Vsak resen okvir za kibernetsko varnost se začne z istim dokumentom: pisno politiko informacijske varnosti (ISSP), ki jo odobri vodstvo. NIS2 jo v členu 21 navaja na prvem mestu med ukrepi za obvladovanje tveganj, ISO/IEC 27001 pa jo zahteva v točki 5.2. Security Policy Express evropsko MSP vodi skozi spletno delavnico z vodenimi vprašanji in ustvari strukturirano prvo različico za vaše podjetje: delovni osnutek, ki ga morajo pregledati vaši svetovalci; ni pravni nasvet.
Odgovor v eni minuti, za direktorja, ki ni informatik.
Politika informacijske varnosti (pogosto okrajšana ISSP, v francoščini PSSI) je dokument, v katerem vodstvo v pisni obliki navede, kako podjetje ščiti svoje informacije in informacijske sisteme, kdo je za kaj odgovoren in katera pravila mora upoštevati vsak. Na vrhu je kratka (izjava o politiki, ki jo podpiše vodstvo), spodaj pa podrobnejša (tematska pravila in operativni postopki). Ni tehnični priročnik: je odločitev vodstva, zapisana na papir, na katero se lahko sklicuje preostanek vašega varnostnega dela.
ISO/IEC 27001 politiko dodeljuje „najvišjemu vodstvu“, NIS2 člen 20 pa od upravljavskih organov subjektov, ki jih zajema direktiva, zahteva, da odobrijo ukrepe za obvladovanje tveganj za kibernetsko varnost in nadzirajo njihovo izvajanje. Pri pisanju vam lahko pomaga vaš ponudnik IT-storitev, lastnik politike pa je lahko le vaše vodstvo.
Viri: Direktiva (EU) 2022/2555, čl. 20 · ISO/IEC 27001:2022, točka 5Dobra praksa razlikuje tri ravni. Politika določa načela in odgovornosti. Tematske politike (nadzor dostopa, varnostno kopiranje, kriptografija, dobavitelji ...) jih prenesejo na posamezna področja. Postopki opisujejo, kdo kaj naredi, korak za korakom, ko se nekaj zgodi. Varovalo 5.1 standarda ISO/IEC 27001 izrecno omenja tako politiko kot tematske politike.
Vir: ISO/IEC 27001:2022, Priloga A, varovalo 5.1Nobeno evropsko besedilo ne predpisuje enotne predloge. NIS2 člen 21(1) zahteva ukrepe, ki so „ustrezni in sorazmerni“, ob upoštevanju izpostavljenosti subjekta tveganjem, njegove velikosti ter verjetnosti in resnosti incidentov. Proizvajalec s 40 zaposlenimi in bolnišnica ne bosta napisala iste politike in tudi ne bi smela.
Vir: Direktiva (EU) 2022/2555, čl. 21(1)Politika, napisana enkrat in odložena, ničesar ne varuje. Okviri pričakujejo, da je sporočena zaposlenim, da jo ti potrdijo in da se pregleduje v načrtovanih intervalih ter po pomembnih spremembah. Zato mora vaša politika od prvega dne vsebovati lasten cikel pregledov, lastnika in zgodovino različic.
Vir: ISO/IEC 27001:2022, točka 5.2 in varovalo 5.1Večina malih in srednje velikih podjetij že uporablja nekatera varnostna pravila. Običajno manjka pisna, odobrena in skladna različica, ki jo lahko regulator, revizor, zavarovalnica ali velik kupec dejansko preberejo.
NIS2 razširja pravila EU o kibernetski varnosti na številna srednje velika podjetja v sektorjih, kot so proizvodnja, živilstvo, ravnanje z odpadki, promet ali digitalne storitve. Za subjekte, ki jih zajema direktiva, so „politike za analizo tveganj in varnost informacijskih sistemov“ prvi ukrep, naveden v členu 21(2).
NIS2 člen 21(2)(d) od subjektov, ki jih zajema direktiva, zahteva, da obravnavajo varnost dobavne verige, vključno z varnostnimi vidiki njihovih odnosov z neposrednimi dobavitelji. Tudi če vas direktiva ne zajema, vas lahko večji kupci v vprašalnikih za dobavitelje prosijo, da predložite pisno varnostno politiko.
Pisanje politike pomeni hkrati odgovoriti na številna vprašanja: kateri so naša kritična sredstva, kdo odloča, kaj storimo ob napadu z izsiljevalsko programsko opremo, kako dolgo hranimo varnostne kopije? Brez strukture se naloga pogosto odlaga, četrtletje za četrtletjem.
