Ullmhacht do Ghníomh um Chibear-Dhlúthpháirtíocht an AE le ISO 27001

An teagmhas 03:17 a dhéanann saincheist iniúchta de chomhoibriú an AE

Ag 03:17 maidin Dé Máirt, tá Maria, CISO InnovateCloud, ag stánadh ar scáileán lán d’fholáirimh. Is soláthraí SaaS Eorpach meánmhéide í a cuideachta a fhreastalaíonn ar chustaiméirí lóistíochta ar fud na Gearmáine, na Fraince agus na Polainne. Léiríonn an chéad fholáireamh rochtain phribhléideach amhrasach i dtionónta táirgthe. Deich nóiméad ina dhiaidh sin, tuairiscíonn an soláthraí seirbhíse slándála bainistithe gníomhaíocht chomhchosúil a bhfuil tionchar aici ar bheirt chustaiméirí eile. Faoi 04:00, feiceann an SOC glaonna API ó bhonneagar a bhí nasctha roimhe seo le stáitsiú earraí fuascailte.

Níorbh é InnovateCloud an sprioc bhunaidh. Is cosúil go bhfuil soláthraí croíbhonneagair laistigh den chrios tionchair. Is fadhb Maria anois, áfach, an tionchar.

Tá banc Gearmánach amháin lena mbaineann ag lorg freagraí faoi DORA. Is soláthraí criticiúil san earnáil fuinnimh custaiméir eile, atá aicmithe cheana faoi rialacha náisiúnta NIS2. D’fhéadfadh sonraí pearsanta a bheith sa timpeallacht, ach níl eis-scagadh sonraí deimhnithe fós. Tá an fhoireann slándála ag iarraidh an bhagairt a theorannú láithreach. Tá an fhoireann dlí ag iarraidh a fháil amach an bhfuil clog rabhaidh luath 24 uair an chloig NIS2 tosaithe. Tá an ceannaire príobháideachais ag fiafraí an bhféadfadh fógra sáraithe GDPR a bheith riachtanach. Tá an bord ag iarraidh a fháil amach an bhféadfadh an briseadh scaipeadh thar Bhallstáit.

In 2026, ní géarchéim inmheánach amháin é seo a thuilleadh.

Athraíonn Gníomh um Chibear-Dhlúthpháirtíocht an AE an réaltacht oibríochtúil do mhórtheagmhais chibear agus do theagmhais trasteorann. Tugann sé isteach sásraí braite, ullmhachta agus freagartha ar leibhéal an AE, lena n-áirítear Córas Eorpach Foláirimh Chibearshlándála, Sásra Éigeandála Cibearshlándála agus Cúlchiste Cibearshlándála an AE. Fiú mura n-iarrann eagraíocht cabhair go díreach ón gcúlchiste riamh, d’fhéadfadh a fianaise, teagmhálacha údarás, conarthaí soláthraithe, amlínte teagmhais agus cumarsáidí custaiméirí a bheith mar chuid de shlabhra freagartha Eorpach níos leithne.

Tagann an bhearna chun solais go tapa. Tá uirlisí, ticéid agus beartais ag go leor eagraíochtaí, ach níl fianaise acu a sheasann do ghrinnscrúdú rialála. Is féidir leo a rá, “rinneamar teagmháil leis an rialálaí,” ach ní féidir leo a chruthú cé a bhí údaraithe, cén tairseach a spreag an teagmháil, cad a cuireadh in iúl, ar caomhnaíodh logaí, an raibh oibleagáid chonarthach ar sholáthraí cabhrú, nó an féidir tuarascáil deiridh a atógáil ó chinntí comhaimseartha.

Ní “ceanglóir Gníomh um Chibear-Dhlúthpháirtíocht” scoite eile an freagra. Is é an freagra Córas Bainistíochta Slándála Faisnéise ISO/IEC 27001:2022 a tháirgeann fianaise uair amháin agus a athúsáideann í thar ionchais NIS2, DORA, GDPR, NIST CSF 2.0 agus COBIT 2019.

Tosaíonn an fhianaise sin roimh an teagmhas.

Cén fáth a n-ardaíonn Gníomh um Chibear-Dhlúthpháirtíocht an AE an caighdeán fianaise

Tá Gníomh um Chibear-Dhlúthpháirtíocht deartha do bhrath chibear, d’ullmhacht agus d’fhreagairt géarchéime ar leibhéal an AE. Tá a éifeacht phraiticiúil do CISOanna, iniúchóirí agus bainisteoirí comhlíonta soiléir: éilíonn comhordú mórtheagmhas fianaise níos tapúla, níos glaine, níos comhsheasmhaí agus níos éasca a chomhroinnt le páirtithe leasmhara iontaofa.

Nuair is féidir tionchar trasteorann a bheith ann, d’fhéadfadh ar eagraíocht comhordú a dhéanamh le CSIRTanna náisiúnta, údaráis inniúla, rialálaithe earnála, údaráis chosanta sonraí, maoirseoirí airgeadais, forfheidhmiú an dlí, custaiméirí, próiseálaithe, soláthraithe agus freagróirí seachtracha teagmhas. Cuireann Cúlchiste Cibearshlándála an AE gné eile leis toisc go bhféadfadh soláthraithe príobháideacha réamhscagtha tacú le hullmhacht, freagairt agus téarnamh. Fágann sin go bhfuil rialachas soláthraithe, údarás dlíthiúil, láimhseáil sonraí agus caomhnú fianaise níos tábhachtaí fós.

