NIS2 to nie segregator: dlaczego gotowe procedury nie zapewniają zgodności

Na rynku można kupić „kompletny pakiet NIS2”: polityki, procedury, rejestry i miejsce na podpis prezesa. Taki zestaw może kosztować mniej niż jeden dzień pracy specjalisty. Problem zaczyna się wtedy, gdy firma traktuje go jak zakończone wdrożenie.

Załóżmy, że kupiona procedura stwierdza: „organizacja wykonuje regularne testy odtworzenia kopii zapasowych”. Brzmi rozsądnie. Kto jednak wykonuje test? Jak często? Które systemy obejmuje? Jaki wynik jest akceptowalny? Gdzie znajduje się raport z ostatniej próby? Co zrobiono, gdy odtworzenie trwało dłużej, niż firma może wytrzymać?

Jeżeli nie ma odpowiedzi, zapis opisuje organizację, która istnieje wyłącznie na papierze.

Dokument, kontrola i dowód to trzy różne rzeczy

Dokument określa zasadę. Kontrola zamienia ją w powtarzalne działanie. Dowód pokazuje, że działanie rzeczywiście wykonano.

Polityka może nakazywać kwartalny przegląd kont administratorów. Kontrolą jest konkretny proces: właściciel otrzymuje listę kont, sprawdza zasadność uprawnień, zapisuje wynik i zleca odebranie zbędnych dostępów. Dowodem są zatwierdzony raport, zgłoszenia zmian i data weryfikacji.

NIS2 oraz polska ustawa KSC wymagają środków dopasowanych do ryzyka organizacji. Uniwersalny autor procedury nie zna jej systemów, dostawców, maszyn, ludzi ani krytycznych usług. Nie wie, czy ważniejszym problemem jest stary sterownik w hali, zależność od jednego dostawcy chmury czy konto byłego administratora.

Szablony są przydatne - jako początek

Dobry wzór może skrócić pracę. Pomaga pamiętać o ważnych zagadnieniach i ujednolicić dokumentację. Musi jednak zostać skonfrontowany z rzeczywistością, uzupełniony o właścicieli i terminy, a następnie przetestowany.

Najbardziej niebezpieczna nie jest pusta półka. Jest nią półka pełna dokumentów, które tworzą fałszywe poczucie bezpieczeństwa. Po incydencie pytanie nie będzie brzmiało: „czy mieli państwo procedurę?”. Kolejne pytanie zabrzmi: „proszę pokazać, kiedy i z jakim wynikiem została wykonana”.

Nie potrzebujesz kolejnego segregatora. Potrzebujesz działającego rytmu pracy. Program wdrożeniowy UP² pomaga uruchomić odpowiedzialności, procedury i priorytetowe kontrole, a platforma UP² przypomina o kolejnych wykonaniach i przechowuje dowody. Zobacz ofertę wdrożenia i platformę UP².

Źródła

• Ustawa o KSC - wymagania dotyczące systemu zarządzania bezpieczeństwem informacji