A NIS2 irányelv által előírt védelmi intézkedések számos szabályzatról és eljárásrendről rendelkeznek, amelyek bemutatása elengedhetetlen a sikeres kiberbiztonsági audit során. De valóban mindenre felkészültünk? Íme öt kiemelten fontos dokumentum, amelyről semmiképp sem szabad megfeledkezni.
Információbiztonsági Szabályzat (IBSZ)
Az Információbiztonsági Szabályzat (IBSZ) napjainkban szinte minden szervezet alapvető szabályozási dokumentumának számít. Megléte számos szabvány és jogszabály által előírt követelmény, így értelemszerűen a kiberbiztonságot célul kitűző NIS2 irányelv sem mellőzi. A NIS2 audit során alapdokumentumként elengedhetetlen, hogy rendelkezésre álljon, hiszen az IBSZ gyakorlatilag a bemutatott dokumentációk keretrendszerét biztosítja. Ezen keretrendszer magában foglalja a biztonságos információkezelés szabályait, az EIR-ek védelmével kapcsolatos felelősségeket, feladatokat, és hivatkozik minden fontos kapcsolódó dokumentumra.
Kockázatmenedzsment stratégia
A kockázatmenedzsment alapvető pillére a kiberbiztonságnak: ha nem ismerjük pontosan vállalatunk rendszereit, az ezekre leselkedő fenyegetéseket, illetve nem rendelkezünk megfelelő kontrollintézkedésekkel, az információbiztonság meglehetősen bizonytalan alapokon áll. A NIS2 irányelv is kiemelten kezeli a kockázatelemzés és -kezelés fontosságát, amit jól tükröz, hogy konkrét védelmi intézkedéseket kínál az érintett szervezetek számára. Emellett részletesen meghatározza, milyen szempontok és módszertan mentén érdemes kidolgozni a kockázatmenedzsment stratégiát.
A NIS2 auditra azonban nem elegendő kidolgoznunk a kockázatmenedzsment stratégiánk elméletét egy szabályozó dokumentum formájában. Az auditor számára dokumentáltan igazolni kell, hogy mely kritikus üzleti folyamatokat milyen szintű fenyegetések érintik, és ezekre milyen hatékony kontrollintézkedésekkel reagálunk. Ezért célszerű az audithoz egy konkrét kockázatelemzés eredményeit is előkészíteni.
BCP (üzletmenet-folytonossági terv)
Egy kiberincidens esetén nemcsak az információbiztonság helyreállítása a feladatunk, hanem az is, hogy az üzleti folyamatok gyorsan újraindíthatók vagy helyettesíthetők legyenek, biztosítva a kritikus tevékenységek folyamatos működését. Ennek megfelelően a NIS2 irányelv egyik kiemelt dokumentációs követelménye az üzletmenet-folytonossági terv (BCP) kidolgozása és folyamatos frissítése.
Képzési szabályzat és kapcsolódó dokumentumok
A NIS2 irányelv egyik fő célja a kiberbiztonság erősítése, amelynek alapját a humán erőforrás, vagyis az emberek megfelelő felkészültsége és tudatossága jelenti. Ennek jegyében kiemelt szerepet kapnak az információbiztonsági képzések, valamint a munkavállalók tudatos szemléletének kialakítása, amely elengedhetetlen a biztonság fenntartásához és a kibertámadások megelőzéséhez. Ezen képzések felépítéséről, rendelkezésre állásáról és szerepkörök szerinti fenntartásáról a képzési szabályzat formájában nyilatkozhatunk az audit során.
IBF munkaköri leírás
Mivel az IBF (információbiztonságért felelős személy) kijelölése a NIS2 regisztráció egyik feltétele volt, sok vállalatnál mindössze alkalmi döntés eredményeként választották ki a szerepkör betöltőjét. Gyakori probléma, hogy a kijelölt munkatárs vagy megbízott a regisztráció után semmilyen tájékoztatást nem kap az új feladatairól. Emiatt könnyen elmaradhat az IBF munkaköri leírásának frissítése a kiberbiztonsági feladatokkal és felelősségi körökkel, pedig ez a dokumentum kulcsfontosságú a sikeres NIS2 audit szempontjából. Az IBF feladata az EIR biztonságának felügyelete, az információbiztonsági szabályzatok bevezetésének, fejlesztésének és fenntartásának koordinálása, valamint a kiberincidensek jelentése és a hatóságokkal való kapcsolattartás. Ezeket a felelősségeket mindenképpen rögzíteni kell az IBF munkaköri leírásában, vagy külső megbízott esetén a megbízási szerződésben.
Segítségre van szüksége a felkészüléshez? Bízza szakértőkre szervezete NIS2 megfelelését, és kérjen támogatást a NIS2 dokumentáció elkészítésében!
(x)
