Ar ISO 27001 pakanka NIS2 reikalavimams?

Nepakanka. Tai visas atsakymas į antraštės klausimą, ir skiesti jo neverta: ISO 27001 sertifikatas – savanoriškas, o Kibernetinio saugumo įstatymas (toliau – KSĮ) subjektui taikomas įstatymo galia. Sertifikavimo įstaigos išduotas dokumentas nepanaikina teisės akte nustatytos pareigos.

Dar brangiau kainuoja priešingas teiginys – kad standartas su įstatymu neturi nieko bendra. Turinio sutapimas didelis. Toks didelis, kad įmonės su gyva informacijos saugumo valdymo sistema laukia kelių savaičių darbas, o ne ketvirtis. Toliau abi pusės išskaidomos: ką sertifikatas padengia, ko jis nepadengs niekada ir kokia eilės tvarka pridedama visa kita.

Kodėl sertifikatas nepakeičia įstatymo

Abu dokumentai atsako į skirtingus klausimus. Standartas klausia, ar saugumas valdomas pakartojamu būdu. Įstatymas klausia, ar subjektas padarė tai, kas nurodyta, ir ar padarė laiku.

Svarbiausia – antra eilutė. Valdymo sistemos apimtį nusistato pati organizacija, ir daugelis sertifikatų aprašo kruopščiai parinktą išpjovą. O pareigų apimtį lemia tai, kuo įmonė užsiima ir kuriai subjektų kategorijai ji priskirta. Jei sertifikate įrašytas duomenų centras viename mieste, o įstatymas taikomas visai klientų aptarnavimo platformai, dokumentas pasakoja apie kitą sistemą nei ta, apie kurią klaus priežiūros institucija.

Ką ISO 27001 jau padengia

Dabar gera žinia, ir ji priklauso kiekvienam, kas sertifikavimą jau perėjo. KSĮ reikalauja valdomo kibernetinio saugumo, o tai ta pati konstrukcija, kurią aprašo standartas. Antros sistemos šalia pirmosios statyti nereikia. Sudaroma atitikties lentelė: tie patys įrodymai, tik su nuoroda į teisės akto punktą, o ne į priemonės numerį.

Sąlyga viena, ir ji ne formali: sistema turi gyventi ir ne audito savaitę. Rizikų registras, atnaujinamas kartą per metus dieną prieš sertifikavimo įstaigos vizitą, sertifikavimo auditą atlaiko, o susidūrimo su incidentu – ne.

Septynios pareigos, kurių sertifikatas nepadengia

Šioms pareigoms standarte atitikmens nėra. Ne todėl, kad standartas silpnas, o todėl, kad jis nepažįsta priežiūros institucijos sąvokos.

1. Priskyrimas ir registracija Kibernetinio saugumo informacinėje sistemoje

Pirmiausia subjektas įvertina pats save: ar KSĮ organizacijai apskritai taikomas ir kuriai kibernetinio saugumo subjektų kategorijai ji priskirta. Nuo registracijos Kibernetinio saugumo informacinėje sistemoje (toliau – KSIS) prasideda visa kita: nuo jos skaičiuojami ir reikalavimų įgyvendinimo terminai.

Šio žingsnio už subjektą niekas nepadaro. Sertifikavimo įstaiga tokio veiksmo nepažįsta, nes standarte jo nėra. Gryna administracija – ir būtent todėl ji dažniausiai lieka nepastebėta: valdymo sistemos grafike tokios užduoties tiesiog nėra.

2. Terminų laikrodis, kurio standartas neturi

Aprašo 71 punktas organizaciniams reikalavimams skiria 12 mėnesių, o 72 punktas 26, 31, 47, 57, 60, 64 ir 69 punktuose išvardytiems techniniams reikalavimams – 24 mėnesius. Abu terminai skaičiuojami nuo to paties subjekto registracijos KSIS.

