NIS2 a kybernetická bezpečnosť

NIS2 a kybernetická bezpečnosť

Kybernetická bezpečnosť už nie je iba technickou záležitosťou IT oddelenia. Pre organizácie pôsobiace v regulovaných odvetviach predstavuje súbor konkrétnych právnych, organizačných a technických povinností, za ktorých plnenie zodpovedá aj vedenie spoločnosti.

Smernica NIS2 a slovenský zákon o kybernetickej bezpečnosti rozširujú okruh regulovaných subjektov a zvyšujú požiadavky na riadenie kybernetických rizík. Organizácie musia vedieť identifikovať svoje informačné aktíva, vyhodnocovať hrozby, zaviesť primerané bezpečnostné opatrenia, riadiť dodávateľov a správne reagovať na kybernetické incidenty.

Pomáhame spoločnostiam zistiť, či sa na ne nová regulácia vzťahuje, určiť rozsah ich povinností a nastaviť procesy tak, aby boli nielen formálne zdokumentované, ale aj reálne použiteľné v každodennej prevádzke.

S čím vám vieme pomôcť

Právne a compliance poradenstvo poskytujeme najmä v týchto oblastiach:

posúdenie, či spoločnosť patrí do pôsobnosti NIS2,
určenie postavenia prevádzkovateľa základnej služby,
registrácia a komunikácia s Národným bezpečnostným úradom,
analýza nedostatkov a súčasného stavu kybernetickej bezpečnosti,
príprava bezpečnostnej dokumentácie,
nastavenie riadenia kybernetických rizík,
určenie zodpovedností vedenia a zamestnancov,
príprava interných smerníc a bezpečnostných politík,
nastavenie oznamovania kybernetických incidentov,
príprava plánu reakcie na incident,
riadenie kontinuity činností a obnovy po incidente,
bezpečnostné požiadavky na dodávateľov,
kontrola zmlúv s IT a cloudovými poskytovateľmi,
príprava na audit kybernetickej bezpečnosti,
vykonanie alebo podpora pri samohodnotení,
školenie vedenia a zamestnancov,
riešenie kybernetického incidentu a komunikácia s orgánmi dohľadu.

Rozsah povinností vždy posudzujeme podľa skutočného fungovania organizácie, poskytovaných služieb, používaných informačných systémov, veľkosti podniku a významu jeho činnosti.

Právna a technická implementácia

Kybernetická bezpečnosť si vyžaduje prepojenie právnych, organizačných a technických opatrení. Samotná príprava smerníc a interných procesov preto nemusí byť dostatočná, ak organizácia nemá zavedené zodpovedajúce technické riešenia.

Pri implementácii požiadaviek NIS2 spolupracujeme aj s overenými technickými dodávateľmi a odborníkmi na kybernetickú bezpečnosť. Vďaka tomu vieme klientovi pomôcť nielen s právnym a dokumentačným nastavením, ale aj so zabezpečením potrebných plnení po technickej stránke.

Technickí partneri môžu podľa potrieb organizácie zabezpečiť najmä:

bezpečnostnú analýzu informačných systémov a infraštruktúry,
technický audit kybernetickej bezpečnosti,
penetračné testovanie a testovanie zraniteľností,
kontrolu konfigurácie sietí, serverov a cloudových služieb,
zavedenie monitorovania bezpečnostných udalostí,
nastavenie logovania a uchovávania záznamov,
ochranu koncových zariadení,
viacfaktorovú autentifikáciu a riadenie prístupov,
segmentáciu siete,
správu zraniteľností a bezpečnostných aktualizácií,
zálohovanie a testovanie obnovy údajov,
šifrovanie údajov a komunikácie,
technické zabezpečenie kontinuity prevádzky,
riešenie a vyšetrovanie kybernetických incidentov,
obnovu systémov po bezpečnostnom incidente,
bezpečnostné testovanie dodávateľských a cloudových riešení.

Rozsah zapojenia technického dodávateľa sa určuje podľa existujúcej infraštruktúry, výsledkov rizikovej analýzy a zistených nedostatkov. Klient tak môže získať koordinované riešenie, pri ktorom právne požiadavky, interná dokumentácia a technické opatrenia tvoria jeden funkčný celok.

Našou úlohou je koordinovať právnu a compliance časť projektu, určiť požadovaný stav a dohliadať na to, aby technické plnenia zodpovedali identifikovaným povinnostiam organizácie. Technickú realizáciu zabezpečujú príslušní odborní partneri podľa dohodnutého rozsahu.

