NIS2 jau čia: ką daryti vadovui, jei pasiruošimas dar nepradėtas?

Ant vadovo stalo atkeliauja svarbaus kliento saugumo klausimynas. Jame prašoma nurodyti, kada testuotas incidentų valdymo planas, kas įmonėje atsakingas už kibernetinį saugumą ir kaip vertinami IT paslaugų teikėjai.

Reklama

Pirmas impulsas – persiųsti klausimyną IT specialistui. Tačiau dalis klausimų yra ne techniniai, o valdymo: kas priima riziką, kas skiria biudžetą, kas atsako už veiklos tęstinumą ir ar vadovybė žino didžiausias įmonės spragas.

NIS2 direktyvą į Lietuvos teisę perkėlęs Kibernetinio saugumo įstatymas galioja nuo 2024 metų spalio. Identifikuotos organizacijos jau įtrauktos į Kibernetinio saugumo subjektų registrą, todėl pasiruošimas nebėra ateities projektas.

Vis dėlto pradėti dar galima nuosekliai. Svarbiausia nepulti pirkti pavienių saugumo įrankių ir pirmiausia išsiaiškinti, kas konkrečiai taikoma jūsų įmonei.

Ką sužinosite?

• Kaip pasitikrinti, ar įmonė yra tiesioginis NIS2 subjektas.
• Ką iš tikrųjų reiškia vadovo atsakomybė.
• Kokius penkis darbus atlikti pirmiausia.
• Kokius įrodymus verta pradėti kaupti jau dabar.

Pirmas klausimas – ar NIS2 taikoma tiesiogiai?

Vien to, kad įmonė veikia energetikos, transporto, sveikatos, gamybos ar skaitmeninių paslaugų srityje, nepakanka. Vertinama konkreti veikla, organizacijos dydis, teikiamų paslaugų svarba ir kiti įstatyme nustatyti kriterijai.

Mažoms ir labai mažoms įmonėms įstatymas paprastai netaikomas, tačiau yra išimčių. Pavyzdžiui, dydis gali nebūti lemiamas, jeigu įmonė yra vienintelė svarbios paslaugos teikėja arba jos veiklos sutrikimas sukeltų reikšmingų pasekmių visuomenei.

Lietuvoje subjektus identifikuoja Nacionalinis kibernetinio saugumo centras. Apie įtraukimą į Kibernetinio saugumo subjektų registrą organizacijos informuojamos tiesiogiai.

Todėl verta patikrinti:

• Ar įmonė gavo NKSC pranešimą?
• Kokia veikla nurodyta valstybės registruose?
• Ar įmonė atitinka dydžio kriterijus?
• Ar jai gali būti taikomi specialieji kriterijai?
• Nuo kurios datos skaičiuojami įgyvendinimo terminai?

Jeigu klientas atsiuntė NIS2 klausimyną, tai dar nėra įrodymas, kad jūsų įmonė tapo tiesioginiu reguliavimo subjektu. Tačiau tai rodo, kad saugumo reikalavimai ją pasiekė per tiekimo grandinę.

Šias dvi situacijas svarbu atskirti. Teisinės pareigos kyla iš įstatymo ir subjekto statuso, o kliento reikalavimai – iš sutartinių santykių. Klausimai gali būti panašūs, tačiau jų teisinis pagrindas ir pasekmės skiriasi.

Ką reiškia vadovo atsakomybė?

Atnaujintame Kibernetinio saugumo įstatyme saugumas nėra paliktas vien IT skyriui. Už reikalavimų įgyvendinimą tiesiogiai atsako organizacijos vadovas, kuris turi pasirūpinti ir už kibernetinį saugumą atsakingų asmenų paskyrimu.

Tai nereiškia, kad vadovas pats turi konfigūruoti ugniasienę ar tirti kiekvieną įtartiną laišką. Jo atsakomybė yra valdymo lygmens:

• patvirtinti saugumo kryptį ir prioritetus;
• aiškiai paskirstyti atsakomybes;
• skirti reikalingus išteklius;
• reguliariai gauti informaciją apie didžiausias rizikas;
• prižiūrėti, ar nustatyti trūkumai šalinami.

