Il-Funzjoni Govern ta’ NIST CSF 2.0 għall-SMEs u ISO 27001

Sarah, il-CISO li kienet għadha kemm inħatret f’SME FinTech li qed tikber malajr, kellha whiteboard mimlija oqfsa u skadenza li ma setgħetx tinbidel. NIST CSF 2.0. ISO 27001:2022. NIS2. DORA. GDPR. Riskju tal-fornituri. Responsabbiltà tal-bord. Diliġenza dovuta minn klijenti korporattivi.

Il-kawża kienet familjari: spreadsheet mingħand klijent ewlieni fis-servizzi finanzjarji. It-tim tal-Akkwist ried evidenza ta’ mudell ta’ governanza taċ-ċibersigurtà, aptit għar-riskju, programm tas-sigurtà tal-fornituri, immappjar tal-obbligi legali u regolatorji, proċess ta’ eskalazzjoni tal-inċidenti u allinjament ma’ ISO 27001:2022.

Il-Kap Eżekuttiv ma riditx diskors dwar il-konformità. Riedet tweġiba sempliċi għal mistoqsija diffiċli: “Kif nippruvaw lill-bord tagħna, lill-klijenti tagħna u lir-regolaturi tagħna li għandna kontroll fuq ir-riskju ċibernetiku?”

Din hija l-problema ta’ governanza li qed jiffaċċjaw ħafna SMEs. Kwestjonarju tal-klijent rarament ikun biss kwestjonarju tal-klijent. Spiss ikun ħames diskussjonijiet dwar il-konformità miġbura f’talba waħda. NIST CSF 2.0, ISO/IEC 27001:2022, GDPR, NIS2, aspettattivi tal-fornituri mmexxija minn DORA, reżiljenza fil-cloud, sorveljanza mill-bord u impenji kuntrattwali jkunu kollha moħbija fl-istess talba għall-evidenza.

Ħafna SMEs iwieġbu billi joħolqu artefatti separati: spreadsheet għal NIST, folder taċ-ċertifikazzjoni ISO, tracker tal-GDPR, Reġistru tar-Riskji tal-fornituri u Pjan ta’ Rispons għall-Inċidenti li ma jkunux marbuta ma’ xulxin. Sitt xhur wara, ħadd ma jkun jaf liema dokument huwa awtorevoli.

L-approċċ ta’ Clarysec huwa differenti. Uża l-Funzjoni Govern ta’ NIST CSF 2.0 bħala s-saff ta’ governanza eżekuttiva, imbagħad immappjaha ma’ politiki ISO 27001:2022, trattament tar-riskju, id-Dikjarazzjoni ta’ Applikabbiltà, sorveljanza tal-fornituri, rieżami mill-maniġment u evidenza tal-awditjar. Ir-riżultat mhuwiex aktar xogħol ta’ konformità. Huwa mudell operattiv wieħed li jista’ jwieġeb lill-awdituri, lill-klijenti, lir-regolaturi u lit-tmexxija bl-istess sett ta’ evidenza.

Għaliex il-Funzjoni Govern ta’ NIST CSF 2.0 hija importanti għall-SMEs

NIST CSF 2.0 jgħolli l-governanza għal funzjoni tagħha stess, flimkien ma’ Identify, Protect, Detect, Respond u Recover. Din il-bidla hija importanti għaliex il-biċċa l-kbira tal-fallimenti tas-sigurtà fl-SMEs ma jiġux ikkawżati min-nuqqas ta’ għodda oħra. Jiġu kkawżati minn responsabbiltà mhux ċara, deċiżjonijiet dgħajfa dwar ir-riskju, eċċezzjonijiet mhux dokumentati, sorveljanza inkonsistenti tal-fornituri u politiki li ġew approvati darba iżda qatt ma ġew operazzjonalizzati.

Il-Funzjoni Govern ta’ NIST CSF 2.0 tbiddel il-mistoqsija minn “x’kontrolli għandna?” għal “min hu responsabbli, liema obbligi japplikaw, kif jiġu pprijoritizzati r-riskji u kif tiġi riveduta l-prestazzjoni?”

