Measúnú riosca ISO 27001 atá réidh le haghaidh iniúchta do NIS2 agus DORA

Bhí an caife ar dheasc Sarah fuar.

Mar Phríomhoifigeach Slándála Faisnéise i bhfiontar fintech a bhí ag fás go tapa, bhí sí cleachta leis an mbrú. Bhí comhpháirtí baincéireachta mór díreach buaite ag an gcuideachta, agus ba cheart gur fhoirmiúlacht a bheadh sa cheistneoir díchill chuí ar a scáileán. Bhí na chéad cheisteanna eolach: cuir Ráiteas Infheidhmeachta ISO/IEC 27001:2022 ar fáil, roinn an clár rioscaí is déanaí, mínigh an mhodheolaíocht measúnaithe riosca.

Ansin d’athraigh an ceistneoir treo.

Léirigh conas a thugann do chlár bainistíochta riosca aghaidh ar DORA. Mínigh d’ullmhacht i leith Threoir NIS2, lena n-áirítear cuntasacht bainistíochta agus bearta riosca don slabhra soláthair. Cuir fianaise ar fáil go ndéantar soláthraithe criticiúla TFC a mheasúnú agus a fhaireachán, agus go bhfuil siad clúdaithe ag pleananna freagartha do theagmhais agus leanúnachais gnó.

Faoi mhaidin Dé Luain, bhí an cheist chéanna ar chlár oibre Choiste Riosca an Bhoird. Iniúchadh deimhniúcháin ISO 27001 i gceann ocht seachtaine. Brú DORA ó chustaiméirí san earnáil airgeadais. Ceisteanna aicmithe NIS2 maidir le líne seirbhíse óstáilte sa scamall a bhí ag leathnú isteach san AE. Dúirt Soláthar go raibh athbhreithnithe soláthraithe ann, ach bhí an fhianaise scaipthe idir ríomhphost, fillteáin chonartha, agus scarbhileog díoltóirí. Dúirt Dlí go raibh an mhapáil rialála fós ar siúl. Dúirt Innealtóireacht go raibh an clár rioscaí déanta den chuid is mó.

Chuir an bord an t-aon cheist a bhí tábhachtach:

An féidir linn a chruthú gur leor ár measúnú riosca agus ár bplean cóireála riosca?

Sin í an fhadhb cheart do chuideachtaí SaaS, fintech, seirbhísí bainistithe, scamall, agus ardáin dhigiteacha. Ní hé an cheist an bhfuil clár rioscaí ann. Ní hé an cheist an bhfuil rialuithe Iarscríbhinn A cóipeáilte isteach i scarbhileog. Is í an cheist an féidir leis an eagraíocht a léiriú, faoi bhrú iniúchta agus custaiméirí, go bhfuil a próiseas measúnaithe riosca ISO 27001 in-athdhéanta, bunaithe ar riosca, faofa ag úinéirí riosca, nasctha le gníomhartha cóireála, mapáilte chuig oibleagáidí dlíthiúla, agus beo ó thaobh oibríochtaí de.

Má dhéantar i gceart é, is féidir le measúnú riosca ISO 27001 amháin agus plean cóireála riosca amháin tacú le deimhniú ISO/IEC 27001:2022, bearta bainistíochta riosca cibearshlándála NIS2 Article 21, ceanglais bhainistíochta riosca TFC DORA, cuntasacht GDPR, dearbhú soláthraithe, ullmhacht teagmhas, agus tuairisciú don bhord.

Má dhéantar go dona é, ní bheidh ann ach scarbhileog a bhrisfidh iniúchóirí síos i gceann tríocha nóiméad.

Léiríonn an treoir seo conas a thógann Clarysec fianaise measúnaithe riosca agus cóireála riosca ISO 27001 atá réidh le haghaidh iniúchta trí úsáid a bhaint as Zenith Blueprint: Treochlár 30 Céim d’Iniúchóir, beartais Clarysec, agus Zenith Controls: An Treoir Tras-Chomhlíonta.

