Evidence pro NIS2
Evidence pro NIS2 je zdokumentovaný, doložitelný důkaz, že opatření řízení kybernetických rizik a reakce na incidenty vyžadovaná směrnicí EU NIS2 jsou u organizace skutečně zavedená a dodržovaná - nejde o samotná opatření, ale o záznamy (logy, hlášení, schválení), které regulátorovi, auditorovi nebo zákazníkovi umožní ověřit, že se opravdu uplatňují.
Směrnice NIS2 (EU 2022/2555) rozšiřuje základní kybernetickou bezpečnost EU na mnohem širší okruh organizací než její předchůdkyně - energetika, doprava, zdravotnictví, digitální infrastruktura, poskytovatelé cloudu a spravovaných služeb, veřejná správa a další, rozdělené na „základní" a „důležité" subjekty s různou intenzitou dohledu. Vyžaduje opatření řízení rizik (zabezpečení dodavatelského řetězce, řízení přístupu, zvládání incidentů, kontinuitu provozu, šifrování a zvládání zranitelností), hlášení incidentů národnímu orgánu v přísných lhůtách (včasné varování do 24 hodin, plnější oznámení do 72), a u vedení organizace osobní odpovědnost za dohled. Členské státy EU směrnici transponují do vnitrostátního práva, takže přesný rozsah a vymáhání se stát od státu liší, ale základní povinnost zůstává stejná: znát svá rizika, řídit je a umět prokázat, že to tak je.
Mít bezpečnostní opatření a umět je doložit jsou dvě různé věci. Pravidlo firewallu, patch politika nebo model řízení přístupu může existovat na papíře nebo v dashboardu, aniž by kdokoliv dokázal zpětně zrekonstruovat, kdo co změnil, kdy a s jakým oprávněním. Evidence je to, co tuhle mezeru uzavírá: záznam prováděných akcí, který se jen přidává (ne jen aktuální stav), opatřený časovým razítkem a vázaný na identitu, který obstojí, i když se na něj zeptají v rámci lhůty pro hlášení incidentu nebo při dozorové kontrole. V praxi to znamená logy změn a přístupů, které nejde tiše upravit nebo zpětně datovat, záznamy o tom, kdo danou akci schválil, inventuru toho, jaká infrastruktura existuje a kdo za ni odpovídá, a dokumentaci datových toků a subdodavatelů. Bez toho je „máme dobré zabezpečení" tvrzení; s tím je to dotaz, který si může kdokoliv jiný sám spustit.
Proč na evidenci pro NIS2 záleží
Podle NIS2 není neschopnost předložit evidenci na vyžádání jen formalita - v praxi se to může posuzovat stejně jako neexistence samotného opatření. Regulátoři si mohou záznamy vyžádat během dozorové kontroly a vedení organizace čelí osobní odpovědnosti za nedostatečný dohled, takže vágní ujištění neobstojí. Lhůty pro hlášení to ještě zhoršují: 24hodinové včasné varování po závažném incidentu nedává čas rekonstruovat, co se stalo, z paměti nebo roztroušených logů. Organizace provozující infrastrukturu u více poskytovatelů čelí ostřejší verzi tohoto problému, protože konzole každého poskytovatele produkuje vlastní logy ve vlastním formátu, a poskládat z nich zpětně „kdo co udělal a kdy" je přesně ten typ práce, na který lhůta při incidentu nedává čas.
Jak pomáhá Sencai
Sencai vede jediný, pouze přidávaný, hash-řetězený auditní log každé akce provedené napříč všemi připojenými cloudovými účty a on-premise servery - kdo, kdy a na jakém zdroji, bez ohledu na to, kterého z jedenácti podporovaných poskytovatelů se to týkalo. Tento log lze exportovat, takže „kdo tohle změnil a kdy" se stává dotazem místo rekonstrukčního projektu. Sencai sama nemá certifikaci ISO 27001 ani SOC 2 a otevřeně to říká; místo toho předá evidenci, kterou prověrka obvykle žádá - export auditní stopy, záznamy o zpracování, zveřejněný registr subdodavatelů, prohlášení o rezidenci dat a zveřejněnou smlouvu o zpracování osobních údajů - od společnosti fungující podle práva EU v Praze.
Prozkoumat bezpečnost a compliance →