Κάθε σοβαρό πλαίσιο κυβερνοασφάλειας ξεκινά από το ίδιο έγγραφο: μια γραπτή πολιτική ασφάλειας πληροφοριών (ISSP), εγκεκριμένη από τη διοίκηση. Η NIS2 την αναφέρει πρώτη ανάμεσα στα μέτρα διαχείρισης κινδύνων του άρθρου 21, και το ISO/IEC 27001 την καθιστά απαίτηση της ρήτρας 5.2. Το Security Policy Express καθοδηγεί μια ευρωπαϊκή ΜΜΕ μέσα από ένα διαδικτυακό εργαστήριο με καθοδηγούμενες ερωτήσεις και δημιουργεί στο όνομά της μια δομημένη πρώτη έκδοση: ένα προσχέδιο εργασίας για να το εξετάσουν οι σύμβουλοί σας, όχι νομική συμβουλή.
Η απάντηση σε ένα λεπτό, για έναν διευθύνοντα σύμβουλο που δεν είναι ειδικός πληροφορικής.
Μια πολιτική ασφάλειας πληροφοριών (συχνά με τη συντομογραφία ISSP, ή PSSI στα γαλλικά) είναι το έγγραφο στο οποίο η διοίκησή σας δηλώνει, γραπτώς, πώς η εταιρεία προστατεύει τις πληροφορίες και τα πληροφοριακά της συστήματα, ποιος είναι υπεύθυνος για τι, και ποιους κανόνες πρέπει να τηρεί όλο το προσωπικό. Είναι σύντομη στην κορυφή (μια δήλωση πολιτικής υπογεγραμμένη από τη διοίκηση) και πιο λεπτομερής από κάτω (κανόνες ανά θέμα και επιχειρησιακές διαδικασίες). Δεν είναι τεχνικό εγχειρίδιο: είναι μια απόφαση της διοίκησης, γραμμένη στο χαρτί, στην οποία μπορεί να αναφέρεται το υπόλοιπο έργο ασφάλειάς σας.
Το ISO/IEC 27001 αναθέτει την πολιτική στην «ανώτατη διοίκηση» (top management), και η NIS2 στο άρθρο 20 ζητά από τα όργανα διοίκησης των οντοτήτων που εμπίπτουν στο πεδίο να εγκρίνουν τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας και να εποπτεύουν την εφαρμογή τους. Ο πάροχος πληροφορικής σας μπορεί να βοηθήσει στη σύνταξη, αλλά μόνο η διοίκηση μπορεί να την κατέχει.
Πηγές: Οδηγία (ΕΕ) 2022/2555, άρθρο 20 · ISO/IEC 27001:2022, ρήτρα 5Η καλή πρακτική διακρίνει τρία επίπεδα. Η πολιτική δηλώνει αρχές και ευθύνες. Οι πολιτικές ανά θέμα (έλεγχος πρόσβασης, αντίγραφα ασφαλείας, κρυπτογράφηση, προμηθευτές...) τις μεταφράζουν ανά τομέα. Οι διαδικασίες περιγράφουν ποιος κάνει τι, βήμα προς βήμα, όταν συμβαίνει κάτι. Ο έλεγχος 5.1 του ISO/IEC 27001 αναφέρει ρητά τόσο την πολιτική όσο και τις πολιτικές ανά θέμα.
Πηγή: ISO/IEC 27001:2022, Παράρτημα Α, έλεγχος 5.1Κανένα ευρωπαϊκό κείμενο δεν επιβάλλει ένα μοναδικό υπόδειγμα. Το άρθρο 21 παράγραφος 1 της NIS2 ζητά μέτρα «κατάλληλα και αναλογικά», λαμβάνοντας υπόψη την έκθεση της οντότητας σε κινδύνους, το μέγεθός της και την πιθανότητα και τη σοβαρότητα των συμβάντων. Μια μεταποιητική επιχείρηση 40 ατόμων και ένα νοσοκομείο δεν θα γράψουν την ίδια πολιτική, και ούτε πρέπει.
