Ako NIS2 čitamo samo kao bezbednosnu kontrolnu listu, lako ćemo propustiti njegovu najvažniju promenu. Direktiva ne traži samo bolje kontrole. Ona ih povezuje sa odobravanjem i nadzorom rukovodstva, obukom, kontinuitetom poslovanja, odnosima sa dobavljačima i dokazima o delotvornosti.

Upravljačko telo postaje deo kontrolnog okruženja

Član 20 zahteva da upravljačka tela ključnih i važnih subjekata odobre mere upravljanja rizicima sajber bezbednosti preduzete radi usklađivanja sa članom 21, nadziru njihovo sprovođenje i pohađaju obuku. Države članice moraju obezbediti i da upravljačka tela mogu snositi odgovornost za kršenje obaveza od strane subjekta.

Praktično pitanje se zato menja. Više nije dovoljno pitati da li bezbednosni tim ima politiku. Rukovodstvu je potreban odbranjiv način da razume koji su rizici važni, koje su mere odobrene, da li rade i kako se slabosti eskaliraju.

Šta se menja

Sajber bezbednost postaje ponavljajući upravljački ciklus: razumeti, odlučiti, finansirati, nadzirati, testirati i unaprediti.

Član 21 prelazi granice organizacionih funkcija

Mere navedene u članu 21 jasno pokazuju međufunkcionalnu prirodu posla. Obuhvataju analizu rizika i bezbednost informacionih sistema, postupanje sa incidentima, kontinuitet poslovanja i upravljanje krizama, bezbednost lanca snabdevanja, bezbednu nabavku i razvoj, postupanje sa ranjivostima, ocenu delotvornosti, sajber higijenu i obuke, kriptografiju, ljudske resurse, kontrolu pristupa i upravljanje imovinom, kao i — kada je primereno — višefaktorsku autentikaciju i bezbedne komunikacije.

Nijedna funkcija ne poseduje celu tu listu. Nabavka oblikuje zahteve prema dobavljačima. Pravni tim prevodi obaveze u ugovore i upravljanje. Operacije štite kontinuitet. Ljudski resursi podržavaju jasne uloge i obuke. Tehnički timovi projektuju i sprovode kontrole. Rukovodstvo povezuje te delove i odlučuje koji nivo rizika organizacija može da opravda.

Kada ugovor stvara lažni osećaj sigurnosti

Jedno pogrešno razumevanje koje često srećem jeste uverenje da ugovor kojim je odgovornost dodeljena eksternom pružaocu usluge istovremeno oslobađa samu kompaniju njene odgovornosti. Ugovor sam po sebi to ne čini. Njime se mogu raspodeliti obaveze, pravna sredstva i način izveštavanja, ali kompanija i dalje mora da razume zavisnost, postavi očekivanja, zatraži odgovarajuće dokaze i nadzire rizik koji iz tog odnosa nastaje.

Pet pitanja koja bih stavila pred rukovodstvo

  1. 01

    Koje usluge i operacije zaista ulaze u obuhvat?

    Počnite od kritičnih usluga, zavisnosti, podataka i mesta na kojima se donose odluke — ne od generičkog spiska politika.

  2. 02

    Ko odobrava mere i ko nadzire da li one rade?

    Imenujte prava odlučivanja, linije izveštavanja i puteve eskalacije. „IT je odgovoran” nije model upravljanja.

  3. 03

    Koji dokazi mogu izdržati proveru?

    Politika može pokazati nameru. Rezultati testiranja, odluke, incidenti, obuke, provere dobavljača i korektivne mere pokazuju da li sistem funkcioniše.

  4. 04

    Kako rizik dobavljača ulazi u nabavku i ugovore?

    Kritične zavisnosti zahtevaju kriterijume, dužnu pažnju, ugovorna očekivanja, praćenje i odgovor kada je nivo uveravanja slab.

  5. 05

    Kako incidenti i odluke o kontinuitetu stižu do rukovodstva?

    Rokovi za prijavu jesu važni, ali su važni i pragovi, uvežbane uloge i sposobnost donošenja brzih odluka uz nepotpune informacije.

Usklađenost je rezultat sistema koji radi

Zreo odgovor na NIS2 treba da ostavi više od fascikle za usklađenost. Treba da stvori zajednički jezik rizika, vidljivu mapu odgovornosti, bolje odluke o dobavljačima, testirane aranžmane kontinuiteta i pouzdan lanac dokaza.

Zato NIS2 posmatram kao promenu načina upravljanja. Direktiva polazi od sajber rizika, ali njena primena otkriva kako organizacija zaista upravlja odlukama između različitih funkcija. Najbolji programi iskoristiće tu vidljivost da ojačaju otpornost — ne samo da pokažu usklađenost.

Primarni izvori

Za dalje čitanje