NIS2 brandos vertinimas — spragų analizė per 48 val.

1. Vadovybės atsakomybė už kibernetinę riziką * 1 — Niekas konkrečiai neatsako 2 — „Tai IT reikalas“, vadovybė nesigilina 3 — Atsakingas paskirtas, bet svarstoma tik po incidentų 4 — Aiški atsakomybė, vadovybė svarsto reguliariai 5 — Nuolatinis vadovybės darbotvarkės punktas, sprendimai fiksuojami

2. Incidentų valdymas * 1 — Plano nėra 2 — Yra bendras dokumentas, komanda jo nežino 3 — Planas yra, komanda žino, bet netestuotas 4 — Planas testuotas, rolės aiškios 5 — Testuotas planas su pranešimo terminais (24/72 val.) ir atsakingais

3. Veiklos tęstinumas ir atkūrimo testavimas * 1 — Atsarginių kopijų tvarkos nėra arba nežinome 2 — Kopijos daromos, atkūrimas nebandytas 3 — Atkūrimas išbandytas bent kartą 4 — Reguliarūs testai, rezultatai dokumentuojami 5 — Automatizuota ir audituota, testuojama reguliariai

4. Tiekėjų (trečiųjų šalių) rizikos valdymas * 1 — Tiekėjų saugumo nevertiname 2 — Pasitikime žodžiu 3 — Vertiname svarbiausius, nereguliariai 4 — Klausimynai ir saugumo reikalavimai sutartyse 5 — Nuolatinė stebėsena, reikalavimai sutartyse, reguliarios peržiūros

5. Pažeidžiamumų (spragų) valdymas * 1 — Reaguojame tik tada, kai kas nors nutinka 2 — Atnaujinimai kartais, be tvarkos 3 — Reguliarūs atnaujinimai, be skenavimo 4 — Periodinis skenavimas, taisome pagal svarbą 5 — Nuolatinis skenavimas su aiškiais taisymo terminais

6. Jei NIS2 auditas vyktų rytoj — kiek pasitikite savo pasirengimu? * 1 — Neišlaikytume 2 — Spragų daug, įrodymus parodyti būtų sunku 3 — Pusė tvarkoje, pusė ne 4 — Iš esmės pasiruošę, liko smulkmenos 5 — Pasiruošę, įrodymai sutvarkyti

7. Kibernetinio saugumo dokumentai (politika, tvarkos) * 1 — Dokumentų neturime 2 — Yra vienas bendras, senas dokumentas 3 — Pagrindiniai dokumentai yra, bet neperžiūrimi 4 — Atnaujinami, atsakingi paskirti 5 — Gyvi dokumentai, reguliariai peržiūrimi, atitinka realią praktiką

8. Turto registras (kokias sistemas ir duomenis turime) * 1 — Tiksliai nežinome, ką turime 2 — Sąrašas yra, bet pasenęs 3 — Registras tvarkomas nereguliariai 4 — Registras aktualus, atsakingas paskirtas 5 — Aktualus, pokyčiai fiksuojami, siejamas su rizikomis

9. Darbuotojų mokymai ir sąmoningumas * 1 — Mokymų nevykdome 2 — Vienkartinis instruktažas priimant į darbą 3 — Kartą per metus, be patikros 4 — Reguliarūs mokymai, dalyvavimas fiksuojamas 5 — Reguliarūs mokymai ir phishing testai, rezultatai matuojami

10. Prieigos teisės ir darbuotojų kaita * 1 — Išėjus darbuotojui prieigas naikinam, kai prisimenam 2 — Naikinam, bet be tvarkos ir be įrodymų 3 — Tvarka yra, ne visada laikomasi 4 — Tvarka veikia, veiksmai fiksuojami 5 — Automatizuota, prieigos periodiškai peržiūrimos

11. Dirbtinio intelekto naudojimas (ChatGPT, Copilot ir pan.) * 1 — Nežinome, kas ir kaip naudoja 2 — Naudoja, jokių taisyklių nėra 3 — Yra žodinės rekomendacijos 4 — Yra rašytinė DI naudojimo tvarka 5 — Tvarka veikia: aišku, kokius duomenis galima kelti, naudojimas fiksuojamas

12. Įrodymai klientui ar auditoriui * 1 — Neturime ko parodyti 2 — Rastume, bet ieškotume ilgai 3 — Dalį pateiktume greitai 4 — Didžiąją dalį pateiktume per kelias dienas 5 — Turime paruoštą įrodymų rinkinį