Vadovams ir valdymo organų nariams taip pat numatyti periodiniai kibernetinio saugumo mokymai. Jie reikalingi ne tam, kad vadovas taptų techniniu ekspertu, o kad suprastų, kokius sprendimus tvirtina ir kokią riziką prisiima.

Kaip jau yra rašęs portalas „Verslo idėjos“, kibernetinis saugumas turėtų tapti kasdienių operacijų ir veiklos tęstinumo dalimi, o ne likti vien formaliu teisinės atitikties projektu.

Penki pirmieji žingsniai

1. Patvirtinkite statusą ir terminus

Pirmiausia reikia raštu užfiksuoti, ar įmonė įtraukta į Kibernetinio saugumo subjektų registrą, kuriai kategorijai priskirta ir nuo kada skaičiuojami įgyvendinimo terminai.

NKSC nurodo, kad registruotiems subjektams organizaciniams reikalavimams įgyvendinti skiriama 12 mėnesių, o daliai techninių reikalavimų – 24 mėnesiai nuo įtraukimo į registrą.

Tačiau nereikėtų automatiškai manyti, kad iki šių terminų jokios pareigos negalioja. Incidentų pranešimo, duomenų pateikimo ir kitų prievolių taikymą verta įvertinti atskirai.

2. Paskirkite atsakingą žmogų

Saugumo darbams reikia aiškaus šeimininko. Tai gali būti vidinis darbuotojas, atskiras saugumo vadovas arba išorinis specialistas.

Mažesnei organizacijai steigti visą CISO etatą ne visada racionalu. Viena iš alternatyvų – išorinio saugumo vadovo modelis. Pavyzdžiui, „ACyber“ teikiama išorinio CISO paslauga gali apimti pasirengimo NIS2 vertinimą, saugumo politikų rengimą, incidentų ir veiklos tęstinumo valdymą, darbuotojų mokymus bei tiekėjų rizikų priežiūrą.

Svarbu ne pareigybės pavadinimas, o suteikti įgaliojimai. Atsakingas žmogus turi galėti gauti informaciją iš skirtingų padalinių, teikti rizikas vadovybei ir sekti, ar suplanuoti darbai vykdomi.

Išorinis CISO gali padėti koordinuoti procesą, tačiau galutinė vadovybės atsakomybė kitai įmonei neperduodama.

3. Atlikite esamos būklės vertinimą

Nebūtina iš karto pradėti nuo didelio sertifikavimo audito. Pirmasis vertinimas turi atsakyti į paprastesnį klausimą: kur yra didžiausias skirtumas tarp dabartinės įmonės būklės ir jai taikomų reikalavimų?

Vertinant reikėtų apimti ne tik dokumentus, bet ir realią veiklą:

• svarbiausias sistemas ir duomenis;
• administratoriaus bei kitų privilegijuotų paskyrų valdymą;
• atsarginių kopijų kūrimą ir atkūrimo testus;
• incidentų valdymo ir veiklos tęstinumo planus;
• programinės įrangos atnaujinimą ir pažeidžiamumų šalinimą;
• tiesioginius IT bei kitų kritinių paslaugų tiekėjus;
• darbuotojų mokymus.

Vertinimas nebūtinai turi būti atliekamas išorėje. Tačiau jį atliekantis žmogus turėtų gebėti objektyviai parodyti ne tik tai, kas įmonėje veikia, bet ir tai, kas iki šiol buvo atidėliojama.

4. Sudarykite prioritetų planą

Po vertinimo dažniausiai randama daugiau darbų, nei galima padaryti vienu metu. Todėl kiekvienai spragai verta nustatyti:

• rizikos lygį;
• atsakingą žmogų;
• reikalingą biudžetą;
• įgyvendinimo terminą;
• rezultatą patvirtinantį įrodymą.

Pirmiausia turėtų būti taisomos spragos, kurios gali lemti didžiausią veiklos sutrikimą. Dažnai tai nėra pats brangiausias projektas.

