Fianaise ar shláinteachas cibear NIS2 mapáilte chuig ISO 27001

Tá sé 08:40 maidin Dé Luain. Téann Sarah, CISO soláthraí B2B SaaS atá ag fás go tapa, isteach sa ghlao ceannaireachta agus í ag súil le gnáth-athbhreithniú ar ghníomhartha riosca atá fós oscailte. Ina ionad sin, osclaíonn an príomhchomhairleoir dlí le ceist níos géire:

“Má iarrann an t-údarás inniúil náisiúnta orainn amárach cruthúnas a thabhairt ar chibearshláinteachas agus ar oiliúint chibearshlándála faoi NIS2 Article 21, cad go díreach a sheolfaimid?”

Deir an Stiúrthóir AD gur chríochnaigh gach fostaí oiliúint bhliantúil feasachta. Deir bainisteoir an SOC go bhfuil na hinsamhaltaí fioscaireachta ag feabhsú. Deir ceannaire oibríochtaí TF go bhfuil MFA curtha i bhfeidhm, go ndéantar tástáil ar chúltacaí, agus go ndéantar paisteáil a rianú. Deir an bainisteoir comhlíonta go bhfuil taifid oiliúna sa chomhad iniúchta ISO/IEC 27001:2022, ach go bhfuil a fhianaise oiliúna athléimneachta féin ag foireann tionscadail DORA, agus go bhfuil logaí feasachta príobháideachais ar leith san fhillteán GDPR.

Tá obair déanta ag gach duine. Níl aon duine cinnte go n-insíonn an fhianaise scéal comhsheasmhach amháin.

Sin í fíorfhadhb NIS2 Article 21 d’eintitis riachtanacha agus thábhachtacha. Ní hionann an ceanglas agus “úsáideoirí a oiliúint” amháin. Éilíonn Article 21 bearta teicniúla, oibríochtúla agus eagraíochtúla atá iomchuí agus comhréireach chun riosca cibear a bhainistiú. Áirítear sa tacar íosta rialuithe cibearshláinteachas agus oiliúint chibearshlándála, ach freisin láimhseáil teagmhas, leanúnachas gnó, slándáil an tslabhra soláthair, láimhseáil leochaileachtaí, cripteagrafaíocht, slándáil AD, rialú rochtana, bainistíocht sócmhainní, MFA nó fíordheimhniú leanúnach, cumarsáid shlán agus nósanna imeachta chun éifeachtacht a mheasúnú.

Ní feachtas feasachta é cibearshláinteachas. Is é an disciplín oibríochtúil laethúil é a nascann daoine, rialuithe, fianaise agus cuntasacht bainistíochta.

Do CISOanna, bainisteoirí comhlíonta, MSPanna, soláthraithe SaaS, oibreoirí scamall agus soláthraithe seirbhísí digiteacha, ní hé an freagra praiticiúil tionscadal ar leith “oiliúna NIS2” a chruthú. Is é an cur chuige níos láidre slabhra fianaise amháin atá réidh don iniúchadh a thógáil laistigh de ISMS ISO/IEC 27001:2022, le tacaíocht ó chleachtais rialaithe ISO/IEC 27002:2022, á bhainistiú de réir riosca trí ISO/IEC 27005:2022, agus crostagartha do NIS2, DORA, GDPR, dearbhú de chineál NIST, agus ionchais rialachais COBIT 2019.

Cén fáth a ndéanann NIS2 Article 21 fianaise bhoird den oiliúint

Tá NIS2 infheidhme maidir le go leor eintiteas meánmhéide agus mór in earnálacha Annex I agus Annex II a sholáthraíonn seirbhísí nó a dhéanann gníomhaíochtaí san Aontas. I gcás cuideachtaí teicneolaíochta, féadfaidh an raon feidhme a bheith níos leithne ná mar a shamhlaíonn go leor foirne ceannaireachta. Clúdaíonn Annex I bonneagar digiteach, lena n-áirítear soláthraithe seirbhísí ríomhaireachta scamall, soláthraithe seirbhísí lárionaid sonraí, soláthraithe líonraí seachadta inneachair, soláthraithe seirbhísí iontaobhais, soláthraithe seirbhíse DNS agus cláraitheoirí TLD. Clúdaíonn Annex I freisin bainistíocht seirbhísí TFC B2B, lena n-áirítear soláthraithe seirbhísí bainistithe agus soláthraithe seirbhísí slándála bainistithe. Áirítear in Annex II soláthraithe digiteacha amhail margaí ar líne, innill chuardaigh ar líne agus ardáin seirbhísí líonraithe shóisialta.

Féadfaidh eintitis áirithe a bheith laistigh den raon feidhme beag beann ar mhéid, lena n-áirítear soláthraithe seirbhíse DNS áirithe agus cláraitheoirí TLD. Féadfaidh cinntí náisiúnta criticiúlachta soláthraithe níos lú a thabhairt laistigh den raon feidhme freisin má d’fhéadfadh cur isteach difear a dhéanamh do shábháilteacht phoiblí, riosca sistéamach nó seirbhísí riachtanacha.

