Ścieżka zgodności · CIR 2024/2690

Obsługa incydentów — jak spełnić załącznik pkt 3 CIR 2024/2690 krok po kroku

Odpowiednie podmioty obsługują incydenty zgodnie z wymogami załącznika pkt 3: ustanawiają i utrzymują politykę obsługi incydentów, monitorują i rejestrują działania w sieciach i systemach informatycznych, umożliwiają zgłaszanie zdarzeń, oceniają i klasyfikują zdarzenia, reagują na incydenty oraz przeprowadzają przeglądy po ich wystąpieniu. Poniżej ta norma rozłożona na warstwy: wymagania → kontrole standardów → rozwiązania, a przy każdym wymaganiu rezultat NIST CSF 2.0, któremu ono służy. Zacznijcie od pytania, czy ten obowiązek Was wiąże — odpowiedź jest pierwszą sekcją pod spodem.

wiąże wprost: dostawców cyfrowych z art. 8b ust. 1 UKSC załącznik pkt 3 CIR 2024/2690 doprecyzowuje art. 21 ust. 2 lit. b NIS2 CIS Critical Security Controls v8.1 · ENISA Technical Implementation Guidance · ISO/IEC 27001:2022 · NIST SP 800-34 Rev. 1 · NIST SP 800-61 Rev. 3 rezultaty: NIST CSF 2.0
Zaplanujcie wdrożenie z Inteca Przegląd ścieżek
59 wymagań wiążących wyprowadzonych z załącznik pkt 3 CIR 2024/2690.
298 mapowań na 176 kontroli katalogów: CIS Critical Security Controls v8.1, ENISA Technical Implementation Guidance, ISO/IEC 27001:2022, NIST SP 800-34 Rev. 1 i NIST SP 800-61 Rev. 3 — każde z pisemnym uzasadnieniem.
56 z 59 wymagań ma rozwiązanie referencyjne, które realizuje ich kontrole.
13 rozwiązań referencyjnych na końcu ścieżki: narzędzia open source i szablony dokumentów Inteca, każde przypisane do kontroli, które realizuje.
Krok zero

Kogo wiąże ten obowiązek?

Zanim przeczytacie choć jedno wymaganie — sprawdźcie, czy ta ścieżka jest Wasza. Odpowiedź nie jest pisana ręcznie: wynika z zakresu obowiązku zapisanego w modelu prawnym.

wiąże wprost

Dostawcy cyfrowi z art. 8b ust. 1 UKSC

Dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), dostawcy usług chmurowych, dostawcy usługi centrum przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, dostawcy internetowych platform handlowych, dostawcy wyszukiwarek internetowych oraz dostawcy platform usług sieci społecznościowych. Dla Was rozporządzenie CIR 2024/2690 jest obowiązkiem — ta ścieżka to Wasza lista zadań.

nie wiąże — wzorzec

Pozostałe podmioty kluczowe i ważne

CIR Was nie obowiązuje — art. 8b ust. 2 UKSC odsyła do przyszłych aktów wykonawczych Komisji Europejskiej dla Waszego rodzaju podmiotu. Wasz wiążący obowiązek to art. 8b ust. 2 UKSC — tę ścieżkę czytajcie jako sprawdzony wzorzec, nie jako listę wymagań audytora.

nie wiecie?

Sprawdźcie swój rodzaj podmiotu

Klasa podmiotu to nie wszystko — decyduje rodzaj podmiotu, sektor i wielkość. Kwalifikator KSC wskaże Wasz rodzaj, a wynik powie wprost, czy ten obowiązek jest w Waszym katalogu.

Ten blok wygląda tak samo na każdej ścieżce: obowiązek z UKSC pokaże tu klasy podmiotów (kluczowy / ważny / publiczny), obowiązek z CIR — dostawców cyfrowych. Dyrektywa NIS2 nie ma własnych ścieżek — pokazujemy ją niżej, jako źródło obowiązku.

Skąd ten obowiązek

Zdanie dyrektywy i akty, które je wypełniają

Dyrektywa NIS2 wiąże państwa, nie Was — dlatego nie ma osobnej ścieżki. Konkrety dopisały akty, które ją wykonują — ten, na którym jesteście, i jego krajowe odbicie.

źródło · dyrektywa

Art. 21 ust. 2 lit. b NIS2

„Środki zarządzania ryzykiem obejmują obsługę incydentu."

Tyle mówi dyrektywa. Co konkretnie zrobić — mówią akty obok. Treść cytowana z modelu, nie przepisywana.

ta ścieżka · CIR 2024/2690

Załącznik pkt 3 CIR 2024/2690

„3.1.1. Do celów art. 21 ust. 2 lit. b) dyrektywy (UE) 2022/2555 odpowiednie podmioty ustanawiają i wdrażają politykę obsługi incydentów określającą funkcje, obowiązki i procedury dotyczące wykrywania, analizowania, ograniczania incydentów lub reagowania na nie, usuwania ich skutków, dokumentowania i zgłaszania ich w…"

Komisja Europejska rozpisała lit. b na 59 wymagań wiążących — ale tylko dla dostawców cyfrowych z art. 8b ust. 1 UKSC. To jest ścieżka, na której jesteście. Treść cytowana z modelu, nie pisana.

Przebieg ścieżki

Od rozporządzenia do narzędzia i szablonu

Diagram pokazuje jedną nitkę ścieżki — wymaganie 8 z 59 wiążących — w komplecie warstw. Tabela niżej rozwija pozostałe wymagania.

