NIS2 direktyvos įgyvendinimas daugeliui organizacijų pirmiausia asocijuojasi su kibernetiniu saugumu, IT infrastruktūra ir techninėmis apsaugos priemonėmis. Tačiau praktikoje sėkmingas NIS2 reikalavimų įgyvendinimas reikalauja gerokai daugiau nei ugniasienės, antivirusinės programos ar daugiafaktorė autentifikacija.
NIS2 reikalavimai apima organizacinį valdymą, rizikų vertinimą, incidentų valdymą, tiekimo grandinės priežiūrą, veiklos tęstinumą ir vadovybės atsakomybę. Būtent šiose srityse reikšmingą pridėtinę vertę gali sukurti išorinis duomenų apsaugos pareigūnas (DPO).
Nors DPO nėra kibernetinio saugumo inžinierius, jo kompetencijos dažnai natūraliai persidengia su daugeliu NIS2 reikalavimų.
NIS2 nėra vien IT projektas
Viena dažniausių klaidų – NIS2 įgyvendinimą laikyti išskirtinai IT skyriaus atsakomybe.
Praktika rodo, kad organizacijos susiduria ne tiek su technologiniais iššūkiais, kiek su valdymo klausimais:
-
Kas atsakingas už informacijos saugumą?
Ar organizacija turi dokumentuotą rizikų valdymo procesą?
Kaip vertinami kritiniai tiekėjai?
Kaip registruojami ir analizuojami incidentai?
Ar vadovybė reguliariai vertina kibernetines rizikas?
Būtent šiose srityse išorinis duomenų apsaugos pareigūnas dažnai gali tapti svarbiu organizacijos partneriu.
Rizikų valdymas – viena stipriausių DPO kompetencijų sričių
BDAR reikalavimai jau daugelį metų organizacijas įpareigoja vertinti rizikas, dokumentuoti jų poveikį ir parinkti tinkamas apsaugos priemones.
Todėl patyręs DPO paprastai turi praktinės patirties:
-
atliekant rizikų vertinimus;
rengiant poveikio duomenų apsaugai vertinimus (PDAV);
kuriant rizikų registrus;
vertinant kontrolės priemonių pakankamumą;
teikiant rekomendacijas vadovybei dėl rizikų mažinimo.
NIS2 reikalavimai taip pat grindžiami rizikomis, todėl DPO gali padėti sukurti arba tobulinti organizacijos rizikų valdymo procesus.
Incidentų valdymas – natūrali sąsaja tarp BDAR ir NIS2
Kibernetinio saugumo incidentų valdymas yra viena pagrindinių NIS2 sričių.
Tuo pačiu duomenų apsaugos pareigūnai jau dabar dažnai koordinuoja:
-
asmens duomenų saugumo pažeidimų vertinimą;
incidentų registrų tvarkymą;
pranešimus priežiūros institucijoms;
incidentų analizę ir prevencines priemones.
Dėl šios priežasties išorinis DPO gali padėti organizacijai sukurti vientisą incidentų valdymo modelį, kuris atitiktų tiek BDAR, tiek NIS2 reikalavimus.
Tiekimo grandinės ir tiekėjų priežiūra
Vienas iš dažniausiai pamirštamų NIS2 aspektų yra tiekimo grandinės saugumas.
Šiuolaikinės organizacijos priklauso nuo:
-
debesijos paslaugų teikėjų;
IT priežiūros partnerių;
programinės įrangos tiekėjų;
duomenų centrų;
išorinių paslaugų teikėjų.
DPO kasdienėje veikloje jau dirba su subtvarkytojų vertinimu, duomenų tvarkymo sutartimis ir trečiųjų šalių rizikomis. Todėl jis gali prisidėti prie tiekėjų vertinimo procesų, saugumo klausimynų rengimo bei sutartinių saugumo reikalavimų peržiūros.
Politikos, procedūros ir atitikties dokumentacija
Daugelyje organizacijų didelė dalis NIS2 projekto prasideda nuo dokumentacijos.
Išorinis duomenų apsaugos pareigūnas gali padėti rengiant ir peržiūrint:
-
informacijos saugumo politikas;
incidentų valdymo procedūras;
prieigų valdymo taisykles;
darbuotojų saugumo instrukcijas;
tiekėjų vertinimo procedūras;
rizikų valdymo dokumentaciją.