Tá eintitis phríobháideacha i lár na réaltachta seo. Is minic a bhíonn an teiliméadracht, na logaí, sonraí tionchair custaiméirí agus na fíricí teicniúla atá de dhíth ar údaráis chun mórtheagmhas a thuiscint ag soláthraithe scamall, ionaid sonraí, soláthraithe seirbhíse bainistithe, soláthraithe seirbhíse slándála bainistithe, oibreoirí bonneagair dhigitigh, fintechs agus ardáin SaaS.

Tá NIS2 ag díriú sa treo seo cheana. Baineann sé le go leor eintiteas meánmhéide agus mór in earnálacha Iarscríbhinn I agus Iarscríbhinn II a sholáthraíonn seirbhísí nó a dhéanann gníomhaíochtaí san AE. Clúdaíonn sé eintitis áirithe beag beann ar mhéid freisin, lena n-áirítear soláthraithe seirbhísí iontaoibhe, soláthraithe seirbhíse DNS, clárlanna fearainn barrleibhéil agus soláthraithe seirbhíse cláraithe ainmneacha fearainn. Áirítear le hIarscríbhinn I bonneagar digiteach amhail seirbhísí ríomhaireachta scamall, seirbhísí ionad sonraí, líonraí seachadta inneachair, soláthraithe DNS, soláthraithe seirbhísí iontaoibhe agus clárlanna TLD. Áirítear léi bainistíocht seirbhísí TFC B2B freisin, lena n-áirítear soláthraithe seirbhíse bainistithe agus soláthraithe seirbhíse slándála bainistithe. Áirítear le hIarscríbhinn II soláthraithe digiteacha amhail margaí ar líne, innill chuardaigh ar líne agus ardáin seirbhísí líonraithe shóisialta.

Cuireann DORA dara sraith leis don earnáil airgeadais. Ó 17 Eanáir 2025 i leith, baineann sé le raon leathan eintiteas airgeadais, lena n-áirítear institiúidí creidmheasa, institiúidí íocaíochta, institiúidí airgid leictreonaigh, gnólachtaí infheistíochta, soláthraithe seirbhíse criptea-shócmhainní, ionaid trádála, gnóthais árachais agus athárachais, gníomhaireachtaí rátála creidmheasa, soláthraithe seirbhíse maoinithe slua agus eile. Cruthaíonn sé ionchais shuntasacha freisin do sholáthraithe seirbhíse TFC tríú páirtí toisc go bhfanann eintitis airgeadais cuntasach as seirbhísí TFC seachfhoinsithe.

Dá bhrí sin, d’fhéadfadh teagmhas fintech in 2026 a bheith comhordaithe trí chainéil mhaoirseachta DORA, agus d’fhéadfadh an soláthraí SaaS nó MSSP a thacaíonn leis an fintech sin a bheith faoi NIS2. Is féidir leis an imeacht teicniúil céanna dualgais tuairiscithe, ionchais fianaise agus oibleagáidí conarthacha éagsúla a chruthú d’aisteoirí éagsúla.

Tugann ISO/IEC 27001:2022 an córas oibriúcháin d’eagraíochtaí chun an chastacht seo a bhainistiú. Éilíonn clásail 4.1 go 4.4 ar an eagraíocht an ISMS a shainiú ina comhthéacs gnó, páirtithe leasmhara agus a gceanglais dhlíthiúla, rialála agus chonarthacha a shainaithint, teorainneacha agus spleáchais a shainiú, agus an córas bainistíochta a bhunú. Déanann clásail 5.1 go 5.3 ceannaireacht cuntasach as beartas, acmhainní, comhtháthú agus sannadh ról. Éilíonn clásail 6.1.1 go 6.1.3 measúnú riosca in-athdhéanta, cóireáil riosca agus Ráiteas Infheidhmeachta. Éilíonn clásal 8.1 rialú oibríochtúil, lena n-áirítear rialú ar phróisis, táirgí agus seirbhísí a sholáthraítear go seachtrach.

Seo croí ullmhachta do Ghníomh um Chibear-Dhlúthpháirtíocht: a chruthú go bhfuil freagairt ghéarchéime bainistithe, tástáilte agus in-iniúchta, seachas seiftithe.

Samhail fianaise Clarysec: aon teagmhas amháin, go leor oibleagáidí

Ní fhanann teagmhas trasteorann fad atá foirne dlí á aicmiú. Ní mór fianaise a ghabháil ón gcéad fholáireamh, agus ansin í a threorú isteach sna conairí tuairiscithe agus comhordaithe cuí.

Ceanglaíonn cur chuige Clarysec trí shócmhainn:

1. Zenith Blueprint: Treochlár 30 céim d’iniúchóirí Zenith Blueprint, a sholáthraíonn turas seicheamhaithe atá réidh don iniúchadh chun ISO/IEC 27001:2022 a chur chun feidhme.
2. Zenith Controls: An treoir tras-chomhlíonta Zenith Controls, a mhapálann rialuithe ISO/IEC 27002:2022 chuig rialuithe gaolmhara, tréithe, cumais oibríochtúla, fearainn slándála agus ionchais fianaise tras-chreata.
3. Teimpléid bheartais Clarysec le haghaidh freagairt do theagmhais, bailiú fianaise, slándáil soláthraithe, logáil, faireachán agus leanúnachas gnó, oiriúnaithe do thimpeallachtaí fiontair agus FBManna.

Sa Zenith Blueprint, sa chéim Controls in Action, díríonn Céim 22 ar rialú ISO/IEC 27002:2022 5.5, Teagmháil le húdaráis. Deir sé:

Cinntíonn Rialú 5.5 go bhfuil eagraíocht ullmhaithe chun idirghníomhú le húdaráis sheachtracha nuair is gá, ní go huathoibríoch ná faoi phaníc, ach trí bhealaí réamhshainithe, struchtúrtha agus dea-thuigthe.

