Fianaise iniúchta ISO 27001 do NIS2 agus DORA

Is é 08:17 maidin Dé Máirt é, agus tá trí theachtaireacht ag fanacht le CISO cuideachta fintech SaaS atá ag fás go tapa.

Tagann an chéad cheann ó chustaiméir mór baincéireachta: “Seol chugainn, le do thoil, an tuarascáil iniúchta inmheánaigh is déanaí, miontuairiscí an athbhreithnithe bainistíochta, stádas na ngníomhartha ceartaitheacha, an nós imeachta um thuairisciú teagmhas, an clár soláthraithe agus fianaise ar mhaoirseacht an bhoird.”

Tagann an dara ceann ón CFO: “An bhfuilimid faoi raon feidhme NIS2 nó DORA, agus cén fhianaise atá againn cheana féin?”

Tagann an tríú ceann ón CEO: “An féidir linn a rá go bhfuilimid réidh le haghaidh iniúchta?”

I go leor eagraíochtaí, ní hé an freagra míchompordach nach bhfuil aon rud ar siúl. Tá sé níos measa ná sin. Tá obair slándála ar siúl i ngach áit, ach níl an fhianaise in aon áit amháin. Tá rialuithe ann, ach níl rian iniúchta ann. Tá ticéid ann, ach níl nasc soiléir acu le rioscaí. Tá nuashonruithe don cheannaireacht ann, ach níl aschuir fhoirmiúla athbhreithnithe bainistíochta ann. Tá plé le soláthraithe ann, ach níl clár soláthraithe inchosanta, athbhreithniú conartha ná straitéis imeachta ann.

Is sa bhearna sin go díreach a éiríonn iniúchadh inmheánach agus athbhreithniú bainistíochta ISO/IEC 27001:2022 níos tábhachtaí ná gníomhaíochtaí deimhniúcháin amháin. Éiríonn siad ina rithim oibriúcháin do NIS2, DORA, GDPR, dearbhú custaiméirí, árachas cibearshlándála agus cuntasacht an bhoird.

Is annamh a theipeann ar fhoirne SaaS, néalríomhaireachta, MSP, MSSP agus fintech toisc nach bhfuil gníomhaíocht slándála acu. Teipeann orthu toisc go bhfuil an ghníomhaíocht scaipthe ar fud Slack, Jira, scarbhileoga, tairseacha díoltóirí, ticéid SOC, comhaid soláthair agus cur i láthair don bhord. Ní bhíonn rialálaí, iniúchóir seachtrach ná custaiméir fiontair ag iarraidh míniú laochúil. Teastaíonn fianaise oibiachtúil uathu.

Ní hé an réiteach praiticiúil cláir iniúchta ar leith a reáchtáil do gach creat. Is é an réiteach an ISMS ISO 27001 a úsáid mar inneall lárnach fianaise, agus an fhianaise sin a chlibeáil ansin do NIS2, DORA, GDPR agus ceanglais chonarthacha. Má dhéantar i gceart é, is féidir le hiniúchadh inmheánach amháin agus timthriall athbhreithnithe bainistíochta amháin freagra a thabhairt ar go leor ceisteanna comhlíonta.

Ó thuirse creataí go samhail aontaithe fianaise ISMS

Bíonn leagan éigin d’fhadhb Maria ag go leor CISOanna. Tá Maria i gceannas ar shlándáil do chuideachta B2B SaaS a bhfuil custaiméirí san earnáil airgeadais aici. D’éirigh lena foireann in iniúchadh deimhniúcháin ISO/IEC 27001:2022 sé mhí ó shin. Tá an ISMS ag aibiú, tá beartais á gcomhlíonadh agus tuigeann úinéirí rialuithe a bhfreagrachtaí. Ansin cuireann an CEO dhá alt ar aghaidh, ceann faoin Treoir NIS2 agus ceann faoi DORA, le ceist ghearr: “An bhfuilimid clúdaithe?”

Braitheann an freagra ar raon feidhme, seirbhísí, custaiméirí agus eintitis dhlíthiúla. Ach tá an freagra oibríochtúil soiléir: má chaitheann Maria le NIS2 agus DORA mar thionscadail chomhlíonta ar leith, cruthóidh sí obair dhúblach, fianaise neamhréireach agus tuirse iniúchta atá ag dul in olcas. Má chaitheann sí leo mar cheanglais ó pháirtithe leasmhara laistigh den ISMS, is féidir léi ISO 27001 a úsáid chun na ceanglais a ionsú, a thástáil agus ullmhacht a chruthú.

Tá ISO/IEC 27001:2022 deartha chuige seo. Éilíonn Clásal 4 ar an eagraíocht a comhthéacs agus ceanglais páirtithe leasmhara a thuiscint, lena n-áirítear oibleagáidí dlíthiúla, rialála, conarthacha agus oibleagáidí a eascraíonn as spleáchais. Éilíonn Clásal 5 ceannaireacht agus comhtháthú i bpróisis ghnó. Éilíonn Clásal 6 measúnú riosca agus cóireáil riosca. Éilíonn Clásal 9 meastóireacht feidhmíochta trí fhaireachán, iniúchadh inmheánach agus athbhreithniú bainistíochta. Éilíonn Clásal 10 feabhsú agus gníomh ceartaitheach.