Prenesene predloge pogosto opisujejo organizacijo s pooblaščencem za informacijsko varnost, varnostnim operativnim centrom (SOC) in namenskim proračunom. Dokument, ki ne ustreza resničnosti, je slabši od nobenega: ne bo se uporabljal, revizor pa bo opazil razliko med papirjem in prakso.
Isti dokument ustreza več besedilom hkrati. Spodaj je povzeto, kaj posamezno od njih dejansko pravi, vsaka navedba pa vodi na uradni vir. Nacionalni prenosi lahko dodajo podrobnosti.
Ključni in pomembni subjekti morajo za obvladovanje tveganj za kibernetsko varnost sprejeti „ustrezne in sorazmerne tehnične, operativne in organizacijske ukrepe“, ki temeljijo na pristopu, ki upošteva vse nevarnosti. Seznam v členu 21(2) se začne z „(a) politikami za analizo tveganj in varnost informacijskih sistemov“. Člen 20 dodaja, da upravljavski organi te ukrepe odobrijo, nadzirajo njihovo izvajanje in se udeležujejo usposabljanj.
Točka 5.2 od najvišjega vodstva zahteva, da vzpostavi politiko informacijske varnosti, ki ustreza namenu organizacije, zagotavlja okvir za varnostne cilje ter vključuje zaveze k izpolnjevanju veljavnih zahtev in k nenehnim izboljšavam. Dokumentirana mora biti, sporočena znotraj organizacije in po potrebi na voljo zainteresiranim stranem. Varovalo 5.1 iz Priloge A to razširja na tematske politike, ki so odobrene, objavljene, potrjene in pregledane.
Člen 24(2) določa, da ukrepi upravljavca, kadar so sorazmerni z dejavnostmi obdelave, vključujejo „izvajanje ustreznih politik varstva podatkov“. Člen 32 zahteva ustrezne tehnične in organizacijske ukrepe za zagotovitev stopnje varnosti, ustrezne tveganju. Varnostna politika je naravno mesto za dokumentiranje teh ukrepov.
Za nekatere digitalne subjekte (na primer ponudnike storitev računalništva v oblaku, podatkovnih centrov in upravljanih storitev) je Komisija sprejela podrobne tehnične in metodološke zahteve. Njena priloga se začne z „politiko varnosti omrežnih in informacijskih sistemov“ in opisuje, kako se odobri, dokumentira in pregleda. Tudi če vaše podjetje ni ena od teh vrst subjektov, je priloga koristen javni vir za oblikovanje politike.
Za finančne subjekte DORA zahteva, da razvijejo in dokumentirajo politiko informacijske varnosti, ki določa pravila za zaščito razpoložljivosti, verodostojnosti, celovitosti in zaupnosti podatkov, informacijskih sredstev ter sredstev IKT. Če ste ponudnik IKT za banko ali zavarovalnico, pričakujte, da vas bo kupec vprašal, kako se vaša lastna politika primerja z njegovo.
Nacionalne agencije za kibernetsko varnost objavljajo brezplačne smernice, na katerih lahko temelji politika. V Franciji ANSSI v vodniku za higieno informacijskih sistemov navaja 42 bistvenih ukrepov za odgovorne za varnost informacijskih sistemov v organizacijah. ENISA, agencija EU za kibernetsko varnost, objavlja smernice za podporo izvajanju NIS2 v Uniji.
Člen 21(2) NIS2 navaja deset minimalnih ukrepov. Točka (a) je sama politika, dobro zasnovana politika pa je tudi mesto, kjer vsak od preostalih devetih ukrepov dobi lastnika, pravilo in postopek. Tako strukturiramo ustvarjeni dokument.
Izjava o politiki, obseg, vloge in metoda, s katero prepoznavate in ocenjujete tveganja. To je hrbtenica dokumenta.
Postopek za upravljanje incidentov: odkrivanje, razvrstitev, stopnjevanje, omejitev, obveščanje in učenje iz izkušenj.
Upravljanje varnostnih kopij, obnova po nesreči in upravljanje kriz, kot to navaja direktiva: kdo odloča, kaj se ponovno zažene najprej, kako pogosto se preizkušajo varnostne kopije.