Għall-SMEs, ir-riżultati ta’ Govern jipprovdu mandat prattiku:

• Jifhmu u jimmaniġġjaw l-obbligi legali, regolatorji, kuntrattwali, tal-privatezza u tal-libertajiet ċivili.
• Jistabbilixxu l-aptit għar-riskju, it-tolleranza għar-riskju, il-punteġġjar tar-riskju, il-prijoritizzazzjoni u l-għażliet ta’ rispons għar-riskju.
• Jiddefinixxu r-rwoli, ir-responsabbiltajiet, l-awtoritajiet, il-mogħdijiet ta’ eskalazzjoni u r-riżorsi taċ-ċibersigurtà.
• Jistabbilixxu, jikkomunikaw, japplikaw, jirrevedu u jaġġornaw il-politiki taċ-ċibersigurtà.
• Jirrevedu l-istrateġija taċ-ċibersigurtà, il-prestazzjoni u r-responsabbiltà tal-maniġment.
• Jiggwernaw ir-riskju taċ-ċibersigurtà tal-fornituri u ta’ partijiet terzi mid-diliġenza dovuta sat-terminazzjoni tar-relazzjoni.

Għalhekk NIST CSF 2.0 Govern huwa punt ta’ dħul b’saħħtu ħafna għal ISO 27001:2022. NIST jagħti lill-eżekuttivi l-lingwaġġ tal-governanza. ISO 27001:2022 jagħti s-sistema ta’ ġestjoni li tista’ tiġi awditjata.

Il-klawżoli 4 sa 10 ta’ ISO 27001:2022 jeħtieġu li l-organizzazzjonijiet jifhmu l-kuntest, jiddefinixxu l-partijiet interessati, jistabbilixxu l-kamp ta’ applikazzjoni tal-ISMS, juru tmexxija, jippjanaw il-valutazzjoni tar-riskju u t-trattament tar-riskju, jappoġġaw informazzjoni dokumentata, iħaddmu kontrolli, jevalwaw il-prestazzjoni, iwettqu awditi interni u rieżamijiet mill-maniġment, u jtejbu kontinwament. L-Anness A imbagħad jipprovdi s-sett ta’ referenza tal-kontrolli, inklużi politiki, responsabbiltajiet tal-maniġment, obbligi legali, privatezza, relazzjonijiet mal-fornituri, servizzi cloud, ġestjoni tal-inċidenti u tħejjija tal-ICT għall-kontinwità tan-negozju.

Il-Politika tas-Sigurtà tal-Informazzjoni għall-intrapriżi ta’ Clarysec Politika tas-Sigurtà tal-Informazzjoni tiddikjara:

L-organizzazzjoni għandha żżomm mudell formali ta’ governanza biex tissorvelja l-ISMS, allinjat mal-Klawżoli 5.1 u 9.3 ta’ ISO/IEC 27001.

Dak ir-rekwiżit, mill-klawżola 5.1 tal-Politika tas-Sigurtà tal-Informazzjoni, huwa l-pont prattiku bejn ir-responsabbiltà NIST GV u l-aspettattivi ta’ tmexxija ta’ ISO 27001:2022. Il-governanza mhijiex preżentazzjoni annwali. Hija mudell formali li jgħaqqad deċiżjonijiet, politiki, rwoli, riskji, kontrolli, evidenza u rieżami.

L-immappjar ewlieni: NIST CSF 2.0 Govern ma’ evidenza ISO 27001:2022

L-aktar mod mgħaġġel biex NIST CSF 2.0 ikun utli huwa li r-riżultati ta’ Govern jinbidlu f’sjieda tal-politiki u evidenza tal-awditjar. It-tabella t’hawn taħt hija l-istruttura li Clarysec juża ma’ SMEs li qed jippreparaw għal ċertifikazzjoni ISO 27001:2022, diliġenza dovuta minn klijenti korporattivi, tħejjija għal NIS2, assigurazzjoni għall-klijenti ta’ DORA u responsabbiltà GDPR.

Dan l-immappjar huwa intenzjonalment iffukat fuq l-evidenza. Ma jitlobx lill-SME toħloq 40 dokument. Jistaqsi ħames mistoqsijiet operattivi:

1. Liema deċiżjoni qed tittieħed?
2. Min għandu s-sjieda tagħha?
3. Liema politika tirregolaha?
4. Liema klawżola ISO 27001:2022 jew kontroll tal-Anness A jappoġġaha?
5. Liema evidenza turi li seħħet?

Il-Politika dwar ir-Rwoli u r-Responsabbiltajiet tal-Governanza għall-SMEs Politika dwar ir-Rwoli u r-Responsabbiltajiet tal-Governanza għall-SMEs - SME tagħmel dik it-traċċabbiltà espliċita:

Id-deċiżjonijiet, l-eċċezzjonijiet u l-eskalazzjonijiet sinifikanti kollha dwar is-sigurtà għandhom jiġu rreġistrati u jkunu traċċabbli.

