NIS2 i ISO 27001: ponovno koristite kontrole, ispitajte nedostatke

Program prema ISO 27001 može pružiti snažnu operativnu strukturu za Direktivu NIS2: procjenu rizika, odgovorne vlasnike, kontrole, dokaze i poboljšavanje. Sljedeći je korak procjena, zahtjev po zahtjev, onoga što ta struktura stvarno pokriva.

Za tehničkog direktora (CTO) korisno pitanje nije preklapaju li se okviri. Pitanje je štiti li provedena kontrola relevantnu uslugu, ispunjava li primjenjivu obvezu i proizvodi li dokaze koji podupiru taj zaključak. Ponovno koristite provedbu gdje su ti uvjeti ispunjeni; sačuvajte pravne i operativne razlike gdje nisu.

Razumite što svaki okvir utvrđuje

ISO/IEC 27001 propisuje zahtjeve za sustav upravljanja informacijskom sigurnošću (ISMS) s definiranim opsegom. Točke 4. – 10. odnose se na njegovu upravljačku strukturu, uključujući postupanje s rizicima, vrednovanje učinkovitosti i poboljšavanje. Prilog A sadrži 93 referentne kontrole u organizacijskoj, kadrovskoj, fizičkoj i tehnološkoj kategoriji. Primjenjivost kontrola temelji se na riziku, a ne na zahtjevu da se svaka kontrola provede na identičan način. ISO 27002 daje smjernice za provedbu.

Direktiva NIS2 direktiva je EU-a koja se provodi nacionalnim pravom. Primjenjivost ovisi o sektoru, veličini, usluzi i posebnim pravilima o uključivanju. Prilog I. i Prilog II. navode relevantne sektore, ali sam sektor ne određuje je li organizacija ključni ili važni subjekt. Neki su subjekti obuhvaćeni bez obzira na veličinu.

Praktične razlike su sljedeće:

Certifikaciju provode neovisna certifikacijska tijela, a ne ISO. Ona ne utvrđuje usklađenost s Direktivom NIS2, a Direktiva NIS2 u pravilu ne zahtijeva certifikaciju prema ISO 27001. Provedba propisa može uključivati nadzorne mjere i sankcije; ISO certifikacija ima drukčiju svrhu jamstva.

Počnite s usklađivanjem granica

Usporedite certificirani opseg ISMS-a s pravnim subjektima i uslugama na koje se primjenjuje Direktiva NIS2. Certifikat koji obuhvaća razvojni tim može izvan svoje granice ostaviti produkcijske operacije, drugo društvo kćer ili dodatne lokacije.

Izradite usporedbu opsega koja bilježi:

• Obuhvaćene pravne subjekte, države, usluge i osnovu za uključivanje.
• Relevantne sustave, mreže, lokacije i potporne dobavljače.
• Opseg ISMS-a, opseg certifikata i isključenja.
• Primjenjive nacionalne zahtjeve, sektorska pravila i nadležna tijela, uključujući primjenjive dužnosti registracije, potrebne podatke o subjektu, kanale za podnošenje i obveze ažuriranja.
• Tko je odobrio procjenu primjenjivosti i kada je treba ponovno razmotriti.

Razlikujte nedostatak u opsegu od nedostatka u kontrolama. Produkcijsko okruženje izvan ISMS-a možda već ima dobre kontrole pristupa, ali te kontrole i dalje trebaju vlasništvo, procjenu i dokaze unutar radnog toka za NIS2.

Prije dupliciranja obveza provjerite sektorsko zakonodavstvo. Članak 4. uređuje odnos sa sektorskim pravnim aktima Unije. Za financijske subjekte odnos s Uredbom o digitalnoj operativnoj otpornosti (DORA) zahtijeva analizu specifičnu za ulogu. Za poslovanje u Njemačkoj konzultirajte informacije BSI-ja o Direktivi NIS2 umjesto da pretpostavite da su postojeće dužnosti iz KRITIS-a (njemačkog režima kritične infrastrukture) i dužnosti iz Direktive NIS2 identične.

Mapirajte provedene kontrole, a ne podudarne oznake

Članak 21. zahtijeva primjerene i razmjerne tehničke, operativne i organizacijske mjere. Njegovih deset područja minimalnih mjera polazna su točka za mapiranje, ali slična formulacija koristan je trag, a ne dokaz jednakovrijednosti.