Pravila za izbiro, pogodbeno urejanje in spremljanje IT-dobaviteljev in ponudnikov storitev, vključno z varnostnimi določili, ki jih od njih pričakujete.
Kako se izbirajo in konfigurirajo novi sistemi, kako se nameščajo posodobitve ter kako se obravnavajo in razkrivajo ranljivosti.
Politike in postopki za preverjanje, ali ukrepi delujejo: kazalniki, notranji pregledi, vaje in pregled vodstva.
Vsakodnevna pravila (gesla, posodobitve, ozaveščanje o lažnem predstavljanju) in načrt usposabljanja, tudi za vodstvo, kot to zahteva člen 20(2) za upravljavske organe.
Kdaj morajo biti podatki šifrirani (prenosniki, varnostne kopije, prenosi), kateri protokoli so sprejemljivi in kdo upravlja ključe.
Zaposlitev, premestitev in odhod zaposlenih; kdo dobi kateri dostop in kdo ga odobri; popis sredstev z njihovimi lastniki.
Kje je potrebno večfaktorsko ali neprekinjeno preverjanje pristnosti ter kako so zavarovane glasovne, video, besedilne in nujne komunikacije.
Navedbe ISO/IEC 27001 so informativna ujemanja, ki smo jih pripravili za lažjo orientacijo, in ne uradna preslikava, ki bi jo objavila ISO ali Evropska komisija. Vir za deset ukrepov: Direktiva (EU) 2022/2555, čl. 21(2).
Ustvarjeni dokument sledi strukturi, ki jo bodo prepoznali revizor, zavarovalnica ali kupec. Vsako poglavje se napolni z odgovori, ki jih podate v delavnici, tako da opisuje vaše podjetje, ne pa izmišljenega.
Zaveza vodstva v nekaj odstavkih, podpisana in datirana.
Kdo odloča, kdo izvaja, kdo preverja, tudi kadar je informatika zunanje izvajana.
Preprost in ponovljiv način za prepoznavanje, ocenjevanje in obravnavo tveganj.
Vedeti, kaj varujete, preden odločite, kako.
Kdo lahko dostopa do česa in kako se to dokazuje.
Tehnična izhodišča, zapisana v preprostem jeziku.
Kje je šifriranje potrebno in kako se upravlja.
Varnost pri vaših odnosih s ponudniki IT-storitev in storitev v oblaku.
Človeški vidik, od zaposlitve do odhoda.
Prostori, strežniške sobe in oprema zunaj pisarne.
Načela, podrobneje opisana v spodnjih postopkih.
Kako politika ostaja živa in resnična.
Politika pove, kaj mora biti narejeno; postopek pove, kdo to naredi, po kakšnem vrstnem redu in s katero evidenco. Ti štirje so tisti, ki jih kupci in revizorji najpogosteje želijo videti, in tisti, ki so najpomembnejši na dan, ko gre kaj narobe.
Od prvega opozorila do zaključnega poročila: kako zaposleni prijavijo sumljiv dogodek, kdo ga razvrsti, kdo izolira prizadete sisteme, kdo obvesti vašega ponudnika IT-storitev, zavarovalnico in pristojne organe ter kako se ohranijo dokazi.
Kako se račun zahteva, odobri, ustvari, spremeni in odstrani. Postopek zajema prihode, spremembe vlog in odhode, skrbniške račune, skupne in storitvene račune ter redni pregled, pri katerem vodja potrdi, da vsak posameznik še vedno potrebuje dostop, ki ga ima.
Kako se opiše, oceni tveganje, odobri, preizkusi, izvede in po potrebi povrne sprememba produkcijskega sistema (nova aplikacija, pravilo požarnega zidu, večja posodobitev). V majhnem podjetju je lahko to preprosto: dovolj sta kratek obrazec in dnevnik, če obstajata in se uporabljata.
Kaj se varnostno kopira, kako pogosto, kje, za koliko časa in predvsem kako se preizkuša obnova. Postopek povezuje varnostne kopije s cilji obnove za vsako kritično dejavnost ter opisuje organizacijo v kriznih razmerah: kdo odloča, kdo komunicira, kateri sistemi se ponovno zaženejo najprej.
Politika je napisana za vodstvo in IT. Pravilnik o sprejemljivi rabi (AUP) je napisan za vse ostale: kratek, berljiv nabor pravil, ki jih vsak zaposleni, začasni delavec ali pogodbeni sodelavec sprejme, preden začne uporabljati informacijsko opremo podjetja.