Din il-kwotazzjoni ġejja mill-klawżola 5.5 tal-Politika dwar ir-Rwoli u r-Responsabbiltajiet tal-Governanza għall-SMEs. Tbiddel NIST GV.RR minn prinċipju ta’ governanza għal regola operattiva li tista’ tiġi awditjata.

Ibda b’Profil CSF Govern, mhux bi spreadsheet tal-kontrolli

Il-Profili Organizzattivi ta’ NIST CSF 2.0 jgħinu lill-organizzazzjonijiet jiddeskrivu r-riżultati kurrenti u fil-mira taċ-ċibersigurtà. Għall-SMEs, il-Profil huwa fejn il-governanza ssir maniġġabbli.

Workshop prattiku dwar Profil Govern għandu jwieġeb ħames mistoqsijiet:

1. X’inhu fil-kamp ta’ applikazzjoni: il-kumpanija kollha, pjattaforma SaaS, prodott regolat, jew ambjent ta’ klijent?
2. Liema obbligi jmexxu l-profil: kuntratti tal-klijenti, GDPR, espożizzjoni għal NIS2, aspettattivi tal-klijenti mmexxija minn DORA, ċertifikazzjoni ISO 27001:2022, jew diliġenza dovuta tal-investituri?
3. X’tipprova l-evidenza kurrenti, mhux x’jemmnu n-nies li jeżisti?
4. Liema stat fil-mira huwa realistiku għad-90 jum li ġejjin u għat-12-il xahar li ġejjin?
5. Liema riskji, politiki, fornituri u entrati tas-SoA għandhom jinbidlu?

Il-Zenith Blueprint: Pjan direzzjonali ta’ awditur fi 30 pass Zenith Blueprint jappoġġa dan fil-fażi tal-Fondazzjoni u t-Tmexxija tal-ISMS, Pass 6, “Informazzjoni dokumentata u bini tal-librerija tal-ISMS.” Jirrakkomanda li s-SoA titħejja kmieni u tintuża bħala librerija tal-kontrolli:

✓ Kontrolli addizzjonali: Hemm kontrolli barra l-Anness A li tista’ tinkludi? ISO 27001 jippermetti li jiżdiedu kontrolli oħra fis-SoA. Pereżempju, forsi trid tinkludi konformità ma’ NIST CSF jew kontrolli speċifiċi tal-privatezza minn ISO 27701. Ġeneralment, l-Anness A huwa komprensiv, iżda tista’ żżid kwalunkwe kontroll uniku li tippjana

✓ Uża Spreadsheet (SoA Builder): Approċċ prattiku huwa li tħejji l-ispreadsheet tas-SoA issa. Ħejjejna mudell SoA_Builder.xlsx li jelenka l-kontrolli kollha tal-Anness A b’kolonni għall-applikabbiltà, l-istatus tal-implimentazzjoni u n-noti.

Għal SME, dan huwa importanti. M’hemmx għalfejn tisforza NIST CSF 2.0 fl-Anness A ta’ ISO bħallikieku t-tnejn huma identiċi. Tista’ tinkludi r-riżultati ta’ CSF Govern bħala rekwiżiti addizzjonali ta’ governanza fil-librerija tas-SoA tiegħek, timmappjahom ma’ klawżoli ISO 27001:2022 u kontrolli tal-Anness A, u tużahom biex ittejjeb ir-rieżami mill-maniġment, il-governanza tal-fornituri, ir-rappurtar tar-riskju u l-monitoraġġ tal-konformità.

Ibni Reġistru tal-Evidenza għal Govern

Reġistru tal-Evidenza għal Govern huwa l-għodda prattika li tbiddel l-oqfsa fi prova. Għandu jgħaqqad kull riżultat NIST ma’ referenza ISO, sid tal-politika, oġġett ta’ evidenza, frekwenza tar-rieżami, lakuna u azzjoni.

Il-Politika dwar il-Konformità Legali u Regolatorja għall-intrapriżi ta’ Clarysec Politika dwar il-Konformità Legali u Regolatorja tagħti r-rekwiżit ta’ governanza:

L-obbligi legali u regolatorji kollha għandhom jiġu mmappjati ma’ politiki, kontrolli u sidien speċifiċi fi ħdan is-Sistema ta’ Ġestjoni tas-Sigurtà tal-Informazzjoni (ISMS).