Cuireann an chuid chéanna an cheist ar cheart do gach CISO í a fhreagairt roimh ghéarchéim:

dá ndíreofaí cibearionsaí ar d’eagraíocht, dá mbeadh sí páirteach i sárú sonraí, nó faoi imscrúdú, cé a dhéanfadh an glao chuig na húdaráis? Conas a bheadh a fhios acu cad ba cheart a rá? Faoi cad iad na coinníollacha a thionscnófaí teagmháil den sórt sin?

Ní páipéarachas riaracháin é sin. I dtimpeallacht Gníomh um Chibear-Dhlúthpháirtíocht, is é an difríocht é idir rabhadh luath socair agus teachtaireachtaí contrártha thar dhlínsí.

Déileálann Zenith Controls le rialú ISO/IEC 27002:2022 5.5, Teagmháil le húdaráis, mar rialú coisctheach agus ceartaitheach, ceangailte le rúndacht, sláine agus infhaighteacht, agus ailínithe le coincheapa Identify, Protect, Respond agus Recover. Ceanglaíonn sé 5.5 le pleanáil agus ullmhúchán bainistíochta teagmhas, tuairisciú imeachtaí, faisnéis bagairtí, grúpaí sainleasa agus freagairt do theagmhais.

Déileálann an treoir chéanna le rialú ISO/IEC 27002:2022 5.24, Pleanáil agus ullmhúchán bainistíochta teagmhas slándála faisnéise, mar rialú ceartaitheach ceangailte le Respond agus Recover. Léiríonn a naisc le measúnú imeachtaí, freagairt do theagmhais, ceachtanna foghlamtha, logáil, faireachán, slándáil le linn cur isteach agus leanúnachas an rud a thástálann iniúchóirí go minic: an nascann do phlean brath, aicmiú, uaschéimniú, fianaise, téarnamh agus foghlaim.

Maidir le láimhseáil fianaise, tá rialú ISO/IEC 27002:2022 5.28, Bailiú fianaise, ríthábhachtach. Ceanglaíonn Zenith Controls é le freagairt do theagmhais, logáil, faireachán agus tuairisciú imeachtaí. I dteagmhas tromchúiseach trasteorann, is anseo a éiríonn imscrúdú teicniúil inchosanta.

Ullmhacht do Ghníomh um Chibear-Dhlúthpháirtíocht a mhapáil chuig fianaise ISO 27001

Cruthaíonn Gníomh um Chibear-Dhlúthpháirtíocht an AE timpeallacht ullmhachta agus comhordaithe. Soláthraíonn ISO/IEC 27001:2022 an t-inneall fianaise. Sainíonn NIS2, DORA agus GDPR go leor ionchas sonrach tuairiscithe, rialachais agus cosanta.

Tabhair faoi deara an rud atá as láthair: silo comhlíonta ar leith. Is féidir leis an bhfianaise chéanna a thacaíonn le deimhniú ISO/IEC 27001:2022 tacú le cuntasacht bainistíochta NIS2, bainistíocht riosca TFC DORA, cuntasacht slándála GDPR, torthaí cumarsáide NIST CSF agus ionchais dearbhaithe COBIT 2019.

NIS2: tosaíonn an clog tuairiscithe nuair a thosaíonn an fheasacht

Tá NIS2 lárnach d’ullmhacht 2026 toisc go sainíonn sé sreabhadh oibre céimnithe tuairiscithe teagmhais.

Éilíonn Article 23 ar eintitis riachtanacha agus thábhachtacha a CSIRT nó údarás inniúil a chur ar an eolas gan moill mhíchuí faoi theagmhais shuntasacha a théann i bhfeidhm ar sholáthar seirbhíse. Ní mór an rabhadh luath a chur isteach gan moill mhíchuí agus tráth nach déanaí ná 24 uair an chloig tar éis dóibh bheith ar an eolas faoin teagmhas suntasach. Ba cheart dó a léiriú, i gcás inarb infheidhme, an bhfuil amhras faoi ghníomhartha mailíseacha nó neamhdhleathacha agus an féidir tionchar trasteorann a bheith ann.

Leanann fógra teagmhais gan moill mhíchuí agus tráth nach déanaí ná 72 uair an chloig tar éis feasachta, ag nuashonrú an rabhaidh luath agus ag tabhairt measúnú tosaigh ar dhéine, tionchar agus táscairí comhréitigh atá ar fáil. Tá tuarascáil deiridh dlite laistigh de mhí amháin tar éis an fhógra teagmhais, lena n-áirítear déine, tionchar, cineál bagartha dóchúil nó bunchúis, bearta maolaithe agus tionchar trasteorann.

Sin é an fáth nach féidir le freagairt do theagmhais tosú le doiciméad bán.

Deir an Beartas Freagartha do Theagmhais fiontair Beartas Freagartha do Theagmhais:

NIS2 Article 23 (fógra laistigh de 24 uair an chloig tar éis bheith ar an eolas faoin teagmhas)

Tugann an Beartas Freagartha do Theagmhais - FBM Beartas Freagartha do Theagmhais - FBM an loighic ama chéanna isteach i rialachas praiticiúil:

“Ní mór amlínte freagartha, lena n-áirítear athshlánú sonraí agus oibleagáidí fógra, a dhoiciméadú agus a ailíniú le ceanglais dhlíthiúla, amhail ceanglas GDPR maidir le fógra sáraithe sonraí pearsanta laistigh de 72 uair an chloig.”

Ó Beartas Freagartha do Theagmhais - FBM, roinn “Ceanglais rialachais”, clásal 5.3.2.

