Kiekviena rimta kibernetinio saugumo sistema prasideda nuo to paties dokumento: raštiškos, vadovybės patvirtintos informacijos saugumo politikos (ISSP). NIS2 ją nurodo pirmą tarp 21 straipsnio rizikos valdymo priemonių, o ISO/IEC 27001 ją numato kaip 5.2 punkto reikalavimą. Security Policy Express veda Europos MVĮ per vedamą internetinį seminarą ir parengia struktūrizuotą pirmąją versiją jos vardu: tai darbinis juodraštis, kurį turėtų peržiūrėti jūsų patarėjai, o ne teisinė konsultacija.
Vienos minutės atsakymas įmonės vadovui, kuris nėra IT specialistas.
Informacijos saugumo politika (dažnai sutrumpinama ISSP, prancūziškai PSSI) yra dokumentas, kuriame jūsų vadovybė raštu nurodo, kaip įmonė saugo savo informaciją ir IT sistemas, kas už ką atsako ir kokių taisyklių turi laikytis visi. Viršuje ji trumpa (vadovybės pasirašytas politikos pareiškimas), o žemiau išsamesnė (konkrečių sričių taisyklės ir veiklos procedūros). Tai nėra techninis vadovas: tai vadovybės sprendimas, perkeltas į raštą, kuriuo remiasi visas kitas jūsų saugumo darbas.
ISO/IEC 27001 politiką priskiria „aukščiausiajai vadovybei“, o NIS2 20 straipsnyje reikalaujama, kad subjektų, patenkančių į taikymo sritį, vadovybės organai patvirtintų kibernetinio saugumo rizikos valdymo priemones ir prižiūrėtų jų įgyvendinimą. IT tiekėjas gali padėti ją parengti; tik jūsų vadovybė gali įsipareigoti ją vykdyti.
Šaltiniai: Direktyva (ES) 2022/2555, 20 str. · ISO/IEC 27001:2022, 5 punktasGera praktika skiria tris lygmenis. Politika nustato principus ir atsakomybes. Konkrečių sričių politikos (prieigos kontrolė, atsarginės kopijos, kriptografija, tiekėjai...) juos pritaiko kiekvienai sričiai. Procedūros aprašo, kas ką daro, žingsnis po žingsnio, kai kas nors nutinka. ISO/IEC 27001 A.5.1 kontrolė aiškiai mini ir politiką, ir konkrečių sričių politikas.
Šaltinis: ISO/IEC 27001:2022, A priedas, 5.1 kontrolėNė vienas Europos tekstas nenustato vieno šablono. NIS2 21 straipsnio 1 dalyje reikalaujama priemonių, kurios yra „tinkamos ir proporcingos“, atsižvelgiant į subjekto rizikos poveikį, dydį, incidentų tikimybę ir sunkumą. Gamintojas su 40 darbuotojų ir ligoninė neparašys tos pačios politikos ir neturėtų jos rašyti.
Šaltinis: Direktyva (ES) 2022/2555, 21 str. 1 d.Politika, parašyta kartą ir padėta į aplanką, nieko neapsaugo. Pagal standartus ją reikia paskelbti darbuotojams, patvirtinti ir peržiūrėti planuotais intervalais bei po reikšmingų pokyčių. Todėl jūsų politikoje nuo pat pradžių turi būti peržiūros ciklas, savininkas ir versijų istorija.
Šaltinis: ISO/IEC 27001:2022, 5.2 punktas ir 5.1 kontrolėDauguma vidutinio ir mažo dydžio įmonių jau taiko tam tikras saugumo taisykles. Paprastai trūksta raštiškos, patvirtintos ir nuoseklios versijos, kurią gali iš tikrųjų perskaityti priežiūros institucija, auditorius, draudikas ar didelis klientas.
NIS2 direktyva išplečia ES kibernetinio saugumo taisykles daugeliui vidutinio dydžio įmonių tokiuose sektoriuose kaip gamyba, maistas, atliekų tvarkymas, transportas ar skaitmeninės paslaugos. Subjektams, patenkantiems į taikymo sritį, „politikos dėl rizikos analizės ir informacinių sistemų saugumo“ yra pirmoji 21 straipsnio 2 dalyje išvardyta priemonė.
