Tíz fókuszterület rajzolódik ki NIS2 audit után a hazai gyakorlatban

Összefoglaló

• Egységesen 10 kulcsfeladatra fókuszálunk a NIS2 „audit” utáni megvalósításban.

• Az irányítási keret és a dokumentáció összevonva jelenik meg, hogy elkerüljük az elemek számának szétesését és az átfedéseket.

• A beszállítói kockázatkezelés, az incidenskezelés és a naplózás/monitorozás a legtöbb szervezetnél kiemelt figyelmet kap.

• A megfelelés fenntartása nem egyszeri projekt, hanem folyamatos működési feladat, amelyhez felelősök, mérőszámok és vezetői nyomon követés szükséges.

BUDAPEST, október 3. (DIG-IT) – A „NIS2 audit” kifejezést a piacon gyakran használják a megfelelőségi ellenőrzésekre. Jelen összefoglalóban a kifejezés alatt a hazai implementáció szerinti megfelelőségi értékeléseket és ellenőrzéseket értjük. A cél a gyakorlatban hasznosítható fókuszterületek kijelölése, amelyek mentén a feltárt hiányosságok rendezhetők és a bizonyítható megfelelés erősíthető. Az alábbi 10 pont a megvalósítás kockázat-alapú, üzleti szempontokat is figyelembe vevő megközelítését támogatja a magyar vállalatoknál – különös tekintettel az ellátási láncokra és a kritikus folyamatokra.

A megfelelőségi vizsgálat lezárása sok szervezet számára nem a munka végét, hanem egy új végrehajtási szakasz kezdetét jelenti. A megállapításokat konkrét intézkedésekké kell alakítani, majd úgy beépíteni a napi működésbe, hogy azok hosszabb távon is fenntarthatók és ellenőrizhetők legyenek. A hangsúly ezért nem kizárólag a dokumentumok meglétén, hanem a kontrollok tényleges működésén és annak bizonyíthatóságán van.

A NIS2 „audit” utáni 10 fókuszterület

1) Kockázat-alapú intézkedési terv

A vizsgálat megállapításai alapján készült, priorizált intézkedési terv rögzíti a teendőket, felelősöket és mérföldköveket. A terv az üzleti hatás és a kockázati szint alapján súlyoz, és számol a függőségekkel, üzemeltetési ablakokkal és az erőforrás-korlátokkal.

A gyakorlatban célszerű elkülöníteni az azonnali, rövid távú és strukturális intézkedéseket. Hasznos, ha minden megállapításhoz kockázati besorolás, céldátum, felelős, erőforrásigény és elfogadási kritérium tartozik. Így a lista vezetői döntéstámogató eszközzé válik: látható, mely hiányosság milyen üzleti szolgáltatást érint, és milyen fennmaradó kockázatot jelent egy esetleges késedelem.

2) Irányítás és dokumentáció (governance és bizonyítékkezelés)

Az irányítási keret tisztázza a szerepköröket, döntési fórumokat és a rendszeres riportálás rendjét. Ezzel együtt célszerű egységesíteni a dokumentációt és a megfelelőségi bizonyítékok – evidence – kezelését, hogy a kontrollok teljesülése átláthatóan és visszakereshetően igazolható legyen.

Fontos meghatározni, ki felel a kiberbiztonsági döntésekért, ki hagyhat jóvá kockázatelfogadást, és milyen gyakran kerülnek a releváns mutatók vezetői fórum elé. A dokumentáció esetében nem a mennyiség, hanem az aktualitás, a konzisztencia és a bizonyító erő a meghatározó. A szabályzatok, jegyzőkönyvek, riportok, teszteredmények és jóváhagyások rendezett kezelése jelentősen egyszerűsítheti a következő ellenőrzést.

3) Szabályzatok és minimális kontrollok korszerűsítése

A kulcspolitikák és alapkontrollok – például jogosultságkezelés, többtényezős hozzáférés, változáskezelés vagy biztonságos konfiguráció – rendezése az auditleletekhez igazítva történik. A cél a szükséges minimum következetes elérése, a túlzott bonyolítás elkerülésével.