Przepis Obowiązek Wymaganie Kontrola standardu Rozwiązanie CIR 2024/2690 załącznik pkt 3 doprecyzowuje art. 21 ust. 2 lit. b NIS2 Obsługa incydentów wiąże wprost: dostawców cyfrowych z art. 8b ust. 1 UKSC 59 wymagań wiążących 13 rozwiązań referencyjnych OB_CIR_ZAL_3 Wymaganie 8 z 59 „Podmiot określa procedury i korzysta z narzędzi do monitorowania i rejestrowania działań w swoich sieciach i systemach informatycznych w celu…" wymaganie 8 z 59 · wiążące WYM_CIR_ZAL_3_09 CIS Critical Security Controls v8.1 13.1 — Scentralizowane alertowanie o zdarzeniach bezpieczeństwa jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 13.2 — Wykrywanie włamań na hostach (HIDS) jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 13.3 — Sieciowe wykrywanie włamań (NIDS) jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 13.6 — Logi przepływów ruchu sieciowego jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 8.1 — Proces zarządzania logami audytowymi jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 8.11 — Przeglądy logów audytowych jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 8.2 — Zbieranie logów audytowych jakość: jeden ze sposobów realizacji ENISA Technical Implementation Guidance 3.2.1-01 — Określenie celów monitorowania i rejestrowania jakość: jeden ze sposobów realizacji ENISA Technical Implementation Guidance 3.2.1-02 — Zawartość procedur monitorowania i rejestrowania jakość: realizuje wprost ENISA Technical Implementation Guidance 3.2.1-03 — Dobór narzędzi monitorowania według kryteriów jakość: realizuje wprost ENISA Technical Implementation Guidance 3.2.2-02 — Pokrycie ryzyk przypadkami użycia monitorowania jakość: realizuje wprost ENISA Technical Implementation Guidance 3.2.4-02 — Procedury wykrywania ataków sieciowych i DoS jakość: jeden ze sposobów realizacji ISO/IEC 27001:2022 A.8.15 — Prowadzenie dzienników aktywności systemów (logi) jakość: realizuje wprost ISO/IEC 27001:2022 A.8.16 — Ciągłe monitorowanie i alarmowanie o zdarzeniach jakość: realizuje wprost NIST SP 800-61 Rev. 3 DE.AE.R2 — Wykrywanie incydentów wcześnie w cyklu ataku jakość: jeden ze sposobów realizacji NIST SP 800-61 Rev. 3 DE.CM-01.R1 — Monitoring sieci przewodowych, bezprzewodowych i usług sieciowych jakość: jeden ze sposobów realizacji NIST SP 800-61 Rev. 3 DE.CM-06.R1 — Monitoring działań i usług zewnętrznych dostawców jakość: jeden ze sposobów realizacji NIST SP 800-61 Rev. 3 DE.CM-09.R1 — Monitoring poczty, WWW i kanałów współpracy jakość: jeden ze sposobów realizacji NIST SP 800-61 Rev. 3 DE.CM-09.R4 — Monitoring sprzętu i oprogramowania pod kątem naruszeń jakość: jeden ze sposobów realizacji NIST SP 800-61 Rev. 3 DE.CM.R1 — Ciągły monitoring sieci, sprzętu, środowiska, ludzi i dostawców jakość: jeden ze sposobów realizacji StackRox narzędzie Wazuh narzędzie nakłada uszczegóławia mapuje na realizuje służy rezultatowi REZULTATY · NIST CSF 2.0 DE.CM-01, DE.CM-03, DE.CM-09 +1 DE.CM-01 — Sieci i usługi sieciowe monitorowane DE.CM-03 — Aktywność personelu i użycie technologii monitorowane DE.CM-09 — Sprzęt, oprogramowanie i dane monitorowane cele do osiągnięcia — nie kontrole
przepis obowiązek wymaganie rezultat NIST CSF kontrola standardu rozwiązanie
Diagram wygenerowany z żywego modelu IRNIS przy publikacji tej strony.
Warstwa wymagań i kontroli

Wymagania tego obowiązku i ich odpowiedniki w standardach

Każdy wiersz to jedno atomowe wymaganie — dokładnie w brzmieniu z modelu, o które zapyta audytor — z kontrolami, na które mapuje je model, i rozwiązaniami referencyjnymi, które te kontrole realizują. Wiersze pogrupowane po charakterze wymagania.