Cén fáth a bhfuil measúnú riosca ISO 27001 ina mhol comhlíonta anois

Tá tírdhreach rialála an AE ag teacht le chéile timpeall ar phrionsabal simplí: ní mór riosca cibearshlándála a rialú, a dhoiciméadú, a thástáil, agus úinéireacht shoiléir a bheith aige.

Oibríonn ISO/IEC 27001:2022 ar an mbealach seo cheana féin. Éilíonn clásail 4.1 go 4.4 ar an eagraíocht a comhthéacs, páirtithe leasmhara, raon feidhme ISMS, agus idirghníomhaíochtaí próisis a thuiscint sula ndéantar riosca a mheasúnú. Éilíonn clásail 6.1.2 agus 6.1.3 próiseas sainithe measúnaithe agus cóireála riosca slándála faisnéise. Éilíonn clásail 8.2 agus 8.3 ar an eagraíocht measúnuithe riosca a dhéanamh agus an plean cóireála a chur chun feidhme agus faisnéis dhoiciméadaithe á coinneáil aici.

Déanann NIS2 agus DORA an loighic chéanna atá bunaithe ar riosca níos práinní.

Éilíonn NIS2 Article 20 ar chomhlachtaí bainistíochta eintiteas riachtanach agus tábhachtach bearta bainistíochta riosca cibearshlándála a fhaomhadh, maoirseacht a dhéanamh ar an gcur chun feidhme, agus oiliúint chibearshlándála a dhéanamh. Éilíonn Article 21 bearta teicniúla, oibríochtúla agus eagraíochtúla iomchuí agus comhréireacha chun rioscaí do chórais líonra agus faisnéise a bhainistiú. Áirítear leis na bearta sin anailís riosca, láimhseáil teagmhas, leanúnachas gnó, slándáil an tslabhra soláthair, forbairt shlán, láimhseáil leochaileachtaí, measúnú éifeachtachta, sláinteachas cibear, cripteagrafaíocht, slándáil acmhainní daonna, rialú rochtana, bainistíocht sócmhainní, agus fíordheimhniú ilfhachtóra nó cumarsáid shlán, de réir mar is cuí.

Cuireann DORA brú comhchosúil ar eintitis airgeadais. Éilíonn Articles 5 agus 6 ar an gcomhlacht bainistíochta socruithe bainistíochta riosca TFC a shainiú, a fhaomhadh, a mhaoirsiú, agus freagracht a choinneáil astu. Tá DORA ag súil le creat doiciméadaithe bainistíochta riosca TFC atá comhtháite sa bhainistíocht riosca fhoriomlán, tacaithe ag beartais, nósanna imeachta, prótacail, uirlisí, iniúchadh inmheánach, leigheas, leanúnachas, tástáil, bainistíocht teagmhas, agus rialachas tríú páirtí TFC.

Tá an chonclúid phraiticiúil dosheachanta: ní bileog oibre d’fhoireann theicniúil a thuilleadh é an clár rioscaí. Is fianaise rialachais é.

Déanann Beartas Bainistíochta Riosca Fiontair Clarysec an t-ionchas seo soiléir:

Ní mór próiseas foirmiúil bainistíochta riosca a choinneáil de réir ISO/IEC 27005 agus ISO 31000, lena gclúdaítear sainaithint riosca, anailís, meastóireacht riosca, cóireáil riosca, faireachán, agus cumarsáid.

Ó Bheartas Bainistíochta Riosca Fiontair, rannán “Ceanglais rialachais,” clásal beartais 5.1.

Sainíonn an beartas céanna an toradh atá réidh le haghaidh iniúchta:

Clár rioscaí agus plean cóireála riosca lárnaithe, faoi rialú leaganacha, a choinneáil, ina léirítear an stádas riosca reatha, clúdach rialuithe, agus dul chun cinn maolaithe.

Ó Bheartas Bainistíochta Riosca Fiontair, rannán “Cuspóirí,” clásal beartais 3.3.

Is í an fhrása sin, “stádas riosca reatha, clúdach rialuithe, agus dul chun cinn maolaithe,” an difear idir comhad comhlíonta statach agus clár riosca is féidir a chosaint.

Tosaigh le raon feidhme, oibleagáidí, agus critéir riosca

Tosaíonn go leor measúnuithe riosca ISO 27001 laga le seicliosta rialuithe. Tá sé sin ar gcúl.

