Koga zadeva ZInfV-1?

ZInfV-1 zadeva organizacije, ki opravljajo pomembne ali bistvene storitve oziroma spadajo v sektorje, kjer je odpornost informacijskih sistemov ključna za družbo, gospodarstvo ali javne storitve. Splošno merilo velikosti (6. člen ZInfV-1) je: vsaj 50 zaposlenih in letni promet ali bilančna vsota vsaj 10 milijonov EUR, znotraj enega od zakonsko določenih sektorjev. Nekatere organizacije so zavezane ne glede na velikost, na primer edini ponudnik ključne storitve. Za pravilno presojo je treba pogledati dejavnost, velikost, storitve, odvisnosti in vlogo v dobavni verigi; podrobnejši kontrolni seznam glejte na ZInfV-1 zavezanci.

CISOaaS pomaga preveriti zavezanost, razložiti obveznosti vodstvu in pripraviti prvi seznam vrzeli, dokazil ter ukrepov.

Kaj zajema kibernetska varnost?

Obseg je odvisen od velikosti organizacije, regulativnih zahtev in trenutne zrelosti varnostnega programa. V praksi se osredotočimo na ukrepe, ki imajo največji vpliv na tveganje in jih je mogoče dokazati z dokumentacijo, dnevniki, poročili ali drugimi evidencami.

• ocena stanja
• prioritete
• kontrole
• dokazila
• poročanje

Zakaj je to pomembno za skladnost in poslovanje?

Organizacija mora razumeti, kaj področje pomeni, kdaj ga potrebuje, kako poteka izvedba in kakšen rezultat lahko pričakuje. Jasna struktura, konkretne odgovornosti, povezane evidence in odgovori na pogosta vprašanja pomagajo, da varnostni program ni samo dokument, ampak uporaben način dela.

Za organizacijo pa je najpomembnejši praktični rezultat: upravljanje varnostnih tveganj in skladnosti. Tak rezultat pomaga pri odločanju vodstva, komunikaciji z IT ekipo, pripravi na revizije in dokazovanju skladnosti z zahtevami, kot so NIS2, ZInfV-1, ISO 27001, GDPR, DORA ali PCI DSS.

Kako poteka izvedba?

Najprej pregledamo trenutno stanje in obstoječe dokumente, nato določimo glavne vrzeli in prioritete. Pri tehničnih področjih preverimo konfiguracije, dnevnike, dostopne pravice, postopke odziva in povezane sisteme. Pri organizacijskih področjih preverimo politike, odgovornosti, dokazila, usposabljanja in način poročanja vodstvu.

Po pregledu pripravimo izvedljiv načrt ukrepov. Ta vključuje odgovorne osebe, priporočene roke, potrebna dokazila in oceno vpliva na tveganje. Kadar je smiselno, sodelujemo z notranjo IT ekipo, pravno službo, DPO, revizorji ali zunanjimi ponudniki, da se varnostni ukrepi uvedejo brez nepotrebnega administrativnega bremena.

Primer uporabe v praksi

Tipična organizacija se s področjem kibernetska varnost sreča takrat, ko se približuje rok za skladnost, ko poslovni partner zahteva dokazila ali ko notranja ekipa ugotovi, da ima preveč odprtih tveganj. V takem primeru ni dovolj, da se pripravi samo splošen dokument. Potrebna je povezava med dejanskim stanjem sistemov, odgovornostmi ljudi, poslovnim vplivom in dokazili, ki jih je mogoče pokazati vodstvu ali presoji.

Primer: podjetje ima več varnostnih orodij, vendar nima jasnega pregleda, katera opozorila so kritična, kdo jih obravnava in kako hitro mora biti incident eskaliran. CISOaaS v takem primeru najprej uredi prioritete, nato poveže tehnične signale z odzivnimi postopki in pripravi poročanje, ki ga vodstvo razume. Rezultat je manj nejasnosti, hitrejše odločanje in boljša sledljivost ukrepov.

