NIS2 és ISO 27001: használja fel újra a kontrollokat, vizsgálja meg a hiányosságokat

Egy ISO 27001 program erős működési struktúrát biztosíthat a NIS2-höz: kockázatértékelést, elszámoltatható felelősöket, kontrollokat, bizonyítékokat és folyamatos fejlesztést. A következő lépés követelményenként felmérni, mit fed le ténylegesen ez a struktúra.

A technológiai igazgató számára nem az a hasznos kérdés, hogy a keretrendszerek átfedik-e egymást. Hanem az, hogy egy megvalósított kontroll védi-e a releváns szolgáltatást, teljesíti-e az alkalmazandó kötelezettséget, és olyan bizonyítékot állít-e elő, amely alátámasztja ezt a következtetést. Ahol ezek a feltételek teljesülnek, használja fel újra a megvalósítást; ahol nem, őrizze meg a jogi és működési különbségeket.

Értse meg, mit rögzítenek az egyes keretrendszerek

Az ISO/IEC 27001 egy meghatározott hatókörű információbiztonsági irányítási rendszerre (IBIR) vonatkozó követelményeket határoz meg. A 4–10. fejezet az irányítási struktúrával foglalkozik, beleértve a kockázatkezelést, a teljesítményértékelést és a fejlesztést. Az A melléklet 93 referenciakontrollt tartalmaz szervezeti, személyi, fizikai és technológiai kategóriákban. A kontrollok alkalmazhatósága kockázatalapú, nem pedig követelmény arra, hogy minden kontrollt azonos módon valósítsanak meg. Az ISO 27002 megvalósítási útmutatást ad.

A NIS2 uniós irányelv, amelyet nemzeti jogszabályok ültetnek át. Az alkalmazhatóság az ágazattól, a mérettől, a szolgáltatástól és konkrét bevonási szabályoktól függ. Az I. és a II. melléklet azonosítja a releváns ágazatokat, de önmagában az ágazat nem határozza meg, hogy egy szervezet alapvető vagy fontos szervezetnek minősül-e. Egyes szervezetek mérettől függetlenül a hatály alá tartoznak.

A gyakorlati különbségek:

A tanúsítást független tanúsító szervezetek végzik, nem az ISO. Nem igazolja a NIS2-megfelelést, és a NIS2 általában nem követeli meg az ISO 27001 tanúsítást. A jogérvényesítés felügyeleti intézkedéseket és szankciókat is magában foglalhat; az ISO-tanúsításnak más a bizonyossági célja.

Kezdje a határok összehangolásával

Vesse össze a tanúsított IBIR hatókörét a NIS2 hatálya alá tartozó jogi személyekkel és szolgáltatásokkal. Egy fejlesztőcsapatra kiterjedő tanúsítvány kívül hagyhatja az éles üzemeltetést, egy másik leányvállalatot vagy további telephelyeket.

Készítsen hatóköri összehasonlítást, amely rögzíti:

• Az érintett jogi személyeket, országokat, szolgáltatásokat és a bevonás alapját.
• A releváns rendszereket, hálózatokat, telephelyeket és támogató beszállítókat.
• Az IBIR hatókörét, a tanúsítvány hatókörét és a kizárásokat.
• Az alkalmazandó nemzeti követelményeket, ágazati szabályokat és illetékes hatóságokat, beleértve az alkalmazandó regisztrációs kötelezettségeket, a szervezetre vonatkozó kötelezően megadandó információkat, a benyújtási csatornákat és a frissítési kötelezettségeket.
• Ki hagyta jóvá az alkalmazhatósági értékelést, és mikor kell újra megvizsgálni.

Különböztesse meg a hatóköri hiányosságot a kontrollhiányosságtól. Egy IBIR-en kívüli éles környezetben már lehetnek jó hozzáférési kontrollok, de ezeknek is felelősre, értékelésre és bizonyítékokra van szükségük a NIS2-munkafolyamaton belül.