Éilíonn ISO 27001 ar an eagraíocht comhthéacs, ceanglais páirtithe leasmhara, raon feidhme ISMS, freagrachtaí ceannaireachta, agus pleanáil riosca a chinneadh sula roghnaítear rialuithe. Treisíonn ISO/IEC 27005:2022 é seo trí chomhairle a thabhairt d’eagraíochtaí buncheanglais páirtithe leasmhara a shainaithint sula ndéantar riosca a mheasúnú. D’fhéadfadh na ceanglais sin teacht ó chaighdeáin ISO, rialacháin earnála, dlíthe náisiúnta, conarthaí custaiméirí, beartais inmheánacha, gníomhaíochtaí cóireála roimhe seo, agus oibleagáidí soláthraithe.

I gcás cuideachta SaaS nó fintech atá os comhair an AE, ba cheart don phróiseas riosca tosú le fardal comhlíonta agus oibleagáidí.

Maidir le FGBManna, leagann Beartas um Chomhlíonadh Dlíthiúil agus Rialála - SME de chuid Clarysec an pointe tosaigh amach:

Ní mór don Bhainisteoir Ginearálta Clár Comhlíonta simplí, struchtúrtha a choinneáil ina liostaítear:

Ó Bheartas um Chomhlíonadh Dlíthiúil agus Rialála SME, rannán “Ceanglais rialachais,” clásal beartais 5.1.1.

Is droichead é an clár simplí sin idir comhlíonadh agus bainistíocht riosca. Má deir sé go bhfuil GDPR infheidhme toisc go bpróiseáiltear sonraí pearsanta AE, go bhféadfadh NIS2 a bheith infheidhme toisc go soláthraíonn an eagraíocht seirbhísí digiteacha nó bainistithe, nó go bhfuil DORA ábhartha trí chustaiméirí san earnáil airgeadais, ní mór do na hoibleagáidí sin tionchar a imirt ar chritéir riosca agus ar thosaíochtaí cóireála.

Tá Zenith Blueprint díreach ar an bpointe seo sa chéim Bainistíocht Riosca, Céim 10, “Critéir riosca agus maitrís tionchair a bhunú”:

Cuir ceanglais dhlíthiúla/rialála san áireamh freisin i do chritéir ghlactha. D’fhéadfadh roinnt rioscaí a bheith do-ghlactha beag beann ar dhóchúlacht mar gheall ar dhlíthe.

Ó Zenith Blueprint, céim Bainistíocht Riosca, Céim 10.

Tugann sé riail phraiticiúil freisin do cheardlanna:

“Aon riosca a d’fhéadfadh neamhchomhlíonadh dlíthe infheidhme (GDPR, srl.) a chruthú, níl sé inghlactha agus ní mór é a mhaolú.”

Ó Zenith Blueprint, céim Bainistíocht Riosca, Céim 10.

I gcás fintech Sarah, athraíonn sé sin an tsamhail scórála. D’fhéadfadh dóchúlacht íseal a bheith ag leochaileacht API soláthraí, ach má d’fhéadfadh saothrú teagmhas mór a bhaineann le TFC faoi DORA, teagmhas suntasach NIS2, measúnú sáraithe GDPR, teip SLA custaiméara, nó uaschéimniú go leibhéal an Bhoird a spreagadh, tá an tionchar ard nó criticiúil. Éiríonn nochtadh comhlíonta mar chuid den loighic riosca, ní mar scarbhileog ar leith.

Tóg clár rioscaí ar féidir le hiniúchóirí é a thástáil

Ní iarrann iniúchóirí amháin cad iad do phríomhrioscaí. Tástálann siad an bhfuil do mhodh sainithe, in-athdhéanta, inrianaithe, agus á leanúint.