Sljedeće koristite kao poticaje za pregled, a ne kao automatske izjave o pokrivenosti:

Izjava o primjenjivosti bilježi potrebne kontrole i obrazloženje uključivanja ili isključivanja. Ona nije zamjenjiva s planom postupanja s rizicima, nalazima internog audita ili zapisima upravine ocjene. Te artefakte koristite zajedno kako biste objasnili i dizajn i djelovanje.

Politika utvrđuje očekivanja. Izvoz konfiguracije može pokazati provedbu. Rezultati pregleda pristupa, zahtjevi za otklanjanje i zapisi o testovima mogu pokazati djelovanje. Dokaze ponovno koristite samo kada se sustav, razdoblje i cilj procjene podudaraju.

Izbjegavajte fiksne postotke preklapanja. Pokrivenost ovisi o provedbi i pravnom opsegu; univerzalni broj ne može utvrditi spremnost.

Izgradite put izvješćivanja o incidentima koji funkcionira pod pritiskom

Plan odgovora usklađen s ISO-om može podupirati otkrivanje, ograničavanje, istragu i oporavak, a da ne definira regulatorno obavješćivanje. Članak 23. Direktive NIS2 dodaje obveze izvješćivanja o značajnim incidentima.

Faze izvješćivanja iz Direktive u pravilu uključuju:

• Rano upozorenje bez nepotrebnog odgađanja i u roku od 24 sata od saznanja za značajan incident.
• Obavijest o incidentu bez nepotrebnog odgađanja i u roku od 72 sata, kojom se ažurira rano upozorenje i daje početna procjena.
• Završno izvješće, u pravilu u roku od mjesec dana od podnošenja obavijesti o incidentu. Za incident koji je još u tijeku u tom se trenutku zahtijeva izvješće o napretku, a završno izvješće podnosi se u roku od mjesec dana nakon rješavanja incidenta.

Privremeno izvješće mora se dostaviti i ako ga zatraži CSIRT ili nadležno tijelo.

Provjerite primjenjiva nacionalna i sektorska pravila: Direktiva predviđa drukčije rokove obavješćivanja za pružatelje usluga povjerenja. Ne koristite generički prag prekida rada kao zamjenu za primjenjive kriterije značajnosti.

Kao praktičnu preporuku za provedbu, izradite priručnik za izvješćivanje koji navodi vlasnika procjene, put eskalacije, ovlaštenog podnositelja, zamjenske osobe, kanal prema tijelu i informacije potrebne u svakoj fazi. Vremenske oznake otkrivanja, saznanja, procjene značajnosti i podnošenja bilježite zasebno.

Vježbajte proces s nepotpunim informacijama. Tim bi trebao moći podnijeti zahtijevano početno izvješće bez čekanja na dovršenu forenzičku istragu. Čuvajte podnesene verzije, potvrde primitka, potporne činjenice i odluke o tome doseže li incident prag.

Ako se primjenjuje i drugi režim izvješćivanja, koordinirajte istragu, ali svaku dužnost obavješćivanja procijenite zasebno. Zajednički zapis o incidentu ne čini primatelje, okidače ili rokove identičnima.

Učinite upravljanje i otpornost dokazivima

Članak 20. zahtijeva da upravljačka tijela odobravaju mjere upravljanja kibernetičkim sigurnosnim rizicima i nadziru njihovu provedbu. Odnosi se i na osposobljavanje članova upravljačkih tijela. Postojeća upravina ocjena koristan je dokaz, ali provjerite bilježi li izričito relevantna odobrenja, nadzor, odluke i daljnje postupanje.

Upravi dajte prikaz spreman za odlučivanje: pogođene usluge, značajne rizike, mogućnosti postupanja, neriješene iznimke i rezultate učinkovitosti. Zapisnici sa sastanaka koji samo navode „razgovaralo se o sigurnosti“ pružaju malo dokaza o smislenom nadzoru. Svakoj odobrenoj radnji dodijelite vlasnika i datum pregleda.

Kontinuitet zahtijeva jednako konkretan pristup. Članak 21. uključuje sigurnosne kopije, oporavak od katastrofe i upravljanje krizama; ne nameće univerzalni zahtjev za certifikaciju prema ISO 22301. Potrebnu dubinu odredite prema usluzi, rizicima i primjenjivim pravilima.

Testirajte vraćanje podataka i oporavak usluge, a ne samo završetak poslova izrade sigurnosnih kopija. Uključite ovisnosti kao što su usluge za identitete, DNS, podrška dobavljača, povlaštene vjerodajnice i komunikacija kada uobičajeno okruženje nije dostupno. Ostvarene rezultate oporavka i neriješene prepreke bilježite u odnosu na dogovorene ciljeve.