NIS2 21 straipsnio 2 dalies d punktas reikalauja, kad subjektai, patenkantys į taikymo sritį, spręstų tiekimo grandinės saugumo klausimus, įskaitant saugumo aspektus tiesioginių tiekėjų santykiuose. Net jei nepatenkate į taikymo sritį, didesni jūsų klientai gali tiekėjų anketose prašyti pateikti raštišką saugumo politiką.
Rašant politiką reikia atsakyti į daugybę klausimų vienu metu: kokie mūsų kritiniai turtai, kas sprendžia, ką darome užpuolus išpirkos reikalaujančiai kenkėjiškai programinei įrangai (ransomware), kiek laiko saugome atsargines kopijas? Be struktūros darbas atidedamas iš ketvirčio į ketvirtį.
Atsisiųsti šablonai dažnai aprašo organizaciją, turinčią saugumo pareigūną, saugumo operacijų centrą ir atskirą biudžetą. Dokumentas, kuris neatitinka tikrovės, yra blogesnis nei jokio: jo nebus laikomasi, o auditorius pastebės atotrūkį tarp popieriaus ir praktikos.
Tas pats dokumentas atsako į kelis tekstus iš karto. Štai ką iš tiesų sako kiekvienas iš jų. Kiekviena nuoroda veda į oficialų šaltinį; nacionaliniai perkėlimai gali pridėti detalių.
Esminiai ir svarbūs subjektai privalo taikyti „tinkamas ir proporcingas technines, operacines ir organizacines priemones“ kibernetinio saugumo rizikoms valdyti, remdamiesi visų pavojų požiūriu. 21 straipsnio 2 dalies sąrašas prasideda „a) politikos dėl rizikos analizės ir informacinių sistemų saugumo“. 20 straipsnyje papildomai nustatyta, kad vadovybės organai tvirtina šias priemones, prižiūri jų įgyvendinimą ir dalyvauja mokymuose.
5.2 punktas įpareigoja aukščiausiąją vadovybę nustatyti informacijos saugumo politiką, atitinkančią organizacijos paskirtį, nustatančią saugumo tikslų sistemą ir apimančią įsipareigojimus tenkinti taikomus reikalavimus bei nuolat tobulėti. Ji turi būti dokumentuota, perduota organizacijos viduje ir, kai tinka, prieinama suinteresuotosioms šalims. A priedo 5.1 kontrolė tai išplečia iki konkrečių sričių politikų, kurios tvirtinamos, skelbiamos, o darbuotojai patvirtina jas perskaitę, ir peržiūrimos.
24 straipsnio 2 dalyje nurodyta, kad, kai tai proporcinga duomenų tvarkymo veikloms, duomenų valdytojo priemonės apima „tinkamos duomenų apsaugos politikos įgyvendinimą“. 32 straipsnyje reikalaujama tinkamų techninių ir organizacinių priemonių, kad būtų užtikrintas riziką atitinkantis saugumo lygis. Saugumo politika yra natūrali vieta šioms priemonėms dokumentuoti.
Tam tikriems skaitmeniniams subjektams (pavyzdžiui, debesijos kompiuterijos, duomenų centrų ir valdomųjų paslaugų teikėjams) Komisija priėmė išsamius techninius ir metodinius reikalavimus. Jo priedas prasideda „tinklo ir informacinių sistemų saugumo politika“ ir aprašo, kaip ji tvirtinama, dokumentuojama ir peržiūrima. Net jei jūsų įmonė nėra tokio tipo subjektas, priedas yra naudinga viešai prieinama nuoroda politikai struktūrizuoti.
Finansų subjektams DORA reikalauja parengti ir dokumentuoti informacijos saugumo politiką, nustatančią taisykles, kaip apsaugoti duomenų, informacijos ir IKT turto prieinamumą, autentiškumą, vientisumą ir konfidencialumą. Jei esate IKT tiekėjas bankui ar draudikui, tikėkitės, kad klientas paklaus, kaip jūsų politika lyginasi su jo.