Kelių veiksnių autentifikavimo įjungimas, nenaudojamų paskyrų panaikinimas, atsarginių kopijų atkūrimo bandymas ar aiškaus incidentų kontaktų sąrašo parengimas gali duoti daugiau naudos nei naujas įrankis, kurio niekas nuolat neprižiūrės.

5. Išbandykite procesus ir pradėkite kaupti įrodymus

Politika, kurios niekas neskaitė, ir incidentų planas, kurio niekas nebandė, yra silpna apsauga. Todėl po dokumentų rengimo turi sekti praktinis testas.

Nebūtina iš karto organizuoti sudėtingų pratybų. Galima pradėti nuo stalo pratybų: vadovų ir atsakingų darbuotojų komandai pateikiamas scenarijus, pavyzdžiui, išpirkos reikalaujančios programos ataka arba svarbaus IT tiekėjo sutrikimas.

Tuomet tikrinama:

• kas pirmas pastebi incidentą;
• kas priima sprendimus;
• kaip susisiekiama, jei neveikia el. paštas;
• kam ir per kiek laiko pranešama;
• kaip tęsiamos svarbiausios operacijos;
• kas bendrauja su klientais ir institucijomis.

Po pratybų turi likti ne tik įspūdis, kad „sekėsi neblogai“, bet ir konkretus taisytinų dalykų sąrašas.

Kaip atrodo įrodymai?

Saugumo klausimynuose ir patikrinimuose neužtenka atsakymo „taip, turime“. Reikia gebėti parodyti, kaip procesas veikia.

Pavyzdžiui:

• Politika – patvirtintas dokumentas su versija, savininku ir peržiūros data.
• Mokymai – dalyvių sąrašas, mokymų data ir nagrinėtos temos.
• Atsarginės kopijos – ne tik techninė nuostata, bet ir atkūrimo bandymo rezultatas.
• Incidentų planas – pratybų protokolas ir po jų patvirtintas veiksmų sąrašas.
• Prieigų valdymas – periodinės vartotojų teisių peržiūros įrašas.
• Tiekėjų priežiūra – atliktas vertinimas ir sutartyje nustatytos saugumo sąlygos.

Įrodymai neturėtų būti kuriami paskutinę dieną prieš patikrinimą. Jie turi natūraliai atsirasti atliekant darbus.

Trys klaidos, kurių verta išvengti

Pirma – pradėti nuo technologijų pirkimo. Nežinant didžiausių rizikų lengva nusipirkti sprendimą, kuris gražiai atrodo pristatyme, bet neišsprendžia svarbiausios problemos.

Antra – apsiriboti dokumentų šablonais. Dokumentas reikalingas, tačiau jis turi atitikti tikrą įmonės struktūrą, sistemas ir atsakomybes. Plane nurodytas neegzistuojantis padalinys incidento metu nepadės.

Trečia – manyti, kad pasamdžius konsultantą atsakomybė perduota. Išorės specialistai gali įvertinti, parengti, koordinuoti ir testuoti. Tačiau vadovybė vis tiek turi priimti sprendimus, skirti išteklius ir prižiūrėti rezultatą.

Ką galima padaryti per pirmąsias 30 dienų?

Per mėnesį įmonė greičiausiai neįgyvendins visų NIS2 reikalavimų. Tačiau per šį laiką galima pereiti nuo neapibrėžtumo prie valdomo plano:

1. Patvirtinti įmonės statusą ir terminus.
2. Paskirti atsakingą žmogų.
3. Atlikti pradinį spragų vertinimą.
4. Sudaryti prioritetinį veiksmų planą.
5. Pašalinti kelias kritines spragas ir suplanuoti pirmąsias pratybas.

Vadovui svarbiausia ne apsimesti, kad viskas jau padaryta. Daug vertingiau aiškiai žinoti, kur įmonė yra šiandien, kas bus sutvarkyta pirmiausia ir kaip bus tikrinama pažanga.

NIS2 nėra vien dokumentų projektas. Tai būdas įsitikinti, kad sutrikus svarbiai sistemai įmonė nepradės veiksmų nuo klausimo: „Kas dabar už tai atsakingas?“