Tento spôsob spolupráce je vhodný najmä pre organizácie, ktoré nemajú vlastný tím kybernetickej bezpečnosti alebo potrebujú doplniť svoje interné kapacity o špecializované technické služby.

Koho sa môže NIS2 týkať

Pravidlá kybernetickej bezpečnosti sa môžu vzťahovať na verejné aj súkromné organizácie pôsobiace v odvetviach, ktorých fungovanie je dôležité pre spoločnosť, hospodárstvo alebo verejnú správu.

Môže ísť najmä o subjekty pôsobiace v oblastiach:

energetiky,
dopravy,
bankovníctva a finančnej infraštruktúry,
zdravotníctva,
pitnej a odpadovej vody,
digitálnej infraštruktúry,
cloudových a dátových služieb,
spravovaných IT a bezpečnostných služieb,
verejnej správy,
poštových a kuriérskych služieb,
odpadového hospodárstva,
výroby vybraných produktov,
potravinárstva,
chemického priemyslu,
výskumu,
online platforiem a digitálnych služieb.

Samotné odvetvie však nemusí byť jediným rozhodujúcim kritériom. Posudzuje sa aj veľkosť organizácie, charakter poskytovaných služieb a význam, ktorý by ich narušenie mohlo mať pre zákazníkov, obchodných partnerov alebo verejnosť.

V určitých prípadoch môže byť do pôsobnosti zákona zaradený aj subjekt, ktorý nespĺňa bežné veľkostné kritériá, ak poskytuje osobitne významnú službu alebo by jeho výpadok mohol spôsobiť závažné následky.

Posúdenie pôsobnosti zákona

Prvým krokom je určiť, či organizácia patrí medzi regulované subjekty a aké konkrétne povinnosti sa na ňu vzťahujú.

Pri právnej analýze preverujeme najmä:

hlavné a vedľajšie činnosti spoločnosti,
poskytované produkty a služby,
veľkosť podniku,
počet zamestnancov,
finančné ukazovatele,
prepojenie s partnerskými a prepojenými podnikmi,
územie, na ktorom organizácia pôsobí,
význam služby pre zákazníkov alebo verejnosť,
používané siete a informačné systémy,
osobitné sektorové predpisy.

Výsledkom je stanovisko, či spoločnosť pravdepodobne patrí do pôsobnosti zákona, aké registračné alebo oznamovacie povinnosti musí splniť a aký rozsah bezpečnostných opatrení má zaviesť.

Registrácia prevádzkovateľa základnej služby

Organizácia, ktorá spĺňa zákonné podmienky, môže mať povinnosť oznámiť príslušné údaje Národnému bezpečnostnému úradu a poskytnúť súčinnosť pri zápise do registra prevádzkovateľov základných služieb.

Povinnosťou organizácie nie je iba vykonať prvotnú registráciu. Musí tiež sledovať zmeny rozhodujúcich údajov a oznámiť ich v zákonnej lehote.

Pomáhame klientom:

vyhodnotiť vznik registračnej povinnosti,
pripraviť podklady na registráciu,
identifikovať regulované služby,
určiť dotknuté siete a informačné systémy,
komunikovať s Národným bezpečnostným úradom,
reagovať na doplňujúce otázky,
nastaviť proces oznamovania budúcich zmien.

Pri skupine viacerých spoločností posudzujeme každú právnickú osobu samostatne a zároveň zohľadňujeme ich vlastnícke, personálne a prevádzkové prepojenie.

Analýza súčasného stavu

Pred prípravou novej dokumentácie je potrebné zistiť, aké bezpečnostné procesy už organizácia používa a ktoré požiadavky zatiaľ nespĺňa.

Analýza rozdielov, označovaná aj ako gap analýza, porovnáva aktuálny stav organizácie s požiadavkami právnych predpisov a príslušných bezpečnostných štandardov.

Posudzujeme najmä:

systém riadenia kybernetickej bezpečnosti,
rozdelenie právomocí a zodpovedností,
evidenciu informačných aktív,
riadenie prístupových oprávnení,
správu používateľských účtov,
ochranu koncových zariadení,
správu aktualizácií a zraniteľností,
zálohovanie a obnovu údajov,
logovanie a monitorovanie udalostí,
ochranu sietí a komunikácie,
fyzickú bezpečnosť,
bezpečnosť dodávateľského reťazca,
reakciu na incidenty,
kontinuitu prevádzky,
školenie zamestnancov,
existujúce interné smernice a záznamy.

