Kako izvajati ukrepe kibernetske varnosti NIS 2: Preslikava z ISO 27001
Če morate biti skladni z NIS 2, se morda sprašujete, kako to storiti. Direktiva opisuje, kaj morate doseči, vendar ne daje navodil, kako to storiti.
Eden najboljših načinov za reševanje te naloge skladnosti je sledenje uveljavljenemu okviru kibernetske varnosti. V tem članku bom raziskal, ali lahko ISO 27001, vodilni mednarodni standard kibernetske varnosti, pomaga pri izpolnjevanju teh zahtev.
ISO 27001 lahko pokrije večino zahtev kibernetske varnosti iz NIS 2, razen poročanja o incidentih.
Katere zahteve glede kibernetske varnosti in poročanja so v NIS 2?
Poglejmo, kaj morajo podjetja izvajati. Zanimivo je, da so samo trije členi v celotni direktivi NIS 2 še posebej pomembni za bistvene in pomembne organizacije, ki morajo postati skladne.
20. člen – Upravljanje
21. člen – Ukrepi za obvladovanje tveganja kibernetske varnosti
23. člen – Obveznosti poročanja
Vsi ostali členi NIS 2 so v bistvu namenjeni državnim organom, ki morajo uveljaviti NIS 2.
V spodnji tabeli boste našli podrobno razčlenitev zahtev iz 20. in 21. člena.
Ali je ISO 27001 ustrezen za NIS 2?
Čeprav NIS 2 izrecno ne omenja ISO 27001, spodbuja uporabo »ustreznih evropskih in mednarodnih standardov«. Poleg tega preambula NIS 2 predlaga uporabo serije standardov ISO/IEC 27000 za izvajanje ukrepov kibernetske varnosti.
ISO 27001 dobro ceni ENISA, Agencija Evropske unije za kibernetsko varnost:
Orodje ENISA za preslikavo: ENISA je razvila orodje, ki preslika klavzule in kontrole ISO 27001 v prvotne zahteve direktive NIS (predhodnik NIS 2).
Poročilo iz leta 2017: ENISA je v poročilu »Mapping of OES Security Requirements to Specific Sectors« opredelila ISO 27001 kot standard, ki ga operaterji bistvenih storitev (OES) najpogosteje upoštevajo in morajo biti v skladu s staro direktivo NIS.
Poročilo 2021: Poročilo »NIS Investments« ugotavlja, da je večina organizacij (51.1%), ki izpolnjujejo staro direktivo NIS, certificirala svoje sisteme in procese na podlagi certifikata ISO 27001.
Glede na te točke, skupaj z globalno sprejetostjo ISO 27001 kot standarda ISO in njegovega pomena v seriji ISO 27000, je ISO 27001 logična izbira za doseganje skladnosti z NIS 2.
Zemljevid člankov NIS 2 s klavzulami in kontrolami ISO 27001
ISO 27001 in NIS 2: Pokritost in implementacija
Od 26 zahtev kibernetske varnosti, ki jih določa NIS 2, lahko ISO 27001 obravnava 25. Edina izjema je krizno upravljanje, ki ga ISO 27001 ne pokriva v celoti.
Obravnava obveznosti poročanja
23. člen NIS 2 določa posebne zahteve za poročanje, ki jih ni mogoče v celoti obravnavati z uporabo standarda ISO 27001.
Uporaba ISO 27001 za skladnost z NIS 2
Na podlagi preslikave so tukaj naslednji koraki, ki jih je mogoče izvesti z uporabo ISO 27001:
- Izvedite začetno usposabljanje
- Napišite politiko na najvišji ravni o varnosti informacijskega sistema
- Določite metodologijo upravljanja tveganj
- Izvedite oceno tveganja in zdravljenje
- Napišite in potrdite načrt obravnave tveganja
- Izvajati ukrepe kibernetske varnosti
- Vzpostavite varnost dobavne verige
- Vzpostavite oceno učinkovitosti kibernetske varnosti
- Vzpostavite stalno usposabljanje za kibernetsko varnost
- Izvajati redne notranje revizije
- Izvedite redne vodstvene preglede
- Izvedite korektivne ukrepe
Koraka 1 in 2 tukaj nista navedena, ker se osredotočata na vodenje projekta. 11. korak, »Nastavitev obvestil o dogodkih«, je izključen zaradi razlogov, o katerih smo govorili prej.
Zaključek: NIS 2 proti ISO 27001
Če povzamemo, kako se lahko ISO 27001 uporablja za skladnost z NIS 2:
- ISO 27001 lahko obravnava večino zahtev kibernetske varnosti iz NIS 2, razen za poročanje o incidentih.
- 12 od 15 korakov implementacije je mogoče doseči z uporabo ISO 27001.
To je močna usklajenost, ki kaže, da je ISO 27001 zanesljiva izbira za skladnost z NIS 2, zlasti glede na to, da NIS 2 in ENISA spodbujata uporabo uveljavljenih standardov kibernetske varnosti.
