NIS2 21 straipsnis: dešimt priemonių ir kaip jas įgyvendinti

NIS2 direktyva (ES) 2022/2555 Lietuvoje perkelta pakeistu Kibernetinio saugumo įstatymu, kuris įsigaliojo 2024 m. spalio 18 d. Detalūs organizaciniai ir techniniai reikalavimai taikomi nuo 2024 m. lapkričio 12 d., o jų laikymąsi prižiūri Nacionalinis kibernetinio saugumo centras (NKSC).

Direktyvos 21 straipsnio 2 dalis išvardija dešimt priemonių, kurias privalo įgyvendinti esminiai ir svarbūs subjektai. Žemiau kiekvienai priemonei nurodome, ką ji reiškia praktiškai ir ką tikrintojas paprašys parodyti.

Atsakomybė tenka vadovybei, ne IT skyriui

NIS2 20 straipsnis įpareigoja organizacijos vadovybę patvirtinti kibernetinio saugumo rizikos valdymo priemones, prižiūrėti jų įgyvendinimą ir mokytis. Už pažeidimus vadovai gali atsakyti asmeniškai.

Baudų ribos nustatytos 34 straipsnyje: esminiams subjektams iki 10 mln. EUR arba 2 % pasaulinės metinės apyvartos, svarbiems subjektams iki 7 mln. EUR arba 1,4 % apyvartos (taikoma didesnė suma).

Priemonės parenkamos pagal riziką

21 straipsnio 1 dalis reikalauja, kad priemonės būtų proporcingos: atsižvelgiama į riziką, organizacijos dydį, incidentų tikimybę ir pasekmes bei įgyvendinimo kainą. Dešimt priemonių nėra kontrolinis sąrašas, kurį užtenka pažymėti. Kiekvienai reikia sprendimo, kodėl pasirinkta būtent tokia apimtis, ir dokumento, kuris tai įrodo.

Dešimt priemonių

a) Rizikos analizė ir informacinių sistemų saugumo politika

Pradžia yra turto ir paslaugų sąrašas: kokios sistemos palaiko esmines paslaugas, kas jas valdo, kokios jų priklausomybės. Ant jo statoma rizikos analizė ir saugumo politika, patvirtinta vadovybės.

Tikrintojas paprašys: patvirtintos politikos, rizikos vertinimo ataskaitos su data ir rizikos valdymo plano.

b) Incidentų valdymas

Incidento neaptiksite be įvykių žurnalų. Reikia rinkti serverių, tinklo įrangos, ugniasienių ir tapatybių sistemos žurnalus į vieną vietą ir juos saugoti. Tam naudojama saugumo įvykių valdymo sistema (SIEM), o reagavimą galima automatizuoti (SOAR).

NIS2 23 straipsnis nustato pranešimo terminus: išankstinis įspėjimas per 24 valandas nuo sužinojimo apie reikšmingą incidentą, pranešimas apie incidentą per 72 valandas ir galutinė ataskaita per mėnesį.

Tikrintojas paprašys: incidentų valdymo procedūros, žurnalų saugojimo termino ir įrodymo, kad žurnalai iš tikrųjų renkami.

c) Veiklos tęstinumas, atsarginės kopijos ir atkūrimas

Atsarginė kopija, kurios niekas nebandė atkurti, nėra įrodymas. Reikia atkūrimo plano su siektinais RPO (kiek duomenų galima prarasti) ir RTO (per kiek laiko paslauga turi veikti), bent vienos kopijos, kurios negalima pakeisti ar ištrinti, ir dokumentuoto atkūrimo bandymo.

Jei visa infrastruktūra veikia vienoje serverinėje, jos praradimas reiškia atkūrimą nuo naujos įrangos pirkimo. Esminių paslaugų operatoriui tai paprastai yra savaitės, o ne valandos.

Tikrintojas paprašys: veiklos tęstinumo plano, RPO ir RTO reikšmių ir paskutinio atkūrimo bandymo protokolo.

d) Tiekimo grandinės saugumas

Reikia žinoti, kurie tiekėjai turi prieigą prie jūsų sistemų ir kokios kilmės yra įranga bei programinė įranga. Lietuvoje tai susiję su nacionalinio saugumo reikalavimais: gamintojas ar jo komponentai negali būti iš šalių, kurias nurodo Vyriausybės sąrašas.