Πηγή: Οδηγία (ΕΕ) 2022/2555, άρθρο 21 παρ. 1Μια πολιτική που γράφτηκε μία φορά και αρχειοθετήθηκε δεν προστατεύει τίποτα. Τα πλαίσια αναμένουν να γνωστοποιείται στο προσωπικό, να γίνεται αποδεκτή από αυτό και να επανεξετάζεται σε προγραμματισμένα διαστήματα και μετά από σημαντικές αλλαγές. Γι' αυτό η πολιτική σας πρέπει να περιλαμβάνει από την πρώτη μέρα τον δικό της κύκλο επανεξέτασης, τον υπεύθυνο και το ιστορικό εκδόσεων.
Πηγή: ISO/IEC 27001:2022, ρήτρα 5.2 και έλεγχος 5.1Οι περισσότερες μικρές και μεσαίες εταιρείες εφαρμόζουν ήδη κάποιους κανόνες ασφάλειας. Αυτό που συνήθως λείπει είναι η γραπτή, εγκεκριμένη και συνεκτική εκδοχή που μπορεί πραγματικά να διαβάσει μια ρυθμιστική αρχή, ένας ελεγκτής, ένας ασφαλιστής ή ένας μεγάλος πελάτης.
Η NIS2 επεκτείνει τους ευρωπαϊκούς κανόνες κυβερνοασφάλειας σε πολλές μεσαίες εταιρείες σε τομείς όπως η βιομηχανία, τα τρόφιμα, η διαχείριση αποβλήτων, οι μεταφορές ή οι ψηφιακές υπηρεσίες. Για τις οντότητες που εμπίπτουν στο πεδίο, οι «πολιτικές ανάλυσης κινδύνων και ασφάλειας συστημάτων πληροφοριών» είναι το πρώτο μέτρο του άρθρου 21 παράγραφος 2.
Η NIS2 στο άρθρο 21 παράγραφος 2 στοιχείο δ) απαιτεί από τις οντότητες που εμπίπτουν στο πεδίο να αντιμετωπίζουν την ασφάλεια της αλυσίδας εφοδιασμού, συμπεριλαμβανομένων των πτυχών ασφάλειας στις σχέσεις τους με τους άμεσους προμηθευτές. Ακόμη κι αν είστε εκτός πεδίου, οι μεγαλύτεροι πελάτες σας μπορεί να ζητήσουν να δείτε γραπτή πολιτική ασφάλειας στα ερωτηματολόγια προμηθευτών.
Η σύνταξη πολιτικής σημαίνει να απαντήσετε σε πολλές ερωτήσεις ταυτόχρονα: ποια είναι τα κρίσιμα περιουσιακά μας στοιχεία, ποιος αποφασίζει, τι κάνουμε σε περίπτωση επίθεσης ransomware, πόσο καιρό κρατάμε τα αντίγραφα ασφαλείας; Χωρίς δομή, η άσκηση τείνει να αναβάλλεται, τρίμηνο μετά τρίμηνο.
Τα υποδείγματα που κατεβάζονται από το διαδίκτυο συχνά περιγράφουν έναν οργανισμό με υπεύθυνο ασφαλείας, κέντρο επιχειρήσεων ασφαλείας και αποκλειστικό προϋπολογισμό. Ένα έγγραφο που δεν ταιριάζει με την πραγματικότητα είναι χειρότερο από κανένα: δεν θα εφαρμοστεί, και ένας ελεγκτής θα παρατηρήσει το χάσμα ανάμεσα στο χαρτί και στην πράξη.
Το ίδιο έγγραφο απαντά σε πολλά κείμενα ταυτόχρονα. Ακολουθεί τι λέει πραγματικά το καθένα, με σύνδεσμο προς την επίσημη πηγή. Κάθε αναφορά οδηγεί στην επίσημη πηγή· οι εθνικές μεταφορές μπορεί να προσθέτουν λεπτομέρειες.
Οι βασικές και σημαντικές οντότητες πρέπει να λαμβάνουν «κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα» για τη διαχείριση των κινδύνων κυβερνοασφάλειας, με βάση προσέγγιση όλων των κινδύνων. Ο κατάλογος του άρθρου 21 παράγραφος 2 ανοίγει με το «α) πολιτικές ανάλυσης κινδύνων και ασφάλειας συστημάτων πληροφοριών». Το άρθρο 20 προσθέτει ότι τα όργανα διοίκησης εγκρίνουν αυτά τα μέτρα, εποπτεύουν την εφαρμογή τους και παρακολουθούν την εκπαίδευση.