Iš to plaukia išvada, prieštaraujanti daugumai rinkoje sklandančių santraukų: bendros visai rinkai datos nėra. Jei tekste nurodoma viena data visiems, daugumai skaitytojų ji bus klaidinga. Standarto trejų metų sertifikavimo ciklas eina savo kalendoriumi ir apie šį laikrodį nepasako nieko, todėl pirmas darbas rengiant grafiką – pasitikrinti savo registracijos datą, o ne perrašyti sertifikato galiojimo terminą.

3. Reikalavimų sąrašas, iš kurio nieko neišbraukia pritaikomumo deklaracija

Netaikomą standarto priemonę galima pagrįsti pritaikomumo deklaracijoje (angl. Statement of Applicability), ir sertifikatas lieka galioti. Kibernetinio saugumo reikalavimų apraše tokio mechanizmo nėra: reikalavimai taikomi pagal subjekto priskyrimą, o ne pagal jo pasirinkimą.

Tai nereiškia, kad visiems taikoma vienodai. Aprašo 51 punkte numatytą klausimyną Kibernetinio saugumo informacinėje sistemoje pildo tik esminiai subjektai, todėl pirmiausia išsiaiškinamas priskyrimas, o tik paskui apimtis. Eiliškumas čia nėra formalumas: be priskyrimo reikalavimų sąrašas – spėjimas, o spėjimu grįsta atitikties lentelė vėliau perrašoma nuo pirmos eilutės.

4. Pažeidžiamumų skenavimas ne rečiau kaip kas 6 mėnesius

Priemonė A.8.8 reikalauja valdyti technines spragas: rinkti informaciją apie naudojamų sistemų pažeidžiamumus, vertinti poveikį ir imtis veiksmų. Dažnumo ji nenustato – jį pasirenka pati organizacija pagal riziką.

Aprašo 45.8 papunktis dažnumą nustato: visos informacinės sistemos pažeidžiamumų skenavimas atliekamas ne rečiau kaip kas 6 mėnesius. Tai automatizuotas patikrinimas, o ne įsilaužimų testas, ir šis skirtumas komerciniuose pasiūlymuose dažnai dingsta. Kur eina ta riba, paaiškinome straipsnyje apie tai, kuo skiriasi spragų skenavimas ir įsilaužimų testavimas.

5. Kasmetinis atitikties vertinimas

Aprašo 48.1 papunktis reikalauja kartą per metus atlikti atitikties vertinimą. Jį subjektas atlieka pats sau – tai vidinis vertinimas, o ne nepriklausomo auditoriaus išvada.

Standarto 9.2 skyriuje aprašytas vidaus auditas jo nepakeičia: kita forma, kitas adresatas ir kitas turinys. Tačiau medžiaga persidengia beveik visa, todėl vidaus audito rezultatai vertinimą realiai sutrumpina – didžioji dalis eilučių jau aprašyta, tik kita kalba.

6. Auditas ne rečiau kaip kas 3 metus

KSĮ 14 str. 8 d. ir Aprašo 48.3 papunktis nustato tą pačią pareigą: kibernetinio saugumo auditas atliekamas ne rečiau kaip kas 3 metus. Jį atlieka nepriklausomi, tarptautiniu mastu sertifikuoti auditoriai, papildomai baigę Nacionalinio kibernetinio saugumo centro nustatytus mokymus ir išlaikę jo kvalifikacinį egzaminą.

Čia ir slypi dažniausias nesusipratimas. Šis auditas remiasi Nacionalinio kibernetinio saugumo centro nustatyta metodika, o ne ISO standartu, todėl sertifikavimo audito ataskaita jo nepakeičia: kitas teisinis pagrindas, kita apimtis ir kitas rezultato adresatas. Sertifikatas padeda kitaip, bet realiai – didžioji dalis standartui surinktų įrodymų auditoriui tinka be perdirbimo.

