Minden komoly kiberbiztonsági keretrendszer ugyanazzal a dokumentummal indul: egy írásos, vezetés által jóváhagyott információbiztonsági szabályzattal (ISSP). A NIS2 a 21. cikk kockázatkezelési intézkedései közül elsőként sorolja fel, az ISO/IEC 27001 pedig az 5.2 pontban követelményként írja elő. A Security Policy Express egy irányított online műhelymunkán vezeti végig az európai kkv-t, és a cége nevében elkészíti a szabályzat strukturált első változatát: munkaváltozatot, amelyet tanácsadói átnézhetnek. Ez nem jogi tanácsadás.
Egyperces válasz egy olyan ügyvezetőnek, aki nem informatikai szakember.
Az információbiztonsági szabályzat (rövidítve ISSP, franciául PSSI) az a dokumentum, amelyben a vezetés írásban rögzíti, hogyan védi a vállalat az információit és informatikai rendszereit, ki felel miért, és milyen szabályokat kell mindenkinek betartania. Az elején rövid (a vezetés által aláírt szabályzati nyilatkozat), alatta részletesebb (témakörönkénti szabályok és működési eljárások). Nem technikai kézikönyv: vezetői döntés, papírra vetve, amelyre a biztonsági munka többi része hivatkozhat.
Az ISO/IEC 27001 a szabályzatot a „legfelső vezetés” hatáskörébe utalja, a NIS2 20. cikke pedig előírja, hogy a hatálya alá tartozó szervezetek irányító testületei hagyják jóvá a kiberbiztonsági kockázatkezelési intézkedéseket, és felügyeljék azok végrehajtását. Az informatikai szolgáltató segíthet a megírásban; a szabályzat gazdája csak a vezetés lehet.
Források: (EU) 2022/2555 irányelv, 20. cikk · ISO/IEC 27001:2022, 5. pontA jó gyakorlat három szintet különböztet meg. A szabályzat elveket és felelősségeket rögzít. A témakörönkénti szabályzatok (hozzáférés-szabályozás, mentés, titkosítás, beszállítók...) ezeket területenként konkretizálják. Az eljárások lépésről lépésre leírják, ki mit tesz, amikor valami történik. Az ISO/IEC 27001 5.1 kontrollja kifejezetten említi mind a szabályzatot, mind a témakörönkénti szabályzatokat.
Forrás: ISO/IEC 27001:2022, A. melléklet, 5.1 kontrollEgyetlen európai szöveg sem ír elő egységes sablont. A NIS2 21. cikk (1) bekezdése „megfelelő és arányos” intézkedéseket kér, figyelembe véve a szervezet kockázatoknak való kitettségét, méretét, valamint az incidensek valószínűségét és súlyosságát. Egy 40 fős gyártó és egy kórház nem ugyanazt a szabályzatot írja, és nem is kell, hogy írjon.
Forrás: (EU) 2022/2555 irányelv, 21. cikk (1) bek.Egyszer megírva, aztán a fiókban felejtve semmit sem véd. A keretrendszerek elvárják, hogy a szabályzatot közöljék a munkatársakkal, nyugtáztassák, és tervezett időközönként, valamint jelentős változások után felülvizsgálják. Ezért a szabályzatnak az első naptól kezdve tartalmaznia kell saját felülvizsgálati ciklusát, felelősét és verziótörténetét.
Forrás: ISO/IEC 27001:2022, 5.2 pont és 5.1 kontrollA kis- és középvállalatok többsége már alkalmaz valamilyen biztonsági szabályt. Általában azonban hiányzik az írásos, jóváhagyott, összefüggő változat, amelyet egy hatóság, auditor, biztosító vagy nagy vevő ténylegesen el tud olvasni.
A NIS2 számos közepes méretű vállalatra is kiterjeszti az uniós kiberbiztonsági szabályokat olyan ágazatokban, mint a gyártás, az élelmiszeripar, a hulladékkezelés, a szállítás vagy a digitális szolgáltatások. A hatálya alá tartozó szervezeteknél a „kockázatelemzésre és az információs rendszerek biztonságára vonatkozó szabályzatok” a 21. cikk (2) bekezdésében felsorolt első intézkedés.
