Iga tõsiseltvõetav küberturvalisuse raamistik algab ühest ja samast dokumendist: kirjalikust, juhtkonna poolt heaks kiidetud infoturbepoliitikast (ISSP). NIS2 nimetab seda artikli 21 riskijuhtimismeetmete hulgas esimesena ning ISO/IEC 27001 teeb sellest punkti 5.2 nõude. Security Policy Express juhatab Euroopa VKE läbi juhendatud veebitöötoa ja koostab selle enda nimel struktureeritud esimese versiooni: tööversiooni, mida teie nõustajad peaksid üle vaatama, mitte juriidilise nõuandena.
Ühe minuti vastus tegevdirektorile, kes ei ole IT-spetsialist.
Infoturbepoliitika (sageli lühendatult ISSP, prantsuskeelses versioonis PSSI) on dokument, milles teie juhtkond kirjalikult sätestab, kuidas ettevõte kaitseb oma teavet ja IT-süsteeme, kes vastutab mille eest ning milliseid reegleid kõik peavad järgima. Ülemine tasand on lühike (juhtkonna allkirjastatud poliitikadeklaratsioon), alumised on üksikasjalikumad (teemapõhised reeglid ja operatiivsed protseduurid). See ei ole tehniline käsiraamat: see on juhtkonna otsus, mis on kirja pandud ja millele teie ülejäänud turvatöö saab tugineda.
ISO/IEC 27001 määrab poliitika "ülemjuhtkonnale" ja NIS2 artikkel 20 nõuab asjaomaste üksuste juhtorganitelt küberturvalisuse riskijuhtimismeetmete heakskiitmist ning nende rakendamise järelevalvet. Teie IT-pakkuja võib aidata seda kirjutada; selle eest vastutada saab ainult teie juhtkond.
Allikad: direktiiv (EL) 2022/2555, art. 20 · ISO/IEC 27001:2022, punkt 5Hea tava eristab kolme kihti. Poliitika sätestab põhimõtted ja vastutused. Teemapõhised poliitikad (juurdepääsu kontroll, varundamine, krüptograafia, tarnijad jne) tõlgivad need igasse valdkonda. Protseduurid kirjeldavad, kes mida teeb ja millises järjekorras, kui midagi juhtub. ISO/IEC 27001 kontroll 5.1 nimetab selgesõnaliselt nii poliitika kui ka teemapõhised poliitikad.
Allikas: ISO/IEC 27001:2022, lisa A, kontroll 5.1Ükski Euroopa tekst ei kehtesta ühte mallit. NIS2 artikkel 21 lõige 1 nõuab meetmeid, mis on "asjakohased ja proportsionaalsed", arvestades üksuse riskide avatust, selle suurust ning intsidentide tõenäosust ja raskusastet. 40-liikmelise tootmisettevõtte ja haigla poliitika ei ole ega peagi olema ühesugune.
Allikas: direktiiv (EL) 2022/2555, art. 21 lg 1Kord kirjutatud ja riiulile pandud poliitika ei kaitse midagi. Raamistikud eeldavad, et seda teatatakse töötajatele, see kinnitatakse ja vaadatakse läbi kavandatud ajavahemike järel ning olulise muutuse korral. Seetõttu peaks teie poliitika juba algusest peale sisaldama oma läbivaatustsüklit, vastutajat ja versioonide ajalugu.
Allikas: ISO/IEC 27001:2022, punkt 5.2 ja kontroll 5.1Enamik väikese ja keskmise suurusega ettevõtteid rakendab juba mõningaid turvareegleid. Tavaliselt puudub kirjalik, heaks kiidetud ja järjepidev versioon, mida regulaator, audiitor, kindlustaja või suur klient tegelikult lugeda saaks.
