Zapytaj zespół infrastrukturalny, jak wyglądają dowody zgodności z NIS2, a zwykle dostaniesz pakiet polityk: politykę bezpieczeństwa informacji, plan reagowania na incydenty, kwestionariusz dostawcy, wszystko podpisane i zwersjonowane. Te dokumenty mają znaczenie, ale nie są dowodem. Opisują to, co zamierzasz robić. Dowód to zapis tego, co faktycznie zrobiłeś - kto zmienił regułę firewalla, kiedy, z czyjego upoważnienia i jaka była konfiguracja wcześniej. Audytorzy pytają o tę drugą rzecz, i to właśnie w luce między tymi dwoma zaczyna się dyskomfort większości zespołów.

Krótkie przypomnienie, z czym mamy do czynienia. NIS2, formalnie Dyrektywa (UE) 2022/2555, miała termin transpozycji 17 października 2024, a od tego czasu przepisy krajowe lądują we własnym tempie w poszczególnych krajach. Znacznie poszerzyła zakres poza stare kategorie NIS, wciągnęła w to wprost łańcuchy dostaw i przypisała obowiązki osobiście organom zarządzającym, a nie abstrakcyjnej organizacji. Jeśli dostarczasz cokolwiek podmiotowi objętemu zakresem, spodziewaj się, że jego obowiązki wylądują na Twoim biurku jako zapisy umowne - niezależnie od tego, czy Ty sam formalnie jesteś objęty zakresem.

O co dyrektywa naprawdę pyta

Artykuł 21 wymienia środki zarządzania ryzykiem: polityki dotyczące analizy ryzyka i bezpieczeństwa systemów informacyjnych, obsługę incydentów, ciągłość działania i backup, bezpieczeństwo łańcucha dostaw, bezpieczeństwo w akwizycji i rozwoju, procedury oceny skuteczności, podstawową cyberhigienę i szkolenia, kryptografię, kontrolę dostępu i zarządzanie zasobami oraz uwierzytelnianie wieloskładnikowe. Czytaj tę listę jako zestaw pytań, na które będziesz musiał odpowiedzieć rekordami. Każdy punkt kończy się tym samym pytaniem od audytora: pokaż mi. Pokaż mi backup, który przywróciłeś, dostęp, który odwołałeś, zmianę, którą zatwierdziłeś.

Artykuł 23 to ten, który zmienia inżynierię, a nie tylko papierologię. Wczesne ostrzeżenie w ciągu 24 godzin od uzyskania świadomości poważnego incydentu. Pełniejsze powiadomienie w ciągu 72 godzin, zawierające wstępną ocenę powagi i wpływu. Raport końcowy w ciągu miesiąca. Te zegary zaczynają tykać w momencie, gdy się dowiadujesz, co czyni Twój timeline wykrycia częścią samego dowodu. Jeśli nie potrafisz powiedzieć, kiedy się dowiedziałeś, nie możesz udowodnić, że zgłosiłeś na czas - a timeline incydentu odtworzony z pamięci tydzień później nikogo nie przekona.

Dowody zgodności z NIS2 to rekordy

Oto praktyczny kształt tego, o co pyta audytor. Lista systemów objętych zakresem i kto jest właścicielem każdego z nich. Rekord zmian w konfiguracji istotnej dla bezpieczeństwa w podanym okresie. Dowód, że dostęp został przyznany, przejrzany i usunięty, z datami. Dowód, że backupy nie tylko były wykonywane, ale i przywracane. A dla każdego poważnego incydentu - timeline, którego potrafisz bronić: wykrycie, eskalacja, powstrzymanie, powiadomienie. Wszystko z datami, przypisane do nazwanej tożsamości, i wytworzone z czegoś innego niż czyjaś pamięć.

Niewygodna prawda jest taka, że prawie wszystko to już gdzieś istnieje w każdej firmie. Jest w systemie ticketowym, na kanale czatu, w trzech konsolach, w historii terminala jednego inżyniera i w arkuszu kalkulacyjnym. Praca nad compliance staje się wtedy archeologią: dwa tygodnie, w trakcie których ktoś rekonstruuje, co się wydarzyło, z artefaktów, które nigdy nie zostały zaprojektowane jako dowód. To kosztowne, demoralizujące, i produkuje dokument, któremu nikt do końca nie ufa - łącznie z osobą, która go złożyła.

