Какво трябва да знаете за десетте мерки на NIS2?
Директивата NIS2 описва десет вида мерки, чрез които организациите могат да демонстрират своята цифрова сигурност. Не е въпрос за десет отделни правила, които трябва да отметнете едно по едно, а за десет области, в които организацията трябва да има политика и работни процедури. Много получатели буквално преехвърлят тези области в своята контролна лист за киберсигурност, тъй като те от своя страна трябва да могат да докажат, че техните доставчици се занимават с тях.
Дали директивата се отнася пряко до вашата организация, зависи от сектора, в който действате, и от вашия размер. Много по-малки компании не попадат пряко под NIS2, но въпреки това получават въпросите, защото техният клиент попада под нея и трябва да прави справки в цялата верига. Точно тази разлика между пряката приложимост на директивата и член на отговорността на някой друг е място, където възникват много объркване.
За какво се отнасят десетте области
Директивата споменава, наред с други неща, анализ на рисковете и политика за информационна сигурност, управление на инцидентите, непрекъсната деятелност на бизнеса и управление на кризи при прекъсване, както и сигурност на веригата на доставяне. Освен това тя споменава сигурност при закупуване, разработка и поддържане на мрежови и информационни системи, политика за оценка на ефективността на мерките, както и основни практики в киберхигиената и обучение за повишаване на осъзнаването на служителите. Последните области се отнасят до политика относно използването на криптография и криптиране, сигурност на персонала и политика за достъп, управление на активи на предприятието, както и използване на многофакторна аутентификация или подобни решения за защитена комуникация.
Важно е да се разбере, че това са области на политиката, а не контролна лист с един правилен отговор. Монтажна фирма с десет служители вероятно ще даде различен, по-прост отговор на всяка от тези области в сравнение със IT доставчик на услуги със сто служители. При това надзорните органи преглеждат дали мерките съответстват на рисковете, свързани с организацията, а не на фиксирана схема, която е еднаква за всички.
Защо вашият клиент ви задава тези въпроси
Ако вашият получател попада под NIS2, получателят трябва да може да докаже, че неговите доставчици също обръщат внимание на тези области. Поради това контролните листи често буквално преминават десетте области: имате ли процедура за инциденти, използвате ли многофакторна аутентификация, имате ли политика за вашите доставчици. За вас като получател на контролната лист, това често означава, че същите десет теми се появяват с малко по-различна редакция при всеки клиент, който изпраща листа.
Това е и най-големият практически проблем: не съдържанието на въпросите, а повторението. Една и съща информация относно вашата политика за пароли, вашите процедури за резервно копиране и вашето управление на инцидентите се задава в десет различни формата, с десет различни портала. Supplia е създадена, за да намали това повторяемо работа: вие отговаряте на тези теми веднъж в своя собствен верижен досие, и системата разпознава подобни въпроси в списъка на всеки нов клиент. Вие самостоятелно потвърждавате всеки отговор с да или не, преди той да отиде на портала на вашия клиент; Supplia не оценява нищо и не се регистрира никъде сама.
Как да го направите управляемо за себе си
Помага, да не започнете с самите десет области, а с това, което вече имате: политика за пароли, график на резервното копиране, списък с това кой има достъп до кои системи. Много от тези документи вече съществуват, но са разпръснати в папки и в главите. Организирането на това често изисква повече работа, отколкото действителното внедряване на нови мерки. обяснението по тема в базата знания преминава десетте области една по една с това, което е свързано с тях.
Ако искате бързо да знаете кои от тези области са вече в ред при вашата ситуация и кои изискват внимание, тогава дава проверката за разпознаване в няколко въпроса дава първо показание. За тези, които искат да знаят откъде идва информацията в Supplia и как се поддържа, то страницата за нашия начин на работа то обяснява.
Дали NIS2 се прилага във вашия конкретен случай и какви мерки точно са подходящи е нещо, което е най-добре да предложите на адвокат или на компетентния надзорен орган. Тази статия описва директивата в общи термини и не замества този съвет.
Разпознавате ли въпросите, които изпраща вашия клиент, но първо искате да видите как попълването работи на практика? Прочетете често задавани въпроси относно попълването и подаването или стартирайте безплатното бързо сканиране, за да видите кои теми са релевантни за вашата компания.