Luíonn NIS2 agus DORA go nádúrtha leis an struchtúr sin.

Éilíonn NIS2 ar eintitis riachtanacha agus thábhachtacha bearta teicniúla, oibríochtúla agus eagraíochtúla bainistíochta riosca cibearshlándála atá iomchuí agus comhréireach a chur chun feidhme. Cuireann sé freagracht freisin ar chomhlachtaí bainistíochta na bearta sin a fhaomhadh, maoirseacht a dhéanamh ar a gcur chun feidhme agus a bheith inchurtha faoi dhliteanas i leith sáruithe. Clúdaíonn a bhearta íosta anailís riosca, láimhseáil teagmhas, leanúnachas gnó, slándáil an tslabhra soláthair, forbairt shlán, láimhseáil leochaileachtaí, measúnú éifeachtachta, oiliúint, cripteagrafaíocht, slándáil AD, rialú rochtana, bainistíocht sócmhainní agus, nuair is iomchuí, fíordheimhniú ilfhachtóiriúil nó fíordheimhniú leanúnach.

Tá feidhm ag DORA ón 17 Eanáir 2025 agus cruthaíonn sé córas earnáilshonrach athléimneachta oibríochtúla digití d’eintitis airgeadais. Éilíonn sé freagracht an chomhlachta bainistíochta as bainistíocht riosca TFC, creat doiciméadaithe bainistíochta riosca TFC, straitéis athléimneachta oibríochtúla digití, pleananna leanúnachais agus téarnaimh TFC, tástáil athléimneachta, rialachas teagmhas TFC agus bainistíocht riosca tríú páirtí TFC. Do sholáthraithe SaaS agus néalríomhaireachta a fhreastalaíonn ar eintitis airgeadais, d’fhéadfadh DORA teacht chun cinn trí oibleagáidí conarthacha, iniúchtaí custaiméirí agus ionchais bhainistíochta riosca tríú páirtí TFC, fiú mura eintiteas airgeadais é an soláthraí féin.

Cuireann GDPR an tsraith chuntasachta leis. I gcás ina bpróiseáiltear sonraí pearsanta laistigh de raon feidhme GDPR, ní mór d’eagraíochtaí a bheith in ann comhlíonadh phrionsabail chosanta sonraí agus rialuithe teicniúla agus eagraíochtúla iomchuí a léiriú.

Ní deimhniú draíochta comhlíonta é ISO 27001 do na hoibleagáidí sin. Is é an córas bainistíochta é atá in ann iad a eagrú, fianaise a chruthú dóibh agus iad a fheabhsú.

Ceist an raoin feidhme: cad atá á chruthú agat, agus do cé?

Sula dtógtar pacáiste fianaise atá réidh le haghaidh iniúchta, ní mór don cheannaireacht ceist bhunúsach a fhreagairt: cé na hoibleagáidí atá laistigh den raon feidhme?

I gcás gnólachtaí SaaS agus néalríomhaireachta, d’fhéadfadh raon feidhme NIS2 a bheith níos leithne ná mar a bheifí ag súil leis. Baineann NIS2 le heintitis phoiblí nó phríobháideacha in earnálacha liostaithe a chomhlíonann tairseacha méide, agus le heintitis áirithe ardtionchair beag beann ar mhéid. D’fhéadfadh bonneagar digiteach, soláthraithe ríomhaireachta néil, soláthraithe ionad sonraí, líonraí seachadta inneachair, soláthraithe seirbhísí iontaobhais, soláthraithe cumarsáide leictreonaí poiblí agus soláthraithe bainistíochta seirbhíse TFC B2B, amhail soláthraithe seirbhíse bainistithe agus soláthraithe seirbhíse slándála bainistithe, a bheith san áireamh sna hearnálacha ábhartha. Ba cheart do sholáthraithe SaaS aird ar leith a thabhairt ar an gcaoi a seachadann siad seirbhísí, cé na hearnálacha a dtacaíonn siad leo agus an gcumasaíonn siad riarachán ar éileamh agus rochtain chianda leathan ar acmhainní ríomhaireachta comhroinnte inscálaithe.

I gcás soláthraithe fintech agus soláthraithe seirbhíse san earnáil airgeadais, ní mór DORA a anailísiú ar leithligh. Clúdaíonn DORA go díreach raon leathan eintiteas airgeadais, lena n-áirítear institiúidí creidmheasa, institiúidí íocaíochta, soláthraithe seirbhíse faisnéise cuntais, institiúidí airgid leictreonaigh, gnólachtaí infheistíochta, soláthraithe seirbhíse cripteasócmhainní, ionaid trádála, bainisteoirí cistí, gnóthais árachais agus athárachais agus soláthraithe seirbhíse sluamhaoinithe. Tá soláthraithe seirbhíse tríú páirtí TFC mar chuid d’éiceachóras DORA freisin toisc go gcaithfidh eintitis airgeadais a spleáchais TFC a bhainistiú, cláir socruithe conarthacha a chothabháil agus forálacha conarthacha sonracha a áireamh do sheirbhísí TFC a thacaíonn le feidhmeanna criticiúla nó tábhachtacha.

