NIS2 a ISO 27001: využite existujúce kontroly, preverte medzery

Program podľa ISO 27001 môže poskytnúť pre NIS2 silnú prevádzkovú štruktúru: posúdenie rizík, zodpovedných vlastníkov, kontroly, dôkazy a zlepšovanie. Ďalším krokom je posúdenie požiadavku po požiadavke, čo táto štruktúra skutočne pokrýva.

Pre CTO nie je užitočnou otázkou, či sa frameworky prekrývajú. Je ňou, či implementovaná kontrola chráni príslušnú službu, spĺňa uplatniteľnú povinnosť a vytvára dôkazy, ktoré tento záver podporujú. Implementáciu využite opakovane tam, kde sú tieto podmienky splnené; kde nie sú, zachovajte právne a prevádzkové rozdiely.

Pochopte, čo každý framework stanovuje

ISO/IEC 27001 špecifikuje požiadavky na systém manažérstva informačnej bezpečnosti (ISMS) s vymedzeným rozsahom. Kapitoly 4 – 10 sa zaoberajú jeho riadiacou štruktúrou vrátane ošetrenia rizík, hodnotenia výkonnosti a zlepšovania. Príloha A obsahuje 93 referenčných kontrol v organizačnej, personálnej, fyzickej a technologickej kategórii. Uplatniteľnosť kontrol vychádza z rizík; nejde o požiadavku implementovať každú kontrolu rovnako. ISO 27002 poskytuje návod na implementáciu.

NIS2 je smernica EÚ transponovaná prostredníctvom vnútroštátneho práva. Jej uplatniteľnosť závisí od odvetvia, veľkosti, služby a osobitných pravidiel zahrnutia. Príloha I a príloha II určujú relevantné odvetvia, samotné odvetvie však nerozhoduje o tom, či je organizácia kľúčovým alebo dôležitým subjektom. Niektoré subjekty sú zahrnuté bez ohľadu na veľkosť.

Praktické rozdiely sú:

Certifikáciu vykonávajú nezávislé certifikačné orgány, nie ISO. Nepreukazuje súlad s NIS2 a NIS2 vo všeobecnosti nevyžaduje certifikáciu podľa ISO 27001. Presadzovanie môže zahŕňať opatrenia dohľadu a sankcie; certifikácia ISO má iný účel uistenia.

Začnite zladením hraníc

Porovnajte certifikovaný rozsah ISMS s právnickými osobami a službami, na ktoré sa vzťahuje NIS2. Certifikát pokrývajúci vývojový tím môže ponechať produkčnú prevádzku, inú dcérsku spoločnosť alebo ďalšie lokality mimo svojej hranice.

Vytvorte porovnanie rozsahu, ktoré zaznamenáva:

• Pokryté právnické osoby, krajiny, služby a dôvod ich zahrnutia.
• Relevantné systémy, siete, lokality a podporných dodávateľov.
• Rozsah ISMS, rozsah certifikátu a vylúčenia.
• Uplatniteľné vnútroštátne požiadavky, odvetvové pravidlá a zodpovedné orgány vrátane uplatniteľných registračných povinností, požadovaných údajov o subjekte, kanálov podávania a povinností aktualizácie.
• Kto schválil posúdenie uplatniteľnosti a kedy sa musí znovu preveriť.

Rozlišujte medzeru v rozsahu od medzery v kontrolách. Produkčné prostredie mimo ISMS už môže mať dobré kontroly prístupu, tieto kontroly však v rámci pracovného prúdu NIS2 stále potrebujú vlastníka, posúdenie a dôkazy.

Pred duplikovaním povinností preverte odvetvové právne predpisy. Článok 4 upravuje vzťah k odvetvovým právnym aktom EÚ. Pri finančných subjektoch si vzťah k nariadeniu DORA vyžaduje analýzu podľa konkrétnej roly. Pri prevádzke v Nemecku vychádzajte z informácií BSI k NIS2 a nepredpokladajte, že existujúce povinnosti KRITIS a povinnosti podľa NIS2 sú totožné.

Mapujte implementované kontroly, nie zhodné označenia

Článok 21 vyžaduje primerané a proporcionálne technické, prevádzkové a organizačné opatrenia. Jeho desať minimálnych oblastí opatrení poskytuje východisko pre mapovanie, podobné znenie je však užitočnou stopou, nie dôkazom rovnocennosti.