NIS2 laiendab ELi küberturvalisuse nõudeid paljudele keskmise suurusega ettevõtetele sellistes sektorites nagu tootmine, toiduainetööstus, jäätmekäitlus, transport või digiteenused. Asjaomastele üksustele on "riskianalüüsi ja infosüsteemide turvalisuse poliitikad" artikli 21 lõikes 2 esimesena loetletud meede.
NIS2 artikli 21 lõike 2 punkt d nõuab asjaomastelt üksustelt tarneahela turvalisuse käsitlemist, sealhulgas nende otsese tarnijatega seotud turvaaspekte. Isegi kui te ei kuulu kohaldamisalasse, võivad suuremad kliendid paluda teil tarnijaküsitluses esitada kirjaliku turvapoliitika.
Poliitika kirjutamine tähendab korraga paljudele küsimustele vastamist: mis on meie kriitilised varad, kes otsustab, mida teeme lunavararünnaku korral, kui kaua hoiame varukoopiaid? Ilma struktuurita kipub töö edasi lükkuma kvartal kvartali järel.
Alla laaditud mallid kirjeldavad sageli organisatsiooni, kus on turvaametnik, turvaoperatsioonide keskus ja eraldi eelarve. Dokument, mis ei vasta tegelikkusele, on halvem kui puudumine: seda ei rakendata ja audiitor märkab lõhet paberi ja praktika vahel.
Sama dokument vastab korraga mitmele tekstile. Siin on, mida igaüks neist tegelikult ütleb, koos lingiga ametlikule allikale. Iga viide viib ametliku allikani; riigisisesed ülevõtmised võivad lisada üksikasju.
Olulised ja tähtsad üksused peavad rakendama „asjakohaseid ja proportsionaalseid tehnilisi, operatiivseid ja organisatsioonilisi meetmeid“ küberturvalisuse riskide juhtimiseks, lähtudes kõikide ohtude käsitlemise lähenemisest. Artikli 21 lõike 2 loetelu algab punktiga „(a) riskianalüüsi ja infosüsteemide turvalisuse poliitikad“. Artikkel 20 lisab, et juhtorganid kiidavad need meetmed heaks, jälgivad nende rakendamist ja läbivad koolituse.
Punkt 5.2 nõuab, et ülemjuhtkond kehtestaks infoturbepoliitika, mis sobib organisatsiooni eesmärgiga, annab raamistiku turvaeesmärkidele ning sisaldab kohustusi täita kohaldatavaid nõudeid ja pidevalt parandada. Poliitika peab olema dokumenteeritud, organisatsioonis teatavaks tehtud ning vajadusel huvigruppidele kättesaadav. Lisa A kontroll 5.1 laiendab selle teemapõhistele poliitikatele, mis on heaks kiidetud, avaldatud, kinnitatud ja läbi vaadatud.
Artikli 24 lõike 2 kohaselt hõlmavad vastutava töötleja meetmed, kui see on töötlemistegevustega proportsionaalne, „asjakohaste andmekaitsepoliitikate rakendamist“. Artikkel 32 nõuab asjakohaseid tehnilisi ja korralduslikke meetmeid riskile vastava turvalisuse taseme tagamiseks. Turvapoliitika on loomulik koht nende meetmete dokumenteerimiseks.
Teatud digitaalsete üksuste (näiteks pilvandmetöötlus, andmekeskused ja hallatud teenuste pakkujad) puhul on komisjon võtnud vastu üksikasjalikud tehnilised ja metodoloogilised nõuded. Selle lisa algab „võrgu- ja infosüsteemide turvalisuse poliitikaga“ ning kirjeldab, kuidas seda heaks kiidetakse, dokumenteeritakse ja läbi vaadatakse. Isegi kui teie ettevõte ei kuulu nendesse üksusetüüpidesse, on lisa kasulik avalik viide poliitika struktureerimiseks.