Haxoris šio audito neatlieka ir nesiūlo: mūsų darbas – techninis saugumo testavimas ir pasirengimo vertinimas. Ko prašo auditorius ir ką verta sutvarkyti iš anksto, aprašėme straipsnyje apie tai, kaip pasiruošti kibernetinio saugumo auditui; kokie reikalavimai keliami pačiam auditoriui – straipsnyje apie tai, kas gali atlikti kibernetinio saugumo auditą.

7. Pranešimas apie incidentą

Priemonės A.5.24–A.5.26 aprašo vidinę incidentų tvarkymo tvarką: kas klasifikuoja, kas sprendžia, kaip dokumentuojama. Standartas nepažįsta tik vieno – laikrodžio, kuris pradeda skaičiuoti laiką institucijos atžvilgiu.

KSĮ tokį laikrodį įjungia. NIS2 direktyvos 23 straipsnyje numatyta trijų pakopų grandinė: ankstyvasis perspėjimas, pranešimas apie incidentą ir galutinė ataskaita. Tikslius terminus, gavėją ir formą prieš įrašant į vidaus tvarką verta pasitikrinti aktualioje teisės akto redakcijoje – įpareigoja teisės norma, o ne straipsnio santrauka.

Esamas incidentų procesas – gera bazė, tačiau jam reikia naujos šakos: kas naktį nusprendžia, kad incidentas reikšmingas, ir kas pranešimą faktiškai išsiunčia. Tai vienintelė iš septynių pareigų, kurios negalima suplanuoti kalendoriuje, todėl jos ir pasigendama dažniausiai.

Aštuntos pareigos nėra

Sąrašai internete čia dažnai prideda dar vieną eilutę – privalomą įsilaužimų testą. Lietuvos teisėje tokios pareigos nėra: jos nenustato nei KSĮ, nei Aprašas, o įsilaužimų testuotojų licencijavimo ar registro Lietuvoje apskritai nėra. Todėl pasiūlymas, kuriame minima „licencijuota testavimo įmonė“ arba „privalomas NIS2 pentestas“, remiasi tuo, ko Lietuvos teisėje nėra.

Privalomos yra būtent trys aukščiau surašytos pareigos: skenavimas kas 6 mėnesius, kasmetinis atitikties vertinimas ir auditas kas 3 metus. Nė viena iš jų nėra įsilaužimų testas. Iš to neišplaukia, kad testas nereikalingas, – iš to išplaukia, kad jis užsakomas savo iniciatyva ir atliekamas pagal rašytinį užsakovo leidimą bei sutartą apimtį. Kada testas prasmingas, aptarėme atskirai – straipsnyje apie tai, ar įsilaužimų testavimas privalomas.

Dažniausia spraga: apimtis

Visus septynis punktus įvykdyti galima: reikia laiko ir atsakingo asmens. Yra tik viena klaida, kuri panaikina visą argumentaciją, ir tai – apimtis. Jei sertifikatas neapima tos paslaugos, dėl kurios įmonė apskritai yra įstatymo subjektas, argumentas dėl aprėpties griūva: didžioji dalis įrodymų pasakoja apie kitą sistemą nei ta, apie kurią klaus priežiūros institucija.

Patikrinimas užtrunka valandą. Sugretinamos dvi eilutės – sertifikato apimties aprašas ir tos veiklos, dėl kurios įmonė priskirta kibernetinio saugumo subjektams. Jei jos nesutampa, visą kitą darbą reikia pradėti nuo šios eilutės.

Kodėl aprėpties neverta matuoti procentais

Sutapimą mėgstama išreikšti procentais, ir skaičius skamba įtikinamai. Į svarbųjį klausimą jis neatsako. Atitiktis nėra egzaminas, išlaikomas surinkus 80 proc. Priežiūros institucija netikrins, kiek procentų padaryta, – ji tikrins, ar subjektas registruotas, ar atitikties vertinimas atliktas laiku, ar skenavimas atliekamas nustatytu dažnumu ir ar apie incidentą pranešta. Todėl vietoj procento naudingesnis ankstesnio skyriaus sąrašas: iš sąrašo išplaukia grafikas, iš procento – nieko.

