Audyt bezpieczeństwa - kluczowe kroki przed wdrożeniem NIS2 i innych europejskich wymogów w zakresie cyberbezpieczeństwa

Choć unijna dyrektywa NIS2 funkcjonuje w europejskim porządku prawnym już od niemal trzech lat to Polska, podobnie jak część krajów UE dopiero teraz implementuje ją w swoich krajowych ustawach. Nowe wymagania są jednak przed nami i już niebawem będą stanowiły codzienność kilkudziesięciu tysięcy firm, organizacji i instytucji w Polsce. Wiele z nich wciąż zadaje sobie pytanie - jak zacząć proces “wdrożenia NIS2”? Odpowiedź jest jednak prosta - Audyt bezpieczeństwa.

Dyrektywa NIS2 oraz inne akty prawne oparte o unijne wytyczne dzieli zarządzanie bezpieczeństwem informacji na kilka obszarów i warstw Każda z nich pozwala na wdrożenie skutecznych metod ochrony, utrzymania czy zapewnienia ciągłości działania świadczonych usług. Aby zatem móc odpowiedzieć na pytanie czy i w jakim zakresie nasz system bezpieczeństwa odpowiada wymaganiom, należy posiadać dokładną wiedzę na temat jego aktualnego stanu i zagrożeń z jakimi możemy się spotkać.

Audyt zgodny z NIS2 i regulacjami

Krajowy System Cyberbezpieczeństwa przenosi i precyzuje wymagania NIS2 na polskie podmioty ważne i kluczowe. Każdy z wymogów powinien być zagospodarowany zarówno na poziomie formalnym (w ramach zbioru procedur, regulaminów i praktyk) oraz na poziomie technicznym.

Kompleksowy audyt bezpieczeństwa to proces, w którym zebrane dane dotyczące aktualnego stanu systemu ochrony odnoszone są do konkretnych wymagań wzorca. Tym wzorcem na ogół jest dyrektywa NIS2 oraz uKSC, jednak do zbioru wymagań warto dodać np. normę ISO27001, Krajowe Ramy Interoperacyjności (w przypadku podmiotów publicznych) czy rozporządzenie DORA (w przypadku instytucji finansowych).

Metody w audycie bezpieczeństwa

Badanie dotyczy pełnego zbioru metod stosowanych w celu ochrony zasobów, a w tym:

  • warstwy formalnej - na ogół reprezentowanej w formie Systemu Zarządzania Bezpieczeństwem Informacji,
  • warstwy technicznej - złożonej z wszelkich technologii wdrożonych w organizacji w celu zbudowania systemu cyberbezpieczeństwa,
  • warstwy kompetencji - reprezentowanej przez ogólny poziom wiedzy pracowników na temat cyberzagrożeń i zdolności wykrywania ataków socjotechnicznych.

Każda z warstw może być analizowana w inny sposób. O ile w przypadku SZBI metodyka opiera się na pracy analitycznej, o tyle w przypadku warstwy technicznej istnieje szeroki wachlarz zautomatyzowanych testów (skany podatności, testy penetracyjne, red teaming czy testy SAST i DAST). Nie należy pomijać niezwykle istotnej warstwy kompetencji użytkowników, którą można ocenić na podstawie symulacji ataków socjotechnicznych czy testów wiedzy z cyberbezpieczeństwa.

Podsumowanie

Choć sam proces analizy bezpieczeństwa bezpośrednio nie podnosi skuteczności systemów ochrony to pomaga z lokalizacji obszarów wymagających dodatkowej uwagi. Pozwala przenieść obciążenia na te elementy naszego systemu, które mogą stanowić luki oraz zwiększać ryzyko incydentu. Warto zatem zaplanować takie działania w swojej organizacji nie tylko przy okazji zbliżających się wymagań wynikających z dyrektywy NIS2, ale także w przyszłości w ramach regularnych analiz mających na celu utrzymanie jakości systemów ochrony.


Norbert Nowak, Lider ds. Cyberbezpieczeństwa

Doświadczenie zdobywał, realizując projekty w zakresie rozwiązań sieciowych, storage'u, wirtualizacji i systemów bezpieczeństwa dla klientów z wielu branż. Obecnie doradza, projektuje i buduje kompleksowe systemy skupiające się na ochronie danych i systemów. Bezpieczeństwo informacji i cyberbezpieczeństwo to obszary, w których stale się rozwija i dzieli wiedzą w ramach licznych prelekcji oraz publikacji.


Powiązane artykuły