyttyvät; säilytä oikeudelliset ja operatiiviset erot silloin, kun ne eivät täyty.

Ymmärrä, mitä kukin viitekehys määrittää

ISO/IEC 27001 määrittää vaatimukset rajatulle tietoturvallisuuden hallintajärjestelmälle (ISMS). Luvut 4–10 käsittelevät sen johtamisrakennetta, mukaan lukien riskien käsittely, suorituskyvyn arviointi ja parantaminen. Liite A sisältää 93 viitehallintakeinoa organisatorisissa, henkilöstöön liittyvissä, fyysisissä ja teknologisissa luokissa. Hallintakeinojen sovellettavuus on riskiperusteista, eikä se edellytä jokaisen hallintakeinon toteuttamista samalla tavalla. ISO 27002 antaa toteutusohjeita.

NIS2 on EU-direktiivi, joka pannaan täytäntöön kansallisella lainsäädännöllä. Sovellettavuus riippuu toimialasta, koosta, palvelusta ja erityisistä soveltamisalaan sisällyttämistä koskevista säännöistä. Liitteet I ja II yksilöivät asiaankuuluvat toimialat, mutta toimiala ei yksinään ratkaise, onko organisaatio keskeinen vai tärkeä toimija. Osa toimijoista kuuluu soveltamisalaan koosta riippumatta.

Käytännön erot ovat:

Sertifioinnin suorittavat riippumattomat sertifiointielimet, eivät ISO. Se ei osoita NIS2:n noudattamista, eikä NIS2 yleensä edellytä ISO 27001 -sertifiointia. Täytäntöönpanoon voi kuulua valvontatoimenpiteitä ja seuraamuksia; ISO-sertifioinnilla on eri varmennustarkoitus.

Aloita rajojen yhteensovittamisesta

Vertaa sertifioidun ISMS:n soveltamisalaa niihin oikeushenkilöihin ja palveluihin, jotka ovat NIS2:n alaisia. Kehitystiimin kattava sertifikaatti voi jättää rajojensa ulkopuolelle tuotantotoiminnan, toisen tytäryhtiön tai muita toimipaikkoja.

Laadi soveltamisalavertailu, johon kirjataan:

• Katetut oikeushenkilöt, maat, palvelut ja sisällyttämisen peruste.
• Asiaankuuluvat järjestelmät, verkot, toimipaikat ja tukevat toimittajat.
• ISMS:n soveltamisala, sertifikaatin soveltamisala ja poissulkemiset.
• Sovellettavat kansalliset vaatimukset, toimialasäännöt ja vastuuviranomaiset, mukaan lukien sovellettavat rekisteröintivelvollisuudet, vaaditut toimijatiedot, toimituskanavat ja päivitysvelvoitteet.
• Kuka hyväksyi sovellettavuusarvioinnin ja milloin se on tarkasteltava uudelleen.

Erota soveltamisalan aukko hallintakeinon puutteesta. ISMS:n ulkopuolisessa tuotantoympäristössä voi jo olla hyvät käyttöoikeuksien hallintakeinot, mutta niille tarvitaan silti omistajuus, arviointi ja näyttö NIS2-työn puitteissa.

Tarkista toimialakohtainen lainsäädäntö ennen velvoitteiden päällekkäistämistä. 4 artikla käsittelee suhdetta alakohtaisiin unionin säädöksiin. Finanssialan yhteisöjen osalta suhde DORA-asetukseen edellyttää roolikohtaista analyysia. Saksan toimintojen osalta tutustu BSI:n NIS2-tietoihin sen sijaan, että olettaisit nykyisten KRITIS-velvollisuuksien ja NIS2-velvollisuuksien olevan identtiset.

Kartoita toteutetut hallintakeinot, älä samankaltaisia otsikoita

21 artikla edellyttää asianmukaisia ja oikeasuhteisia teknisiä, operatiivisia ja organisatorisia toimenpiteitä. Sen kymmenen vähimmäistoimenpidealuetta tarjoavat lähtökohdan vastaavuuksille, mutta samankaltainen sanamuoto on hyödyllinen vihje, ei todiste vastaavuudesta.

Käytä seuraavaa katselmoinnin apuna, ei automaattisina kattavuusilmoituksina:

Soveltamislausuma kirjaa tarvittavat hallintakeinot sekä perustelut niiden sisällyttämiselle tai poissulkemiselle. Se ei ole vaihdettavissa riskien käsittelysuunnitelmaan, sisäisen auditoinnin havaintoihin tai johdon katselmuksen kirjauksiin. Käytä näitä aineistoja yhdessä sekä suunnittelun että toiminnan selittämiseen.

Politiikka asettaa odotukset. Konfiguraatiovienti voi osoittaa toteutuksen. Käyttöoikeuskatselmointien tulokset, korjaustiketit ja testikirjaukset voivat osoittaa toiminnan. Käytä näyttöä uudelleen vain, kun järjestelmä, ajanjakso ja arvioinnin tavoite vastaavat toisiaan.