Éilíonn Article 21(1) ar eintitis riachtanacha agus thábhachtacha bearta teicniúla, oibríochtúla agus eagraíochtúla atá iomchuí agus comhréireach a chur chun feidhme chun rioscaí do chórais líonra agus faisnéise a úsáidtear le haghaidh oibríochtaí nó soláthar seirbhíse a bhainistiú, agus chun tionchar teagmhas a chosc nó a íoslaghdú. Liostaíonn Article 21(2) na bearta íosta, lena n-áirítear beartais maidir le hanailís riosca agus slándáil córas faisnéise, láimhseáil teagmhas, leanúnachas gnó, slándáil an tslabhra soláthair, éadáil agus cothabháil shlán, measúnú éifeachtachta, cleachtais bhunúsacha chibearshláinteachais agus oiliúint chibearshlándála, cripteagrafaíocht, slándáil AD, rialú rochtana, bainistíocht sócmhainní, agus MFA nó fíordheimhniú leanúnach nuair is iomchuí.

Ardaíonn Article 20 an geall. Ní mór do chomhlachtaí bainistíochta bearta bainistíochta riosca cibearshlándála a fhaomhadh, cur chun feidhme a mhaoirsiú, agus féadfar iad a chur faoi dhliteanas i leith sáruithe. Ní mór do chomhaltaí na gcomhlachtaí bainistíochta oiliúint a leanúint, agus spreagtar eintitis chun oiliúint rialta chomhchosúil a sholáthar d’fhostaithe ionas gur féidir leo rioscaí a shainaithint agus cleachtais bainistíochta riosca cibearshlándála agus a dtionchar ar sheirbhísí a mheasúnú.

Cuireann Article 34 brú airgeadais leis. Féadfaidh sáruithe ar Article 21 nó Article 23 fíneálacha riaracháin a spreagadh a shroicheann ar a laghad EUR 10,000,000 nó 2% de láimhdeachas bliantúil domhanda d’eintitis riachtanacha, agus ar a laghad EUR 7,000,000 nó 1.4% d’eintitis thábhachtacha, cibé acu is airde.

Sin é an fáth nach leor “rinneamar oiliúint bhliantúil feasachta.” Beidh rialálaí, iniúchóir ISO, measúnóir slándála custaiméara nó árachóir cibear ag súil le fianaise go bhfuil an oiliúint rólbhunaithe, bunaithe ar riosca, cothrom le dáta, tomhaiste, nasctha le teagmhais, agus intuigthe don bhainistíocht.

Éilíonn Beartas Feasachta agus Oiliúna um Shlándáil Faisnéise fiontraíochta Clarysec, clásal 5.1.1.3, go ndéanfaidh an oiliúint:

Ábhair amhail fioscaireacht, sláinteachas pasfhocal, tuairisciú agus bainistíocht teagmhas, slándáil fhisiciúil, agus cosaint agus íoslaghdú sonraí a chlúdach

Sainaithníonn an beartas céanna, clásal 8.3.1.1, an líne fianaise a iarrann iniúchóirí de ghnáth ar dtús:

Taifid ar shannadh, admháil agus críochnú oiliúna

Do FBManna, tá Beartas Feasachta agus Oiliúna um Shlándáil Faisnéise - FBM Clarysec, clásal 8.4.1, níos dírí fós faoi iniúchthacht:

Tá taifid oiliúna faoi réir iniúchadh inmheánach agus athbhreithniú seachtrach. Ní mór taifid a bheith cruinn, iomlán agus inléirithe ar iarraidh (m.sh., le haghaidh deimhniú ISO, iniúchadh GDPR nó bailíochtú árachais).

Gabhann an abairt sin an difríocht idir feasacht mar ghníomhaíocht AD agus feasacht mar rialú comhlíonta. Má tá taifid neamhiomlán, neamh-infhíoraithe nó gan nasc le riosca róil, féadfaidh an rialú a bheith ann go hoibríochtúil ach teip san iniúchadh.

Úsáid ISO/IEC 27001:2022 mar chnámh droma na fianaise

Is é ISO/IEC 27001:2022 an chnámh droma nádúrtha do NIS2 Article 21 toisc go gcuireann sé iallach ar an eagraíocht raon feidhme, páirtithe leasmhara, rioscaí, rialuithe, cuspóirí, fianaise, iniúchadh inmheánach, athbhreithniú bainistíochta agus feabhsú leanúnach a shainiú.

Éilíonn clásail 4.1 go 4.4 ar an eagraíocht saincheisteanna inmheánacha agus seachtracha a thuiscint, páirtithe leasmhara agus a gceanglais a chinneadh, raon feidhme an ISMS a shainiú, comhéadain agus spleáchais le gníomhaíochtaí a dhéanann eagraíochtaí eile a mheas, agus an ISMS a chothabháil mar shraith idirghníomhach próiseas. I gcás soláthraí SaaS nó MSP, ba cheart go n-áireodh raon feidhme an ISMS oibleagáidí NIS2, oibleagáidí conarthacha custaiméirí, spleáchais ar sholáthraithe scamall, clúdach SOC seachfhoinsithe, róil phróiseála sonraí agus gealltanais infhaighteachta seirbhíse go sainráite.

