Ja jūsu uzņēmums saņēma vēstuli no nacionālās kiberdrošības iestādes vai klients lūdza apstiprināt, ka jūs atbilstat NIS2 prasībām, jūsu pirmais jautājums, visticamāk, bija vienkāršs: vai tas vispār attiecas uz mums? Otrais jautājums parasti ir grūtāks: kas mums tieši jābūt, lai to pierādītu?
NIS2 ir Eiropas Savienības direktīva par tīklu un informācijas sistēmu drošību. Katra dalībvalsts to pārņem savos tiesību aktos ar saviem reģistrācijas termiņiem, uzraudzības iestādi un sodiem, tāpēc detaļas dažādās valstīs atšķiras (Latvijā to ievieš Nacionālās kiberdrošības likums). Atšķirībā no iepriekšējiem noteikumiem, kas aptvēra samērā šauru operatoru loku, jaunajā regulējumā ir iekļauti daudzi vidēji lieli un pat mazāki uzņēmumi, kuri līdz šim kiberdrošību uztvēra kā antivīrusu un paroles.
Šajā rakstā vienkāršā valodā izklāstām, uz ko prasības attiecas, ko tās nozīmē praksē un kādi dokumenti jums vajadzīgi. Beigās: no kā sākt, ja šobrīd nav nekā.
Kam attiecas NIS2: būtiskie un svarīgie subjekti
Direktīva sadala organizācijas divās grupās: būtiskie un svarīgie subjekti. Atšķirība nav prasību saturā, bet uzraudzības stingrībā un sankciju apmērā. Būtiskie subjekti tiek uzraudzīti proaktīvi, svarīgie – galvenokārt pēc incidenta vai sūdzības.
Kurā grupā jūs iekļūstat, nosaka divi faktori: nozare un uzņēmuma lielums. Kopumā nozares ir sadalītas šādi:
- Augstas kritiskuma pakāpes nozares: enerģētika, transports, banku un finanšu tirgus infrastruktūra, veselības aprūpe, dzeramais ūdens un notekūdeņi, digitālā infrastruktūra (datu centri, mākoņpakalpojumu sniedzēji, DNS, elektroniskie sakaru tīkli), IKT pakalpojumu pārvaldība (pārvaldīto pakalpojumu un pārvaldīto drošības pakalpojumu sniedzēji), valsts pārvalde, kosmoss.
- Citas kritiskās nozares: pasta un kurjeru pakalpojumi, atkritumu apsaimniekošana, ķīmijas rūpniecība, pārtikas ražošana un izplatīšana, dažāda ražošana (medicīnas ierīces, elektronika, transportlīdzekļi, mašīnas), digitālie pakalpojumu sniedzēji (tirdzniecības platformas, meklētājprogrammas, sociālie tīkli), pētniecība.
Lieluma slieksnis parasti ir vidējs uzņēmums, tas ir, 50 darbinieki vai vairāk, vai noteikts gada apgrozījums. Tomēr ir izņēmumi: daži subjekti (piemēram, elektronisko sakaru vai uzticamības pakalpojumu sniedzēji) tiek iekļauti neatkarīgi no lieluma, un iestāde var iekļaut arī mazāku uzņēmumu, ja tas ir vienīgais svarīga pakalpojuma sniedzējs reģionā.
Mūsu pieredzē visbiežākais gadījums ir ražošanas, loģistikas vai veselības aprūpes uzņēmums ar 60 līdz 200 darbiniekiem, kas par NIS2 pirmo reizi uzzina no klienta aptaujas. Ja tas esat jūs, ļoti iespējams, ka esat svarīgs subjekts. Tā kā katra dalībvalsts pati nosaka tvēruma detaļas un termiņus, pārbaudiet noteikumus valstī, kurā darbojaties.
Ko prasa praksē
Direktīva nenosaka konkrētas tehnoloģijas. Tā prasa uzņēmumam pārvaldīt kiberdrošības riskus samērīgi ar tā lielumu un draudiem, ar kuriem tas saskaras. Praksē tas nozīmē piecas jomas.
Risku pārvaldība
Jums jāzina, kādas sistēmas izmantojat, kādi dati tajās glabājas, kas tām draud un ko darāt, lai šie draudi nerealizētos. Tas tiek formalizēts risku reģistrā un drošības politikās: piekļuves kontrole, paroles un daudzfaktoru autentifikācija, atjauninājumi, tīkla segmentēšana, kriptogrāfijas izmantošana. Risku novērtēšana ir pirmais darbs, un viss pārējais no tās ir atkarīgs.
Incidentu pārvaldība un ziņošana
Jums vajadzīga procedūra, kā incidents tiek atpazīts, kas par to atbild un kā par to ziņo. Ziņošanas termiņi ir stingri: agrīns brīdinājums nacionālajai kiberdrošības iestādei 24 stundu laikā pēc uzzināšanas par būtisku incidentu, detalizētāks paziņojums 72 stundu laikā un nobeiguma ziņojums mēneša laikā. Bez iepriekš sagatavota plāna šos termiņus gandrīz nav iespējams ievērot. Latvijā šī iestāde ir Nacionālais kiberdrošības centrs (CERT.LV).
Piegādes ķēdes drošība
Jūsu atbildība nebeidzas pie jūsu pašu serveriem. Ja jūsu grāmatvedība darbojas pie mākoņpakalpojumu sniedzēja un jūsu IT uztur ārēja kompānija, jums jānovērtē viņu drošība un tā jāiekļauj līgumos. Tas nozīmē piegādātāju sarakstu, katra riska novērtējumu un līguma noteikumus par drošību, incidentu ziņošanu un audita tiesībām.