Cuireann sé an measúnú ilréime isteach sa phróiseas teagmhais freisin:

“I gcás ina bhfuil sonraí custaiméirí i gceist, ní mór don Bhainisteoir Ginearálta oibleagáidí fógra dlíthiúla a mheasúnú bunaithe ar infheidhmeacht GDPR, NIS2, nó DORA.”

Ó Beartas Freagartha do Theagmhais - FBM, roinn “Cóireáil riosca agus eisceachtaí”, clásal 7.4.1.

I gcás Gníomh um Chibear-Dhlúthpháirtíocht, éiríonn “is féidir tionchar trasteorann a bheith ann” tábhachtach ó thaobh oibríochtaí de. B’fhéidir nach mbeidh na fíricí iomlána ag an rabhadh luath, ach ní mór don eagraíocht a bheith in ann a thaispeáint cén fáth ar mheas sí, nó nár mheas sí, go raibh tionchar trasteorann ann bunaithe ar an bhfianaise a bhí ar fáil.

Ba cheart don taifead teagmhais na nithe seo a ghabháil:

• Cathain a tháinig an eagraíocht ar an eolas.
• Cé a dhearbhaigh an t-imeacht mar theagmhas féideartha.
• Cé na seirbhísí, tíortha, custaiméirí nó earnálacha a d’fhéadfadh a bheith thíos leis.
• An raibh amhras faoi ghníomhaíocht mhailíseach nó neamhdhleathach.
• Cé na táscairí comhréitigh a bhí ar fáil.
• Cén chonair teagmhála údaráis a úsáideadh.
• An raibh cumarsáidí custaiméirí riachtanach.
• Cén fhianaise a caomhnaíodh roimh mhórbhearta leigheasacha.

Is é an t-am is fearr chun na réimsí sin a dhearadh ná roimh 03:17.

DORA: nuair atá an custaiméir rialáilte ach tá na logaí ag an soláthraí

Athraíonn DORA an comhrá faoi sholáthraithe. Ní mór d’eintitis airgeadais riosca TFC tríú páirtí a bhainistiú mar chuid dá gcreat bainistíochta riosca TFC. Ní aistríonn seachfhoinsiú seirbhísí TFC an fhreagracht rialála ón eintiteas airgeadais.

Éilíonn DORA straitéisí riosca TFC tríú páirtí, cláir de chonarthaí seirbhíse TFC, dícheall cuí, pleanáil iniúchta agus cigireachta, cearta foirceanta agus straitéisí imeachta tástáilte do sheirbhísí TFC criticiúla nó tábhachtacha. Éilíonn Article 30 soiléireacht chonarthach, lena n-áirítear tuairiscí seirbhíse, láithreacha, láimhseáil sonraí, rúndacht, sláine, infhaighteacht, leibhéil seirbhíse, cúnamh le linn teagmhais TFC, comhoibriú le húdaráis agus cearta foirceanta. Baineann téarmaí níos déine le feidhmeanna criticiúla nó tábhachtacha.

Fill ar theagmhas Maria. Tá an banc Gearmánach rialáilte faoi DORA. Soláthraíonn InnovateCloud seirbhísí SaaS. Braithfidh an MSSP gníomhaíocht amhrasach. Tá cuid de na príomhlogaí iniúchta ag an soláthraí bonneagair scamall. Oibríonn fochonraitheoir cuid den phíblíne teiliméadrachta. Fanann an banc cuntasach, ach ní féidir leis aicmiú agus tuairisciú go maith gan fianaise soláthraithe.

Tugann Clarysec aghaidh air seo trí aicmiú soláthraithe agus fianaise chonarthach. Éilíonn an Beartas Slándála Tríú Páirtí agus Soláthraithe fiontair Beartas Slándála Tríú Páirtí agus Soláthraithe:

Ní mór do chonarthaí le soláthraithe na nithe seo a áireamh:

Úsáideann an Beartas Slándála Tríú Páirtí agus Soláthraithe - FBM Beartas Slándála Tríú Páirtí agus Soláthraithe - FBM an loighic chomhlíonta chéanna i samhail oibríochtúil níos éadroime:

Ní mór clásail éigeantacha a bheith i gconarthaí a chlúdaíonn:

Tá an luach sa sceideal taobh thiar de na focail sin: dualgais fógra teagmhais, rochtain ar logaí, cearta iniúchta, rúndacht, suíomh sonraí, rialuithe fochonraitheoirí, comhoibriú le húdaráis, tacaíocht téarnaimh agus oibleagáidí imeachta.

Tugann an Zenith Blueprint, sa chéim Controls in Action, Céim 23, an bealach cur chun feidhme:

Cuir liosta iomlán de na soláthraithe agus soláthraithe seirbhíse reatha le chéile (5.19), agus aicmigh iad bunaithe ar rochtain ar chórais, sonraí nó rialú oibríochtúil. I gcás gach soláthraí aicmithe, fíoraigh go bhfuil ionchais slándála leabaithe go soiléir i gconarthaí (5.20), lena n-áirítear rúndacht, rochtain, tuairisciú teagmhais agus oibleagáidí comhlíonta.

Leanann sé ar aghaidh le riosca iartheachtach:

I gcás gach soláthraí criticiúil, sainaithin an úsáideann siad fochonraitheoirí (fophhróiseálaithe) a d’fhéadfadh rochtain a fháil ar do shonraí nó ar do chórais. Doiciméadaigh conas a chuirtear do cheanglais slándála faisnéise ar aghaidh chuig na páirtithe sin, trí théarmaí conartha do sholáthraí nó trí do chlásail dhíreacha féin.

