A NIS2 és a hazai kiberbiztonsági követelmények kapcsán sokszor olyan megoldások kerülnek elő, amelyek egy nagyvállalatnál teljesen életszerűek, egy kis önkormányzatnál, intézménynél vagy 5–10 fős vállalkozásnál viszont túl bonyolultak, túl drágák, vagy egyszerűen aránytalanok.
A CyberTeam Kft.-nél a mindennapi munkánk során rendszeresen találkozunk ilyen szervezetekkel. Olyan környezetekkel, ahol nincs külön információbiztonsági osztály, nincs többfős IT-csapat és nincs lehetőség drága biztonsági rendszerek bevezetésére. Van néhány munkaállomás, egy NAS, egy router, néhány felhős szolgáltatás, esetleg külső rendszergazda – a jogszabályi és információbiztonsági követelményeknek mégis meg kell felelni.
Ez adta az ötletet új szakmai sorozatunkhoz:
NIS2 kicsiben
Vass Gergely Zoltán vagyok, információbiztonsági szakember, a CyberTeam Kft. szakmai vezetője. A sorozatban a 7/2024. (VI. 24.) MK rendelet 19 követelménycsaládján szeretnék végigmenni, kifejezetten a kisebb szervezetek szemszögéből.
Nem azt szeretnénk bemutatni, hogyan lehet egy kis szervezetbe nagyvállalati biztonsági infrastruktúrát építeni.
Éppen ellenkezőleg.
Minden egyes követelménycsoportnál azt vizsgáljuk majd meg:
- mit vár el ténylegesen a szabályozás;
- mi az a minimum, amelyet egy kis szervezetnek valóban meg kell valósítania;
- mely követelmények teljesíthetők megfelelő szervezeti folyamattal és konfigurációval;
- hol használható egyszerű, ingyenes vagy nyílt forráskódú megoldás;
- milyen dokumentáció szükséges;
- és mivel lehet a megvalósítást egy ellenőrzés vagy audit során bizonyítani.
A cél tehát nem az, hogy minden követelményhez újabb szoftvert vásároljunk.
Sok esetben egy meglévő rendszer megfelelő beállítása, egy egyszerű nyilvántartás, egy jól kialakított folyamat és annak következetes dokumentálása többet ér, mint egy drága technológia, amelyet a szervezet valójában nem tud megfelelően működtetni.
Nem csak egy cikksorozatot szeretnénk
A „NIS2 kicsiben” egyben közösségi kezdeményezés is.
Szeretnénk bevonni azokat a rendszergazdákat, információbiztonsági felelősöket, auditorokat, informatikusokat és szervezeti vezetőket is, akik a gyakorlatban már találtak egyszerű, működő megoldásokat egy-egy követelmény teljesítésére.
Ha van olyan módszer, eszköz vagy tapasztalat, amely egy kisebb szervezetben bevált, várjuk a hozzászólásokat és szakmai észrevételeket.
Különösen érdekesek számunkra azok a megoldások, amelyek:
- egyszerűen üzemeltethetők;
- nem igényelnek jelentős licencköltséget;
- kis informatikai környezetben is életszerűek;
- és egy audit során egyértelműen igazolható velük a követelmény teljesítése.
A sorozat során érkező hasznos szakmai tapasztalatokat és jó gyakorlatokat szeretnénk beépíteni a későbbi részekbe is.
A cél: egy közösen épített gyakorlati útmutató
A 19 követelménycsoport feldolgozása után a sorozat anyagaiból és a közösségtől érkező tapasztalatokból egy összefoglaló szakmai kiadványt is szeretnénk készíteni:
„NIS2 kicsiben – gyakorlati útmutató kis szervezeteknek”
Az elképzelésünk egy olyan útmutató, amely nem csupán felsorolja a követelményeket, hanem azt is megmutatja:
Mit kell megcsinálni? Hogyan lehet egyszerűen megvalósítani? Milyen eszköz használható hozzá? És hogyan bizonyítható, hogy valóban működik?
Az első rész: Programmenedzsment
A sorozatot a 7/2024. MK rendelet első követelménycsaládjával, a Programmenedzsmenttel kezdjük.
Már ennél az első témánál is jól látszik majd a sorozat alapelve.
Egy kis szervezetnek nem feltétlenül húsz külön szabályzatra és külön GRC-rendszerre van szüksége azért, mert a követelménycsalád számos kötelező elemet tartalmaz.
Megmutatjuk, hogyan lehet ezeket egy átlátható, egyszerű és működtethető rendszerbe rendezni, például egy jól kialakított IBSZ-szel, EIR- és kockázati nyilvántartással, intézkedési tervvel, éves ellenőrzési tervvel és rendszeres vezetői jelentéssel.
A sorozatban tehát nem a követelmények megkerülését keressük.
Azt keressük, hogyan lehet azokat arányosan, fenntarthatóan és auditálhatóan teljesíteni.
Ez az a szemlélet, amelyet a CyberTeam Kft. a mindennapi szakmai munkájában is képvisel: először megértjük a szervezet tényleges működését és kockázatait, majd ehhez választjuk ki a szükséges intézkedéseket.
Mert a jó információbiztonsági megoldás nem attól jó, hogy bonyolult.
Hanem attól, hogy valóban működik.