Cuirfidh siad ceisteanna mar seo:

• Conas a shainaithin tú na rioscaí seo?
• Cé na sócmhainní, seirbhísí, soláthraithe, cineálacha sonraí, agus próisis a bhí sa raon feidhme?
• Cé na critéir a úsáideadh le haghaidh dóchúlachta agus tionchair?
• Cé atá ina úinéir ar gach riosca?
• Cé na rialuithe atá ann cheana a laghdaíonn an riosca?
• Cén fáth ar roghnaíodh an cinneadh cóireála?
• Cá bhfuil an fhianaise gur tharla an chóireáil?
• Cé a d’fhaomh an riosca iarmharach?
• Cathain a dhéanfar athmheasúnú ar an riosca?

Gabhann Beartas Bainistíochta Riosca - SME de chuid Clarysec an iontráil riosca íosta atá réidh le haghaidh iniúchta:

Ní mór cur síos, dóchúlacht, tionchar, scór, úinéir, agus plean cóireála a bheith i ngach iontráil riosca.

Ó Bheartas Bainistíochta Riosca SME, rannán “Ceanglais rialachais,” clásal beartais 5.1.2.

I gcás clár fiontair, leathnaíonn Zenith Blueprint, céim Bainistíocht Riosca, Céim 11, “An clár rioscaí a thógáil agus a dhoiciméadú,” an struchtúr. Molann sé colúin amhail aitheantas riosca, sócmhainn, bagairt, leochaileacht, cur síos ar riosca, dóchúlacht, tionchar, leibhéal riosca, rialuithe reatha, úinéir riosca, cinneadh cóireála, plean cóireála nó rialuithe, agus stádas.

Seo sampla d’iontráil riosca láidir:

Tá sé seo difriúil go hábhartha ó “Riosca tríú páirtí, Ard, maolaigh.” Nascann an leagan atá réidh le haghaidh iniúchta sócmhainn, bagairt, leochaileacht, iarmhairt, rialuithe reatha, úinéir, rialachán, fianaise, agus rialachas.

Iompaigh cóireáil riosca ina plean fianaise

Ní mór do phlean cóireála riosca ceithre cheist oibríochtúla a fhreagairt:

1. Cad a dhéanfaidh muid?
2. Cé atá ina úinéir air?
3. Cathain a bheidh sé déanta?
4. Conas a chruthóimid gur laghdaigh sé riosca?

Éilíonn ISO/IEC 27001:2022 Clause 6.1.3 ar an eagraíocht roghanna cóireála a roghnú, rialuithe riachtanacha a chinneadh, iad a chur i gcomparáid le hIarscríbhinn A chun easnaimh a sheachaint, Ráiteas Infheidhmeachta a tháirgeadh, plean cóireála a fhoirmliú, agus faomhadh úinéir riosca a fháil don phlean agus do rioscaí iarmharacha. Éilíonn Clause 8.3 ansin cur chun feidhme an phlean cóireála agus faisnéis dhoiciméadaithe a choinneáil faoi na torthaí.

Déanann Beartas Bainistíochta Riosca Fiontair é seo praiticiúil:

Ní mór don Oifigeach Riosca a chinntiú go bhfuil cóireálacha réalaíoch, faoi theorainn ama, agus mapáilte chuig rialuithe Iarscríbhinn A ISO/IEC 27001.

Ó Bheartas Bainistíochta Riosca Fiontair, rannán “Ceanglais chun an beartas a chur chun feidhme,” clásal beartais 6.4.2.

Soiléiríonn beartas SME freisin nach aicearra é glacadh:

Glac: Tabhair údar cén fáth nach bhfuil gá le gníomh breise agus taifead an riosca iarmharach.

Ó Bheartas Bainistíochta Riosca SME, rannán “Ceanglais chun an beartas a chur chun feidhme,” clásal beartais 6.1.1.

Ní mór glacadh a údarú i gcoinne critéar, a fhaomhadh ag an úinéir ceart, agus a fhaireachán. Faoi NIS2 agus DORA, d’fhéadfadh riosca iarmharach gan fhaomhadh a bheith ina theip rialachais.

Ba cheart na réimsí seo a bheith i bplean cóireála iomlán:

I gcás R-042 Sarah, éiríonn an plean cóireála ina liosta gníomhartha tras-chomhlíonta.

Tá an plean seo láidir mar go gcruthaíonn sé líne dhíreach ó chás riosca amháin go rialuithe ISO 27001, oibleagáidí NIS2, airteagail DORA, úinéirí, agus fianaise.

