90 dni. To je čas, ki ga imate, če morate nujno začeti s pripravami na ZInfV-1 in trenutno nimate niti osnovnega pregleda stanja.
To ni dovolj za celotno transformacijo — za dosledno vzpostavitev vseh zahtevanih kontrol običajno potrebujete 12 do 18 mesecev, odvisno od izhodiščnega stanja in velikosti organizacije. V 90 dneh pa lahko postavite temelje: dobite jasno sliko, kje ste, kaj manjka in kaj je treba narediti najprej. To je pomembno tako za organizacije, ki so tik pred rokom, kot za tiste, ki so status zavezanca šele odkrile.
Načrt spodaj je namenjen predvsem IT vodjem in vodstvu manjših do srednjih organizacij, ki nimajo namenske varnostne ekipe in morajo ukrepati hitro, ne pa na hitro in površno.
90-dnevni načrt
Mesec 1: ocena stanja (tedni 1-4)
Prvi mesec ni namenjen ukrepanju, temveč razumevanju, kje organizacija dejansko stoji. Napaka, ki jo delajo mnoge organizacije, je, da začnejo kupovati orodja ali pisati politike, še preden vedo, kateri sistemi so kritični in kdo je zanje odgovoren.
- ☐ Analiza vrzeli — primerjava trenutnega stanja z zahtevami ZInfV-1, da veste, kje ste zdaj
- ☐ Dokumentirajte IT infrastrukturo — popis sistemov, aplikacij, dobaviteljev in podatkovnih tokov, ki jih imate
- ☐ Prepoznajte kritične sisteme — določite, kateri sistemi in procesi so za poslovanje najpomembnejši
- ☐ Sestavite ekipo — imenujte, kdo je odgovoren za posamezno področje (IT, vodstvo, po potrebi pravna služba)
Mesec 2: načrtovanje (tedni 5-8)
Drugi mesec spremeni ugotovitve prvega meseca v konkreten načrt. Cilj ni popolna dokumentacija, ampak dovolj jasen okvir, da lahko tretji mesec preidete k dejanski izvedbi brez improviziranja.
- ☐ Pripravite varnostno politiko — osnovni dokument, ki opredeli odgovornosti in temeljna pravila
- ☐ Načrt odzivanja na incidente — kdo je obveščen, v kakšnem roku in kako poteka eskalacija
- ☐ Seznam potreb po MFA — kje je večfaktorska avtentikacija najbolj nujna (skrbniški dostopi, oddaljen dostop)
- ☐ Proračun — ocena, koliko bo stala prva faza in kaj je treba predvideti za naslednje mesece
Mesec 3: začetek izvedbe (tedni 9-12)
Tretji mesec je namenjen izvedbi ukrepov, ki imajo največji vpliv na tveganje v najkrajšem času. Ne gre za dokončanje vsega, ampak za to, da so najpomembnejše vrzeli zaprte in da je vzpostavljen sistem za nadaljnje delo.
- ☐ MFA — začnite z administratorji in skrbniškimi računi, nato širite na preostale uporabnike
- ☐ Varnostno kopiranje — vzpostavite ali preverite samodejne sisteme varnostnega kopiranja
- ☐ Upravljanje popravkov — vzpostavite načrt rednih posodobitev sistemov in aplikacij
- ☐ Usposabljanje — izvedite osnovno varnostno usposabljanje za vse zaposlene
Po 90 dneh bi morali vedeti
- ✓ Kje ste glede na zahteve ZInfV-1 — jasen seznam, kaj je urejeno in kaj še ne, ne le občutek
- ✓ Kaj morate storiti — prednostni seznam ukrepov, razvrščen po tveganju
- ✓ Koliko bo stalo — okvirni proračun za naslednje mesece in leta, ne končna številka, a dovolj za odločanje
- ✓ Kakšna je časovnica — realna ocena, kdaj boste dosegli polno skladnost
Kaj lahko naredite sami
Velik del prvega meseca lahko organizacija opravi sama, brez zunanje pomoči: popis sistemov, seznam dobaviteljev, pregled obstoječih uporabniških pravic in zbiranje že obstoječe dokumentacije. To ne zahteva posebnega orodja, zahteva pa čas in sodelovanje med IT in vodstvom.
Kdaj je smiselna zunanja pomoč
Zunanja pomoč je najbolj smiselna takrat, ko organizacija nima izkušenj s tem, katere vrzeli so pri ZInfV-1 dejansko kritične, ali ko je rok že blizu in ni časa za metodo poskusov in napak. Neodvisna GAP analiza v takem primeru pogosto prihrani več časa, kot ga porabi, ker prepreči, da bi se prve tedne porabilo za napačne prioritete.
Pogosta vprašanja
Ali je 90 dni realen rok za polno skladnost?
Ne za polno skladnost, ampak za vzpostavitev temeljev in jasne slike stanja. Polna skladnost pri večini organizacij zahteva več mesecev dodatnega dela po tem obdobju.
Kaj, če v 90 dneh ne uspemo vsega narediti po načrtu?
Pomembneje je, da so narejeni pravi koraki v pravem vrstnem redu, kot da je vse dokončano v roku. Dokumentiran napredek in jasne prioritete štejejo več kot naglica.
Ali moramo najprej kupiti varnostna orodja?
Ne. Prvi mesec je namenjen razumevanju, kaj že imate in kaj resnično manjka. Nakup orodij pred to oceno pogosto pomeni napačno investicijo.
Povezane vsebine
Za več konteksta glejte tudi: Kaj je ZInfV-1?, Koga zadeva ZInfV-1?, ZInfV-1 skladnost in pripravljenost na presojo in GAP analiza kibernetske varnosti.