A NIS2 21. cikk (2) bekezdés d) pontja előírja, hogy a hatálya alá tartozó szervezetek kezeljék az ellátási lánc biztonságát, beleértve a közvetlen beszállítókkal fenntartott kapcsolataik biztonsági szempontjait. Még ha kívül is esik a hatályon, a nagyobb vevői kérhetik, hogy a beszállítói kérdőívben mutasson be írásos biztonsági szabályzatot.
A szabályzat megírása egyszerre sok kérdésre válaszolást igényel: melyek a kritikus eszközeink, ki dönt, mit teszünk zsarolóvírus-támadás esetén, meddig őrizzük a biztonsági mentéseket? Struktúra nélkül a feladat hajlamos negyedévről negyedévre elhalasztódni.
A letölthető sablonok gyakran olyan szervezetet írnak le, amelynek van biztonsági felelőse, műveleti központja és külön költségvetése. Ami nem illik a valósághoz, rosszabb a semminél: nem fogják alkalmazni, és az auditor észreveszi a papír és a gyakorlat közötti szakadékot.
Ugyanaz a dokumentum több szövegnek is megfelel. Itt az áll, amit mindegyik valóban mond, hivatalos forrás linkjével. Minden hivatkozás a hivatalos forrásra mutat; a nemzeti átültetések részleteket adhatnak hozzá.
Az alapvető és a fontos szervezeteknek „megfelelő és arányos műszaki, működési és szervezési intézkedéseket” kell hozniuk a kiberbiztonsági kockázatok kezelésére, minden veszélyre kiterjedő megközelítés alapján. A 21. cikk (2) bekezdésének felsorolása ezzel kezdődik: „a) a kockázatelemzésre és az információs rendszerek biztonságára vonatkozó szabályzatok”. A 20. cikk kiegészíti, hogy az irányító testületek hagyják jóvá ezeket az intézkedéseket, felügyelik végrehajtásukat, és követik a képzést.
Az 5.2 pont előírja, hogy a legfelső vezetés állapítson meg információbiztonsági szabályzatot, amely illeszkedik a szervezet céljaihoz, keretet ad a biztonsági célkitűzéseknek, és vállalja az alkalmazandó követelmények teljesítését és a folyamatos fejlesztést. A szabályzatot dokumentálni kell, belsőleg közölni, és szükség szerint az érdekelt felek számára elérhetővé tenni. Az A. melléklet 5.1 kontrollja ezt kiterjeszti a témakörönkénti szabályzatokra, amelyeket jóvá kell hagyni, közzé kell tenni, nyugtáztatni kell és felül kell vizsgálni.
A 24. cikk (2) bekezdése szerint az adatkezelő intézkedései között, amennyiben azok az adatkezelési tevékenységekhez arányosak, szerepel „megfelelő adatvédelmi szabályzatok bevezetése”. A 32. cikk a kockázattal arányos biztonság szolgálatára megfelelő műszaki és szervezési intézkedéseket ír elő. Ezeknek az intézkedéseknek a dokumentálására a biztonsági szabályzat a természetes hely.
Bizonyos digitális szervezetekre (például felhőszolgáltatók, adatközpontok és felügyelt szolgáltatók) a Bizottság részletes műszaki és módszertani követelményeket fogadott el. Mellékletük „a hálózati és információs rendszerek biztonságára vonatkozó szabályzattal” kezdődik, és leírja, hogyan kell azt jóváhagyni, dokumentálni és felülvizsgálni. Még ha vállalata nem tartozik ezen szervezettípusok közé, a melléklet nyilvános, hasznos referencia a szabályzat felépítéséhez.
A pénzügyi szervezetek számára a DORA előírja, hogy dolgozzanak ki és dokumentáljanak egy információbiztonsági szabályzatot, amely meghatározza az adatok, információs eszközök és IKT-eszközök rendelkezésre állásának, hitelességének, sértetlenségének és bizalmasságának védelmét. Ha IKT-szolgáltatóként bankot vagy biztosítót szolgál ki, számítson rá, hogy vevője megkérdezi: hogyan viszonyul az Ön szabályzata ehhez.
