NIS2 ir ISO 27001: pakartotinai naudokite kontroles, išnagrinėkite spragas

ISO 27001 programa gali suteikti tvirtą veiklos struktūrą NIS2 įgyvendinimui: rizikos vertinimą, atsakingus asmenis, kontroles, įrodymus ir tobulinimą. Kitas žingsnis yra kiekvieno reikalavimo atskiras vertinimas, ką ši struktūra iš tikrųjų apima.

Technologijų vadovui (CTO) naudingas klausimas yra ne tai, ar sistemos sutampa. Svarbu, ar įgyvendinta kontrolė apsaugo atitinkamą paslaugą, atitinka taikomą įpareigojimą ir sukuria įrodymus, pagrindžiančius šią išvadą. Įgyvendinimą naudokite pakartotinai ten, kur šios sąlygos tenkinamos; teisinius ir veiklos skirtumus išsaugokite ten, kur jos netenkinamos.

Supraskite, ką nustato kiekviena sistema

ISO/IEC 27001 nustato reikalavimus apibrėžtos taikymo srities informacijos saugumo valdymo sistemai, arba ISMS. 4–10 skyriai apima jos valdymo struktūrą, įskaitant rizikos valdymą, veiksmingumo vertinimą ir tobulinimą. A priede yra 93 etaloninės kontrolės organizacinėje, žmonių, fizinėje ir technologinėje kategorijose. Kontrolių taikymas grindžiamas rizika, tai nėra reikalavimas kiekvieną kontrolę įgyvendinti vienodai. ISO 27002 pateikia įgyvendinimo gaires.

NIS2 yra ES direktyva, įgyvendinama nacionaline teise. Jos taikymas priklauso nuo sektoriaus, dydžio, paslaugos ir specialiųjų įtraukimo taisyklių. I ir II prieduose nurodyti atitinkami sektoriai, tačiau vien sektorius nenulemia, ar organizacija yra esminis, ar svarbus subjektas. Kai kuriems subjektams direktyva taikoma nepriklausomai nuo dydžio.

Praktiniai skirtumai:

Sertifikavimą atlieka nepriklausomos sertifikavimo įstaigos, o ne ISO. Jis neįrodo NIS2 atitikties, o NIS2 paprastai nereikalauja ISO 27001 sertifikato. Vykdymo užtikrinimas gali apimti priežiūros priemones ir sankcijas; ISO sertifikavimas turi kitą užtikrinimo paskirtį.

Pradėkite nuo ribų suderinimo

Palyginkite sertifikuotos ISMS taikymo sritį su juridiniais asmenimis ir paslaugomis, kuriems taikoma NIS2. Kūrimo komandą apimantis sertifikatas gali palikti už savo ribų gamybinę veiklą, kitą dukterinę bendrovę ar papildomas buveines.

Sudarykite taikymo sričių palyginimą, kuriame užfiksuojama:

• Apimti juridiniai asmenys, šalys, paslaugos ir įtraukimo pagrindas.
• Susijusios sistemos, tinklai, buveinės ir palaikantys tiekėjai.
• ISMS taikymo sritis, sertifikato taikymo sritis ir išimtys.
• Taikomi nacionaliniai reikalavimai, sektorinės taisyklės ir atsakingos institucijos, įskaitant taikomas registracijos pareigas, reikalaujamą subjekto informaciją, pateikimo kanalus ir atnaujinimo įpareigojimus.
• Kas patvirtino taikymo vertinimą ir kada jį reikia peržiūrėti iš naujo.

Atskirkite taikymo srities spragą nuo kontrolės spragos. Gamybinė aplinka už ISMS ribų jau gali turėti geras prieigos kontroles, tačiau šioms kontrolėms vis tiek reikia atsakomybės, vertinimo ir įrodymų NIS2 darbų sraute.

Prieš dubliuodami įpareigojimus, patikrinkite sektorinius teisės aktus. 4 straipsnis reglamentuoja santykį su sektoriniais ES teisės aktais. Finansų subjektams santykis su DORA reikalauja vaidmeniui specifinės analizės. Veiklai Vokietijoje remkitės BSI informacija apie NIS2, o ne prielaida, kad esamos KRITIS pareigos ir NIS2 pareigos yra tapačios.

Susiekite įgyvendintas kontroles, o ne sutampančius pavadinimus

21 straipsnis reikalauja tinkamų ir proporcingų techninių, veiklos ir organizacinių priemonių. Jo dešimt minimalių priemonių sričių yra atspirties taškas susiejimui, tačiau panaši formuluotė yra naudinga užuomina, o ne lygiavertiškumo įrodymas.

Toliau pateiktą lentelę naudokite kaip peržiūros klausimus, o ne automatinius aprėpties pareiškimus:

Taikymo pareiškime užfiksuojamos būtinos kontrolės ir įtraukimo ar neįtraukimo motyvai. Jis nepakeičia rizikos valdymo plano, vidaus audito išvadų ar vadovybės peržiūros įrašų. Šiuos artefaktus naudokite kartu, kad paaiškintumėte ir projektavimą, ir veikimą.

