Katra nopietna kiberdrošības sistēma sākas ar vienu un to pašu dokumentu: rakstisku, vadības apstiprinātu informācijas drošības politiku (ISSP). NIS2 to uzskaita pirmo starp riska pārvaldības pasākumiem 21. pantā, un ISO/IEC 27001 to padara par prasību 5.2. punktā. Security Policy Express vada Eiropas MVU cauri vadītai tiešsaistes darbnīcai un savā vārdā izveido strukturētu pirmo versiju: darba projektu, ko jūsu konsultanti var izskatīt, nevis juridisku padomu.
Atbilde vienā minūtē uzņēmuma vadītājam, kurš nav IT speciālists.
Informācijas drošības politika (bieži saīsināti ISSP, franču valodā PSSI) ir dokuments, kurā jūsu vadība rakstiski nosaka, kā uzņēmums aizsargā savu informāciju un IT sistēmas, kas ir atbildīgs par ko un kādi noteikumi ir jāievēro ikvienam. Tās augšdaļa ir īsa (vadības parakstīts politikas paziņojums), bet apakšdaļa detalizētāka (konkrētām tēmām paredzēti noteikumi un darbības procedūras). Tā nav tehniska rokasgrāmata: tas ir vadības lēmums, kas uzrakstīts uz papīra un uz kuru var balstīties viss pārējais jūsu drošības darbs.
ISO/IEC 27001 politiku piešķir "augstākajai vadībai", un NIS2 20. pants prasa iesaistīto vienību vadības struktūrām apstiprināt kiberdrošības riska pārvaldības pasākumus un uzraudzīt to ieviešanu. Jūsu IT pakalpojumu sniedzējs var palīdzēt to uzrakstīt; tikai jūsu vadība var to īstenot.
Avoti: Direktīva (ES) 2022/2555, 20. pants · ISO/IEC 27001:2022, 5. punktsLabā prakse atšķir trīs slāņus. Politika nosaka principus un atbildību. Tematiskās politikas (piekļuves kontrole, dublēšana, kriptogrāfija, piegādātāji...) tos pielāgo katrai jomai. Procedūras apraksta, kas ko dara soli pa solim, kad kaut kas notiek. ISO/IEC 27001 kontrole 5.1 skaidri min gan politiku, gan tematiskās politikas.
Avots: ISO/IEC 27001:2022, A pielikums, kontrole 5.1Neviens Eiropas teksts neuzliek vienu veidni. NIS2 21. panta 1. punkts prasa pasākumus, kas ir "atbilstoši un samērīgi", ņemot vērā vienības pakļautību riskiem, tās lielumu un incidentu varbūtību un smagumu. 40 darbinieku ražotājs un slimnīca nerakstīs vienu un to pašu politiku, un nevajadzētu.
Avots: Direktīva (ES) 2022/2555, 21. panta 1. punktsPolitika, kas reiz uzrakstīta un nolikta plauktā, nekā neaizsargā. Regulējumi un standarti sagaida, ka to paziņos darbiniekiem, tā tiks apliecināta un pārskatīta plānotos intervālos un pēc būtiskām izmaiņām. Tāpēc jūsu politikai no pirmās dienas jāietver pašai savs pārskatīšanas cikls, īpašnieks un versiju vēsture.
Avots: ISO/IEC 27001:2022, 5.2. punkts un kontrole 5.1Lielākā daļa mazo un vidējo uzņēmumu jau piemēro dažus drošības noteikumus. Parasti trūkst rakstiskās, apstiprinātās un saskaņotās versijas, ko regulators, auditors, apdrošinātājs vai liels klients var reāli izlasīt.
NIS2 attiecina ES kiberdrošības noteikumus uz daudziem vidējiem uzņēmumiem tādās nozarēs kā ražošana, pārtika, atkritumu apsaimniekošana, transports vai digitālie pakalpojumi. Pakļautajām vienībām "politikas riska analīzes un informācijas sistēmu drošības jomā" ir pirmais pasākums, kas uzskaitīts 21. panta 2. punktā.