Finantsüksustele nõuab DORA infoturbepoliitika väljatöötamist ja dokumenteerimist, mis määrab reeglid andmete, teabevarade ja IKT-varade kättesaadavuse, autentsuse, terviklikkuse ja konfidentsiaalsuse kaitseks. Kui olete panga või kindlustaja IKT-tarnija, oodake, et klient küsib, kuidas teie oma poliitika sellega võrdleb.
Riiklikud küberturvalisuse asutused avaldavad tasuta juhiseid, millele poliitika saab tugineda. Prantsusmaal esitab ANSSI IT-hügieeni juhend 42 olulist meedet neile, kes vastutavad organisatsiooni infosüsteemi turvalisuse eest. ENISA, ELi küberturvalisuse agentuur, avaldab juhiseid NIS2 rakendamise toetamiseks kogu Liidus.
NIS2 artikli 21 lõige 2 loetleb kümme miinimummeedet. Punkt (a) on ise poliitika, kuid hästi koostatud poliitika on ka koht, kus ülejäänud üheksale leiavad oma omaniku, reegli ja protseduuri. Just nii struktureerime genereeritava dokumendi.
Poliitikadeklaratsioon, ulatus, rollid ja meetod riskide tuvastamiseks ja hindamiseks. See on dokumendi selgroog.
Intsidendihaldusprotseduur: avastamine, kvalifitseerimine, eskaleerimine, piiramine, teavitamine ja õppetunnid.
Varundushaldus, katastroofijärgne taastamine ja kriisijuhtimine, nagu direktiiv seda sõnastab: kes otsustab, mis taastatakse esimesena ja kui sageli varukoopiaid testitakse.
Reeglid IT-tarnijate ja teenusepakkujate valimiseks, lepingute sõlmimiseks ja jälgimiseks, sealhulgas turvaklauslid, mida nendelt ootate.
Kuidas uusi süsteeme valitakse ja seadistatakse, kuidas uuendusi rakendatakse ning kuidas haavatavusi käsitletakse ja avalikustatakse.
Poliitikad ja protseduurid, millega kontrollitakse meetmete toimimist: näitajad, sisemised ülevaatused, harjutused ja juhtkonna läbivaatus.
Igapäevased reeglid (paroolid, uuendused, andmepüügialane teadlikkus) ja koolituskava, sealhulgas juhtkonnale, nagu nõuab artikkel 20 lõige 2 juhtorganite kohta.
Millal andmed peavad olema krüpteeritud (sülearvutid, varukoopiad, edastus), millised protokollid on lubatud ja kes haldab võtmeid.
Tööleasujad, ametist lahkujad ja ametit vahetavad töötajad; kellel on millisele juurdepääs ja kes selle heaks kiidab; varade inventuur koos omanikega.
Kus nõutakse mitmeastmelist või pidevat autentimist ning kuidas on kaitstud hääl-, video-, teksti- ja hädaolukorra side.
ISO/IEC 27001 viited on meie koostatud orienteeruvad vastavused, mis aitavad teil orienteeruda, ega ole ISO ega Euroopa Komisjoni avaldatud ametlik vastavustabel. Kümne meetme allikas: direktiiv (EL) 2022/2555, art. 21 lg 2.
Genereeritud dokument järgib struktuuri, mille tunneb ära audiitor, kindlustaja või klient. Iga peatükk täidetakse töötoas antud vastuste põhjal, nii et see kirjeldab teie ettevõtet, mitte väljamõeldud ettevõtet.
Juhtkonna kohustus paari lõiguga, allkirjastatud ja kuupäevastatud.
Kes otsustab, kes rakendab, kes kontrollib, sealhulgas siis, kui IT on allhangitud.
Lihtne ja korratav viis riskide tuvastamiseks, hindamiseks ja käsitlemiseks.
Teadmine, mida kaitsete, enne kui otsustate, kuidas.
Kellel on millele juurdepääs ja kuidas see tõendatakse.
Tehniline lähtetase lihtsas keeles.
Kus krüpteerimine on nõutav ja kuidas seda hallatakse.
