NIS2 in ISO 27001: ponovno uporabite kontrole, preučite vrzeli

Program ISO 27001 lahko zagotovi trdno operativno strukturo za NIS2: oceno tveganj, odgovorne lastnike, kontrole, dokazila in izboljševanje. Naslednji korak je ocena po posameznih zahtevah, kaj ta struktura dejansko pokriva.

Za tehničnega direktorja koristno vprašanje ni, ali se ogrodji prekrivata. Vprašanje je, ali izvedena kontrola ščiti ustrezno storitev, izpolnjuje veljavno obveznost in ustvarja dokazila, ki ta sklep podpirajo. Izvedbo ponovno uporabite, kjer ti pogoji veljajo; pravne in operativne razlike ohranite, kjer ne veljajo.

Razumite, kaj vzpostavlja posamezno ogrodje

ISO/IEC 27001 določa zahteve za sistem upravljanja informacijske varnosti (ISMS) v opredeljenem obsegu. Točke 4–10 obravnavajo njegovo strukturo upravljanja, vključno z obravnavo tveganj, vrednotenjem uspešnosti in izboljševanjem. Dodatek A vsebuje 93 referenčnih kontrol v organizacijski, kadrovski, fizični in tehnološki kategoriji. Uporabnost kontrol temelji na tveganju in ne pomeni zahteve, da se vsaka kontrola izvede enako. ISO 27002 ponuja smernice za izvedbo.

NIS2 je direktiva EU, ki se izvaja z nacionalno zakonodajo. Uporabnost je odvisna od sektorja, velikosti, storitve in posebnih pravil o vključitvi. Prilogi I in II opredeljujeta ustrezne sektorje, vendar sam sektor ne določa, ali je organizacija bistveni ali pomembni subjekt. Nekateri subjekti so zajeti ne glede na velikost.

Praktične razlike so:

Certifikacijo izvajajo neodvisni certifikacijski organi, ne ISO. Ta ne dokazuje skladnosti z NIS2, NIS2 pa praviloma ne zahteva certifikata ISO 27001. Izvrševanje lahko vključuje nadzorne ukrepe in kazni; certifikat ISO ima drugačen namen zagotavljanja.

Začnite z ujemanjem meja

Primerjajte obseg certificiranega ISMS s pravnimi subjekti in storitvami, za katere velja NIS2. Certifikat, ki zajema razvojno ekipo, lahko produkcijske dejavnosti, drugo hčerinsko družbo ali dodatne lokacije pusti zunaj svoje meje.

Pripravite primerjavo obsega, ki beleži:

• zajete pravne subjekte, države, storitve in podlago za vključitev;
• ustrezne sisteme, omrežja, lokacije in podporne dobavitelje;
• obseg ISMS, obseg certifikata in izključitve;
• veljavne nacionalne zahteve, sektorska pravila in pristojne organe, vključno z veljavnimi dolžnostmi registracije, zahtevanimi podatki o subjektu, kanali za oddajo in obveznostmi posodabljanja;
• kdo je odobril oceno uporabnosti in kdaj jo je treba ponovno pregledati.

Ločite vrzel v obsegu od vrzeli v kontrolah. Produkcijsko okolje zunaj ISMS ima morda že dobre kontrole dostopa, vendar te kontrole v okviru dela za NIS2 še vedno potrebujejo lastništvo, oceno in dokazila.

Preden podvojite obveznosti, preverite sektorsko zakonodajo. Člen 4 obravnava razmerje do sektorskih pravnih aktov EU. Pri finančnih subjektih razmerje do Uredbe o digitalni operativni odpornosti finančnega sektorja (DORA) zahteva analizo glede na vlogo. Za dejavnosti v Nemčiji upoštevajte informacije BSI o NIS2, namesto da bi predpostavljali, da so obstoječe dolžnosti KRITIS in dolžnosti NIS2 enake.

Preslikajte izvedene kontrole, ne ujemajočih se oznak

Člen 21 zahteva ustrezne in sorazmerne tehnične, operativne in organizacijske ukrepe. Njegovih deset področij minimalnih ukrepov je izhodišče za preslikavo, vendar je podobna ubeseditev koristen namig, ne dokaz enakovrednosti.