A kötelezettségek megkettőzése előtt ellenőrizze az ágazatspecifikus jogszabályokat. A 4. cikk az ágazatspecifikus uniós jogi aktusokhoz fűződő viszonnyal foglalkozik. Pénzügyi szervezetek esetében a DORA-hoz fűződő viszony szerepkör-specifikus elemzést igényel. Német működés esetén tanulmányozza a BSI NIS2-vel kapcsolatos tájékoztatóját, ahelyett hogy feltételezné, hogy a meglévő KRITIS-kötelezettségek és a NIS2-kötelezettségek azonosak.

A megvalósított kontrollokat feleltesse meg, ne az egyező címkéket

A 21. cikk megfelelő és arányos műszaki, operatív és szervezeti intézkedéseket ír elő. Tíz minimális intézkedési területe kiindulópontot ad a megfeleltetéshez, de a hasonló megfogalmazás hasznos támpont, nem az egyenértékűség bizonyítéka.

Az alábbiakat felülvizsgálati kérdésként használja, ne automatikus lefedettségi nyilatkozatként:

Az alkalmazhatósági nyilatkozat rögzíti a szükséges kontrollokat, valamint a bevonás vagy kizárás indoklását. Nem cserélhető fel a kockázatkezelési tervvel, a belső audit megállapításaival vagy a vezetőségi átvizsgálás rekordjaival. Ezeket az elemeket együtt használja a kialakítás és a működés magyarázatára.

Egy szabályzat elvárásokat rögzít. Egy konfigurációs export a megvalósítást mutathatja. A hozzáférés-felülvizsgálati eredmények, a javítási jegyek és a tesztrekordok a működést mutathatják. A bizonyítékokat csak akkor használja fel újra, ha a rendszer, az időszak és az értékelési cél egyezik.

Kerülje a rögzített átfedési százalékokat. A lefedettség a megvalósítástól és a jogi hatálytól függ; egy általános szám nem igazolhatja a felkészültséget.

Építsen olyan incidensbejelentési útvonalat, amely nyomás alatt is működik

Egy ISO-hoz igazodó reagálási terv támogathatja az észlelést, a megfékezést, a kivizsgálást és a helyreállítást anélkül, hogy meghatározná a szabályozói bejelentést. A NIS2 23. cikke a jelentős incidensekre vonatkozó bejelentési kötelezettségekkel egészíti ki ezt.

Az irányelv szerinti bejelentési szakaszok általában a következők:

• Korai figyelmeztetés indokolatlan késedelem nélkül, a jelentős incidensről való tudomásszerzéstől számított 24 órán belül.
• Incidensbejelentés indokolatlan késedelem nélkül, 72 órán belül, amely frissíti a korai figyelmeztetést, és első értékelést ad.
• Zárójelentés általában az incidensbejelentés benyújtását követő egy hónapon belül. Folyamatban lévő incidens esetén ekkor előrehaladási jelentést kell benyújtani, a zárójelentés pedig az incidens kezelését követő egy hónapon belül esedékes.

Időközi jelentést is be kell nyújtani, ha a CSIRT vagy az illetékes hatóság kéri.

Ellenőrizze az alkalmazandó nemzeti és ágazatspecifikus szabályokat: az irányelv a bizalmi szolgáltatók esetében eltérő bejelentési határidőt tartalmaz. Ne használjon általános kiesési küszöböt az alkalmazandó jelentőségi kritériumok helyett.

Gyakorlati megvalósítási ajánlásként készítsen bejelentési forgatókönyvet, amely meghatározza az értékelés felelősét, az eszkalációs útvonalat, a benyújtásra jogosult személyt, a helyettesítő személyzetet, a hatósági csatornát és az egyes szakaszokban szükséges információkat. Az észlelés, a tudomásszerzés, a jelentőség értékelése és a benyújtás időbélyegeit külön rögzítse.