Turvalisus suhetes IT-pakkujate ja pilveteenustega.
Inimlik külg, alates tööleasumisest kuni lahkumiseni.
Ruumid, serveriruumid ja kontorist väljaspool asuvad seadmed.
Põhimõtted, mis on üksikasjalikult kirjeldatud allpool toodud protseduurides.
Kuidas poliitika jääb elavaks ja tõeseks.
Poliitika ütleb, mis peab juhtuma; protseduur ütleb, kes seda teeb, mis järjekorras ja millise kirjega. Need neli on need, mida kliendid ja audiitorid kõige sagedamini näha tahavad ning mis on kõige olulisemad päeval, kui midagi valesti läheb.
Esimesest hoiatusest lõpparuandeni: kuidas töötajad teatavad kahtlasest sündmusest, kes seda kvalifitseerib, kes isoleerib mõjutatud süsteemid, kes võtab ühendust IT-pakkuja, kindlustaja ja ametiasutustega ning kuidas tõendeid säilitatakse.
Kuidas konto taotletakse, heaks kiidetakse, luuakse, muudetakse ja eemaldatakse. Protseduur hõlmab tööleasumisi, rolli muutusi ja lahkumisi, administraatorikontosid, jagatud ja teenuskontosid ning perioodilist ülevaatust, mille käigus juht kinnitab, et igaühel on endiselt vajalik juurdepääs.
Kuidas tootmissüsteemi muudatus (uus rakendus, tulemüürireegel, suurem uuendus) kirjeldatakse, riskihinnatakse, heaks kiidetakse, testitakse, teostatakse ja vajadusel tagasi võetakse. Väikeses ettevõttes võib see olla kerge: lühike vorm ja logi piisavad, kui need on olemas ja neid kasutatakse.
Mida varundatakse, kui sageli, kus, kui kauaks ja eelkõige kuidas taastamist testitakse. Protseduur seob varukoopiad iga kriitilise tegevuse taastamise eesmärkidega ning kirjeldab kriisiorganisatsiooni: kes otsustab, kes teavitab ja millised süsteemid taastatakse esimesena.
Poliitika on kirjutatud juhtkonnale ja IT-le. Lubatud kasutuse eeskiri (AUP) on kirjutatud kõigile teistele: lühike ja loetav reeglite kogum, mille iga töötaja, ajutine töötaja ja lepinguline töövõtja aktsepteerib enne ettevõtte IT kasutamist.
Kontode ja paroolide kasutamine, e-post ja sõnumivahetus, internetikasutus, isiklik kasutamine lubatud või keelatud, mobiilseadmed ja kaugtöö, eemaldatavad andmekandjad, pilveteenused ja generatiivse tehisintellekti tööriistad, konfidentsiaalsus, intsidentidest teatamine ning see, mida ettevõte võib jälgida ja miks.
ISO/IEC 27001 kontroll 5.10 nõuab, et teabe ja muude seotud varade nõuetekohase kasutamise reeglid oleksid kindlaks määratud, dokumenteeritud ja rakendatud. Nende reeglite hoidmine eraldi lisas teeb need hõlpsamini loetavaks, allkirjastatavaks, uuendatavaks ja tööalaste dokumentide külge kinnitatavaks.
Kui kasutuseeskiri mainib töötajate tegevuse logimist või jälgimist, kehtib andmekaitseõigus: töötajaid tuleb teavitada (IKÜM art. 13) ning liikmesriigid võivad tööhõivekonteksti jaoks kehtestada täpsemaid reegleid (IKÜM art. 88). Andmekaitseasutused, nagu CNIL, avaldavad juhiseid selle kohta, mis on lubatud.
Kasutuseeskirja siduvaks muutmine töötajatele võib nõuda riigisiseseid vorminõudeid. Näiteks Prantsusmaal lisatakse sellised reeglid tavaliselt sisekorraeeskirjale (règlement intérieur), mis järgib tööseadustikus sätestatud menetlust, sealhulgas töötajate esindajatega konsulteerimist (tuleb tööseadustiku alusel nõustajaga kinnitada). Kontrollige oma riigi reegleid oma nõustajaga.