Idirghníomhaíonn NIS2 agus DORA freisin. I gcás ina bhforchuireann gníomh dlí earnáilshonrach de chuid an AE ceanglais choibhéiseacha bainistíochta riosca cibearshlándála nó fógra teagmhais, d’fhéadfadh sé nach mbeadh feidhm ag forálacha comhfhreagracha NIS2 maidir leis na heintitis sin sna réimsí sin. Is é DORA an córas earnáilshonrach athléimneachta oibríochtúla d’eintitis airgeadais. Ní chiallaíonn sé sin nach mbaineann NIS2 le gach soláthraí máguaird. Ciallaíonn sé go gcaithfidh an tsamhail fianaise idirdhealú a dhéanamh idir eagraíocht atá ina heintiteas airgeadais faoi réir DORA go díreach, soláthraí seirbhíse tríú páirtí TFC a thacaíonn le heintitis airgeadais, soláthraí SaaS atá faoi raon feidhme NIS2, nó grúpa a bhfuil iliomad eintiteas dlíthiúil agus línte seirbhíse aige.

Baineann an anailís raoin feidhme seo le comhthéacs an ISMS agus le clár na bpáirtithe leasmhara. Gan í, déanfaidh an plean iniúchta na rudaí míchearta a thástáil.

Rian iniúchta amháin, go leor ceisteanna comhlíonta

Botún coitianta is ea pacáistí fianaise ar leith a chruthú do ISO 27001, NIS2, DORA, GDPR, árachas cibearshlándála agus iniúchtaí custaiméirí. Cruthaíonn an cur chuige sin dúbláil agus freagraí contrártha. Is fearr samhail fianaise amháin a úsáid le lionsaí iolracha.

Tá an ISMS i lár na samhla. Timpeall air tá cúig theaghlach fianaise.

Tá an struchtúr seo ailínithe le Zenith Blueprint: treochlár 30 céim d’iniúchóir Zenith Blueprint. Sa chéim Iniúchadh, Athbhreithniú agus Feabhsú, díríonn Céim 25 ar an gclár iniúchta inmheánaigh, Céim 26 ar fhorghníomhú an iniúchta, Céim 28 ar athbhreithniú bainistíochta agus Céim 29 ar fheabhsú leanúnach.

Tá treoir Chéim 25 sa Blueprint praiticiúil d’aon ghnó:

“Forbair sceideal a leagann amach cathain a tharlóidh iniúchtaí agus cad a chlúdóidh siad.”

“Úsáid an teimpléad plean iniúchta inmheánaigh má chuirtear ar fáil é; d’fhéadfadh sé seo a bheith ina dhoiciméad simplí nó ina scarbhileog a liostaíonn dátaí iniúchta, raon feidhme agus iniúchóirí sannta.”

Ó Zenith Blueprint, céim Iniúchadh, Athbhreithniú agus Feabhsú, Céim 25: Clár Iniúchta Inmheánaigh Zenith Blueprint

Éiríonn an plean iniúchta simplí sin cumhachtach nuair atá sé bunaithe ar riosca agus clibáilte le hoibleagáidí NIS2, DORA agus GDPR.

Rialuithe ISO 27001 a dhaingníonn ullmhacht iniúchta

Maidir le hullmhacht iniúchta, tá trí rialú ISO/IEC 27002:2022 thar a bheith tábhachtach nuair a léirmhínítear iad trí Zenith Controls: an treoir tras-chomhlíonta Zenith Controls:

• 5.4 Freagrachtaí bainistíochta
• 5.35 Athbhreithniú neamhspleách ar shlándáil faisnéise
• 5.36 Comhlíonadh beartas, rialacha agus caighdeán slándála faisnéise

Ní “rialuithe Zenith” ar leith iad seo. Is rialuithe ISO/IEC 27002:2022 iad a chuidíonn Zenith Controls lena mapáil, lena n-iniúchadh agus lena léirmhíniú thar chreataí.

Fiafraíonn Rialú 5.4 an bhfuil freagrachtaí slándála faisnéise sannta agus intuigthe. Fiafraíonn Rialú 5.35 an ndéantar athbhreithniú neamhspleách ar shlándáil faisnéise. Fiafraíonn Rialú 5.36 an gcloíonn an eagraíocht lena beartais, rialacha agus caighdeáin.