Wymaganie (brzmienie z modelu) Charakter Kontrole standardów Rezultat NIST CSF 2.0
Organizacja i politykiwymagania wiążące — organizacyjne
Podmiot ustanawia i wdraża politykę obsługi incydentów określającą funkcje, obowiązki i procedury dotyczące wykrywania, analizowania, ograniczania incydentów lub reagowania na nie, usuwania ich skutków, dokumentowania i zgłaszania ich w odpowiednim czasie. organizacyjne CIS Controls · 17.1 CIS Controls · 17.4 CIS Controls · 17.5 ENISA TIG · 3.1.1-01 ENISA TIG · 3.1.1-02 ISO 27001 · A.5.24 NIST SP 800-61 · GV.PO.R1 NIST SP 800-61 · GV.RR-02.R1
→ DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji
 ID.IM-04
Polityka obsługi incydentów jest spójna z planem ciągłości działania i przywrócenia normalnego działania po wystąpieniu sytuacji nadzwyczajnej. organizacyjne ENISA TIG · 3.1.2-01 ISO 27001 · A.5.24 NIST SP 800-61 · ID.IM-04.R1
→ DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji
 ID.IM-04
Polityka obsługi incydentów obejmuje przydzielanie kompetentnym pracownikom funkcji w zakresie wykrywania incydentów i odpowiedniego reagowania na nie. organizacyjne CIS Controls · 17.1 CIS Controls · 17.5 ENISA TIG · 3.1.2-05 ENISA TIG · 3.5.1-02 ISO 27001 · A.5.24 NIST SP 800-61 · GV.RR-02.R2 NIST SP 800-61 · GV.RR.R1 NIST SP 800-61 · RS.MA-01.C1
→ DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji
 GV.RR-02 ID.IM-04 PR.AT-02
Podmiot regularnie szkoli swoich pracowników w zakresie korzystania z mechanizmu zgłaszania zdarzeń. organizacyjne CIS Controls · 14.6 CIS Controls · 17.3 ENISA TIG · 3.3.2-05 ISO 27001 · A.6.3
→ Szablon: Program budowania świadomości bezpieczeństwa
 PR.AT-01
Przeglądy po wystąpieniu incydentu przyczyniają się do poprawy podejścia podmiotu do bezpieczeństwa sieci i informacji, środków postępowania z ryzykiem oraz procedur obsługi incydentów, ich wykrywania i reagowania na nie. organizacyjne CIS Controls · 17.8 ENISA TIG · 3.6.2-01 ENISA TIG · 3.6.2-02 ENISA TIG · 3.6.2-03 ISO 27001 · A.5.27 NIST SP 800-61 · GV.OV-01.R1
→ Szablon: Przegląd poincydentalny (lessons learned)
 ID.IM-03 ID.IM-04
Procesy i procedurywymagania wiążące — proceduralne
Polityka obsługi incydentów obejmuje system kategoryzacji incydentów, który jest spójny z oceną i klasyfikacją zdarzeń przeprowadzaną zgodnie z pkt 3.4.1 załącznika do rozporządzenia 2024/2690. proceduralne CIS Controls · 17.9 ENISA TIG · 3.1.2-02 ENISA TIG · 3.1.2-03 ISO 27001 · A.5.25 NIST SP 800-61 · RS.MA-03.R1
→ DFIR-IRIS
 ID.IM-04 RS.MA-03
Polityka obsługi incydentów obejmuje skuteczne plany komunikacji, w tym dotyczące eskalacji i sprawozdawczości. proceduralne CIS Controls · 17.4 CIS Controls · 17.6 ENISA TIG · 3.1.2-04 ISO 27001 · A.5.24 NIST SP 800-34 · 4.3.3 NIST SP 800-61 · RC.CO-03.R2 NIST SP 800-61 · RS.CO-02.R2 NIST SP 800-61 · RS.CO-03.R2 NIST SP 800-61 · RS.MA.R2
→ DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji
 ID.IM-04 RS.CO-02 RS.CO-03 RS.MA-04
Polityka obsługi incydentów obejmuje dokumenty wykorzystywane podczas wykrywania incydentów i reagowania na nie, takie jak podręczniki reagowania na incydenty, schematy eskalacji, listy kontaktów i szablony. proceduralne CIS Controls · 17.2 ENISA TIG · 3.1.2-04 ISO 27001 · A.5.24 NIST SP 800-61 · RS.CO-02.R2
→ DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji
 ID.IM-04 RS.MA-04
Funkcje, obowiązki i procedury określone w polityce obsługi incydentów są testowane i poddawane przeglądowi oraz, w stosownych przypadkach, aktualizowane w zaplanowanych odstępach czasu oraz po poważnych incydentach lub znaczących zmianach w działalności lub poziomie ryzyka. proceduralne CIS Controls · 17.4 CIS Controls · 17.7 ENISA TIG · 3.1.3-01 ENISA TIG · 3.1.3-02 ENISA TIG · 3.1.3-03 ISO 27001 · A.5.1 NIST SP 800-61 · ID.IM-01.R1 NIST SP 800-61 · ID.IM-04.R2
