NIS2 lisamoodul

NIS2 lisamooduli poliitikapakett koondab neli rangelt välja töötatud ettevõtte poliitikat, mis on struktureeritud maksimeerima organisatsiooni vastavust Euroopa Liidu NIS2 direktiivi arenevatele nõuetele. Iga poliitika toimib sihitud turvakontrolli valdkonnana, võimaldades süsteemset parimate tavade kasutuselevõttu riskijuhtimises, turbetestimises, haavatavuste avalikustamises ja turvalises autentimises erinevates äri- ja tehnoloogiaüksustes. P41 – Tarnijasõltuvuse riskijuhtimise poliitika pakub tugevaid mehhanisme süsteemsete tarneahela riskide tuvastamiseks ja maandamiseks. See kirjeldab, kuidas organisatsioonid peavad pidama tarnijasõltuvuse registrit, tegema regulaarseid riskihindamisi ning jõustama kontsentratsiooniriski piiranguid, sh mitmekesistamise strateegiaid ja kriitiliste tarnijate varuplaanide koostamist. Poliitika kohustab iga-aastaseid ülevaatusi ning seob tarneahela riski otseselt äritegevuse järjepidevuse ja katastroofitaaste planeerimisega. Juhtimisraamistikud nõuavad asutustele aruandlust ja eskaleerimist, kui esinevad kõrge riskiga sõltuvusstsenaariumid või kolmandate osapoolte mittevastavus, täites nii regulatiivseid kui ka praktilisi riskijuhtimise vajadusi. P40 – Turbetestimise ja red-teaming poliitika struktureerib tervikliku tehnilise valideerimisprogrammi võrkude, rakenduste ja taristu jaoks. See näeb ette perioodilised haavatavuste skaneerimised, sissetungitestid ja red team õppused, hõlmates vajaduse korral nii küber- kui ka füüsilisi valdkondi. Poliitika tagab, et kõik testid on nõuetekohaselt määratletud ulatusega, autoriseeritud ja dokumenteeritud ning et tuvastatud haavatavuste parandusplaanid on jälgitavad ja valideeritavad. Testitulemused suunatakse otse riski käsitlemisse ja pideva täiustamise tsüklitesse ning neid vaadatakse üle juhtkonna ja auditi protsessides – toetades regulatiivseid nõudeid tõhususe mõõtmiseks ja tehniliste kontrollide tagamiseks. P39 – Koordineeritud haavatavuste avalikustamise poliitika kehtestab selge protsessi haavatavuste vastuvõtmiseks, läbivaatamiseks, kõrvaldamiseks ja avalikustamiseks. See määratleb turvalise sadama reeglid välistele teavitajatele (sh teadlased, partnerid ja kliendid), jõustab kiire reageerimise spetsiaalse haavatavustele reageerimise meeskonna kaudu ning haldab nii sisemist kui ka välist teabevahetust teavituste jaoks. Poliitika on kooskõlas NIS2 ja ENISA suunistega, tagades avalikud teavitamiskanalid, õigusliku kaitse heausksetele teavitajatele ning selle, et kõrvaldamise tähtajad ja avalikustamise praktikad vastavad rahvusvahelistele standarditele. Mõõdikud ja järelanalüüsid on pideva protsessitäiustuse lahutamatu osa. P38 – Turvalise suhtluse ja mitmefaktorilise autentimise poliitika (VKE tüüp) on loodud rakendamiseks organisatsioonides, kus turvastruktuurid on lihtsustatud ja puudub spetsiaalne turbeoperatsioonide keskus. See kohustab MFA-d kõigi juurdepääsupunktide ja privilegeeritud kontode jaoks ning nõuab krüpteeritud kanaleid kõigi sisemiste ja erakorraliste teabevahetuste jaoks. Poliitika sisaldab konkreetseid kasutajate, IT-administraatorite ja tippjuhtkonna kohustusi ning võimaldab dokumenteeritud erandeid koos kompenseerivate kontrollimeetmetega, kui esinevad tehnilised piirangud. Pidev auditeerimine ja regulaarne koolitus tugevdavad kasutuselevõttu, samas kui juhtimine tagab kiired ajakohastused kooskõlas regulatiivsete ja ohumaastiku muutustega. Koos loovad need poliitikad tugeva ja kaitstava NIS2 vastavuse aluse, mis on tihedalt kaardistatud EL-i õiguslike, tehniliste ja teatamisnõuetega ning pakub detailseid operatiivseid tööjuhiseid IT-, riski-, vastavuse-, hanke-, tarnijahaldus- ja juhtimisrollides meeskondadele.