Din hija l-klawżola 6.2.1 tal-Politika dwar il-Konformità Legali u Regolatorja. Għall-SMEs, il-Politika dwar il-Konformità Legali u Regolatorja għall-SMEs Politika dwar il-Konformità Legali u Regolatorja għall-SMEs - SME iżżid rekwiżit prattiku ta’ immappjar trasversali:

Fejn regolament japplika għal diversi oqsma (eż. GDPR japplika għaż-żamma, is-sigurtà u l-privatezza), dan għandu jiġi mmappjat b’mod ċar fir-Reġistru tal-Konformità u fil-materjal tat-taħriġ.

Dik il-kwotazzjoni ġejja mill-klawżola 5.2.2 tal-Politika dwar il-Konformità Legali u Regolatorja għall-SMEs. Flimkien, dawn il-klawżoli jibdlu GV.OC-03 fi proċess immaniġġjat, rivedibbli u lest għall-awditjar.

Għaqqad il-punteġġjar tar-riskju mat-trattament tar-riskju u s-SoA

NIST GV.RM jeħtieġ objettivi tar-riskju, aptit għar-riskju, tolleranza għar-riskju, kalkolu standardizzat tar-riskju, għażliet ta’ rispons u linji ta’ komunikazzjoni. ISO 27001:2022 joperazzjonalizza dan permezz ta’ valutazzjoni tar-riskju, trattament tar-riskju, approvazzjoni mis-Sid tar-Riskju, aċċettazzjoni tar-riskju residwu u d-Dikjarazzjoni ta’ Applikabbiltà.

Il-Politika tal-Ġestjoni tar-Riskju għall-SMEs Politika tal-Ġestjoni tar-Riskju għall-SMEs - SME hija intenzjonalment konkreta:

Kull entrata tar-riskju għandha tinkludi: deskrizzjoni, probabbiltà, impatt, punteġġ, sid u pjan ta’ trattament.

Dan ġej mill-klawżola 5.1.2 tal-Politika tal-Ġestjoni tar-Riskju għall-SMEs. Il-Politika tal-Ġestjoni tar-Riskju għall-intrapriżi Politika tal-Ġestjoni tar-Riskju issaħħaħ il-konnessjoni mas-SoA:

Dikjarazzjoni ta’ Applikabbiltà (SoA) għandha tirrifletti d-deċiżjonijiet kollha ta’ trattament u għandha tiġi aġġornata kull meta l-kopertura tal-kontrolli tinbidel.

Dik hija l-klawżola 5.4 tal-Politika tal-Ġestjoni tar-Riskju.

Ikkunsidra riskju reali għal SME: aċċess mhux awtorizzat għad-data tal-klijenti fil-produzzjoni minħabba applikazzjoni inkonsistenti tal-MFA fil-kontijiet ta’ amministrazzjoni tal-cloud.

Immappjar Govern b’saħħtu jinkludi:

• NIST GV.RM għal dokumentazzjoni standardizzata tar-riskju u prijoritizzazzjoni.
• NIST GV.RR għas-sjieda tar-rwoli u l-awtorità biex jiġi applikat il-kontroll tal-aċċess.
• NIST GV.PO għall-applikazzjoni u r-rieżami tal-politiki.
• Klawżoli ISO 27001:2022 6.1.2, 6.1.3, 8.2 u 8.3.
• Kontrolli tal-Anness A għall-kontroll tal-aċċess, il-ġestjoni tal-identità, l-informazzjoni ta’ awtentikazzjoni, il-logging, il-monitoraġġ, il-konfigurazzjoni u s-servizzi cloud.
• Evidenza bħal entrata fir-Reġistru tar-Riskji, esportazzjoni tal-konfigurazzjoni tal-MFA, approvazzjoni ta’ eċċezzjoni, rieżami tal-IAM tal-cloud, deċiżjoni tar-rieżami mill-maniġment u nota tas-SoA aġġornata.

Il-Zenith Blueprint, fażi tal-Ġestjoni tar-Riskju, Pass 13, “Ippjanar tat-Trattament tar-Riskju u Dikjarazzjoni ta’ Applikabbiltà,” jispjega r-rabta:

✓ Żgura allinjament mar-Reġistru tar-Riskji tiegħek: kull kontroll mitiganti li ktibt fil-Pjan ta’ Trattament tar-Riskju għandu jikkorrispondi għal kontroll tal-Anness A immarkat “Applikabbli.” Bil-maqlub, jekk kontroll ikun immarkat bħala applikabbli, għandu jkollok jew riskju jew rekwiżit li jmexxih.

Din hija d-differenza bejn li tgħid “nużaw MFA” u li tipprova “għandna raġuni rregolata, ibbażata fuq ir-riskju u allinjata ma’ ISO 27001:2022 għall-MFA, b’evidenza, sid u frekwenza tar-rieżami.”