Výstupom analýzy je prehľad zistených nedostatkov, ich rizikovosť a návrh priorít. Organizácia tak získa konkrétny plán, čo musí napraviť bezodkladne a ktoré opatrenia môže zavádzať postupne.

Bezpečnostná dokumentácia

Dokumentácia kybernetickej bezpečnosti nemá byť iba súborom všeobecných smerníc uložených v elektronickom priečinku. Musí zodpovedať reálnym procesom organizácie a byť preukázateľne používaná.

Podľa potrieb klienta pripravujeme alebo revidujeme najmä:

politiku kybernetickej bezpečnosti,
bezpečnostnú stratégiu,
metodiku riadenia rizík,
katalóg informačných aktív,
klasifikáciu informácií a systémov,
pravidlá riadenia prístupov,
politiku používania hesiel a autentifikácie,
pravidlá práce na diaľku,
pravidlá používania vlastných zariadení,
politiku zálohovania,
pravidlá aktualizácií a správy zraniteľností,
pravidlá logovania a monitorovania,
plán reakcie na incidenty,
plán kontinuity činností,
plán obnovy informačných systémov,
pravidlá riadenia dodávateľov,
pravidlá bezpečného vývoja a obstarávania,
evidenciu školení a kontrol,
plán interných bezpečnostných auditov.

Jednotlivé dokumenty nastavujeme tak, aby na seba nadväzovali, určovali konkrétne zodpovedné osoby a obsahovali kontrolovateľné povinnosti.

Riadenie kybernetických rizík

Základom kybernetickej bezpečnosti je pravidelné identifikovanie a vyhodnocovanie rizík.

Organizácia by mala vedieť, ktoré systémy a údaje sú pre ňu najdôležitejšie, aké hrozby ich môžu ovplyvniť a aké následky by mohlo mať ich narušenie.

Proces riadenia rizík spravidla zahŕňa:

identifikáciu informačných aktív,
určenie vlastníkov aktív,
identifikáciu hrozieb a zraniteľností,
posúdenie pravdepodobnosti incidentu,
vyhodnotenie možných následkov,
určenie úrovne rizika,
návrh bezpečnostných opatrení,
rozhodnutie o prijatí alebo ošetrení rizika,
pravidelné preskúmanie rizík,
dokumentovanie prijatých rozhodnutí.

Riziková analýza by sa mala aktualizovať najmä pri zavedení nového systému, zmene dodávateľa, presune služieb do cloudu, významnej organizačnej zmene alebo po závažnom kybernetickom incidente.

Zodpovednosť vedenia spoločnosti

NIS2 kladie dôraz na aktívnu úlohu štatutárnych orgánov a vrcholového manažmentu. Kybernetickú bezpečnosť preto nemožno úplne presunúť na interného informatika alebo externého dodávateľa.

Vedenie organizácie by malo:

schvaľovať bezpečnostné opatrenia,
dohliadať na ich zavedenie,
poznať hlavné kybernetické riziká,
zabezpečiť primerané personálne a finančné zdroje,
pravidelne vyhodnocovať stav bezpečnosti,
absolvovať primerané vzdelávanie,
kontrolovať plnenie nápravných opatrení.

Vnútorné dokumenty by mali jednoznačne určovať, ktoré rozhodnutia prijíma vedenie, manažér kybernetickej bezpečnosti, IT oddelenie, vlastníci systémov a ostatní zamestnanci.

Ani využívanie externého poskytovateľa IT služieb nezbavuje organizáciu zodpovednosti za plnenie jej zákonných povinností.

Manažér kybernetickej bezpečnosti

Regulovaná organizácia musí zabezpečiť odborné riadenie kybernetickej bezpečnosti. Túto úlohu môže za stanovených podmienok plniť interná alebo externá osoba.

Manažér kybernetickej bezpečnosti sa spravidla podieľa najmä na:

príprave bezpečnostných politík,
koordinácii riadenia rizík,
kontrole bezpečnostných opatrení,
riešení kybernetických incidentov,
príprave auditov a samohodnotení,
komunikácii s vedením,
vyhodnocovaní zistených nedostatkov,
koordinácii nápravných opatrení,
zvyšovaní bezpečnostného povedomia zamestnancov.

Postavenie manažéra by malo byť nastavené tak, aby mal prístup k potrebným informáciám, mohol nezávisle upozorňovať na nedostatky a pravidelne informoval vedenie organizácie.

Pomáhame pripraviť opis jeho právomocí, zodpovednosti, spôsob reportovania a vzťah k ostatným útvarom spoločnosti.

