Kokių dokumentų ir tvarkų reikia NIS2 (TIS2) atitikčiai?
Kibernetinio saugumo reikalavimų apraše yra 25 vietos, kur reikalaujama patvirtinto dokumento, tvarkos ar sąrašo. Juos tvirtina įmonės vadovas arba jo įgaliotas asmuo. Tai nereiškia 25 failų — aprašas leidžia dėstyti viską viename dokumente arba keliuose.
Ką iš tikrųjų reikia turėti
Sugrupuota pagal temas, o ne pagal aprašo punktų eilę — taip lengviau pamatyti, kas jūsų įmonėje jau yra.
Pamatas
- Kibernetinio saugumo politikos dokumentas
- Rizikos vertinimo ir valdymo tvarka
- Rizikos vertinimo ataskaita
- Rizikos valdymo planas, jei nustatyta trūkumų
- Kibernetinio saugumo reikalavimų veiksmingumo vertinimo tvarka
Kai kas nors nutinka
- Kibernetinių incidentų valdymo planas
- Žurnalinių įrašų ir įsibrovimų aptikimo reikalavimai
- Veiklos tęstinumo valdymo planas
- Tęstinumo plano išbandymo ataskaita
- Atsarginių kopijų kūrimo ir atkūrimo reikalavimai
Kas ateina iš išorės
- Tiekimo grandinės saugumo valdymo tvarka
- Tiekėjų sąrašas
- Sistemų įsigijimo, plėtojimo ir priežiūros tvarka
- Pokyčių valdymo tvarka
- Pataisų valdymo tvarka
- Spragų valdymo ir atskleidimo nuostatos
Kasdienė tvarka
- Kibernetinės higienos ir mokymų organizavimo tvarka
- Mokymų ataskaita
- Žmogiškųjų išteklių saugumo reikalavimai
- Fizinės prieigos reikalavimai ir saugomų patalpų sąrašas
- Turto valdymo tvarka
- Prieigos valdymo tvarka
- Administratoriaus teises turinčių asmenų sąrašas
- Kriptografijos ir šifravimo naudojimo tvarka
- Kelių veiksnių tapatumo nustatymo sprendimų patvirtinimas
25 reikalavimai nėra 25 failai
Aprašo 3 punktas tai pasako tiesiai: subjektas turi teisę nuostatas dėstyti viename dokumente arba atskiruose. Praktikoje vidutinio dydžio įmonėje tai sugula į gerokai mažesnį rinkinį — dalis tvarkų natūraliai telpa į vieną politiką, dalis yra sąrašai, kurie gyvena lentelėje, o ne dokumente.
Svarbu ne failų skaičius, o ar kiekvienas reikalavimas kur nors realiai uždengtas ir ar tai galima parodyti.
Dvi dalys, du atlikėjai
Tai mano darbas
- Visi aukščiau išvardyti dokumentai ir tvarkos
- Rizikos vertinimas ir jo ataskaita
- Atsakomybių paskirstymas ir vadovybės sprendimai
- Įrodymų rinkinys, kurį galima parodyti per patikrinimą
Tai jūsų IT darbas
- Žurnalai, atsarginės kopijos ir jų testavimas
- Sistemų schemos, šifravimas, prieigos teisės
- Patalpų apsauga ir įrenginių kontrolė
- Techninių reikalavimų aš nediegiu — surašau, ką konkrečiai turi padaryti administratorius
Tai ne mano pasirinkimas, o aprašo struktūra: organizaciniai reikalavimai yra sprendimai ir tvarka, techniniai — konfigūracija. Jiems net terminai skirtingi.
Ką reikia pateikti valstybei
Į Kibernetinio saugumo informacinę sistemą teikiami ne patys dokumentai, o jų patvirtinimo duomenys — pavadinimas, data, registracijos numeris. Terminas: 5 darbo dienos nuo patvirtinimo.
Patikrinimo metu NKSC turi teisę pareikalauti ir pačių dokumentų kopijų. Čia ir atsiskleidžia skirtumas tarp užpildyto laukelio ir dokumento, kuris atlaiko peržiūrą.
Dažniausi klausimai
Ar tikrai reikia visų 25?
Reikia, kad kiekvienas reikalavimas būtų uždengtas. Bet aprašo 3 punktas leidžia juos dėstyti viename dokumente arba keliuose, tad failų bus mažiau nei pozicijų sąraše. Svarbu ne forma, o ar galite parodyti, kur tai parašyta ir kas tai patvirtino.
KSIS yra šablonai. Ar jų nepakanka?
Šablonas duoda struktūrą, bet ne turinį. Jame nėra jūsų rizikų, jūsų tiekėjų, jūsų atsakomybių ir jūsų sprendimų. Užpildyti datą KSIS gali bet kas; parodyti dokumentą, kuris atitinka realią įmonės veiklą, jau nebe.
Turime ISO 27001. Ar to užtenka?
Ne automatiškai, bet persidengimas didelis. Veikianti ISO 27001 sistema uždengia didelę dalį šių dokumentų, o trūkstamą dalį realu uždaryti per kelias savaites. Kuo šie du dalykai skiriasi.
Kas tvirtina šiuos dokumentus?
Įmonės vadovas arba jo įgaliotas asmuo. Tai reiškia, kad vadovybė negali likti nuošalyje — atsakomybė už patvirtintą dokumentą yra asmeninė, ne IT skyriaus.
Ar man apskritai tai taikoma?
Tik jei įmonė patenka į Kibernetinio saugumo įstatymo taikymo sritį. Taikymo kriterijai, sektorių sąrašai ir išimtys. Jei taikoma — kiek kainuoja tai sutvarkyti.
Pažiūrėkime, ką jau turite
Penki klausimai, dvi minutės. Dažniausiai paaiškėja, kad dalis dokumentų įmonėje yra — tik parengti kitam tikslui.
Sąrašas sudarytas pagal Kibernetinio saugumo reikalavimų aprašą (Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimas Nr. 818). Puslapis skirtas orientacijai, o ne teisinei išvadai dėl konkrečios įmonės.