Cuir an Ráiteas Infheidhmeachta ag obair níos crua

Is minic a chaitear leis an Ráiteas Infheidhmeachta mar dhéantán deimhniúcháin. Ba cheart dó a bheith níos mó ná sin.

Éilíonn ISO/IEC 27001:2022 Clause 6.1.3 ar an SoA na rialuithe riachtanacha, an t-údar lena gcur san áireamh, stádas cur chun feidhme, agus an t-údar le heisiaimh a áireamh. Treisíonn treoir ISO/IEC 27005:2022 an gá rialuithe roghnaithe a chur i gcomparáid le hIarscríbhinn A ISO/IEC 27001 chun easnaimh a sheachaint.

I gclár atá réidh le haghaidh iniúchta, éiríonn an SoA ina dhroichead idir cóireáil riosca agus fianaise tras-chomhlíonta. Má éilíonn plean cóireála MFA, logáil, faireachán soláthraithe, athshlánú cúltaca, forbairt shlán, uaschéimniú teagmhais, nó pleanáil scoir scamall, ba cheart don SoA a thaispeáint go bhfuil na rialuithe ábhartha Iarscríbhinn A san áireamh, údaraithe, curtha chun feidhme nó beartaithe, agus tacaithe le fianaise.

Cabhraíonn sé seo freisin le teip iniúchta choitianta a sheachaint: deir an clár rioscaí rud amháin, deir an plean cóireála rud eile, agus tá an SoA ina thost. Nuair nach n-aontaíonn na déantáin sin, cailleann iniúchóirí muinín go tapa.

Mapáil cóireáil riosca ISO 27001 chuig NIS2, DORA, agus GDPR

Ní thagann ISO 27001 in ionad NIS2, DORA, ná GDPR. Tugann sé sásra struchtúrtha duit chun fianaise a tháirgeadh dóibh.

Is é an príomhphointe ná mapáil a chur isteach sa phróiseas riosca seachas í a chur leis níos déanaí.

Tá an mhapáil seo thar a bheith tábhachtach nuair a fhorluíonn rialacháin. Is é DORA an córas athléimneachta TFC earnáilsonrach do go leor eintiteas airgeadais, agus d’fhéadfadh NIS2 fanacht ábhartha go díreach do sholáthraithe áirithe, do chomhordú, nó d’eintitis lasmuigh de raon feidhme DORA. D’fhéadfadh DORA a bheith ag teastáil ó fintech mar phríomhchreat athléimneachta TFC, agus d’fhéadfadh soláthraí seirbhíse bainistithe a thacaíonn leis an fintech sin a bheith faoi oibleagáidí díreacha NIS2.

Ní mór don chlár rioscaí a bheith in ann an dá thaobh den spleáchas sin a thaispeáint.

Úsáid Zenith Controls mar threoir tras-chomhlíonta

Úsáideann Clarysec Zenith Controls mar threoir tras-chomhlíonta chun an teip choitianta a chosc ina gcónaíonn rialuithe ISO, airteagail rialála, agus ceisteanna iniúchta i ndomhan ar leith. Ní chruthaíonn sé creat rialuithe ar leith. Mapálann sé réimsí rialaithe ISO/IEC 27001:2022 agus ISO/IEC 27002:2022 chuig caighdeáin eile, ionchais iniúchta, agus peirspictíochtaí comhlíonta.

Maidir le measúnú riosca agus cóireáil riosca ISO 27001, tá na tagairtí seo thar a bheith tábhachtach:

Tá an ceacht tras-chomhlíonta simplí. Mura bhfuil oibleagáidí dlíthiúla sa mhodh measúnaithe riosca, tá do scóráil neamhiomlán. Má tá an scóráil neamhiomlán, d’fhéadfadh na tosaíochtaí cóireála a bheith mícheart. Má tá na tosaíochtaí mícheart, éiríonn an SoA agus tuairisciú don bhord neamhiontaofa.