Tugann clásail 5.1 go 5.3 cuntasacht rialachais isteach. Ní mór don ardbhainistíocht an beartas agus na cuspóirí slándála faisnéise a ailíniú leis an treo straitéiseach, ceanglais ISMS a chomhtháthú i bpróisis ghnó, acmhainní a sholáthar, freagrachtaí a shannadh agus tuairisciú feidhmíochta a chinntiú. Ailíníonn sé sin go díreach le NIS2 Article 20, áit a bhfaomhann agus a mhaoirsíonn comhlachtaí bainistíochta bearta bainistíochta riosca cibearshlándála.

Athraíonn clásail 6.1.1 go 6.1.3 agus 6.2 ionchais dhlíthiúla ina gcóireáil riosca. Ní mór don eagraíocht gníomhartha a phleanáil le haghaidh rioscaí agus deiseanna, próiseas measúnaithe riosca slándála faisnéise atá in-athdhéanta a oibriú, úinéirí riosca a chinneadh, roghanna cóireála a roghnú, rialuithe a chur i gcomparáid le Annex A, Ráiteas Infheidhmeachta a chruthú, Plean Cóireála Riosca a fhoirmliú, faomhadh úinéara riosca a fháil, agus cuspóirí slándála intomhaiste a shocrú.

Seo an áit a n-éiríonn NIS2 Article 21 inbhainistithe. Ní gá clár feasachta NIS2 dícheangailte a bheith agat. Tá scéal riosca agus rialuithe mapáilte de dhíth ort.

Críochnaíonn clásail 8.1 go 8.3, 9.1 go 9.3, agus 10.1 go 10.2 an lúb oibríochtúil. Éilíonn siad rialú oibríochtúil pleanáilte, athmheasúnú riosca, cur chun feidhme pleananna cóireála, faireachán agus tomhas, iniúchadh inmheánach, athbhreithniú bainistíochta, feabhsú leanúnach agus gníomh ceartaitheach. Éiríonn ISO/IEC 27001:2022 ina inneall fianaise do NIS2 Article 21, ní hamháin ina shuaitheantas deimhniúcháin.

Aistrigh cibearshláinteachas ina phointí ancaire rialaithe ISO

Tá “cibearshláinteachas” leathan d’aon ghnó. Do na hiniúchóirí, ní mór é a aistriú ina rialuithe sonracha, intástáilte. De ghnáth, tosaíonn Clarysec fianaise chibearshláinteachais NIS2 Article 21 le trí phointe ancaire rialaithe praiticiúla ó ISO/IEC 27002:2022, mar a léirmhínítear iad trí Zenith Controls: The Cross-Compliance Guide.

Is é an chéad phointe ancaire rialú 6.3 ISO/IEC 27002:2022, feasacht, oideachas agus oiliúint slándála faisnéise. In Zenith Controls, caitear le 6.3 mar rialú coisctheach a thacaíonn le rúndacht, sláine agus infhaighteacht. Is í slándáil acmhainní daonna a chumas oibríochtúil, agus is é cosaint a choincheap cibearshlándála. Cuireann sé sin feasacht i láthair mar rialú cosanta, ní mar chleachtadh cumarsáide.

Léiríonn Zenith Controls freisin conas a bhraitheann 6.3 ar rialuithe eile agus conas a neartaíonn sé iad. Ceanglaíonn sé le 5.2 róil agus freagrachtaí slándála faisnéise toisc go gcaithfidh oiliúint freagrachtaí sannta a léiriú. Ceanglaíonn sé le 6.8 tuairisciú imeachtaí slándála faisnéise toisc nach féidir le foireann an rud nach n-aithníonn siad a thuairisciú. Ceanglaíonn sé le 8.16 gníomhaíochtaí faireacháin toisc go dteastaíonn oiliúint ó anailísithe SOC agus ó fhoireann oibríochtaí chun aimhrialtachtaí a aithint agus prótacail freagartha a leanúint. Ceanglaíonn sé le 5.36 comhlíonadh beartas, rialacha agus caighdeán slándála faisnéise toisc nach n-oibríonn beartais ach nuair a thuigeann daoine iad.

Mar a deir Zenith Controls faoi rialú 6.3 ISO/IEC 27002:2022:

Braitheann comhlíonadh ar fheasacht. Cinntíonn 6.3 go bhfuil fostaithe ar an eolas faoi bheartais slándála agus go dtuigeann siad a bhfreagracht phearsanta agus iad ag cloí leo. Maolaíonn oideachas agus oiliúint rialta an riosca go sárófaí beartais go neamhbheartaithe de dheasca aineolais.

Is é an dara pointe ancaire rialú 5.10 ISO/IEC 27002:2022, úsáid inghlactha faisnéise agus sócmhainní gaolmhara eile. Braitheann cibearshláinteachas ar dhaoine a thuiscint cad is féidir leo a dhéanamh le críochphointí, tiomántáin scamall, uirlisí SaaS, ardáin chomhoibrithe, meáin inbhainte, sonraí táirgthe, sonraí tástála agus uirlisí atá cumasaithe ag IS. Mapálann Zenith Controls 5.10 mar rialú coisctheach ar fud bainistíocht sócmhainní agus cosaint faisnéise. Go praiticiúil, ní síniú beartais amháin atá i bhfianaise úsáide inghlactha. Áirítear léi cruthúnas go gclúdaíonn an beartas an tírdhreach fíorshócmhainní, go n-áirítear admháil san ionduchtú, go dtacaíonn faireachán le cur chun feidhme, agus go láimhseáiltear eisceachtaí.

