Paškontroles izvērtējums (NIS2)

1. Organizatoriskās kontroles - pārvaldība un riska konteksts (NIS2 20. pants)

Kritiskie pakalpojumi un to atkarības - sistēmas, dati, piegādātāji un cilvēki - ir noteiktiRisks: bez tā aizsardzība tiek sadalīta vienādi, un svarīgākais paliek tikpat vāji aizsargāts kā mazsvarīgais.Pārbaude: katram kritiskajam pakalpojumam ir īpašnieks un atkarību karte.Pierādījums: pakalpojumu un atkarību saraksts.NIS2: 21(1).
Galvenie draudu scenāriji ir novērtēti pēc iespējamības un ietekmesPiemēram, izspiedējvīruss, konta pārņemšana, piegādātāja kompromitācija, noplūde, atteice.Risks: kontroles tiek izvēlētas pēc ieraduma, ne pēc draudiem.Pārbaude: katram scenārijam ir zināms, kuras kontroles to samazina.Pierādījums: scenāriju novērtējums un draudu informācijas avoti.NIS2: 21(1).
Vadība ir apstiprinājusi, kādu atlikušo risku organizācija drīkst pieņemtRisks: bez riska apetītes nav kritērija, kura nepilnība jālabo tūlīt un kura var gaidīt.Pārbaude: apetīte ir izteikta saprotami - piemēram, pieļaujamais dīkstāves laiks un datu zudums.Pierādījums: vadības lēmums.NIS2: 20. pants.
Noteikts, vai organizācija ir būtiska vai svarīga vienība, un kāpēcMākoņa, datu centru un pārvaldīto pakalpojumu sniedzējiem prasības precizē Īstenošanas regula (ES) 2024/2690.Risks: nepareiza klasifikācija nozīmē nepareizu uzraudzības režīmu un prasību apjomu.Pārbaude: salīdzini nozari un lielumu ar NIS2 I un II pielikumu.Pierādījums: datēts novērtējums.NIS2: 3. pants.
Organizācija ir reģistrējusies uzraugošajā iestādē, ja tas ir prasītsRisks: nereģistrēta vienība nesaņem uzraudzības informāciju un riskē ar sankcijām.Pārbaude: reģistrācijas dati sakrīt ar pašreizējiem kontaktiem.Pierādījums: reģistrācijas apstiprinājums.NIS2: 3. pants.
Izvērtējuma tvērums un dziļums ir noteikts pēc riskaAugsta riska jomas pārbauda ar izlasi un testiem, zema riska - ar dokumentu pārskatu.Risks: vienāds dziļums visur tērē laiku zema riska jomām un nepamana augsta riska robus.Pārbaude: tvērumā redzams, kas ir ārpus tā un kāpēc.Pierādījums: tvēruma apraksts.NIS2: 21(1).
Vadība ir apstiprinājusi kiberdrošības riska pārvaldības pasākumus un atbild par to izpildiRisks: pasākumi bez vadības lēmuma nesaņem resursus.Pārbaude: lēmumā ir pasākumi, budžets un atbildīgie, ne tikai politika.Pierādījums: vadības lēmums vai protokols.NIS2: 20. pants.
Vadība vismaz reizi gadā izskata būtiskākos riskus un pasākumu izpildiRisks: vadība uzzina par risku tikai incidenta brīdī.Pārbaude: protokolos ir lēmumi par konkrētiem riskiem, ne tikai informācija.Pierādījums: vadības pārskati un protokoli.NIS2: 20. pants.
Par kiberdrošību atbildīgajai personai ir pilnvaras un tieša pieeja vadībaiRisks: atbildīgais bez pilnvarām var tikai ieteikt.Pārbaude: amata aprakstā ir tiesības apturēt riskantu izmaiņu vai eskalēt vadībai.Pierādījums: rīkojums vai amata apraksts.NIS2: 20. pants.

