Jei jūsų įmonė gavo raštą iš Nacionalinio kibernetinio saugumo centro arba klientas paprašė patvirtinti, kad atitinkate TIS2 reikalavimus, greičiausiai pirmas klausimas buvo paprastas: ar tai apskritai mums taikoma? Antras klausimas dažniausiai sunkesnis: ką konkrečiai reikia turėti, kad galėtume tai įrodyti.
TIS2 – tai Europos Sąjungos NIS2 direktyvos perkėlimas į Lietuvos Kibernetinio saugumo įstatymą. Skirtingai nei ankstesnis reguliavimas, kuris lietė palyginti siaurą ratą operatorių, dabar į sąrašą patenka daug vidutinių ir net nedidelių įmonių, kurios iki šiol apie kibernetinį saugumą galvojo kaip apie antivirusinę ir slaptažodžius.
Šiame straipsnyje aiškiai, be teisinės kalbos, apžvelgsime, kam reikalavimai taikomi, ką jie apima praktiškai ir kokių dokumentų reikia. Pabaigoje – nuo ko pradėti, jei šiandien neturite nieko.
Kam TIS2 taikoma: esminiai ir svarbūs subjektai
Įstatymas subjektus skirsto į dvi grupes: esminius ir svarbius. Skirtumas – ne reikalavimų turinyje, o priežiūros griežtume ir sankcijų dydyje. Esminiai subjektai prižiūrimi aktyviai, svarbūs – daugiausia po incidento ar skundo.
Į kurią grupę patenkate, lemia du dalykai: sektorius ir įmonės dydis. Bendrai sektoriai skirstomi taip:
- Ypatingos svarbos sektoriai: energetika, transportas, bankai ir finansų rinkų infrastruktūra, sveikatos priežiūra, geriamasis vanduo ir nuotekos, skaitmeninė infrastruktūra (duomenų centrai, debesijos tiekėjai, DNS, elektroninių ryšių tinklai), IKT paslaugų valdymas (valdomų paslaugų ir valdomų saugumo paslaugų tiekėjai), viešasis administravimas, kosmosas.
- Kiti svarbūs sektoriai: pašto ir kurjerių paslaugos, atliekų tvarkymas, chemijos pramonė, maisto gamyba ir platinimas, įvairi gamyba (medicinos prietaisai, elektronika, transporto priemonės, mašinos), skaitmeninių paslaugų tiekėjai (prekyvietės, paieškos sistemos, socialiniai tinklai), moksliniai tyrimai.
Dydžio riba dažniausiai – vidutinė įmonė, tai yra nuo 50 darbuotojų arba nuo tam tikros metinės apyvartos. Tačiau yra išimčių: kai kurie subjektai (pavyzdžiui, elektroninių ryšių ar patikimumo užtikrinimo paslaugų tiekėjai) patenka nepriklausomai nuo dydžio, o institucija gali įtraukti ir mažesnę įmonę, jei ji vienintelė teikia svarbią paslaugą regione.
Mūsų praktikoje dažniausias atvejis – gamybos, logistikos ar sveikatos priežiūros įmonė su 60–200 darbuotojų, kuri apie TIS2 sužino iš kliento klausimyno. Jei tai jūs, labai tikėtina, kad esate svarbus subjektas.
Ko reikalaujama praktiškai
Įstatymas nenurodo konkrečių technologijų. Jis reikalauja, kad įmonė valdytų kibernetinio saugumo rizikas proporcingai savo dydžiui ir grėsmėms. Praktiškai tai reiškia penkias sritis.
Rizikos valdymas
Turite žinoti, kokias sistemas naudojate, kokie duomenys jose, kas joms gresia ir ką darote, kad grėsmės nesirealizuotų. Tai įforminama rizikų registru ir saugumo politikomis: prieigos valdymo, slaptažodžių ir daugiapakopės autentifikacijos, atnaujinimų, tinklo segmentavimo, kriptografijos naudojimo. Rizikų vertinimas – tai pirmas darbas, nuo kurio priklauso visi kiti.
Incidentų valdymas ir pranešimas
Reikia turėti procedūrą, kaip incidentas atpažįstamas, kas už jį atsakingas ir kaip apie jį pranešama. Pranešimo terminai griežti: pirminis įspėjimas Nacionaliniam kibernetinio saugumo centrui per 24 valandas nuo sužinojimo apie reikšmingą incidentą, išsamesnis pranešimas per 72 valandas ir galutinė ataskaita per mėnesį. Be iš anksto paruošto plano šių terminų laikytis beveik neįmanoma.
Tiekimo grandinės saugumas
Jūsų atsakomybė neapsiriboja savo serveriais. Jei apskaita veikia pas debesijos tiekėją, o IT prižiūri išorinė įmonė, privalote įvertinti jų saugumą ir tai įtvirtinti sutartyse. Tai reiškia tiekėjų sąrašą, jų rizikos įvertinimą ir sutarčių sąlygas dėl saugumo, incidentų pranešimo ir audito teisės.
