ENISA NIS360: większa dojrzałość nie usuwa ryzyka sektorowego

ENISA opublikowała 28 maja nową edycję NIS360, oceniającą dojrzałość i krytyczność sektorów. Według ENISA w strefie ryzyka znalazły się między innymi ochrona zdrowia, kolej, gospodarka wodna i administracja publiczna. Polskim organizacjom i dostawcom usług krytycznych proponujemy ustalać priorytety inwestycji przez zestawienie skutków zakłócenia z rzeczywistą gotowością do działania.

Czy na pytanie zarządu o gotowość do zakłócenia wystarczy odpowiedzieć, że organizacja jest lepiej przygotowana niż wcześniej? Przy lekturze NIS360 postawmy pytanie uzupełniające: lepiej przygotowana do utrzymania której usługi i wobec jakich skutków jej przerwania? Poprośmy zespół, by przy planowanej inwestycji wskazał, jak ma ona zmienić odpowiedź na te pytania. Czy po jej zakończeniu będziemy umieli potwierdzić gotowość usługi, której przerwanie uznajemy za najdotkliwsze? Od tego zacznijmy sprawdzenie własnych priorytetów. Zanim wybierzemy kolejne działanie, nazwijmy usługę, której ma ono pomóc, oraz dowód, że obecna gotowość odpowiada skutkom jej zakłócenia.

NIS360 zestawia dojrzałość z krytycznością

Jak podaje ENISA, nowa edycja NIS360 ocenia jedno i drugie. Na potrzeby decyzji zarządczej proponujemy przełożyć je na pytania: jak poważne byłoby zakłócenie oraz czym organizacja potwierdza swoje przygotowanie?

W rozmowie o ochronie zdrowia nie poprzestawajmy więc na deklaracji poprawy dojrzałości. Poprośmy również o wskazanie skutku zakłócenia, wobec którego tę poprawę oceniamy. Jeżeli zespół potrafi opisać postęp, ale nie potrafi powiązać go z konkretną usługą, zapiszmy tę relację jako wymagającą sprawdzenia.

Listę wskazanych sektorów potraktujmy jako punkt wyjścia do pytań o gotowość usług. Przy ustalaniu pilności wydatku wskażmy, jakie skutki zakłócenia przemawiają za jego pierwszeństwem. Własną kolejność oprzyjmy na rozpoznanych skutkach zakłócenia i dowodach gotowości konkretnej organizacji.

Większą dojrzałość oceniajmy wobec skutków zakłócenia usługi. Dopiero takie zestawienie powinno uzasadniać priorytet inwestycji.

Sektorowa ocena nie potwierdza wykonania procedury

Obecność sektora w strefie ryzyka ENISA potraktujmy jako impuls do sprawdzenia procedury we własnej organizacji. Wybierzmy zapis dotyczący gotowości usługi i ustalmy, kto może pokazać, jak sprawdzono jego wykonanie.

Zacznijmy od jednej wybranej usługi. Obok opisu postępowania przy jej zakłóceniu połóżmy dostępny zapis sprawdzenia gotowości. Zapytajmy, czy dotyczy tej samej usługi i tego samego skutku, o którym chcemy rozmawiać z zarządem. Gdy takiego zapisu nie uda się znaleźć, oznaczmy gotowość jako niepotwierdzoną w tym przeglądzie. Nie zastępujmy brakującego dowodu przekonaniem, że procedura powinna wystarczyć.

Przy wybranej usłudze poprośmy osobę odpowiedzialną o rozdzielenie dwóch odpowiedzi: co przewidziano oraz co sprawdzono. Do decyzji o inwestycji dołączmy opis różnicy między nimi. Jeśli różnicy nie ustalono, zapiszmy brak rozpoznania zamiast wymyślać wynik.