Właściwość, która czyni z logu dowód

Log staje się dowodem, gdy jest append-only i odporny na manipulację. Ta różnica ma większe znaczenie, niż się wydaje. Tabela, którą administrator może zaktualizować, to zapis tego, w co ten administrator chce, żebyś uwierzył. To, czego chce audytor, to sekwencja, w której każda modyfikacja wcześniejszego wpisu jest wykrywalna, bez konieczności ufania temu, kto obsługuje system - łącznie z nami. Ta właściwość zamienia „oto nasze logi” w coś, na czym strona trzecia może polegać, a nie tylko coś, co odbiera na wiarę.

Ślad audytowy Sencai jest append-only i powiązany hashami. Każdy wpis niesie własny hash oraz hash wpisu, który był przed nim, więc rekordy tworzą łańcuch, a nie stertę. Eksport CSV zawiera obie wartości, entry_hash i prev_hash, co oznacza, że Twój audytor nie musi wierzyć nam na słowo w niczym. Może sam, offline, przeliczyć łańcuch skryptem, który sam napisał, i sprawdzić, czy się zgadza. Jeśli pojedynczy wpis zostałby zmieniony lub usunięty, przeliczenie przestaje się zgadzać od tego punktu wzwyż.

Pytania o łańcuch dostaw, które zostaną Ci zadane

Artykuł 21 umieszcza bezpieczeństwo łańcucha dostaw na liście, a artykuł 20 czyni zarząd osobiście odpowiedzialnym za zatwierdzanie i nadzorowanie tych środków, dlatego te pytania przychodzą teraz z realnym ciężarem. Spodziewaj się pytań, którzy subprocesorzy dotykają Twoich danych, w jakich jurysdykcjach działają, jak wykryłbyś kompromitację pochodzącą od jednego z nich i jak szybko mógłbyś go usunąć. Jeśli dziś nie potrafisz wymienić swoich dostawców, nie odpowiesz na żadne z tych pytań - a niekompletny inwentarz to najszybszy sposób na oblanie tej części.

To tutaj izolacja per organizacja i prawdziwy model ról przestają być funkcjami produktu, a stają się odpowiedziami audytowymi. Kto może tworzyć infrastrukturę, kto może ją tylko oglądać, kto kogo zaprosił i kiedy, i które z tych zaproszeń zostały faktycznie zaakceptowane, a nie tylko wysłane - to pytania z datami przypiętymi do odpowiedzi. To samo dotyczy konfiguracji, która naprawdę Cię chroni: reguł firewalla, granic sieci i rekordów DNS, każdego z rekordem tego, kto go zmienił u dostawcy i kiedy.

Jak się przygotować bez działu compliance

Zacznij od spisania pytań, na które trudno byłoby Ci odpowiedzieć w pokoju z audytorem. Zwykle są cztery: co uruchamiamy, kto może to dotknąć, co zmieniło się w zeszłym kwartale, i jak cokolwiek z tego udowodnimy. Potem napraw rejestrowanie, nie raportowanie. System, który zbiera odpowiedzi w momencie, gdy dzieje się praca, kosztuje wtedy niemal nic; rekonstruowanie ich później kosztuje tygodnie, za każdym razem. NIS2 nie stworzyło tej luki - po prostu sprawiło, że utrzymywanie jej stało się kosztowne.

Nic z tego nie sprawia, że compliance staje się przyjemne. Zmienia jednak jego kształt. Dowód, który możesz wyeksportować, przekazać audytorowi i pozwolić mu zweryfikować niezależnie, to zupełnie inna rozmowa niż folder zrzutów ekranu i obietnica, że nic nie zostało edytowane. To jest poprzeczka, pod którą budowaliśmy: Twój majątek w jednym miejscu, zmiany rejestrowane na bieżąco, i eksport zaprojektowany tak, żeby sprawdziła go osoba, której całą pracą jest w niego wątpić.