Svaki ozbiljan okvir kibernetičke sigurnosti počinje istim dokumentom: pisanom politikom informacijske sigurnosti (ISSP) koju odobrava uprava. Direktiva NIS2 navodi je na prvom mjestu među mjerama upravljanja rizicima iz članka 21., a norma ISO/IEC 27001 zahtijeva je u točki 5.2. Security Policy Express vodi europski MSP kroz vođenu online radionicu i u njegovo ime generira strukturiranu prvu verziju: radni nacrt koji će pregledati vaši savjetnici, a ne pravni savjet.
Odgovor u jednoj minuti, za direktora koji nije IT stručnjak.
Politika informacijske sigurnosti (često skraćeno ISSP, a na francuskom PSSI) je dokument u kojem uprava u pisanom obliku navodi kako tvrtka štiti svoje informacije i informacijske sustave, tko je za što odgovoran i koja pravila svi moraju slijediti. Na vrhu je kratka izjava o politici koju potpisuje uprava, a ispod nje detaljnija pravila za pojedina područja i operativni postupci. Nije tehnički priručnik: to je odluka uprave, zapisana na papiru, na koju se može pozivati sav ostali sigurnosni rad.
Norma ISO/IEC 27001 politiku dodjeljuje „najvišoj razini uprave”, a NIS2 članak 20. traži da upravna tijela subjekata obuhvaćenih direktivom odobre mjere upravljanja rizicima kibernetičke sigurnosti i nadziru njihovu provedbu. Vaš IT pružatelj može pomoći pri pisanju, ali dokument mora odobriti vaša uprava.
Izvori: Direktiva (EU) 2022/2555, čl. 20. · ISO/IEC 27001:2022, točka 5.Dobra praksa razlikuje tri razine. Politika navodi načela i odgovornosti. Politike za pojedina područja (upravljanje pristupom, sigurnosne kopije, kriptografija, dobavljači...) primjenjuju ta načela na pojedina područja. Postupci korak po korak opisuju tko što radi kad se nešto dogodi. Kontrola 5.1 norme ISO/IEC 27001 izričito spominje i politiku i politike za pojedina područja.
Izvor: ISO/IEC 27001:2022, Dodatak A, kontrola 5.1Nijedan europski tekst ne propisuje jedinstven predložak. Članak 21. stavak 1. NIS2 traži mjere „primjerene i razmjerne”, uzimajući u obzir izloženost subjekta rizicima, njegovu veličinu te vjerojatnost i ozbiljnost incidenata. Proizvođač sa 40 zaposlenika i bolnica neće pisati istu politiku, i ne bi trebali.
Izvor: Direktiva (EU) 2022/2555, čl. 21. st. 1.Politika koja je jednom napisana pa odložena ne štiti ništa. Okviri očekuju da se zaposlenicima dostavi, da je oni potvrde te da se preispituje u planiranim razmacima i nakon znatnih promjena. Zato vaša politika od prvog dana treba sadržavati vlastiti ciklus preispitivanja, vlasnika i povijest verzija.
Izvor: ISO/IEC 27001:2022, točka 5.2 i kontrola 5.1Većina malih i srednjih tvrtki već primjenjuje neka sigurnosna pravila. Obično nedostaje pisana, odobrena i usklađena verzija koju regulator, revizor, osiguravatelj ili veliki kupac zaista mogu pročitati.
NIS2 proširuje pravila EU-a o kibernetičkoj sigurnosti na mnoga srednja poduzeća u sektorima poput proizvodnje, prehrane, gospodarenja otpadom, prijevoza ili digitalnih usluga. Za subjekte obuhvaćene direktivom „politike analize rizika i sigurnosti informacijskih sustava” prva su mjera navedena u članku 21. stavku 2.
NIS2 članak 21. stavak 2. točka (d) traži od subjekata obuhvaćenih direktivom da riješe sigurnost lanca opskrbe, uključujući sigurnosne aspekte odnosa s izravnim dobavljačima. Čak i ako niste obuhvaćeni, vaši veći kupci mogu od vas u upitnicima za dobavljače tražiti pisanu sigurnosnu politiku.
Pisanje politike znači odgovoriti na mnogo pitanja odjednom: koja su nam kritična imovina, tko odlučuje, što radimo u slučaju napada ransomwareom, koliko dugo čuvamo sigurnosne kopije? Bez strukture se posao obično odgađa, tromjesečje za tromjesečjem.