Is ullmhacht do Chúlchiste Cibearshlándála é seo freisin. Má théann soláthraí freagartha seachtrach isteach i do thimpeallacht le linn éigeandála, ní mór duit an bonn dlíthiúil, raon feidhme rochtana, rialacha fianaise, oibleagáidí láimhseála sonraí, conair chomhordaithe údaráis agus coinníollacha imeachta a bheith ar eolas agat. Déanann DORA é seo follasach d’eintitis airgeadais. Déanann NIS2 ábhartha é d’eintitis riachtanacha agus thábhachtacha. Déanann ISO/IEC 27001:2022 in-iniúchta é.

GDPR: ceist an tsáraithe laistigh den ghéarchéim chibear

Ní sárú sonraí pearsanta gach teagmhas cibearshlándála, ach ba cheart gach teagmhas tromchúiseach a mheasúnú don fhéidearthacht sin.

Baineann GDPR le próiseáil i gcomhthéacs bunaíocht AE, agus le rialaitheoirí nó próiseálaithe neamh-AE a thairgeann earraí nó seirbhísí do dhaoine aonair san AE nó a dhéanann faireachán ar a n-iompar san AE. Sainíonn sé sonraí pearsanta, próiseáil, rialaitheoir, próiseálaí agus sárú sonraí pearsanta. Áirítear lena phrionsabail sláine, rúndacht agus cuntasacht, rud a chiallaíonn go gcaithfidh rialaitheoirí a bheith in ann comhlíonadh a léiriú.

Le linn an teagmhais 03:17, ní mór d’fhoireann Maria fiafraí:

• Ar rochtainíodh, ar nochtadh, ar athraíodh, ar cailleadh nó ar scriosadh sonraí pearsanta?
• An rialaitheoir, próiseálaí nó an dá rud é InnovateCloud i leith na sonraí lena mbaineann?
• An bhfuil catagóirí speisialta sonraí pearsanta i gceist?
• Cé na custaiméirí nó daoine aonair lena mbaineann?
• An leor na logaí chun raon feidhme a mheasúnú?
• An ritheann dualgais fógra GDPR i gcomhthreo le dualgais NIS2 nó DORA?

Sin é an fáth gur cuid den uaschéimniú teagmhais é comhordú príobháideachais, ní athbhreithniú dlí déanach tar éis córais a atógáil agus logaí a rothlú.

Deir an Beartas Logála agus Faireacháin - FBM Beartas Logála agus Faireacháin - FBM:

Ní mór foláirimh ardtosaíochta a uaschéimniú chuig an GM agus chuig an gComhordaitheoir Príobháideachais laistigh de 24 uair an chloig

Tá an clásal sin simplí, ach réitíonn sé patrún teipe fíor. Teastaíonn fianaise ó cheannairí príobháideachais fad atá sí fós úr go leor chun a chinneadh ar tharla sárú sonraí pearsanta agus an bhfuil daoine aonair i mbaol.

Pacáiste fianaise 24 uair an chloig do theagmhas trasteorann a thógáil

Ba cheart do chleachtadh praiticiúil ullmhachta na chéad 24 uair an chloig de theagmhas trasteorann a insamhladh. Ní hé an sprioc róthuairisciú. Is é an sprioc a chruthú gur féidir leis an eagraíocht fíricí a chur le chéile, cinntí inchosanta a dhéanamh agus cumarsáidí comhsheasmhacha a choinneáil.

Cás

Braithíonn do MSSP rochtain phribhléideach amhrasach ó réigiún neamhghnách i gcoinne do thionónta táirgthe. Tá an bonneagar foinse céanna le feiceáil i bhfoláirimh a théann i bhfeidhm ar bheirt chustaiméirí in dhá Bhallstát. Is eintiteas airgeadais custaiméir amháin. Tá sonraí pearsanta sa timpeallacht lena mbaineann, ach níl eis-scagadh sonraí deimhnithe.

Céim 1: Oscail an taifead teagmhais

Cruthaigh an ticéad teagmhais trí réimsí aicmithe ceadaithe a úsáid. Cuir am feasachta, foinse braite, sócmhainní lena mbaineann, seirbhísí lena mbaineann, tíortha a d’fhéadfadh a bheith thíos leis, gníomhaíocht mhailíseach amhrasta, déine tosaigh agus ceannasaí teagmhais san áireamh.

Ceangail é seo le rialuithe ISO/IEC 27002:2022 5.24, 5.25 agus 5.26, agus le rialuithe Iarscríbhinn A ISO/IEC 27001:2022 A.5.24, A.5.25 agus A.5.26.

Céim 2: Spreag sreabhadh oibre cinnidh údaráis

Úsáid an mhaitrís teagmhála údarás atá riachtanach faoi Zenith Blueprint Céim 22. Sainaithin cé na húdaráis a d’fhéadfadh a bheith ábhartha: CSIRT náisiúnta, údarás cosanta sonraí, rialálaí airgeadais, forfheidhmiú an dlí agus rialálaí earnála.

Taifead an cinneadh agus an réasúnaíocht. Mura ndéantar rabhadh luath NIS2, gabh an fáth. Más féidir tionchar trasteorann a bheith ann, taifead an fhianaise a thacaíonn leis an gconclúid sin.

Céim 3: Caomhnaigh fianaise roimh mhórbhearta leigheasacha

Deir an Beartas um Bhailiú Fianaise agus Fóiréinsic fiontair Beartas um Bhailiú Fianaise agus Fóiréinsic:

Ní mór gach fianaise bhailithe a shainaithint go huathúil, a lipéadú agus a stóráil i stór slán le:

Tugann an Beartas um Bhailiú Fianaise agus Fóiréinsic - FBM Beartas um Bhailiú Fianaise agus Fóiréinsic - FBM an smacht céanna i bhfoirm níos simplí:

“Ní mór gach mír fianaise dhigiteach a logáil le:”

Ó Beartas um Bhailiú Fianaise agus Fóiréinsic - FBM, roinn “Ceanglais rialachais”, clásal 5.2.1.

