System zarządzania bezpieczeństwem informacji (SZBI) — jak spełnić art. 8 ust. 1 UKSC krok po kroku

Podmioty kluczowe i Podmioty ważne

Ten obowiązek wiąże podmioty kluczowe i podmioty ważne. Jeśli jesteście w wykazie w tej klasie, ta ścieżka jest Waszą listą zadań.

Podmioty ważne — sektor publiczny

Ten obowiązek Was nie wiąże — art. 8 ust. 3 UKSC daje Wam własny zestaw wymagań. Wasza ścieżka to Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3).

Sprawdźcie swój rodzaj podmiotu

Klasa podmiotu to nie wszystko — decyduje rodzaj podmiotu, sektor i wielkość. Kwalifikator KSC wskaże Wasz rodzaj, a wynik powie wprost, czy ten obowiązek jest w Waszym katalogu.

Art. 21 ust. 1 · art. 21 ust. 2 NIS2

art. 21 ust. 1 NIS2 „Wprowadzenie odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych zarządzania ryzykiem, zapewniających poziom bezpieczeństwa odpowiedni do istniejącego ryzyka"

art. 21 ust. 2 NIS2 „Środki zarządzania ryzykiem bazują na podejściu uwzględniającym wszystkie zagrożenia, mają na celu ochronę sieci i systemów informatycznych oraz środowiska fizycznego tych systemów przed incydentami i obejmują CO NAJMNIEJ elementy wyliczone w lit. a–j (norma minimum katalogu; treść poszczególnych elementów niosą obowiązki OB_NIS2_21_2_a … OB_NIS2_21_2_j)."

Model łączy ten obowiązek z 2 przepisami dyrektywy relacją „transponuje", z oceną „równoważna".

Art. 8 ust. 1 UKSC

„system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi przez ten podmiot"; „prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem"; „wdrożenie odpowiednich i proporcjonalnych do oszacowanego ryzyka środków technicznych i organizacyjnych"; „uwzględniających najnowszy stan wiedzy, koszty wdrożenia, wielkość podmiotu, prawdopodobieństwo wystąpienia incydentów, narażenie podmiotu na ryzyka, skutki społeczne i gospodarcze"; „stosowanie środków zapobiegających i ograniczających wpływ incydentów na bezpieczeństwo systemu informacyjnego wykorzystywanego do świadczenia usługi"; „stosowanie mechanizmów zapewniających poufność, integralność, dostępność i autentyczność danych przetwarzanych w systemie informacyjnym"; „regularne przeprowadzanie aktualizacji oprogramowania, stosownie do zaleceń producenta, z uwzględnieniem analizy wpływu aktualizacji na bezpieczeństwo świadczonej usługi oraz poziomu krytyczności poszczególnych aktualizacji"; „ochronę przed nieuprawnioną modyfikacją w systemie informacyjnym"; „niezwłoczne podejmowanie działań po dostrzeżeniu podatności lub cyberzagrożeń, w tym również czasowe ograniczenie ruchu sieciowego przychodzącego do infrastruktury podmiotu kluczowego lub podmiotu ważnego, które może skutkować zakłóceniem usług świadczonych przez ten podmiot, z uwzględnieniem konieczność minimalizacji skutków ograniczenia dostępności tych usług, z uwagi na podjęte działania"

Polska przeniosła te przepisy do ustawy — to wiersze tabeli niżej (10 wymagań wiążących). Treść cytowana z modelu, nie pisana.

Nie zastąpi dowodów operacyjnych

Ścieżka daje strukturę i uzasadnienia — mapę tego, co wykazać. Zapisy, decyzje, logi i podpisane dokumenty musicie wytworzyć u siebie; o oczekiwaniach audytora więcej na stronie audyt KSC/NIS2.

Inne obowiązki z tego samego przepisu (art. 8 ust. 1 UKSC)

Ten przepis rozpada się w modelu na osobne obowiązki — każdy z własną ścieżką. Ta strona to jeden z nich; pozostałe:

• Zbieranie informacji o zagrożeniach i podatnościach (art. 8 ust. 1 UKSC)
• Katalog środków bezpieczeństwa SZBI (art. 8 ust. 1 UKSC)
• Bezpieczna komunikacja w KSC (art. 8 ust. 1 UKSC)
• Monitorowanie w trybie ciągłym (art. 8 ust. 1 UKSC)