Is é an tríú pointe ancaire rialú 5.36 ISO/IEC 27002:2022, comhlíonadh beartas, rialacha agus caighdeán slándála faisnéise. Seo an droichead iniúchta. Mapálann Zenith Controls 5.36 mar rialú coisctheach rialachais agus dearbhaithe. Ceanglaíonn sé le 5.1 beartais le haghaidh slándála faisnéise, 6.4 próiseas araíonachta, 5.35 athbhreithniú neamhspleách ar shlándáil faisnéise, 5.2 róil agus freagrachtaí, 5.25 measúnú agus cinneadh maidir le himeachtaí slándála faisnéise, 8.15 logáil, 8.16 gníomhaíochtaí faireacháin, agus 5.33 cosaint taifead.

Do NIS2 Article 21, tá sé seo ríthábhachtach. Ní iarrann rialálaithe agus iniúchóirí amháin an bhfuil beartas ann. Iarrann siad an ndéantar faireachán ar chloí leis, an mbraitear sáruithe, an gcosnaítear fianaise, an dtarlaíonn gníomh ceartaitheach, agus an bhfeiceann an bhainistíocht na torthaí.

Tóg pacáiste fianaise chibearshláinteachais agus oiliúna NIS2

Samhlaigh soláthraí SaaS meánmhéide atá ag ullmhú do NIS2 agus d’iniúchadh faireachais ISO/IEC 27001:2022 araon. Tá 310 fostaí ag an eagraíocht, lena n-áirítear forbróirí, SREanna, gníomhairí tacaíochta, foireann díolacháin, conraitheoirí agus feidhmeannaigh. Soláthraíonn sí seirbhísí sreafa oibre scamallbhunaithe do chustaiméirí san AE agus braitheann sí ar sholáthraí scamall hipearscála, dhá ardán aitheantais, soláthraí MDR seachfhoinsithe agus roinnt uirlisí tacaíochta fo-chonraithe.

Tá easpórtálacha oiliúna ón LMS ag an mbainisteoir comhlíonta, ach níl siad mapáilte chuig NIS2 Article 21, rialuithe ISO, róil ghnó ná cásanna riosca. Táirgeann sprint ceartúcháin praiticiúil Pacáiste Fianaise Cibearshláinteachais agus Oiliúna le sé chomhpháirt.

Is í inrianaitheacht an eochair.

Tosaigh le NIS2 Article 21(2)(g), cleachtais bhunúsacha chibearshláinteachais agus oiliúint chibearshlándála. Nasc é le clásail 7.2 agus 7.3 ISO/IEC 27001:2022 maidir le hinniúlacht agus feasacht, clásail 9.1 agus 9.2 maidir le faireachán agus iniúchadh, agus rialuithe Annex A lena n-áirítear feasacht, úsáid inghlactha, bainistíocht leochaileachtaí, bainistíocht cumraíochta, cúltacaí, logáil, faireachán, cripteagrafaíocht, rialú rochtana agus bainistíocht teagmhas. Ansin nasc an fhianaise leis an gclár rioscaí.

Tacaíonn Beartas Feasachta agus Oiliúna um Shlándáil Faisnéise na fiontraíochta leis an struchtúr seo. Áiríonn clásal 5.1.2.4 ábhair oiliúna feidhmiúcháin go sainráite:

Feidhmeannaigh (m.sh., rialachas, glacadh riosca, oibleagáidí dlíthiúla)

Tá tábhacht leis an líne sin faoi NIS2 Article 20 toisc nach roghnach í oiliúint bhainistíochta. Má fhaomhann an bord bearta bainistíochta riosca ach nach féidir leis glacadh riosca, tairseacha teagmhais nó gnáthaimh mhaoirseachta a mhíniú, briseann an slabhra fianaise.

Léiríonn Beartas Slándála Faisnéise - FBM Clarysec, clásal 6.4.1, conas a éiríonn cibearshláinteachas ina iompar rialaithe laethúil:

Ní mór rialuithe slándála éigeantacha a chur i bhfeidhm go comhsheasmhach, lena n-áirítear cúltacaí rialta, nuashonruithe frithvíris, pasfhocail láidre agus diúscairt shlán doiciméad íogair.

Is léiriú gonta FBM é sin ar chibearshláinteachas praiticiúil. Beidh fianaise fós ag teastáil ón iniúchóir, amhail tuarascálacha jabanna cúltaca, clúdach EDR, cumraíocht pasfhocal nó MFA, agus logaí diúscartha slána, ach bunaíonn an beartas an t-iompar ionchais.

Mapáil NIS2 Article 21 chuig fianaise iniúchta

Déanann iniúchóirí tástáil ar oibriú rialuithe, ní ar manaí. Leanfaidh siad an snáithe órga ón gceanglas dlíthiúil chuig raon feidhme ISMS, measúnú riosca, Ráiteas Infheidhmeachta, beartas, nós imeachta, fianaise agus athbhreithniú bainistíochta.

B’fhéidir nach n-úsáidfidh rialálaí téarmaíocht ISO, ach fanann an chonair fianaise mar an gcéanna. Taispeáin go bhfuil an ceanglas sainaitheanta, measúnaithe ó thaobh riosca de, cóirithe, curtha chun feidhme, faireachán déanta air, tuairiscithe don bhainistíocht agus feabhsaithe.