Rezerves kopijas un darbības nepārtrauktība
Uzņēmumam jāspēj atjaunot darbību pēc incidenta. Tam vajadzīgas rezerves kopijas, kas glabājas atsevišķi no galvenās infrastruktūras, un pārbaudīts atjaunošanas plāns. Rezerves kopijai, ko neviens nekad nav atjaunojis, uz papīra nav vērtības. Šeit bieži iesakām nemaināmas rezerves kopijas, kuras nevar mainīt un kuras nav redzamas no tīkla, jo tieši tās iztur izspiedējvīrusu uzbrukumus.
Vadības atbildība
Tas ir jauns elements, un daudziem tas ir pārsteigums. Vadībai jāapstiprina risku pārvaldības pasākumi, jāuzrauga to ieviešana un jāpiedalās apmācībās. Par pārkāpumiem var tikt piemērota personiska atbildība. Praksē tas nozīmē, ka drošības jautājumiem jābūt valdes vai vadības sēžu darba kārtībā un lēmumi jāfiksē protokolos.
Kādi dokumenti jums vajadzīgi
Pārbaudes laikā vai atbildot uz klienta aptauju tiek prasīti dokumenti, nevis stāsti. Minimālais komplekts, ko iesakām katram subjektam:
- Informācijas drošības politika, ko apstiprinājusi vadība.
- Aktīvu reģistrs (sistēmas, ierīces, dati).
- Risku novērtēšanas ziņojums un risku reģistrs ar atbildīgajiem un termiņiem.
- Piekļuves kontroles politika un piekļuves tiesību pārskatīšanas dokumentācija.
- Incidentu pārvaldības procedūra ar ziņošanas veidlapām un kontaktiem.
- Incidentu žurnāls (pat ja pagaidām tas ir tukšs).
- Rezerves kopēšanas politika un atjaunošanas testu dokumentācija.
- Darbības nepārtrauktības plāns.
- Piegādātāju saraksts, to risku novērtējums un drošības pielikumi līgumiem.
- Ielāpu un ievainojamību pārvaldības procedūra.
- Darbinieku apmācību un vadības apmācību dokumentācija.
- Vadības lēmumi (protokoli), kas apstiprina pasākumus.
Jums nevajag simts lappušu dokumentu. Desmit īsi dokumenti, kurus cilvēki tiešām ievēro, ir labāki par vienu biezu mapi, ko neviens nav izlasījis.
Reģistrācija ir pelnījusi atsevišķu pieminēšanu. Subjektiem jāreģistrējas nacionālās kiberdrošības iestādes uzturētajā sarakstā un jānorāda kontaktinformācija, uz kuru tiks sūtīti brīdinājumi un ar kuru iestāde ar jums sazināsies pēc incidenta. Termiņi un kārtība ir atkarīgi no valsts. Tas ir vienkāršs solis, taču bez tā viss pārējais izskatās kā nesākts. Tāpat nozīmējiet personu, kas atbild par kiberdrošību, un noformējiet to ar rakstisku rīkojumu, jo iestāde prasīs tieši šo personu.
Visbiežāk redzamās kļūdas
Pirmkārt, sākt no dokumentiem, nevis no realitātes. Nokopēta politika, kurā teikts, ka daudzfaktoru autentifikācija ir ieslēgta visur, kamēr tā ir ieslēgta tikai e-pastam, pārbaudes laikā kaitēs vairāk nekā politikas neesamība.
Otrkārt, pieņēmums, ka IT pakalpojumu sniedzējs „nodrošinās” atbilstību jūsu vietā. Sniedzējs var sakārtot tehnisko pusi un sagatavot dokumentus, bet atbildība, lēmumi un vadības iesaiste paliek uzņēmumam.
Treškārt, aizmirsti incidentu ziņošanas termiņus. Uzņēmumam ir lieliska aizsardzība, bet, kad incidents notiek, neviens nezina, kam un kur 24 stundu laikā jāziņo.
No kā sākt
Ja šobrīd jums ir tikai antivīruss un labi nodomi, reālistisks ceļš izskatās šādi:
- Noskaidrojiet, vai esat subjekts un kurā grupā. Šaubu gadījumā labāk pārbaudīt, nekā uzzināt no iestādes.
- Veiciet risku novērtēšanu un aktīvu inventarizāciju. Tā rada pamatu visiem pārējiem dokumentiem un parāda, kur ir reālās nepilnības.
- Sakārtojiet tehniskos pamatus: daudzfaktoru autentifikācija, galapunktu aizsardzība, atsevišķi glabātas rezerves kopijas, atjaunināšanas process.
- Sagatavojiet incidentu pārvaldības procedūru un kopā ar vadību izejiet to „uz papīra”.
- Nodrošiniet vadības iesaisti: apstipriniet politikas, ieplānojiet apmācības, iekļaujiet drošību sēžu darba kārtībā.
Mēs varam iziet visu šo ceļu kopā ar jums. Mūsu NIS2 atbilstības pakalpojums aptver subjekta statusa novērtēšanu, risku novērtēšanu, dokumentu sagatavošanu un tehnisko pasākumu ieviešanu, bet, ja jums vajadzīgs pastāvīgs drošības vadītājs bez pilnas slodzes darbinieka pieņemšanas, CISO kā pakalpojums uztur dokumentus dzīvus arī pēc pārbaudes. Mūsu komandai ir spēkā esoši ISACA sertifikāti, un pakalpojumus sniedzam saskaņā ar ISO 27001 prasībām, tāpēc zinām, ko auditori jautā un ko pārbauda vispirms.