NIS2 21. panta 2. punkta d) apakšpunkts prasa pakļautajām vienībām risināt piegādes ķēdes drošību, tostarp drošībai svarīgus aspektus attiecībās ar tiešajiem piegādātājiem. Pat ja neesat ietverts piemērošanas jomā, lielākie klienti var prasīt parādīt rakstisku drošības politiku piegādātāju anketās.
Politikas rakstīšana nozīmē vienlaikus atbildēt uz daudziem jautājumiem: kas ir mūsu kritiskie aktīvi, kas lemj, ko darām izspiedējprogrammatūras uzbrukuma gadījumā, cik ilgi glabājam dublējumus? Bez struktūras uzdevums parasti tiek atlikts ceturksnis pēc ceturkšņa.
Lejupielādētās veidnes bieži apraksta organizāciju ar drošības amatpersonu, drošības operāciju centru un īpašu budžetu. Dokuments, kas neatbilst realitātei, ir sliktāks par nekādu: to neievēros, un auditors pamanīs plaisu starp papīru un praksi.
Viens un tas pats dokuments atbild uz vairākiem tekstiem vienlaikus. Šeit ir, ko katrs no tiem patiesībā saka, ar saiti uz oficiālo avotu. Katra atsauce ved uz oficiālo avotu; valstu transponējumi var pievienot detaļas.
Būtiskām un svarīgām vienībām jāveic "atbilstoši un samērīgi tehniski, operatīvi un organizatoriski pasākumi" kiberdrošības riskiem pārvaldīt, balstoties uz visu apdraudējumu pieeju. 21. panta 2. punkta saraksts sākas ar "a) politikas riska analīzes un informācijas sistēmu drošības jomā". 20. pants papildina, ka vadības struktūras apstiprina šos pasākumus, uzrauga to ieviešanu un iziet apmācību.
5.2. punkts pieprasa augstākajai vadībai izveidot informācijas drošības politiku, kas atbilst organizācijas mērķiem, nodrošina ietvaru drošības mērķiem un ietver apņemšanos izpildīt piemērojamās prasības un nepārtraukti pilnveidoties. Tai jābūt dokumentētai, jāpaziņo iekšēji un jādara pieejama ieinteresētajām pusēm, kad tas ir piemēroti. A pielikuma kontrole 5.1 to attiecina uz tematiskajām politikām, kas tiek apstiprinātas, publicētas, paziņotas un pārskatītas.
24. panta 2. punkts nosaka, ka, ja tas ir samērīgi ar apstrādes darbībām, pārziņa pasākumos ietilpst "atbilstošu datu aizsardzības politiku ieviešana". 32. pants prasa atbilstošus tehniskus un organizatoriskus pasākumus, lai nodrošinātu drošības līmeni, kas atbilst riskam. Drošības politika ir dabiska vieta, kur dokumentēt šos pasākumus.
Dažiem digitālajiem subjektiem (piemēram, mākoņdatošanas, datu centru un pārvaldīto pakalpojumu sniedzējiem) Komisija pieņēma detalizētas tehniskās un metodoloģiskās prasības. Tās pielikums sākas ar "politiku par tīkla un informācijas sistēmu drošību" un apraksta, kā tā tiek apstiprināta, dokumentēta un pārskatīta. Pat ja jūsu uzņēmums nav viens no šiem subjektu tipiem, pielikums ir noderīga, publiski pieejama atsauce politikas strukturēšanai.
Finanšu subjektiem DORA prasa izstrādāt un dokumentēt informācijas drošības politiku, kas nosaka noteikumus datu, informācijas aktīvu un IKT aktīvu pieejamības, autentiskuma, integritātes un konfidencialitātes aizsardzībai. Ja esat IKT piegādātājs bankai vai apdrošinātājam, sagaidiet, ka klients jautās, kā izskatās jūsu pašu politika.