Vienas testas, du įrodymų rinkiniai

Yra viena vieta, kurioje standartas ir teisės aktai prašo to paties, – ir kurioje įrodymo dažniausiai trūksta.

Priemonė A.8.8 reikalauja valdyti technines spragas: rinkti informaciją apie naudojamų sistemų pažeidžiamumus, vertinti poveikį ir imtis veiksmų. A.8.29 prideda saugumo testavimą kuriant ir priimant sistemas. Lietuvos pusėje tą patį darbą matuoja Aprašo 45.8 papunkčio pažeidžiamumų skenavimas ir 48.1 papunkčio kasmetinis atitikties vertinimas, pagal kurio rezultatus organizuojamas rastų trūkumų šalinimas.

Tai vienas darbas, o ne du. Kasdienę jo dalį dengia pažeidžiamumų vertinimas, gaudantis naujai paskelbtas naudojamų komponentų klaidas; periodiškai atliekamas įsilaužimų testavimas, arba pentestas, parodo, ar įdiegtos priemonės iš tikrųjų sustabdo užpuoliką. Vienas projektas duoda įrodymus abiem pusėms, jei ataskaitoje įvardijama, kurį reikalavimą kiekvienas radinys pagrindžia. Būtent taip veikia įsilaužimų testai ISO 27001 pasirengimui ir įsilaužimų testai NIS2 pasirengimui: viena apimtis, viena ataskaita, dvi nuorodų skiltys.

Ką parengiame įrodymų pusėje

Auditą atlieka nepriklausomas auditorius, tačiau techninis įrodymas, kurio jis prašo, gimsta pačioje organizacijoje. Būtent šią dalį ir parengiame. Iš vieno testavimo projekto išeina rinkinys, kurį priima ir sertifikavimo įstaiga, ir auditorius:

• Apimtis ir laikas. Kuri sistema, kuri sąsaja ir kuris prieigos teisių lygis tikrintas, nuo kurios iki kurios datos ir pagal kokį modelį.
• Radiniai su įrodymu. Prie kiekvieno įrašo pridedami pakartojimo žingsniai ir įrodymas, kad klaida išnaudojama praktiškai, o ne tik įrankio eilutė.
• Rizikos vertinimas konkrečioje aplinkoje. Šalia CVSS įverčio aprašoma, ką klaida reiškia būtent šioje organizacijoje: kokių duomenų nutekėjimą, kokį prastovos laiką, kokį finansinį nuostolį.
• Šalinimo žingsniai prioriteto tvarka. Ne „atnaujinkite sistemą“, o kuris komponentas, iki kurios versijos, kuri konfigūracija ir nuo ko pradėti.
• Rašytinė pakartotinio patikrinimo išvada. Po pataisymų radiniai patikrinami dar kartą ir užfiksuojama, kuris uždarytas.
• Nuoroda į reikalavimą abiem pusėms. Prie kiekvieno radinio prirašoma, kurią standarto priemonę ir kurį teisės akto punktą jis pagrindžia, todėl atitikties lentelės eilutės ateina jau paruoštos.

Testuojama pagal pripažintas metodikas: web aplikacijos tikrinamos pagal OWASP ASVS ir OWASP WSTG. Haxoris – Slovakijoje registruota įmonė, turinti savo ISO/IEC 27001 sertifikatą, išduotą TÜV SÜD, todėl įrodymo formą žinome ir iš kitos pusės – iš savo pačių diegimo. Sertifikatų neišduodame: tai daro akredituotos sertifikavimo įstaigos.

