Kui teie ettevõte sai kirja Riigi Infosüsteemi Ametilt (RIA) või klient palus kinnitada, et vastate NIS2 nõuetele, oli teie esimene küsimus tõenäoliselt lihtne: kas see kehtib üldse meie kohta? Teine küsimus on tavaliselt keerulisem: mis meil täpselt olema peab, et seda tõendada?
NIS2 on Euroopa Liidu direktiiv võrgu- ja infosüsteemide turvalisuse kohta. Iga liikmesriik võtab selle üle oma siseriiklikku õigusesse, oma registreerimistähtaegade, järelevalveasutuse ja trahvidega, mistõttu üksikasjad erinevad riigiti (Eestis jõustatakse see küberturvalisuse seadusega). Erinevalt varasematest reeglitest, mis hõlmasid suhteliselt kitsast ringi ettevõtjaid, kuuluvad uude raamistikku paljud keskmise suurusega ja isegi väiksemad ettevõtted, kes on seni küberturvalisuse all mõelnud viirusetõrjet ja paroole.
Selles artiklis käime lihtsas keeles läbi, kellele nõuded kehtivad, mida need praktikas tähendavad ja millised dokumendid on vaja. Lõpus: kust alustada, kui teil praegu midagi pole.
Kellele NIS2 kehtib: olulised ja tähtsad üksused
Direktiiv jagab organisatsioonid kaheks rühmaks: olulised (essential) ja tähtsad (important) üksused. Erinevus ei ole nõuete sisus, vaid järelevalve rangluses ja sanktsioonide suuruses. Olulisi üksusi kontrollitakse ennetavalt, tähtsaid enamasti pärast intsidenti või kaebust.
Millisesse rühma te kuulute, otsustavad kaks asja: sektor ja ettevõtte suurus. Üldjoontes jagunevad sektorid järgmiselt:
- Kõrge kriitilisusega sektorid: energeetika, transport, pangandus ja finantsturu taristud, tervishoid, joogivesi ja reovesi, digitaristu (andmekeskused, pilveteenuse pakkujad, DNS, elektroonilised sidevõrgud), IKT-teenuste haldus (hallatud teenuste ja hallatud turbeteenuste pakkujad), avalik haldus, kosmos.
- Muud kriitilised sektorid: posti- ja kullerteenused, jäätmekäitlus, keemiatööstus, toidu tootmine ja levitamine, mitmesugune tootmine (meditsiiniseadmed, elektroonika, sõidukid, masinad), digiteenuste pakkujad (turuplatsid, otsingumootorid, sotsiaalvõrgustikud), teadus.
Suuruslävi on tavaliselt keskmise suurusega ettevõte, see tähendab 50 töötajat või rohkem või kindel aastakäive. Siiski on erandeid: mõned üksused (näiteks elektroonilise side või usaldusteenuste osutajad) kuuluvad direktiivi alla suurusest sõltumata ja ametiasutus võib kaasata ka väiksema ettevõtte, kui see on piirkonnas olulise teenuse ainus osutaja.
Meie kogemuse järgi on kõige sagedasem juhtum tootmis-, logistika- või tervishoiuettevõte, kus on 60–200 töötajat ja kes kuuleb NIS2-st esimest korda kliendi küsimustikust. Kui see olete teie, olete väga tõenäoliselt tähtis üksus. Kuna iga liikmesriik määrab ise kohaldamisala üksikasjad ja tähtajad, kontrollige selle riigi reegleid, kus tegutsete.
Mida praktikas nõutakse
Direktiiv ei sea ette konkreetseid tehnoloogiaid. See nõuab, et ettevõte juhiks küberturvalisuse riske vastavalt oma suurusele ja ohtudele, millega ta silmitsi seisab. Praktikas tähendab see viit valdkonda.
Riskijuhtimine
Peate teadma, milliseid süsteeme kasutate, milliseid andmeid need sisaldavad, mis neid ohustab ja mida teete, et need ohud ei realiseeruks. See vormistatakse riskiregistri ja turvapoliitikatena: juurdepääsuhaldus, paroolid ja mitmefaktoriline autentimine, uuendused, võrgu segmenteerimine, krüptograafia kasutamine. Riskihindamine on esimene töö ja kõik muu sõltub sellest.
Intsidentide haldus ja neist teatamine
Vajate korda, kuidas intsident tuvastatakse, kes selle eest vastutab ja kuidas sellest teatatakse. Teavitustähtajad on ranged: varajane hoiatus riiklikule küberturvalisuse asutusele (Eestis RIA, CERT-EE) 24 tunni jooksul pärast olulise intsidendi teadasaamist, üksikasjalikum teade 72 tunni jooksul ja lõpparuanne ühe kuu jooksul. Ilma ette valmistatud plaanita on neid tähtaegu peaaegu võimatu täita.
Tarneahela turvalisus
Teie vastutus ei lõpe oma serveritel. Kui teie raamatupidamine töötab pilveteenuse pakkuja juures ja teie IT eest hoolitseb väline ettevõte, peate hindama nende turvalisust ja kirjutama selle lepingutesse. See tähendab tarnijate nimekirja, igaühe riskihindamist ning lepingutingimusi turvalisuse, intsidentidest teatamise ja auditeerimisõiguste kohta.
