Direktiva NIS2 in slovenski Zakon o informacijski varnosti (ZInfV-1) sta krog podjetij, od katerih se pričakujejo ustrezni varnostni ukrepi, močno razširila. Med bistvene in pomembne subjekte zdaj sodijo tudi srednje veliki proizvajalci, ponudniki digitalnih storitev, logistična podjetja in še marsikdo, ki se doslej ni imel za del »kritične infrastrukture«. Tisti, ki niso neposredno zajeti, pa vprašanja dobijo od kupcev, ki morajo poskrbeti za varnost svoje dobavne verige. Ali vas zakon zajema, presodi vaš pravni svetovalec. Kar sledi, je v vsakem primeru podobno: ocena tveganj, ki jo nekdo res prebere, načrt odziva na incidente, nadzor nad dobavitelji, beleženje dogodkov in vodstvo, ki za vse to odgovarja. Apply pripravi tehnični del in dokumentacijo, v celoti na daljavo.
Večji del priprave na NIS2 je organizacija, manjši del tehnika. Oboje se mora ujemati: politika, ki je nihče ne izvaja, je pri pregledu ali vprašalniku kupca enako malo vredna kot požarni zid, o katerem ni nobenega zapisa.
Zberemo podatke, ki jih vaš pravni svetovalec potrebuje za presojo: dejavnosti po klasifikaciji, velikost, storitve, ki jih opravljate, komu ste dobavitelj in kakšna je struktura skupine. Hkrati popišemo sisteme, uporabniške račune, povezave in zunanje izvajalce. Rezultat je seznam vrzeli, primerjan s kontrolami ISO 27001 in razvrščen po vplivu ter potrebnem delu, da veste, kje začeti.
Sredstva, grožnje, verjetnost in posledice, zapisani za vaše okolje: strežnik z ERP, spletna trgovina, računalniki ob proizvodni liniji, skrbniški računi v Microsoft 365. Vsako tveganje dobi lastnika, ukrep in zavestno sprejeto preostalo tveganje. Dokument ostane dovolj kratek, da ga vodstvo prebere, in dovolj konkreten, da zdrži presojo. Priročnika s tristo stranmi ne boste dobili.
Kdo opazi nenavadno dogajanje, kdo ga oceni, kdo sme izklopiti sisteme in kdo govori z zunanjim svetom? Določimo vloge in namestnike ter pripravimo predloge za prvo obvestilo, vmesno poročilo in zaključno poročilo. V načrt zapišemo tudi, kdaj in komu se incident prijavi (nacionalni CSIRT SI-CERT, URSIV ali pristojni organ) in kako se to uskladi z obvestilom Informacijskemu pooblaščencu, kadar so prizadeti osebni podatki. Pogoje prijave potrdi vaš pravni svetovalec.
Ponudnik računovodskega programa, servisna povezava proizvajalca CNC stroja, gostitelj spletne strani, zunanji obračun plač: vsak od njih so vrata v vaše okolje. Pripravimo seznam ključnih dobaviteljev, kratek varnostni vprašalnik in pogodbena določila o dostopu ter obveščanju o incidentih. Če ste sami dobavitelj zavezanca, skupaj odgovorimo tudi na vprašalnike, ki jih prejemate od kupcev.
Prijave, skrbniška dejanja, dnevniki požarnega zidu in VPN se zbirajo na enem mestu, ure vseh naprav so usklajene, hramba poteka tako, kot piše v vaši politiki. Ko se po incidentu vprašate, kaj se je zgodilo in kdaj se je začelo, je odgovor v teh zapisih. V okoljih z Microsoft 365 uporabimo dnevnike Defender in Entra ID, drugje orodja, za katera že imate licence.
NIS2 posebej poudarja, da varnostne ukrepe potrdi in nadzira vodstvo, ki se mora o tveganjih tudi izobraževati. Za direktorja ali upravo pripravimo kratko srečanje prek videoklica: odločitve, ki jih morajo sprejeti, in nič odveč. Zaposleni dobijo krajša usposabljanja o lažnih sporočilih, geslih in o tem, koga obvestiti, ko se jim nekaj zdi sumljivo.
Vsega ni treba narediti naenkrat. Podjetje, ki najprej uredi večfaktorsko prijavo in verigo obveščanja ob incidentu, je na boljšem kot podjetje z brezhibno mapo politik in odprtimi skrbniškimi računi.
Kratki intervjuji prek videoklica, branje nastavitev prek oddaljenega dostopa, pregled obstoječih dokumentov. Rezultat je seznam vrzeli z okvirno oceno dela.
Prioritete in proračun določi vodstvo. Zapišemo, kaj se uredi takoj, kaj v naslednjem četrtletju in katero tveganje ostane zavestno sprejeto.