Η ρήτρα 5.2 απαιτεί από την ανώτατη διοίκηση να θεσπίσει πολιτική ασφάλειας πληροφοριών κατάλληλη για τον σκοπό του οργανισμού, που παρέχει πλαίσιο για τους στόχους ασφάλειας και περιλαμβάνει δεσμεύσεις για την τήρηση των εφαρμοστέων απαιτήσεων και για τη συνεχή βελτίωση. Πρέπει να είναι τεκμηριωμένη, να γνωστοποιείται εσωτερικά και να είναι διαθέσιμη σε ενδιαφερόμενα μέρη όπου ενδείκνυται. Ο έλεγχος 5.1 του Παραρτήματος Α επεκτείνει αυτή την απαίτηση στις πολιτικές ανά θέμα, που πρέπει να είναι εγκεκριμένες, δημοσιευμένες, αποδεκτές από το προσωπικό και επανεξεταζόμενες.
Το άρθρο 24 παράγραφος 2 ορίζει ότι, όπου ενδείκνυται σε σχέση με τις δραστηριότητες επεξεργασίας, τα μέτρα του υπευθύνου επεξεργασίας περιλαμβάνουν «την εφαρμογή κατάλληλων πολιτικών προστασίας δεδομένων». Το άρθρο 32 απαιτεί κατάλληλα τεχνικά και οργανωτικά μέτρα για επίπεδο ασφάλειας ανάλογο του κινδύνου. Μια πολιτική ασφάλειας είναι το φυσικό σημείο για να τεκμηριωθούν αυτά τα μέτρα.
Για ορισμένους τύπους ψηφιακών οντοτήτων (π.χ. πάροχοι υπολογιστικού νέφους, κέντρων δεδομένων και διαχειριζόμενων υπηρεσιών), η Επιτροπή υιοθέτησε λεπτομερείς τεχνικές και μεθοδολογικές απαιτήσεις. Το παράρτημά της ανοίγει με μια «πολιτική ασφάλειας των συστημάτων δικτύου και πληροφοριών» και περιγράφει πώς εγκρίνεται, τεκμηριώνεται και επανεξετάζεται. Ακόμη κι αν η εταιρεία σας δεν ανήκει σε αυτούς τους τύπους οντοτήτων, το παράρτημα είναι χρήσιμη δημόσια αναφορά για τη δομή μιας πολιτικής.
Για τις χρηματοπιστωτικές οντότητες, το DORA απαιτεί να αναπτύξουν και να τεκμηριώσουν πολιτική ασφάλειας πληροφοριών που ορίζει κανόνες για την προστασία της διαθεσιμότητας, της αυθεντικότητας, της ακεραιότητας και της εμπιστευτικότητας των δεδομένων, των πληροφοριακών αγαθών και των αγαθών ΤΠΕ. Αν είστε πάροχος ΤΠΕ σε τράπεζα ή ασφαλιστική, περιμένετε ότι ο πελάτης σας θα ρωτήσει πώς συγκρίνεται η δική σας πολιτική.
Οι εθνικές αρχές κυβερνοασφάλειας δημοσιεύουν δωρεάν οδηγίες πάνω στις οποίες μπορεί να βασιστεί μια πολιτική. Στη Γαλλία, ο οδηγός υγιεινής πληροφορικής της ANSSI προβλέπει 42 βασικά μέτρα για όσους είναι υπεύθυνοι για την ασφάλεια του πληροφοριακού συστήματος ενός οργανισμού. Ο ENISA, ο Οργανισμός της ΕΕ για την Κυβερνοασφάλεια, δημοσιεύει οδηγίες που υποστηρίζουν την εφαρμογή της NIS2 σε ολόκληρη την Ένωση.
Το άρθρο 21 παράγραφος 2 της NIS2 απαριθμεί δέκα ελάχιστα μέτρα. Το στοιχείο α) είναι η ίδια η πολιτική, αλλά μια καλά δομημένη πολιτική είναι επίσης το σημείο όπου τα υπόλοιπα εννέα βρίσκουν τον υπεύθυνο, τον κανόνα και τη διαδικασία τους. Έτσι δομούμε το παραγόμενο έγγραφο.