Déanann Zenith Blueprint an pointe céanna i gcéim Bainistíocht Riosca, Céim 14, “Beartais cóireála riosca agus tras-tagairtí rialála.” Molann sé d’eagraíochtaí tábla mapála a chruthú ina liostaítear príomhcheanglais slándála rialála agus na rialuithe nó beartais chomhfhreagracha san ISMS. Níl sé seo éigeantach le haghaidh deimhniú ISO 27001, ach tá sé an-úsáideach chun a léiriú go bhfuil slándáil á bainistiú i gcomhthéacs dlíthiúil agus conarthach.

Cad a iarrfaidh iniúchóirí éagsúla

D’fhéadfadh iniúchóir deimhniúcháin, athbhreithneoir atá dírithe ar NIS2, custaiméir atá dírithe ar DORA, athbhreithneoir GDPR, measúnóir NIST, nó cleachtóir COBIT an fhianaise chéanna a scrúdú ach ceisteanna éagsúla a chur.

Sin é an fáth a bhfuil ailtireacht fianaise tábhachtach. Ba cheart go mbeadh an iontráil riosca chéanna inrianaithe ó chuspóir gnó go sócmhainn, bagairt, leochaileacht, rialú, úinéir, tiománaí rialála, gníomh cóireála, toradh tástála, agus cinneadh bainistíochta.

Tá beartais Clarysec deartha chun tacú leis an ailtireacht sin. Deir Beartas Bainistíochta Riosca Fiontair faoin rannán “Caighdeáin agus creataí tagartha”:

Article 5: Sainordaíonn sé creat doiciméadaithe bainistíochta riosca TFC, atá clúdaithe go hiomlán ag struchtúr an bheartais seo, lena n-áirítear mapáil SoA agus KRInna.

Iompaíonn sé seo an beartas ó dhoiciméad statach ina fhianaise iniúchta a thaispeánann gur dearadh rialachas riosca TFC go hintinneach agus DORA san áireamh.

Fionnachtana coitianta a bhriseann cláir riosca

Nuair a dhéanann Clarysec athbhreithniú ar fhianaise measúnaithe riosca agus cóireála riosca ISO 27001, tagann na fionnachtana céanna chun cinn arís agus arís eile.

Ar dtús, déanann critéir riosca neamhaird de thionchar dlíthiúil, rialála, conarthach, soláthraithe agus príobháideachais. Cruthaíonn sé seo scóráil lag. D’fhéadfadh sárú sonraí pearsanta nó teip soláthraí criticiúil a bheith rátáilte mar Mheánach toisc go bhfuil an dóchúlacht íseal, cé gur cheart do thionchar GDPR, NIS2, DORA, nó custaiméara é a dhéanamh Ard nó Criticiúil.

Ar an dara dul síos, tá úinéirí riosca cineálach. Ní úinéir riosca é “TF”. Ba cheart gur ról nó duine atá cuntasach as cinntí cóireála, buiséad, uainiú, agus riosca iarmharach a bheadh in úinéir riosca.

Ar an tríú dul síos, níl pleananna cóireála faoi theorainn ama. Ní plean é “Feabhsaigh faireachán”. Is plean é “Foláirimh seisiúin phribhléideacha a imscaradh sa SIEM do chuntais riaracháin táirgthe faoin 30 Meitheamh, faoi úinéireacht Bhainisteoir SOC, tástáilte trí logáil isteach riaracháin ionsamhlaithe, agus fianaise foláirimh ceangailte.”

Ar an gceathrú dul síos, tá an SoA dícheangailte ón gcóireáil. Má éilíonn an plean cóireála faireachán soláthraithe, tástáil cúltaca, uaschéimniú teagmhais, MFA, nó logáil, ba cheart don SoA na rialuithe ábhartha agus an stádas cur chun feidhme a léiriú.

Ar an gcúigiú dul síos, níl riosca iarmharach faofa. Éilíonn ISO 27001 faomhadh úinéir riosca ar an bplean cóireála agus ar rioscaí iarmharacha. Déanann NIS2 agus DORA é seo níos tábhachtaí fós toisc go bhfuil cuntasacht bainistíochta sainráite.

Ar an séú dul síos, caitear le riosca soláthraithe mar riarachán soláthair. Faoi NIS2 Article 21(2)(d) agus DORA Articles 28 agus 30, ní mór riosca soláthraithe agus tríú páirtí TFC a bheith mar chuid de bhainistíocht riosca, ní ceistneoir bliantúil a stóráiltear ina aonar.