Valstu kiberdrošības aģentūras publicē bezmaksas vadlīnijas, uz kurām politika var balstīties. Francijā ANSSI IT higiēnas ceļvedis izklāsta 42 būtiskus pasākumus organizācijas informācijas sistēmas drošības atbildīgajām personām. ENISA, ES Kiberdrošības aģentūra, publicē vadlīnijas, kas atbalsta NIS2 ieviešanu visā Savienībā.
NIS2 21. panta 2. punkts uzskaita desmit minimālos pasākumus. a) punkts ir pati politika, bet labi izveidota politika ir arī vieta, kur pārējie deviņi atrod savu īpašnieku, noteikumu un procedūru. Tā mēs strukturējam ģenerēto dokumentu.
Politikas paziņojums, darbības joma, lomas un metode, kā identificēt un novērtēt riskus. Tā ir dokumenta mugurkauls.
Incidentu pārvaldības procedūra: atklāšana, kvalifikācija, eskalācija, ierobežošana, paziņošana un mācības no pieredzes.
Dublēšanas pārvaldība, katastrofu atkopšana un krīzes vadība, kā to formulē direktīva: kas lemj, kas tiek atjaunots pirmais, cik bieži dublējumi tiek pārbaudīti.
Noteikumi IT piegādātāju un pakalpojumu sniedzēju izvēlei, līgumiem un uzraudzībai, tostarp drošības klauzulas, ko no viņiem sagaidāt.
Kā izvēlas un konfigurē jaunas sistēmas, kā piemēro atjauninājumus un kā apstrādā un atklāj ievainojamības.
Politikas un procedūras, lai pārbaudītu, vai pasākumi darbojas: rādītāji, iekšējās pārskatīšanas, mācības un vadības pārskats.
Ikdienas noteikumi (paroles, atjauninājumi, izpratne par pikšķerēšanu) un apmācību plāns, arī vadībai, kā to prasa 20. panta 2. punkts vadības struktūrām.
Kad dati jāšifrē (klēpjdatori, dublējumi, pārraides), kādi protokoli ir pieņemami un kas pārvalda atslēgas.
Darbā pieņemtie, pārceltie un aizgājušie darbinieki; kam kāda piekļuve tiek piešķirta un kas to apstiprina; aktīvu inventārs ar īpašniekiem.
Kur nepieciešama daudzfaktoru vai nepārtraukta autentifikācija un kā tiek nodrošināta balss, video, teksta un ārkārtas saziņa.
ISO/IEC 27001 atsauces ir orientējošas atbilsmes, ko mēs sastādījām, lai jums būtu vieglāk orientēties, nevis oficiāls kartējums, ko publicējusi ISO vai Eiropas Komisija. Desmit pasākumu avots: Direktīva (ES) 2022/2555, 21. panta 2. punkts.
Ģenerētais dokuments seko struktūrai, ko auditors, apdrošinātājs vai klients atpazīs. Katru nodaļu aizpilda no atbildēm darbnīcā, lai tā aprakstītu jūsu uzņēmumu, nevis izdomātu.
Vadības apņemšanās dažās rindkopās, parakstīta un datēta.
Kas lemj, kas īsteno, kas pārbauda, arī tad, ja IT ir ārpakalpojums.
Vienkāršs, atkārtojams veids, kā identificēt, novērtēt un apstrādāt riskus.
Zināt, ko aizsargājat, pirms izlemjat, kā.
Kam kas ir pieejams un kā to pierāda.
Tehniskais pamats, rakstīts vienkāršā valodā.
Kur nepieciešama šifrēšana un kā tā tiek pārvaldīta.
Drošība attiecībās ar IT pakalpojumu sniedzējiem un mākoņpakalpojumiem.
Cilvēciskā puse, no pieņemšanas līdz aiziešanai.
Telpas, serveru telpas un aprīkojums ārpus biroja.