Η δήλωση πολιτικής, το πεδίο εφαρμογής, οι ρόλοι και η μέθοδος με την οποία εντοπίζετε και βαθμολογείτε τους κινδύνους. Είναι η ραχοκοκαλιά του εγγράφου.
Μια διαδικασία διαχείρισης συμβάντων: εντοπισμός, διαβάθμιση, κλιμάκωση, περιορισμός, κοινοποίηση και διδάγματα.
Διαχείριση αντιγράφων ασφαλείας, αποκατάσταση μετά από καταστροφή και διαχείριση κρίσεων, όπως το διατυπώνει η οδηγία: ποιος αποφασίζει, τι επανεκκινείται πρώτο, πόσο συχνά ελέγχονται τα αντίγραφα.
Κανόνες για την επιλογή, τη σύναψη σύμβασης και την παρακολούθηση των προμηθευτών ΤΠ και των παρόχων υπηρεσιών, συμπεριλαμβανομένων των ρητρών ασφάλειας που περιμένετε από αυτούς.
Πώς επιλέγονται και ρυθμίζονται τα νέα συστήματα, πώς εφαρμόζονται οι ενημερώσεις και πώς αντιμετωπίζονται και γνωστοποιούνται οι ευπάθειες.
Πολιτικές και διαδικασίες για τον έλεγχο της λειτουργίας των μέτρων: δείκτες, εσωτερικές επισκοπήσεις, ασκήσεις και επισκόπηση από τη διοίκηση.
Οι καθημερινοί κανόνες (κωδικοί πρόσβασης, ενημερώσεις, ευαισθητοποίηση για το phishing) και ένα πρόγραμμα εκπαίδευσης, συμπεριλαμβανομένης της διοίκησης, όπως απαιτεί το άρθρο 20 παράγραφος 2 για τα όργανα διοίκησης.
Πότε πρέπει να κρυπτογραφούνται τα δεδομένα (φορητοί υπολογιστές, αντίγραφα ασφαλείας, μεταφορές), ποια πρωτόκολλα είναι αποδεκτά και ποιος διαχειρίζεται τα κλειδιά.
Προσλήψεις, μετακινήσεις και αποχωρήσεις· ποιος αποκτά ποια πρόσβαση και ποιος την εγκρίνει· απογραφή των περιουσιακών στοιχείων με τους κατόχους τους.
Πού απαιτείται έλεγχος ταυτότητας πολλών παραγόντων ή συνεχής έλεγχος ταυτότητας, και πώς προστατεύονται οι φωνητικές επικοινωνίες, οι βιντεοκλήσεις, τα γραπτά μηνύματα και οι επείγουσες επικοινωνίες.
Οι αναφορές στο ISO/IEC 27001 είναι ενδεικτικές αντιστοιχίες που συντάξαμε για να σας βοηθήσουμε να πλοηγηθείτε, και δεν αποτελούν επίσημη αντιστοίχιση που δημοσιεύει το ISO ή η Ευρωπαϊκή Επιτροπή. Πηγή για τα δέκα μέτρα: Οδηγία (ΕΕ) 2022/2555, άρθρο 21 παρ. 2.
Το παραγόμενο έγγραφο ακολουθεί δομή που θα αναγνωρίσει ένας ελεγκτής, ένας ασφαλιστής ή ένας πελάτης. Κάθε κεφάλαιο συμπληρώνεται από τις απαντήσεις που δίνετε στο εργαστήριο, ώστε να περιγράφει την εταιρεία σας και όχι μια φανταστική.
Η δέσμευση της διοίκησης, σε λίγες παραγράφους, υπογεγραμμένη και χρονολογημένη.
Ποιος αποφασίζει, ποιος εφαρμόζει, ποιος ελέγχει, και αυτό ισχύει ακόμη και όταν η ΤΠ έχει ανατεθεί σε εξωτερικό πάροχο.
Ένας απλός, επαναλήψιμος τρόπος για να εντοπίζετε, να βαθμολογείτε και να αντιμετωπίζετε τους κινδύνους.
Το να ξέρετε τι προστατεύετε πριν αποφασίσετε πώς.
Ποιος μπορεί να έχει πρόσβαση σε τι, και πώς αποδεικνύεται αυτό.