Ar an seachtú dul síos, níl aon fhianaise ar éifeachtacht ann. Éilíonn ISO 27001 Clause 6.1.1 go ndéanfaí gníomhartha pleanáilte a mheas ó thaobh éifeachtachta de. Áiríonn NIS2 measúnú éifeachtachta in Article 21(2)(f). Tá DORA ag súil le tástáil agus leigheas. Is fianaise lag é rialú atá ann ach nach ndéantar a thástáil riamh.

Leagann Beartas Bainistíochta Riosca - SME an t-ionchas amach go soiléir:

Ní mór don Bhainisteoir Ginearálta agus don Chomhordaitheoir Riosca a chinntiú go bhfuil gníomhaíochtaí bainistíochta riosca réidh le haghaidh iniúchta. Tá an clár rioscaí agus na gníomhartha gaolmhara faoi réir iniúchta inmheánaigh agus sheachtraigh.

Ó Bheartas Bainistíochta Riosca SME, rannán “Cur chun feidhme agus comhlíonadh,” clásal beartais 8.2.1.

Tuairisciú don bhord gan feidhmeannaigh a bhá

Díríonn NIS2, DORA, agus ISO 27001 go léir ar chuntasacht bainistíochta, ach ní theastaíonn gach líne riosca ó bhoird. Teastaíonn tuairisciú uathu a thacaíonn le cinnteoireacht.

Ba cheart go léireodh pacáiste maith riosca don bhord:

• Rioscaí Arda agus Criticiúla de réir fearainn
• Gníomhartha cóireála atá thar téarma
• Rioscaí rialála a bhaineann le NIS2, DORA, GDPR, nó conarthaí
• Rioscaí soláthraithe a théann i bhfeidhm ar sheirbhísí criticiúla nó tábhachtacha
• Treochtaí teagmhas agus neasteagmhas
• Rioscaí iarmharacha atá ag fanacht le glacadh
• Torthaí tástála éifeachtacht rialuithe
• Athruithe ábhartha ar raon feidhme, soláthraithe, teicneolaíocht, nó dlí
• Fionnachtana iniúchta inmheánaigh agus gníomhartha ceartaitheacha

De ghnáth molann Clarysec athbhreithnithe riosca oibríochtúla míosúla agus athbhreithnithe bainistíochta ráithiúla. Díríonn athbhreithnithe míosúla ar sheachadadh cóireála. Díríonn athbhreithnithe ráithiúla ar ghlacadh, maoiniú, tosaíochtú, nochtadh rialála, agus cinntí riosca straitéiseacha.

Tacaíonn an rithim seo freisin le feabhsú leanúnach. Ba cheart measúnuithe riosca a nuashonrú nuair a tharlaíonn teagmhais, nuair a thagann leochaileachtaí chun cinn, nuair a thugtar sócmhainní nua isteach, nuair a athraíonn teicneolaíocht, nuair a athraíonn soláthraithe, nuair a athraíonn dlíthe, nuair a athraíonn oibleagáidí custaiméirí, nó nuair a athraíonn goile riosca.

Conair chur chun feidhme Clarysec

Seachnaíonn clár riosca aontaithe scarbhileoga dícheangailte ISO, NIS2, DORA, GDPR, agus dearbhaithe custaiméirí. Seo an chonair phraiticiúil:

1. Deimhnigh raon feidhme ISMS, seirbhísí, sócmhainní, soláthraithe, dlínsí, agus oibleagáidí custaiméirí.
2. Tóg nó nuashonraigh an Clár Comhlíonta trí úsáid a bhaint as Beartas um Chomhlíonadh Dlíthiúil agus Rialála - SME nuair is cuí.
3. Sainigh modheolaíocht riosca, critéir ghlactha, scálaí dóchúlachta, scálaí tionchair, agus rialacha tionchair rialála.
4. Tóg an clár rioscaí trí úsáid a bhaint as céim Bainistíocht Riosca Zenith Blueprint agus cur chuige Clarysec maidir le clár rioscaí agus SoA Builder.
5. Sainaithin rioscaí bunaithe ar shócmhainní agus bunaithe ar chásanna, lena n-áirítear cásanna soláthraithe, scamall, príobháideachais, leanúnachais, teagmhais, leochaileachta, forbairt shlán, agus rochtana.
6. Scóráil rioscaí trí úsáid a bhaint as critéir a chuimsíonn tionchar dlíthiúil, rialála, conarthach, oibríochtúil, príobháideachais, soláthraithe, agus airgeadais.
7. Roghnaigh roghanna cóireála: maolaigh, seachain, aistrigh, nó glac.
8. Mapáil rialuithe riachtanacha chuig Iarscríbhinn A ISO/IEC 27001:2022 agus treoir ISO/IEC 27002:2022.
9. Cruthaigh nó nuashonraigh an Ráiteas Infheidhmeachta.
10. Mapáil cóireálacha chuig NIS2 Article 21, bainistíocht riosca TFC DORA agus ionchais tríú páirtí, cuntasacht GDPR, agus oibleagáidí conarthacha custaiméirí.
11. Bailigh fianaise, bailíochtaigh éifeachtacht rialuithe, agus faigh faomhadh riosca iarmharaigh.
12. Ullmhaigh pacáiste iniúchta eagraithe de réir riosca, rialaithe, rialacháin, agus déantán fianaise.
13. Cuir torthaí isteach in athbhreithniú bainistíochta, iniúchadh inmheánach, gníomh ceartaitheach, agus feabhsú leanúnach.

Ní páipéarachas ar mhaithe leis féin é seo. Is é an córas oibriúcháin é do rialachas cibear is féidir a chosaint.

Tóg pacáiste cóireála riosca atá réidh le haghaidh iniúchta

Críochnaíonn scéal Sarah go maith toisc gur stop sí ag caitheamh le ISO 27001, NIS2, agus DORA mar thionscadail chomhlíonta ar leith. D’úsáid sí measúnú riosca ISO 27001 mar an t-inneall lárnach, leabaigh sí oibleagáidí rialála i gcritéir riosca, mhapáil sí gníomhartha cóireála chuig Iarscríbhinn A agus ceanglais AE, agus bhailigh sí fianaise a thuigfeadh custaiméirí, iniúchóirí, agus an bord.

Is féidir le d’eagraíocht an rud céanna a dhéanamh.

Úsáid Zenith Blueprint: Treochlár 30 Céim d’Iniúchóir chun critéir riosca a shainiú, an clár rioscaí a thógáil, an plean cóireála riosca a chruthú, agus ceanglais rialála a thras-tagairt.

Úsáid Zenith Controls: An Treoir Tras-Chomhlíonta chun réimsí rialaithe Iarscríbhinn A ISO/IEC 27001:2022 a nascadh le rialachas, comhlíonadh dlíthiúil, dearbhú, agus peirspictíochtaí iniúchta.

Úsáid Beartas Bainistíochta Riosca, Beartas Bainistíochta Riosca - SME, agus Beartas um Chomhlíonadh Dlíthiúil agus Rialála - SME de chuid Clarysec chun úinéireacht, cláir, cinntí cóireála, agus fianaise atá réidh le haghaidh iniúchta a chaighdeánú.

Is é an chéad chéim phraiticiúil is tapúla ná do dheich bpríomhriosca a thógáil agus iad a thástáil i gcoinne cúig cheist:

1. An bhfuil an tionchar rialála infheicthe?
2. An bhfuil an plean cóireála faoi theorainn ama agus faoi úinéireacht shoiléir?
3. An bhfuil gach cóireáil mapáilte chuig Iarscríbhinn A agus an SoA?
4. An bhfuil ábharthacht NIS2, DORA, GDPR, nó custaiméara doiciméadaithe nuair is infheidhme?
5. An bhfuil fianaise ann go n-oibríonn an rialú?

Más é “níl” an freagra, is féidir le Clarysec cabhrú le do chlár rioscaí a iompú ina chlár cóireála riosca tras-chomhlíonta, inchosanta, a mbeidh muinín ag iniúchóirí, rialálaithe, custaiméirí, agus boird ann.