Nacionalinės kibernetinio saugumo agentūros skelbia nemokamas gaires, kuriomis gali remtis politika. Prancūzijoje ANSSI informatikos higienos vadove nustatyta 42 esminės priemonės asmenims, atsakingiems už organizacijos informacinės sistemos saugumą. ENISA, ES kibernetinio saugumo agentūra, skelbia gaires, padedančias įgyvendinti NIS2 visoje Sąjungoje.
NIS2 21 straipsnio 2 dalyje išvardyta dešimt minimalių priemonių. A punktas yra pati politika, tačiau gerai parengta politika taip pat yra vieta, kur kitos devynios randa savo savininką, taisyklę ir procedūrą. Taip struktūrizuojame sugeneruotą dokumentą.
Politikos pareiškimas, taikymo sritis, vaidmenys ir metodas, kuriuo nustatote ir įvertinate rizikas. Tai dokumento stuburas.
Incidentų valdymo procedūra: aptikimas, kvalifikavimas, eskalavimas, izoliavimas, pranešimas ir pamokos.
Atsarginių kopijų valdymas, avarinis atkūrimas ir krizių valdymas, kaip tai nurodo direktyva: kas sprendžia, kas atsistato pirmiausia, kaip dažnai testuojamos atsarginės kopijos.
Taisyklės, kaip rinktis, sudaryti sutartis ir stebėti IT tiekėjus bei paslaugų teikėjus, įskaitant saugumo sąlygas, kurių iš jų tikitės.
Kaip parenkamos ir konfigūruojamos naujos sistemos, kaip taikomi atnaujinimai ir kaip tvarkomos bei skelbiamos pažeidžiamybės.
Politikos ir procedūros, patikrinančios, ar priemonės veikia: rodikliai, vidaus peržiūros, pratybos ir vadovybės peržiūra.
Kasdienės taisyklės (slaptažodžiai, atnaujinimai, budrumas dėl sukčiavimo (phishing)) ir mokymų planas, įskaitant vadovybę, kaip to reikalauja 20 straipsnio 2 dalis vadovybės organams.
Kada duomenys turi būti šifruojami (nešiojamieji kompiuteriai, atsarginės kopijos, perdavimai), kokie protokolai priimtini ir kas valdo raktus.
Priėmimas, perkėlimas ir išėjimas iš darbo; kas gauna kokią prieigą ir kas ją patvirtina; turto inventorius su savininkais.
Kur reikalingas daugiafaktorinis ar nuolatinis autentifikavimas ir kaip apsaugomi balso, vaizdo, teksto ir avariniai ryšiai.
ISO/IEC 27001 nuorodos yra orientaciniai atitikmenys, mūsų parengti jums padėti orientuotis, o ne oficialus ISO ar Europos Komisijos paskelbtas atitikmenų sąrašas. Dešimties priemonių šaltinis: Direktyva (ES) 2022/2555, 21 str. 2 d..
Sugeneruotas dokumentas seka struktūrą, kurią atpažins auditorius, draudikas ar klientas. Kiekvienas skyrius užpildomas pagal atsakymus seminare, kad jis aprašytų jūsų įmonę, o ne išgalvotą bendrovę.
Vadovybės įsipareigojimas keliose pastraipose, pasirašytas ir datuotas.
Kas sprendžia, kas įgyvendina, kas tikrina, įskaitant atvejus, kai IT perduotas išoriniam tiekėjui.
Paprastas, pakartojamas būdas identifikuoti, įvertinti ir valdyti rizikas.
Žinoti, ką saugote, prieš nusprendžiant, kaip tai daryti.
Kas gali pasiekti ką ir kaip tai įrodoma.
Techninė bazė, aprašyta paprasta kalba.
Kur reikalingas šifravimas ir kaip jis valdomas.
Saugumas jūsų santykiuose su IT tiekėjais ir debesijos paslaugomis.
Žmogiškoji pusė nuo priėmimo iki išėjimo.
Patalpos, serverių kambariai ir įranga už biuro ribų.