Aicmíonn Zenith Controls Rialú 5.35 ar bhealach atá dírithe ar dhearbhú:

Caitear le rialú ISO/IEC 27002:2022 5.35, “Athbhreithniú Neamhspleách ar Shlándáil Faisnéise,” in Zenith Controls mar “Coisctheach, Ceartaitheach,” ag tacú le rúndacht, sláine agus infhaighteacht trí na coincheapa cibearshlándála “Identify” agus “Protect,” le cumas oibríochtúil in “Dearbhú Slándála Faisnéise.” Zenith Controls

Tá sé seo tábhachtach toisc go bhfuil iniúchadh inmheánach coisctheach agus ceartaitheach araon. Coscann sé dallspotaí trí thástáil a dhéanamh ar an ISMS roimh scrúdú seachtrach, agus ceartaíonn sé laigí trí ghníomhartha doiciméadaithe.

Tosaíonn an chros-siúlóid níos leithne le ceanglais NIS2 agus DORA agus aithníonn sí ansin an fhianaise ISO 27001 atá in ann iad a chruthú.

Ní bhíonn mapáil rialuithe úsáideach ach nuair atá an fhianaise láidir. Má tá an taifead lag, ní shábhálfaidh aon chros-siúlóid é. Má tá an taifead iomlán, is féidir leis an bhfianaise chéanna ceisteanna de chineál ISO, NIS2, DORA, GDPR, NIST Cybersecurity Framework 2.0 agus COBIT 2019 a fhreagairt.

Fianaise beartais a éilíonn Clarysec ar eagraíochtaí a choinneáil

Athraíonn beartais Clarysec teoiric ISMS ina hionchais fhianaise.

Do FBManna, éilíonn Beartas faireacháin iniúchta agus comhlíonta do FBManna Beartas faireacháin iniúchta agus comhlíonta do FBManna faomhadh ceannaireachta agus disciplín iniúchta:

“Ní mór don Bhainisteoir Ginearálta (GM) plean iniúchta bliantúil a fhaomhadh.”

Ó Beartas faireacháin iniúchta agus comhlíonta do FBManna, Ceanglais rialachais, clásal 5.1.1 Beartas faireacháin iniúchta agus comhlíonta do FBManna

Socraíonn sé minicíocht íosta freisin:

“Ní mór iniúchtaí inmheánacha nó athbhreithnithe comhlíonta a dhéanamh uair sa bhliain ar a laghad.”

Ó Beartas faireacháin iniúchta agus comhlíonta do FBManna, Ceanglais rialachais, clásal 5.2.1

Agus nascann sé fionnachtana le ceartú agus le hathbhreithniú bainistíochta:

“Ní mór don GM plean gníomhartha ceartaitheacha a fhaomhadh agus a chur chun feidhme a rianú.”

Ó Beartas faireacháin iniúchta agus comhlíonta do FBManna, Ceanglais rialachais, clásal 5.4.2

“Ní mór fionnachtana iniúchta agus nuashonruithe stádais a áireamh i bpróiseas athbhreithnithe bainistíochta an ISMS.”

Ó Beartas faireacháin iniúchta agus comhlíonta do FBManna, Ceanglais rialachais, clásal 5.4.3

Tá coinneáil fianaise sainráite freisin:

“Ní mór fianaise a choinneáil ar feadh dhá bhliain ar a laghad, nó níos faide nuair a éilítear sin le deimhniúchán nó comhaontuithe cliant.”

Ó Beartas faireacháin iniúchta agus comhlíonta do FBManna, Ceanglais chun an beartas a chur chun feidhme, clásal 6.2.4

I gcás eagraíochtaí níos mó, leathnaíonn Beartas faireacháin iniúchta agus comhlíonta Beartas faireacháin iniúchta agus comhlíonta, dá dtagraítear freisin i roinnt ábhar Clarysec mar P33 Beartas Faireacháin Iniúchta agus Comhlíonta, an struchtúr:

“Déanfar plean iniúchta bunaithe ar riosca a fhorbairt agus a fhaomhadh go bliantúil, agus na nithe seo a leanas á gcur san áireamh:"

Ó Beartas faireacháin iniúchta agus comhlíonta, Ceanglais rialachais, clásal 5.2 Beartas faireacháin iniúchta agus comhlíonta

“Coimeádfaidh an eagraíocht clár iniúchta ina bhfuil:"

Ó Beartas faireacháin iniúchta agus comhlíonta, Ceanglais rialachais, clásal 5.4

“Leanfaidh iniúchtaí inmheánacha nós imeachta doiciméadaithe lena n-áirítear:"

Ó Beartas faireacháin iniúchta agus comhlíonta, Ceanglais chun an beartas a chur chun feidhme, clásal 6.1.1

“Beidh CAPA doiciméadaithe mar thoradh ar gach fionnachtain agus áireofar ann:"

Ó Beartas faireacháin iniúchta agus comhlíonta, Ceanglais chun an beartas a chur chun feidhme, clásal 6.2.1

Tá athbhreithniú bainistíochta daingnithe sa Bheartas slándála faisnéise Beartas slándála faisnéise, dá dtagraítear freisin i roinnt ábhar Clarysec mar P01 Beartas Slándála Faisnéise:

“Déanfar gníomhaíochtaí athbhreithnithe bainistíochta (de réir Chlásal 9.3 ISO/IEC 27001) uair sa bhliain ar a laghad agus áireofar iontu:"

Ó Beartas slándála faisnéise, Ceanglais rialachais, clásal 5.3 Beartas slándála faisnéise

Cruthaíonn na ceanglais seo an slabhra fianaise a mbíonn iniúchóirí ag súil leis: plean faofa, nós imeachta sainithe, clár iniúchta, fionnachtana, CAPA, coinneáil agus athbhreithniú ceannaireachta.