Naslednje uporabite kot iztočnice za pregled, ne kot samodejne izjave o pokritosti:

Izjava o uporabnosti beleži potrebne kontrole ter utemeljitev njihove vključitve ali izključitve. Ni zamenljiva z načrtom obravnave tveganj, ugotovitvami notranjih presoj ali zapisi vodstvenih pregledov. Te artefakte uporabite skupaj, da pojasnite tako zasnovo kot delovanje.

Politika postavlja pričakovanja. Izvoz konfiguracije lahko pokaže izvedbo. Rezultati pregledov dostopov, zahtevki za odpravo in zapisi o testih lahko pokažejo delovanje. Dokazila ponovno uporabite le, kadar se sistem, obdobje in cilj ocene ujemajo.

Izogibajte se fiksnim odstotkom prekrivanja. Pokritost je odvisna od izvedbe in pravnega obsega; univerzalno število ne more dokazati pripravljenosti.

Vzpostavite pot poročanja o incidentih, ki deluje tudi pod pritiskom

Načrt odzivanja, usklajen z ISO, lahko podpira zaznavanje, zamejitev, preiskavo in obnovo, ne da bi opredeljeval obveščanje regulatorjev. Člen 23 NIS2 dodaja obveznosti poročanja o znatnih incidentih.

Faze poročanja po direktivi praviloma vključujejo:

• zgodnje opozorilo brez nepotrebnega odlašanja in v 24 urah po seznanitvi z znatnim incidentom;
• obvestilo o incidentu brez nepotrebnega odlašanja in v 72 urah, ki posodobi zgodnje opozorilo in poda začetno oceno;
• končno poročilo praviloma v enem mesecu po predložitvi obvestila o incidentu. Pri incidentu, ki še traja, je takrat zahtevano poročilo o napredku, končno poročilo pa je treba predložiti v enem mesecu po obravnavi incidenta.

Na zahtevo skupine CSIRT ali pristojnega organa je treba predložiti tudi vmesno poročilo.

Preverite veljavna nacionalna in sektorska pravila: direktiva za ponudnike storitev zaupanja določa drugačne roke obveščanja. Splošnega praga za izpad ne uporabljajte kot nadomestilo za veljavna merila znatnosti.

Kot praktično priporočilo za izvedbo pripravite priročnik za poročanje, ki določa lastnika ocene, pot eskalacije, pooblaščeno osebo za oddajo, nadomestno osebje, kanal do organa in informacije, potrebne v vsaki fazi. Časovne žige zaznave, seznanitve, ocene znatnosti in oddaje beležite ločeno.

Postopek preizkusite z nepopolnimi informacijami. Ekipa mora biti sposobna oddati zahtevano začetno poročilo, ne da bi čakala na dokončano forenzično preiskavo. Hranite oddane različice, potrdila o prejemu, podporna dejstva in odločitve o tem, ali incident dosega prag.

Kjer velja tudi drug režim poročanja, preiskavo usklajujte, vsako dolžnost obveščanja pa ocenite ločeno. Skupni zapis o incidentu ne pomeni, da so prejemniki, sprožilci ali roki enaki.

Upravljanje in odpornost naj bosta dokazljiva

Člen 20 od upravljalnih organov zahteva, da odobrijo ukrepe za obvladovanje kibernetskih tveganj in nadzorujejo njihovo izvajanje. Obravnava tudi usposabljanje članov upravljalnih organov. Obstoječi vodstveni pregled je koristno dokazilo, vendar preverite, ali izrecno beleži ustrezne odobritve, nadzor, odločitve in nadaljnje ukrepe.

Vodstvu zagotovite pogled, pripravljen za odločanje: prizadete storitve, pomembna tveganja, možnosti obravnave, nerešene izjeme in rezultate učinkovitosti. Zapisniki sestankov, ki zgolj navajajo „obravnavana varnost“, le malo dokazujejo o smiselnem nadzoru. Vsakemu odobrenemu ukrepu dodelite lastnika in datum pregleda.

Tudi neprekinjeno poslovanje potrebuje podobno konkretno obravnavo. Člen 21 vključuje varnostne kopije, obnovo po katastrofi in krizno upravljanje; ne nalaga splošne zahteve po certifikatu ISO 22301. Potrebno globino določite glede na storitev, tveganja in veljavna pravila.

Preizkusite obnovitev in obnovo storitve, ne le dokončanje opravil varnostnega kopiranja. Vključite odvisnosti, kot so storitve identitet, DNS, podpora dobaviteljev, privilegirane poverilnice in komunikacije, kadar običajno okolje ni na voljo. Dosežene rezultate obnove in nerešene ovire beležite glede na dogovorjene cilje.