A szabályzatok felülvizsgálatakor azt is ellenőrizni kell, hogy az előírás és a tényleges működés összhangban van-e. Célszerű olyan kontrollokat meghatározni, amelyekhez felelős, ellenőrzési gyakoriság és mérhető teljesítési feltétel rendelhető. A kivételeket dokumentált, időben korlátozott és jóváhagyott eltéréskezeléssel érdemes kezelni, különösen a kritikus rendszereknél.

4) Eszköz- és szolgáltatásleltár, kritikalitás és felelősségek

Pontos, naprakész leltár szükséges az informatikai és – ha releváns – ipari/OT elemekről, üzleti kritikalitással és tulajdonosi felelősségekkel. Ez teremti meg a megalapozott kockázatértékelés és a célzott intézkedések alapját.

A leltárnak nem kizárólag fizikai eszközöket kell tartalmaznia: a felhőszolgáltatások, üzleti alkalmazások, külső platformok, hálózati elemek és szolgáltatói függőségek is a kockázati kép részét képezik. A kritikalitást üzleti hatás alapján célszerű meghatározni: mit jelentene az adott rendszer kiesése a termelésre, ügyfélkiszolgálásra, pénzügyi folyamatokra vagy más kritikus működésre nézve.

5) Sérülékenységkezelés ciklikus működésben

A felderítés, értékelés, javítás és – indokolt esetben – kockázatelfogadás folyamata legyen ismétlődő és mérhető. Az ütemezést egyeztesse az üzemeltetéssel, hogy a változtatások üzembiztonsága megmaradjon.

A sérülékenységkezelés nem merül ki a rendszeres szkennelésben. A technikai súlyosság mellett figyelembe kell venni az érintett eszköz kritikalitását, internetes kitettségét, a kihasználhatóságot és a meglévő kompenzáló kontrollokat. A javítási határidőket érdemes kockázati osztályokhoz kötni, és külön szabályozni azokat az eseteket, amikor egy frissítés üzleti vagy technikai okból nem hajtható végre azonnal.

6) Incidenskezelés: forgatókönyvek, eljárások, próbagyakorlatok

Rögzített eljárásrend, gyakorlati forgatókönyvek és tesztelések – például próbariasztások vagy asztali gyakorlatok – támogatják a gyors és összehangolt reagálást. Fontos a kommunikációs csatornák és az értesítési rend egyeztetése az üzleti döntési pontokkal.

A szervezetnek előre tisztáznia kell, ki minősíti az eseményt, ki aktiválja az incidenskezelési folyamatot, és mikor vonják be a vezetést, a jogi területet, a kommunikációt vagy külső szakértőt. A gyakorlatok során érdemes valós helyzeteket modellezni – például zsarolóvírus-támadást vagy beszállítói kompromittációt –, majd dokumentálni a döntési késedelmeket, hiányzó elérhetőségeket és javítandó pontokat.

7) Üzletmenet-folytonosság és helyreállítás összehangolása

Az üzletmenet-folytonossági – BCM – és katasztrófa-helyreállítási – DR – kereteket célszerű a kiberesemény-forgatókönyvekkel összehangolni. A kritikus folyamatokra és a helyreállítási célokra – idő, adat és prioritás – érdemes fókuszálni, rendszeres teszteléssel.

A mentés megléte önmagában nem elegendő: a visszaállítási tesztek, a mentések sértetlensége, elkülönítése és hozzáférés-védelme legalább ilyen fontos. Kiberincidens esetén ráadásul előfordulhat, hogy egy technikai rendszer elérhető, de biztonsági okból nem használható. A helyreállítási prioritásokat ezért az üzleti és technikai szereplőknek közösen kell kialakítaniuk.

8) Beszállítói és harmadik felek kockázatkezelése

A szerződéses követelmények, az értékelési szempontok és a folyamatos felügyelet rendszerszintű megerősítése szükséges – különösen a kritikus szolgáltatóknál. Célszerű egyértelműsíteni az auditálhatóságot és a teljesülés igazolását szolgáló mechanizmusokat.

Első lépésként célszerű a harmadik feleket kockázat szerint osztályozni. Más ellenőrzés indokolt egy alacsony kockázatú beszállítónál, és más egy felhőszolgáltatónál, üzemeltetési partnernél vagy olyan külső félnél, amely kritikus rendszerhez fér hozzá. A szerződésekben érdemes rendezni a biztonsági minimumokat, az incidensértesítést, az alvállalkozók bevonását, a hozzáférések kezelését és a bizonyítékok rendelkezésre bocsátását.