Budżet powinien odpowiadać na konkretną lukę gotowości

W rozmowie z zarządem przyjmijmy prosty warunek: każdy rozważany wydatek dotyczący gotowości powinien wskazywać usługę, skutek jej zakłócenia oraz brak, który ma usunąć. Powiążmy propozycję także z osobą odpowiedzialną za przedstawienie dowodu poprawy. Tak zestawienie dojrzałości i krytyczności z NIS360 przechodzi do rozmowy o budżecie.

Przy porównywaniu wniosków o finansowanie poprośmy o uzasadnienie kolejności. Dlaczego właśnie ten brak gotowości wymaga pierwszeństwa? Który skutek zakłócenia ma ograniczyć planowane działanie? Jeżeli odpowiedź odwołuje się wyłącznie do obecności sektora na liście ENISA, poprośmy o uzupełnienie jej o własną usługę i jej rozpoznaną sytuację.

Przed ustaleniem kwoty wydatku zapiszmy, na jakie pytanie o gotowość ma odpowiedzieć inwestycja. Gdy zespół nie zna skutku zakłócenia lub nie umie wskazać dowodu przygotowania, pierwszym zadaniem niech będzie uzupełnienie tej wiedzy.

Priorytet inwestycji uzasadniajmy skutkiem zakłócenia i rozpoznaną luką gotowości, z przypisaną odpowiedzialnością za jej sprawdzenie.

Polski odbiorca potrzebuje oceny własnej usługi

Polskie organizacje i dostawcy usług krytycznych mogą wykorzystać NIS360 jako punkt wyjścia do przeglądu własnych zależności. Zacznijmy od wskazania, czy wybrana usługa wiąże się ze wskazanymi sektorami. Zapiszmy wyłącznie zależności, które potrafimy potwierdzić we własnej organizacji. Nie dopisujmy ich na podstawie samej nazwy sektora.

Przy zależności od dostawcy wskażmy, czego potrzebujemy do własnej oceny: opisu wpływu przerwy, potwierdzenia przygotowania albo wyjaśnienia brakujących informacji. Ustalmy też, kto zbierze te informacje i zestawi je z przygotowaniem naszej usługi. Sprawdźmy, czy dostępne potwierdzenie dotyczy właśnie tej zależności, którą uwzględniamy przy ocenie skutków przerwy.

W rozmowie z osobą odpowiedzialną za usługę przejdźmy od sektorowej oceny ENISA do pytań o własne przygotowanie. Wskazanie sektora w strefie ryzyka jest powodem, by zadać pytania o gotowość. Odpowiedzi dotyczące polskiej organizacji zbierzmy w tej organizacji. Zapiszmy je przy opisie usługi, tak aby podczas rozmowy o inwestycji można było wskazać, na czym opieramy ocenę gotowości.

Co z tym zrobić w poniedziałek

W ciągu 30 minut wybierz jedną usługę związaną z sektorem wymienionym przez ENISA. Zapisz rozpoznany skutek jej zakłócenia i jedną potwierdzoną zależność. Jeśli któregoś elementu nie znasz, oznacz go jako brak informacji do wyjaśnienia.
Przeznacz 30 minut na przegląd dostępnych dokumentów dotyczących gotowości tej usługi. Wskaż zapis sprawdzenia odpowiadający opisanemu skutkowi zakłócenia. Jeżeli go nie znajdziesz, zapisz brak potwierdzenia oraz osobę, którą poprosisz o wyjaśnienie.
W ciągu 30 minut przejrzyj jedną planowaną inwestycję dotyczącą tej usługi. Dopisz, jaką lukę gotowości ma usunąć i jaki dowód pozwoli ocenić rezultat. Brak tych odpowiedzi oznacz jako zadanie do wykonania przed rozstrzygnięciem priorytetu.

Po lekturze NIS360 wymagajmy od propozycji inwestycji związku między skutkiem zakłócenia a gotowością. Poprawę dojrzałości uznawajmy za argument wtedy, gdy umiemy wskazać, co zmienia dla konkretnej usługi. Tak powiązana z usługą ocena daje zarządowi uzasadnienie decyzji o pierwszeństwie wydatku.

Źródła

Redakcja cyberinsight.pl.