Bezpečnostné opatrenia

Bezpečnostné opatrenia musia byť primerané rizikám, veľkosti organizácie, významu poskytovaných služieb a možným následkom incidentu.

Môžu zahŕňať najmä:

pravidlá riadenia bezpečnosti,
personálnu bezpečnosť,
riadenie identít a prístupov,
viacfaktorovú autentifikáciu,
segmentáciu sietí,
ochranu koncových zariadení,
šifrovanie údajov a komunikácie,
bezpečné zálohovanie,
pravidelné testovanie obnovy,
správu technických zraniteľností,
bezpečnostné aktualizácie,
monitorovanie prevádzky,
evidenciu bezpečnostných udalostí,
ochranu pred škodlivým kódom,
bezpečný vývoj a obstarávanie systémov,
riadenie zmien,
fyzickú ochranu priestorov,
kontrolu dodávateľov,
reakciu na incidenty,
kontinuitu prevádzky.

Nie každá organizácia musí používať rovnaké technické riešenia. Musí však vedieť vysvetliť a zdokumentovať, prečo sú zvolené opatrenia primerané jej rizikám.

Kybernetické incidenty

Kybernetický incident môže mať podobu útoku ransomvérom, úniku údajov, nedostupnosti služby, napadnutia používateľského účtu, zneužitia zraniteľnosti alebo kompromitácie dodávateľa.

Organizácia musí byť pripravená incident rýchlo identifikovať, obmedziť jeho následky, obnoviť prevádzku a splniť príslušné oznamovacie povinnosti.

Plán reakcie na incident by mal určovať:

kto prijíma prvotné hlásenie,
kto posudzuje závažnosť udalosti,
kto rozhoduje o aktivovaní krízového tímu,
ako sa uchovávajú dôkazy,
ako sa izolujú napadnuté systémy,
kto komunikuje s úradmi,
kto informuje zákazníkov a obchodných partnerov,
ako sa koordinuje technická a právna reakcia,
ako sa dokumentuje priebeh incidentu,
ako sa prijímajú nápravné opatrenia.

Po incidente je potrebné vyhodnotiť jeho príčiny, účinnosť reakcie a potrebu zmeniť existujúce bezpečnostné opatrenia.

Oznamovanie incidentov

Pri významnom kybernetickom incidente môže regulovanému subjektu vzniknúť povinnosť informovať príslušný orgán v zákonom stanovených lehotách.

Oznamovanie môže prebiehať vo viacerých fázach. Organizácia preto potrebuje interný mechanizmus, ktorý umožní rýchlo získať dostupné informácie, predbežne posúdiť význam incidentu a priebežne dopĺňať ďalšie zistenia.

Pomáhame klientom:

určiť, či udalosť spĺňa znaky incidentu,
posúdiť jej možnú závažnosť,
pripraviť prvotné oznámenie,
koordinovať následné hlásenia,
pripraviť záverečnú správu,
komunikovať s príslušnými orgánmi,
zosúladiť hlásenie podľa zákona o kybernetickej bezpečnosti s povinnosťami podľa GDPR alebo iných predpisov.

Incident totiž môže súčasne predstavovať aj porušenie ochrany osobných údajov, prevádzkový výpadok, porušenie zmluvných povinností alebo poistnú udalosť.

Dodávatelia a bezpečnosť dodávateľského reťazca

Mnohé kybernetické incidenty nevzniknú priamo v organizácii, ale u jej externého dodávateľa. Ide najmä o poskytovateľov cloudu, softvéru, hostingu, správy siete, účtovných systémov alebo vzdialenej technickej podpory.

Organizácia by mala pred začatím spolupráce posúdiť bezpečnostnú úroveň dodávateľa a počas trvania zmluvy kontrolovať, či dohodnuté požiadavky plní.

V dodávateľských zmluvách odporúčame upraviť najmä:

minimálne bezpečnostné štandardy,
ochranu údajov a informačných aktív,
používanie subdodávateľov,
prístup k systémom zákazníka,
oznamovanie incidentov,
lehoty na reakciu,
spoluprácu pri vyšetrovaní incidentu,
zálohovanie a obnovu údajov,
dostupnosť služby,
vykonávanie bezpečnostných kontrol,
právo na audit,
odstránenie zraniteľností,
vrátenie a vymazanie údajov,
ukončenie prístupov po skončení spolupráce,
zodpovednosť za spôsobenú škodu.