Vodite vidljiv registar razlika

Za svaki zahtjev zabilježite izvor i verziju, mapirane kontrole, opseg, reference na dokaze, recenzenta i obrazloženje ponovne upotrebe. Razlikujte potkrijepljenu pokrivenost, djelomičnu pokrivenost, nedostajuću provedbu, nedostajuće dokaze i obrazloženu odluku o neprimjenjivosti. Nepostojanje dokumenta ne znači uvijek nepostojanje kontrole, ali zahtijeva istraživanje.

Svaki nedostatak treba vlasnika, potrebnu promjenu, očekivanje u pogledu dokaza, rok i recenzenta za zatvaranje. Dajte prednost neuspjesima koji ugrožavaju usluge ili onemogućuju vremenski kritično izvješćivanje umjesto da svaki zadatak dokumentiranja tretirate kao jednako hitan.

Česte pogreške uključuju mapiranje samo Priloga A uz previđanje zahtjeva upravljanja, prihvaćanje certifikata dobavljača bez provjere njegova opsega, tretiranje prošlogodišnjih dokaza kao aktualnih i zatvaranje zadatka kada je politika objavljena, a proces ostaje netestiran. Registracija ili certifikacija nikada se ne smiju tretirati kao dokaz operativne provedbe.

Razrađeni primjer: proširenje postojećeg ISMS-a

Ilustrativne pretpostavke: pružatelj upravljanih usluga ima ISMS certificiran prema ISO 27001 koji obuhvaća njegov glavni operativni tim. Njegova procjena primjenjivosti zaključuje da je usluga koja se pruža putem dodatnog pravnog subjekta obuhvaćena Direktivom NIS2. Taj subjekt koristi istu platformu za identitete i isti tim za incidente, ali zasebne aranžmane za oporavak.

Tim najprije uspoređuje granice usluga. Postojeće konfiguracije autentifikacije mogu podupirati oba opsega, ali recenzent provjerava jesu li uključeni administratori, računi za hitne slučajeve i servisni računi dodatnog subjekta. Izvoz pregleda pristupa koji obuhvaća samo izvorni tim ne može dokazati potpunu pokrivenost.

Zatim vlasnik incidenata zadržava uspostavljeni postupak odgovora i dodaje procjenu značajnih incidenata i put obavješćivanja tijela. Simulacijska vježba za stolom simulira ispad dobavljača s nesigurnim utjecajem na klijente. Sudionici bilježe kada su saznali za relevantne činjenice, tko je odlučio o značajnosti i kako bi se podnijelo rano upozorenje.

Naposljetku, vlasnik infrastrukture provodi vježbu oporavka za uslugu dodatnog subjekta. Test otkriva da vjerodajnice za oporavak ovise o nedostupnoj platformi za identitete. Registar nedostataka dodjeljuje korektivnu radnju i zahtijeva uspješno ponovno testiranje prije zatvaranja.

Nastali rezultati su usporedba opsega, pregledana mapiranja, prošireni dokazi o pregledu pristupa, zapisi o vježbi izvješćivanja, rezultati oporavka i odobrenje uprave za otvorene radnje postupanja. Zajedničke kontrole ostaju zajedničke; dokazi i odluke specifični za subjekt ostaju vidljivi.

Pretvorite procjenu u rad koji se održava

Secanijev model povezanih zahtjeva i dokaza daje timovima strukturu za očuvanje zajedničkog rada i odluka specifičnih za okvir. Modelirajte usluge i ovisnosti, povežite postojeće dokaze s relevantnim kontrolama i pretvorite nedostajuću pokrivenost u zadatke s vlasnicima. Ljudsko odobrenje mapiranja i zaključaka o dokazima, uključujući prijedloge izrađene uz pomoć umjetne inteligencije, neka ostane izričito. Naš vodič o sljedivom mapiranju između okvira objašnjava kako zadržati obrazloženje ponovne upotrebe.

Počnite s jednom reguliranom uslugom. Njezin opseg, postupanje s rizicima, Izjavu o primjenjivosti, priručnik za incidente i nedavne dokaze o testiranju uključite u zajednički tehnički pregled i pregled usklađenosti. Izradite pregledani registar razlika, a zatim ga uobičajenim ciklusima pregleda ISMS-a održavajte kako se usluge, dobavljači i zahtjevi mijenjaju.