Može li nam ISO 27001 pomoći uskladiti se s NIS2 direktivom te koje su sličnosti i razlike?
Dok je jedna dobrovoljna (ISO 27001:2022) , druga je (NIS2) zakonska direktiva na području EU, ali objema je zajednički cilj – informacijska sigurnost.
NIS2 direktiva
NIS2 je zakonska obveza za pružatelje ključnih usluga i sastoji se od nekoliko ključnih elemenata koji usmjeruju organizacije kako da poboljšaju kibernetičku sigurnost:
- Identifikacija ključnih usluga: NIS2 definira popis ključnih usluga u kritičnim sektorima koji podliježu direktivi. To uključuje sektore kao što su energetika, promet, zdravstvo i digitalna infrastruktura. Identificiranjem ovih usluga, NIS2 osigurava da najkritičniji sustavi dobiju potrebnu zaštitu.
- Obveze sigurnosti i izvješćivanja o incidentima: Organizacije koje pružaju osnovne usluge moraju ispuniti određene obveze sigurnosti i izvješćivanja o incidentima, osiguravajući da se svi kibernetički incidenti prijavljuju odgovarajućim tijelima. To omogućuje koordinirani odgovor na kiberincident i olakšava razmjenu informacija kako bi se spriječili daljnji napadi i na vrijeme poduzeli potrebni koraci.
- Suradnja i razmjena informacija: NIS2 promiče suradnju među državama članicama i razmjenu informacija između relevantnih tijela i operatora ključnih usluga. Ovaj suradnički pristup omogućuje razmjenu najboljih praksi, obavještajne podatke o prijetnjama i pravovremena upozorenja, jačajući cjelokupno stanje kibernetičke sigurnosti kritičnih sektora.
NIS2 potiče organizacije da se uključe u redovite procjene rizika i revizije kako bi identificirale ranjivosti i implementirale odgovarajuće sigurnosne kontrole. Kontinuiranim praćenjem i evaluacijom svojih mjera kibernetičke sigurnosti, organizacije mogu proaktivno rješavati nove prijetnje i prilagoditi svoju obranu u skladu s tim.
Neki od zahtjeva koji su potrebni za usklađivanje s NIS2 direktivom:
- Upravljanje rizicima: Potrebno je prepoznati sve rizike i prijetnje, analizirati ih i kreirati mjere koje će spriječiti i/ili umanjiti sve potencijalne rizike.
- Politike: Kreiranjem politika definiraju se točni koraci kako bi se djelotvorno upravljalo kibersigurnosnim rizicima;
- Lanac opskrbe: Upravljanje i kontrola nad dobavljačkim lancem je nužna kako bi se osigurao kontinuitet poslovanja i spriječili mogući rizici koji bi se mogli manifestirati i na poslovanje ključnog i važnog subjekta.
- Kontinuitet poslovanja: Uključuje upravljanje sigurnosnim kopijama i oporavak od katastrofe, te upravljanje krizama kako ne bi u slučaju bilo kakve ugroze došlo do prekida poslovanja ili u slučaju prekida nastavilo se s poslovanjem u najkraćem mogućem roku.
ISO 27001:2022
ISO 27001 je dobrovoljni međunarodni standard za upravljanje informacijskom sigurnošću (ISMS) koji se može primijeniti na bilo koju organizaciju, bez obzira na veličinu ili sektor.
Uključuje različite bitne komponente, od kojih svaka igra ključnu ulogu u uspostavljanju sveobuhvatnog sustava upravljanja informacijskom sigurnošću:
- Predanost menadžmenta: Najviši menadžment mora pokazati vodstvo i predanost informacijskoj sigurnosti i osigurati uspješnu provedbu ISMS-a. Ova predanost postavlja ton cijeloj organizaciji i njeguje kulturu svijesti o sigurnosti.
- Procjena rizika: Organizacije su dužne identificirati i procijeniti rizike informacijske sigurnosti kako bi odredile odgovarajuće kontrole i protumjere koje treba provesti.
- Politike i procedure informacijske sigurnosti: Moraju postojati jasne i sažete politike i procedure koje ocrtavaju predanost organizacije informacijskoj sigurnosti i postavljaju temelje za ISMS. Ove politike pružaju okvir za donošenje odluka i usmjeravaju zaposlenike u njihovim svakodnevnim aktivnostima.
- Unutarnja revizija: Redovite revizije potrebne su kako bi se procijenila učinkovitost ISMS-a i identificirala područja za poboljšanje.
- Kontinuirano poboljšanje: Organizacije moraju kontinuirano procjenjivati i poboljšavati svoje procese i kontrole informacijske sigurnosti kako bi se prilagodile rastućim prijetnjama i ranjivostima.
Integracija ISO 27001 i NIS2
ISO 27001 i NIS2 direktiva mogu se kombinirati, i zapravo, njihova kombinacija može biti vrlo korisna za organizacije koje žele postići visoku razinu informacijske sigurnosti i usklađenosti s propisima.
Implementacija ISO 27001 može pomoći organizacijama da ispune zahtjeve NIS2 direktive, jer mnogi principi i prakse iz ISO 27001 podržavaju zahtjeve NIS2.
Prednosti implementacije ISO 27001 kao pomoć pri usklađivanju s NIS2 direktivom:
- Cilj – ISO 27001 kao i NIS2 imaju jednaki cilj, a to je poboljšanje sigurnosnih praksi i zaštita osjetljivih informacija od kibernetičkih prijetnji
- Upravljanje rizicima – i ISO 27001 i NIS2 naglašavaju važnost provođenja procjena rizika kako bi se identificirali i prioritizirali sigurnosni rizici. Organizacije mogu koristiti metodologiju procjene rizika iz ISO 27001 za identifikaciju i upravljanje rizicima koji su relevantni za NIS2 direktivu.
- Izvještavanje – Procedura za izvještavanje kao jedan od zahtjeva ISO 27001 ujedno pomaže i ispunjavanje zahtjeva NIS2 za izvještavanje o incidentima.
- Kontinuirano poboljšanje – Glavna odlika većine ISO normi pa tako i ISO 27001 je zahtjev za kontinuiranim poboljšanjem što je također relevantno i za NIS2 direktivu. Organizacije mogu upotrijebiti PDCA metodu iz ISO 27001 i kontinuirano poboljšavati sigurnosne mjere potrebne za usklađenost s NIS2.
Kombiniranjem ovih najboljih praksi, možete osigurati sveobuhvatan i učinkovit pristup upravljanju informacijskom sigurnošću i usklađenosti s propisima.