A nemzeti kiberbiztonsági hatóságok ingyenes útmutatókat tesznek közzé, amelyekre egy szabályzat építhet. Franciaországban az ANSSI informatikai higiéniai útmutatója 42 alapvető intézkedést sorol fel a szervezet informatikai rendszerének biztonságáért felelősök számára. Az ENISA, az Európai Unió kiberbiztonsági ügynöksége, a NIS2 uniós szintű végrehajtását támogató útmutatókat ad ki.
A NIS2 21. cikk (2) bekezdése tíz minimumintézkedést sorol fel. Az a) pont maga a szabályzat, de egy jól megírt szabályzat az is, ahol a másik kilenc intézkedés megtalálja a felelősét, a szabályát és az eljárását. Így strukturáljuk a generált dokumentumot.
A szabályzati nyilatkozat, a hatókör, a szerepkörök, valamint a kockázatok azonosítására és osztályozására szolgáló módszer. Ez a dokumentum gerince.
Az incidenskezelési eljárás: észlelés, minősítés, eszkaláció, elszigetelés, bejelentés és a tanulságok levonása.
Biztonsági mentések kezelése, katasztrófa-helyreállítás és válságkezelés, ahogy az irányelv megfogalmazza: ki dönt, mi indul újra elsőként, milyen gyakran tesztelik a mentéseket.
Szabályok az IT-beszállítók és szolgáltatók kiválasztására, szerződéskötésére és ellenőrzésére, beleértve az elvárt biztonsági kikötéseket.
Hogyan választják és konfigurálják az új rendszereket, hogyan alkalmazzák a frissítéseket, és hogyan kezelik a sebezhetőségeket és hozzák nyilvánosságra azokat.
Szabályzatok és eljárások annak ellenőrzésére, hogy az intézkedések működnek: mutatók, belső felülvizsgálatok, gyakorlatok és vezetőségi átvizsgálás.
A mindennapi szabályok (jelszavak, frissítések, adathalászat-tudatosság) és a képzési terv, beleértve a vezetést is, ahogy a 20. cikk (2) bekezdése megköveteli az irányító testületektől.
Hogy mikor kell titkosítani az adatokat (laptopok, mentések, átvitel), mely protokollok elfogadhatók, és ki kezeli a kulcsokat.
Munkába lépés, munkakör-változás és távozás; ki milyen hozzáférést kap és ki hagyja jóvá; az eszközök nyilvántartása, felelős tulajdonossal.
Hol kötelező a többtényezős vagy folyamatos hitelesítés, és hogyan védik a hang-, videó-, szöveges és vészhelyzeti kommunikációt.
Az ISO/IEC 27001 hivatkozások tájékoztató jellegű megfeleltetések, amelyeket Ön eligazodásának segítésére mi állítottunk össze, nem az ISO vagy az Európai Bizottság által közzétett hivatalos megfeleltetés. A tíz intézkedés forrása: (EU) 2022/2555 irányelv, 21. cikk (2) bekezdés.
A generált dokumentum olyan felépítést követ, amelyet egy auditor, egy biztosító vagy egy vevő felismer. Minden fejezetet a műhelymunkán adott válaszai alapján töltünk ki, hogy a vállalatát írja le, ne egy kitalált céget.
A vezetés elkötelezettsége néhány bekezdésben, aláírva és keltezve.
Ki dönt, ki hajtja végre, ki ellenőriz, beleértve azt az esetet is, amikor az informatika ki van szervezve.
Egyszerű, megismételhető módszer a kockázatok azonosítására, értékelésére és kezelésére.
Tudni kell, mit védünk, mielőtt eldöntjük, hogyan.
Ki férhet hozzá mihez, és hogyan igazolják ezt.
A technikai alap, közérthető nyelven megírva.
Hol kötelező a titkosítás, és hogyan kezelik.
