NIS2 un ISO 27001: izmantojiet kontroles atkārtoti, izvērtējiet nepilnības

ISO 27001 programma var nodrošināt spēcīgu darbības struktūru NIS2 vajadzībām: riska novērtējumu, atbildīgus īpašniekus, kontroles, pierādījumus un uzlabošanu. Nākamais solis ir novērtējums prasību pa prasībai par to, ko šī struktūra faktiski aptver.

Tehnoloģiju direktoram noderīgais jautājums nav par to, vai ietvari pārklājas. Tas ir par to, vai ieviesta kontrole aizsargā attiecīgo pakalpojumu, izpilda piemērojamo pienākumu un rada pierādījumus, kas pamato šo secinājumu. Izmantojiet ieviešanu atkārtoti, ja šie nosacījumi ir izpildīti; saglabājiet juridiskās un darbības atšķirības, ja tie nav izpildīti.

Izprotiet, ko nosaka katrs ietvars

ISO/IEC 27001 nosaka prasības informācijas drošības pārvaldības sistēmai jeb ISMS ar noteiktu tvērumu. 4.–10. punkts attiecas uz tās pārvaldības struktūru, tostarp riska apstrādi, darbības izvērtēšanu un uzlabošanu. A pielikumā ir 93 atsauces kontroles organizatoriskajā, cilvēku, fiziskajā un tehnoloģiskajā kategorijā. Kontroļu piemērojamība ir balstīta uz risku, nevis prasība katru kontroli ieviest identiski. ISO 27002 sniedz ieviešanas vadlīnijas.

NIS2 ir ES direktīva, kas tiek ieviesta ar nacionālajiem tiesību aktiem. Piemērojamība ir atkarīga no nozares, lieluma, pakalpojuma un konkrētiem iekļaušanas noteikumiem. I un II pielikumā ir norādītas attiecīgās nozares, taču nozare vien nenosaka, vai organizācija ir būtiska vai svarīga vienība. Dažas vienības tiek aptvertas neatkarīgi no lieluma.

Praktiskās atšķirības ir šādas:

Sertifikāciju veic neatkarīgas sertifikācijas institūcijas, nevis ISO. Tā nepierāda atbilstību NIS2, un NIS2 parasti neprasa ISO 27001 sertifikāciju. Izpildes nodrošināšana var ietvert uzraudzības pasākumus un sodus; ISO sertifikācijai ir cits apliecinājuma mērķis.

Sāciet ar robežu salīdzināšanu

Salīdziniet sertificētā ISMS tvērumu ar juridiskajām personām un pakalpojumiem, uz kuriem attiecas NIS2. Sertifikāts, kas aptver izstrādes komandu, var atstāt ārpus savas robežas ražošanas darbību, citu meitasuzņēmumu vai papildu atrašanās vietas.

Izveidojiet tvēruma salīdzinājumu, reģistrējot:

• Aptvertās juridiskās personas, valstis, pakalpojumus un iekļaušanas pamatu.
• Attiecīgās sistēmas, tīklus, atrašanās vietas un atbalstošos piegādātājus.
• ISMS tvērumu, sertifikāta tvērumu un izņēmumus.
• Piemērojamās nacionālās prasības, nozares noteikumus un atbildīgās iestādes, tostarp piemērojamos reģistrācijas pienākumus, nepieciešamo informāciju par vienību, iesniegšanas kanālus un atjaunināšanas pienākumus.
• Kas apstiprināja piemērojamības novērtējumu un kad tas jāpārskata.

Nošķiriet tvēruma nepilnību no kontroles nepilnības. Ražošanas videi ārpus ISMS jau var būt labas piekļuves kontroles, taču šīm kontrolēm joprojām nepieciešams īpašnieks, novērtējums un pierādījumi NIS2 darba virziena ietvaros.

Pirms pienākumu dublēšanas pārbaudiet nozarei specifiskos tiesību aktus. 4. pants attiecas uz saistību ar nozarei specifiskiem ES tiesību aktiem. Finanšu vienībām saistībai ar DORA nepieciešama lomai specifiska analīze. Darbībai Vācijā iepazīstieties ar BSI informāciju par NIS2, nevis pieņemiet, ka esošie KRITIS pienākumi un NIS2 pienākumi ir identiski.

Sasaistiet ieviestās kontroles, nevis sakrītošus nosaukumus

21. pants prasa atbilstošus un samērīgus tehniskus, operatīvus un organizatoriskus pasākumus. Tā desmit minimālo pasākumu jomas sniedz sākumpunktu sasaistei, taču līdzīgs formulējums ir noderīga norāde, nevis līdzvērtības pierādījums.

Izmantojiet turpmāko kā pārskatīšanas uzvednes, nevis automātiskas pārklājuma deklarācijas:

Piemērojamības paziņojumā tiek reģistrētas nepieciešamās kontroles un iekļaušanas vai izslēgšanas pamatojums. To nevar aizstāt ar riska apstrādes plānu, iekšējā audita konstatējumiem vai vadības pārskata ierakstiem. Izmantojiet šos artefaktus kopā, lai izskaidrotu gan uzbūvi, gan darbību.