2. Organizatoriskās kontroles - riska pārvaldība, politikas un aktīvi

Riska novērtēšanas metodika dod salīdzināmus rezultātusVienota iespējamības un ietekmes skala, ietekme izteikta pakalpojuma, finanšu un personas datu izteiksmē.Risks: dažādi vērtētāji dod nesalīdzināmus vērtējumus.Pārbaude: divi līdzīgi riski reģistrā novērtēti vienādi.Pierādījums: metodika un pēdējais novērtējums.NIS2: 21(2)(a).
Risku reģistrs ir aktuāls, un katram riskam ir īpašnieks un atlikušā riska vērtējumsVisu apdraudējumu pieeja - arī fiziski un vides draudi, ne tikai uzbrukumi.Risks: reģistrs, ko neviens neatjauno, rāda pagātni.Pārbaude: pēdējo incidentu un būtisko izmaiņu riski ir reģistrā.Pierādījums: reģistrs ar īpašniekiem un izmaiņu datumu.NIS2: 21(2)(a).
Riska apstrādes plāns ir sakārtots pēc riska lieluma, ar atbildīgajiem un termiņiemRisks: vispirms tiek darīts vienkāršākais, ne svarīgākais.Pārbaude: augstākie riski plānā ir pirmie un ar tuvākajiem termiņiem.Pierādījums: riska apstrādes plāns un izpildes statuss.NIS2: 21(2)(a).
Riski tiek pārvērtēti regulāri un pēc būtiskām izmaiņām vai incidentiemRisks: jauna sistēma vai piegādātājs ienāk bez riska novērtējuma.Pārbaude: izlasē paņem pēdējās būtiskās izmaiņas un pārbaudi, vai tām ir novērtējums.Pierādījums: pārskatīšanas ieraksti.NIS2: 21(2)(a).
Drošības politika ir apstiprināta, aktuāla un atspoguļo organizācijas galvenos riskusRisks: vispārīga politika no veidnes neko nemaina praksē.Pārbaude: politikas prasības sasaucas ar draudu scenārijiem.Pierādījums: politika ar versiju un pārskatīšanas datumu.NIS2: 21(2)(a).
Aktīvu reģistrs aptver iekārtas, programmatūru, datus un pakalpojumusRisks: to, kas nav uzskaitīts, nevar ne aizsargāt, ne uzraudzīt.Pārbaude: salīdzini reģistru ar tīkla skenēšanas rezultātu.Pierādījums: reģistrs ar īpašniekiem un kritiskumu.NIS2: 21(2)(i).
Piekļuve tiek piešķirta pēc minimālām tiesībām un darba vajadzībasRisks: plašas tiesības palielina konta pārņemšanas ietekmi.Pārbaude: izlasē lietotāju tiesības atbilst lomai.Pierādījums: piekļuves politika un lomu tiesību matrica.NIS2: 21(2)(i).
Piekļuves tiesības tiek pārskatītas, kritiskajām sistēmām biežākRisks: tiesības uzkrājas, mainoties amatiem.Pārbaude: pēdējā pārskatīšanā ir atsauktas tiesības - pārskatīšana bez neviena atsaukuma bieži ir formāla.Pierādījums: pārskatīšanas ieraksts.NIS2: 21(2)(i).

3. Organizatoriskās kontroles - piegādes ķēde

Piegādātāji ir sakārtoti pēc riska - piekļuves, datu un pakalpojuma kritiskumaRisks: visus piegādātājus pārbauda vienādi, un kritiskākie paliek bez uzraudzības.Pārbaude: sarakstā redzams, kuriem ir piekļuve sistēmām vai datiem.Pierādījums: piegādātāju saraksts ar kritiskumu.NIS2: 21(2)(d).
Ar kritiskajiem piegādātājiem līgumos ir drošības prasībasIncidentu paziņošana, piekļuves kontrole, apakšuzņēmēji, audita tiesības.Risks: piegādātāja incidentu uzzini no ziņām.Pārbaude: izlasē pārbaudi kritisko piegādātāju līgumus.Pierādījums: līgumu pielikumi.NIS2: 21(2)(d).
Kritisko piegādātāju drošība tiek izvērtēta pirms līguma un periodiskiRisks: piegādātāja vājums kļūst par tavu ieejas punktu.Pārbaude: izvērtējuma dziļums atbilst piegādātāja kritiskumam.Pierādījums: anketas, sertifikāti vai pārbaužu rezultāti.NIS2: 21(2)(d).
Piegādātāju piekļuve ir ierobežota, uzraudzīta un laikus atsauktaRisks: piegādātāja konts ar plašām tiesībām paliek aktīvs gadiem.Pārbaude: salīdzini aktīvos piegādātāju kontus ar spēkā esošajiem līgumiem.Pierādījums: piekļuvju saraksts un pārskatīšanas datums.NIS2: 21(2)(d).
Ir novērtēts, ko nozīmē kritiska piegādātāja kompromitācija vai darbības pārtraukumsRisks: viena mākoņa vai programmatūras piegādātāja atteice aptur visu darbību.Pārbaude: kritiskajiem piegādātājiem ir rīcības plāns vai alternatīva.Pierādījums: novērtējums un izejas plāns.NIS2: 21(2)(d), 21(2)(c).

