NIS2, governance i zarząd - compliance w praktyce

NIS2, governance, zarząd, compliance - jak uporządkować nadzór, ryzyko i decyzje, aby zwiększyć odporność cybernetyczną organizacji w praktyce firmy.

Atak ransomware, przejęte konto uprzywilejowane lub niedostępność systemu komunikacyjnego nie są już wyłącznie problemem działu IT. Hasło „NIS2, governance, zarząd, compliance” opisuje zmianę, w której odpowiedzialność za cyberodporność trafia na poziom kierownictwa. Zarząd ma rozumieć ryzyko, zatwierdzać środki ochrony, monitorować ich skuteczność i reagować na istotne zdarzenia. Nie oznacza to jednak, że członkowie zarządu mają samodzielnie oceniać konfigurację firewalli czy reguły SIEM.

NIS2, governance i zarząd: gdzie zaczyna się odpowiedzialność

Dyrektywa NIS2 wzmacnia podejście oparte na zarządzaniu ryzykiem. W praktyce organizacja powinna wykazać, że cyberbezpieczeństwo jest zarządzane podobnie jak ryzyko operacyjne, finansowe czy ciągłość działania. Zarząd nie może ograniczyć się do przyjęcia polityki bezpieczeństwa i przekazania jej do realizacji zespołowi IT.

Rolą kierownictwa jest stworzenie warunków do podejmowania właściwych decyzji: określenie akceptowalnego poziomu ryzyka, zapewnienie budżetu, ustalenie odpowiedzialności oraz odbieranie regularnych raportów. Kluczowe jest przy tym rozróżnienie między formalnym zatwierdzeniem dokumentu a rzeczywistym nadzorem. Polityka, której nikt nie stosuje, nie obniża ryzyka i nie stanowi obrony w razie incydentu.

Zakres obowiązków konkretnej organizacji zależy od jej kwalifikacji na gruncie krajowych przepisów wdrażających NIS2, sektora oraz charakteru świadczonych usług. Inne priorytety będzie miała jednostka samorządowa utrzymująca usługi dla mieszkańców, inne operator infrastruktury miejskiej, a jeszcze inne przedsiębiorstwo z rozproszonym środowiskiem IT i OT. W każdym przypadku punktem wyjścia pozostaje identyfikacja systemów krytycznych, zależności technologicznych i skutków ich niedostępności.

Compliance, który daje zarządowi realną kontrolę

Dojrzałe compliance nie polega na produkowaniu dokumentacji dla audytora. Ma dostarczać zarządowi odpowiedzi na pytania: jakie scenariusze mogą zatrzymać działalność, które zasoby są najbardziej narażone, kto ma uprawnienia administracyjne i jak szybko organizacja wykryje naruszenie.

Raportowanie powinno być krótkie, porównywalne w czasie i powiązane z decyzjami. Zamiast przedstawiać wyłącznie liczbę wykrytych alertów, warto mierzyć między innymi pokrycie MFA dla kont uprzywilejowanych, liczbę niezamkniętych luk krytycznych, czas wykrycia i obsługi incydentu, wynik testów odtworzeniowych oraz status dostawców mających dostęp do środowiska. Taki zestaw wskaźników pozwala zarządowi ocenić trend ryzyka bez wchodzenia w detal techniczny.

Należy także unikać pozornej pewności wynikającej z certyfikatu lub pojedynczego audytu. Audyt pokazuje stan w określonym momencie. Środowisko zmienia się po wdrożeniu nowej aplikacji, przejęciu spółki, integracji z usługą chmurową albo przyznaniu dostępu firmie serwisowej. Governance musi więc obejmować cykl zmian, a nie tylko coroczne przeglądy.

Tożsamość cyfrowa jako temat dla kierownictwa

W wielu incydentach pierwszym wektorem ataku pozostaje przejęte poświadczenie. Dlatego zarząd powinien traktować kontrolę tożsamości jako element ciągłości działania, a nie wyłącznie projekt działu IAM. MFA ogranicza ryzyko użycia wykradzionego hasła, FIDO2 zmniejsza podatność na phishing, a PAM pozwala kontrolować i rejestrować użycie kont uprzywilejowanych.

Model Zero Trust wymaga jednak więcej niż zakupu technologii. Konieczne są uporządkowane role, procesy nadawania i odbierania dostępów, segmentacja zasobów oraz sprawdzanie kontekstu logowania. Passwordless może istotnie poprawić bezpieczeństwo i wygodę użytkowników, lecz wdrożenie musi uwzględniać systemy starszej generacji, konta techniczne i procedury awaryjne.

Od polityki do działania operacyjnego

Najczęstszy błąd polega na rozpoczęciu programu NIS2 od katalogu narzędzi. W rezultacie organizacja kupuje kolejne rozwiązania, ale nadal nie wie, które ryzyka redukuje i kto odpowiada za ich utrzymanie. Lepsza kolejność to ocena dojrzałości, mapa krytycznych usług, analiza ryzyka, plan remediacji i dopiero potem dobór architektury oraz usług operacyjnych.

W środowiskach złożonych szczególne znaczenie ma integracja. System zarządzania tożsamością, EDR, SIEM, sieć, poczta, infrastruktura komunikacyjna i systemy obiektowe generują sygnały, które powinny tworzyć spójny obraz zagrożeń. Bez tej korelacji zespół bezpieczeństwa widzi pojedyncze zdarzenia, ale może nie zauważyć łańcucha prowadzącego do naruszenia.

Dla zarządu praktycznym mechanizmem jest ustanowienie stałego forum cyberbezpieczeństwa z udziałem IT, bezpieczeństwa, właścicieli procesów biznesowych, prawników i osób odpowiedzialnych za ciągłość działania. Forum powinno rozstrzygać wyjątki od polityk, monitorować ryzyka wysokie, zatwierdzać priorytety inwestycyjne oraz analizować wnioski z incydentów i testów.

Jak przygotować organizację bez paraliżu operacyjnego

Pierwsze 90 dni warto wykorzystać na uporządkowanie odpowiedzialności i dowodów działania. Należy ustalić właścicieli usług krytycznych, zweryfikować aktualność planów reagowania, przeanalizować dostęp administracyjny oraz sprawdzić, czy proces zgłaszania incydentów działa poza godzinami pracy. Równolegle trzeba ocenić umowy z dostawcami, zwłaszcza tam, gdzie partner uzyskuje zdalny dostęp do systemów produkcyjnych lub przetwarza istotne dane.

Nie każda luka wymaga natychmiastowego zakupu nowej platformy. Czasem największą poprawę daje wyłączenie współdzielonych kont administratora, wymuszenie MFA w dostępie zdalnym, ograniczenie uprawnień dostawcy albo przetestowanie odtworzenia kopii zapasowej. Tam, gdzie ryzyko i skala środowiska są większe, potrzebna będzie docelowa architektura obejmująca PAM, centralne monitorowanie, segmentację oraz usługi Security Operations.

Warto rozpocząć od scenariusza, który zarząd rozumie bez technicznego tłumaczenia: „Co stanie się, jeśli jutro utracimy dostęp do systemu obsługującego kluczową usługę?”. Odpowiedź szybko pokaże, czy compliance jest dokumentem, czy zdolnością organizacji do działania pod presją.