Vältä kiinteitä päällekkäisyysprosentteja. Kattavuus riippuu toteutuksesta ja oikeudellisesta soveltamisalasta; yleinen luku ei voi osoittaa valmiutta.

Rakenna poikkeamailmoitusten polku, joka toimii paineen alla

ISO-linjainen reagointisuunnitelma voi tukea havaitsemista, rajaamista, tutkintaa ja palautumista määrittelemättä viranomaisilmoituksia. NIS2:n 23 artikla lisää ilmoitusvelvollisuuksia merkittäville poikkeamille.

Direktiivin ilmoitusvaiheisiin kuuluvat yleensä:

• Varhaisvaroitus ilman aiheetonta viivytystä ja 24 tunnin kuluessa siitä, kun merkittävä poikkeama on tullut tietoon.
• Poikkeamailmoitus ilman aiheetonta viivytystä ja 72 tunnin kuluessa; se päivittää varhaisvaroitusta ja sisältää alustavan arvion.
• Loppuraportti yleensä kuukauden kuluessa poikkeamailmoituksen tekemisestä. Jos poikkeama on edelleen käynnissä, tuolloin vaaditaan edistymisraportti, ja loppuraportti on toimitettava kuukauden kuluessa poikkeaman käsittelyn päättymisestä.

Väliraportti on lisäksi toimitettava, jos CSIRT-yksikkö tai toimivaltainen viranomainen sitä pyytää.

Tarkista sovellettavat kansalliset ja toimialakohtaiset säännöt: direktiivissä on luottamuspalvelujen tarjoajille erilainen ilmoitusaikataulu. Älä käytä yleistä katkoskynnystä sovellettavien merkittävyyskriteerien korvikkeena.

Käytännöllisenä toteutussuosituksena laadi ilmoitusten ohjekirja, joka yksilöi arvioinnin omistajan, eskalointireitin, valtuutetun ilmoituksen tekijän, varahenkilöt, viranomaiskanavan ja kussakin vaiheessa tarvittavat tiedot. Kirjaa havaitsemisen, tietoon tulemisen, merkittävyysarvion ja ilmoituksen toimittamisen aikaleimat erikseen.

Harjoittele prosessia puutteellisilla tiedoilla. Tiimin tulee pystyä toimittamaan vaadittu alustava ilmoitus odottamatta valmista forensista tutkintaa. Säilytä toimitetut versiot, kuittaukset, tukevat tosiasiat ja päätökset siitä, ylittääkö poikkeama kynnyksen.

Jos myös jokin toinen ilmoitusjärjestelmä soveltuu, koordinoi tutkinta mutta arvioi kukin ilmoitusvelvollisuus erikseen. Yhteinen poikkeamakirjaus ei tee vastaanottajista, laukaisevista tekijöistä tai määräajoista identtisiä.

Tee hallinnosta ja häiriönsietokyvystä osoitettavaa

20 artikla edellyttää, että johtoelimet hyväksyvät kyberturvallisuusriskien hallintatoimenpiteet ja valvovat niiden täytäntöönpanoa. Se käsittelee myös johtoelinten koulutusta. Olemassa oleva johdon katselmus on hyödyllistä näyttöä, mutta tarkista, kirjataanko siinä nimenomaisesti asiaankuuluvat hyväksynnät, valvonta, päätökset ja jatkotoimet.

Anna johdolle päätöksentekoon soveltuva näkymä: asianomaiset palvelut, olennaiset riskit, käsittelyvaihtoehdot, ratkaisemattomat poikkeukset ja vaikuttavuustulokset. Kokouspöytäkirja, jossa todetaan pelkästään ”käsiteltiin tietoturvaa”, antaa vähän näyttöä merkityksellisestä valvonnasta. Nimeä jokaiselle hyväksytylle toimenpiteelle omistaja ja katselmointipäivä.

Jatkuvuus vaatii yhtä konkreettista käsittelyä. 21 artikla sisältää varmuuskopiot, palautumisen katastrofin jälkeen ja kriisinhallinnan; se ei aseta yleistä vaatimusta ISO 22301 -sertifioinnista. Määritä tarvittava syvyys palvelun, riskien ja sovellettavien sääntöjen perusteella.

Testaa palautus ja palvelun palautuminen, älä vain varmuuskopiointiajon valmistumista. Ota mukaan riippuvuudet, kuten identiteettipalvelut, DNS, toimittajan tuki, etuoikeutetut tunnukset ja viestintä silloin, kun tavanomainen ympäristö ei ole käytettävissä. Kirjaa saavutetut palautumistulokset ja ratkaisemattomat esteet sovittuja tavoitteita vasten.