Iggverna r-riskju tal-fornituri mingħajr ma tibni programm żejjed

NIST GV.SC huwa wieħed mill-aktar partijiet utli tal-Funzjoni Govern għall-SMEs għaliex SMEs moderni jiddependu ħafna fuq fornituri: fornituri cloud, proċessuri tal-pagamenti, pjattaformi tar-Riżorsi Umani, sistemi tal-helpdesk, repożitorji tal-kodiċi, għodod CI/CD, għodod ta’ monitoraġġ u servizzi ta’ sigurtà ġestiti.

L-Anness A ta’ ISO 27001:2022 jappoġġa dan permezz ta’ kontrolli tal-fornituri u tal-cloud, inklużi 5.19 Sigurtà tal-informazzjoni fir-relazzjonijiet mal-fornituri, 5.20 Indirizzar tas-sigurtà tal-informazzjoni fi ftehimiet mal-fornituri, 5.21 Ġestjoni tas-sigurtà tal-informazzjoni fil-katina tal-provvista tal-ICT, 5.22 Monitoraġġ, rieżami u ġestjoni tat-tibdil tas-servizzi tal-fornituri, 5.23 Sigurtà tal-informazzjoni għall-użu ta’ servizzi cloud, u 5.30 Tħejjija tal-ICT għall-kontinwità tan-negozju.

Il-Politika tas-Sigurtà ta’ Partijiet Terzi u tal-Fornituri għall-SMEs Politika tas-Sigurtà ta’ Partijiet Terzi u tal-Fornituri għall-SMEs - SME tagħmel ir-rekwiżit tal-evidenza ċar:

Dawn ir-rieżamijiet għandhom jiġu dokumentati u miżmuma mar-reġistru tal-fornitur. L-azzjonijiet ta’ segwitu għandhom jiġu traċċati b’mod ċar.

Din hija l-klawżola 6.3.2 tal-Politika tas-Sigurtà ta’ Partijiet Terzi u tal-Fornituri għall-SMEs.

Mudell ħafif għall-fornituri f’SME jista’ juża tliet livelli:

Dan il-mudell sempliċi jappoġġa NIST GV.SC, il-kontrolli tal-fornituri ta’ ISO 27001:2022, id-diliġenza dovuta tal-klijenti u l-aspettattivi kuntrattwali mmexxija minn DORA minn klijenti finanzjarji.

It-tmiem tar-relazzjoni mal-fornitur jistħoqqlu attenzjoni speċjali. NIST GV.SC jistenna governanza tul iċ-ċiklu kollu tal-ħajja tal-fornitur, inkluż it-tmiem tar-relazzjoni. L-evidenza għandha tinkludi ritorn jew tħassir tad-data, tneħħija tal-aċċess, ippjanar tat-tranżizzjoni tas-servizz, reġistri kuntrattwali miżmuma u rieżami tar-riskju residwu.

Uża Zenith Controls għall-konformità trasversali, mhux bħala sett separat ta’ kontrolli

Zenith Controls: Il-Gwida għall-Konformità Trasversali ta’ Clarysec Zenith Controls hija gwida għall-konformità trasversali għall-immappjar tat-temi ta’ kontroll ISO/IEC 27002:2022 ma’ diversi oqfsa u lentijiet ta’ awditjar. Dawn mhumiex “Zenith controls” separati. Huma kontrolli ISO/IEC 27002:2022 analizzati fi ħdan Zenith Controls għall-użu fil-konformità trasversali.

Għal NIST CSF 2.0 Govern, tliet oqsma ta’ kontroll ISO/IEC 27002:2022 huma partikolarment importanti:

Il-Zenith Blueprint, fażi tal-Kontrolli fl-Azzjoni, Pass 22, “Kontrolli organizzattivi,” jagħti l-mudell operattiv:

Ifformalizza l-governanza tas-sigurtà tal-informazzjoni

Żgura li l-politiki tiegħek dwar is-sigurtà tal-informazzjoni (5.1) ikunu finalizzati, approvati u taħt kontroll tal-verżjoni. Assenja sidien nominati għal kull qasam ta’ politika (eż. aċċess, iċċifrar, backup) u ddokumenta ir-rwoli u r-responsabbiltajiet madwar l-ISMS (5.2). Irrevedi s-separazzjoni tad-dmirijiet (5.3) f’oqsma ta’ riskju għoli bħall-finanzi, l-amministrazzjoni tas-sistemi u l-kontroll tat-tibdil. Ipproduċi mappa sempliċi ta’ governanza li turi min japprova, min jimplimenta u min jimmonitorja l-politika tas-sigurtà.