An pacáiste fianaise atá réidh le haghaidh iniúchta a thógáil

Ní fillteán ollmhór é pacáiste fianaise atá réidh le haghaidh iniúchta a chruthaítear dhá lá roimh an iniúchadh. Is struchtúr beo é a chothaítear i rith na bliana.

Ba cheart an pacáiste fianaise a mhapáil le clásail ISO/IEC 27001:2022 agus rialuithe Iarscríbhinn A, ach a chlibeáil de réir ábharthacht rialála. Mar shampla, d’fhéadfadh taifead iniúchta soláthraí tacú le rialuithe soláthraithe Iarscríbhinn A, slándáil slabhra soláthair NIS2 agus bainistíocht riosca tríú páirtí TFC DORA. D’fhéadfadh taifead cleachta boird ar theagmhas tacú le bainistíocht teagmhas ISO 27001, ullmhacht fógra céimnithe NIS2 agus rialachas teagmhas mór a bhaineann le TFC faoi DORA.

Conas an t-iniúchadh inmheánach comhtháite a dhéanamh

Leagann Céim 26 de Zenith Blueprint béim ar fhianaise oibiachtúil:

“Déan an t-iniúchadh trí fhianaise oibiachtúil a bhailiú do gach mír ar do sheicliosta.”

“Cuir agallamh ar phearsanra ábhartha.”

“Athbhreithnigh doiciméadacht.”

“Breathnaigh ar chleachtais.”

“Déan sampláil agus seiceálacha samplacha.”

Ó Zenith Blueprint, céim Iniúchadh, Athbhreithniú agus Feabhsú, Céim 26: Forghníomhú Iniúchta Zenith Blueprint

Sin go díreach a éilíonn ullmhacht NIS2 agus DORA. Ní ghlacfaidh rialálaithe ná custaiméirí le “creidimid go n-oibríonn sé seo.” Fiafróidh siad cén chaoi a bhfuil a fhios agat.

Tástálann iniúchadh dea-reáchtáilte ceithre ghné fianaise.

Smaoinigh ar theagmhas ionsamhlaithe bogearraí éirice ar fhreastalaí stáitsithe. Tástálann an t-iniúchóir an féidir leis an bpróiseas freagartha do theagmhais ceanglais ISO 27001, ionchais thuairiscithe chéimnithe NIS2 agus oibleagáidí custaiméirí DORA a chomhlíonadh.

Tá struchtúr tuairiscithe céimnithe ag NIS2 do theagmhais shuntasacha, lena n-áirítear luathrabhadh laistigh de 24 uair ó fheasacht, fógra teagmhais laistigh de 72 uair agus tuarascáil deiridh laistigh de mhí amháin ón bhfógra teagmhais. Tá a chreat aicmithe agus tuairiscithe féin ag DORA do theagmhais a bhaineann le TFC d’eintitis airgeadais. Ba cheart don iniúchadh inmheánach a fhíorú go ngabhann treoracha freagartha am feasachta, critéir déine, seirbhísí lena mbaineann, táscairí comhréitigh, bearta maolaithe, bunchúis, dualgais fógra custaiméara agus sonraí tuairiscithe deiridh.

Fionnachtain iniúchta amháin a iompú ina fianaise NIS2 agus DORA

Léiríonn fionnachtain réadúil soláthraí conas ba cheart don fhianaise sreabhadh.

Le linn an iniúchta inmheánaigh, déanann an t-iniúchóir sampláil ar chúig sholáthraí chriticiúla. Tacaíonn soláthraí logála néil amháin le faireachán calaoise agus foláireamh slándála don ardán fintech. Tá an soláthraí liostaithe san fhardal, ach níl plean imeachta doiciméadaithe ann, níl fianaise ann ar athbhreithniú bliantúil slándála agus níl dearbhú ann go n-áirítear sa chonradh cúnamh teagmhais nó cearta iniúchta.