Allikad: ISO/IEC 27001:2022, A.5.10 · määrus (EL) 2016/679, art. 13, 88 · CNIL · Légifrance, Prantsuse tööseadustik, art. L1321-4 ja L1321-5.
Poliitika kirjeldab ettevõtet, mis muutub: uued töötajad, uus tarkvara, uued tarnijad, uued ohud. Raamistikud, millele viitame, eeldavad üldiselt, et seda hoitakse ajakohasena. Genereeritud dokument sisaldab oma läbivaatuskalendrit, vastutajat ja versioonitabelit.
Esimese versiooni kiidab heaks juhtkond; see dateeritakse ja versioonitakse. NIS2 artikli 20 lõike 1 kohaselt kiidavad asjaomaste üksuste juhtorganid heaks küberturvalisuse riskijuhtimismeetmed; ISO/IEC 27001 punkti 5.2 kohaselt kehtestab poliitika ülemjuhtkond.
Poliitika avaldatakse organisatsioonisiseselt; kasutuseeskirja kinnitab iga kasutaja. ISO/IEC 27001 kontroll 5.1 eeldab, et poliitikad teatatakse asjaomasele personalile ja huvigruppidele ning need kinnitavad selle kättesaamist.
ISO/IEC 27001 kontroll 5.1 nõuab läbivaatust kavandatud ajavahemike järel ja olulise muutuse korral. VKE jaoks on aastane läbivaatus mõistlik vaikeväärtus; rakendusmäärus (EL) 2024/2690 raamistab poliitika läbivaatust ka digitaalsete üksuste puhul, mida see katab.
Tõsine intsident, ühinemine, uus asukoht, kolimine pilve või uus regulatsioon on kõik põhjused dokumendi uuesti avamiseks, ootamata aastapäeva. Intsidentidest saadud õppetunnid lähevad järgmisse versiooni.
Versioonitabel, heakskiitmise register, muudatuste loend, kinnitused tutvumise kohta. Päeval, mil audiitor, kindlustaja või klient seda küsib, näitab just see ajalugu, et poliitikat rakendatakse, mitte ainult ei ole kirjutatud. ISO/IEC 27001 punkt 7.5 reguleerib seda dokumenteeritud teavet.
Security Policy Express on mõeldud iseteenindustööriistana. Sisu üle on kontroll teil; tööriist annab struktuuri, küsimused ja viited.
Lühike test küsib teie sektori, suuruse, tegevuste ja klientide kohta ning ütleb, kas NIS2 tõenäoliselt teile kehtib, millised muud tekstid võivad olla asjakohased ja millised poliitika osad on teie olukorras kõige olulisemad. Lõpliku vastuse saamiseks suunab see teid oma riigi pädeva asutuse ametlike tööriistade juurde.
Vastate oma sõnadega peatükkide kaupa juhendatud küsimuste seeriale: teie organisatsioon, kriitilised tegevused, IT-pakkuja, varundused, lahkumiste käsitlemine, tegevus lunavararünnaku korral. Iga küsimus selgitab, miks seda küsitakse ja millise artikli või kontrolliga see seondub. Saate igal ajal peatada ja jätkata.
Tööriist koostab poliitika, neli protseduuri ja kasutuseeskirja lisa teie ettevõtte nimel teie vastuste põhjal. Kui vastus puudub, ütleb dokument seda selgelt, selle asemel et lünka üldise tekstiga täita. Tulemus on tööversioon, mille peavad enne juhtkonna heakskiitmist läbi vaatama ja kinnitama teie enda nõustajad (jurist, IT-pakkuja, andmekaitseametnik).