Principai, kurie išsamiau aprašyti toliau pateiktose procedūrose.
Kaip politika išlieka gyva ir teisinga.
Politika nurodo, kas turi įvykti; procedūra nurodo, kas tai daro, kokia tvarka ir su kokiu įrašu. Šias keturias klientai ir auditoriai dažniausiai prašo parodyti, ir jos svarbiausios tą dieną, kai kas nors nutinka.
Nuo pirmojo perspėjimo iki uždarymo ataskaitos: kaip darbuotojai praneša apie įtartiną įvykį, kas jį kvalifikuoja, kas izoliuoja paveiktas sistemas, kas susisiekia su IT tiekėju, draudiku ir institucijomis, kaip išsaugomi įrodymai.
Kaip paskyra prašoma, patvirtinama, sukuriama, keičiama ir pašalinama. Procedūra apima priėmimą, pareigų pasikeitimus ir išėjimus, administratorių paskyras, bendras ir paslaugų paskyras bei periodinę peržiūrą, kai vadovas patvirtina, kad kiekvienam asmeniui prieiga vis dar reikalinga.
Kaip aprašomas, rizikos atžvilgiu įvertinamas, patvirtinamas, išbandomas, įgyvendinamas ir, prireikus, atšaukiamas pakeitimas gamybinėje sistemoje (nauja programa, ugniasienės taisyklė, didelis atnaujinimas). Mažoje įmonėje tai gali būti paprasta: pakanka trumpos formos ir žurnalo, jei jie egzistuoja ir naudojami.
Kas kopijuojama, kaip dažnai, kur, kiek laiko ir, svarbiausia, kaip testuojamas atkūrimas. Procedūra sieja atsargines kopijas su atkūrimo tikslais pagal kiekvieną kritinę veiklą ir aprašo krizių organizavimą: kas sprendžia, kas informuoja, kurios sistemos paleidžiamos pirmiausia.
Politika rašoma vadovybei ir IT. Priimtino naudojimo taisyklių dokumentas (AUP) rašomas visiems kitiems: trumpas, lengvai skaitomas taisyklių rinkinys, su kuriuo kiekvienas darbuotojas, laikinasis darbuotojas ar rangovas sutinka prieš pradėdamas naudotis įmonės IT.
Paskyrų ir slaptažodžių naudojimas, el. paštas ir pranešimai, interneto prieiga, leidžiamas ar draudžiamas asmeninis naudojimas, mobilieji įrenginiai ir nuotolinis darbas, keičiamosios laikmenos, debesijos paslaugos ir generatyviojo DI įrankiai, konfidencialumas, incidentų pranešimas, bei tai, ką įmonė gali stebėti ir kodėl.
ISO/IEC 27001 5.10 kontrolė reikalauja nustatyti, dokumentuoti ir įgyvendinti informacijos ir kitų su ja susijusių išteklių priimtino naudojimo taisykles. Laikant jas atskirame priede, jas lengviau perskaityti, pasirašyti, atnaujinti ir pridėti prie darbo dokumentų.
Kai AUP mini darbuotojų veiklos registravimą ar stebėjimą, taikoma duomenų apsaugos teisė: darbuotojai turi būti informuoti (BDAR 13 str.), o valstybės narės gali priimti konkretesnes darbo santykių taisykles (BDAR 88 str.). Duomenų apsaugos institucijos, pavyzdžiui, prancūzų CNIL, skelbia gaires, kas yra priimtina.
Kad AUP būtų privalomas darbuotojams, gali reikėti nacionalinių formalumų. Pavyzdžiui, Prancūzijoje (reikia patikslinti su patarėju pagal Darbo kodeksą) tokio pobūdžio taisyklės paprastai pridedamos prie vidaus darbo tvarkos taisyklių (règlement intérieur), kurioms taikoma Darbo kodekso nustatyta tvarka, įskaitant darbuotojų atstovų konsultavimą. Pasitikslinkite savo šalies taisykles su patarėju.