Večfaktorska prijava, ločeni skrbniški računi, posodobitve z dokazili, EDR na končnih točkah in strežnikih, varnostne kopije, ki jih izsiljevalska koda ne doseže. Spremembe v produkcijskih sistemih izvedemo v dogovorjenih vzdrževalnih oknih, politike in predloge nastajajo vzporedno.
Namizna vaja s scenarijem, preizkus obnove iz varnostne kopije, simulacija lažnega sporočila. Ugotovitve gredo v letni pregled, zato dokumenti ostanejo živi, ob naslednjem vprašalniku pa imate dokazila z datumom.
Pritisk čutijo tudi podjetja, ki niso neposredno zajeta. Vzemimo dobavitelja avtomobilske industrije iz Novega mesta s 60 zaposlenimi. Morda sam ne spada med bistvene ali pomembne subjekte, njegov kupec pa mora skrbeti za varnost dobavne verige. Nekega dne prispe vprašalnik: ali imate večfaktorsko prijavo, ali preizkušate obnovo varnostnih kopij, v kolikšnem času nas obvestite o incidentu, ali je proizvodno omrežje ločeno od pisarniškega? Dobavitelj, ki ima takrat kratko varnostno politiko, zapisan preizkus obnove in pisni načrt odziva, posel zadrži veliko lažje.
Dokončno vam to pove pravni svetovalec, saj je razvrstitev odvisna od dejavnosti, velikosti in posebnih okoliščin podjetja. Pravnih mnenj ne dajemo. Pripravimo pa dejstva, brez katerih presoja ni mogoča: katere storitve opravljate, v katerih sektorjih, koliko imate zaposlenih in prometa, komu dobavljate in čigavo poslovanje bi izpad vaših sistemov ustavil.
Za večino MSP pride glavni pritisk od kupcev, ne od zakona. Zavezanci morajo nadzorovati svoje dobavitelje in od njih zahtevajo dokazila, podobna vprašanja pa postavljajo tudi zavarovalnice pri kibernetskem zavarovanju. Ocena tveganj, načrt odziva in preizkušena varnostna kopija so odgovor na vsa ta vprašanja, ne glede na to, ali vas ZInfV-1 zajema neposredno.
Zakonodaja praviloma ne zahteva določenega certifikata, temveč delujoče upravljanje varnosti. Sistem upravljanja informacijske varnosti po ISO 27001 pa pokrije velik del pričakovanj, zato je dober okvir. Apply dela po načelih ISO 27001 in vam pomaga pri pripravi na certifikacijo, če si jo želite. Presojo izvede akreditirani certifikacijski organ, ne Apply.
URSIV, Urad Vlade RS za informacijsko varnost, je pristojni nacionalni organ za področje informacijske varnosti. SI-CERT deluje kot nacionalni odzivni center za kibernetske incidente, objavlja opozorila in pomaga pri obravnavi incidentov. Apply spremlja obvestila SI-CERT in lahko poskrbi, da se objavljeni kazalniki napadov upoštevajo v vašem požarnem zidu in filtru e-pošte. Kdaj morate incident prijaviti in komu, je odvisno od vašega statusa in se zapiše v načrt odziva na podlagi mnenja pravnega svetovalca.
Za finančne subjekte velja tudi uredba DORA s svojimi podrobnimi zahtevami, ki jih razlaga vaša služba za skladnost skupaj s pravnim svetovalcem. Apply v tem primeru deluje kot izvedbeni partner na tehnični strani: uredi nastavitve in beleženje, zapre vrzeli in pripravi tehnična dokazila za presojo. Odločitev o skladnosti ne sprejemamo mi.
Brez težav. Lahko prevzamemo celotno uvedbo ali pa samo posnetek stanja, dokumentacijo in vaje, vsakodnevno delovanje pa ostane pri obstoječem partnerju. Ta postane del vaše dobavne verige, zato z njim skupaj pregledamo dostope, beleženje in odzivne čase. Vse, kar je treba narediti fizično na lokaciji, opravi vaša ekipa ali ta partner, Apply dela izključno na daljavo.
Na kratko opišite dejavnost, velikost podjetja in IT okolje ter ali od kupcev že prejemate varnostne vprašalnike. V enem delovnem dnevu vam pošljemo predlog za posnetek stanja.
Vaše povpraševanje je prispelo
Oglasimo se najpozneje naslednji delovni dan. Če ste prijavili okvaro, zaradi katere ekipa ne more delati, jo pogledamo najprej.
Tega kraja ni na seznamu. Preverite zapis ali izberite najbližje večje mesto. Ker vse delo opravimo na daljavo, je storitev povsod po Sloveniji enaka.
