ISO 27001 in NIS-2: kako podjetja informacijsko varnost postavijo tako, da vzdrži presojo

Uvod: Kibernetska varnost je postala stvar vodstva

Napadi z izsiljevalsko programsko opremo, ogrožene dobavne verige in vsakodnevni valovi lažnega predstavljanja: raven ogroženosti v digitalnem prostoru je dosegla zgodovinski vrh. Hkrati zakonodajalec zateguje vijake. Z evropsko direktivo NIS-2 so se obveznosti glede kibernetske varnosti korenito razširile – in zdaj zadevajo več deset tisoč podjetij, ki se doslej niso razumela kot »kritična infrastruktura«.

Še posebej občutljivo: direktorji bodo ob kršitvah dolžnosti v prihodnje deloma osebno odgovarjali s svojim zasebnim premoženjem.

V tem okolju je mednarodni standard ISO/IEC 27001 za številne organizacije iz zgolj informacijskega statusnega simbola postal eksistenčno zavarovanje. Kako pa se ISO 27001 in NIS-2 dopolnjujeta? In kako vzpostaviti sistem upravljanja informacijske varnosti (ISMS), ki ne obstaja le na papirju, temveč vzdrži tako presojo kot resničnost?

Kaj ureja ISO/IEC 27001?

ISO/IEC 27001 je vodilni svetovni standard za sisteme upravljanja informacijske varnosti. Cilj standarda je varovanje treh temeljnih vrednot informacijske varnosti (tako imenovane triade CIA):

• Confidentiality (zaupnost): Do občutljivih podatkov imajo dostop le pooblaščene osebe.
• Integrity (celovitost): Podatki so pravilni, popolni in zaščiteni pred nepooblaščenim spreminjanjem.
• Availability (razpoložljivost): Sistemi in informacije so na voljo takrat, ko so potrebni.

Odločilno je to: ISO 27001 ni zgolj informacijski standard. Informacijsko varnost obravnava celostno. Sem spadajo fizična varnost (nadzor vstopa), organizacijski procesi (priročniki za izredne razmere, odhod zaposlenih) ter kadrovski ukrepi (usposabljanja za ozaveščanje, varnostne smernice).

ISO 27001 in NIS-2 v neposredni primerjavi

Številna podjetja se sprašujejo: »Če smo certificirani po ISO 27001, ali smo samodejno izpolnili tudi NIS-2?«

Iskren odgovor je: v 80 do 90 odstotkih da.

Direktiva NIS-2 določa zavezujoče minimalne zahteve na področjih, kot so:

• analize tveganj in varnost informacijskih sistemov
• obvladovanje varnostnih incidentov (incident handling), vključno s strogimi roki za prijavo (na primer 24-urno zgodnje opozorilo)
• vzdrževanje poslovanja (neprekinjenost poslovanja in upravljanje varnostnih kopij)
• varnost v dobavni verigi (supply chain security)
• šifriranje in nadzor dostopa

Prav ta področja strukturirano pokriva Annex A standarda ISO/IEC 27001 (v veljavni različici s 93 kontrolami v 4 tematskih sklopih). Kdor izkazuje ISMS po ISO 27001, ki se dejansko uporablja, ima tehnične in organizacijske ukrepe za NIS-2 že dokumentirane, uvedene v delovanje in presojene. Operativno je treba dopolniti le posebne zakonske poti prijave nacionalnim organom.

Vzpostavitev učinkovitega ISMS v 5 korakih

Uspešen ISMS ne nastane čez noč, z jasnim osredotočenjem pa ga je mogoče učinkovito uvesti:

1. Opredelitev področja uporabe (scope)

Natančno določite, katera področja podjetja, lokacije, proizvodi ali storitve naj bodo zajeti v ISMS. Pri številnih ponudnikih informacijskih storitev to sprva vključuje infrastrukturo v oblaku in osrednje aplikacije.

2. Ocena tveganja in obravnava tveganja

Prepoznajte svoje najpomembnejše vrednote (information assets): podatke strank, izvorno kodo, proizvodne načrte. Katere grožnje in ranljivosti obstajajo? Katera tveganja se zmanjšajo s tehničnimi ukrepi (na primer večfaktorsko avtentikacijo, segmentacijo), katera se sprejmejo ali zavarujejo?

3. Izjava o uporabnosti (Statement of Applicability – SoA)

V SoA dokumentirate, katere od 93 kontrol iz Annex A so za vaše podjetje relevantne in kako so bile izvedene. Če so kontrole izključene, mora biti to prepričljivo utemeljeno.

4. Politike in ozaveščenost zaposlenih

Varnost najpogosteje spodleti zaradi človeškega dejavnika. Vzpostavite razumljive politike (čista miza, politike gesel, ravnanje z mobilnimi napravami) ter izvajajte redna usposabljanja in simulirane teste lažnega predstavljanja.

5. Notranja presoja in vodstveni pregled

Preden pride zunanji presojevalec, notranji presojevalci sistem temeljito preverijo. Poslovodstvo ovrednoti kazalnike in odobri vire za izboljšave.

Prednosti certificiranja pri strankah in partnerjih

Neodvisno od zakonskih obveznosti ima ISO 27001 ogromen poslovni vzvod:

• Hitrejši prodajni cikli: Podjetniške stranke pred sklenitvijo pogodbe zahtevajo večstranske varnostne vprašalnike. S priznanim certifikatom ISO 27001 ta napor praviloma v celoti odpade.
• Konkurenčna prednost pri razpisih: Javni naročniki in regulirane panoge (banke, zavarovalnice, avtomobilska industrija) necertificiranih dobaviteljev pogosto sploh ne spustijo v izbor.
• Krepitev kibernetske odpornosti: Strukturiran proces poskrbi, da se varnostne vrzeli zaprejo, preden jih napadalci izkoristijo.

Sklep

ISO 27001 je danes temelj za vsako podjetje, ki digitalno ustvarja vrednost. Nejasne varnostne bojazni spremeni v merljive procese in vodstvo podjetja varuje pred tveganji odgovornosti.

Načrtujete certificiranje ISO 27001?
Na cert-authority.com vas izkušeni strokovni presojevalci pregledno in partnersko spremljajo skozi proces presoje. Preglejte naše cene in pakete.