Η τεχνική βάση, γραμμένη με απλή γλώσσα.
Πού απαιτείται κρυπτογράφηση και πώς διαχειρίζεται.
Ασφάλεια στις σχέσεις σας με παρόχους ΤΠ και υπηρεσίες νέφους.
Η ανθρώπινη πλευρά, από την πρόσληψη ως την αποχώρηση.
Χώροι, αίθουσες διακομιστών και εξοπλισμός εκτός γραφείου.
Οι αρχές, που αναλύονται στις διαδικασίες παρακάτω.
Πώς η πολιτική παραμένει ζωντανή και αληθινή.
Η πολιτική λέει τι πρέπει να γίνει· η διαδικασία λέει ποιος το κάνει, με ποια σειρά και με ποιο αρχείο. Αυτές είναι οι τέσσερις που ζητούν πιο συχνά πελάτες και ελεγκτές, και εκείνες που έχουν τη μεγαλύτερη σημασία την ημέρα που κάτι πάει στραβά.
Από την πρώτη ειδοποίηση μέχρι την τελική έκθεση: πώς το προσωπικό αναφέρει ένα ύποπτο γεγονός, ποιος το διαβαθμίζει, ποιος απομονώνει τα επηρεαζόμενα συστήματα, ποιος επικοινωνεί με τον πάροχο ΤΠ, την ασφαλιστική σας και τις αρχές, και πώς διατηρούνται τα τεκμήρια.
Πώς ζητείται, εγκρίνεται, δημιουργείται, τροποποιείται και αφαιρείται ένας λογαριασμός. Η διαδικασία καλύπτει τις προσλήψεις, τις αλλαγές ρόλου και τις αποχωρήσεις, τους λογαριασμούς διαχειριστή, τους κοινόχρηστους και τους λογαριασμούς υπηρεσιών, καθώς και την περιοδική επισκόπηση όπου ένας υπεύθυνος επιβεβαιώνει ότι κάθε άτομο εξακολουθεί να χρειάζεται την πρόσβαση που έχει.
Πώς περιγράφεται, αξιολογείται ως προς τον κίνδυνο, εγκρίνεται, δοκιμάζεται, εφαρμόζεται και, αν χρειαστεί, επαναφέρεται μια αλλαγή σε παραγωγικό σύστημα (νέα εφαρμογή, κανόνας τείχους προστασίας, σημαντική ενημέρωση). Σε μια μικρή εταιρεία μπορεί να είναι ελαφριά: μια σύντομη φόρμα και ένα ημερολόγιο αρκούν, αρκεί να υπάρχουν και να χρησιμοποιούνται.
Τι αντιγράφεται, πόσο συχνά, πού, για πόσο καιρό, και πάνω από όλα πώς ελέγχεται η επαναφορά. Η διαδικασία συνδέει τα αντίγραφα με τους στόχους ανάκτησης ανά κρίσιμη δραστηριότητα και περιγράφει την οργάνωση κρίσης: ποιος αποφασίζει, ποιος επικοινωνεί, ποια συστήματα επανεκκινούν πρώτα.
Η πολιτική γράφεται για τη διοίκηση και την ΤΠ. Η πολιτική αποδεκτής χρήσης (AUP) γράφεται για όλους τους υπόλοιπους: το σύντομο, ευανάγνωστο σύνολο κανόνων που κάθε εργαζόμενος, προσωρινός ή συνεργάτης αποδέχεται πριν χρησιμοποιήσει την ΤΠ της εταιρείας.
Χρήση λογαριασμών και κωδικών, email και μηνύματα, πρόσβαση στο διαδίκτυο, προσωπική χρήση ανεκτή ή μη, κινητές συσκευές και τηλεργασία, αφαιρούμενα μέσα, υπηρεσίες νέφους και εργαλεία γενετικής τεχνητής νοημοσύνης, εμπιστευτικότητα, αναφορά συμβάντων, και τι μπορεί να παρακολουθεί η εταιρεία και γιατί.
Ο έλεγχος 5.10 του ISO/IEC 27001 απαιτεί να εντοπίζονται, να τεκμηριώνονται και να εφαρμόζονται κανόνες για την αποδεκτή χρήση των πληροφοριών και των άλλων συναφών περιουσιακών στοιχείων. Κρατώντας αυτούς τους κανόνες σε χωριστό παράρτημα, είναι ευκολότερο να διαβαστούν, να υπογραφούν, να ενημερωθούν και να επισυναφθούν σε έγγραφα απασχόλησης.