→ CISO Assistant · Probo · Szablon: Polityka nadrzędna bezpieczeństwa informacji
 ID.IM-02 ID.IM-03 ID.IM-04
Podmiot podejmuje odpowiednie działania w celu ograniczenia skutków zdarzeń mogących stanowić incydenty. proceduralne ISO 27001 · A.8.16 NIST SP 800-61 · RS.MI-01.C1 NIST SP 800-61 · RS.MI-01.R1
→ StackRox · Wazuh
 RS.MI-01
Podmiot prowadzi i dokumentuje rejestry oraz dokonuje ich przeglądu w oparciu o procedury monitorowania i rejestrowania. proceduralne CIS Controls · 8.1 CIS Controls · 8.2 ENISA TIG · 3.2.7-03 ISO 27001 · A.8.15 NIST SP 800-61 · DE.AE-02.R3
→ Wazuh
 DE.AE-02 PR.PS-04
Podmiot sporządza wykaz aktywów podlegających rejestracji na podstawie wyników oceny ryzyka. proceduralne ENISA TIG · 3.2.3-01 ISO 27001 · A.5.9 ISO 27001 · A.8.15
→ CISO Assistant · GLPI · Probo · Wazuh
 ID.AM-01 ID.AM-02 ID.AM-05 PR.PS-04
Rejestry są regularnie poddawane przeglądowi pod kątem wszelkich nietypowych lub niepożądanych tendencji. proceduralne CIS Controls · 8.11 ISO 27001 · A.8.15 NIST SP 800-61 · DE.AE-02.R1 NIST SP 800-61 · DE.AE-02.R3 NIST SP 800-61 · DE.CM-03.R1
→ Wazuh
 DE.AE-02 DE.CM-03
W przypadku alarmu w odpowiednim czasie inicjowana jest odpowiednia kwalifikowana reakcja. proceduralne ENISA TIG · 3.4.2-04 ISO 27001 · A.8.16 NIST SP 800-61 · DE.AE-06.R1 NIST SP 800-61 · DE.AE-06.R2 NIST SP 800-61 · DE.AE-06.R3
→ StackRox · Wazuh
 RS.MA-01 RS.MA-02
Podmiot sporządza i prowadzi wykaz wszystkich aktywów, które są rejestrowane. proceduralne ENISA TIG · 3.2.6-02 ISO 27001 · A.5.9 ISO 27001 · A.8.15
→ CISO Assistant · GLPI · Probo · Wazuh
 ID.AM-01 ID.AM-02 PR.PS-04
Procedury monitorowania i rejestrowania oraz wykaz aktywów, które są rejestrowane, są poddawane przeglądowi i, w stosownych przypadkach, aktualizowane w regularnych odstępach czasu oraz po poważnych incydentach. proceduralne CIS Controls · 8.1 ENISA TIG · 3.2.7-01 ISO 27001 · A.5.1
→ CISO Assistant · Probo · Szablon: Polityka nadrzędna bezpieczeństwa informacji
 ID.IM-03
Podmiot wprowadza prosty mechanizm umożliwiający jego pracownikom, dostawcom i klientom zgłaszanie podejrzanych zdarzeń. proceduralne CIS Controls · 17.3 ENISA TIG · 3.3.1-03 ENISA TIG · 3.3.2-01 ISO 27001 · A.6.8 NIST SP 800-61 · RS.MA-02.R2
→ DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji
 DE.AE-06
Podmiot informuje swoich dostawców i klientów o mechanizmie zgłaszania zdarzeń. proceduralne ENISA TIG · 3.3.2-04 ISO 27001 · A.6.8 NIST SP 800-61 · RS.MA-02.R2
→ DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji
 GV.SC-02 GV.SC-08
Podmiot ocenia podejrzane zdarzenia w celu ustalenia, czy stanowią one incydenty, a jeżeli tak — określa ich charakter i dotkliwość. proceduralne CIS Controls · 17.9 ENISA TIG · 3.3.1-01 ENISA TIG · 3.4.1-01 ENISA TIG · 3.4.1-02 ENISA TIG · 3.4.2-03 ISO 27001 · A.5.25 NIST SP 800-34 · 4.2.3 NIST SP 800-61 · DE.AE-04.R1 NIST SP 800-61 · DE.AE-07.R1 NIST SP 800-61 · DE.AE-08.R1 NIST SP 800-61 · RS.MA-02.R1 NIST SP 800-61 · RS.MA-03.R1
→ DFIR-IRIS
 DE.AE-08 RS.AN-08
Podmiot przeprowadza ocenę zdarzeń w oparciu o wcześniej określone kryteria oraz na podstawie selekcji umożliwiającej klasyfikację priorytetów w zakresie powstrzymywania i eliminowania incydentów. proceduralne CIS Controls · 17.9 ENISA TIG · 3.4.2-01 ENISA TIG · 3.4.2-02 ENISA TIG · 3.4.2-04 ISO 27001 · A.5.25 NIST SP 800-61 · DE.AE-08.R1 NIST SP 800-61 · ID.RA-05.R1 NIST SP 800-61 · RS.MA-03.R2 NIST SP 800-61 · RS.MA.R1 NIST SP 800-61 · RS.MA.R2
→ DFIR-IRIS
 DE.AE-08 RS.MA-02 RS.MA-03
Podmiot co kwartał ocenia występowanie powtarzających się incydentów w rozumieniu art. 4 rozporządzenia 2024/2690. proceduralne ENISA TIG · 3.4.2-05 ISO 27001 · A.5.27
→ Szablon: Przegląd poincydentalny (lessons learned)
 RS.AN-03 RS.MA-03