Kui soovite abi oma vastuste kontrollimisel, dokumendi kohandamisel konkreetsesse konteksti või auditi ettevalmistamisel, võite paluda tuge partnerkonsultandilt. See samm on valikuline: iseteeninduslik tee on ilma selleta täielik.
Oluline: genereeritud dokument on tööaluseks. See ei ole juriidiline nõuanne ega muuda teie ettevõtet automaatselt vastavaks NIS2, ISO/IEC 27001, IKÜM-i ega ühegi riigisisese õigusaktiga. Vastavus sõltub sellest, mida te tegelikult rakendate, ja jääb teie vastutusele.
Kolm osa, mis genereeritakse koos samast töötoast. Kättesaadavus ja tingimused teatatakse käivitamisel.
Põhidokument, mille allkirjastab juhtkond.
Mis muudab poliitika toimivaks.
Et tekstides orienteeruda.
Kahte olukorda ei tohi segi ajada: juriidiline kohustus NIS2 (või DORA) kohaldamisalasse kuuluvatele ettevõtetele ja tugevalt soovitatav hea tava kõigile teistele.
NIS2 kehtib üldiselt avalik- või eraõiguslikele üksustele, mis kuuluvad selle I või II lisas loetletud liiki ja on keskmise suurusega ettevõtted või ületavad keskmise suurusega ettevõtete piirmäärad, nagu on määratletud komisjoni soovituses 2003/361/EÜ (art. 2 lg 1). Teatud üksusetüübid on hõlmatud sõltumata suurusest (art. 2 lg 2). Üksused liigitatakse seejärel „oluliseks“ või „tähtsaks“ (art. 3), mis mõjutab järelevalvet ja karistusi, kuid mõlemad peavad rakendama artiklit 21.
I lisa (väga kriitilised sektorid): energeetika, transport, pangandus, finantsturu infrastruktuurid, tervishoid, joogivesi, reovesi, digitaalne infrastruktuur, IKT-teenuste haldus (äriklientidele), avalik haldus ja kosmos. II lisa (muud kriitilised sektorid): postiteenused ja kulleriteenused, jäätmekäitlus, keemia, toit, tootmine (sh meditsiiniseadmed, elektroonika, elektriseadmed, masinad ja sõidukid), digiteenuste pakkujad ja teadusuuringud.
NIS2 on direktiiv: liikmesriigid pidid selle üle võtma 17. oktoobriks 2024 ja rakendama meetmeid alates 18. oktoobrist 2024 (art. 41). Ülevõtmise staatus ja üksikasjad erinevad riigiti ning riigisisene õigus võib täpsustada meetmete sisu. Kontrollige alati oma riigi õigust ja ametlikke kohaldatavuse tööriistu.
Nendest kohaldamisaladest väljaspool ei nõua ükski üldine Euroopa õigusakt VKE-lt „infoturbepoliitika“ nimelise dokumendi vastuvõtmist. Kuid IKÜM kehtib peaaegu igale ettevõttele, kliendid küsivad tarnijatelt üha enam turvalisuse kohta ning kirjalik poliitika on iga tunnustatud raamistiku esimene samm. See on ettevaatlikkuse valik, mitte õiguslik sanktsioon.
Allikad: direktiiv (EL) 2022/2555, art. 2, 3, 41 ning I ja II lisa · komisjoni soovitus 2003/361/EÜ · Euroopa Komisjon, NIS2 direktiivi poliitikaleht · Prantsusmaa: ANSSI, NIS 2 leht (MesServicesCyber).
Iga ülalpool toodud reguleeriv või normatiivne väide viitab ühele neist allikatest. Lingid viivad ametliku väljaandjani.
See leht on esitatud teabeks. See ei ole juriidiline nõuanne. Tekste tsiteeritakse EUR-Lexis avaldatud versioonis; riigisisesed ülevõtmised ja asutuste juhised võivad lisada nõudeid.
Iseteenindustöötuba on ettevalmistamisel. Küsimuste korral: contact@syaga.eu.