Úsáid Zenith Blueprint chun bogadh ó phlean go fianaise

Tugann Zenith Blueprint: An Auditor’s 30-Step Roadmap bealach praiticiúil d’fhoirne ó rún go fianaise. Sa chéim ISMS Foundation & Leadership, Céim 5, Communication, Awareness, and Competence, treoraíonn an Blueprint eagraíochtaí chun inniúlachtaí riachtanacha a shainaithint, inniúlachtaí reatha a mheasúnú, oiliúint a sholáthar chun bearnaí a líonadh, taifid inniúlachta a chothabháil, agus déileáil le hinniúlacht mar rud leanúnach.

Tá mír ghnímh an Blueprint oibríochtúil d’aon ghnó:

Déan anailís thapa ar riachtanais oiliúna. Liostaigh do phríomhróil ISMS (ó Chéim 4) agus, do gach ceann acu, scríobh síos aon oiliúint nó deimhniú atá acu cheana agus cén oiliúint bhreise a d’fhéadfadh a bheith tairbheach. Liostaigh freisin ábhair ghinearálta feasachta slándála atá de dhíth ar na fostaithe uile. Ag baint úsáide as seo, dréachtaigh Plean Oiliúna simplí don bhliain seo chugainn – m.sh., “R1: Feasacht slándála don fhoireann uile; R2: Oiliúint ardleibhéil Freagartha do Theagmhais do TF; R3: Oiliúint iniúchóra inmheánaigh ISO 27001 do bheirt bhall foirne; …”.

Sa chéim Controls in Action, Céim 15, People Controls I, molann Zenith Blueprint oiliúint éigeantach bhliantúil do na fostaithe uile, modúil ról-shainiúla, ionduchtú slándála d’fhostaithe nua laistigh den chéad seachtain, feachtais fhioscaireachta ionsamhlaithe, nuachtlitreacha, mionteagaisc foirne, fianaise rannpháirtíochta, feasacháin slándála spriocdhírithe tar éis bagairtí atá ag teacht chun cinn, agus oiliúint do chonraitheoirí nó tríú páirtithe a bhfuil rochtain acu.

Tugann Céim 16, People Controls II, rabhadh go ndéanfaidh iniúchóirí tástáil ar chur chun feidhme, ní ar dhoiciméadacht amháin. Maidir le cianobair, féadfaidh iniúchóirí an beartas cianoibre, fianaise VPN nó criptithe críochphointe, cur chun feidhme MDM, srianta BYOD, agus taifid oiliúna a léiríonn réamhchúraimí cianoibre a iarraidh. Má tá obair hibrideach mar chuid den tsamhail oibríochta, ba cheart go n-áireodh fianaise oiliúna NIS2 úsáid Wi‑Fi shlán, glasáil gléis, stóráil cheadaithe, MFA, agus gníomhaíocht amhrasach ó thimpeallachtaí baile a thuairisciú.

Nascann Céim 19, Technological Controls I, cibearshláinteachas leis an gciseal rialaithe teicniúil. Molann Zenith Blueprint athbhreithniú a dhéanamh ar thuarascálacha paisteála, scananna leochaileachta, bonnlínte slána, clúdach EDR, logaí bogearraí mailíseacha, foláirimh DLP, athshlánuithe cúltaca, fianaise iomarcaíochta, feabhsúcháin logála agus sioncrónú ama. Ní féidir Article 21(2)(g) a mheasúnú ina aonar. Teastaíonn críochphointí paisteáilte, logaí faireacháin, cúltacaí tástáilte agus cumraíochtaí slána ó fhórsa saothair oilte fós.

Déan an plean oiliúna bunaithe ar riosca le ISO/IEC 27005:2022

Laige choitianta iniúchta is ea plean oiliúna cineálach a fhéachann mar an gcéanna d’fhorbróirí, airgeadas, tacaíocht, feidhmeannaigh agus conraitheoirí. Cuidíonn ISO/IEC 27005:2022 leis an laige sin a sheachaint trí oiliúint a dhéanamh mar chuid de chóireáil riosca.

Molann clásal 6.2 buncheanglais páirtithe leasmhara ábhartha agus stádas comhlíonta a shainaithint, lena n-áirítear ISO/IEC 27001:2022 Annex A, caighdeáin ISMS eile, ceanglais earnáilshonracha, rialacháin náisiúnta agus idirnáisiúnta, rialacha slándála inmheánacha, rialuithe slándála conarthacha, agus rialuithe atá curtha chun feidhme cheana trí chóireáil riosca roimhe seo. Tacaíonn sé seo le clár ceanglas amháin seachas scarbhileoga ar leith do NIS2, ISO, DORA, GDPR, custaiméirí agus árachas.

Míníonn clásail 6.4.1 go 6.4.3 gur cheart do chritéir glactha riosca agus measúnaithe gnéithe dlíthiúla agus rialála, gníomhaíochtaí oibríochtúla, caidrimh soláthraithe, srianta teicneolaíochta agus airgeadais, príobháideachas, díobháil do chlú, sáruithe conarthacha, sáruithe ar leibhéal seirbhíse agus tionchair ar thríú páirtithe a mheas. Tá teagmhas fioscaireachta a théann i bhfeidhm ar chóras nuachtlitreach inmheánaí éagsúil ó chomhréiteach dintiúir a théann i bhfeidhm ar sheirbhís slándála bainistithe, ardán tacaíochta custaiméara, comhtháthú íocaíochta nó oibríocht DNS.