Šaltiniai: ISO/IEC 27001:2022, A.5.10 · Reglamentas (ES) 2016/679, 13 ir 88 str. · CNIL · Légifrance, Prancūzijos Darbo kodeksas, L1321-4 ir L1321-5 str..
Politika aprašo besikeičiančią įmonę: naujus darbuotojus, naują programinę įrangą, naujus tiekėjus, naujas grėsmes. Cituojami teisės aktai ir standartai paprastai tikisi, kad ji bus nuolat atnaujinama. Sugeneruotas dokumentas apima savo peržiūros kalendorių, savininką ir versijų lentelę.
Pirmąją versiją patvirtina vadovybė, ji datuojama ir versijuojama. Pagal NIS2 20 str. 1 d. subjektų, patenkančių į taikymo sritį, vadovybės organai tvirtina kibernetinio saugumo rizikos valdymo priemones; pagal ISO/IEC 27001 5.2 punktą aukščiausioji vadovybė nustato politiką.
Politika skelbiama įmonėje; kiekvienas naudotojas patvirtina, kad susipažino su priimtino naudojimo taisyklėmis. ISO/IEC 27001 A.5.1 kontrolė numato, kad politikos turi būti pranešamos atitinkamiems darbuotojams ir suinteresuotosioms šalims, o darbuotojai turi patvirtinti, kad su jomis susipažino.
ISO/IEC 27001 A.5.1 kontrolė reikalauja peržiūros planuotais intervalais ir įvykus reikšmingiems pokyčiams. Metinė peržiūra yra protinga MVĮ numatytoji nuostata; Įgyvendinimo reglamentas (ES) 2024/2690 taip pat numato politikos peržiūrą jo taikymo sričiai priklausantiems skaitmeninių subjektų tipams.
Rimtas incidentas, susijungimas, nauja vieta, perkėlimas į debesį ar nauja teisės norma: visa tai yra pagrindas atnaujinti dokumentą nelaukiant metinės datos. Iš incidentų gautos pamokos patenka į kitą versiją.
Versijų lentelė, patvirtinimo įrašas, pakeitimų sąrašas, patvirtinimai. Tą dieną, kai auditorius, draudikas ar klientas paprašys, būtent ši istorija parodys, kad politika taikoma, o ne tik parašyta. ISO/IEC 27001 7.5 punktas reglamentuoja šią dokumentuotą informaciją.
Security Policy Express sukurtas kaip savitarnos įrankis. Turinį kontroliuojate jūs; įrankis suteikia struktūrą, klausimus ir nuorodas.
Trumpas testas klausia apie jūsų sektorių, dydį, veiklą ir klientus bei nurodo, ar jums greičiausiai taikoma NIS2, kokie kiti tekstai gali būti aktualūs ir kurios politikos dalys svarbiausios jūsų situacijoje. Galutiniam atsakymui jis nukreipia į oficialius jūsų nacionalinės institucijos įrankius.
Savo žodžiais atsakote į klausimų seriją pagal skyrius: jūsų organizacija, kritinė veikla, IT tiekėjas, atsarginės kopijos, kaip tvarkote darbuotojų išėjimą iš darbo, ką darytumėte užpuolus išpirkos reikalaujančiai kenkėjiškai programinei įrangai (ransomware). Kiekvienas klausimas paaiškina, kodėl jis užduodamas ir su kuriuo straipsniu ar kontrole yra susijęs. Galite bet kada sustabdyti ir tęsti.
Įrankis sugeneruoja politiką, keturias procedūras ir naudojimo taisyklių priedą jūsų įmonės vardu, pagal jūsų atsakymus. Kai atsakymo trūksta, dokumentas tai nurodo aiškiai, o ne užpildo spragą bendrais tekstais. Rezultatas yra darbinis juodraštis, kurį jūsų patarėjai (teisininkas, IT tiekėjas, duomenų apsaugos pareigūnas) turi peržiūrėti ir patvirtinti, prieš jį tvirtinant vadovybei.
Jei norite, kad kas nors padėtų patikrinti atsakymus, pritaikyti dokumentą konkrečiam kontekstui ar pasiruošti auditui, galite kreiptis į partnerį konsultantą. Šis žingsnis neprivalomas: savitarnos kelias yra išsamus ir be jo.