Principi, detalizēti zemāk esošajās procedūrās.
Kā politika paliek dzīva un patiesa.
Politika saka, kas jānotiek; procedūra saka, kas to dara, kādā secībā un ar kādu ierakstu. Šīs četras ir tās, ko klienti un auditori visbiežāk prasa parādīt, un tās, kas ir vissvarīgākās dienā, kad kaut kas noiet greizi.
No pirmā brīdinājuma līdz noslēguma ziņojumam: kā darbinieki ziņo par aizdomīgu notikumu, kas to kvalificē, kas izolē skartās sistēmas, kas sazinās ar IT pakalpojumu sniedzēju, apdrošinātāju un iestādēm un kā tiek saglabāti pierādījumi.
Kā konts tiek pieprasīts, apstiprināts, izveidots, mainīts un dzēsts. Procedūra aptver ierašanos, lomu maiņu un aiziešanu, administratora kontus, kopīgos un pakalpojumu kontus, kā arī periodisku pārskatīšanu, kurā vadītājs apstiprina, ka katram cilvēkam joprojām nepieciešama sava piekļuve.
Kā izmaiņa produkcijas sistēmā (jauna lietotne, ugunsmūra noteikums, liels atjauninājums) tiek aprakstīta, novērtēta riska ziņā, apstiprināta, pārbaudīta, veikta un vajadzības gadījumā atcelta. Mazā uzņēmumā tas var būt vienkārši: pietiek ar īsu veidlapu un žurnālu, ja tie pastāv un tiek lietoti.
Kas tiek dublēts, cik bieži, kur, cik ilgi un, galvenais, kā tiek pārbaudīta atjaunošana. Procedūra saista dublējumus ar atjaunošanas mērķiem katrai kritiskajai darbībai un apraksta krīzes organizāciju: kas lemj, kas komunicē, kuras sistēmas atgriežas pirmās.
Politika ir paredzēta vadībai un IT. Pieņemamas lietošanas politika (AUP) ir paredzēta visiem pārējiem: īsa, viegli lasāma noteikumu kopa, ko katrs darbinieks, pagaidu darbinieks vai līgumslēdzējs pieņem, pirms lieto uzņēmuma IT.
Kontu un paroļu lietošana, e-pasts un ziņojumapmaiņa, interneta piekļuve, pieļaujama vai nepieļaujama personiska lietošana, mobilās ierīces un attālinātais darbs, noņemamie datu nesēji, mākoņpakalpojumi un ģeneratīvā MI rīki, konfidencialitāte, incidentu ziņošana un tas, ko uzņēmums var uzraudzīt un kāpēc.
ISO/IEC 27001 kontrole 5.10 prasa identificēt, dokumentēt un ieviest noteikumus informācijas un citu saistīto aktīvu pieņemamai lietošanai. Šo noteikumu turēšana atsevišķā pielikumā padara tos vieglāk lasāmus, parakstāmus, atjaunināmus un pievienojamus darba dokumentiem.
Ja AUP min darbinieku darbību reģistrēšanu vai uzraudzību, piemērojami datu aizsardzības noteikumi: darbinieki jāinformē (VDAR 13. pants), un dalībvalstis var pieņemt konkrētākus noteikumus darba attiecību kontekstā (VDAR 88. pants). Datu aizsardzības iestādes, piemēram, CNIL, publicē vadlīnijas par to, kas ir pieņemams.
Lai AUP būtu saistoša darbiniekiem, var būt vajadzīgas valsts formalitātes. Piemēram, Francijā (jāpārbauda ar konsultantu atbilstoši Darba kodeksam) šāda veida noteikumi parasti pievienojami iekšējiem noteikumiem (règlement intérieur), ko reglamentē Darba kodekss, tostarp konsultācijas ar darbinieku pārstāvjiem. Pārbaudiet savas valsts noteikumus ar konsultantu.