Éilíonn clásail 7.1 go 7.2.2 measúnú riosca comhsheasmhach, in-atáirgthe, lena n-áirítear rioscaí rúndachta, sláine agus infhaighteachta, agus úinéirí riosca ainmnithe. Treoraíonn clásail 8.2 go 8.6 ansin roghnú cóireála, cinneadh rialuithe, comparáid Annex A, doiciméadú an Ráitis Infheidhmeachta agus mionsonraí an phlean cóireála.

Is cóireáil amháin í oiliúint, ach ní hí an t-aon chóireáil í. Má léiríonn insamhaltaí fioscaireachta arís agus arís eile go bhfuil úsáideoirí airgeadais leochaileach i leith calaoise sonrasc, féadfaidh an Plean Cóireála Riosca oiliúint athnuachana, sreabhadh oibre faofa íocaíochta níos láidre, rochtain choinníollach, faireachán ar rialacha bosca poist agus druileanna cásanna calaoise d’fheidhmeannaigh a áireamh.

Leagann clásail 9.1, 9.2, 10.4.2, 10.5.1 agus 10.5.2 béim ar athmheasúnú pleanáilte, modhanna doiciméadaithe, faireachán éifeachtachta agus nuashonruithe nuair a athraíonn leochaileachtaí nua, sócmhainní, úsáid teicneolaíochta, dlíthe, teagmhais nó fonn riosca. Cruthaíonn sé sin nach reoann an eagraíocht a plean oiliúna uair sa bhliain.

Athúsáid an fhianaise chéanna do NIS2, DORA, GDPR, NIST agus COBIT

Ba cheart don phacáiste fianaise NIS2 is láidre tacú le comhráite dearbhaithe iolracha.

Aithníonn NIS2 Article 4 gur féidir le gníomhartha dlíthiúla earnáilshonracha de chuid an Aontais oibleagáidí comhfhreagracha bainistíochta riosca agus tuairiscithe NIS2 a ionadú nuair atá siad ar a laghad coibhéiseach ó thaobh éifeachta de. Sainaithníonn Recital 28 DORA mar an réimeas earnáilshonrach d’eintitis airgeadais atá laistigh den raon feidhme. I gcás eintiteas airgeadais clúdaithe, tá rialacha DORA maidir le bainistíocht riosca TFC, bainistíocht teagmhas, tástáil athléimneachta, comhroinnt faisnéise agus riosca tríú páirtí TFC infheidhme in ionad forálacha comhfhreagracha NIS2. Fanann NIS2 thar a bheith ábhartha d’eintitis lasmuigh de DORA agus do sholáthraithe tríú páirtí TFC amhail soláthraithe scamall, MSPanna agus MSSPanna.

Neartaíonn DORA an loighic chéanna córais bhainistíochta. Éilíonn Articles 4 go 6 bainistíocht riosca TFC chomhréireach, freagracht an chomhlachta bainistíochta, róil shoiléire TFC, straitéis athléimneachta oibríochtúla digití, pleananna iniúchta TFC, buiséid, agus acmhainní feasachta nó oiliúna. Éilíonn Articles 8 go 13 sainaithint sócmhainní agus spleáchas, cosaint agus cosc, rialuithe rochtana, fíordheimhniú láidir, cúltacaí, leanúnachas, freagairt agus téarnamh, foghlaim iar-theagmhais, tuairisciú sinsearach TFC, agus oiliúint feasachta slándála faisnéise agus oiliúint éigeantach ar athléimneacht oibríochtúil dhigiteach. Éilíonn Articles 17 go 23 bainistíocht teagmhas struchtúrtha, aicmiú, uasghrádú agus cumarsáidí cliant. Nascann Articles 24 go 30 tástáil le rialachas soláthraithe, dícheall cuí, conarthaí, cearta iniúchta agus straitéisí scoir.

Cuireann GDPR an ciseal cuntasachta príobháideachais leis. Éilíonn Article 5 sláine agus rúndacht trí bhearta teicniúla agus eagraíochtúla iomchuí, agus éilíonn Article 5(2) ar rialaitheoirí comhlíonadh a léiriú. Éilíonn Article 6 bunús dleathach don phróiseáil, agus cuireann Articles 9 agus 10 coimircí níos déine ar chatagóirí speisialta agus ar shonraí a bhaineann le cionta coiriúla. I gcás soláthraí SaaS, ba cheart go n-áireodh fianaise oiliúna príobháideachas, íoslaghdú sonraí, nochtadh slán, uasghrádú sáraithe agus láimhseáil ról-shainiúil sonraí custaiméara.