Taifeadann an t-iniúchóir neamhchomhréireacht i gcoinne ceanglais slándála soláthraithe agus imeachta ón néal. Déarfadh freagairt lag “athbhreithniú soláthraí ar iarraidh.” Cruthaíonn freagairt láidir slabhra fianaise tras-chomhlíonta:

1. Taifead an fhionnachtain sa tuarascáil iniúchta, lena n-áirítear méid an tsampla, ainm an tsoláthraí, tagairt an chonartha agus an fhianaise atá ar iarraidh.
2. Cuir iontráil CAPA leis le bunchúis, amhail “níor áiríodh sa seicliosta ionduchtaithe soláthraithe aicmiú criticiúlachta ná spreagadh plean imeachta.”
3. Sann úinéir an tsoláthraí agus an t-úinéir riosca.
4. Nuashonraigh an clár soláthraithe chun a léiriú go dtacaíonn an tseirbhís le feidhm chriticiúil nó thábhachtach.
5. Déan measúnú riosca a chlúdaíonn cur isteach ar sheirbhís, rochtain ar shonraí, riosca comhchruinnithe, spleáchas tuairiscithe teagmhais agus bearnaí conarthacha.
6. Nuashonraigh an plean cóireála riosca agus an ráiteas infheidhmeachta nuair is ábhartha.
7. Faigh aguisín conartha nuashonraithe nó glacadh riosca doiciméadaithe.
8. Cruthaigh nó tástáil plean imeachta.
9. Déan ath-iniúchadh ar fhianaise an tsoláthraí tar éis leigheas.
10. Tuairiscigh an fhionnachtain, an riosca agus riachtanais acmhainní san athbhreithniú bainistíochta.

Tacaíonn an slabhra aonair seo le hoibleagáidí iolracha. Tá NIS2 ag súil le slándáil slabhra soláthair agus le breithniú ar leochaileachtaí soláthraithe, cleachtais chibearshlándála agus nósanna imeachta forbartha slána. Éilíonn DORA ar eintitis airgeadais riosca tríú páirtí TFC a bhainistiú, cláir socruithe conarthacha a chothabháil, soláthraithe a mheas sula ndéantar conradh, cearta iniúchta agus cigireachta a áireamh nuair is iomchuí, cearta foirceanta a chothabháil agus straitéisí imeachta a dhoiciméadú do sheirbhísí TFC a thacaíonn le feidhmeanna criticiúla nó tábhachtacha. D’fhéadfadh GDPR a bheith ábhartha freisin má phróiseálann an soláthraí sonraí pearsanta.

Ní fianaise chomhlíonta amháin é an taifead iniúchta a thuilleadh. Is fianaise athléimneachta é.

Athbhreithniú bainistíochta: áit a n-éiríonn fianaise ina cuntasacht

Aimsíonn iniúchadh inmheánach an fhírinne. Socraíonn athbhreithniú bainistíochta cad atá le déanamh ina leith.

Déanann Céim 28 de Zenith Blueprint cur síos ar phacáiste ionchuir an athbhreithnithe bainistíochta:

“Sonraíonn ISO 27001 roinnt ionchur riachtanach don athbhreithniú bainistíochta. Ullmhaigh tuarascáil ghearr nó cur i láthair a chlúdaíonn na pointí seo.”

Liostaíonn an Blueprint stádas gníomhartha roimhe seo, athruithe i saincheisteanna seachtracha agus inmheánacha, feidhmíocht agus éifeachtacht ISMS, teagmhais nó neamhchomhréireachtaí, deiseanna feabhsúcháin agus riachtanais acmhainní.

Ó Zenith Blueprint, céim Iniúchadh, Athbhreithniú agus Feabhsú, Céim 28: Athbhreithniú Bainistíochta Zenith Blueprint

Maidir le NIS2 agus DORA, is é athbhreithniú bainistíochta an áit a mbíonn cuntasacht ar leibhéal an bhoird infheicthe. Níor cheart don athbhreithniú a rá amháin “pléadh slándáil.” Ba cheart dó a léiriú gur athbhreithnigh an cheannaireacht:

• Athruithe i gceanglais NIS2, DORA, GDPR, custaiméirí agus chonarthacha.
• Athruithe ar raon feidhme, lena n-áirítear tíortha nua, táirgí, custaiméirí rialáilte nó spleáchais TFC.
• Torthaí iniúchta inmheánaigh, lena n-áirítear neamhchomhréireachtaí móra agus beaga.
• Stádas CAPAanna agus gníomhartha thar téarma.
• Cuspóirí agus méadrachtaí slándála.
• Treochtaí teagmhas, neasteagmhais agus ceachtanna foghlamtha.
• Rioscaí comhchruinnithe soláthraithe agus néalríomhaireachta.
• Torthaí tástála leanúnachais gnó agus cúltaca.
• Feidhmíocht leochaileachtaí agus paistí.
• Riachtanais acmhainní, lena n-áirítear daoine, uirlisí, oiliúint agus buiséad.
• Rioscaí iarmharacha a dteastaíonn glacadh foirmiúil leo.
• Cinntí feabhsúcháin agus úinéirí cuntasacha.

Seo an áit ar féidir le Maria tuarascáil theicniúil a iompú ina dearbhú straitéiseach. In ionad “d’aimsíomar bearna amháin sa phróiseas teagmhais,” is féidir léi a rá: “D’aithin an t-iniúchadh mion-neamhchomhréireacht amháin inár gcritéir chinnteoireachta maidir le tuairisciú teagmhas NIS2. Nuashonraíonn an CAPA an nós imeachta, cuireann sé maitrís chinnteoireachta leis agus éilíonn sé cleachtadh boird laistigh de 30 lá. Teastaíonn faomhadh bainistíochta uainn le haghaidh athbhreithniú dlíthiúil agus am oiliúna.”