Podmiot dokonuje przeglądu odpowiednich rejestrów do celów oceny i klasyfikacji zdarzeń. proceduralne ENISA TIG · 3.4.2-06 ISO 27001 · A.8.15 NIST SP 800-61 · DE.AE-02.R3
→ Wazuh
 DE.AE-02
Podmiot ponownie ocenia i przeklasyfikowuje zdarzenia w przypadku pojawienia się nowych informacji lub po przeanalizowaniu wcześniej dostępnych informacji. proceduralne ISO 27001 · A.5.25 NIST SP 800-61 · RS.MA-04.R1
→ DFIR-IRIS
 DE.AE-04 RS.AN-08 RS.MA-03
Podmiot reaguje na incydenty zgodnie z udokumentowanymi procedurami i w odpowiednim czasie. proceduralne CIS Controls · 17.4 ENISA TIG · 3.5.1-01 ENISA TIG · 3.5.1-04 ENISA TIG · 3.5.2-01 ISO 27001 · A.5.26 NIST SP 800-61 · RS.MA-03.R3 NIST SP 800-61 · RS.MA-04.R1
→ DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji
 RS.MA-01
Procedury reagowania na incydenty obejmują powstrzymanie incydentu, aby zapobiec rozprzestrzenianiu się jego skutków. proceduralne ENISA TIG · 3.5.1-04 ISO 27001 · A.5.26 NIST SP 800-61 · RS.MI-01.C1 NIST SP 800-61 · RS.MI-01.C2 NIST SP 800-61 · RS.MI-01.R1
→ DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji
 RS.MI-01
Procedury reagowania na incydenty obejmują wyeliminowanie incydentu, aby zapobiec jego dalszemu występowaniu lub ponownemu wystąpieniu. proceduralne ENISA TIG · 3.5.1-04 ISO 27001 · A.5.26 NIST SP 800-61 · RC.RP-05.R1 NIST SP 800-61 · RS.MI-02.C1 NIST SP 800-61 · RS.MI-02.C2 NIST SP 800-61 · RS.MI-02.R1 NIST SP 800-61 · RS.MI-02.R2
→ DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji
 RS.MI-02
Procedury reagowania na incydenty obejmują przywrócenie normalnego działania po wystąpieniu incydentu. proceduralne ENISA TIG · 3.5.1-04 ISO 27001 · A.5.24 NIST SP 800-34 · 4.4 NIST SP 800-61 · RC.RP-01.R1 NIST SP 800-61 · RS.MA-05.R1
→ DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji
 RC.RP-01 RC.RP-05
Podmiot ustanawia plany i procedury komunikacji z zespołami reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) lub, w stosownych przypadkach, z właściwymi organami, związane z powiadamianiem o incydentach. proceduralne CIS Controls · 17.2 ENISA TIG · 3.5.3-01 ENISA TIG · 3.5.3-02 ISO 27001 · A.5.24 NIST SP 800-61 · GV.OC-03.R1 NIST SP 800-61 · RC.CO-04.R1 NIST SP 800-61 · RS.CO-02.R2 NIST SP 800-61 · RS.CO-02.R5 NIST SP 800-61 · RS.CO.R1
→ DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji
 ID.IM-04 RS.CO-02
Podmiot ustanawia plany i procedury komunikacji między swoimi pracownikami oraz komunikacji z odpowiednimi zainteresowanymi stronami spoza podmiotu. proceduralne CIS Controls · 17.2 CIS Controls · 17.6 ENISA TIG · 3.5.3-01 ENISA TIG · 3.5.3-02 ISO 27001 · A.5.24 NIST SP 800-61 · RC.CO-03.R1 NIST SP 800-61 · RS.CO-02.R1 NIST SP 800-61 · RS.CO-03.R1 NIST SP 800-61 · RS.CO-03.R4 NIST SP 800-61 · RS.CO.R1
→ DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji
 ID.IM-04 RS.CO-03
Podmiot rejestruje działania w zakresie reagowania na incydenty zgodnie z procedurami monitorowania i rejestrowania. proceduralne ENISA TIG · 3.5.4-01 ISO 27001 · A.5.26 NIST SP 800-61 · RS.MA.R3
→ DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji
 RC.RP-06 RS.AN-06
Podmiot zapisuje dowody dotyczące incydentów. proceduralne ENISA TIG · 3.5.2-02 ENISA TIG · 3.5.2-03 ISO 27001 · A.5.28 NIST SP 800-61 · RS.AN-07.R1
brak rozwiązania referencyjnego w modelu
 RS.AN-07
Podmiot testuje w zaplanowanych odstępach czasu swoje procedury reagowania na incydenty. proceduralne CIS Controls · 17.7 ENISA TIG · 3.5.5-01 ENISA TIG · 3.5.5-02 ENISA TIG · 3.5.5-03 NIST SP 800-61 · ID.IM-01.R1
brak rozwiązania referencyjnego w modelu
 ID.IM-02
Podmiot przeprowadza przegląd po wystąpieniu incydentu po przywróceniu normalnego działania. proceduralne CIS Controls · 17.8 ENISA TIG · 3.6.1-03 ISO 27001 · A.5.27 NIST SP 800-61 · RC.RP-06.R1