Bíonn lionsaí iniúchta de chineál NIST agus COBIT 2019 le feiceáil go minic i ndearbhú custaiméara, iniúchadh inmheánach agus tuairisciú boird. De ghnáth, fiafróidh measúnóir de chineál NIST an bhfuil feasacht agus oiliúint bunaithe ar riosca, rólbhunaithe, tomhaiste agus nasctha le freagairt do theagmhais, aitheantas, bainistíocht sócmhainní agus faireachán leanúnach. Díreoidh iniúchóir de chineál COBIT 2019 nó ISACA ar rialachas, cuntasacht, táscairí feidhmíochta, maoirseacht bainistíochta, úinéireacht próisis agus ailíniú le cuspóirí fiontair.

Tá an buntáiste praiticiúil simplí: pacáiste fianaise amháin, insintí iniúchta iolracha.

Conas a thástálfaidh iniúchóirí an rialú céanna

Tosóidh iniúchóir ISO/IEC 27001:2022 leis an ISMS. Fiafróidh siad an bhfuil ceanglais inniúlachta agus feasachta socraithe, an dtuigeann pearsanra a bhfreagrachtaí, an gcoinnítear taifid, an ndéanann iniúchtaí inmheánacha tástáil ar an bpróiseas, agus an mbreithníonn athbhreithniú bainistíochta feidhmíocht agus feabhsú. Féadfaidh siad fostaithe a shampláil agus fiafraí díobh conas teagmhas a thuairisciú, conas a úsáidtear MFA, cad iad na rialacha úsáide inghlactha, nó cad ba cheart a dhéanamh tar éis ríomhphost amhrasach a fháil.

Beidh athbhreithniú maoirseachta NIS2 níos dírithe ar thorthaí agus ar riosca seirbhíse. Féadfaidh an t-athbhreithneoir fiafraí conas a laghdaíonn cibearshláinteachas riosca do sholáthar seirbhíse, conas a d’fhaomh an bhainistíocht na bearta, conas atá oiliúint saincheaptha do sheirbhísí riachtanacha, conas atá pearsanra tríú páirtí clúdaithe, conas a dhéantar éifeachtacht a mheasúnú, agus conas a dhéanfadh an eagraíocht bagairtí nó teagmhais chibear shuntasacha a chur in iúl faoi Article 23. Ós rud é go n-áirítear in Article 23 réamhrabhadh laistigh de 24 uair an chloig agus fógra teagmhais laistigh de 72 uair an chloig le haghaidh teagmhais shuntasacha, ní mór aitheantas agus luas uasghrádaithe a bheith san oiliúint.

Nascfaidh iniúchóir DORA d’eintiteas airgeadais feasacht le hathléimneacht oibríochtúil dhigiteach. Féadfaidh siad fiafraí an bhfuil feasacht slándála TFC agus oiliúint athléimneachta éigeantach, an sroicheann tuairisciú sinsearach TFC an comhlacht bainistíochta, an dtuigtear critéir aicmithe teagmhas, an ndearnadh cumarsáidí géarchéime a chleachtadh, agus an nglacann soláthraithe tríú páirtí páirt in oiliúint nuair atá sé ábhartha ó thaobh conartha de.

Díreoidh iniúchóir GDPR nó measúnóir príobháideachais ar cibé acu an dtuigeann an fhoireann sonraí pearsanta, róil phróiseála, rúndacht, sainaithint sáraithe, uasghrádú sáraithe, íoslaghdú sonraí agus nochtadh slán. Beidh siad ag súil go n-athróidh oiliúint do thacaíocht, AD, forbróirí agus riarthóirí toisc go gcruthaíonn na róil sin rioscaí príobháideachais éagsúla.

Fiafróidh iniúchóir inmheánach COBIT 2019 nó ISACA cé leis an bpróiseas, cé na cuspóirí a dtacaíonn sé leo, conas a thomhaistear feidhmíocht, cad iad na heisceachtaí atá ann, an ndéantar gníomhartha ceartaitheacha a rianú, agus an bhfaigheann an bhainistíocht tuairisciú bríoch seachas méadrachtaí folmha.

Fionnachtana coitianta maidir le hullmhacht oiliúna NIS2

Is í an fhionnachtain is coitianta clúdach neamhiomlán an phobail. Léiríonn tuarascáil LMS críochnú 94%, ach áirítear sa 6% atá ar iarraidh riarthóirí pribhléideacha, conraitheoirí nó fostaithe nua. Ní ghlacfaidh iniúchóirí le céatadán gan tuiscint a fháil ar cé atá ar iarraidh agus cén fáth.

Is í an dara fionnachtain easpa íogaireachta róil. Faigheann gach duine an modúl bliantúil céanna, ach níl forbróirí oilte ar chódú slán, níl gníomhairí tacaíochta oilte ar fhíorú aitheantais, agus níl feidhmeannaigh oilte ar dhualgais rialachais ná ar chinntí géarchéime. Déanann NIS2 Article 20 agus Article 21 é sin deacair a chosaint.

Is í an tríú fionnachtain fianaise éifeachtachta lag. Ní hionann críochnú agus tuiscint nó athrú iompraíochta. Tá iniúchóirí ag súil níos minice le scóir tráth na gceist, treochtaí fioscaireachta, treochtaí tuairiscithe teagmhas, ceachtanna cleachtaí boird, laghdú i dteipeanna athfhillteacha agus gníomhartha ceartaitheacha.