Preuzeti predlošci često opisuju organizaciju sa sigurnosnim službenikom, centrom za sigurnosne operacije (SOC) i namjenskim proračunom. Dokument koji se ne poklapa sa stvarnošću gori je od ničega: neće se primjenjivati, a revizor će primijetiti razliku između papira i prakse.
Isti dokument odgovara na nekoliko propisa i normi istodobno. Evo što svaki od njih zaista kaže. Svaka referenca vodi na službeni izvor; nacionalni propisi o prenošenju direktive mogu dodati pojedinosti.
Ključni i važni subjekti moraju poduzeti „primjerene i razmjerne tehničke, operativne i organizacijske mjere” za upravljanje rizicima kibernetičke sigurnosti, na temelju pristupa koji obuhvaća sve opasnosti. Popis iz članka 21. stavka 2. počinje s „(a) politikama analize rizika i sigurnosti informacijskih sustava”. Članak 20. dodaje da upravna tijela odobravaju te mjere, nadziru njihovu provedbu i prate osposobljavanje.
Točka 5.2 zahtijeva da najviša razina uprave uspostavi politiku informacijske sigurnosti primjerenu svrsi organizacije, koja pruža okvir za sigurnosne ciljeve te uključuje obveze ispunjavanja primjenjivih zahtjeva i stalnog poboljšavanja. Mora biti dokumentirana, dostavljena unutar organizacije i, prema potrebi, dostupna zainteresiranim stranama. Kontrola 5.1 iz Dodatka A to proširuje na politike za pojedina područja, koje moraju biti odobrene, objavljene, potvrđene i preispitane.
Članak 24. stavak 2. navodi da, ako je razmjerno aktivnostima obrade, mjere voditelja obrade uključuju „provedbu odgovarajućih politika zaštite podataka”. Članak 32. zahtijeva primjerene tehničke i organizacijske mjere za osiguravanje razine sigurnosti primjerene riziku. Politika sigurnosti prirodno je mjesto za dokumentiranje tih mjera.
Za određene digitalne subjekte (na primjer pružatelje usluga računalstva u oblaku, podatkovnih centara i upravljanih usluga) Komisija je donijela detaljne tehničke i metodološke zahtjeve. Njezin prilog započinje „politikom sigurnosti mrežnih i informacijskih sustava” i opisuje kako se ona odobrava, dokumentira i preispituje. Čak i ako vaša tvrtka nije jedna od tih vrsta subjekata, prilog je koristan javni referentni okvir za strukturiranje politike.
Za financijske subjekte DORA zahtijeva da razviju i dokumentiraju politiku informacijske sigurnosti koja definira pravila za zaštitu dostupnosti, autentičnosti, integriteta i povjerljivosti podataka, informacijske imovine i IKT imovine. Ako banci ili osiguravatelju pružate IKT usluge, očekujte da će vas klijent pitati kako se vaša politika odnosi prema njegovoj.
Nacionalne agencije za kibernetičku sigurnost objavljuju besplatne smjernice na kojima politika može počivati. U Francuskoj vodič ANSSI-ja za informatičku higijenu navodi 42 osnovne mjere za osobe odgovorne za sigurnost informacijskog sustava organizacije. ENISA, Agencija Europske unije za kibernetičku sigurnost, objavljuje smjernice kojima se podupire provedba NIS2 u cijeloj Uniji.
Članak 21. stavak 2. NIS2 navodi deset minimalnih mjera. Točka (a) je sama politika, ali dobro napisana politika ujedno je mjesto gdje ostalih devet mjera pronalazi svog vlasnika, svoje pravilo i svoj postupak. Tako strukturiramo generirani dokument.
Izjava o politici, područje primjene, uloge i metoda kojom identificirate i ocjenjujete rizike. To je okosnica dokumenta.
Postupak upravljanja incidentima: otkrivanje, kvalifikacija, eskalacija, obuzdavanje, obavješćivanje i pouke iz incidenta.
Upravljanje sigurnosnim kopijama, oporavak nakon katastrofe i upravljanje krizama, kako to direktiva formulira: tko odlučuje, što se prvo ponovno pokreće, koliko se često testiraju sigurnosne kopije.
Pravila za odabir, ugovaranje i praćenje IT dobavljača i pružatelja usluga, uključujući sigurnosne klauzule koje od njih očekujete.