Jei sertifikatas jau yra: tokia eilės tvarka

1. Palyginamos apimtys. Ar valdymo sistema apima paslaugą, dėl kurios įmonė yra įstatymo subjektas? Tai pirmas klausimas, ir jo pasekmės sunkiausios.
2. Pasitikrinami priskyrimas ir registracijos data. Nuo registracijos KSIS skaičiuojami 12 ir 24 mėnesių terminai, todėl grafikas prasideda būtent čia, o ne nuo sertifikato galiojimo pabaigos.
3. Sudaroma atitikties lentelė. Vienoje skiltyje – KSĮ ir Aprašo reikalavimai, kitoje – standarto priemonės ir esamų įrodymų numeriai. Didžiąją dalį eilučių užpildys dokumentas, jau gulintis lentynoje.
4. Pridedama tai, ko trūksta. Pranešimo apie incidentą tvarka su teisės akte nustatytais terminais ir atsakingu asmeniu bei kasmetinis atitikties vertinimas artimiausiu terminu.
5. Į kalendorių įrašomas skenavimo dažnumas. Aprašo 45.8 papunkčio šešių mėnesių ciklas planuojamas iš anksto, o ne prisimenamas prieš auditą.
6. Patikrinama, ar priemonės veikia. Įsilaužimų testas, kurio A.8.29 reikalauja ir taip, kartu duoda techninį įrodymą auditui – su sąlyga, kad ataskaitoje tai ir įvardijama.

Įmonei su gyva valdymo sistema tai – kelių savaičių darbas, o didžioji laiko dalis nueina atitikties lentelei ir pranešimo tvarkai.

Jei ISO 27001 sertifikato nėra

Pareigos sertifikuotis nėra. Įstatymas reikalauja veikiančių priemonių ir įrodomo jų vykdymo, o ne sertifikavimo įstaigos popieriaus. Vis dėlto standarto A priedas lieka kruopščiausiai apgalvotas tokios sistemos statybos planas, nes pareigas išverčia į konkrečias priemones, kurių nereikia sugalvoti iš naujo.

Keliai du, ir abu apginami:

• Su sertifikavimu, jei dokumento vis tiek reikia viešiesiems pirkimams ir klientų saugumo klausimynams. Sertifikavimo ciklas paprastai trunka trejus metus su kasmetiniais priežiūros auditais.
• Be sertifikavimo, A priedą naudojant kaip struktūrą. Taip sutaupomos sertifikavimo audito išlaidos ir prarandamas vienas komercinis argumentas.

Techninė dalis abiejuose keliuose ta pati, ir būtent jos atidėti negalima: reikia mokėti parodyti, kad apsauga veikia.

Apibendrinimas: pranašumas, o ne išimtis

ISO 27001 sertifikatas nėra atitikties Kibernetinio saugumo įstatymui patvirtinimas, tačiau pasirengimo etape tai realus pranašumas. Turinį jis padengia plačiai, o pareigų priežiūros institucijai – ne: priskyrimas ir registracija KSIS, terminų laikrodis, Aprašo reikalavimų sąrašas, skenavimas kas 6 mėnesius, kasmetinis atitikties vertinimas, auditas kas 3 metus ir pranešimas apie incidentą lieka paties subjekto darbas. Ir atvirkščiai: privalomo įsilaužimų testo, kurio ieškoma daugumoje santraukų, Lietuvos teisėje nėra.

Šioje grandinėje dirbame techninėje pusėje. Atliekame įsilaužimų testavimą ir pažeidžiamumų vertinimą, o ataskaitą perduodame forma, kurią priima abi pusės: su įvardyta metodika, patikrintais radiniais, rizikos vertinimu konkrečioje aplinkoje, šalinimo eiliškumu ir rašytine pakartotinio patikrinimo išvada. Užsisakykite nemokamą konsultaciją, ir kartu peržiūrėsime, kokio įrodymo dar trūksta.

ISO 27001 ir NIS2 – dažniausiai užduodami klausimai

Susijusios Haxoris paslaugos: įsilaužimų testavimas pasirengiant ISO 27001 sertifikavimui · įsilaužimų testavimas pasirengiant NIS2 reikalavimams