Uporaba računov in gesel, e-pošta in sporočanje, dostop do interneta, dovoljena ali prepovedana osebna uporaba, mobilne naprave in delo na daljavo, prenosni mediji, storitve v oblaku in orodja generativne umetne inteligence, zaupnost, prijava incidentov ter kaj lahko podjetje spremlja in zakaj.
Varovalo 5.10 standarda ISO/IEC 27001 zahteva, da se pravila za sprejemljivo rabo informacij in drugih povezanih sredstev določijo, dokumentirajo in izvajajo. Ohranjanje teh pravil v ločeni prilogi olajša branje, podpisovanje, posodabljanje in prilaganje delovni dokumentaciji.
Kadar pravilnik AUP omenja beleženje ali nadzor dejavnosti zaposlenih, velja zakonodaja o varstvu podatkov: zaposleni morajo biti obveščeni (GDPR čl. 13), države članice pa lahko za delovna razmerja sprejmejo natančnejša pravila (GDPR čl. 88). Organi za varstvo podatkov, kot je francoska CNIL, objavljajo smernice o tem, kaj je sprejemljivo.
Da bi bil pravilnik AUP zavezujoč za zaposlene, so lahko potrebne nacionalne formalnosti. Na primer v Franciji (točno ureditev potrdite s svetovalcem glede na francoski Zakonik o delu) se takšna pravila običajno priložijo notranjim pravilom (règlement intérieur), za katera velja postopek iz Zakonika o delu, vključno s posvetovanjem s predstavniki zaposlenih. Pravila vaše države preverite s svetovalcem.
Viri: ISO/IEC 27001:2022, A.5.10 · Uredba (EU) 2016/679, čl. 13, 88 · CNIL · Légifrance, francoski Zakonik o delu, čl. L1321-4 in L1321-5.
Politika opisuje podjetje, ki se spreminja: novi zaposleni, nova programska oprema, novi dobavitelji, nove grožnje. Okviri, ki jih navajamo, na splošno pričakujejo, da se posodablja. Ustvarjeni dokument vključuje lasten koledar pregledov, lastnika in tabelo različic.
Prvo različico odobri vodstvo, jo datira in označi s številko različice. Po NIS2 čl. 20(1) upravljavski organi subjektov, ki jih zajema direktiva, odobrijo ukrepe za obvladovanje tveganj za kibernetsko varnost; po ISO/IEC 27001 točki 5.2 najvišje vodstvo vzpostavi politiko.
Politika se objavi znotraj podjetja; vsak uporabnik potrdi pravilnik AUP. Varovalo 5.1 standarda ISO/IEC 27001 pričakuje, da se politike sporočijo ustreznemu osebju in zainteresiranim stranem ter da jih ti potrdijo.
Varovalo 5.1 standarda ISO/IEC 27001 zahteva pregled v načrtovanih intervalih in ob pomembnih spremembah. Letni pregled je za MSP razumna privzeta vrednost; tudi Izvedbena uredba (EU) 2024/2690 ureja pregled politike za vrste digitalnih subjektov, ki jih zajema.
Resen incident, združitev, nova lokacija, selitev v oblak ali nov predpis so vsi razlogi, da dokument ponovno odprete, ne da bi čakali na obletnico. Spoznanja iz incidentov se vgradijo v naslednjo različico.
Tabela različic, evidenca odobritev, seznam sprememb, potrdila o prejemu. Na dan, ko revizor, zavarovalnica ali kupec vpraša, ta zgodovina dokazuje, da se politika izvaja in ni zgolj napisana. Točka 7.5 standarda ISO/IEC 27001 ureja to dokumentirano informacijo.
Security Policy Express je zasnovan kot samopostrežno orodje. Vsebino nadzirate vi; orodje zagotavlja strukturo, vprašanja in sklice na vire.
Kratek test vas povpraša o vašem sektorju, velikosti, dejavnostih in kupcih ter pove, ali NIS2 verjetno velja za vas, katera druga besedila so lahko pomembna in kateri deli politike so v vašem primeru najpomembnejši. Za dokončen odgovor vas napoti na uradna orodja vašega nacionalnega organa.
V svojih besedah odgovarjate na niz vodenih vprašanj po poglavjih: o vaši organizaciji, kritičnih dejavnostih, ponudniku IT-storitev, varnostnih kopijah, ravnanju ob odhodih zaposlenih ter o tem, kaj bi storili ob napadu z izsiljevalsko programsko opremo. Vsako vprašanje pojasni, zakaj se zastavlja in na katero določbo ali varovalo se nanaša. Kadar koli lahko prekinete in nadaljujete.