Kako se odabiru i konfiguriraju novi sustavi, kako se primjenjuju nadogradnje te kako se rješavaju i objavljuju ranjivosti.
Politike i postupci kojima se provjerava djeluju li mjere: pokazatelji, interne provjere, vježbe i preispitivanje od strane uprave.
Svakodnevna pravila (lozinke, nadogradnje, svijest o phishingu) i plan osposobljavanja, uključujući za upravu, kako to zahtijeva članak 20. stavak 2. za upravna tijela.
Kada podatke treba šifrirati (prijenosna računala, sigurnosne kopije, prijenosi), koji su protokoli prihvatljivi i tko upravlja ključevima.
Zaposljavanje, premještaji i odlasci; tko dobiva koji pristup i tko ga odobrava; popis imovine s njezinim vlasnicima.
Gdje je potrebna višefaktorska ili kontinuirana provjera autentičnosti te kako se štite glasovne, video, tekstualne i hitne komunikacije.
Reference na ISO/IEC 27001 indikativne su korespondencije koje smo sastavili kako bismo vam pomogli u snalaženju, a nisu službeno preslikavanje koje su objavili ISO ili Europska komisija. Izvor za deset mjera: Direktiva (EU) 2022/2555, čl. 21. st. 2..
Generirani dokument slijedi strukturu koju će revizor, osiguravatelj ili kupac prepoznati. Svako poglavlje popunjava se iz odgovora koje dajete u radionici, tako da opisuje vašu tvrtku, a ne izmišljenu.
Obveza uprave, u nekoliko odlomaka, potpisana i datirana.
Tko odlučuje, tko provodi, tko provjerava, uključujući slučaj kada je IT outsourcan.
Jednostavan, ponovljiv način za identificiranje, ocjenjivanje i postupanje s rizicima.
Poznavanje onoga što štitite prije odlučivanja kako.
Tko može pristupiti čemu i kako se to dokazuje.
Tehnička osnova, napisana običnim jezikom.
Gdje je šifriranje potrebno i kako se njime upravlja.
Sigurnost u odnosima s IT pružateljima i uslugama u oblaku.
Ljudska strana, od zapošljavanja do odlaska.
Prostorije, serverske prostorije i oprema izvan ureda.
Načela, detaljno opisana u postupcima u nastavku.
Kako politika ostaje živa i istinita.
Politika kaže što se mora dogoditi; postupak kaže tko to radi, kojim redoslijedom i uz koji zapis. Ova četiri kupci i revizori najčešće traže na uvid i najvažnija su onoga dana kad nešto pođe po zlu.
Od prvog upozorenja do zaključnog izvješća: kako zaposlenici prijavljuju sumnjiv događaj, tko ga kvalificira, tko izolira zahvaćene sustave, tko kontaktira vašeg IT pružatelja, osiguravatelja i nadležna tijela te kako se čuvaju dokazi.
Kako se račun traži, odobrava, stvara, mijenja i uklanja. Postupak obuhvaća dolaske, promjene uloga i odlaske, administratorske račune, zajedničke i servisne račune te periodični pregled u kojem nadređeni potvrđuje da svaka osoba i dalje treba pristup koji ima.
Kako se promjena produkcijskog sustava (nova aplikacija, pravilo vatrozida, velika nadogradnja) opisuje, procjenjuje po riziku, odobrava, testira, provodi i, ako je potrebno, vraća unatrag. U maloj tvrtki to može biti lagano: dovoljni su kratki obrazac i evidencija, pod uvjetom da postoje i da se koriste.
Što se sigurnosno kopira, koliko često, gdje, koliko dugo i, iznad svega, kako se testira vraćanje. Postupak povezuje sigurnosne kopije s ciljevima oporavka po kritičnoj aktivnosti i opisuje organizaciju u kriznim situacijama: tko odlučuje, tko komunicira, koji se sustavi pokreću prvi.
Politika je napisana za upravu i IT. Pravila o prihvatljivoj uporabi (AUP) napisana su za sve ostale: kratak i čitljiv skup pravila koja svaki zaposlenik, privremeni radnik ili vanjski suradnik prihvaća prije korištenja IT-a tvrtke.