Ylläpidä näkyvää erorekisteriä

Kirjaa jokaisesta vaatimuksesta sen lähde ja versio, vastaavat hallintakeinot, soveltamisala, näyttöviittaukset, katselmoija ja uudelleenkäytön perustelu. Erota tuettu kattavuus, osittainen kattavuus, puuttuva toteutus, puuttuva näyttö ja perusteltu soveltumattomuuspäätös. Asiakirjan puuttuminen ei aina tarkoita hallintakeinon puuttumista, mutta se edellyttää selvittämistä.

Jokainen puute tarvitsee omistajan, vaaditun muutoksen, näyttöä koskevan odotuksen, määräpäivän ja sulkemisen katselmoijan. Priorisoi puutteet, jotka uhkaavat palveluja tai estävät aikakriittisen ilmoittamisen, sen sijaan että käsittelisit jokaista dokumentointitehtävää yhtä kiireellisenä.

Yleisiä virheitä ovat pelkän liitteen A kartoittaminen hallintovaatimusten jäädessä huomiotta, toimittajan sertifikaatin hyväksyminen tarkistamatta sen soveltamisalaa, viime vuoden näytön pitäminen ajantasaisena ja tehtävän sulkeminen, kun politiikka on julkaistu mutta prosessi on yhä testaamatta. Rekisteröintiä tai sertifiointia ei pidä koskaan pitää todisteena operatiivisesta toteutuksesta.

Esimerkki: olemassa olevan ISMS:n laajentaminen

Havainnollistavat oletukset: hallinnoitujen palvelujen tarjoajalla on ISO 27001 -sertifioitu ISMS, joka kattaa sen pääasiallisen operatiivisen tiimin. Sen sovellettavuusarvioinnissa todetaan, että lisäoikeushenkilön kautta tuotettu palvelu kuuluu NIS2:n piiriin. Kyseinen oikeushenkilö käyttää samaa identiteettialustaa ja poikkeamatiimiä, mutta sillä on erilliset palautumisjärjestelyt.

Tiimi vertaa ensin palvelujen rajoja. Olemassa olevat tunnistautumiskonfiguraatiot voivat tukea molempia soveltamisaloja, mutta katselmoija tarkistaa, sisältyvätkö lisäoikeushenkilön ylläpitäjät, hätätilit ja palvelutilit. Pelkästään alkuperäisen tiimin kattava käyttöoikeuskatselmoinnin vienti ei voi todistaa täydellistä kattavuutta.

Seuraavaksi poikkeamien omistaja säilyttää vakiintuneen reagointimenettelyn ja lisää merkittävien poikkeamien arvioinnin ja viranomaisilmoitusten polun. Pöytäharjoituksessa simuloidaan toimittajan katkosta, jonka vaikutus asiakkaisiin on epävarma. Osallistujat kirjaavat, milloin olennaiset tosiasiat tulivat heidän tietoonsa, kuka päätti merkittävyydestä ja miten varhaisvaroitus toimitettaisiin.

Lopuksi infrastruktuurin omistaja suorittaa palautumisharjoituksen lisäoikeushenkilön palvelulle. Testi paljastaa, että palautustunnukset riippuvat identiteettialustasta, joka ei ole käytettävissä. Puuterekisteri osoittaa korjaavan toimenpiteen ja edellyttää onnistunutta uusintatestiä ennen sulkemista.

Syntyvät tuotokset ovat soveltamisalavertailu, katselmoidut vastaavuudet, laajennettu käyttöoikeuskatselmoinnin näyttö, ilmoitusharjoituksen kirjaukset, palautumistulokset ja johdon hyväksyntä avoimille käsittelytoimenpiteille. Yhteiset hallintakeinot pysyvät yhteisinä; oikeushenkilökohtainen näyttö ja päätökset pysyvät näkyvinä.

Muuta arviointi ylläpidetyksi työksi

Secanin toisiinsa kytketty vaatimus- ja näyttömalli antaa tiimeille rakenteen yhteisen työn ja viitekehyskohtaisten päätösten säilyttämiseen. Mallinna palvelut ja riippuvuudet, liitä olemassa oleva näyttö asiaankuuluviin hallintakeinoihin ja muuta puuttuva kattavuus omistetuiksi tehtäviksi. Pidä ihmisen hyväksyntä nimenomaisena vastaavuuksien ja näyttöä koskevien johtopäätösten osalta, myös tekoälyavusteisissa ehdotuksissa. Jäljitettäviä viitekehysten välisiä vastaavuuksia käsittelevä oppaamme selittää, miten uudelleenkäytön perustelut säilytetään.

Aloita yhdestä säännellystä palvelusta. Tuo sen soveltamisala, riskien käsittely, soveltuvuuslausuma, poikkeamien ohjekirja ja tuore testinäyttö yhteiseen tekniseen ja vaatimustenmukaisuuskatselmointiin. Laadi katselmoitu erorekisteri ja ylläpidä sitä tavanomaisten ISMS-katselmointikierrosten avulla palvelujen, toimittajien ja vaatimusten muuttuessa.