A biztonság az informatikai szolgáltatókkal és felhőszolgáltatásokkal fenntartott kapcsolatokban.
Az emberi oldal, a felvételtől a távozásig.
Telephelyek, szerverhelyiségek és az irodán kívüli eszközök.
Az alapelvek, részletezve az alábbi eljárásokban.
Hogyan marad élő és igaz a szabályzat.
A szabályzat azt mondja meg, mi történjen; az eljárás azt, hogy ki csinálja, milyen sorrendben és milyen nyilvántartással. Ez a négy az, amelyet a vevők és az auditorok a leggyakrabban kérnek, és amely a legtöbbet számít, amikor valami elromlik.
Az első riasztástól a záró jelentésig: hogyan jelentik a munkatársak a gyanús eseményt, ki minősíti, ki izolálja az érintett rendszereket, ki értesíti az informatikai szolgáltatót, a biztosítót és a hatóságokat, és hogyan őrzik meg a bizonyítékokat.
Hogyan igényelnek, hagynak jóvá, hoznak létre, módosítanak és törölnek egy fiókot. Az eljárás lefedi a belépést, a munkakör-változást és a távozást, a rendszergazdai, megosztott és szolgáltatói fiókokat, valamint az időszakos felülvizsgálatot, amelyben a vezető megerősíti, hogy minden személynek továbbra is szüksége van a meglévő hozzáférésére.
Hogyan írják le, értékelik kockázat szempontjából, hagyják jóvá, tesztelik, hajtják végre és szükség esetén vonják vissza az éles rendszer változtatásait (új alkalmazás, tűzfalszabály, nagyobb frissítés). Egy kis vállalatnál ez könnyű is lehet: elég egy rövid űrlap és egy napló, feltéve, hogy léteznek és használják őket.
Mit mentenek, milyen gyakran, hol, meddig, és mindenekelőtt hogyan tesztelik a visszaállítást. Az eljárás a mentéseket a kritikus tevékenységek helyreállítási céljaihoz köti, és leírja a válsághelyzeti szervezetet: ki dönt, ki kommunikál, mely rendszerek indulnak újra elsőként.
A szabályzat a vezetésnek és az informatikusoknak íródik. Az elfogadható használati szabályzat (AUP) mindenki másnak készül: a rövid, olvasható szabályok, amelyeket minden munkatárs, ideiglenes dolgozó vagy vállalkozó elfogad, mielőtt a vállalat informatikai eszközeit használná.
Fiókok és jelszavak használata, e-mail és üzenetküldés, internet-hozzáférés, a megengedett vagy tiltott magáncélú használat, mobil eszközök és távoli munka, cserélhető adathordozók, felhőszolgáltatások és generatív MI-eszközök, bizalmas kezelés, incidensek bejelentése, valamint az, hogy a cég mit és miért figyelhet meg.
Az ISO/IEC 27001 A.5.10 kontrollja előírja, hogy az információk és a más kapcsolódó eszközök elfogadható használatára vonatkozó szabályokat azonosítani, dokumentálni és bevezetni kell. Ha ezek a szabályok külön mellékletben vannak, könnyebben olvashatók, aláírhatók, frissíthetők, és munkaszerződéshez csatolhatók.
Ha az AUP a munkatársak tevékenységének naplózásáról vagy megfigyeléséről szól, az adatvédelmi jog alkalmazandó: a munkatársakat tájékoztatni kell (GDPR 13. cikk), a tagállamok pedig a a munkaviszonyra konkrétabb szabályokat fogadhatnak el (GDPR 88. cikk). Az adatvédelmi hatóságok, mint a francia CNIL, iránymutatást tesznek közzé arról, mi elfogadható.
Ahhoz, hogy az AUP a munkavállalókra nézve kötelező legyen, nemzeti formalitásokra is szükség lehet. Franciaországban például (ezt a Munka törvénykönyve alapján tanácsadójával erősíttesse meg) az ilyen szabályokat jellemzően a belső szabályzathoz (règlement intérieur) csatolják, amelyre a Munka törvénykönyve által előírt eljárás vonatkozik, beleértve a munkavállalói képviselők véleményezését. Országa szabályait tanácsadójával ellenőriztesse.