Uporaba računa i lozinki, e-pošta i razmjena poruka, pristup internetu, dopuštena ili nedopuštena osobna uporaba, mobilni uređaji i rad na daljinu, izmjenjivi mediji, usluge u oblaku i alati generativne umjetne inteligencije, povjerljivost, prijavljivanje incidenata te što tvrtka smije nadzirati i zašto.
Kontrola 5.10 norme ISO/IEC 27001 traži da se pravila o prihvatljivoj uporabi informacija i druge povezane imovine utvrde, dokumentiraju i provedu. Zasebni prilog olakšava čitanje, potpisivanje, ažuriranje i prilaganje tih pravila ugovorima o radu.
Kada AUP spominje bilježenje ili nadzor aktivnosti zaposlenika, primjenjuje se zakon o zaštiti podataka: zaposlenici moraju biti obaviješteni (GDPR čl. 13.), a države članice mogu donijeti specifičnija pravila za radni kontekst (GDPR čl. 88.). Tijela za zaštitu podataka, poput francuskog CNIL-a, objavljuju smjernice o tome što je prihvatljivo.
Da AUP postane obvezujući za zaposlenike, mogu biti potrebne nacionalne formalnosti. U Francuskoj se, na primjer (to treba potvrditi s vašim savjetnikom u odnosu na Zakonik o radu), takva pravila uobičajeno prilažu unutarnjem pravilniku (règlement intérieur), koji slijedi postupak propisan Zakonikom o radu, uključujući savjetovanje s predstavnicima zaposlenika. Pravila svoje zemlje provjerite sa savjetnikom.
Izvori: ISO/IEC 27001:2022, A.5.10 · Uredba (EU) 2016/679, čl. 13. i 88. · CNIL · Légifrance, Zakonik o radu (Code du travail), čl. L1321-4 i L1321-5.
Politika opisuje tvrtku koja se mijenja: novi zaposlenici, novi softver, novi dobavljači, nove prijetnje. Okviri koje navodimo općenito očekuju da se ona održava ažurnom. Generirani dokument uključuje vlastiti kalendar preispitivanja, vlasnika i tablicu verzija.
Prvu verziju odobrava uprava, datira je i označava verzijom. Prema NIS2 čl. 20. st. 1., upravna tijela subjekata obuhvaćenih direktivom odobravaju mjere upravljanja rizicima kibernetičke sigurnosti; prema točki 5.2 norme ISO/IEC 27001, najviša razina uprave uspostavlja politiku.
Politika se objavljuje interno; pravila o prihvatljivoj uporabi potvrđuje svaki korisnik. Kontrola 5.1 norme ISO/IEC 27001 očekuje da se politike dostave relevantnom osoblju i zainteresiranim stranama te da ih one potvrde.
Kontrola 5.1 norme ISO/IEC 27001 traži preispitivanje u planiranim razmacima i kad nastanu znatne promjene. Godišnje preispitivanje razumna je zadana vrijednost za MSP; Provedbena uredba (EU) 2024/2690 preispitivanje politike uređuje i za vrste digitalnih subjekata koje obuhvaća.
Ozbiljan incident, spajanje tvrtki, nova lokacija, prelazak u oblak ili novi propis razlozi su da se dokument ponovno otvori, bez čekanja godišnjice. Pouke iz incidenata ulaze u sljedeću verziju.
Tablica verzija, zapis o odobrenju, popis promjena, potvrde primitka. Kad revizor, osiguravatelj ili kupac to zatraži, upravo ta povijest dokazuje da se politika primjenjuje, a ne samo da je napisana. Norma ISO/IEC 27001, točka 7.5, uređuje tu dokumentiranu informaciju.
Security Policy Express osmišljen je kao samoposlužni alat. Vi zadržavate kontrolu nad sadržajem; alat pruža strukturu, pitanja i reference.
Kratki test pita o vašem sektoru, veličini, djelatnostima i kupcima te vam kaže je li vjerojatno da se na vas primjenjuje NIS2, koji drugi tekstovi mogu biti relevantni i koji su dijelovi politike najvažniji u vašoj situaciji. Upućuje vas na službene alate vaše nacionalne agencije za konačan odgovor.
Vlastitim riječima odgovarate na vođena pitanja, poglavlje po poglavlje: o vašoj organizaciji, kritičnim aktivnostima, IT pružatelju, sigurnosnim kopijama, načinu na koji postupate pri odlasku zaposlenika i što biste učinili u slučaju napada ransomwareom. Svako pitanje objašnjava zašto se postavlja i na koji se članak ili mjeru odnosi. Možete stati i nastaviti u bilo kojem trenutku.