Dik il-mappa ta’ governanza hija waħda mill-aktar artefatti ta’ valur li SME tista’ toħloq. Twieġeb għal NIST GV.RR, ir-rekwiżiti ta’ tmexxija ta’ ISO 27001:2022, l-aspettattivi ta’ responsabbiltà tal-maniġment taħt NIS2 u l-mistoqsijiet tal-klijenti dwar min għandu s-sjieda tar-riskju ċibernetiku.

Mudell wieħed ta’ governanza għal NIS2, DORA, GDPR, NIST u ISO

Il-Funzjoni Govern issir l-aktar siewja meta SME tiffaċċja rekwiżiti li jikkoinċidu.

NIS2 jeħtieġ li entitajiet essenzjali u importanti fil-kamp ta’ applikazzjoni jadottaw miżuri xierqa u proporzjonati għall-ġestjoni tar-riskji taċ-ċibersigurtà. Iqiegħed ukoll responsabbiltà fuq il-korpi maniġerjali biex japprovaw il-miżuri għall-ġestjoni tar-riskji taċ-ċibersigurtà, jissorveljaw l-implimentazzjoni u jsegwu taħriġ. NIST GV.RR jappoġġa r-responsabbiltà tal-maniġment. GV.RM jappoġġa miżuri bbażati fuq ir-riskju. GV.SC jappoġġa s-sigurtà tal-katina tal-provvista. GV.PO jappoġġa l-politiki. GV.OV jappoġġa r-rieżami tal-prestazzjoni.

Il-governanza tal-inċidenti taħt NIS2 tintroduċi wkoll aspettattivi ta’ rappurtar fi stadji, inkluż twissija bikrija fi żmien 24 siegħa, notifika tal-inċident fi żmien 72 siegħa u rappurtar finali fi żmien xahar għal inċidenti sinifikanti. Dawk l-iskadenzi għandhom jiġu riflessi fil-proċeduri ta’ rispons għall-inċidenti, il-mogħdijiet ta’ eskalazzjoni, il-pjanijiet ta’ komunikazzjoni u r-rappurtar lill-maniġment.

DORA japplika mis-17 ta’ Jannar 2025 għal entitajiet finanzjarji tal-UE, iżda ħafna SMEs iħossu l-impatt tiegħu permezz ta’ kuntratti tal-klijenti. Klijenti finanzjarji jistgħu jgħaddu rekwiżiti DORA lil fornituri tal-ICT, fornituri tas-softwer, fornituri ta’ servizzi ġestiti u fornituri dipendenti fuq il-cloud. DORA jiffoka fuq il-ġestjoni tar-riskju tal-ICT, ir-responsabbiltà tal-korp maniġerjali, ir-rappurtar tal-inċidenti, l-ittestjar tar-reżiljenza, ir-riskju ta’ partijiet terzi tal-ICT, ir-rekwiżiti kuntrattwali u s-sorveljanza.

GDPR iżid responsabbiltà għall-ipproċessar tad-data personali. L-SMEs għandhom jifhmu jekk humiex kontrolluri, proċessuri jew it-tnejn, liema data personali jipproċessaw, liema sistemi u fornituri huma involuti, liema bażijiet legali japplikaw u liema xenarji ta’ inċidenti jistgħu jsiru ksur ta’ data personali.

Il-Zenith Blueprint, fażi tal-Ġestjoni tar-Riskju, Pass 14, jirrakkomanda li r-rekwiżiti DORA, NIS2 u GDPR jiġu rreferenzjati b’mod trasversali fis-sett ta’ kontrolli ISO 27001:2022:

Għal kull regolament, jekk applikabbli, tista’ toħloq tabella sempliċi ta’ immappjar (tista’ tkun appendiċi f’rapport) li telenka r-rekwiżiti ewlenin tas-sigurtà tar-regolament u l- kontrolli/politiki korrispondenti fl-ISMS tiegħek. Dan mhuwiex obbligatorju f’ISO 27001, iżda huwa eżerċizzju intern utli biex tiżgura li xejn ma jaqa’ bejn żewġ siġġijiet.

Mappa prattika tal-konformità trasversali tista’ tidher hekk:

Il-valur huwa l-effiċjenza. ISMS ISO 27001:2022 imħaddem tajjeb, iggwidat minn NIST CSF 2.0 Govern, jista’ jiġġenera evidenza li tista’ terġa’ tintuża għal diversi oqfsa fl-istess ħin.