4. Organizatoriskās kontroles - incidenti un ziņošana (NIS2 23. pants)

5. Organizatoriskās kontroles - darbības nepārtrauktība un krīzes

Kritiskajiem pakalpojumiem ir noteikts pieļaujamais dīkstāves laiks un datu zudumsAtjaunošanas laiks (RTO) un pieļaujamais datu zudums (RPO).Risks: kopijas un plāni neatbilst tam, cik ilgi bizness var gaidīt.Pārbaude: mērķus apstiprinājis pakalpojuma īpašnieks.Pierādījums: ietekmes analīze.NIS2: 21(2)(c).
Avārijas atjaunošanas plāns ir izmēģināts un pieejams arī bez skartajām sistēmāmRisks: plāns atrodas tajā pašā sistēmā, kas nav pieejama.Pārbaude: plāns un kontakti ir pieejami bezsaistē.Pierādījums: plāns un pēdējā testa datums.NIS2: 21(2)(c).
Krīzes vadības kārtība un lēmumu pieņēmēji ir noteikti, ieskaitot aizvietotājusRisks: krīzē nav skaidrs, kurš lemj par sistēmu izslēgšanu vai saziņu ar sabiedrību.Pārbaude: katrai lomai ir aizvietotājs.Pierādījums: krīzes komandas sastāvs un sasaukšanas kārtība.NIS2: 21(2)(c).
Ārkārtas saziņas kanāls darbojas arī tad, ja pamata sistēmas nav pieejamasPiemēram, ja e-pasts ir kompromitēts.Risks: krīzes komanda nevar sazināties vai sazinās uzbrucēja redzeslokā.Pārbaude: kanāls izmēģināts vingrinājumā.Pierādījums: kanāla apraksts un pārbaudes datums.NIS2: 21(2)(j).

6. Organizatoriskās kontroles - efektivitātes novērtēšana

Pasākumu efektivitāti mēra ar rādītājiem, kas saistīti ar galvenajiem riskiemPiemēram, kritisko ievainojamību novēršanas laiks, pikšķerēšanas testu rezultāti, atjaunošanas laiks.Risks: mēra to, ko viegli saskaitīt, ne to, kas samazina risku.Pārbaude: katram rādītājam ir mērķis.Pierādījums: rādītāju vērtības laika gaitā.NIS2: 21(2)(f).
Augsta riska kontrolēm ir pārbaudīta darbība visā periodā, ne tikai esamībaDokumentēta kontrole var nedarboties praksē.Risks: politika ir, bet piekļuves nav pārskatītas gadu.Pārbaude: izlase no vairākiem perioda mēnešiem, atkārtota izpilde vai novērošana.Pierādījums: pārbaudes darba dokumenti.NIS2: 21(2)(f).
Iekšējais audits vai neatkarīga pārbaude aptver augstāko risku jomasRisks: audits pārbauda ērto, ne riskanto.Pārbaude: audita plāns ir sasaistīts ar risku reģistru.Pierādījums: audita plāns, ziņojums un atradumu statuss.NIS2: 21(2)(f).
Tehniskās pārbaudes, piemēram, ielaušanās tests, aptver kritiskos pakalpojumus, un atradumi ir novērstiRisks: tests aptver mazsvarīgu sistēmu, bet kritiskā paliek nepārbaudīta.Pārbaude: testa tvērums un atkārtota pārbaude pēc labojumiem.Pierādījums: testa ziņojums un novēršanas plāns.NIS2: 21(2)(f).
Neatbilstības tiek novērstas bez nepamatotas kavēšanās, sākot ar augstāko riskuRisks: atradumi uzkrājas.Pārbaude: nokavēto korektīvo darbību skaits un vecums.Pierādījums: korektīvo darbību saraksts.NIS2: 21(4).