Alat iz vaših odgovora generira politiku, četiri postupka i prilog o prihvatljivoj uporabi u ime vaše tvrtke. Gdje odgovor nedostaje, dokument to eksplicitno kaže umjesto da prazninu popuni općenitim tekstom. Rezultat je radni nacrt koji vaši vlastiti savjetnici (odvjetnik, IT pružatelj, službenik za zaštitu podataka) moraju pregledati i potvrditi prije odobrenja od strane uprave.
Ako želite pomoć pri preispitivanju odgovora, prilagodbi dokumenta vašem kontekstu ili pripremi za reviziju, možete zatražiti podršku partnerskog konzultanta. Ovaj korak nije obvezan: samoposlužni put potpun je i bez njega.
Važno: generirani dokument je radna osnova. Ne predstavlja pravni savjet i sam po sebi ne čini vašu tvrtku usklađenom s NIS2, ISO/IEC 27001, GDPR-om ili bilo kojim nacionalnim zakonom. Usklađenost ovisi o tome što stvarno provodite i ostaje vaša odgovornost.
Tri cjeline, generirane zajedno iz iste radionice. Dostupnost i uvjeti bit će objavljeni pri pokretanju.
Temeljni dokument koji potpisuje uprava.
Ono što politiku čini operativnom.
Za snalaženje u tekstovima.
Treba razlikovati dvije situacije: zakonsku obvezu za tvrtke obuhvaćene NIS2 (ili DORA-om) i snažno preporučenu dobru praksu za sve ostale.
NIS2 se općenito primjenjuje na javne ili privatne subjekte vrsta navedenih u njegovim prilozima I. i II. koji su srednja poduzeća ili premašuju gornje granice za srednja poduzeća, kako su definirane u Preporuci Komisije 2003/361/EZ (čl. 2. st. 1.). Neke vrste subjekata obuhvaćene su bez obzira na veličinu (čl. 2. st. 2.). Subjekti se zatim razvrstavaju kao „ključni” ili „važni” (čl. 3.), što utječe na nadzor i sankcije, ali oboje moraju primjenjivati članak 21.
Prilog I. (sektori visoke kritičnosti): energetika, promet, bankarstvo, infrastrukture financijskog tržišta, zdravstvo, voda za piće, otpadne vode, digitalna infrastruktura, upravljanje uslugama IKT-a (između poduzeća), javna uprava i svemir. Prilog II. (ostali kritični sektori): poštanske i kurirske usluge, gospodarenje otpadom, kemikalije, hrana, proizvodnja (uključujući medicinske proizvode, elektroniku, električnu opremu, strojeve i vozila), digitalni pružatelji i istraživanje.
NIS2 je direktiva: države članice morale su je prenijeti do 17. listopada 2024. i primjenjivati mjere od 18. listopada 2024. (čl. 41.). Status transpozicije i pojedinosti razlikuju se od zemlje do zemlje, a nacionalni zakon može odrediti sadržaj mjera. Uvijek provjerite zakon i službene alate za provjeru prihvatljivosti vaše zemlje.
Izvan tih područja nijedan opći europski zakon ne zahtijeva od MSP-a da usvoji dokument pod nazivom „politika informacijske sigurnosti”. Ali GDPR se primjenjuje gotovo na svaku tvrtku, kupci sve češće pitaju dobavljače o sigurnosti, a pisana politika prvi je korak svakog priznatog okvira. To je izbor opreznosti, a ne zakonska sankcija.
Izvori: Direktiva (EU) 2022/2555, čl. 2., 3., 41. i Prilozi I. i II. · Preporuka Komisije 2003/361/EZ · Europska komisija, stranica o Direktivi NIS2 · Francuska: ANSSI, stranica NIS 2 (MesServicesCyber).
Svaka regulatorna i normativna tvrdnja iznad odnosi se na jedan od ovih izvora. Poveznice vode na službenog izdavatelja.
Ova stranica pruža se u informativne svrhe. Ne predstavlja pravni savjet. Tekstovi se citiraju u verziji objavljenoj u EUR-Lexu; nacionalne transpozicije i smjernice tijela mogu dodati zahtjeve.
Samoposlužna radionica je u pripremi. Pitanja do tada: contact@syaga.eu.