Zmluvná dokumentácia by mala byť prepojená s interným procesom hodnotenia dodávateľov. Samotné podpísanie bezpečnostnej doložky bez následnej kontroly nemusí byť dostatočné.

Cloudové a externé IT služby

Presun informačných systémov do cloudu môže zvýšiť dostupnosť a bezpečnosť služieb, ale nemení základnú zodpovednosť organizácie za ochranu jej údajov a prevádzky.

Pred využitím cloudovej služby je vhodné preveriť:

umiestnenie údajov,
spôsob šifrovania,
riadenie administrátorských prístupov,
možnosti viacfaktorovej autentifikácie,
dostupnosť bezpečnostných záznamov,
spôsob zálohovania,
obnovu po výpadku,
zapojenie subdodávateľov,
oznamovanie incidentov,
možnosti migrácie k inému dodávateľovi,
podmienky ukončenia služby,
medzinárodné prenosy údajov.

Pri významných službách je potrebné pripraviť aj plán, ako bude organizácia pokračovať v prevádzke pri dlhodobom výpadku alebo ukončení činnosti dodávateľa.

Kontinuita činností a obnova

Cieľom kybernetickej bezpečnosti nie je iba zabrániť incidentu. Organizácia musí byť pripravená pokračovať v poskytovaní najdôležitejších služieb aj v prípade, že časť jej systémov nebude dostupná.

Plán kontinuity činností by mal vychádzať z analýzy dopadov a určiť:

kritické procesy,
nevyhnutné informačné systémy,
maximálnu prijateľnú dobu výpadku,
požadovaný bod obnovy údajov,
náhradné pracovné postupy,
zodpovedné osoby,
komunikačné kanály,
závislosti od dodávateľov,
spôsob obnovy prevádzky,
pravidlá pravidelného testovania.

Plány by sa mali prakticky testovať. Až test ukáže, či sú zálohy skutočne použiteľné, zamestnanci poznajú svoje úlohy a dodávatelia dokážu reagovať v požadovanom čase.

Školenia zamestnancov

Technické opatrenia samy osebe nedokážu odstrániť všetky riziká. Útoky často využívajú nepozornosť, nedostatočné overenie požiadavky alebo neznalosť interných pravidiel.

Zamestnanci by mali vedieť:

rozpoznať podozrivý e-mail,
bezpečne pracovať s heslami,
používať viacfaktorové overenie,
chrániť pracovné zariadenia,
bezpečne pracovať mimo pracoviska,
správne zdieľať citlivé údaje,
overovať neobvyklé platobné požiadavky,
nahlásiť podozrenie na incident,
reagovať pri strate zariadenia,
dodržiavať pravidlá používania externých úložísk a aplikácií.

Školenie by malo zodpovedať pracovnej pozícii. Iné riziká sa týkajú bežného používateľa, iné správcu informačných systémov, finančného oddelenia alebo vrcholového manažmentu.

Audit kybernetickej bezpečnosti

Audit preveruje, či organizácia zaviedla požadované opatrenia a či ich v praxi dodržiava.

Príprava na audit môže zahŕňať:

kontrolu povinnej dokumentácie,
preverenie evidencie aktív,
kontrolu analýzy rizík,
overenie plnenia bezpečnostných opatrení,
kontrolu záznamov o incidentoch,
preverenie školení,
kontrolu dodávateľských zmlúv,
testovanie kontinuity a obnovy,
overenie odstránenia predchádzajúcich nedostatkov,
prípravu podkladov pre audítora.

Po audite je potrebné zistené nedostatky vyhodnotiť, priradiť im zodpovedné osoby a určiť termíny nápravy.

Pomáhame klientom pripraviť plán nápravných opatrení a zdokumentovať jeho postupné plnenie.

Samohodnotenie kybernetickej bezpečnosti

V prípadoch, v ktorých to právna úprava umožňuje, môže organizácia splniť vybrané povinnosti vykonaním samohodnotenia.

Samohodnotenie však nemožno vnímať iba ako administratívne vyplnenie formulára. Uvedené odpovede musia byť podložené dokumentáciou, technickým nastavením a reálnymi procesmi.

Pri samohodnotení pomáhame:

vysvetliť jednotlivé požiadavky,
zhromaždiť potrebné dôkazy,
posúdiť aktuálny stav,
identifikovať chýbajúce opatrenia,
pripraviť nápravný plán,
skontrolovať konzistentnosť odpovedí,
pripraviť organizáciu na prípadnú následnú kontrolu.

Zodpovedná osoba by mala vedieť preukázať, na základe akých podkladov jednotlivé odpovede poskytla.