Politika nustato lūkesčius. Konfigūracijos eksportas gali parodyti įgyvendinimą. Prieigos peržiūrų rezultatai, taisymo užklausos ir testų įrašai gali parodyti veikimą. Įrodymus naudokite pakartotinai tik tada, kai sutampa sistema, laikotarpis ir vertinimo tikslas.

Venkite fiksuotų sutapimo procentų. Aprėptis priklauso nuo įgyvendinimo ir teisinės taikymo srities; universalus skaičius negali įrodyti pasirengimo.

Sukurkite pranešimo apie incidentus kelią, kuris veiktų spaudimo sąlygomis

Su ISO suderintas reagavimo planas gali palaikyti aptikimą, suvaldymą, tyrimą ir atkūrimą, neapibrėždamas pranešimų reguliavimo institucijoms. NIS2 23 straipsnis papildomai nustato pranešimo apie reikšmingus incidentus įpareigojimus.

Direktyvoje nustatyti pranešimo etapai paprastai apima:

• Ankstyvąjį įspėjimą nepagrįstai nedelsiant ir per 24 valandas nuo tada, kai sužinoma apie reikšmingą incidentą.
• Pranešimą apie incidentą nepagrįstai nedelsiant ir per 72 valandas, kuriuo atnaujinamas ankstyvasis įspėjimas ir pateikiamas pradinis vertinimas.
• Galutinę ataskaitą paprastai per vieną mėnesį nuo pranešimo apie incidentą pateikimo. Jei incidentas tebesitęsia, tuo metu reikalaujama pažangos ataskaitos, o galutinė ataskaita pateikiama per vieną mėnesį po incidento suvaldymo.

Tarpinė ataskaita taip pat turi būti pateikta, jei to paprašo CSIRT arba kompetentinga institucija.

Patikrinkite taikomas nacionalines ir sektorines taisykles: direktyvoje patikimumo užtikrinimo paslaugų teikėjams nustatytas kitoks pranešimo terminas. Nenaudokite bendros sutrikimo ribos kaip taikomų reikšmingumo kriterijų pakaitalo.

Kaip praktinę įgyvendinimo rekomendaciją sukurkite pranešimo vadovą, kuriame nurodytas vertinimo atsakingas asmuo, eskalavimo kelias, įgaliotas pateikėjas, pavaduojantys darbuotojai, ryšio su institucija kanalas ir kiekvienam etapui reikalinga informacija. Aptikimo, sužinojimo, reikšmingumo vertinimo ir pateikimo laiko žymas fiksuokite atskirai.

Išbandykite procesą su neišsamia informacija. Komanda turėtų sugebėti pateikti reikalaujamą pradinį pranešimą nelaukdama baigto teismo ekspertizės tyrimo. Išsaugokite pateiktas versijas, gavimo patvirtinimus, pagrindžiančius faktus ir sprendimus dėl to, ar incidentas pasiekia ribą.

Kai taikomas ir kitas pranešimo režimas, koordinuokite tyrimą, bet kiekvieną pranešimo pareigą vertinkite atskirai. Bendras incidento įrašas nepadaro gavėjų, paskatų ar terminų tapačių.

Padarykite valdyseną ir atsparumą įrodomus

20 straipsnis reikalauja, kad valdymo organai patvirtintų kibernetinio saugumo rizikos valdymo priemones ir prižiūrėtų jų įgyvendinimą. Jame taip pat reglamentuojami valdymo organų mokymai. Esama vadovybės peržiūra yra naudingas įrodymas, tačiau patikrinkite, ar joje aiškiai užfiksuoti atitinkami patvirtinimai, priežiūra, sprendimai ir tolesni veiksmai.

Pateikite vadovybei sprendimams parengtą vaizdą: paveiktas paslaugas, reikšmingas rizikas, rizikos valdymo galimybes, neišspręstas išimtis ir veiksmingumo rezultatus. Posėdžių protokolai, kuriuose tik nurodoma „aptartas saugumas“, mažai įrodo prasmingą priežiūrą. Kiekvienam patvirtintam veiksmui priskirkite atsakingą asmenį ir peržiūros datą.

Tęstinumui reikia panašiai konkretaus požiūrio. 21 straipsnis apima atsargines kopijas, atkūrimą po nelaimių ir krizių valdymą; jis nenustato visuotinio ISO 22301 sertifikavimo reikalavimo. Būtiną gylį nustatykite pagal paslaugą, rizikas ir taikomas taisykles.

Testuokite atkūrimą ir paslaugos atstatymą, o ne tik atsarginių kopijų užduoties įvykdymą. Įtraukite tokias priklausomybes kaip tapatybės paslaugos, DNS, tiekėjų pagalba, privilegijuoti prisijungimo duomenys ir komunikacijos, kai įprasta aplinka nepasiekiama. Užfiksuokite pasiektus atkūrimo rezultatus ir neišspręstas kliūtis pagal suderintus tikslus.