Vzdržujte viden register razlik

Za vsako zahtevo zabeležite njen vir in različico, preslikane kontrole, obseg, sklice na dokazila, pregledovalca in utemeljitev ponovne uporabe. Ločite podprto pokritost, delno pokritost, manjkajočo izvedbo, manjkajoča dokazila in utemeljeno odločitev o neuporabnosti. Odsotnost dokumenta ne pomeni vedno odsotnosti kontrole, zahteva pa preiskavo.

Vsaka vrzel potrebuje lastnika, zahtevano spremembo, pričakovanje glede dokazil, rok in pregledovalca zaprtja. Prednost dajte napakam, ki ogrožajo storitve ali preprečujejo časovno kritično poročanje, namesto da bi vsako dokumentacijsko nalogo obravnavali kot enako nujno.

Pogoste napake so preslikava zgolj dodatka A ob spregledanju zahtev glede upravljanja, sprejetje certifikata dobavitelja brez preverjanja njegovega obsega, obravnavanje lanskih dokazil kot aktualnih in zaprtje naloge, ko je politika objavljena, postopek pa ostaja nepreizkušen. Registracije ali certifikacije nikoli ne obravnavajte kot dokaz operativne izvedbe.

Primer iz prakse: razširitev obstoječega ISMS

Ponazoritvene predpostavke: ponudnik upravljanih storitev ima ISMS s certifikatom ISO 27001, ki zajema njegovo glavno operativno ekipo. Njegova ocena uporabnosti ugotovi, da za storitev, ki jo izvaja prek dodatnega pravnega subjekta, velja NIS2. Ta subjekt uporablja isto platformo za identitete in isto ekipo za incidente, vendar ločene ureditve za obnovo.

Ekipa najprej primerja meje storitev. Obstoječe konfiguracije avtentikacije lahko podpirajo oba obsega, vendar pregledovalec preveri, ali so vključeni administratorji, računi za nujne primere in storitveni računi dodatnega subjekta. Izvoz pregleda dostopov, ki zajema le prvotno ekipo, ne more dokazati popolne pokritosti.

Nato lastnik incidentov ohrani uveljavljeni postopek odzivanja ter doda oceno znatnih incidentov in pot obveščanja organov. Namizna vaja simulira izpad dobavitelja z negotovim vplivom na stranke. Udeleženci zabeležijo, kdaj so se seznanili z ustreznimi dejstvi, kdo je odločil o znatnosti in kako bi bilo oddano zgodnje opozorilo.

Na koncu lastnik infrastrukture izvede vajo obnove za storitev dodatnega subjekta. Test razkrije, da so poverilnice za obnovo odvisne od nedosegljive platforme za identitete. Register vrzeli dodeli korektivni ukrep in pred zaprtjem zahteva uspešen ponovni test.

Rezultati so primerjava obsega, pregledane preslikave, razširjena dokazila o pregledih dostopov, zapisi o vajah poročanja, rezultati obnove in odobritev vodstva za odprte ukrepe obravnave. Skupne kontrole ostanejo skupne; dokazila in odločitve, specifični za subjekt, ostanejo vidni.

Oceno pretvorite v vzdrževano delo

Povezan model zahtev in dokazil v Secani ekipam daje strukturo za ohranjanje skupnega dela in odločitev, specifičnih za posamezno ogrodje. Modelirajte storitve in odvisnosti, obstoječa dokazila priložite ustreznim kontrolam, manjkajočo pokritost pa pretvorite v naloge z lastniki. Človeška odobritev preslikav in sklepov o dokazilih, vključno s predlogi, ki jih pomaga pripraviti umetna inteligenca, naj ostane izrecna. Naš vodnik o sledljivi preslikavi med ogrodji pojasnjuje, kako ohraniti utemeljitev ponovne uporabe.

Začnite z eno regulirano storitvijo. Njen obseg, obravnavo tveganj, izjavo o uporabnosti, priročnik za incidente in nedavna dokazila o testih vključite v skupni tehnični pregled in pregled skladnosti. Pripravite pregledan register razlik, nato pa ga v običajnih ciklih pregledov ISMS vzdržujte, ko se storitve, dobavitelji in zahteve spreminjajo.