Svarbu: sugeneruotas dokumentas yra darbinis pagrindas. Jis nėra teisinė konsultacija ir pats savaime neužtikrina, kad jūsų įmonė atitiks NIS2, ISO/IEC 27001, BDAR ar bet kurį nacionalinį teisės aktą. Atitiktis priklauso nuo to, ką iš tiesų įgyvendinate, ir lieka jūsų atsakomybė.
Trys sudedamosios dalys, sugeneruotos kartu iš to paties seminaro. Prieinamumas ir sąlygos bus paskelbti paleidimo metu.
Pagrindinis dokumentas, pasirašytas vadovybės.
Tai, kas daro politiką veikiančią.
Kad galėtumėte orientuotis tekstuose.
Reikia nesupainioti dviejų situacijų: teisinės prievolės įmonėms, patenkančioms į NIS2 (ar DORA) taikymo sritį, ir stipriai rekomenduojamos gerosios praktikos visiems kitiems.
NIS2 paprastai taikoma viešojo ar privačiojo sektoriaus subjektams, kurie priklauso jos I ar II priede nurodytam tipui ir yra vidutinio dydžio įmonės arba didesni už vidutines įmones, kaip apibrėžta Komisijos rekomendacijoje 2003/361/EB (2 str. 1 d.). Kai kurių tipų subjektai patenka nepriklausomai nuo dydžio (2 str. 2 d.). Subjektai toliau skirstomi į „esminius“ ir „svarbius“ (3 str.), o tai veikia priežiūrą ir sankcijas, tačiau 21 straipsnis taikomas abiem atvejais.
I priedas (didelio kritiškumo sektoriai): energetika, transportas, bankininkystė, finansų rinkų infrastruktūros, sveikatos apsauga, geriamasis vanduo, nuotekos, skaitmeninė infrastruktūra, IKT paslaugų valdymas (verslas verslui), viešasis administravimas ir kosmosas. II priedas (kiti kritiniai sektoriai): pašto ir kurjerių paslaugos, atliekų tvarkymas, chemija, maistas, gamyba (įskaitant medicinos priemones, elektroniką, elektros įrangą, mašinas ir transporto priemones), skaitmeniniai paslaugų teikėjai ir moksliniai tyrimai.
NIS2 yra direktyva: valstybės narės turėjo ją perkelti iki 2024 m. spalio 17 d. ir taikyti priemones nuo 2024 m. spalio 18 d. (41 str.). Perkėlimo statusas ir detalės skiriasi nuo vienos šalies prie kitos, o nacionalinė teisė gali nurodyti priemonių turinį. Visada tikrinkite savo šalies teisę ir oficialius tinkamumo įrankius.
Už šių sričių ribų joks bendras Europos teisės aktas nereikalauja iš MVĮ priimti dokumento, vadinamo „informacijos saugumo politika“. Tačiau BDAR taikomas beveik kiekvienai įmonei, klientai vis dažniau klausia tiekėjų apie saugumą, o raštiška politika yra pirmasis žingsnis bet kuriame pripažintame standarte. Tai atsargumo pasirinkimas, o ne teisinė prievolė.
Šaltiniai: Direktyva (ES) 2022/2555, 2, 3, 41 str. ir I bei II priedai · Komisijos rekomendacija 2003/361/EB · Europos Komisija, NIS2 direktyvos puslapis · Prancūzija: ANSSI, NIS 2 puslapis (MesServicesCyber).
Kiekvienas aukščiau pateiktas teisinis ar normatyvinis teiginys nurodo į vieną iš šių šaltinių. Nuorodos veda į oficialų leidėją.
Šis puslapis pateikiamas informaciniais tikslais. Tai nėra teisinė konsultacija. Tekstai cituojami EUR-Lex paskelbtoje versijoje; nacionaliniai perkėlimai ir institucijų gairės gali pridėti reikalavimų.
Savitarnos seminaras ruošiamas. Klausimai tuo tarpu: contact@syaga.eu.