Don chleachtadh tabletop, bailigh iontrálacha samplacha fianaise: easpórtáil foláirimh SIEM, logaí soláthraí aitheantais, taifid seisiúin phribhléideacha, seat críochphointe, logaí balla dóiteáin, logaí iniúchta scamall, nótaí tionchair custaiméirí agus formheasanna cumarsáide.

Céim 4: Gníomhachtaigh cúnamh soláthraithe

Seiceáil an clár soláthraithe. Sainaithin an MSSP, an soláthraí scamall agus na fochonraitheoirí criticiúla. Deimhnigh clásail tacaíochta teagmhais, teagmhálacha uaschéimnithe, tréimhsí coinneála logaí, formáid fianaise agus oibleagáidí comhoibrithe le húdaráis.

Tacaíonn sé seo go díreach le ceanglais riosca TFC tríú páirtí DORA agus le hionchais slándála slabhra soláthair NIS2.

Céim 5: Dréachtaigh trí chumarsáid

Dréachtaigh trí chumarsáid ón mbonn fíricí céanna:

Céim 6: Dún le ceachtanna foghlamtha

Nuashonraigh an Clár Rioscaí, an Ráiteas Infheidhmeachta, an clár soláthraithe agus an plean freagartha do theagmhais. Má nochtann an cleachtadh logaí ar iarraidh, teagmhálacha údaráis neamhshoiléire nó clásail soláthraithe laga, ardaigh gníomhartha ceartaitheacha.

Treoraíonn an Zenith Blueprint, sa chéim Controls in Action, Céim 23, eagraíochtaí chun cumais teagmhais a bhailíochtú mar seo:

Roghnaigh imeacht le déanaí nó déan cleachtadh tabletop chun do phlean a bhailíochtú. Gabh agus logáil gach cinneadh, ról agus cumarsáid (5.26), agus nuashonraigh an plean le ceachtanna foghlamtha (5.27). Deimhnigh go bhfuil nósanna imeachta i bhfeidhm chun fianaise fhóiréinseach a chaomhnú (5.28), lena n-áirítear seatanna logaí, cúltacaí, agus leithlisiú slán córas lena mbaineann.

Is clár oibre cleachtaidh atá réidh don iniúchadh é an mhír sin.

Logáil: an difríocht idir comhordú agus tuairimíocht

Teipeann ar chomhordú teagmhas trasteorann nuair a bhíonn tuairimí ag gach duine agus stampaí ama ag duine ar bith.

Cuireann an Zenith Blueprint, sa chéim Controls in Action, Céim 19, é go soiléir:

Is í an logáil cuisle aon timpeallachta TF sláine. Gan í, fanann teagmhais dofheicthe, imíonn cuntasacht, agus téann caidrimh cúise agus éifeachta as radharc.

Leanann sé ar aghaidh:

Ina croílár, baineann logáil le hinrianaitheacht. Nuair a théann rud éigin mícheart, bíodh sé ina iarracht logála isteach ar theip uirthi, scriosadh comhad criticiúil, nó script bhradach ag rith ar fhreastalaí, soláthraíonn logaí an snáithe fóiréinseach a chuidíonn leat an méid a tharla i ndáiríre a réiteach.

Do NIS2, tacaíonn logaí leis an bhfógra teagmhais 72 uair an chloig lena n-áirítear déine tosaigh, tionchar agus táscairí comhréitigh. Do DORA, tacaíonn logaí le haicmiú mórtheagmhais a bhaineann le TFC, anailís bunchúise, tionchar oibríochtúil agus cuntasacht tríú páirtí. Do GDPR, tacaíonn logaí leis an measúnú ar cé acu ar rochtainíodh nó ar nochtadh sonraí pearsanta. I gcomhthéacs Gníomh um Chibear-Dhlúthpháirtíocht, tacaíonn logaí le feasacht staide chomhroinnte gan iallach a chur ar fhreagróirí brath ar thuairimíocht.

Más é “níl mé cinnte” an freagra ar aon cheist, baineann an tsaincheist leis an bplean Cóireála Riosca.

Leanúnachas gnó agus oibríochtaí géarchéime slána

Díríonn comhrá Gníomh um Chibear-Dhlúthpháirtíocht go nádúrtha ar fhreagairt do theagmhais, ach ciallaíonn athléimneacht freisin seirbhísí criticiúla a choinneáil slán le linn cur isteach.

Éilíonn NIS2 Article 21 cur chuige uile-ghuaiseacha a chlúdaíonn láimhseáil teagmhas, leanúnachas gnó, bainistíocht cúltaca, athshlánú ó thubaiste, bainistíocht géarchéime, slándáil slabhra soláthair, láimhseáil leochaileachtaí, measúnú éifeachtachta, sláinteachas cibear, cripteagrafaíocht, slándáil AD, rialú rochtana, bainistíocht sócmhainní, fíordheimhniú ilfhachtóirí, cumarsáid shlán agus cumarsáidí éigeandála slána nuair is iomchuí.

Éilíonn DORA mar an gcéanna rialachas, bainistíocht riosca TFC, bainistíocht teagmhas, tástáil athléimneachta, bainistíocht riosca tríú páirtí, leanúnachas agus téarnamh. D’fhéadfadh ceanglais shimplithe a bheith ag eintitis níos lú, ach teastaíonn bainistíocht riosca TFC dhoiciméadaithe, faireachán, córais athléimneacha, láimhseáil teagmhas, sainaithint spleáchas tríú páirtí, cúltacaí, athshlánú, tástáil, foghlaim iar-theagmhais agus oiliúint uathu fós.

