NIS2 versus ISO 27001: diferențe, suprapuneri și cum le folosești împreună

O organizație poate avea politici aprobate, un certificat ISO/IEC 27001 și tehnologii de securitate licențiate, dar să nu poată explica cine verifică accesurile privilegiate, când a fost testat ultimul restore sau ce se întâmplă în primele 24 de ore după un incident grav.

Aici devine relevantă comparația NIS2 versus ISO 27001.

Nu ca alegere între două etichete, ci ca decizie despre cum transformați obligațiile și riscurile în controale care funcționează și lasă dovezi.

Pentru management, întrebarea utilă nu este dacă NIS2 și ISO 27001 se suprapun.

Se suprapun semnificativ.

Întrebarea relevantă este dacă sistemul actual de management al securității poate demonstra, în condiții de audit sau incident, că riscurile materiale sunt cunoscute, tratate, monitorizate și escaladate la timp.

01. NIS2 versus ISO 27001: obligație legală sau sistem de management?

NIS2 este o directivă europeană care urmărește un nivel comun ridicat de securitate cibernetică în Uniunea Europeană.

Ea se aplică, prin legislația națională de transpunere, entităților esențiale și importante care îndeplinesc criteriile relevante privind sectorul, dimensiunea, serviciile furnizate și situațiile speciale.

În practică, aplicabilitatea trebuie analizată pentru fiecare organizație.

Vezi: cum verifici dacă organizația intră sub NIS2 .

Directiva introduce cerințe privind:

• cybersecurity risk management;
• responsabilitatea conducerii;
• incident handling;
• business continuity;
• supply-chain security;
• vulnerability management;
• access control;
• raportarea incidentelor semnificative.

Accentul este pe responsabilitatea organizației față de continuitatea serviciilor și față de autoritatea competentă.

ISO/IEC 27001 este, în schimb, standardul internațional pentru sistemele de management al securității informației — ISMS.

Standardul definește cerințe pentru stabilirea, implementarea, menținerea și îmbunătățirea continuă a unui sistem de management al securității informației.

ISO 27001 structurează:

• contextul organizației;
• leadership și responsabilități;
• evaluarea și tratarea riscurilor;
• obiective și planificare;
• operarea controalelor;
• monitorizare și măsurare;
• audit intern;
• management review;
• îmbunătățire continuă.

Certificarea ISO/IEC 27001 este, în mod obișnuit, voluntară, deși poate deveni o cerință contractuală sau comercială.

Certificatul ISO 27001 nu reprezintă o excepție de la obligațiile NIS2.

În același timp, faptul că o companie intră sub incidența NIS2 nu înseamnă automat că are un ISMS matur.

02. Unde se întâlnesc NIS2 și ISO 27001

Cele două cadre au o suprapunere semnificativă în modul în care tratează securitatea.

Ambele presupun o abordare bazată pe risc, roluri și responsabilități clare, continuitate, controlul accesului, managementul vulnerabilităților, pregătirea pentru incidente și evaluarea furnizorilor.

Pentru multe organizații, un ISMS bine construit poate reprezenta fundația operațională pentru readiness NIS2.

Risk management

Registrul de risc dintr-un ISMS poate deveni o sursă importantă de trasabilitate pentru riscurile NIS2, dacă este suficient de concret.

Un risc formulat generic, precum „atac cibernetic”, oferă însă puțină valoare.

Registrul trebuie să permită legătura dintre:

• activ sau serviciu;
• scenariu de amenințare;
• impact;
• responsabil;
• controale existente;
• risc rezidual;
• acțiuni de remediere;
• criteriul de verificare a eficacității.

Supply-chain security

Un proces ISO 27001 pentru managementul furnizorilor poate susține cerințele NIS2 privind lanțul de aprovizionare.

Dar evaluarea trebuie să depășească existența unui NDA sau a unei clauze standard de securitate.

Pentru un furnizor care administrează Microsoft 365, infrastructură cloud, backup sau acces remote, organizația trebuie să știe:

• ce privilegii are;
• cum sunt aprobate;
• ce loguri sunt disponibile;
• cum sunt monitorizate activitățile;
• cum se notifică incidentele;
• cum se revocă accesul la încetarea colaborării.

Evidence

ISO 27001 creează mecanisme utile pentru audit, management review și improvement.

Acestea devin foarte valoroase pentru NIS2 atunci când demonstrează funcționarea controalelor, nu doar existența documentelor.

03. Unde ISO 27001 nu trebuie tratat ca răspuns complet pentru NIS2

O certificare ISO 27001 poate avea o valoare semnificativă.

Dar valoarea ei depinde de aria certificată, maturitatea sistemului de management și calitatea operațională a controalelor.

Uneori, scope-ul ISMS poate exclude sisteme, servicii sau entități relevante pentru un serviciu critic.

Alteori, controalele există corect în documentație, dar nu sunt operate consecvent.

NIS2 pune presiune suplimentară în câteva zone.

Guvernanța conducerii

NIS2 cere ca organele de conducere ale entităților esențiale și importante să aprobe măsurile de cybersecurity risk management și să supravegheze implementarea acestora.

Membrii conducerii trebuie, de asemenea, să beneficieze de formare relevantă pentru a putea înțelege și evalua riscurile cibernetice.

Securitatea nu poate fi delegată integral către IT fără vizibilitate, decizie și asumare la nivel executiv.

Raportarea incidentelor

NIS2 introduce o disciplină temporală pentru incidentele semnificative.