Il-perspettiva tal-awditur: kif tipprova li l-governanza hija reali

Politika fuq xkaffa mhijiex governanza. Awdituri u assessuri jfittxu linja tad-deheb: politika ta’ livell għoli, proċess definit, reġistru operattiv, rieżami mill-maniġment u azzjoni ta’ titjib.

Reviżuri differenti jittestjaw dik il-linja b’modi differenti.

Il-Politika dwar ir-Rwoli u r-Responsabbiltajiet tal-Governanza għall-intrapriżi ta’ Clarysec Politika dwar ir-Rwoli u r-Responsabbiltajiet tal-Governanza tiddikjara:

Il-governanza għandha tappoġġa l-integrazzjoni ma’ dixxiplini oħra (eż. riskju, legali, IT, HR), u d-deċiżjonijiet tal-ISMS għandhom ikunu traċċabbli għas-sors tagħhom (eż. reġistri tal-awditjar, reġistri tar-rieżami, minuti tal-laqgħa).

Din hija l-klawżola 5.5 tal-Politika dwar ir-Rwoli u r-Responsabbiltajiet tal-Governanza. Taqbad l-essenza tal-konformità trasversali: id-deċiżjonijiet ta’ governanza għandhom ikunu traċċabbli.

Il-Politika tal-Monitoraġġ tal-Awditjar u l-Konformità għall-SMEs Politika tal-Monitoraġġ tal-Awditjar u l-Konformità għall-SMEs - SME iżżid dixxiplina kritika tal-evidenza:

Metadata (eż. min ġabarha, meta, u minn liema sistema) għandha tiġi dokumentata.

Din il-kwotazzjoni ġejja mill-klawżola 6.2.3 tal-Politika tal-Monitoraġġ tal-Awditjar u l-Konformità għall-SMEs. Il-metadata tal-evidenza spiss hija dak li jiddistingwi folder ta’ screenshots minn evidenza ta’ livell adattat għall-awditjar.

Il-Politika tal-Monitoraġġ tal-Awditjar u l-Konformità għall-intrapriżi Politika tal-Monitoraġġ tal-Awditjar u l-Konformità iżżid ir-rekwiżit fil-livell tal-programm:

L-organizzazzjoni għandha żżomm Programm strutturat ta’ Monitoraġġ tal-Awditjar u l-Konformità integrat fl-ISMS, li jkopri:

Din hija l-klawżola 5.1 tal-Politika tal-Monitoraġġ tal-Awditjar u l-Konformità. L-implikazzjoni għall-governanza hija diretta: l-awditjar mhuwiex ġirja ta’ darba fis-sena. Huwa parti mill-operazzjonijiet tal-ISMS.

Żbalji komuni tal-SMEs meta jimmappjaw NIST Govern ma’ ISO 27001:2022

L-ewwel żball huwa dokumentazzjoni żejda mingħajr sjieda. SME tikteb politiki iżda ma tassenjax sidien għat-trattament tar-riskju, ir-rieżamijiet tal-fornituri, l-approvazzjonijiet tal-eċċezzjonijiet jew ir-rappurtar lill-maniġment.

It-tieni żball huwa li l-obbligi legali jiġu ttrattati bħala separati mill-ISMS. NIST GV.OC-03 jeħtieġ li l-obbligi jinftiehmu u jiġu mmaniġġjati. ISO 27001:2022 jeħtieġ li r-rekwiżiti rilevanti tal-partijiet interessati u l-obbligi legali, regolatorji u kuntrattwali jiġu kkunsidrati fl-ISMS.

It-tielet żball huwa raġunament dgħajjef tas-SoA. Is-SoA mhijiex biss lista ta’ kontrolli applikabbli. Hija l-fajl loġiku li jispjega għaliex il-kontrolli huma inklużi, esklużi jew implimentati.

Ir-raba’ żball huwa n-nuqqas ta’ evidenza taċ-ċiklu tal-ħajja tal-fornituri. Il-governanza tal-fornituri tinkludi onboarding, kuntratti, monitoraġġ, inċidenti, bidliet u tluq.

Il-ħames żball huwa li ma jiġix aġġornat il-Profil fil-Mira. Profil CSF għandu jinbidel meta n-negozju jidħol f’ġeografija ġdida, jiffirma klijent ewlieni, jadotta fornitur kritiku, iniedi prodott regolat, jibdel arkitettura cloud jew isofri inċident.

