Jakie dokumenty i dowody gromadzić, aby wykazać realizację NIS2

Firma może mieć świetną politykę kopii zapasowych i nie potrafić pokazać ani jednego udanego testu odtworzenia. Może też wykonywać wiele dobrych działań, lecz nie zachować żadnego śladu. W obu przypadkach ma problem dowodowy.

Cztery warstwy dokumentacji

Pierwsza warstwa to dokumenty zarządcze: zakres, role, polityki, metodyka ryzyka i decyzje kierownictwa. Wyjaśniają, jak organizacja zamierza zarządzać bezpieczeństwem.

Druga to dokumenty operacyjne: instrukcje, plany ciągłości, opisane krok po kroku działania podczas incydentu, zasady przeglądów dostępu i oceny dostawców. Mają pomagać ludziom działać.

Trzecia warstwa to rejestry: aktywa, ryzyka, dostawcy, incydenty, wyjątki i działania naprawcze. Pokazują aktualny stan.

Czwarta - często najważniejsza - to dowody wykonania: raport z testu odtworzenia, wynik skanu, zatwierdzony przegląd kont, protokół ćwiczenia, potwierdzenie szkolenia, ocena dostawcy albo uchwała zarządu.

Dobry dowód odpowiada na sześć pytań

Powinno być jasne:

1. czego dotyczyła kontrola;
2. kto ją wykonał;
3. kiedy została wykonana;
4. jaki był wynik;
5. kto zweryfikował wynik;
6. co zrobiono z wykrytymi problemami.

Sam zrzut ekranu bez daty, zakresu i opisu może być trudny do interpretacji po kilku miesiącach. Z kolei raport bez działania naprawczego pokazuje, że firma poznała problem, ale nie wiadomo, co zrobiła dalej.

Nie zbieraj wszystkiego „na wszelki wypadek”

Dowody mogą zawierać dane osobowe, informacje o podatnościach i szczegóły infrastruktury. Potrzebują właściciela, kontroli dostępu, okresu przechowywania i zasad bezpiecznego udostępniania.

Najlepszy model łączy każde wymaganie z ryzykiem, kontrolą, ostatnim dowodem i kolejnym terminem. Dzięki temu przygotowanie do przeglądu nie polega na przeszukiwaniu poczty trzech byłych pracowników.

Program wdrożeniowy UP² pomaga ustalić, jakie dowody są potrzebne i kto je wytwarza. Platforma UP² przechowuje powiązania między wymaganiem, kontrolą, wynikiem, działaniem i decyzją. Zobacz, jak UP² buduje pamięć organizacyjną zgodności.