Όταν η AUP αναφέρει καταγραφή ή παρακολούθηση της δραστηριότητας του προσωπικού, ισχύει το δίκαιο προστασίας δεδομένων: οι εργαζόμενοι πρέπει να ενημερώνονται (ΓΚΠΔ άρθρο 13), και τα κράτη μέλη μπορούν να θεσπίζουν πιο ειδικούς κανόνες για το πλαίσιο απασχόλησης (ΓΚΠΔ άρθρο 88). Οι αρχές προστασίας δεδομένων, όπως η γαλλική CNIL, δημοσιεύουν οδηγίες για το τι είναι αποδεκτό.
Το να γίνει η AUP δεσμευτική για τους εργαζομένους μπορεί να απαιτεί εθνικές διατυπώσεις. Στη Γαλλία, για παράδειγμα (να επιβεβαιωθεί με τον σύμβουλό σας σε σχέση με τον Κώδικα Εργασίας), τέτοιοι κανόνες συνήθως προσαρτώνται στον εσωτερικό κανονισμό (règlement intérieur), που ακολουθεί διαδικασία ορισμένη από τον Κώδικα Εργασίας, συμπεριλαμβανομένης της διαβούλευσης με τους εκπροσώπους του προσωπικού. Ελέγξτε τους κανόνες της χώρας σας με τον σύμβουλό σας.
Πηγές: ISO/IEC 27001:2022, A.5.10 · Κανονισμός (ΕΕ) 2016/679, άρθρα 13, 88 · CNIL · Légifrance, Γαλλικός Κώδικας Εργασίας, άρθρα L1321-4 και L1321-5.
Μια πολιτική περιγράφει μια εταιρεία που αλλάζει: νέο προσωπικό, νέο λογισμικό, νέοι προμηθευτές, νέες απειλές. Τα πλαίσια που αναφέρουμε αναμένουν γενικά να ενημερώνεται. Το παραγόμενο έγγραφο περιλαμβάνει το δικό του ημερολόγιο επανεξέτασης, τον υπεύθυνο και πίνακα εκδόσεων.
Η πρώτη έκδοση εγκρίνεται από τη διοίκηση, χρονολογείται και παίρνει αριθμό έκδοσης. Σύμφωνα με το άρθρο 20 παρ. 1 της NIS2, τα όργανα διοίκησης των οντοτήτων που εμπίπτουν στο πεδίο εγκρίνουν τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας· σύμφωνα με τη ρήτρα 5.2 του ISO/IEC 27001, η ανώτατη διοίκηση θεσπίζει την πολιτική.
Η πολιτική δημοσιεύεται εσωτερικά· η πολιτική αποδεκτής χρήσης γίνεται αποδεκτή από κάθε χρήστη. Ο έλεγχος 5.1 του ISO/IEC 27001 αναμένει ότι οι πολιτικές γνωστοποιούνται στο σχετικό προσωπικό και γίνονται αποδεκτές από αυτό.
Ο έλεγχος 5.1 του ISO/IEC 27001 ζητά επανεξέταση σε προγραμματισμένα διαστήματα και αν συμβούν σημαντικές αλλαγές. Μια ετήσια επανεξέταση είναι λογική προεπιλογή για ΜΜΕ· ο Εκτελεστικός κανονισμός (ΕΕ) 2024/2690 πλαισιώνει επίσης την επανεξέταση της πολιτικής για τους τύπους ψηφιακών οντοτήτων που καλύπτει.
Ένα σοβαρό συμβάν, μια συγχώνευση, ένα νέο υποκατάστημα, η μετάβαση στο νέφος ή ένας νέος κανονισμός είναι όλα λόγοι να ανοίξει ξανά το έγγραφο, χωρίς να περιμένετε την επέτειο. Τα διδάγματα από τα συμβάντα τροφοδοτούν την επόμενη έκδοση.