Politika nosaka gaidas. Konfigurācijas eksports var parādīt ieviešanu. Piekļuves pārskatīšanas rezultāti, novēršanas pieteikumi un testu ieraksti var parādīt darbību. Izmantojiet pierādījumus atkārtoti tikai tad, ja sakrīt sistēma, periods un novērtējuma mērķis.

Izvairieties no fiksētiem pārklāšanās procentiem. Pārklājums ir atkarīgs no ieviešanas un juridiskā tvēruma; universāls skaitlis nevar pierādīt gatavību.

Izveidojiet ziņošanas par incidentiem ceļu, kas darbojas spiediena apstākļos

Ar ISO saskaņots reaģēšanas plāns var atbalstīt atklāšanu, ierobežošanu, izmeklēšanu un atjaunošanu, nenosakot regulatīvo paziņošanu. NIS2 23. pants pievieno ziņošanas pienākumus par būtiskiem incidentiem.

Direktīvas ziņošanas posmi parasti ietver:

• Agrīno brīdinājumu bez nepamatotas kavēšanās un 24 stundu laikā no brīža, kad kļuvis zināms par būtisku incidentu.
• Paziņojumu par incidentu bez nepamatotas kavēšanās un 72 stundu laikā, atjauninot agrīno brīdinājumu un sniedzot sākotnējo novērtējumu.
• Galīgo ziņojumu parasti viena mēneša laikā pēc paziņojuma par incidentu iesniegšanas. Ja incidents turpinās, šajā brīdī nepieciešams progresa ziņojums, un galīgais ziņojums jāiesniedz viena mēneša laikā pēc incidenta apstrādes.

Starpposma ziņojums jāsniedz arī tad, ja to pieprasa CSIRT vai kompetentā iestāde.

Pārbaudiet piemērojamos nacionālos un nozarei specifiskos noteikumus: direktīvā ir paredzēts atšķirīgs paziņošanas laiks uzticamības pakalpojumu sniedzējiem. Neizmantojiet vispārīgu pārtraukuma slieksni kā piemērojamo būtiskuma kritēriju aizstājēju.

Kā praktisku ieviešanas ieteikumu izveidojiet ziņošanas rīcības instrukciju, kurā norādīts novērtējuma īpašnieks, eskalācijas ceļš, pilnvarotais iesniedzējs, rezerves personāls, iestādes kanāls un katrā posmā nepieciešamā informācija. Atsevišķi reģistrējiet atklāšanas, uzzināšanas, būtiskuma novērtējuma un iesniegšanas laika zīmogus.

Izmēģiniet procesu mācībās ar nepilnīgu informāciju. Komandai jāspēj iesniegt nepieciešamo sākotnējo ziņojumu, negaidot pabeigtu tiesu ekspertīzes izmeklēšanu. Saglabājiet iesniegtās versijas, saņemšanas apstiprinājumus, pamatojošos faktus un lēmumus par to, vai incidents sasniedz slieksni.

Ja piemērojams arī cits ziņošanas režīms, koordinējiet izmeklēšanu, bet katru paziņošanas pienākumu novērtējiet atsevišķi. Kopīgs incidenta ieraksts nepadara adresātus, ierosinātājus vai termiņus identiskus.

Padariet pārvaldību un noturību pierādāmu

20. pants prasa, lai vadības struktūras apstiprinātu kiberdrošības riska pārvaldības pasākumus un uzraudzītu to ieviešanu. Tas attiecas arī uz vadības struktūru apmācību. Esošs vadības pārskats ir noderīgs pierādījums, taču pārbaudiet, vai tajā skaidri reģistrēti attiecīgie apstiprinājumi, uzraudzība, lēmumi un turpmākās darbības.

Sniedziet vadībai lēmumu pieņemšanai gatavu skatu: ietekmētos pakalpojumus, būtiskos riskus, apstrādes iespējas, neatrisinātos izņēmumus un efektivitātes rezultātus. Sanāksmju protokoli, kuros vienkārši norādīts „apspriesta drošība”, sniedz nelielu pierādījumu par jēgpilnu uzraudzību. Katrai apstiprinātajai darbībai piešķiriet īpašnieku un pārskatīšanas datumu.

Nepārtrauktībai nepieciešama līdzīgi konkrēta pieeja. 21. pants ietver dublējumkopijas, atgūšanu pēc katastrofas un krīžu pārvaldību; tas neparedz universālu prasību pēc ISO 22301 sertifikācijas. Nosakiet nepieciešamo dziļumu, pamatojoties uz pakalpojumu, riskiem un piemērojamajiem noteikumiem.

Testējiet atjaunošanu un pakalpojuma atjaunošanu, nevis tikai dublēšanas uzdevuma pabeigšanu. Iekļaujiet tādas atkarības kā identitātes pakalpojumi, DNS, piegādātāju atbalsts, priviliģētie akreditācijas dati un saziņa gadījumam, kad parastā vide nav pieejama. Reģistrējiet sasniegtos atjaunošanas rezultātus un neatrisinātos šķēršļus attiecībā pret saskaņotajiem mērķiem.