Sin an cineál taifid a thacaíonn le rialachas, maoirseacht agus cinnteoireacht inchosanta.

Gníomh ceartaitheach: an difríocht idir fionnachtain agus aibíocht

Níl in iniúchadh inmheánach gan ghníomh ceartaitheach ach diagnóis.

Insíonn Céim 29 de Zenith Blueprint d’eagraíochtaí loga CAPA a úsáid:

“Líon é le gach saincheist: cur síos ar an tsaincheist, bunchúis, gníomh ceartaitheach, úinéir freagrach, spriocdháta críochnaithe, stádas.”

Ó Zenith Blueprint, céim Iniúchadh, Athbhreithniú agus Feabhsú, Céim 29: Feabhsú Leanúnach Zenith Blueprint

Déanann sé idirdhealú tábhachtach freisin:

“I dtéarmaí iniúchta: socraíonn ceartú an tsiomtóm, socraíonn gníomh ceartaitheach an chúis. Tá an dá cheann tábhachtach.”

Ó Zenith Blueprint, céim Iniúchadh, Athbhreithniú agus Feabhsú, Céim 29: Feabhsú Leanúnach

Má tá fianaise athshlánaithe cúltaca ar iarraidh, d’fhéadfadh gurb é an ceartú tástáil athshlánaithe a reáchtáil agus a dhoiciméadú an tseachtain seo. Is é an gníomh ceartaitheach an nós imeachta cúltaca a athrú ionas go sceidealófar tástálacha athshlánaithe go ráithiúil, go gcruthófar ticéid go huathoibríoch, go ndéanfaidh úinéir na seirbhíse athbhreithniú orthu agus go n-áireofar iad i méadrachtaí athbhreithnithe bainistíochta.

Lorgaíonn iniúchóirí an aibíocht sin. Tástálann iniúchóir ISO 27001 comhréireacht leis an ISMS agus leis na rialuithe roghnaithe. Fiafraíonn athbhreithneoir NIS2 an bhfuil bearta bainistíochta riosca éifeachtach agus faoi mhaoirseacht. Lorgaíonn athbhreithneoir DORA comhtháthú chreat riosca TFC, tástáil athléimneachta, bainistíocht spleáchas tríú páirtí agus leigheas. D’fhéadfadh measúnóir NIST Cybersecurity Framework 2.0 fiafraí an bhfuil torthaí rialachais, sainaithinte, cosanta, braite, freagartha agus téarnaimh ag feidhmiú. D’fhéadfadh iniúchóir COBIT 2019 díriú ar chuspóirí rialachais, úinéireacht, táscairí feidhmíochta agus dearbhú.

Is féidir leis an taifead CAPA céanna na lionsaí sin a shásamh má chuimsíonn sé bunchúis, úinéir, tionchar riosca, gníomh ceartaitheach, dáta dlite, fianaise ar chur chun feidhme, athbhreithniú éifeachtachta agus infheictheacht bainistíochta.

Lionsaí iolracha an iniúchóra

Léann iniúchóirí éagsúla an fhianaise chéanna ar bhealaí éagsúla. Cuidíonn Zenith Controls leis na ceisteanna sin a thuar trí ghníomhú mar threoir thras-chomhlíonta do rialuithe ISO/IEC 27002:2022 agus creataí gaolmhara.

Is sampla maith é Rialú 5.36. D’fhéadfadh iniúchóir ISO 27001 díriú ar an gceist an dtarlaíonn athbhreithnithe comhlíonta agus an dtéann siad isteach i ngníomh ceartaitheach. D’fhéadfadh athbhreithneoir NIS2 fiafraí an dtástálann na hathbhreithnithe sin bearta dlíthiúla cibearshlándála, ní rialacha inmheánacha amháin. D’fhéadfadh athbhreithneoir DORA díriú ar an gceist an áirítear soláthraithe criticiúla TFC agus cur chun feidhme conarthach in athbhreithnithe comhlíonta.

Sin é an fáth gur gá an fhianaise a dhearadh do léitheoirí iolracha ón tús.

Sprint praiticiúil 30 lá le haghaidh ullmhacht iniúchta

Má fhiafraíonn an CEO an féidir leis an eagraíocht a bheith réidh le haghaidh iniúchta i gceann 30 lá, is é an freagra macánta: is féidir leat bonnlíne fianaise inchreidte a thógáil má thacaíonn an cheannaireacht leis an sprint agus má tá an raon feidhme réalaíoch.

Ní thagann an sprint seo in ionad aibíocht fhadtéarmach. Cruthaíonn sé bonnlíne oibríochtúil inchosanta. Tagann an fíorluach nuair a athdhéanann an eagraíocht an timthriall go ráithiúil nó go leathbhliantúil, ní uair sa bhliain amháin.