Gyakorolja a folyamatot hiányos információkkal. A csapatnak képesnek kell lennie az előírt első jelentés benyújtására anélkül, hogy egy befejezett igazságügyi informatikai vizsgálatra várna. Őrizze meg a benyújtott változatokat, a visszaigazolásokat, az alátámasztó tényeket, valamint azokat a döntéseket, amelyek arról szólnak, hogy egy incidens eléri-e a küszöböt.

Ha egy másik bejelentési szabályozás is alkalmazandó, a kivizsgálást hangolja össze, de minden bejelentési kötelezettséget külön értékeljen. Egy közös incidensrekord nem teszi azonossá a címzetteket, a kiváltó okokat vagy a határidőket.

Tegye bizonyíthatóvá az irányítást és a rezílienciát

A 20. cikk előírja, hogy a vezető testületek hagyják jóvá a kiberbiztonsági kockázatkezelési intézkedéseket, és felügyeljék azok végrehajtását. Foglalkozik a vezető testületek képzésével is. Egy meglévő vezetőségi átvizsgálás hasznos bizonyíték, de ellenőrizze, hogy kifejezetten rögzíti-e a releváns jóváhagyásokat, a felügyeletet, a döntéseket és a nyomon követést.

Adjon a vezetésnek döntésre kész áttekintést: érintett szolgáltatások, lényeges kockázatok, kezelési lehetőségek, nyitott kivételek és hatékonysági eredmények. Az olyan jegyzőkönyvek, amelyek csupán annyit rögzítenek, hogy „a biztonságot megtárgyalták”, kevés bizonyítékot nyújtanak az érdemi felügyeletről. Minden jóváhagyott intézkedéshez rendeljen felelőst és felülvizsgálati dátumot.

A folytonosság hasonlóan konkrét kezelést igényel. A 21. cikk magában foglalja a biztonsági mentéseket, a katasztrófa utáni helyreállítást és a válságkezelést; nem ír elő általános ISO 22301 tanúsítási követelményt. A szükséges mélységet a szolgáltatás, a kockázatok és az alkalmazandó szabályok alapján határozza meg.

A visszaállítást és a szolgáltatás helyreállítását tesztelje, ne csak a mentési feladatok lefutását. Vegye figyelembe az olyan függőségeket, mint az identitásszolgáltatások, a DNS, a beszállítói támogatás, a kiemelt jogosultságú hitelesítő adatok és a kommunikáció arra az esetre, ha a szokásos környezet nem érhető el. Rögzítse az elért helyreállítási eredményeket és a nyitott akadályokat az egyeztetett célokhoz képest.

Vezessen jól látható eltérésnyilvántartást

Minden követelménynél rögzítse annak forrását és verzióját, a megfeleltetett kontrollokat, a hatókört, a bizonyítékhivatkozásokat, a felülvizsgálót és az újrafelhasználás indoklását. Különböztesse meg az alátámasztott lefedettséget, a részleges lefedettséget, a hiányzó megvalósítást, a hiányzó bizonyítékot és az indokolt nem alkalmazhatósági döntést. Egy dokumentum hiánya nem mindig jelenti egy kontroll hiányát, de mindenképpen kivizsgálást igényel.

Minden hiányossághoz kell felelős, szükséges változtatás, bizonyítéki elvárás, határidő és lezárási felülvizsgáló. Részesítse előnyben azokat a hiányosságokat, amelyek a szolgáltatásokat veszélyeztetik, vagy megakadályozzák az időkritikus bejelentést, ahelyett hogy minden dokumentációs feladatot egyformán sürgősnek tekintene.

Gyakori hibák: csak az A melléklet megfeleltetése az irányítási követelmények figyelmen kívül hagyásával, egy beszállítói tanúsítvány elfogadása a hatókörének ellenőrzése nélkül, a tavalyi bizonyítékok aktuálisként kezelése, valamint egy feladat lezárása, amikor egy szabályzatot közzétettek, de a folyamatot nem tesztelték. A regisztrációt vagy a tanúsítást soha nem szabad a működési megvalósítás bizonyítékaként kezelni.

