NIS2 atbilstība bez panikas

NIS2 aptver būtiskās un svarīgās vienības tādās nozarēs kā enerģētika, transports, veselība, digitālā infrastruktūra, ražošana un publiskie pakalpojumi, un zem tās nonāk arī daudzi vidēja izmēra uzņēmumi, kas ar šāda veida regulējumu līdz šim nav saskārušies. Tas, vai direktīva attiecas uz tevi, ir atkarīgs no nozares, uzņēmuma lieluma un pakalpojumiem, ko tu reāli sniedz, tāpēc minēšana šeit nav droša atbilde. Pusstundas saruna ar mūsu inženieriem Rīgā dod skaidru atbildi tieši par tavu gadījumu: mēs nokartējam, ko tu dari, salīdzinām to ar direktīvas kategorijām un godīgi pasakām arī tad, ja tu tās tvērumā neietilpsti.

NIS2 ir ES kiberdrošības direktīva, kas kritisko nozaru uzņēmumiem uzliek pienākumu pārvaldīt kiberriskus, aizsargāt infrastruktūru un ziņot par nopietniem incidentiem. Direktīva pati par sevi uzņēmumu nesaista tieši: katra dalībvalsts to pārnes savos likumos, un Latvijā to dara Nacionālās kiberdrošības likums, tāpēc atbilstība ir juridisks pienākums, nevis ieteikums. Praksē tas nozīmē, ka tavam uzņēmumam ir jāzina savi riski, jābūt rakstītiem noteikumiem, kā ar tiem strādāt, un jāspēj reaģēt, kad kaut kas noiet greizi. Mūsu pakalpojums vienā projektā nosedz auditu, dokumentus un tehniskās kontroles, lai tev viena pienākuma dēļ nav jāmeklē trīs dažādi piegādātāji.

Galvenās jomas ir risku pārvaldība, drošības politikas, incidentu reaģēšana un ziņošana, darbības nepārtrauktība ar rezerves kopijām, piegādes ķēdes drošība, piekļuves kontrole un vadības atbildība. Ievēro, ka saraksts apvieno dokumentus ar inženieriju: politiku mape bez strādājošām rezerves kopijām pārbaudi neiztur, un labas kopijas bez aprakstītām procedūrām arī ne, jo uzraugi skatās uz abām pusēm. Vadības atbildība nozīmē, ka lēmumi par riskiem ir jāsaprot un jāapstiprina vadībai, nevis viss jāatstāj IT nodaļai. Mūsu audits pārbauda visas šīs jomas tavā reālajā infrastruktūrā un procesos un 2 līdz 4 nedēļās nodod sarakstu ar prioritātēm, lai tu zini, kas jālabo vispirms un kas var pagaidīt.

Tipisks trūkumu novērtējums aizņem 2 līdz 4 nedēļas. Precīzais ilgums ir atkarīgs no infrastruktūras lieluma, no tā, cik sistēmu un procesu jāizskata, un no tā, cik ātri tava komanda spēj atbildēt uz jautājumiem un piešķirt piekļuves. Šajā laikā mēs intervējam atbildīgos cilvēkus, izskatām konfigurācijas un dokumentāciju un salīdzinām visu ar NIS2 prasībām. Pašus labojumus plānojam atsevišķi pēc atskaites, jo to termiņš ir pilnībā atkarīgs no atrastā: daļu trūkumu var novērst ātri, citiem vajadzīgs budžets un plānošana. Kad tava komanda izmaiņas ir ieviesusi, veicam atkārtotu novērtējumu, lai pārliecinātos, ka trūkumi tiešām ir novērsti, nevis tikai atzīmēti kā izdarīti.

Tu saņem trūkumu atskaiti ar skaidrām prioritātēm, uzrakstītu drošības politiku komplektu, incidentu reaģēšanas plānu un tavā reālajā infrastruktūrā ieviestas tehniskās kontroles, kā arī atkārtotu novērtējumu pēc labojumu pabeigšanas. Politikas ir rakstītas tieši tavam uzņēmumam un tā reālajiem procesiem, nevis nokopētas no veidnes, jo uzraugi vispārīgus dokumentus pamana ātri. Reaģēšanas plāns pasaka taviem cilvēkiem, kurš ko dara un kurš kur ziņo, kad incidents notiek, lai neviens spiediena brīdī neimprovizē. Vadība papildus saņem atskaiti saprotamā valodā bez tehniskā žargona, ko var parādīt valdei vai uzraudzības iestādei kā pierādījumu, ka darbs tiešām ir paveikts.

Fiksēta cenrāža šeit nav, jo godīga atbilde ir atkarīga no apjoma: cik sistēmu un atrašanās vietu tev ir, cik sarežģīta ir infrastruktūra un cik daudz jau ir sakārtots. Uzņēmumam ar aprakstītiem procesiem un strādājošām rezerves kopijām darba vajag krietni mazāk nekā tādam, kas sāk no nulles, un prasīt abiem vienādu cenu būtu negodīgi. Tāpēc sākam ar pusstundas apjoma sarunu, izmērām projektu kopā ar tevi un tikai tad nosaucam summu. Pieprasi piedāvājumu mājaslapā, īsi apraksti savu vidi, un mēs atsūtīsim piedāvājumu, ko vari salīdzināt ar iespēju visu darīt saviem spēkiem.

Uzraudzības iestādes var pieprasīt auditus, izdot saistošus norādījumus un piemērot ievērojamus sodus, un atbildība var skart arī uzņēmuma vadību personīgi. Ir arī klusāks risks: nepārvaldīts incidents tāpat agri vai vēlu iznāk gaismā caur klientiem, partneriem vai citu obligāto ziņošanu, un skaidrot uzraugam, kāpēc nekas nebija izdarīts, ir daudz sliktāka pozīcija nekā parādīt dokumentētu plānu ar zināmiem trūkumiem. Nedarīšana pienākumu nenoņem, tā tikai pārceļ izmaksas uz visnepiemērotāko brīdi. Trūkumu audits 2 līdz 4 nedēļās ir lētākais veids, kā uzzināt, cik liels risks tev patiesībā ir, pirms to tavā vietā noskaidro kāds cits.

Jā. Atbilstībai ir derīguma termiņš: cilvēki mainās, sistēmas tiek nomainītas, un kontrole, kas auditā izturēja pārbaudi, ar laiku var klusi pārstāt strādāt. Operacionālajai pusei piedāvājam pārvaldītus Fortinet Firewall un diennakts uzraudzību, ko veic mūsu pašu komanda Rīgā, tātad infrastruktūru kāds tiešām vēro, nevis tikai glabā atskaiti plauktā. Mums pieder savs Tier 3+ datu centrs Rīgā un savs tīkls AS58269, tāpēc tie paši inženieri, kas veica tavu auditu, var kontroles uzturēt arī pēc tam. Uzraksti atbalstam, ko tieši gribi nosegt, un mēs piedāvāsim operacionālo risinājumu, kas atbilst audita atradumiem.