Teipeanna coitianta fianaise a aimsíonn Clarysec

Feictear na laigí céanna arís agus arís eile in iniúchtaí SaaS, néalríomhaireachta agus fintech:

• Tá an plean iniúchta ann, ach níl sé bunaithe ar riosca.
• Tástálann an seicliosta iniúchta clásail ISO ach déanann sé neamhaird ar oibleagáidí NIS2, DORA, GDPR agus custaiméirí.
• Tá miontuairiscí athbhreithnithe bainistíochta ann, ach ní léiríonn siad cinntí, leithdháileadh acmhainní ná glacadh riosca.
• Liostaíonn taifid CAPA gníomhartha ach níl bunchúis iontu.
• Dúntar fionnachtana gan fíorú éifeachtachta.
• Déantar athbhreithnithe soláthraithe, ach ní dhéantar soláthraithe criticiúla a idirdhealú ó dhíoltóirí ísealriosca.
• Tá treoracha freagartha teagmhas ann, ach ní féidir le duine ar bith a chruthú go n-oibreodh an sreabhadh oibre tuairiscithe 24 uair nó 72 uair.
• Tá jabanna cúltaca glas, ach níl fianaise ar thástálacha athshlánaithe.
• Easpórtáiltear athbhreithnithe rochtana, ach ní rianaítear eisceachtaí go dtí go ndúntar iad.
• Bailítear logaí, ach ní féidir le duine ar bith faireachán, uaschéimniú ná freagairt a léiriú.
• Stóráiltear fianaise i bhfillteáin phearsanta in ionad stór rialaithe.
• Tá ceanglais choinneála doiléir nó neamhréireach le conarthaí custaiméirí.

Is féidir na teipeanna sin a shocrú. Teastaíonn ailtireacht struchtúrtha fianaise ISMS uathu, ní tóraíocht doiciméad ag an nóiméad deireanach.

Cén chuma atá ar dhea-chleachtas don bhord

Nuair a fhilleann an CISO ar an CEO agus ar an CFO, ní hé an freagra is láidre “d’éirigh linn i seicliosta iniúchta.” Is é seo é:

“Tá plean iniúchta faofa againn. Rinneamar iniúchadh inmheánach bunaithe ar riosca. D’aithníomar fionnachtana le fianaise oibiachtúil. D’fhaomh muid CAPAanna le húinéirí agus dátaí dlite. D’uaschéimníomar rioscaí ábhartha, teagmhais, spleáchais ar sholáthraithe agus riachtanais acmhainní chuig athbhreithniú bainistíochta. Mhapálamar fianaise le ISO/IEC 27001:2022, NIS2, DORA agus GDPR. Is féidir linn an rian iniúchta a thaispeáint.”

Athraíonn an freagra sin an comhrá. Tugann sé muinín don CEO le custaiméirí. Tugann sé soiléireacht don CFO maidir le nochtadh rialála. Tugann sé taifead maoirseachta inchosanta don bhord. Tugann sé treochlár tosaíochta don CISO in ionad carn iarratas dícheangailte.

Níos tábhachtaí fós, bogann sé an eagraíocht ó amharclann comhlíonta go hathléimneacht oibríochtúil.

Na chéad chéimeanna eile le Clarysec

Níor cheart go mbeadh do chéad iniúchadh eile ina rás géarchéime. Ba cheart go mbeadh sé ina chruthúnas infheicthe go n-oibríonn do ISMS, go bhfuil an cheannaireacht rannpháirteach agus go bhfuil an eagraíocht réidh do ISO 27001, NIS2, DORA, GDPR agus dearbhú custaiméirí.

Is féidir le Clarysec cabhrú leat:

• Plean iniúchta inmheánaigh bunaithe ar riosca a thógáil trí Zenith Blueprint: treochlár 30 céim d’iniúchóir Zenith Blueprint a úsáid.
• Fianaise iniúchta a mhapáil trí Zenith Controls: an treoir tras-chomhlíonta Zenith Controls.
• Rialachas iniúchta do FBM nó d’fhiontar a chur chun feidhme trí Beartas faireacháin iniúchta agus comhlíonta do FBManna Beartas faireacháin iniúchta agus comhlíonta do FBManna nó Beartas faireacháin iniúchta agus comhlíonta Beartas faireacháin iniúchta agus comhlíonta a úsáid.
• Pacáistí athbhreithnithe bainistíochta a ullmhú atá ailínithe leis an Beartas slándála faisnéise Beartas slándála faisnéise agus ionchais Chlásal 9.3 ISO/IEC 27001:2022.
• Fionnachtana a iompú ina dtaifid CAPA, cinntí bainistíochta agus feabhsú intomhaiste.

Íoslódáil uirlisí Clarysec, cuir measúnú ullmhachta in áirithe nó iarr taispeántas chun do chéad iniúchadh inmheánach eile a iompú ina fhianaise atá réidh don bhord do ISO 27001, NIS2, DORA agus níos faide fós.