Tai leidžia užtikrinti, kad organizacijoje būtų kuriama ne pavienių dokumentų kolekcija, o tarpusavyje suderinta valdymo sistema. Pavyzdžiui, Allaw ekspertai, peržiūrėdami kibernetinės saugos specialistų parengtus NIS2 dokumentų rinkinius, pastebi pasikartojančias spragas:
- Duomenų apsaugos pareigūnas „dingsta” – kibernetinio saugumo dokumentuose apibrėžiamos atsakomybės direktoriui, saugos įgaliotiniui, administratoriams, tačiau DAP vaidmuo rizikų valdyme tiesiog nepaminėtas, nors dalis rizikų tiesiogiai susijusios su asmens duomenimis.
- Rizikų metodikos nesiderina tarpusavyje – kibernetinės saugos tvarka naudoja vieną rizikos matricą, o organizacija jau turi pasitvirtinusi kitokią. Kaip vienos vertinimo rezultatus perkelti į kitą – niekas neaprašo.
- Incidentų valdymo planuose BDAR lieka „šalia” – numatyta, kad incidentą, susijusį su asmens duomenimis, „perduosime DAP”, tačiau konkretaus proceso – terminų, pranešimo kriterijų, atsakomybių – nėra.
- Tiekėjų rizika vertinama tik teoriškai – dokumentuose yra bendra eilutė apie tiekėjų riziką, tačiau konkrečios organizacijos duomenų saugojimo vietos ir partneriai neidentifikuoti.
- Stebėsena be proporcingumo – žurnalinių įrašų tvarkymas apibrėžiamas plačiai, neįvertinant, kad loguose neišvengiamai kaupiami ir asmens duomenys, kuriems reikia atskiro teisinio pagrindo.
Būtent todėl išorinis DAP, dalyvaudamas NIS2 projekte nuo pat pradžių, padeda užtikrinti, kad kibernetinio saugumo ir asmens duomenų apsaugos dokumentai veiktų kaip vientisa sistema, o ne dvi atskiros „bylos”.
Vadovybės konsultavimas ir atsakomybės klausimai
NIS2 direktyva ypatingą dėmesį skiria organizacijos vadovybės atsakomybei. Praktikoje vadovams dažnai kyla klausimų:
-
kokie NIS2 reikalavimai taikomi organizacijai;
kokios yra pagrindinės rizikos;
kokių veiksmų reikia imtis pirmiausia;
kaip paskirstyti atsakomybes organizacijos viduje.
Išorinis duomenų apsaugos pareigūnas gali padėti vadovybei suprasti teisinio reguliavimo reikalavimus, nustatyti prioritetus ir koordinuoti atitikties veiksmų planą.
Ko išorinis DPO nepakeis
Svarbu suprasti, kad išorinis duomenų apsaugos pareigūnas nepakeičia kibernetinio saugumo specialistų.
Tokios sritys kaip:
-
pažeidžiamumų skenavimas;
penetraciniai testai;
SIEM ir SOC sprendimai;
tinklų architektūra;
techninis saugumo monitoringas
paprastai reikalauja specializuotų IT saugumo kompetencijų.
Tačiau būtent DPO gali padėti užtikrinti, kad technologinės priemonės būtų integruotos į organizacijos valdymo, rizikų ir atitikties sistemą.
Išvada
NIS2 reikalavimų įgyvendinimas nėra vien technologinis projektas. Sėkmingam pasirengimui būtinas organizacinis požiūris, apimantis rizikų valdymą, incidentų procesus, tiekėjų priežiūrą, dokumentaciją ir vadovybės įsitraukimą.
Todėl išorinis duomenų apsaugos pareigūnas gali tapti svarbiu partneriu organizacijoms, siekiančioms ne tik formaliai atitikti NIS2 reikalavimus, bet ir sukurti veikiančią bei tvarią kibernetinio saugumo valdymo sistemą.
Nors DPO nepakeičia IT saugumo ekspertų, jo kompetencijos dažnai tampa jungiamąja grandimi tarp teisinių, organizacinių ir praktinių NIS2 įgyvendinimo aspektų.