Tosaíonn an Beartas Leanúnachais Gnó agus Athshlánaithe ó Thubaiste fiontair Beartas Leanúnachais Gnó agus Athshlánaithe ó Thubaiste ó cheanglas simplí:

Ní mór do phleananna na nithe seo a chlúdach:

Taobh thiar den fhrása sin tá an fhianaise leanúnachais a mbíonn iniúchóirí ag súil léi: tosaíochtaí téarnaimh, Cuspóirí Ama Athshlánaithe, Cuspóirí Pointe Athshlánaithe, sceidil chúltaca, tástálacha athshlánaithe, róil ghéarchéime, cumarsáidí malartacha, spleáchais soláthraithe agus gníomhartha feabhsúcháin iar-chleachtaidh.

Tá rialuithe ISO/IEC 27002:2022 5.29 agus 5.30 lárnach anseo. Díríonn Rialú 5.29 ar shlándáil faisnéise le linn cur isteach. Díríonn Rialú 5.30 ar ullmhacht TFC do leanúnachas gnó. In Zenith Controls, tá pleanáil teagmhais faoi 5.24 ceangailte le slándáil le linn cur isteach agus le pleanáil leanúnachais níos leithne. Tá sé seo thar a bheith ábhartha nuair nach bhfuil gnáthbhealaí ar fáil, nuair atá córais aitheantais díghrádaithe nó nuair is gá d’fhoirne géarchéime comhordú a dhéanamh le húdaráis trí chumarsáidí éigeandála slána.

Léarscáil tras-chomhlíonta: NIS2, DORA, GDPR, NIST CSF 2.0 agus COBIT 2019

Ní gá do CISO cúig chlár teagmhais ar leith a bheith aige. Teastaíonn samhail fianaise amháin uathu is féidir a fheiceáil trí chúig lionsa.

Tá modh Próifílí Reatha agus Spriocphróifílí NIST CSF 2.0 thar a bheith úsáideach d’eagraíochtaí nach bhfuil sách haibí fós d’ardán GRC comhtháite iomlán. Spreagann sé eagraíochtaí chun próifíl a scópáil, ionchuir amhail beartais, tosaíochtaí riosca fiontair, Anailísí Tionchair ar an nGnó, ceanglais, caighdeáin, nósanna imeachta, coimircí agus róil a bhailiú, ansin bearnaí a anailísiú agus plean gníomhaíochta tosaíochta a chruthú. Tá sé sin gar do shprint praiticiúil ullmhachta do Ghníomh um Chibear-Dhlúthpháirtíocht: fianaise reatha, spriocoibleagáidí, plean bearnaí, úinéirí, dátaí agus rian iniúchta.

Is iondúil go bhfiafraíonn COBIT 2019 agus iniúchóirí de stíl ISACA an bhfuil cuspóirí rialachais faoi úinéireacht, tomhaiste agus faireachán. Ní bheidh siad sásta le “láimhseálann an SOC é.” Fiafróidh siad conas a fhaomhann comhlachtaí bainistíochta bearta riosca, conas a thuairiscítear feidhmíocht, conas a rialaítear riosca tríú páirtí, conas a ghlactar le heisceachtaí agus conas a rianaítear gníomhartha ceartaitheacha.

Conas a thástálfaidh iniúchóirí an teagmhas céanna

Cruthaíonn an teagmhas 03:17 céanna ceisteanna iniúchta éagsúla ag brath ar shainordú an mheasúnóra.

Tosóidh iniúchóir ISO/IEC 27001:2022 leis an ISMS. Fiafróidh siad an bhfuil an próiseas teagmhais laistigh den raon feidhme, an bhfuil NIS2, DORA, GDPR agus conarthaí san áireamh i gceanglais páirtithe leasmhara, an ndearna an measúnú riosca cásanna trasteorann agus soláthraithe a mheas, ar roghnaíodh Rialuithe Iarscríbhinn A sa Ráiteas Infheidhmeachta, agus an gcruthaíonn taifid oibríochtúla gur leanadh an próiseas.

Díreoidh údarás nó measúnóir dírithe ar NIS2 ar chuntasacht bainistíochta, bearta bainistíochta riosca Article 21 agus tuairisciú Article 23. D’fhéadfadh siad fiafraí cathain a tháinig an eagraíocht ar an eolas, cén fáth a raibh nó nach raibh an teagmhas suntasach, conas a measúnaíodh tionchar trasteorann, ar cuireadh custaiméirí ar an eolas agus ar glacadh bearta ceartaitheacha gan moill mhíchuí.

Fiafróidh maoirseoir DORA nó foireann iniúchta inmheánaigh an raibh tionchar ag an teagmhas ar fheidhmeanna criticiúla nó tábhachtacha, ar thacaigh soláthraithe TFC tríú páirtí leis an bhfreagairt, ar choinnigh an t-eintiteas airgeadais freagracht, an raibh an clár faisnéise cruinn, ar aicmíodh an teagmhas i gceart agus ar cuireadh ceachtanna foghlamtha ar ais isteach i dtástáil athléimneachta agus i maoirseacht soláthraithe.

Fiafróidh iniúchóir GDPR nó údarás cosanta sonraí an raibh go leor fianaise ag an eagraíocht chun a chinneadh ar sáraíodh sonraí pearsanta, an raibh róil rialaitheora agus próiseálaí soiléir, an raibh ábhair sonraí i mbaol, an raibh rialuithe rúndachta agus sláine iomchuí agus ar coinníodh taifid chuntasachta.