Orodje na podlagi vaših odgovorov ustvari politiko, štiri postopke in prilogo o sprejemljivi rabi z imenom vašega podjetja. Kjer manjka odgovor, dokument to izrecno navede, namesto da bi vrzel zapolnil s splošnim besedilom. Rezultat je delovni osnutek, ki ga morajo pred odobritvijo vodstva pregledati in potrditi vaši svetovalci (odvetnik, ponudnik IT-storitev, pooblaščenec za varstvo podatkov).
Če želite pomoč pri preverjanju odgovorov, prilagoditvi dokumenta določenemu okolju ali pripravi na revizijo, lahko zaprosite za podporo partnerskega svetovalca. Ta korak je izbiren: samopostrežna pot je brez njega popolna.
Pomembno: ustvarjeni dokument je delovna podlaga. Ne pomeni pravnega nasveta in sam po sebi ne zagotavlja skladnosti vašega podjetja z NIS2, ISO/IEC 27001, GDPR ali kakšnim nacionalnim predpisom. Skladnost je odvisna od tega, kaj dejansko izvedete, in ostaja vaša odgovornost.
Trije sklopi, ustvarjeni skupaj v isti delavnici. Razpoložljivost in pogoji bodo objavljeni ob zagonu.
Osrednji dokument, ki ga podpiše vodstvo.
Kar politiko naredi operativno.
Da se boste znašli v besedilih.
Dve situaciji se ne smeta zamenjati: zakonska obveznost za podjetja, ki jih zajema NIS2 (ali DORA), in močno priporočena dobra praksa za vse ostale.
NIS2 se na splošno uporablja za javne ali zasebne subjekte vrste, navedene v njegovih prilogah I ali II, ki se štejejo za srednje velika podjetja ali presegajo meje za srednje velika podjetja, kot so opredeljene v Priporočilu Komisije 2003/361/ES (čl. 2(1)). Nekatere vrste subjektov so zajete ne glede na velikost (čl. 2(2)). Subjekti se nato razvrstijo kot „ključni“ ali „pomembni“ (čl. 3), kar vpliva na nadzor in sankcije, vendar za oboje velja člen 21.
Priloga I (sektorji z visoko kritičnostjo): energetika, promet, bančništvo, infrastrukture finančnih trgov, zdravje, pitna voda, odpadna voda, digitalna infrastruktura, upravljanje storitev IKT (med podjetji), javna uprava in vesolje. Priloga II (drugi kritični sektorji): poštne in kurirske storitve, ravnanje z odpadki, kemikalije, hrana, proizvodnja (vključno z medicinskimi pripomočki, elektroniko, električno opremo, stroji in vozili), digitalni ponudniki in raziskave.
NIS2 je direktiva: države članice so jo morale prenesti do 17. oktobra 2024 in začeti uporabljati ukrepe od 18. oktobra 2024 (čl. 41). Stanje prenosa in podrobnosti se od države do države razlikujejo, nacionalni predpis pa lahko določi vsebino ukrepov. Vedno preverite zakon in uradna orodja za preverjanje upravičenosti v vaši državi.
Zunaj teh področij noben splošen evropski zakon ne zahteva, da MSP sprejme dokument z imenom „politika informacijske varnosti“. Toda GDPR velja za skoraj vsa podjetja, kupci vse pogosteje sprašujejo dobavitelje o varnosti, pisna politika pa je prvi korak vsakega priznanega okvira. Gre za izbiro previdnosti, ne za zakonsko sankcijo.
Viri: Direktiva (EU) 2022/2555, čl. 2, 3, 41 ter prilogi I in II · Priporočilo Komisije 2003/361/ES · Evropska komisija, stran o direktivi NIS2 · Francija: ANSSI, stran NIS 2 (MesServicesCyber).
Vsaka regulativna ali normativna trditev zgoraj se nanaša na enega od teh virov. Povezave vodijo do uradnega izdajatelja.
Ta stran je namenjena informiranju. Ne pomeni pravnega nasveta. Besedila so navedena v različici, objavljeni na EUR-Lex; nacionalni prenosi in smernice organov lahko dodajo zahteve.
Samopostrežna delavnica je v pripravi. Vprašanja medtem na: contact@syaga.eu.