Nasledujúce body používajte ako podnety na revíziu, nie ako automatické vyhlásenia o pokrytí:

Vyhlásenie o aplikovateľnosti zaznamenáva potrebné kontroly a zdôvodnenie ich zahrnutia alebo vylúčenia. Nie je zameniteľné s plánom ošetrenia rizík, zisteniami interného auditu ani záznamami z preskúmania manažmentom. Tieto artefakty používajte spolu, aby ste vysvetlili návrh aj prevádzku.

Politika stanovuje očakávania. Export konfigurácie môže ukázať implementáciu. Výsledky revízií prístupov, tikety nápravy a záznamy z testov môžu ukázať prevádzku. Dôkazy využívajte opakovane iba tam, kde sa zhoduje systém, obdobie a cieľ posúdenia.

Vyhýbajte sa pevným percentám prekrytia. Pokrytie závisí od implementácie a právneho rozsahu; univerzálne číslo nedokáže preukázať pripravenosť.

Vybudujte postup hlásenia incidentov, ktorý funguje pod tlakom

Plán reakcie zosúladený s ISO môže podporovať detekciu, zamedzenie šírenia, vyšetrovanie a obnovu bez toho, aby definoval regulačné oznamovanie. Článok 23 NIS2 pridáva povinnosti hlásenia pre významné incidenty.

Fázy hlásenia podľa smernice spravidla zahŕňajú:

• Včasné varovanie bez zbytočného odkladu a do 24 hodín od zistenia významného incidentu.
• Oznámenie incidentu bez zbytočného odkladu a do 72 hodín, ktoré aktualizuje včasné varovanie a poskytuje prvotné posúdenie.
• Záverečnú správu spravidla do jedného mesiaca od podania oznámenia incidentu. Pri prebiehajúcom incidente sa v tomto čase vyžaduje správa o pokroku a záverečná správa sa podáva do jedného mesiaca od vyriešenia incidentu.

Na žiadosť CSIRT alebo príslušného orgánu sa musí poskytnúť aj priebežná správa.

Preverte uplatniteľné vnútroštátne a odvetvové pravidlá: smernica obsahuje odlišné lehoty oznamovania pre poskytovateľov dôveryhodných služieb. Všeobecnú hranicu výpadku nepoužívajte ako náhradu za uplatniteľné kritériá významnosti.

Ako praktické odporúčanie pre implementáciu vytvorte postup (runbook) hlásenia, ktorý určuje vlastníka posúdenia, eskalačnú cestu, oprávneného podávateľa, zastupujúci personál, kanál pre orgán a informácie potrebné v každej fáze. Časové pečiatky detekcie, zistenia, posúdenia významnosti a podania zaznamenávajte oddelene.

Proces precvičte s neúplnými informáciami. Tím by mal byť schopný podať požadovanú prvotnú správu bez čakania na dokončené forenzné vyšetrovanie. Uchovajte podané verzie, potvrdenia o prijatí, podporné fakty a rozhodnutia o tom, či incident dosahuje prahovú hodnotu.

Ak sa uplatňuje aj iný režim hlásenia, koordinujte vyšetrovanie, každú oznamovaciu povinnosť však posudzujte samostatne. Spoločný záznam o incidente nerobí príjemcov, spúšťače ani lehoty totožnými.

Urobte riadenie a odolnosť preukázateľnými

Článok 20 vyžaduje, aby riadiace orgány schvaľovali opatrenia na riadenie kybernetických rizík a dohliadali na ich implementáciu. Upravuje aj odbornú prípravu riadiacich orgánov. Existujúce preskúmanie manažmentom je užitočným dôkazom, preverte však, či výslovne zaznamenáva príslušné schválenia, dohľad, rozhodnutia a nadväzujúce kroky.

Poskytnite manažmentu prehľad pripravený na rozhodovanie: dotknuté služby, podstatné riziká, možnosti ošetrenia, nevyriešené výnimky a výsledky účinnosti. Zápisnice zo stretnutí, ktoré len uvádzajú „prerokovaná bezpečnosť“, poskytujú len málo dôkazov o zmysluplnom dohľade. Každému schválenému opatreniu priraďte vlastníka a dátum revízie.

Podobne konkrétne treba pristupovať ku kontinuite. Článok 21 zahŕňa zálohy, obnovu po havárii a krízové riadenie; neukladá univerzálnu požiadavku na certifikáciu podľa ISO 22301. Potrebnú hĺbku určte podľa služby, rizík a uplatniteľných pravidiel.

Testujte obnovu dát a obnovu služby, nielen dokončenie zálohovacej úlohy. Zahrňte závislosti ako služby identít, DNS, podporu dodávateľov, privilegované prihlasovacie údaje a komunikáciu v situácii, keď bežné prostredie nie je dostupné. Dosiahnuté výsledky obnovy a nevyriešené prekážky zaznamenajte voči dohodnutým cieľom.