Tvarkykite matomą skirtumų registrą

Kiekvienam reikalavimui užfiksuokite jo šaltinį ir versiją, susietas kontroles, taikymo sritį, įrodymų nuorodas, tikrintoją ir pakartotinio naudojimo pagrindimą. Atskirkite pagrįstą aprėptį, dalinę aprėptį, trūkstamą įgyvendinimą, trūkstamus įrodymus ir motyvuotą sprendimą dėl netaikymo. Dokumento nebuvimas ne visada reiškia kontrolės nebuvimą, tačiau tai reikalauja ištirti.

Kiekvienai spragai reikia atsakingo asmens, būtino pakeitimo, lūkesčių dėl įrodymų, termino ir uždarymą tikrinančio asmens. Prioritetą teikite trūkumams, kurie kelia grėsmę paslaugoms ar trukdo laiku pateikti pranešimus, o ne laikykite kiekvienos dokumentavimo užduoties vienodai skubia.

Dažnos klaidos: susiejamas tik A priedas, nepastebint valdysenos reikalavimų; tiekėjo sertifikatas priimamas nepatikrinus jo taikymo srities; praėjusių metų įrodymai laikomi dabartiniais; užduotis uždaroma, kai politika paskelbta, bet procesas lieka neišbandytas. Registracija ar sertifikavimas niekada neturėtų būti laikomi veiklos įgyvendinimo įrodymu.

Išnagrinėtas pavyzdys: esamos ISMS išplėtimas

Iliustracinės prielaidos: valdomų paslaugų teikėjas turi ISO 27001 sertifikuotą ISMS, apimančią jo pagrindinę veiklos komandą. Jo taikymo vertinime daroma išvada, kad paslaugai, teikiamai per papildomą juridinį asmenį, taikoma NIS2. Tas subjektas naudoja tą pačią tapatybės platformą ir incidentų komandą, bet atskirą atkūrimo tvarką.

Komanda pirmiausia palygina paslaugų ribas. Esamos autentifikavimo konfigūracijos gali palaikyti abi taikymo sritis, tačiau tikrintojas patikrina, ar įtraukti papildomo subjekto administratoriai, avarinės paskyros ir paslaugų paskyros. Prieigos peržiūros eksportas, apimantis tik pradinę komandą, negali įrodyti visiškos aprėpties.

Toliau incidentų atsakingas asmuo išlaiko nustatytą reagavimo procedūrą ir papildo ją reikšmingų incidentų vertinimu bei pranešimo institucijoms keliu. Stalo pratybose imituojamas tiekėjo veiklos sutrikimas su neaiškiu poveikiu klientams. Dalyviai užfiksuoja, kada sužinojo apie svarbius faktus, kas nusprendė dėl reikšmingumo ir kaip būtų pateiktas ankstyvasis įspėjimas.

Galiausiai infrastruktūros atsakingas asmuo atlieka papildomo subjekto paslaugos atkūrimo pratybas. Testas atskleidžia, kad atkūrimo prisijungimo duomenys priklauso nuo nepasiekiamos tapatybės platformos. Spragų registre priskiriamas taisomasis veiksmas ir prieš uždarymą reikalaujama sėkmingo pakartotinio testo.

Gauti rezultatai yra taikymo sričių palyginimas, peržiūrėti susiejimai, išplėsti prieigos peržiūros įrodymai, pranešimo pratybų įrašai, atkūrimo rezultatai ir vadovybės patvirtinimas neįvykdytiems rizikos valdymo veiksmams. Bendros kontrolės lieka bendros; subjektui specifiniai įrodymai ir sprendimai lieka matomi.

Paverskite vertinimą nuolat palaikomu darbu

„Secani“ susietų reikalavimų ir įrodymų modelis suteikia komandoms struktūrą bendram darbui ir sistemai specifiniams sprendimams išsaugoti. Sumodeliuokite paslaugas ir priklausomybes, pridėkite esamus įrodymus prie atitinkamų kontrolių ir paverskite trūkstamą aprėptį užduotimis su atsakingais asmenimis. Susiejimų ir įrodymų išvadų, įskaitant DI padedamus pasiūlymus, patvirtinimą žmogumi išlaikykite aiškų. Mūsų vadovas apie atsekamą susiejimą tarp sistemų paaiškina, kaip išsaugoti pakartotinio naudojimo pagrindimą.

Pradėkite nuo vienos reguliuojamos paslaugos. Jos taikymo sritį, rizikos valdymą, Taikymo pareiškimą, incidentų vadovą ir naujausius testų įrodymus pateikite bendrai techninei ir atitikties peržiūrai. Parenkite peržiūrėtą skirtumų registrą, tada naudokite įprastus ISMS peržiūros ciklus, kad jį palaikytumėte, kai keičiasi paslaugos, tiekėjai ir reikalavimai.