9) Naplózás, észlelés és monitorozás

A naplózás és a biztonsági észlelés lefedettségének bővítése javítja a vizsgálhatóságot és az utólagos visszakereshetőséget. A megőrzési időket és a bizonyíthatósági szempontokat érdemes előre rögzíteni, hogy a későbbi ellenőrzésekhez rendelkezésre álljanak a szükséges adatok.

A cél nem minden esemény korlátlan gyűjtése, hanem a kritikus rendszerekből és biztonsági szempontból releváns forrásokból származó megfelelő minőségű naplóadat. Kiemelt terület lehet a privilegizált hozzáférések, az azonosítási események, a hálózati biztonsági eszközök és a felhőkörnyezetek monitorozása. Az eredményesség mérhető például az észlelési lefedettséggel és a kritikus riasztások kivizsgálási idejével.

10) Képzés és tudatosság célzottan

A vezetők, kulcsszerepkörök és végfelhasználók számára célzott programok segítenek az emberi tényezőből fakadó kockázatok mérséklésében. A szociális manipuláció, a hozzáférésbiztonság és az incidenskészség hangsúlyos gyakorlati témák lehetnek.

Az általános éves e-learning mellett érdemes szerepkör-alapú megközelítést alkalmazni. Más felkészítés szükséges egy vezetőnek, rendszergazdának, fejlesztőnek, beszerzőnek vagy ügyfélszolgálati munkatársnak. A tudatosság mérhető is: ilyen mutató lehet a gyanús események bejelentési aránya, a szimulációk eredménye vagy az, hogy a kulcsszerepkörök ismerik-e az incidens esetén követendő első lépéseket.

Végrehajtás és nyomon követés

A végrehajtás során érdemes rendszeres státuszriportokkal és helyszíni ellenőrzésekkel dolgozni, különös tekintettel a legmagasabb kockázatú területekre. A kockázati döntések – például ideiglenes kockázatelfogadások – indoklásának és lejáratának dokumentálása segíti a követhetőséget és a megújuló ellenőrzésekre való felkészülést.

A vezetői riportálás akkor ad valós képet, ha nemcsak azt mutatja, hány feladat zárult le, hanem azt is, hogyan változik a fennmaradó kockázat. Hasznos mérőszám lehet a kritikus megállapítások száma, a határidőn túli intézkedések aránya, a sérülékenység-javítási idő, a helyreállítási tesztek eredménye, a kritikus beszállítók felülvizsgálati státusza vagy a naplózási lefedettség.

Egy intézkedés attól még nem feltétlenül tekinthető lezártnak, hogy elkészült hozzá egy szabályzat vagy technikai konfiguráció. Érdemes igazolni azt is, hogy a változtatást bevezették, tesztelték, dokumentálták, a felelősök ismerik, és a kontroll működéséről később is előállítható bizonyíték.

Háttér és megközelítés

A megfelelőség nem egyszeri célállapot, hanem ciklikus folyamat: értékelés, intézkedés, bizonyítás és felülvizsgálat. A fenti 10 terület egymást erősítve, kockázat-alapon támogatja a szervezetek kiber-ellenállóképességének növelését.

A fenntartható megközelítés lényege, hogy a követelmények ne külön „compliance projektként” működjenek, hanem beépüljenek az IT-üzemeltetés, a beszerzés, a projektmenedzsment, a változáskezelés, az incidenskezelés és a vezetői riportálás mindennapi folyamataiba. Így a megfelelőség nem párhuzamos adminisztrációvá, hanem a működési kockázatkezelés részévé válhat.

A következő időszak egyik kulcskérdése ezért nem pusztán az lesz, hogy egy szervezet rendelkezik-e a szükséges szabályzatokkal és kontrollokkal, hanem az is, hogy képes-e azok működését következetesen és visszakereshetően bizonyítani. Ebben a vezetői felelősség, a technikai kontrollok és a megfelelő dokumentáció egyaránt meghatározó.

A cikk nem minősül jogi tanácsadásnak; a részletek és a követelmények értelmezéséhez minden szervezetnek a saját működési környezetére, kockázataira és a hatályos hazai előírásokra kell támaszkodnia.