Avoti: ISO/IEC 27001:2022, A.5.10 · Regula (ES) 2016/679, 13. un 88. pants · CNIL · Légifrance, Francijas Darba kodekss, L1321-4 un L1321-5 pants.
Politika apraksta uzņēmumu, kas mainās: jauni darbinieki, jauna programmatūra, jauni piegādātāji, jauni draudi. Regulējumi, uz kuriem mēs atsaucamies, parasti sagaida, ka tā tiks atjaunināta. Ģenerētajā dokumentā ir savs pārskatīšanas kalendārs, īpašnieks un versiju tabula.
Pirmo versiju apstiprina vadība, to datē un piešķir tai versijas numuru. Saskaņā ar NIS2 20. panta 1. punktu iesaistīto vienību vadības struktūras apstiprina kiberdrošības riska pārvaldības pasākumus; saskaņā ar ISO/IEC 27001 5.2. punktu augstākā vadība izveido politiku.
Politika tiek publicēta iekšēji; pieņemamas lietošanas politiku apliecina katrs lietotājs. ISO/IEC 27001 kontrole 5.1 sagaida, ka politikas tiks paziņotas attiecīgajam personālam un ieinteresētajām pusēm un ka tie to apliecinās.
ISO/IEC 27001 kontrole 5.1 prasa pārskatīšanu plānotos intervālos un, ja notiek būtiskas izmaiņas. Ikgadēja pārskatīšana ir saprātīgs noklusējums MVU; arī Īstenošanas regula (ES) 2024/2690 ietver politikas pārskatīšanu digitālajiem subjektu tipiem, ko tā aptver.
Nopietns incidents, apvienošanās, jauna vieta, pāreja uz mākoni vai jauns regulējums ir iemesli atvērt dokumentu, negaidot gadadienu. Mācības no incidentiem iekļaujas nākamajā versijā.
Versiju tabula, apstiprinājuma reģistrs, izmaiņu saraksts, apliecinājumi. Dienā, kad auditors, apdrošinātājs vai klients to pieprasa, šī vēsture parāda, ka politika tiek piemērota, nevis tikai uzrakstīta. ISO/IEC 27001 7.5. punkts reglamentē šo dokumentēto informāciju.
Security Policy Express ir veidots kā pašapkalpošanās rīks. Saturu kontrolējat jūs; rīks nodrošina struktūru, jautājumus un atsauces.
Īss tests jautā par jūsu nozari, izmēru, darbībām un klientiem un norāda, vai NIS2 jums, visticamāk, attiecas, kuri citi teksti var būt svarīgi un kuras politikas daļas ir vissvarīgākās jūsu situācijā. Galīgai atbildei tas nosūta uz jūsu valsts iestādes oficiālajiem rīkiem.
Jūs savos vārdos atbildat uz virkni vadītu jautājumu nodaļu pa nodaļai: jūsu organizācija, kritiskās darbības, jūsu IT pakalpojumu sniedzējs, dublējumi, kā rīkojaties ar aiziešanām, ko darītu izspiedējprogrammatūras uzbrukuma gadījumā. Katrs jautājums paskaidro, kāpēc tas uzdots un ar kuru pantu vai kontroli tas saistīts. Varat apturēt un atsākt jebkurā brīdī.
Rīks ģenerē politiku, četras procedūras un pieņemamas lietošanas pielikumu jūsu uzņēmuma vārdā, balstoties uz jūsu atbildēm. Ja atbilde trūkst, dokumentā to skaidri norāda, nevis aizpilda spraugu ar vispārīgu tekstu. Rezultāts ir darba projekts, ko jūsu pašu konsultanti (jurists, IT pakalpojumu sniedzējs, datu aizsardzības speciālists) pārskata un validē pirms vadības apstiprinājuma.
Ja vēlaties palīdzību, lai kritiski izvērtētu savas atbildes, pielāgotu dokumentu konkrētam kontekstam vai sagatavotos auditam, varat lūgt atbalstu partnera konsultantam. Šis solis ir neobligāts: pašapkalpošanās ceļš ir pilnīgs arī bez tā.