7. Personāla kontroles

Darbinieku pieņemšanā un aiziešanā drošības soļi tiek izpildīti, piekļuve tiek atsaukta aiziešanas dienāRisks: bijušā darbinieka konts paliek aktīvs.Pārbaude: izlasē salīdzini aizgājušos darbiniekus ar aktīvajiem kontiem.Pierādījums: kontrolsaraksts un pēdējie gadījumi.NIS2: 21(2)(i).
Darba līgumos un konfidencialitātes saistībās ir drošības pienākumiRisks: darbinieks nezina, ko drīkst darīt ar datiem, un pārkāpumam nav seku.Pārbaude: izlasē jaunākajos līgumos ir drošības pienākumi un konfidencialitāte.Pierādījums: līguma veidne un parakstītas saistības.NIS2: 21(2)(i).
Vadības locekļi ir apmācīti kiberdrošības riska pārvaldībāRisks: vadība nespēj izvērtēt, vai pasākumi atbilst riskam.Pārbaude: apmācībā skatīti organizācijas paša riski, ne tikai vispārīga teorija.Pierādījums: apmācību ieraksti.NIS2: 20. pants.
Visi darbinieki ir apmācīti pirms piekļuves piešķiršanas un regulāri pēc tamRisks: cilvēks ir biežākais ieejas punkts.Pārbaude: izlasē jaunajiem darbiniekiem apmācība notikusi pirms piekļuves.Pierādījums: apmācību ieraksti.NIS2: 21(2)(g).
Darbinieki atpazīst pikšķerēšanu un par to ziņoRisks: konta pārņemšana un maksājumu krāpšana.Pārbaude: ziņošanas īpatsvars simulācijās, ne tikai klikšķu īpatsvars.Pierādījums: simulāciju rezultāti.NIS2: 21(2)(g).
Lomām ar paaugstinātu risku ir papildu apmācībaAdministratori, izstrādātāji, finanšu darbinieki.Risks: vienas kļūdas ietekme šajās lomās ir lielākā.Pārbaude: apmācību saturs atbilst lomas draudiem.Pierādījums: lomu apmācību plāns.NIS2: 21(2)(g).
Darbinieki zina, kā ziņot par drošības notikumu, un to dara bez bailēm no sekāmRisks: kļūdas un aizdomas tiek noslēptas, līdz kļūst par incidentu.Pārbaude: ziņojumu skaits nav nulle - nulle parasti nozīmē, ka neziņo, ne ka nekas nenotiek.Pierādījums: ziņošanas kanāls un ziņojumu žurnāls.NIS2: 21(2)(b).
Attālinātajam darbam ir noteikti drošības nosacījumiRisks: mājas tīkls un koplietotas ierīces kļūst par ieeju organizācijas sistēmās.Pārbaude: attālinātā piekļuve ir iespējama tikai no pārvaldītām ierīcēm vai ar papildu kontrolēm.Pierādījums: attālinātā darba kārtība un piekļuves konfigurācija.NIS2: 21(2)(g).