Atsarginės kopijos ir veiklos tęstinumas
Įmonė privalo gebėti atkurti veiklą po incidento. Tam reikia kopijų, kurios saugomos atskirai nuo pagrindinės infrastruktūros, ir išbandyto atstatymo plano. Kopija, kurios niekas niekada neatkūrė, dokumentuose vertės neturi. Čia dažnai siūlome slaptąsias rezervines kopijas – nekeičiamas ir iš tinklo nematomas, nes būtent jos atlaiko išpirkos reikalaujančių programų atakas.
Vadovų atsakomybė
Tai naujas ir daugeliui netikėtas elementas. Vadovybė privalo patvirtinti rizikos valdymo priemones, prižiūrėti jų įgyvendinimą ir dalyvauti mokymuose. Už pažeidimus gali būti taikoma asmeninė atsakomybė. Praktiškai tai reiškia, kad saugumo klausimai turi atsirasti valdybos ar vadovų posėdžių darbotvarkėje, o sprendimai – protokoluose.
Kokius dokumentus reikia turėti
Patikros metu ar atsakant į kliento klausimyną prašoma ne pasakojimų, o dokumentų. Minimalus rinkinys, kurį rekomenduojame turėti kiekvienam subjektui:
- Informacijos saugumo politika, patvirtinta vadovo.
- Turto (sistemų, įrenginių, duomenų) registras.
- Rizikų vertinimo ataskaita ir rizikų registras su atsakingais asmenimis ir terminais.
- Prieigos valdymo politika ir prieigos teisių peržiūros įrašai.
- Incidentų valdymo procedūra su pranešimo šablonais ir kontaktais.
- Incidentų žurnalas (net jei jis kol kas tuščias).
- Atsarginių kopijų politika ir atstatymo testų protokolai.
- Veiklos tęstinumo planas.
- Tiekėjų sąrašas, jų rizikos vertinimas ir sutarčių saugumo priedai.
- Atnaujinimų ir pažeidžiamumų valdymo procedūra.
- Darbuotojų mokymų ir vadovybės mokymų įrašai.
- Vadovybės sprendimai (protokolai), kuriais patvirtintos priemonės.
Dokumentų nereikia šimto puslapių. Geriau dešimt trumpų, kuriais iš tikrųjų vadovaujamasi, nei vienas storas aplankas, kurio niekas neskaitė.
Atskirai verta paminėti registraciją. Subjektai privalo užsiregistruoti Nacionalinio kibernetinio saugumo centro tvarkomame sąraše ir pateikti kontaktinius duomenis, kuriais bus siunčiami įspėjimai ir į kuriuos kreipsis institucija po incidento. Tai paprastas žingsnis, bet jo neatlikus visa kita atrodo nepradėta. Taip pat paskirkite asmenį, atsakingą už kibernetinį saugumą, ir įforminkite tai įsakymu – institucija klaus būtent jo.
Dažniausios klaidos, kurias matome
Pirma – pradėti nuo dokumentų, o ne nuo tikrovės. Nusirašyta politika, kurioje teigiama, kad visur veikia daugiapakopė autentifikacija, nors ji įjungta tik el. paštui, patikros metu pakenks labiau nei jos nebuvimas.
Antra – manyti, kad IT tiekėjas atitiktį „užtikrins“ už jus. Tiekėjas gali sutvarkyti techninę dalį ir paruošti dokumentus, bet atsakomybė, sprendimai ir vadovybės įsitraukimas lieka įmonėje.
Trečia – pamiršti incidentų pranešimo terminus. Įmonė turi puikią apsaugą, bet kai įvyksta incidentas, niekas nežino, kas ir kur turi pranešti per 24 valandas.
Nuo ko pradėti
Jei šiandien turite tik antivirusinę ir gerą norą, realistiškas kelias atrodo taip:
- Nustatykite, ar esate subjektas ir kokios grupės. Jei abejojate, geriau pasitikrinti, nei sužinoti iš institucijos.
- Atlikite rizikų vertinimą ir turto inventorizaciją. Tai sukuria pagrindą visiems kitiems dokumentams ir parodo, kur tikrai spragos.
- Sutvarkykite techninius pagrindus: daugiapakopę autentifikaciją, galinių įrenginių apsaugą, atskirai saugomas kopijas, atnaujinimų procesą.
- Parenkite incidentų valdymo procedūrą ir išbandykite ją „ant popieriaus“ su vadovybe.
- Įtvirtinkite vadovybės įsitraukimą: patvirtinkite politikas, suplanuokite mokymus, įtraukite saugumą į posėdžių darbotvarkę.
Visą šį kelią galime nueiti kartu. TIS2 atitikties paslauga apima subjekto statuso įvertinimą, rizikų vertinimą, dokumentų paruošimą ir techninių priemonių įgyvendinimą, o jei reikia nuolatinio saugumo vadovo be etato – CISO paslauga užtikrina, kad dokumentai liktų gyvi ir po patikros. Mūsų komanda turi galiojančius ISACA sertifikatus, o paslaugas teikiame dirbdami pagal ISO 27001 reikalavimus, todėl žinome, ko klausia auditoriai ir ką jie tikrina pirmiausia.