→ Szablon: Przegląd poincydentalny (lessons learned)
 ID.IM-03 RC.RP-06 RS.AN-03
Przegląd po wystąpieniu incydentu określa, w miarę możliwości, pierwotną przyczynę incydentu. proceduralne ENISA TIG · 3.6.1-01 ISO 27001 · A.5.26 NIST SP 800-61 · RS.AN-03.R3
→ DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji
 RS.AN-03
Przegląd po wystąpieniu incydentu prowadzi do wyciągnięcia udokumentowanych wniosków w celu ograniczenia występowania i skutków przyszłych incydentów. proceduralne CIS Controls · 17.8 ENISA TIG · 3.6.1-02 ENISA TIG · 3.6.1-04 ISO 27001 · A.5.27 NIST SP 800-61 · RC.RP-06.R1
→ Szablon: Przegląd poincydentalny (lessons learned)
 ID.IM-03 ID.IM-04 RC.RP-06
Podmiot dokonuje przeglądu po wystąpieniu incydentu w zaplanowanych odstępach czasu. proceduralne ENISA TIG · 3.6.3-01 ISO 27001 · A.5.27 ISO 27001 · 9.1
→ CISO Assistant · Probo · Szablon: Metodyka zarządzania ryzykiem · Szablon: Przegląd poincydentalny (lessons learned)
 ID.IM-01 ID.IM-03
Technikawymagania wiążące — techniczne
Podmiot określa procedury i korzysta z narzędzi do monitorowania i rejestrowania działań w swoich sieciach i systemach informatycznych w celu wykrywania zdarzeń mogących stanowić incydenty. techniczne CIS Controls · 13.1 CIS Controls · 13.2 CIS Controls · 13.3 CIS Controls · 13.6 CIS Controls · 8.1 CIS Controls · 8.11 CIS Controls · 8.2 ENISA TIG · 3.2.1-01 ENISA TIG · 3.2.1-02 ENISA TIG · 3.2.1-03 ENISA TIG · 3.2.2-02 ENISA TIG · 3.2.4-02 ISO 27001 · A.8.15 ISO 27001 · A.8.16 NIST SP 800-61 · DE.AE.R2 NIST SP 800-61 · DE.CM-01.R1 NIST SP 800-61 · DE.CM-06.R1 NIST SP 800-61 · DE.CM-09.R1 NIST SP 800-61 · DE.CM-09.R4 NIST SP 800-61 · DE.CM.R1
→ StackRox · Wazuh
 DE.CM-01 DE.CM-03 DE.CM-09 PR.PS-04
Monitorowanie jest zautomatyzowane i odbywa się w sposób ciągły lub okresowy, w zależności od zdolności biznesowych podmiotu. techniczne ENISA TIG · 3.2.1-03 ISO 27001 · A.8.16 NIST SP 800-61 · DE.AE-02.R1 NIST SP 800-61 · DE.CM.R1
→ StackRox · Wazuh
 DE.CM-01 DE.CM-09 PR.PS-04
Działania w zakresie monitorowania realizowane są w sposób minimalizujący wyniki fałszywie dodatnie i fałszywie negatywne. techniczne CIS Controls · 13.11 ENISA TIG · 3.2.2-01 ISO 27001 · A.8.16 NIST SP 800-61 · DE.CM.R2
→ StackRox · Wazuh
 DE.AE-02 DE.AE-03
Rejestry zawierają informacje o odpowiednim wychodzącym i przychodzącym ruchu sieciowym. techniczne CIS Controls · 13.6 CIS Controls · 8.5 CIS Controls · 8.6 CIS Controls · 8.7 ENISA TIG · 3.2.3-01 ISO 27001 · A.8.15 NIST SP 800-61 · DE.CM-01.R1
→ Wazuh
 DE.CM-01 PR.PS-04
Rejestry zawierają informacje o tworzeniu, modyfikowaniu lub usuwaniu użytkowników sieci i systemów informatycznych oraz o przedłużeniu ich pozwoleń. techniczne CIS Controls · 8.12 CIS Controls · 8.2 ENISA TIG · 3.2.3-01 ISO 27001 · A.8.15
→ Wazuh
 DE.CM-03 PR.PS-04
Rejestry zawierają informacje o dostępie do systemów i aplikacji. techniczne CIS Controls · 3.14 CIS Controls · 8.12 CIS Controls · 8.2 CIS Controls · 8.5 ENISA TIG · 3.2.3-01 ISO 27001 · A.8.15 NIST SP 800-61 · DE.CM-03.R1
→ Wazuh
 DE.CM-03 PR.PS-04
Rejestry zawierają informacje o zdarzeniach związanych z uwierzytelnieniem. techniczne CIS Controls · 8.12 CIS Controls · 8.2 ENISA TIG · 3.2.3-01 ISO 27001 · A.8.15 NIST SP 800-61 · DE.CM-03.R1 NIST SP 800-61 · DE.CM-09.R2
→ Wazuh
 DE.CM-03 DE.CM-09 PR.PS-04
Rejestry zawierają informacje o wszelkim uprzywilejowanym dostępie do systemów i aplikacji oraz o czynnościach wykonywanych w ramach kont administracyjnych. techniczne CIS Controls · 8.2 CIS Controls · 8.8 ENISA TIG · 3.2.3-01 ISO 27001 · A.8.15 NIST SP 800-61 · DE.CM-06.R1
→ Wazuh
 DE.CM-03 PR.PS-04
Rejestry zawierają informacje o dostępie do krytycznych plików konfiguracji i plików kopii zapasowych lub o zmianach w tych plikach. techniczne ENISA TIG · 3.2.3-01 ISO 27001 · A.8.15