8. Tehnoloģiskās kontroles - identitāte, iekārtas, tīkls un kriptogrāfija

9. Tehnoloģiskās kontroles - izstrāde, ievainojamības, uzraudzība un kopijas

Drošības prasības tiek noteiktas pirms sistēmas iegādes vai izstrādesRisks: drošību pievieno vēlāk - dārgāk un nepilnīgi.Pārbaude: izlasē pēdējos iepirkumos vai projektos ir drošības prasības.Pierādījums: prasību saraksts.NIS2: 21(2)(e).
Ievainojamības tiek novērstas termiņos, kas atkarīgi no riskaKritiskas un aktīvi izmantotas - dienās, ne mēnešos.Risks: zināma ievainojamība paliek atvērta, līdz to izmanto.Pārbaude: cik no kritiskajām pēdējā ceturksnī novērstas termiņā.Pierādījums: skenēšanas atskaites.NIS2: 21(2)(e).
Drošības atjauninājumi tiek uzstādīti, sākot ar internetam pieejamām sistēmāmRisks: ārējā virsma paliek neielāpīta, kamēr iekšējās sistēmas ir kārtībā.Pārbaude: atjauninājumu statuss ārējām sistēmām.Pierādījums: atjauninājumu atskaite.NIS2: 21(2)(e).
Izmaiņas kritiskajās sistēmās tiek novērtētas, saskaņotas un ir atgriežamasRisks: nepārbaudīta izmaiņa izraisa dīkstāvi vai atver jaunu caurumu.Pārbaude: izlasē pēdējām izmaiņām ir apstiprinājums un atgriešanas plāns.Pierādījums: izmaiņu pieprasījumi.NIS2: 21(2)(e).
Ir publiska kārtība, kā ziņot par atrastu ievainojamībuNIS2 prasa ievainojamību apstrādi un atklāšanu.Risks: pētnieks, kas atrod caurumu, nezina, kam ziņot.Pārbaude: kontakts darbojas, un atbilde nāk noteiktā laikā.Pierādījums: security.txt vai lapa ar kontaktu.NIS2: 21(2)(e).
Sistēmām ir droša bāzes konfigurācija, un atkāpes ir uzskaitītasRisks: noklusējuma paroles un nevajadzīgi servisi.Pārbaude: izlasē salīdzini dažas sistēmas ar standartu.Pierādījums: konfigurācijas standarts un atkāpju saraksts.NIS2: 21(2)(e).
Kritisko sistēmu drošības notikumi tiek uzraudzīti, un trauksmes kāds izskataRisks: ielaušanos atklāj mēnešus vēlāk vai neatklāj vispār.Pārbaude: izlasē paņem dažas pēdējās trauksmes un pārbaudi, kurš un cik ātri tās izskatīja.Pierādījums: žurnālu avoti, glabāšanas termiņš, trauksmju ieraksti.NIS2: 21(2)(b).
Kritisko sistēmu rezerves kopijas ir pasargātas no tā paša uzbrukuma, kas skar darba vidiBezsaistē vai nemaināmas, ar atsevišķiem piekļuves datiem.Risks: izspiedējvīruss iznīcina arī kopijas.Pārbaude: vai administratora konts darba vidē var izdzēst kopijas.Pierādījums: kopēšanas arhitektūra un grafiks.NIS2: 21(2)(c).
Atjaunošana no kopijas ir pārbaudīta pēdējo 12 mēnešu laikā un iekļaujas noteiktajā laikāKopija, kas nav atjaunota, nav pārbaudīta kopija.Risks: kopija ir, bet atjaunošana ilgst nedēļas.Pārbaude: atjaunošanas ilgums salīdzināts ar pieļaujamo dīkstāves laiku.Pierādījums: testa ziņojums.NIS2: 21(2)(c).