Pjan direzzjonali ta’ 30 jum għal NIST CSF 2.0 Govern għall-SMEs

Jekk SME teħtieġ timxi malajr, ibda bi pjan iffukat ta’ implimentazzjoni ta’ 30 jum.

Dan il-pjan joħloq biżżejjed evidenza ta’ governanza biex twieġeb għal mistoqsijiet serji tal-klijenti u tal-awditjar, filwaqt li jibni l-pedament għaċ-ċertifikazzjoni ISO 27001:2022, it-tħejjija għal NIS2, l-assigurazzjoni tal-klijenti ta’ DORA u r-responsabbiltà GDPR.

Ir-riżultat prattiku: storja waħda ta’ governanza, ħafna użi ta’ konformità

Meta Sarah terġa’ tmur quddiem il-bord, ma jibqgħux għandha ħames flussi ta’ xogħol ta’ konformità skonnessi. Għandha storja waħda ta’ governanza.

Ir-riżultati NIST CSF 2.0 Govern huma mmappjati ma’ politiki ISO 27001:2022, sidien, riskji, kontrolli u evidenza. Il-kamp ta’ applikazzjoni tal-ISMS jinkludi dipendenzi fuq klijenti, fornituri, cloud, legali, regolatorji, privatezza u kuntrattwali. Ir-Reġistru tar-Riskji jmexxi d-deċiżjonijiet ta’ trattament u l-applikabbiltà tas-SoA. Il-politiki huma approvati, taħt kontroll tal-verżjoni, b’sjieda assenjata, ikkomunikati u riveduti. Ir-riskji tal-fornituri huma kklassifikati f’livelli, kuntrattati, immonitorjati u traċċati. L-obbligi tal-ipproċessar taħt GDPR, l-aspettattivi ta’ responsabbiltà taħt NIS2 u r-rekwiżiti DORA mgħoddija mill-klijenti jiġu rreferenzjati b’mod trasversali fejn japplikaw. L-evidenza tal-awditjar tinkludi metadata, reġistri tad-deċiżjonijiet u outputs tar-rieżami mill-maniġment.

Hekk tidher il-governanza meta tkun operattiva.

Il-pass li jmiss: ibni l-pakkett tal-evidenza Govern għall-SME tiegħek ma’ Clarysec

Jekk qed tipprepara għal ISO 27001:2022, twieġeb għal diliġenza dovuta minn klijent korporattiv, timmappja r-riżultati ta’ NIST CSF 2.0 Govern, jew tipprova tallinja NIS2, DORA u GDPR mingħajr ma tibni programmi separati, ibda mis-saff ta’ governanza.

Clarysec jista’ jgħinek tibni:

• Profil NIST CSF 2.0 Govern kurrenti u fil-mira.
• Immappjar ta’ politika ISO 27001:2022 u SoA.
• Reġistru tal-obbligi għall-konformità trasversali bl-użu ta’ Zenith Controls Zenith Controls.
• Pjan direzzjonali għall-implimentazzjoni tal-ISMS fi 30 pass bl-użu ta’ Zenith Blueprint Zenith Blueprint.
• Evidenza ta’ politika lesta għall-SMEs bl-użu tas-sett ta’ għodod tal-politiki ta’ Clarysec, inklużi Politika dwar ir-Rwoli u r-Responsabbiltajiet tal-Governanza għall-SMEs Politika dwar ir-Rwoli u r-Responsabbiltajiet tal-Governanza għall-SMEs - SME, Politika tal-Ġestjoni tar-Riskju għall-SMEs Politika tal-Ġestjoni tar-Riskju għall-SMEs - SME, Politika dwar il-Konformità Legali u Regolatorja għall-SMEs Politika dwar il-Konformità Legali u Regolatorja għall-SMEs - SME, Politika tas-Sigurtà ta’ Partijiet Terzi u tal-Fornituri għall-SMEs Politika tas-Sigurtà ta’ Partijiet Terzi u tal-Fornituri għall-SMEs - SME, u Politika tal-Monitoraġġ tal-Awditjar u l-Konformità għall-SMEs Politika tal-Monitoraġġ tal-Awditjar u l-Konformità għall-SMEs - SME.

L-aktar triq mgħaġġla mhijiex spreadsheet oħra. Hija ISMS iggwernat, ibbażat fuq ir-riskju u lest bl-evidenza, li jippermetti lill-SME tiegħek twieġeb mistoqsija waħda b’kunfidenza:

Tista’ tipprova li ċ-ċibersigurtà hija mmaniġġjata, għandha sidien assenjati, tiġi riveduta u titjieb kontinwament?

Ma’ Clarysec, it-tweġiba ssir iva.