Aistreoidh measúnóir NIST CSF 2.0 an t-imeacht go torthaí Govern, Identify, Protect, Detect, Respond agus Recover. Lorgóidh siad ionchais páirtithe leasmhara, oibleagáidí dlíthiúla, goile riosca, rialachas soláthraithe, logáil, faireachán, forghníomhú freagartha, cumarsáidí agus bailíochtú téarnaimh.

Díreoidh iniúchóir COBIT 2019 nó ISACA ar éifeachtacht an rialachais agus an chórais bainistíochta: úinéireacht, cearta cinnteoireachta, méadrachtaí, glacadh le riosca, feidhmíocht próisis, dearbhú agus feabhsú leanúnach.

Seo an áit a bhfuil Zenith Controls úsáideach mar chompás tras-chomhlíonta. Ní athainmníonn sé rialuithe oifigiúla ná ní chruthaíonn sé creat rialaithe comhthreomhar. Taispeánann sé conas a cheanglaíonn rialuithe ISO/IEC 27002:2022 amhail 5.5, 5.24 agus 5.28 le cumais oibríochtúla, rialuithe gaolmhara agus fianaise ábhartha d’iniúchadh.

Cad ba cheart do CISOanna a dhéanamh anois d’ullmhacht 2026

Má tá tú ag ullmhú do réaltacht oibríochtúil Gníomh um Chibear-Dhlúthpháirtíocht an AE, tosaigh le fianaise, ní le manaí.

Ar dtús, nuashonraigh comhthéacs do ISMS agus anailís páirtithe leasmhara. Sainaithin an dtagann d’eagraíocht, do chustaiméirí nó do sholáthraithe faoi NIS2, DORA nó GDPR. Cuir lorg Ballstát, aicmiú earnála, custaiméirí criticiúla, spleáchais seirbhíse TFC agus teagmhálacha údaráis san áireamh.

Ar an dara dul síos, reáchtáil cleachtadh tabletop ar theagmhas trasteorann. Úsáid cás ina bhfuil soláthraí, níos mó ná Ballstát amháin, nochtadh féideartha sonraí pearsanta agus custaiméir airgeadais rialáilte. Cuir teorainn ama leis an gcéad 24 uair an chloig.

Ar an tríú dul síos, athbhreithnigh conarthaí soláthraithe. Deimhnigh dualgais fógra, rochtain ar logaí, tacaíocht fhóiréinseach, comhoibriú le húdaráis, sreabhadh síos chuig fochonraitheoirí, suíomh sonraí, cearta iniúchta, tacaíocht leanúnachais agus cearta foirceanta.

Ar an gceathrú dul síos, tástáil bailiú fianaise. Easpórtáil logaí, caomhnaigh seatanna, lipéadaigh fianaise, taifead slabhra coimeádta agus bailíochtaigh rochtain ar an stór. Má deir do bheartas go bhfuil fianaise sainaitheanta go huathúil agus stóráilte go slán, cruthaigh é.

Ar an gcúigiú dul síos, ailínigh cumarsáidí teagmhais. Níor cheart go mbeadh do rabhadh luath NIS2, uaschéimniú DORA, measúnú sáraithe GDPR agus fógra custaiméara ag teacht salach ar a chéile. D’fhéadfadh cuspóirí dlíthiúla éagsúla a bheith acu, ach ní mór dóibh teacht ón mbonn fíricí céanna.

Ar an séú dul síos, déan an bord mar chuid den chleachtadh. Ardaíonn NIS2 agus DORA araon cuntasacht bainistíochta. Déanann clásail cheannaireachta ISO/IEC 27001:2022 é seo in-iniúchta. Níl bord nach bhfaca clog fógra cibear 24 uair an chloig riamh réidh do ghéarchéim trasteorann.

Na chéad chéimeanna eile le Clarysec

Is todhchaí comhoibrithe agus iontaobhais chruthaithe í todhchaí chibearshlándáil an AE. Beidh deacracht ag eagraíochtaí a dhéileálann le NIS2 agus DORA mar sheicliostaí scoite le linn teagmhas trasteorann. Beidh eagraíochtaí a thógann córais oibriúcháin ISO/IEC 27001:2022 atá tacaithe ag fianaise in ann freagra a thabhairt ar rialálaithe, custaiméirí, iniúchóirí agus freagróirí géarchéime le muinín.

Cuidíonn Clarysec le CISOanna, bainisteoirí comhlíonta, iniúchóirí agus úinéirí gnó rialachán cibear an AE a iompú ina fhianaise oibríochtúil atá réidh don iniúchadh trí:

• Zenith Blueprint: Treochlár 30 céim d’iniúchóirí le haghaidh cur chun feidhme struchtúrtha ISO/IEC 27001:2022 agus seicheamhú iniúchta.
• Zenith Controls: An treoir tras-chomhlíonta chun rialuithe teagmhais, údaráis, soláthraithe, fianaise, logála agus leanúnachais a mhapáil thar chreataí.
• Teimpléid bheartais Clarysec, lena n-áirítear Beartas Freagartha do Theagmhais, Beartas um Bhailiú Fianaise agus Fóiréinsic, Beartas Slándála Tríú Páirtí agus Soláthraithe, Beartas Leanúnachais Gnó agus Athshlánaithe ó Thubaiste, chomh maith le leaganacha FBM nuair atá comhréireacht tábhachtach.

Is é an t-am is fearr chun ullmhú do chomhordú teagmhas trasteorann ná roimh an bhfoláireamh 03:17. Is é inniu an dara ham is fearr.

Tosaigh le hathbhreithniú ullmhachta Clarysec, íoslódáil an tacar uirlisí beartais ábhartha, nó iarr siúlóid trí conas is féidir leis an Zenith Blueprint agus Zenith Controls cabhrú le do ISMS an fhianaise a tháirgeadh a éileoidh athléimneacht chibear 2026.