Is í an ceathrú fionnachtain cibearshláinteachas teicniúil dícheangailte. Deir an oiliúint “tuairiscigh gníomhaíocht amhrasach,” ach níl aon chainéal tuairiscithe tástáilte ann. Deir an oiliúint “úsáid MFA,” ach seachnaíonn cuntais seirbhíse MFA. Deir an oiliúint “cosain sonraí,” ach tá sonraí táirgthe le feiceáil i dtimpeallachtaí tástála. Tá Article 21 ag súil le córas rialaithe, ní manaí.

Is í an cúigiú fionnachtain drochshláine taifead. Stóráiltear fianaise i scarbhileog in-eagarthóireachta gan úinéir, stampa ama easpórtála, rialú rochtana ná réiteach le taifid AD. Tá caidrimh rialaithe ISO/IEC 27002:2022 in Zenith Controls ag tagairt ar ais do chosaint taifead ar chúis. Ní mór don fhianaise a bheith iontaofa.

Sprint ceartúcháin 10 lá d’fhianaise atá réidh don iniúchadh

Má tá d’eagraíocht faoi bhrú, tosaigh le sprint dírithe.

Tugann an sprint sin bonnlíne fianaise inchosanta duit. Ní thagann sé in ionad oibriú leanúnach ISMS, ach cruthaíonn sé an struchtúr a bhfuil rialálaithe agus iniúchóirí ag súil leis.

Cén chuma atá ar dhea-chleachtas

Tá cúig thréith ag clár aibí cibearshláinteachais agus oiliúna faoi NIS2 Article 21.

Ar an gcéad dul síos, tá sé infheicthe don bhord. Faomhann an bhainistíocht an cur chuige, feiceann sí méadrachtaí bríocha, tuigeann sí riosca iarmharach agus maoiníonn sí feabhsú.

Ar an dara dul síos, tá sé bunaithe ar riosca. Athraíonn oiliúint de réir róil, criticiúlacht seirbhíse, leibhéal rochtana, nochtadh sonraí agus freagracht teagmhais.

Ar an tríú dul síos, tá sé bunaithe ar fhianaise. Tá taifid chríochnaithe, admhálacha, insamhaltaí, cleachtaí boird, tuarascálacha cibearshláinteachais theicniúil agus gníomhartha ceartaitheacha iomlán, réitithe agus cosanta.

Ar an gceathrú dul síos, tá sé feasach ar thraschomhlíonadh. Tacaíonn an fhianaise chéanna le tuairisciú rialachais NIS2, ISO/IEC 27001:2022, DORA, GDPR, dearbhú de chineál NIST agus COBIT 2019.

Ar an gcúigiú dul síos, feabhsaíonn sé. Nuashonraíonn teagmhais, fionnachtana iniúchta, athruithe dlíthiúla, athruithe soláthraithe, teicneolaíochtaí nua agus bagairtí atá ag teacht chun cinn an plean oiliúna.

Is é an pointe deireanach sin an difríocht idir amharclannaíocht chomhlíonta agus athléimneacht oibríochtúil.

Na chéad chéimeanna eile le Clarysec

Má tá d’fhoireann ceannaireachta ag fiafraí, “An féidir linn cibearshláinteachas agus oiliúint chibearshlándála NIS2 Article 21 a chruthú amárach?”, is féidir le Clarysec cabhrú leat bogadh ó fhianaise scaipthe chuig pacáiste fianaise ISMS atá réidh don iniúchadh.

Tosaigh leis an Zenith Blueprint chun inniúlacht, feasacht, rialuithe pearsanra, cleachtais cianoibre, bainistíocht leochaileachtaí, cúltacaí, logáil, faireachán agus gníomhartha cibearshláinteachais theicniúil a struchtúrú ar fud an treochláir 30 céim.

Úsáid Zenith Controls chun ionchais ISO/IEC 27002:2022 maidir le feasacht, úsáid inghlactha, comhlíonadh, faireachán, taifid agus dearbhú a chrostagairt ar fud comhráite iniúchta NIS2, ISO/IEC 27001:2022, DORA, GDPR, NIST agus COBIT 2019.

Ansin cuir na ceanglais i bhfeidhm go hoibríochtúil trí Beartas Feasachta agus Oiliúna um Shlándáil Faisnéise, Beartas Feasachta agus Oiliúna um Shlándáil Faisnéise - FBM, agus Beartas Slándála Faisnéise - FBM de chuid Clarysec.

Tá do ghníomh láithreach simplí: tóg léarscáil fianaise oiliúna NIS2 Article 21 aon leathanaigh an tseachtain seo. Liostaigh róil laistigh den raon feidhme, oiliúint sannta, fianaise chríochnaithe, admhálacha beartais, méadrachtaí fioscaireachta, fianaise theicniúil cibearshláinteachais, dáta athbhreithnithe bainistíochta agus gníomhartha ceartaitheacha. Má tá aon chill bán, tá do chéad tasc ceartúcháin iniúchta eile aimsithe agat.

Le haghaidh bealach níos tapa, íoslódáil teimpléid bheartais Clarysec, bain úsáid as treochlár Zenith Blueprint, agus sceidealaigh measúnú ullmhachta fianaise NIS2 chun do thaifid oiliúna reatha, rialuithe cibearshláinteachais agus ISMS ISO/IEC 27001:2022 a iompú ina chomhad iniúchta inchosanta amháin.