Források: ISO/IEC 27001:2022, A.5.10 · (EU) 2016/679 rendelet, 13., 88. cikk · CNIL · Légifrance, a francia Munka törvénykönyve, L1321-4. és L1321-5. cikk.
A szabályzat olyan vállalatot ír le, amely változik: új munkatársakat, új szoftvereket, új beszállítókat, új fenyegetéseket. A hivatkozott keretrendszerek általában elvárják, hogy a szabályzat naprakész legyen. A generált dokumentum tartalmazza saját felülvizsgálati naptárát, felelősét és verziótáblázatát.
Az első változatot a vezetés hagyja jóvá, keltezi és verziózza. A NIS2 20. cikk (1) bekezdése szerint a hatálya alá tartozó szervezetek irányító testületei hagyják jóvá a kiberbiztonsági kockázatkezelési intézkedéseket; az ISO/IEC 27001 5.2 pontja szerint a legfelső vezetés állapítja meg a szabályzatot.
A szabályzatot belsőleg közzéteszik, az AUP-ot pedig minden felhasználó nyugtázza. Az ISO/IEC 27001 5.1 kontrollja elvárja, hogy a szabályzatokat közöljék az érintett személyzettel és a releváns érdekelt felekkel, és ők nyugtázzák azokat.
Az ISO/IEC 27001 5.1 kontrollja tervezett időközönkénti felülvizsgálatot kér, valamint jelentős változások esetén. Az éves felülvizsgálat kkv-nak ésszerű alapértelmezés; az (EU) 2024/2690 végrehajtási rendelet is keretet ad a szabályzat felülvizsgálatának az általa lefedett digitális szervezettípusok esetében.
Egy súlyos incidens, egy egyesülés, új telephely, a felhőre való áttérés vagy egy új szabályozás mind okot ad arra, hogy a dokumentumot évforduló nélkül is újra megnyissák. Az incidensek tanulságai a következő változatba kerülnek.
Verziótáblázat, jóváhagyási nyilvántartás, a változtatások listája, nyugtázások. Amikor egy auditor, egy biztosító vagy egy vevő kéri, ez a történet mutatja meg, hogy a szabályzatot alkalmazzák, és nem csak megírták. Az ISO/IEC 27001 7.5 pontja szabályozza ezt a dokumentált információt.
A Security Policy Express önkiszolgáló eszköznek készült. Ön irányítja a tartalmat; az eszköz adja a szerkezetet, a kérdéseket és a hivatkozásokat.
Egy rövid teszt kérdez az ágazatáról, méretéről, tevékenységeiről és vevőiről, és megmondja, hogy valószínűleg érinti-e a NIS2, mely más szövegek lehetnek relevánsak, és a szabályzat mely részei a legfontosabbak az Ön helyzetében. Határozott válaszért a nemzeti hatóság hivatalos eszközeihez irányít.
Fejezetenként, saját szavaival válaszol egy sor irányított kérdésre: a szervezetéről, a kritikus tevékenységeiről, az informatikai szolgáltatójáról, a mentéseiről, arról, hogyan kezeli a távozásokat, és mit tenne zsarolóvírus-támadás esetén. Minden kérdés megmagyarázza, miért teszik fel, és melyik cikkhez vagy kontrollhoz kapcsolódik. Bármikor megállhat és folytathatja.
Az eszköz a válaszai alapján elkészíti a szabályzatot, a négy eljárást és az elfogadható használati mellékletet a vállalat nevében. Ahol hiányzik egy válasz, a dokumentum ezt kifejezetten jelzi, ahelyett hogy általános szöveggel töltené ki a rést. Az eredmény munkaváltozat, amelyet a saját tanácsadóinak (ügyvéd, informatikai szolgáltató, adatvédelmi tisztviselő) kell átnézniük és ellenőrizniük, mielőtt a vezetés jóváhagyja.