Vedte viditeľný register rozdielov

Pre každú požiadavku zaznamenajte jej zdroj a verziu, namapované kontroly, rozsah, odkazy na dôkazy, posudzovateľa a zdôvodnenie opakovaného využitia. Rozlišujte podložené pokrytie, čiastočné pokrytie, chýbajúcu implementáciu, chýbajúce dôkazy a zdôvodnené rozhodnutie o neuplatniteľnosti. Chýbajúci dokument nemusí vždy znamenať chýbajúcu kontrolu, vyžaduje si však preverenie.

Každá medzera potrebuje vlastníka, požadovanú zmenu, očakávaný dôkaz, termín splnenia a posudzovateľa uzavretia. Uprednostnite zlyhania, ktoré ohrozujú služby alebo bránia časovo kritickému hláseniu, namiesto toho, aby ste každú dokumentačnú úlohu považovali za rovnako naliehavú.

Medzi časté chyby patrí mapovanie iba prílohy A pri prehliadnutí požiadaviek na riadenie, akceptovanie certifikátu dodávateľa bez overenia jeho rozsahu, považovanie minuloročných dôkazov za aktuálne a uzavretie úlohy po zverejnení politiky, hoci proces zostáva neotestovaný. Registrácia ani certifikácia by sa nikdy nemali považovať za dôkaz prevádzkovej implementácie.

Praktický príklad: rozšírenie existujúceho ISMS

Ilustračné predpoklady: poskytovateľ riadených služieb má ISMS certifikovaný podľa ISO 27001, ktorý pokrýva jeho hlavný prevádzkový tím. Jeho posúdenie uplatniteľnosti dospeje k záveru, že služba prevádzkovaná prostredníctvom ďalšej právnickej osoby podlieha NIS2. Táto osoba používa rovnakú platformu identít a rovnaký tím pre incidenty, ale samostatné opatrenia na obnovu.

Tím najprv porovná hranice služieb. Existujúce konfigurácie autentifikácie môžu podporovať oba rozsahy, posudzovateľ však preverí, či sú zahrnutí administrátori, núdzové účty a servisné účty ďalšej právnickej osoby. Export revízie prístupov pokrývajúci iba pôvodný tím nedokáže preukázať úplné pokrytie.

Ďalej vlastník incidentov ponechá zavedený postup reakcie a doplní posúdenie významného incidentu a cestu oznamovania orgánu. Cvičenie pri stole (tabletop) simuluje výpadok dodávateľa s neistým dopadom na zákazníkov. Účastníci zaznamenajú, kedy sa dozvedeli o relevantných skutočnostiach, kto rozhodol o významnosti a ako by sa podalo včasné varovanie.

Nakoniec vlastník infraštruktúry uskutoční cvičenie obnovy pre službu ďalšej právnickej osoby. Test odhalí, že prihlasovacie údaje na obnovu závisia od nedostupnej platformy identít. Register medzier priradí nápravné opatrenie a pred uzavretím vyžaduje úspešný opakovaný test.

Výslednými výstupmi sú porovnanie rozsahu, preskúmané mapovania, rozšírené dôkazy z revízií prístupov, záznamy z cvičenia hlásenia, výsledky obnovy a schválenie zostávajúcich opatrení na ošetrenie manažmentom. Spoločné kontroly zostávajú spoločné; dôkazy a rozhodnutia špecifické pre subjekt zostávajú viditeľné.

Premeňte posúdenie na udržiavanú prácu

Prepojený model požiadaviek a dôkazov v Secani dáva tímom štruktúru na zachovanie spoločnej práce aj rozhodnutí špecifických pre jednotlivé frameworky. Modelujte služby a závislosti, pripájajte existujúce dôkazy k relevantným kontrolám a meňte chýbajúce pokrytie na úlohy s vlastníkmi. Ľudské schvaľovanie mapovaní a záverov o dôkazoch ponechajte explicitné, a to aj pri návrhoch s podporou AI. Náš sprievodca dohľadateľným mapovaním naprieč frameworkami vysvetľuje, ako zachovať zdôvodnenie opakovaného využitia.

Začnite jednou regulovanou službou. Prineste jej rozsah, ošetrenie rizík, vyhlásenie o aplikovateľnosti, postup pre incidenty a nedávne dôkazy z testov na spoločnú technickú a compliance revíziu. Vytvorte preskúmaný register rozdielov a potom ho v rámci bežných revíznych cyklov ISMS udržiavajte aktuálny, ako sa menia služby, dodávatelia a požiadavky.