Tikrintojas paprašys: tiekėjų sąrašo su prieigos lygiais ir sutarčių saugumo sąlygų.

e) Saugumas įsigyjant, kuriant ir prižiūrint sistemas

Šiai priemonei priklauso pažeidžiamumų valdymas: reguliarus skenavimas, atnaujinimų diegimo tvarka ir terminai kritiniams pažeidžiamumams. Saugumo reikalavimai turi atsirasti jau techninėje specifikacijoje, o ne po pirkimo.

Tikrintojas paprašys: pažeidžiamumų skenavimo ataskaitų ir atnaujinimų valdymo procedūros.

f) Priemonių veiksmingumo vertinimas

Kartą įdiegtos priemonės sensta. Reikia periodinio vertinimo: vidaus ar išorės audito, įsiskverbimo testų, rodiklių, kuriuos peržiūri vadovybė.

Tikrintojas paprašys: paskutinio audito ataskaitos ir veiksmų plano jo išvadoms.

g) Kibernetinė higiena ir mokymai

Vadovybei mokymai privalomi (20 straipsnio 2 dalis), o darbuotojams direktyva ragina juos rengti reguliariai. Higiena apima slaptažodžių politiką, programinės įrangos atnaujinimą ir įrenginių konfigūraciją.

Tikrintojas paprašys: mokymų programos ir dalyvių sąrašų.

h) Kriptografija ir šifravimas

Reikia šifravimo politikos: ką šifruojame (nešiojamų kompiuterių diskus, nuotolinį ryšį, ryšį tarp padalinių, atsargines kopijas), kokiais algoritmais ir kas valdo raktus.

Tikrintojas paprašys: šifravimo politikos ir sąrašo, kur šifravimas taikomas.

i) Personalo saugumas, prieigos kontrolė ir turto valdymas

Prieigos teisės suteikiamos pagal pareigas ir atšaukiamos darbuotojui išėjus. Tinklo prieigos kontrolė (802.1X, NAC) leidžia prisijungti tik atpažintiems naudotojams ir įrenginiams. Turto apskaita turi atitikti tikrovę, todėl ją verta kurti automatiškai, aptinkant įrenginius tinkle.

Tikrintojas paprašys: prieigos teisių peržiūros įrodymų ir IT turto sąrašo.

j) Daugiafaktorinis prisijungimas ir saugios komunikacijos

Daugiafaktorinis prisijungimas (MFA) pirmiausia reikalingas nuotolinei prieigai (VPN), administratorių paskyroms ir el. paštui. Direktyva taip pat mini saugias balso, vaizdo ir teksto komunikacijas bei avarinio ryšio priemones.

Tikrintojas paprašys: sąrašo, kur MFA įjungtas, ir išimčių pagrindimo.

Pirmos 90 dienų

Jei atitikties darbai dar tik prasideda, pirmiausia siūlome šiuos penkis žingsnius. Jie uždaro didžiausias rizikas ir sukuria pagrindą kitoms priemonėms.

1. Turto ir paslaugų sąrašas. Be jo neįmanoma nei rizikos analizė (a), nei prieigos kontrolė (i).
2. MFA nuotolinei prieigai ir administratoriams. Dažniausias įsilaužimo kelias yra pavogtas slaptažodis (j).
3. Įvykių žurnalų rinkimas. Net be SIEM pradėkite rinkti ir saugoti žurnalus centralizuotai (b).
4. Atkūrimo bandymas. Atkurkite bent vieną kritinę sistemą iš atsarginės kopijos ir užfiksuokite, kiek tai truko (c).
5. Pranešimo apie incidentą procedūra. Kas, kam ir per kiek laiko praneša, įskaitant 24 valandų terminą (b).

Visų dešimties priemonių sąrašą su paslaugomis ir produktais, įskaitant Europos gamintojų ir atviro kodo variantus, rasite NIS2 priemonių puslapyje.