Kaj mora organizacija pripraviti?

Za učinkovit začetek je koristno pripraviti seznam ključnih sistemov, obstoječe politike, seznam odgovornih oseb, opis pomembnih poslovnih procesov, zadnja varnostna poročila in informacije o preteklih incidentih. Če vsega tega še ni, to ni ovira. Ravno pomanjkanje dokumentacije je pogosto prvi znak, da je treba področje urediti bolj sistematično.

Pri manjših organizacijah začnemo z osnovnim pregledom in kratkim seznamom prioritet. Pri večjih organizacijah je smiselno delo razdeliti po področjih: tehnologija, procesi, ljudje, dobavitelji, skladnost in poročanje. Takšna struktura prepreči, da bi se projekt spremenil v nepregleden seznam nalog brez lastnikov in rokov.

Dokazila in merjenje napredka

Za sodobno kibernetsko varnost ni dovolj, da organizacija trdi, da ima kontrole vzpostavljene. Potrebna so dokazila: zapisniki, konfiguracije, logi, poročila, potrjene politike, rezultati testov, seznami dostopov in evidence usposabljanj. CISOaaS pomaga urediti ta dokazila tako, da so uporabna za vodstvo, revizorje, regulatorje in poslovne partnerje.

Napredek merimo s konkretnimi kazalniki: zmanjšanje kritičnih vrzeli, urejenost dokumentacije, čas odziva na incidente, pokritost z varnostnimi kopijami, delež sistemov z EDR, stanje ranljivosti ali zrelost upravljanja tveganj. Tako stran ne opisuje samo storitve, temveč tudi pokaže, kako se uspeh meri v praksi.

Pogoste napake

Najpogostejša napaka je, da organizacija področje obravnava kot enkraten projekt. Kibernetska varnost se spreminja skupaj z infrastrukturo, zaposlenimi, dobavitelji in grožnjami, zato je potrebno redno preverjanje. Druga napaka je pretirano zanašanje na orodja brez jasnih postopkov. Orodje lahko zazna težavo, ne more pa samo določiti poslovne prioritete, odgovorne osebe ali komunikacije z vodstvom.

Tretja napaka je pomanjkanje dokazil. Če ukrep ni dokumentiran, ga je pri presoji težko dokazati. Zato pri vsakem področju določimo, katera dokazila nastajajo sproti in kdo jih pregleduje. To zmanjša stres pred revizijo in izboljša notranje upravljanje varnosti.

Kaj dobite na koncu?

Končni rezultat ni samo daljši dokument, temveč bolj urejen način dela. Organizacija dobi jasen opis trenutnega stanja, seznam prioritet, priporočene ukrepe, odgovornosti, dokazila in način spremljanja napredka. To je osnova za boljšo varnost, lažje dokazovanje skladnosti in bolj zanesljivo komunikacijo s strankami, partnerji, zavarovalnicami ali regulatorji.

Povezane vsebine

Za boljši kontekst priporočamo tudi: rešitve, CISOaaS, upravljanje tveganj, ZInfV-1 zavezanci – samoocena, Kaj je ZInfV-1 in koga zavezuje, kontakt. Notranje povezave pomagajo uporabniku najti naslednji korak in razumeti, kako so storitve, regulativa in tehnični ukrepi povezani v celovit varnostni program.

Pogosta vprašanja

Kdaj je smiselno začeti?

Smiselno je začeti pred incidentom ali presojo. Takrat ima organizacija dovolj časa za pregled stanja, pripravo dokazil in izvedbo ukrepov brez hitenja. Če je incident že v teku ali je rok za skladnost blizu, je treba začeti z najpomembnejšimi tveganji in postopoma razširiti program.

Kako pomaga CISOaaS?

CISOaaS zagotovi strokovno vodenje, strukturo, prioritete in praktično podporo pri izvedbi. Namesto splošnih priporočil dobite konkreten načrt, uporabna dokazila in pomoč pri uvajanju kontrol, ki so prilagojene vaši organizaciji.