Varundamine ja tegevuse järjepidevus
Ettevõte peab suutma pärast intsidenti tegevuse taastada. Selleks on vaja põhitaristust eraldi hoitavaid varukoopiaid ja testitud taasteplaani. Varukoopial, mida keegi pole kunagi taastanud, pole paberil mingit väärtust. Siin soovitame sageli muutumatuid varukoopiaid, mida ei saa muuta ja mis on võrgust nähtamatud, sest just need peavad vastu lunavararünnakutele.
Juhtkonna vastutus
See on uus element ja paljudele üllatus. Juhtkond peab riskijuhtimise meetmed heaks kiitma, nende rakendamist järgima ja koolitustel osalema. Rikkumiste korral võib kohalduda isiklik vastutus. Praktikas tähendab see, et turvateemad peavad jõudma juhatuse või juhtkonna koosolekute päevakorda ja otsused tuleb protokollida.
Millised dokumendid on vaja
Kontrolli ajal või kliendi küsimustikule vastates küsitakse dokumente, mitte jutte. Minimaalne komplekt, mida soovitame igale üksusele:
- Juhtkonna kinnitatud infoturbepoliitika.
- Varade register (süsteemid, seadmed, andmed).
- Riskihindamise aruanne ning riskiregister vastutavate isikute ja tähtaegadega.
- Juurdepääsupoliitika ja juurdepääsuõiguste ülevaatuste protokollid.
- Intsidendihalduse kord koos teavitusmallide ja kontaktidega.
- Intsidentide logi (ka siis, kui see on praegu tühi).
- Varundamispoliitika ja taastetestide protokollid.
- Tegevuse järjepidevuse plaan.
- Tarnijate nimekiri, nende riskihindamine ja lepingute turvalisuse lisad.
- Paikamise ja haavatavuste haldamise kord.
- Töötajate ja juhtkonna koolituste andmed.
- Juhtkonna otsused (protokollid), millega meetmed kinnitatakse.
Sadu lehekülgi dokumente pole vaja. Kümme lühikest dokumenti, mida inimesed tegelikult järgivad, on parem kui üks paks kaustik, mida keegi pole lugenud.
Registreerimist tasub eraldi mainida. Üksused peavad end kandma riikliku küberturvalisuse asutuse peetavasse nimekirja ja esitama kontaktandmed, mida kasutatakse hoiatuste saatmiseks ja mille kaudu ametiasutus teiega pärast intsidenti ühendust võtab. Tähtajad ja kord sõltuvad riigist. See on lihtne samm, kuid ilma selleta paistab kõik muu alustamata. Määrake ka küberturvalisuse eest vastutav isik ja vormistage see kirjaliku käskkirjaga, sest ametiasutus küsib just seda isikut.
Kõige sagedasemad vead, mida näeme
Esiteks: alustatakse dokumentidest, mitte tegelikkusest. Mahakopeeritud poliitika, mis väidab, et mitmefaktoriline autentimine on kõikjal sisse lülitatud, kuigi see on sees ainult e-posti jaoks, teeb kontrolli ajal rohkem kahju kui poliitika puudumine.
Teiseks: eeldatakse, et IT-teenuse pakkuja „tagab“ vastavuse teie eest. Pakkuja saab korda teha tehnilise poole ja valmistada ette dokumendid, kuid vastutus, otsused ja juhtkonna kaasatus jäävad ettevõttele.
Kolmandaks: unustatakse intsidentidest teatamise tähtajad. Ettevõttel on suurepärane kaitse, kuid kui intsident juhtub, ei tea keegi, kes peab 24 tunni jooksul ja kuhu teatama.
Kust alustada
Kui teil on täna ainult viirusetõrje ja head kavatsused, näeb realistlik tee välja selline:
- Selgitage välja, kas olete üksus ja millises rühmas. Kahtluse korral on parem kontrollida kui asutuselt teada saada.
- Tehke riskihindamine ja varade inventuur. See loob aluse kõigile teistele dokumentidele ja näitab, kus on tegelikud lüngad.
- Korrastage tehniline baas: mitmefaktoriline autentimine, lõppseadmete kaitse, eraldi hoitavad varukoopiad, uuendamise protsess.
- Koostage intsidendihalduse kord ja käige see juhtkonnaga „paberil“ läbi.
- Tagage juhtkonna kaasatus: kinnitage poliitikad, planeerige koolitused, tooge turvalisus koosoleku päevakorda.
Saame selle tee koos teiega läbi käia. Meie NIS2 vastavusteenus hõlmab üksuse staatuse hindamist, riskihindamist, dokumentide koostamist ja tehniliste meetmete juurutamist ning kui vajate püsivat turvajuhti ilma täiskohaga töötajat palkamata, hoiab CISO teenusena dokumendid pärast kontrolli elus. Meie meeskonnal on kehtivad ISACA sertifikaadid ja osutame teenuseid kooskõlas ISO 27001 nõuetega, seega teame, mida audiitorid küsivad ja mida nad esimesena kontrollivad.