→ Wazuh
 DE.CM-09 PR.PS-04
Rejestry zawierają dzienniki zdarzeń i rejestry z narzędzi bezpieczeństwa, takich jak program antywirusowy, systemy wykrywania włamań lub zapory sieciowe. techniczne ENISA TIG · 3.2.3-01 ISO 27001 · A.8.15 ISO 27001 · A.8.16
→ StackRox · Wazuh
 DE.AE-03 DE.CM-01 PR.PS-04
Rejestry zawierają informacje o wykorzystaniu zasobów systemowych oraz o ich wydajności. techniczne ENISA TIG · 3.2.3-01 ISO 27001 · A.8.16
→ StackRox · Wazuh
 PR.IR-04 PR.PS-04
Rejestry zawierają informacje o fizycznym dostępie do obiektów. techniczne ENISA TIG · 3.2.3-01 ISO 27001 · A.8.15 NIST SP 800-61 · DE.CM-02.R1
→ Wazuh
 DE.CM-02 PR.AA-06 PR.PS-04
Rejestry zawierają informacje o dostępie do sprzętu i urządzeń sieciowych oraz o korzystaniu z nich. techniczne ENISA TIG · 3.2.3-01 ISO 27001 · A.8.15 ISO 27001 · A.8.16
→ StackRox · Wazuh
 DE.CM-01 DE.CM-03 PR.AA-06 PR.PS-04
Rejestry zawierają informacje o aktywacji, zatrzymaniu i wstrzymaniu różnych rejestrów. techniczne ENISA TIG · 3.2.3-01 ISO 27001 · A.8.15
→ Wazuh
 PR.PS-04
Rejestry zawierają informacje o zdarzeniach środowiskowych. techniczne ENISA TIG · 3.2.3-01 ISO 27001 · A.8.15
→ Wazuh
 DE.CM-02 PR.PS-04
Podmiot określa odpowiednie wartości progów alarmowych. techniczne CIS Controls · 13.11 ENISA TIG · 3.2.4-03 ISO 27001 · A.8.16
→ StackRox · Wazuh
 DE.AE-06
Alarm uruchamia się, w stosownych przypadkach, automatycznie. techniczne CIS Controls · 13.1 ISO 27001 · A.8.16 NIST SP 800-61 · DE.AE-06.R1 NIST SP 800-61 · RS.MA-01.R1
→ StackRox · Wazuh
 DE.AE-06
Podmiot prowadzi rejestry i tworzy ich kopie zapasowe przez z góry określony czas. techniczne CIS Controls · 8.10 CIS Controls · 8.3 ENISA TIG · 3.2.5-01 ENISA TIG · 3.2.5-02 ENISA TIG · 3.2.5-03 ISO 27001 · A.8.13 ISO 27001 · A.8.15
→ Proxmox Backup Server · Wazuh
 PR.DS-11 PR.PS-04
Rejestry i ich kopie zapasowe są chronione przed nieuprawnionym dostępem lub nieuprawnionymi zmianami. techniczne ENISA TIG · 3.2.5-05 ENISA TIG · 3.2.5-06 ISO 27001 · A.8.15 NIST SP 800-61 · RS.AN-06.R1
→ Wazuh
 PR.DS-01 PR.DS-11
Wszystkie systemy mają zsynchronizowane źródła czasu, co umożliwia korelację rejestrów między systemami w celu oceny zdarzeń. techniczne CIS Controls · 8.4 ENISA TIG · 3.2.6-01 ISO 27001 · A.8.17
brak rozwiązania referencyjnego w modelu
 DE.AE-03 PR.PS-04
Podmiot zapewnia redundancję systemów monitorowania i rejestrowania. techniczne ENISA TIG · 3.2.6-03 ISO 27001 · A.8.14
→ Szablon: Plan ciągłości działania z BIA
 PR.IR-03
Dostępność systemów monitorowania i rejestrowania jest monitorowana niezależnie od monitorowanych przez nie systemów. techniczne ENISA TIG · 3.2.6-04 ISO 27001 · A.8.16 NIST SP 800-61 · DE.CM-09.R4
→ StackRox · Wazuh
 DE.CM-09
Podmiot wdraża proces korelacji i analizy rejestrów. techniczne CIS Controls · 13.1 CIS Controls · 8.9 ENISA TIG · 3.4.2-06 ISO 27001 · A.8.15 NIST SP 800-61 · DE.AE-02.R2 NIST SP 800-61 · DE.AE-03.R1 NIST SP 800-61 · DE.AE-03.R2 NIST SP 800-61 · DE.AE-03.R3 NIST SP 800-61 · DE.AE.R1
→ Wazuh
 DE.AE-02 DE.AE-03
Komplet wymagań tego obowiązku — 59 wierszy, generowanych z modelu przy każdej publikacji. Każde mapowanie na kontrolę ma w modelu pisemne uzasadnienie i ocenę dopasowania — na stronie pokazujemy cel mapowania. Rezultat NIST CSF 2.0 to cel, któremu służy wymaganie — nie kontrola; nie wlicza się do mapowań ani nie prowadzi do rozwiązań. Wersja krajowa tych przepisów (wiąże każdy podmiot w swoim zakresie): Katalog środków bezpieczeństwa SZBI, Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3).
Kolumna „kontrole" mówi Wam, gdzie tę samą rzecz mierzy Wasz certyfikat ISO albo profil NIST — jeśli kontrolę już macie wdrożoną i udokumentowaną, ta część ścieżki jest do reużycia, nie do budowy od zera.