Kidolgozott példa: egy meglévő IBIR kiterjesztése

Szemléltető feltételezések: egy menedzselt szolgáltató ISO 27001 szerint tanúsított IBIR-rel rendelkezik, amely a fő üzemeltetési csapatára terjed ki. Alkalmazhatósági értékelése arra jut, hogy egy további jogi személyen keresztül üzemeltetett szolgáltatás a NIS2 hatálya alá tartozik. Ez a jogi személy ugyanazt az identitásplatformot és incidenskezelő csapatot használja, de külön helyreállítási megoldásokkal rendelkezik.

A csapat először a szolgáltatási határokat veti össze. A meglévő hitelesítési konfigurációk mindkét hatókört támogathatják, de a felülvizsgáló ellenőrzi, hogy a további jogi személy rendszergazdái, vészhelyzeti fiókjai és szolgáltatásfiókjai is szerepelnek-e. Egy csak az eredeti csapatra kiterjedő hozzáférés-felülvizsgálati export nem bizonyíthatja a teljes lefedettséget.

Ezután az incidenskezelés felelőse megtartja a bevált reagálási eljárást, és kiegészíti a jelentős incidensek értékelésével és a hatósági bejelentési útvonallal. Egy asztali gyakorlat egy bizonytalan ügyfélhatású beszállítói kiesést szimulál. A résztvevők rögzítik, mikor szereztek tudomást a releváns tényekről, ki döntött a jelentőségről, és hogyan nyújtanák be a korai figyelmeztetést.

Végül az infrastruktúra felelőse helyreállítási gyakorlatot tart a további jogi személy szolgáltatására. A teszt feltárja, hogy a helyreállítási hitelesítő adatok az elérhetetlen identitásplatformtól függenek. Az eltérésnyilvántartás korrekciós intézkedést rendel hozzá, és a lezáráshoz sikeres újratesztelést ír elő.

Az eredményül kapott eredménytermékek: hatóköri összehasonlítás, felülvizsgált megfeleltetések, kiterjesztett hozzáférés-felülvizsgálati bizonyítékok, bejelentési gyakorlatok rekordjai, helyreállítási eredmények, valamint a nyitott kezelési intézkedések vezetői jóváhagyása. A közös kontrollok közösek maradnak; a jogi személyre vonatkozó bizonyítékok és döntések láthatók maradnak.

Alakítsa az értékelést folyamatosan karbantartott munkává

A Secani összekapcsolt követelmény- és bizonyítékmodellje olyan struktúrát ad a csapatoknak, amelyben megőrizhetik a közös munkát és a keretrendszer-specifikus döntéseket. Modellezze a szolgáltatásokat és a függőségeket, kapcsolja a meglévő bizonyítékokat a releváns kontrollokhoz, és alakítsa a hiányzó lefedettséget felelőshöz rendelt feladatokká. A megfeleltetések és a bizonyítéki következtetések – beleértve az MI által támogatott javaslatokat is – maradjanak kifejezett emberi jóváhagyáshoz kötve. A nyomon követhető, keretrendszereken átívelő megfeleltetésről szóló útmutatónk elmagyarázza, hogyan őrizhető meg az újrafelhasználás mögötti indoklás.

Kezdjen egyetlen szabályozott szolgáltatással. Vigye annak hatókörét, kockázatkezelését, alkalmazhatósági nyilatkozatát, incidenskezelési forgatókönyvét és friss tesztbizonyítékait egy közös műszaki és megfelelőségi felülvizsgálatra. Készítsen felülvizsgált eltérésnyilvántartást, majd a szokásos IBIR-felülvizsgálati ciklusokban tartsa karban, ahogy a szolgáltatások, a beszállítók és a követelmények változnak.