10. Fiziskās kontroles

Serveru telpas un tīkla iekārtas ir aizslēgtas, un piekļuve tām ir uzskaitītaJa sistēmas ir piegādātāja datu centrā, pārbaudi viņa apliecinājumus.Risks: fiziska piekļuve apiet tehniskās kontroles.Pārbaude: salīdzini piekļuves sarakstu ar tiem, kam tā vajadzīga darbam.Pierādījums: piekļuves saraksts un ieejas žurnāls.NIS2: 21(1), 21(2)(i).
Kritisko telpu fiziskā piekļuve tiek uzraudzītaRisks: neatļauta ieeja paliek nepamanīta.Pārbaude: ieraksti tiek glabāti noteiktu laiku, un tos pārskata pēc notikuma.Pierādījums: uzraudzības apraksts un glabāšanas termiņš.NIS2: 21(1).
Iekārtas ir pasargātas no ugunsgrēka, ūdens, pārkaršanas un strāvas pārtraukumaRisks: vides incidents iznīcina gan sistēmas, gan tajā pašā telpā glabātās kopijas.Pārbaude: nepārtrauktās barošanas un dzesēšanas pārbaudes datumi.Pierādījums: apkopes ieraksti.NIS2: 21(1), 21(2)(c).
Ārpus biroja lietotās iekārtas ir aizsargātas pret nozaudēšanu un zādzībuRisks: nozaudēts dators kļūst par datu noplūdi.Pārbaude: portatīvās ierīces ir šifrētas un attālināti bloķējamas.Pierādījums: ierīču pārvaldības atskaite.NIS2: 21(2)(i).
Tīra galda un bloķēta ekrāna prakse tiek ievērotaRisks: apmeklētājs vai kolēģis redz to, kas viņam nav paredzēts.Pārbaude: izlases apgaita pēc darba laika.Pierādījums: apgaitas ieraksts.NIS2: 21(2)(g).
Datu nesēji un iekārtas tiek droši iznīcinātas vai notīrītas pirms nodošanas vai utilizācijasRisks: norakstītā datorā paliek klientu dati.Pārbaude: izlasē pēdējām nodotajām iekārtām ir iznīcināšanas apliecinājums.Pierādījums: iznīcināšanas akti.NIS2: 21(2)(i).

11. Izvērtējuma noslēgums - atlikušais risks un vadības lēmums

Katram izpildītam punktam ir norādīts pierādījumsRisks: izpildīts bez pierādījuma ir deklarācija, ne kontrole.Pārbaude: komentārā norādīts, kur dokuments atrodas.Pierādījums: atsauces komentāros.NIS2: 21(2)(f).
Katram punktam ar atzīmi "Neattiecas" ir pamatojumsRisks: "neattiecas" kļūst par veidu, kā izvairīties no neērta punkta.Pārbaude: pamatojumu var pārbaudīt.Pierādījums: pamatojums komentārā.NIS2: 21(1).
Katrai nepilnībai ir novērtēts atlikušais risks un tā īpašnieksRisks: bez riska vērtējuma nevar izlemt, kas jālabo pirmais.Pārbaude: vērtējums lieto to pašu metodiku kā risku reģistrs.Pierādījums: nepilnību saraksts ar riska vērtējumu.NIS2: 21(1).
Uzlabojumu plāns ir sakārtots pēc atlikušā riska, ar atbildīgo un termiņuRisks: vispirms labo vienkāršāko.Pārbaude: augstākā riska nepilnības ir plāna sākumā.Pierādījums: uzlabojumu plāns.NIS2: 21(4).
Atlikušo risku virs apetītes vadība ir rakstiski pieņēmusi vai uzdevusi samazinātRisks: risks paliek, bet neviens par to nav lēmis.Pārbaude: katram šādam riskam ir lēmums ar datumu un pārskatīšanas termiņu.Pierādījums: vadības lēmums.NIS2: 20. pants.
Rezultāti ir iesniegti vadībai, un vadība ar tiem ir iepazinusiesRisks: izvērtējums paliek IT mapē.Pārbaude: vadība saņem kopsavilkumu par augstākajiem riskiem, ne tikai punktu skaitu.Pierādījums: vadības lēmums vai protokols.NIS2: 20. pants.
Nākamā izvērtējuma datums ir noteikts, un augsta riska jomas tiek pārskatītas biežākRisks: novērtējums noveco ātrāk par vidi.Pārbaude: datums ir plānā - vismaz reizi gadā, kā arī pēc būtiskām izmaiņām vai nopietna incidenta.Pierādījums: grafiks.NIS2: 21(2)(f).
Izvērtējums tiek lietots kā paškontrole, ne kā audits vai sertifikācijaPaškontrole neaizstāj neatkarīgu auditu vai sertifikāciju.Risks: pašvērtējums ir pārāk optimistisks.Pārbaude: augstākā riska jomas pārbauda arī kāds neatkarīgs.Pierādījums: neatkarīgas pārbaudes plāns.NIS2: 21(2)(f).