Dlaczego NIST CSF 2.0 stoi osobno

NIST CSF 2.0 opisuje rezultaty — „co ma być osiągnięte" — i sam odsyła po zabezpieczenia do katalogów takich jak ISO 27001 czy CIS. Dlatego na tej ścieżce rezultat CSF mówi, po co jest wymaganie, a kolumna kontroli — czym je spełnić.

Warstwa rozwiązań

Czym to zrealizować — rekomendacje referencyjne

Rozwiązanie trafia na ścieżkę tylko wtedy, gdy realizuje kontrolę, na którą mapuje wymaganie tego obowiązku. 13 rozwiązań obejmuje 56 z 59 wymagań; dla 3 model nie wskazuje rozwiązania — i strona mówi to wprost. Wasze własne narzędzie realizujące te same kontrole domyka ścieżkę tak samo.

CISO Assistant

Narzędzie open source do prowadzenia SZBI: rejestr ryzyk, plan postępowania, dowody skuteczności środków — z gotowymi ramami ISO 27001 i NIST CSF, na które mapuje ta ścieżka.

open sourcenarzędzierealizuje 3 kontrole · obejmuje 5 z 59 wymagań

DFIR-IRIS

Platforma open source do obsługi incydentów: sprawy, oś czasu, artefakty i zadania zespołu reagowania — operacyjny zapis tego, o co zapyta CSIRT i audytor.

open sourcenarzędzierealizuje 4 kontrole · obejmuje 19 z 59 wymagań

GLPI

Open source ITSM i ewidencja aktywów: inwentaryzacja systemów i usług, zgłoszenia, zmiany — baza faktów dla zarządzania aktywami i ciągłością.

open sourcenarzędzierealizuje 1 kontrolę · obejmuje 2 z 59 wymagań

Probo

Narzędzie open source do oceny i monitorowania dostawców: rejestr dostawców, oceny ryzyka, śledzenie zobowiązań umownych — operacyjna strona łańcucha dostaw.

open sourcenarzędzierealizuje 3 kontrole · obejmuje 5 z 59 wymagań

Proxmox Backup Server

Open source serwer kopii zapasowych: deduplikacja, szyfrowanie, weryfikacja kopii i odtwarzanie — techniczny fundament planów ciągłości i odtworzenia.

open sourcenarzędzierealizuje 1 kontrolę · obejmuje 1 z 59 wymagań

StackRox

Open source bezpieczeństwo Kubernetes: wykrywanie włamań i anomalii w kontenerach, polityki wdrożeniowe, skanowanie obrazów.

open sourcenarzędzierealizuje 1 kontrolę · obejmuje 11 z 59 wymagań

Szablon: Metodyka zarządzania ryzykiem

Autorski szablon metodyki szacowania i postępowania z ryzykiem — kryteria, skale, rejestr i cykl przeglądów pod wymagania SZBI.

szablon Intecaszablon proceduryrealizuje 1 kontrolę · obejmuje 1 z 59 wymagań

Szablon: Plan ciągłości działania z BIA

Autorski szablon planu ciągłości działania z analizą wpływu (BIA) — scenariusze, role, procedury odtworzenia, testy.

szablon Intecaszablon planurealizuje 1 kontrolę · obejmuje 1 z 59 wymagań

Szablon: Plan reagowania na incydenty i komunikacji

Autorski szablon planu reagowania na incydenty i komunikacji — klasyfikacja, eskalacja, terminy zgłoszeń, komunikaty do stron.

szablon Intecaszablon planurealizuje 3 kontrole · obejmuje 15 z 59 wymagań

Szablon: Polityka nadrzędna bezpieczeństwa informacji

Dokument, od którego zaczyna się SZBI: ramy systemu, polityki tematyczne, role i przeglądy — autorski szablon polityki nadrzędnej bezpieczeństwa informacji.

rekomendowaneszablon Intecaszablon dokumentu / politykarealizuje 1 kontrolę · obejmuje 2 z 59 wymagań

Szablon: Program budowania świadomości bezpieczeństwa

Autorski szablon programu budowania świadomości bezpieczeństwa — plan szkoleń, grupy docelowe, mierniki skuteczności.

szablon Intecaszablon planurealizuje 1 kontrolę · obejmuje 1 z 59 wymagań

Szablon: Przegląd poincydentalny (lessons learned)

Autorski szablon przeglądu poincydentalnego (lessons learned) — przyczyny, skuteczność reakcji, działania korygujące.

szablon Intecaszablon proceduryrealizuje 1 kontrolę · obejmuje 5 z 59 wymagań

Wazuh

Platforma open source SIEM z wykrywaniem włamań: zbieranie i korelacja logów, monitorowanie integralności plików, wykrywanie podatności — rdzeń monitorowania w trybie ciągłym.

open sourcenarzędzierealizuje 2 kontrole · obejmuje 28 z 59 wymagań

3 wymagania bez rozwiązania referencyjnego

Ich kontrole (CIS Controls, ENISA TIG, ISO 27001 i NIST SP 800-61) nie mają w modelu narzędzia ani szablonu, który je realizuje:

  • Wszystkie systemy mają zsynchronizowane źródła czasu, co umożliwia korelację rejestrów między systemami w celu oceny zdarzeń.
  • Podmiot zapisuje dowody dotyczące incydentów.
  • Podmiot testuje w zaplanowanych odstępach czasu swoje procedury reagowania na incydenty.
dowolna realizacja
Uczciwie o granicach

Czego ta ścieżka nie zrobi za Was

Nie zastąpi dowodów operacyjnych

Ścieżka daje strukturę i uzasadnienia — mapę tego, co wykazać. Zapisy, decyzje, logi i podpisane dokumenty musicie wytworzyć u siebie; o oczekiwaniach audytora więcej na stronie audyt KSC/NIS2.

Chcecie przejść tę ścieżkę z przewodnikiem?

Inteca poprowadzi wdrożenie warstwa po warstwie: od wymagań przepisu, przez kontrole standardów, po narzędzia i bazę dowodową pod audyt.

Umówcie konsultację Wróćcie do przeglądu ścieżek