Organizația trebuie să poată susține operațional:

• avertizarea timpurie;
• notificarea incidentului;
• actualizările intermediare necesare;
• raportarea finală;
• coordonarea cu managementul și autoritățile competente.

Pentru aceasta sunt necesare criterii de severitate, runbook-uri, contacte actualizate, responsabilități clare și capacitatea de a extrage rapid informații din logging.

Un SIEM instalat fără surse relevante, retenție adecvată și un proces de investigare nu demonstrează incident readiness.

Continuitatea serviciilor

Backupul menționat într-o politică nu este același lucru cu recovery-ul testat.

Pentru serviciile critice, RTO și RPO trebuie validate cu businessul și testate în raport cu dependențele reale.

O restaurare reușită a unui singur fișier nu demonstrează că aplicația, identitatea, rețeaua și datele pot reveni în intervalul necesar.

04. Controale care merită verificate înainte de documentație

Ordinea corectă nu este: „scriem politici, apoi vedem ce avem”.

Evaluarea trebuie să pornească de la expunerea reală.

Fiecare constatare trebuie legată de:

• serviciul sau activul afectat;
• impactul asupra businessului;
• controlul existent sau lipsă;
• responsabil;
• acțiunea de remediere;
• dovada necesară la închidere.

Identity & privileged access

Verificați dacă MFA este aplicat identităților relevante, inclusiv administratorilor, accesului extern și conturilor speciale.

Analizați privilegiile permanente, procesele joiner-mover-leaver, access reviews și utilizarea PIM/JIT acolo unde arhitectura și licențierea permit.

Tehnologia instalată nu înseamnă automat control.

Dacă excepțiile MFA nu sunt inventariate, aprobate și revizuite, expunerea rămâne deschisă.

Microsoft 365 și cloud

Verificați configurația tenantului, partajarea externă, aplicațiile terțe, Conditional Access, privileged access, protecția mailboxurilor și logging-ul administrativ.

Dovada nu trebuie redusă la un screenshot.

Evidence-ul poate include:

• configurația exportată;
• inventarul excepțiilor;
• aprobările;
• ticketul de remediere;
• rezultatele revizuirii independente.

Detection & response

Stabiliți ce sisteme trimit loguri, cine le monitorizează, ce alerte au prioritate și cât timp sunt păstrate datele necesare investigației.

Un incident de compromitere a contului poate fi investigat doar dacă organizația poate corela, după caz, autentificările, modificările de privilegii, activitatea din endpoint, regulile mailboxului și acțiunile administrative.

Supplier risk

Identificați furnizorii care pot întrerupe serviciile critice sau pot introduce acces privilegiat.

Contractul trebuie să susțină controlul, dar operațiunea trebuie să îl confirme prin:

• acces nominativ;
• aprobări;
• revizuiri periodice;
• logging;
• obligații de notificare;
• planuri de ieșire;
• revocarea accesului.

05. Cum folosești ISO 27001 pentru pregătirea NIS2

Organizațiile care au deja ISO 27001 nu ar trebui să înceapă prin rescrierea întregului set de politici.

Primul pas util este un gap assessment NIS2 orientat pe risc și evidence.

Evaluarea trebuie să verifice:

• aria serviciilor relevante;
• riscurile materiale;
• responsabilitățile conducerii;
• incident response;
• business continuity;
• furnizorii critici;
• evidence-ul operațional al controalelor.

Apoi remedierea trebuie prioritizată.

Un control lipsă pentru conturile privilegiate, un backup netestat sau lipsa unui proces funcțional de raportare poate avea prioritate mai mare decât ajustarea stilistică a unei politici.

Roadmap-ul trebuie să includă:

• owner;
• termen;
• dependențe;
• criteriu de acceptare;
• dovada necesară la închidere.

Auditul intern trebuie să testeze eficacitatea

Dacă procedura spune că accesul privilegiat este revizuit trimestrial, evaluatorul trebuie să poată vedea:

• populația reală de conturi;
• criteriile de revizuire;
• deciziile luate;
• aprobările;
• accesurile eliminate;
• excepțiile și justificarea lor.

06. Ce faci dacă nu ai încă ISO 27001

Pentru organizațiile fără ISO 27001, alegerea nu este între certificare imediată și lipsa oricărei acțiuni.

Poate fi mai eficient să construiești mai întâi controalele necesare pentru riscurile materiale și obligațiile aplicabile NIS2.

Ulterior, aceste controale pot fi formalizate într-un ISMS complet.

Pentru alte organizații, mai ales cele cu cerințe contractuale recurente, implementarea ISO 27001 poate reduce efortul duplicat și poate crea un sistem comun pentru:

• risk management;
• internal audit;
• management review;
• supplier governance;
• evidence;
• continual improvement.

Decizia depinde de:

• expunere;
• complexitate;
• maturitate;
• cerințele clienților;
• obligațiile aplicabile;
• nivelul de assurance necesar.

Un singur sistem de control este mai valoros decât două seturi de documente

Un cadru comun pentru NIS2, ISO 27001, Microsoft 365 și AI Governance poate reduce documentația paralelă și efortul duplicat.

Dar funcționează numai dacă organizația folosește aceeași sursă de adevăr pentru:

• active;
• riscuri;
• owners;
• controale;
• excepții;
• acțiuni;
• evidence.

Miza nu este să demonstrați că ați bifat un standard.

Miza este să puteți arăta, inclusiv sub presiune, că serviciile critice rămân controlabile, că riscurile sunt cunoscute și că măsurile funcționează.