NIS2 checklist: čo si skontrolovať, aby ste obstáli pri dohľade
Tento checklist nie je spravený na odškrtávanie papiera. Pri každom bode by ste si mali vedieť odpovedať na jednoduchú otázku: vieme to preukázať dôkazom, alebo je to zatiaľ len „v hlave“?
Práve v tom býva rozdiel medzi tým, čo vyzerá dobre na porade, a tým, čo viete obhájiť pri audite, kontrole alebo dohľade.
Ako NIS2 checklist používať
Skôr než začnete, doplňte si pri každom bode dve veci:
kto je vlastník témy, teda meno alebo rola,
kde je uložený dôkaz.
Ak je dôkaz „niekde v e-mailoch“, rátajte to ako nehotové. Najväčší zmysel má začať kritickými procesmi a kľúčovými rizikami. Až potom riešte zvyšok.
Pre vedenie a riadenie
Skontrolujte si, či máte:
určenú zodpovednú osobu za kybernetickú bezpečnosť a jasné kompetencie, teda kto rozhoduje a kto schvaľuje výnimky,
pravidelný prehľad kľúčových rizík pre vedenie a jasné vysvetlenie, prečo sú prioritou,
definované hranice akceptácie rizík, teda čo je neakceptovateľné, čo znižujete a čo zostáva zvyškové,
nastavený rytmus revízie, napríklad kvartálne, a dohľadateľný výstup z každej revízie,
jasne pomenované kľúčové procesy, ktoré musia fungovať aj v obmedzenom režime,
nastavený režim výnimiek, teda kto ich schvaľuje, na ako dlho platia, kde sa evidujú a kedy sa prehodnocujú.
Aktíva, riziká a priority
Overte si, či máte:
prehľad kritických aktív, teda systémov, účtov, dát a dodávateľov, a viete obhájiť, prečo sú kritické,
pri aktívach určených vlastníkov, nie všeobecne „IT“, ale konkrétneho vlastníka za prevádzku alebo rozhodovanie,
riziká popísané ako scenáre, teda čo sa stane a aký bude dopad, nie len všeobecné pojmy typu phishing,
jednotné hodnotenie rizík, vrátane škál a definícií stupňov, aby bolo jasné, čo u vás znamená nízky, stredný a vysoký dopad,
pri každom kľúčovom riziku rozhodnutie o stave a vývoji, teda či je neriešené, znížené, zvyškové alebo akceptované,
pravidlo, kedy sa riziká musia prehodnotiť, pravidelne aj po zmene systému, dodávateľa alebo procesu,
prepojenie medzi rizikami a prioritami, teda čo riešite teraz, čo neskôr a prečo.
Dodávatelia a externé prístupy
Pri dodávateľoch a externistoch si skontrolujte, či:
viete, ktorí dodávatelia a externisti majú prístup do systémov a v akom rozsahu,
máte pravidlá pre udeľovanie a rušenie prístupov tretích strán, najmä pri ukončení spolupráce,
máte režim pre privilegované prístupy dodávateľov, napríklad oddelené účty, časové obmedzenie a schvaľovanie,
pri kľúčových dodávateľoch máte definované minimálne bezpečnostné očakávania a kontakt pre bezpečnostné témy,
viete zmeny u dodávateľa premietnuť do rizík, napríklad pri novom prístupe, migrácii alebo zmene služby,
sú dodávateľské riziká súčasťou vášho hodnotenia rizík, nie len samostatný zoznam bez priorít.
Technické minimum, ktoré musí byť obhájiteľné
Skontrolujte si, či máte:
viacfaktorové overovanie na účtoch s vysokým dopadom, napríklad na e-mailoch, v cloude a pri administrátorských účtoch,
oddelené administrátorské účty a jasné pravidlá pre privilegované prístupy,
režim správy zraniteľností a aktualizácií, teda čo je kritické, kto zodpovedá a aký je rytmus,
základnú ochranu koncových zariadení, vrátane pravidiel, aktualizácií a ochrany pred malvérom,
ochranu e-mailu proti bežným útokom a jasný spôsob nahlasovania podozrivých správ,
segmentáciu alebo aspoň obmedzenie šírenia problému v prostredí,
logovanie kľúčových udalostí a dohľadateľnosť, minimálne pri účtoch s vysokým dopadom a pri kritických systémoch,
pravidlá pre prácu so zariadeniami a vzdialený prístup, vrátane externistov, home office a práce s citlivými dátami.
Kontinuita a obnova
Pri kontinuite a obnove si overte, či:
viete, ktoré služby musia byť obnovené ako prvé a prečo,
máte aspoň orientačne definovaný prijateľný čas výpadku pre kľúčové procesy,
sú zálohy preukázateľné a obnova je reálne otestovaná,
viete fungovať v dočasnom režime, ak je to pre vás relevantné,
zmeny infraštruktúry spúšťajú revíziu, aby vám obnova nezostarla po migrácii alebo zmene dodávateľa.
Oznamovanie a dôkazný režim
Skontrolujte si, či máte:
jasné kritériá, čo považujete za významnú udalosť a kto rozhoduje o eskalácii,
určené roly pre komunikáciu dovnútra, k dodávateľom a k vedeniu,
minimum evidencie bez chaosu, teda časovú os, dotknuté systémy, dopad, rozhodnutia a ďalší krok,
pripravený formát reportu pre vedenie, teda dopad, priority, ďalšie rozhodnutie a čas ďalšej aktualizácie.
Dôkazy na kontrolu
Ak má byť checklist naozaj použiteľný, potrebujete mať pripravený aj jeden balík dôkazov, ktorý nebudete skladať deň pred kontrolou.
Minimum je mať poruke:
prehľad kľúčových rizík a ich stav či vývoj,
metodiku hodnotenia rizík, teda škály a definície,
zoznam kritických aktív a ich vlastníkov,
zoznam dodávateľov s prístupmi a pravidlá udeľovania či rušenia prístupov,
poslednú revíziu rizík, vrátane dátumu, rozhodnutí a zmien,
dôkaz o kontrole prístupov, minimálne pri privilegovaných účtoch a externistoch,
dôkaz o zálohách a teste obnovy, aspoň pri kritických službách,
evidenciu výnimiek, teda kto ich schválil, na ako dlho a kedy sa prehodnocujú.
Ako pomáha RiskMinder
NIS2 checklist sa najčastejšie rozpadne na konzistentnosti. Iné názvy, iné hodnotenia, chýbajúci vlastníci a po pár mesiacoch všetko zastará. RiskMinder pomáha udržať checklist ako systém.
RiskMinder podporuje najmä procesnú časť riadenia rizík:
vedenie registra aktív, hrozieb, zraniteľností a rizík v jednom prostredí,
jednotné hodnotenie rizík naviazané na NIS2, zákon o kybernetickej bezpečnosti, požiadavky NBÚ a ISO 27001,
priraďovanie vlastníkov rizík a sledovanie stavu a vývoja riadených rizík, teda či sú neriešené, znížené, zvyškové alebo akceptované,
rozširovanie katalógov podľa potrieb zákazníka, napríklad pre hrozby, zraniteľnosti, následky a opatrenia,
generovanie výstupov použiteľných pre vedenie, audit a dohľad.
Ak máte NIS2 postavené na prehľade aktív, jednotnom hodnotení rizík a pravidelnej revízii, checklist sa z jednorazovej kontroly zmení na rutinu, ktorú viete udržať aj obhájiť pri dohľade.
Komentáre