Uzturiet redzamu atšķirību reģistru

Katrai prasībai reģistrējiet tās avotu un versiju, sasaistītās kontroles, tvērumu, atsauces uz pierādījumiem, pārskatītāju un atkārtotas izmantošanas pamatojumu. Nošķiriet pamatotu pārklājumu, daļēju pārklājumu, trūkstošu ieviešanu, trūkstošus pierādījumus un pamatotu lēmumu par nepiemērojamību. Dokumenta neesamība ne vienmēr nozīmē kontroles neesamību, taču tā prasa izpēti.

Katrai nepilnībai nepieciešams īpašnieks, vajadzīgās izmaiņas, gaidāmie pierādījumi, izpildes termiņš un slēgšanas pārskatītājs. Prioritizējiet kļūmes, kas apdraud pakalpojumus vai novērš laikkritisku ziņošanu, nevis uzskatiet katru dokumentācijas uzdevumu par vienlīdz steidzamu.

Biežas kļūdas ir tikai A pielikuma sasaistīšana, neievērojot pārvaldības prasības, piegādātāja sertifikāta pieņemšana, nepārbaudot tā tvērumu, pagājušā gada pierādījumu uzskatīšana par aktuāliem un uzdevuma slēgšana, kad politika ir publicēta, bet process joprojām nav testēts. Reģistrāciju vai sertifikāciju nekad nevajadzētu uzskatīt par operatīvās ieviešanas pierādījumu.

Praktisks piemērs: esoša ISMS paplašināšana

Ilustratīvi pieņēmumi: pārvaldīto pakalpojumu sniedzējam ir ISO 27001 sertificēta ISMS, kas aptver tā galveno darbības komandu. Tā piemērojamības novērtējumā secināts, ka uz pakalpojumu, ko sniedz ar papildu juridiskās personas starpniecību, attiecas NIS2. Šī vienība izmanto to pašu identitāšu platformu un incidentu komandu, bet atsevišķu atjaunošanas kārtību.

Komanda vispirms salīdzina pakalpojumu robežas. Esošās autentifikācijas konfigurācijas var atbalstīt abus tvērumus, taču pārskatītājs pārbauda, vai ir iekļauti papildu vienības administratori, ārkārtas konti un pakalpojumu konti. Piekļuves pārskatīšanas eksports, kas aptver tikai sākotnējo komandu, nevar pierādīt pilnīgu pārklājumu.

Pēc tam incidentu īpašnieks saglabā iedibināto reaģēšanas procedūru un pievieno būtiska incidenta novērtējumu un paziņošanas ceļu iestādēm. Galda mācībās tiek simulēts piegādātāja pārtraukums ar neskaidru ietekmi uz klientiem. Dalībnieki reģistrē, kad viņiem kļuva zināmi attiecīgie fakti, kas izlēma par būtiskumu un kā tiktu iesniegts agrīnais brīdinājums.

Visbeidzot infrastruktūras īpašnieks veic atjaunošanas mācības papildu vienības pakalpojumam. Tests atklāj, ka atjaunošanas akreditācijas dati ir atkarīgi no nepieejamās identitāšu platformas. Nepilnību reģistrs piešķir korektīvo darbību un pirms slēgšanas prasa veiksmīgu atkārtotu testu.

Iegūtie nododamie rezultāti ir tvēruma salīdzinājums, pārskatītas sasaistes, paplašināti piekļuves pārskatīšanas pierādījumi, ziņošanas mācību ieraksti, atjaunošanas rezultāti un vadības apstiprinājums neizpildītajām apstrādes darbībām. Kopīgās kontroles paliek kopīgas; vienībai specifiskie pierādījumi un lēmumi paliek redzami.

Pārvērtiet novērtējumu uzturētā darbā

Secani savienoto prasību un pierādījumu modelis sniedz komandām struktūru kopīgā darba un ietvaram specifisko lēmumu saglabāšanai. Modelējiet pakalpojumus un atkarības, piesaistiet esošos pierādījumus attiecīgajām kontrolēm un pārvērtiet trūkstošo pārklājumu uzdevumos ar īpašniekiem. Saglabājiet skaidru cilvēka apstiprinājumu sasaistēm un secinājumiem par pierādījumiem, tostarp MI atbalstītiem ieteikumiem. Mūsu ceļvedis par izsekojamu sasaisti starp ietvariem skaidro, kā saglabāt atkārtotas izmantošanas pamatojumu.

Sāciet ar vienu regulētu pakalpojumu. Iekļaujiet tā tvērumu, riska apstrādi, Piemērojamības paziņojumu, incidentu rīcības instrukciju un nesenos testu pierādījumus kopīgā tehniskā un atbilstības pārskatīšanā. Sagatavojiet pārskatītu atšķirību reģistru un pēc tam izmantojiet parastos ISMS pārskatīšanas ciklus, lai to uzturētu, mainoties pakalpojumiem, piegādātājiem un prasībām.