Πίνακας εκδόσεων, αρχείο έγκρισης, κατάλογος αλλαγών, επιβεβαιώσεις αποδοχής. Την ημέρα που ένας ελεγκτής, ένας ασφαλιστής ή ένας πελάτης το ζητήσει, αυτό το ιστορικό δείχνει ότι η πολιτική εφαρμόζεται και δεν είναι απλώς γραμμένη. Η ρήτρα 7.5 του ISO/IEC 27001 διέπει αυτή την τεκμηριωμένη πληροφορία.
Το Security Policy Express έχει σχεδιαστεί ως εργαλείο αυτοεξυπηρέτησης. Εσείς κρατάτε τον έλεγχο του περιεχομένου· το εργαλείο παρέχει τη δομή, τις ερωτήσεις και τις αναφορές.
Ένα σύντομο τεστ ρωτά για τον τομέα, το μέγεθος, τις δραστηριότητες και τους πελάτες σας, και σας λέει αν είναι πιθανό να σας αφορά η NIS2, ποια άλλα κείμενα μπορεί να είναι σχετικά, και ποια μέρη της πολιτικής έχουν τη μεγαλύτερη σημασία στην περίπτωσή σας. Σας παραπέμπει στα επίσημα εργαλεία της εθνικής αρχής σας για οριστική απάντηση.
Απαντάτε, με δικά σας λόγια, σε μια σειρά καθοδηγούμενων ερωτήσεων κεφάλαιο προς κεφάλαιο: για τον οργανισμό σας, τις κρίσιμες δραστηριότητές σας, τον πάροχο ΤΠ, τα αντίγραφα ασφαλείας, τον τρόπο που διαχειρίζεστε τις αποχωρήσεις, τι θα κάνατε σε περίπτωση ransomware. Κάθε ερώτηση εξηγεί γιατί τίθεται και ποιο άρθρο ή ποιον έλεγχο αφορά. Μπορείτε να σταματήσετε και να συνεχίσετε ανά πάσα στιγμή.
Το εργαλείο δημιουργεί την πολιτική, τις τέσσερις διαδικασίες και το παράρτημα αποδεκτής χρήσης στο όνομα της εταιρείας σας, από τις απαντήσεις σας. Όπου λείπει μια απάντηση, το έγγραφο το δηλώνει ρητά αντί να καλύψει το κενό με γενικό κείμενο. Το αποτέλεσμα είναι ένα προσχέδιο εργασίας, που πρέπει να εξεταστεί και να επικυρωθεί από τους δικούς σας συμβούλους (δικηγόρο, πάροχο ΤΠ, υπεύθυνο προστασίας δεδομένων) πριν από την έγκριση της διοίκησης.
Αν θέλετε βοήθεια για να εξετάσετε κριτικά τις απαντήσεις σας, να προσαρμόσετε το έγγραφο σε συγκεκριμένο πλαίσιο ή να προετοιμάσετε έναν έλεγχο, μπορείτε να ζητήσετε υποστήριξη από σύμβουλο συνεργάτη. Αυτό το βήμα είναι προαιρετικό: η διαδρομή αυτοεξυπηρέτησης είναι πλήρης και χωρίς αυτό.
Σημαντικό: το παραγόμενο έγγραφο είναι βάση εργασίας. Δεν αποτελεί νομική συμβουλή και δεν καθιστά από μόνο του την εταιρεία σας συμμορφωμένη με την NIS2, την ISO/IEC 27001, τον ΓΚΠΔ ή οποιονδήποτε εθνικό νόμο. Η συμμόρφωση εξαρτάται από όσα εφαρμόζετε πραγματικά και παραμένει δική σας ευθύνη.
Τρία δομικά στοιχεία, που παράγονται μαζί από το ίδιο εργαστήριο. Η διαθεσιμότητα και οι όροι θα ανακοινωθούν κατά την κυκλοφορία.
Το βασικό έγγραφο, υπογεγραμμένο από τη διοίκηση.
Αυτό που θέτει την πολιτική σε λειτουργία.
Για να βρίσκετε τον δρόμο σας μέσα στα κείμενα.
Δύο καταστάσεις δεν πρέπει να συγχέονται: μια νομική υποχρέωση για εταιρείες που εμπίπτουν στο πεδίο της NIS2 (ή του DORA), και μια έντονα συνιστώμενη καλή πρακτική για όλους τους υπόλοιπους.