Svarīgi: ģenerētais dokuments ir darba pamats. Tas nav juridisks padoms, un pats par sevi nepadara jūsu uzņēmumu atbilstošu NIS2, ISO/IEC 27001, VDAR vai jebkuram valsts likumam. Atbilstība ir atkarīga no tā, ko patiesībā ieviešat, un paliek jūsu atbildība.
Trīs elementi, kas ģenerēti kopā no vienas darbnīcas. Pieejamība un nosacījumi tiks paziņoti, tiklīdz rīks tiks palaists.
Galvenais dokuments, ko paraksta vadība.
Kas padara politiku darbspējīgu.
Lai orientētos tekstos.
Nedrīkst jaukt divas situācijas: juridisks pienākums uzņēmumiem NIS2 (vai DORA) piemērošanas jomā un stipri ieteicama labā prakse visiem pārējiem.
NIS2 parasti attiecas uz publiskām vai privātām vienībām, kas ietilpst tās I vai II pielikumā uzskaitītajā tipā un kas atbilst vidējo uzņēmumu kritērijiem vai pārsniedz tos, kā definēts Komisijas Ieteikumā 2003/361/EK (2. panta 1. punkts). Dažu vienību tipi ir ietverti neatkarīgi no lieluma (2. panta 2. punkts). Vienības tad tiek klasificētas kā "būtiskas" vai "svarīgas" (3. pants), kas ietekmē uzraudzību un sankcijas, bet abām jāpiemēro 21. pants.
I pielikums (augsti kritiskas nozares): enerģētika, transports, banku darbība, finanšu tirgus infrastruktūras, veselība, dzeramais ūdens, notekūdeņi, digitālā infrastruktūra, IKT pakalpojumu pārvaldība (uzņēmumu starpā), publiskā pārvalde un kosmoss. II pielikums (citas kritiskas nozares): pasta un kurjeru pakalpojumi, atkritumu apsaimniekošana, ķīmija, pārtika, ražošana (tostarp medicīnas ierīces, elektronika, elektroiekārtas, mašīnas un transportlīdzekļi), digitālie pakalpojumu sniedzēji un pētniecība.
NIS2 ir direktīva: dalībvalstīm bija jātransponē tā līdz 2024. gada 17. oktobrim un jāpiemēro pasākumi no 2024. gada 18. oktobra (41. pants). Transponēšanas statuss un detaļas atšķiras no vienas valsts uz otru, un valsts likums var precizēt pasākumu saturu. Vienmēr pārbaudiet savas valsts likumu un oficiālos piemērojamības rīkus.
Ārpus šīm jomām neviens vispārējs Eiropas likums neprasa MVU pieņemt dokumentu, ko sauc par "informācijas drošības politiku". Bet VDAR attiecas gandrīz uz katru uzņēmumu, klienti arvien biežāk jautā piegādātājiem par drošību, un rakstiska politika ir pirmais solis jebkurā atzītā ietvarā. Tā ir piesardzības izvēle, nevis juridiska sankcija.
Avoti: Direktīva (ES) 2022/2555, 2., 3., 41. pants un I un II pielikums · Komisijas Ieteikums 2003/361/EK · Eiropas Komisija, NIS2 direktīvas lapa · Francija: ANSSI, NIS 2 lapa (MesServicesCyber).
Katrs regulatīvais vai normatīvais apgalvojums iepriekš atsaucas uz vienu no šiem avotiem. Saites ved uz oficiālo izdevēju.
Šī lapa sniegta informatīviem nolūkiem. Tā nav juridisks padoms. Tekstus citējam to versijā, kas publicēta EUR-Lex; valstu transponējumi un iestāžu vadlīnijas var pievienot prasības.
Pašapkalpošanās darbnīca tiek gatavota. Jautājumi līdz tam: contact@syaga.eu.