Ha segítségre van szüksége válaszainak megvitatásához, a dokumentum egy adott környezethez igazításához vagy egy audit előkészítéséhez, kérhet támogatást egy partnertanácsadótól. Ez a lépés opcionális: az önkiszolgáló út enélkül is teljes.
Fontos: a generált dokumentum munkaanyag. Nem minősül jogi tanácsadásnak, és önmagában nem teszi megfelelővé vállalatát a NIS2, az ISO/IEC 27001, a GDPR vagy bármely nemzeti jog szerint. A megfelelés attól függ, mit valósít meg ténylegesen, és az Ön felelőssége marad.
Három építőelem, amelyek ugyanabból a műhelymunkából készülnek együtt. A rendelkezésre állást és a feltételeket az indításkor jelentjük be.
A fő dokumentum, a vezetés által aláírva.
Ami működőképessé teszi a szabályzatot.
Hogy eligazodjon a szövegekben.
Két helyzetet nem szabad összetéveszteni: a NIS2 (vagy a DORA) hatálya alá tartozó vállalatok jogi kötelezettségét, és mindenki más számára erősen ajánlott jó gyakorlatot.
A NIS2 általában az I. vagy II. mellékletben felsorolt típusú közepes vállalkozásokra vagy a közepes vállalkozások felső határát meghaladó köz- vagy magánszervezetekre vonatkozik, a 2003/361/EK bizottsági ajánlás szerint (2. cikk (1) bek.). Bizonyos szervezettípusok méretüktől függetlenül hatálya alá tartoznak (2. cikk (2) bek.). A szervezeteket ezután „alapvető” vagy „fontos” besorolás szerint osztályozzák (3. cikk), ami a felügyeletet és a szankciókat befolyásolja, de mindkét kategóriának alkalmaznia kell a 21. cikket.
I. melléklet (különösen kritikus ágazatok): energia, közlekedés, bankszektor, pénzügyi piaci infrastruktúrák, egészségügy, ivóvíz, szennyvíz, digitális infrastruktúra, IKT-szolgáltatáskezelés (vállalkozások közötti), közigazgatás és űrszektor. II. melléklet (egyéb kritikus ágazatok): postai és futárszolgáltatás, hulladékkezelés, vegyipar, élelmiszeripar, gyártás (ezen belül orvostechnikai eszközök, elektronika, villamos berendezések, gépek és járművek), digitális szolgáltatók és kutatás.
A NIS2 irányelv: a tagállamoknak 2024. október 17-ig kellett átültetniük, és az intézkedéseket 2024. október 18-tól kellett alkalmazniuk (41. cikk). Az átültetés állapota és részletei országonként eltérnek, a nemzeti jog pedig pontosíthatja az intézkedések tartalmát. Mindig ellenőrizze országa jogszabályát és a hivatalos hatósági eszközöket.
E hatókörön kívül egyetlen általános európai jog sem írja elő a kkv-nak, hogy „információbiztonsági szabályzat” nevű dokumentumot fogadjon el. Viszont a GDPR szinte minden vállalkozásra vonatkozik, a vevők egyre gyakrabban kérdeznek a beszállítók biztonságáról, és az írásos szabályzat minden elismert keretrendszer első lépése. Ez a körültekintés kérdése, nem jogi szankció.
Források: (EU) 2022/2555 irányelv, 2., 3., 41. cikk és I., II. melléklet · 2003/361/EK bizottsági ajánlás · Európai Bizottság, a NIS2 irányelv oldala · Franciaország: ANSSI, NIS 2 oldal (MesServicesCyber).
Az oldalon szereplő minden szabályozási és szabványügyi állítás ezen források valamelyikére hivatkozik. A linkek a hivatalos kiadóhoz vezetnek.
Ez az oldal tájékoztatásul szolgál. Nem minősül jogi tanácsadásnak. A szövegek az EUR-Lex-en közzétett változatukban vannak hivatkozva; a nemzeti átültetések és a hatósági útmutatók további követelményeket is előírhatnak.
Az önkiszolgáló műhelymunka előkészítés alatt áll. Addig is kérdéseit a contact@syaga.eu címre küldheti.