Η NIS2 εφαρμόζεται γενικά σε δημόσιες ή ιδιωτικές οντότητες ενός τύπου που απαριθμείται στο Παράρτημα I ή II, που χαρακτηρίζονται ως μεσαίες επιχειρήσεις ή υπερβαίνουν τα όρια για μεσαίες επιχειρήσεις, όπως ορίζονται στη Σύσταση 2003/361/ΕΚ της Επιτροπής (άρθρο 2 παρ. 1). Ορισμένοι τύποι οντοτήτων καλύπτονται ανεξαρτήτως μεγέθους (άρθρο 2 παρ. 2). Οι οντότητες κατατάσσονται στη συνέχεια ως «βασικές» ή «σημαντικές» (άρθρο 3), κάτι που επηρεάζει την εποπτεία και τις κυρώσεις, αλλά και τα δύο πρέπει να εφαρμόζουν το άρθρο 21.
Παράρτημα I (τομείς υψηλής κρισιμότητας): ενέργεια, μεταφορές, τραπεζικός τομέας, υποδομές χρηματοπιστωτικών αγορών, υγεία, πόσιμο νερό, λύματα, ψηφιακή υποδομή, διαχείριση υπηρεσιών ΤΠΕ (από επιχείρηση σε επιχείρηση), δημόσια διοίκηση και διάστημα. Παράρτημα II (άλλοι κρίσιμοι τομείς): ταχυδρομικές υπηρεσίες και υπηρεσίες courier, διαχείριση αποβλήτων, χημικά, τρόφιμα, βιομηχανία (συμπεριλαμβανομένων ιατρικών συσκευών, ηλεκτρονικών, ηλεκτρικού εξοπλισμού, μηχανημάτων και οχημάτων), ψηφιακοί πάροχοι και έρευνα.
Η NIS2 είναι οδηγία: τα κράτη μέλη έπρεπε να τη μεταφέρουν έως τις 17 Οκτωβρίου 2024 και να εφαρμόζουν τα μέτρα από τις 18 Οκτωβρίου 2024 (άρθρο 41). Η κατάσταση και οι λεπτομέρειες της μεταφοράς διαφέρουν από χώρα σε χώρα, και το εθνικό δίκαιο μπορεί να προσδιορίζει το περιεχόμενο των μέτρων. Ελέγχετε πάντα τον νόμο και τα επίσημα εργαλεία επιλεξιμότητας της χώρας σας.
Εκτός αυτών των πεδίων, δεν υπάρχει γενικός ευρωπαϊκός νόμος που να απαιτεί από μια ΜΜΕ να υιοθετήσει έγγραφο με τον τίτλο «πολιτική ασφάλειας πληροφοριών». Όμως ο ΓΚΠΔ ισχύει σχεδόν για κάθε εταιρεία, οι πελάτες ζητούν όλο και περισσότερο από τους προμηθευτές πληροφορίες για την ασφάλεια, και μια γραπτή πολιτική είναι το πρώτο βήμα κάθε αναγνωρισμένου πλαισίου. Είναι θέμα σύνεσης και όχι νομικής κύρωσης.
Πηγές: Οδηγία (ΕΕ) 2022/2555, άρθρα 2, 3, 41 και Παραρτήματα I και II · Σύσταση 2003/361/ΕΚ της Επιτροπής · Ευρωπαϊκή Επιτροπή, σελίδα της οδηγίας NIS2 · Γαλλία: ANSSI, σελίδα NIS 2 (MesServicesCyber).
Κάθε δήλωση για κανονισμό ή πρότυπο παραπάνω παραπέμπει σε μία από αυτές τις πηγές. Οι σύνδεσμοι οδηγούν στον επίσημο εκδότη.
Η σελίδα αυτή παρέχεται για ενημέρωση. Δεν αποτελεί νομική συμβουλή. Τα κείμενα αναφέρονται στην έκδοση που δημοσιεύεται στο EUR-Lex· οι εθνικές μεταφορές και οι οδηγίες των αρχών μπορεί να προσθέτουν απαιτήσεις.
Το διαδικτυακό εργαστήριο αυτοεξυπηρέτησης βρίσκεται υπό προετοιμασία. Ερωτήσεις στο μεταξύ: contact@syaga.eu.