Ocena skuteczności środków bezpieczeństwa w NIS 2 – wytyczne ENISA w praktyce

W poprzednich częściach serii NIS 2 skupialiśmy się na tym, jakie środki bezpieczeństwa należy wdrożyć: od polityk i zarządzania ryzykiem, przez incydenty i ciągłość działania, aż po segmentację sieci, testy, poprawki i zarządzanie podatnościami.

Rozdział 7 wytycznych ENISA stawia jednak inne pytanie.

Nie „czy masz środki bezpieczeństwa?”,
ale „czy potrafisz wykazać, że działają?”.

To moment przejścia od wdrożenia do weryfikacji skuteczności.

Obowiązek formalnej polityki oceny skuteczności

Zgodnie z dyrektywą NIS 2 organizacje muszą ustanowić, wdrożyć i stosować politykę oraz procedury oceny skuteczności środków zarządzania ryzykiem cyberbezpieczeństwa.

Nie chodzi o deklarację. Chodzi o systemowe podejście.

Polityka powinna być oparta na uznanych standardach branżowych i proporcjonalna do poziomu ryzyka organizacji. Jeżeli ryzyko jest wysokie, oczekiwany poziom dojrzałości mechanizmu oceny również powinien być wyższy.

Sama obecność zabezpieczeń nie jest wystarczająca. ENISA oczekuje dowodu, że są one efektywnie wdrażane i utrzymywane w czasie.

Co dokładnie należy monitorować i mierzyć?

Polityka oceny skuteczności nie może być ogólna ani oderwana od rzeczywistości operacyjnej.

Powinna uwzględniać:

• wyniki oceny ryzyka,
• doświadczenia z przeszłych istotnych incydentów.

To one wskazują, które środki są kluczowe i wymagają szczególnej uwagi.

Organizacja musi określić:

• jakie środki, procesy i kontrole będą monitorowane,
• jakie metody pomiaru, analizy i oceny zostaną zastosowane,
• kiedy pomiary będą wykonywane,
• kto odpowiada za monitorowanie,
• kto analizuje wyniki i podejmuje decyzje.

W tym miejscu pojawia się wyraźna odpowiedzialność zarządcza. Monitorowanie bez przypisanej roli i bez harmonogramu przestaje być systemem, a staje się działaniem incydentalnym.

Metody oceny skuteczności

ENISA nie narzuca jednej, obowiązkowej metody oceny. Wskazuje jednak przykładowe podejścia, które mogą być stosowane zgodnie z planem postępowania z ryzykiem.

Do takich metod należą między innymi:

• samoocena,
• benchmarking względem checklist lub standardów,
• oceny podatności,
• testy penetracyjne,
• przeglądy bezpiecznego kodu,
• audyty wewnętrzne i zewnętrzne,
• monitorowanie wydajności środków.

Wybór metody powinien uwzględniać nie tylko poziom ryzyka, ale także koszt jej wdrożenia. Skuteczność oceny nie polega na jej maksymalnej rozbudowie, lecz na jej adekwatności.

Ocena może być realizowana przez podmiot zewnętrzny albo przez upoważnionych pracowników organizacji. W przypadku oceny wewnętrznej ENISA podkreśla znaczenie bezstronności i obiektywizmu. Osoby oceniające nie powinny być zaangażowane w tworzenie ani utrzymanie systemów, które podlegają ocenie.

Wskaźniki skuteczności (KPI)

Skuteczność musi być mierzalna.

Dlatego ENISA wskazuje na potrzebę definiowania kluczowych wskaźników efektywności, takich jak:

• koszt wdrożenia i utrzymania środków,
• liczba przeszkolonych pracowników,
• liczba wykrytych podatności,
• czas usunięcia podatności,
• liczba incydentów,
• liczba incydentów związanych ze zmianami,
• czas reakcji na incydent,
• liczba przypadków niezgodności.

Ważne jest, aby te wskaźniki były stosowane konsekwentnie w kolejnych ocenach. Powtarzalność pozwala dostrzec trendy i realną poprawę lub pogorszenie sytuacji.

Standaryzowane szablony i checklisty wspierają porównywalność wyników w czasie.

Częstotliwość ocen

Częstotliwość monitorowania i pomiarów powinna wynikać z oceny ryzyka, jednak ENISA wskazuje orientacyjne podejście.

Środki przeciwdziałające zagrożeniom w czasie rzeczywistym mogą wymagać ciągłego monitorowania. Inne obszary, związane z krajobrazem zagrożeń, mogą być oceniane półrocznie. Całościowa ocena skuteczności powinna następować co najmniej raz w roku.

Dodatkowo skuteczność powinna być oceniana:

• po istotnym incydencie,
• po znaczących zmianach w systemie lub jego komponentach.

To pokazuje, że ocena skuteczności jest procesem dynamicznym i reagującym na zmiany środowiska.

Raportowanie do kierownictwa

Wyniki monitorowania i pomiarów nie mogą pozostać na poziomie operacyjnym.

Muszą być:

• analizowane,
• dokumentowane,
• raportowane do organów zarządzających.

Dowodami spełnienia tego wymogu mogą być raporty dla kierownictwa, dokumentacja KPI, analizy wcześniejszych ocen, rejestry przeprowadzonych przeglądów czy harmonogramy kolejnych ocen.

To wyraźnie wskazuje, że skuteczność środków bezpieczeństwa staje się elementem nadzoru zarządczego.

Przegląd i aktualizacja polityki

Polityka i procedury oceny skuteczności same również podlegają przeglądowi.

ENISA wskazuje, że powinny być weryfikowane co najmniej co dwa lata, a także w przypadku:

• istotnych incydentów,
• znaczących zmian operacyjnych,
• zmian w środowisku systemów,
• zmian w krajobrazie zagrożeń i podatności.

Przegląd powinien uwzględniać wyniki testów bezpieczeństwa oraz niezależne przeglądy polityki bezpieczeństwa. Wyniki ocen skuteczności powinny być brane pod uwagę przy aktualizacji planu postępowania z ryzykiem i priorytetyzacji działań.

To zamyka pętlę: ocena skuteczności wpływa na dalsze zarządzanie ryzykiem.

Co oznacza ten rozdział w praktyce?

Rozdział 7 wytycznych ENISA wprowadza istotne przesunięcie akcentu.

Cyberbezpieczeństwo nie kończy się na wdrożeniu zabezpieczeń.
Nie kończy się też na ich okresowym przeglądzie.

Wymaga systemowego mechanizmu, który pozwala stale oceniać, czy środki:

• są skutecznie wdrażane,
• są utrzymywane,
• odpowiadają aktualnemu poziomowi ryzyka,
• przynoszą mierzalne rezultaty.

To moment, w którym bezpieczeństwo przestaje być zbiorem narzędzi, a staje się zarządzanym i weryfikowanym systemem.

Twoje bezpieczeństwo to nasza pasja! 🌐 Jeśli interesuje Cię ochrona danych osobowych, bezpieczeństwo informacji czy cyberbezpieczeństwo, zajrzyj na stronę CAB oraz Platformę Cyberbezpieczeństwa. Szukasz informacji o ochronie sygnalistów? 📢 Sprawdź stronę Kanału Zgłoszeniowego. Czekają tam praktyczne porady i ekspercka wiedza!