zabezpieczenie
inwentaryzacja zasobów
Lista systemów, urządzeń, aplikacji i zbiorów danych, które firma uruchamia, każda z właścicielem. Od niej zaczynają się pozostałe zabezpieczenia, bo nie da się chronić, łatać ani odtworzyć tego, czego nie ma na liście.
- co chroni
- wszystkie pozostałe zabezpieczenia, bo to, czego nie ma na liście, nie jest łatane, kopiowane ani odtwarzane
- kto za to odpowiada
- szef IT
- zacznij od
- usługi, bez których firma nie działa, potem poszerzanie listy
czym jest
Inwentaryzacja zasobów to lista tego, co firma uruchamia: serwery, laptopy, urządzenia sieciowe, aplikacje, usługi w chmurze i miejsca, w których leżą dane. Każda linia ma właściciela i mówi, do czego biznes tego używa.
NIS2 wymienia zarządzanie aktywami wśród środków. DORA wymaga od instytucji finansowych identyfikacji i dokumentowania aktywów oraz funkcji, które od nich zależą. Rozporządzenie wykonawcze dla wymienionych dostawców usług cyfrowych wymaga inwentarza. RODO wymaga rejestru czynności przetwarzania, czyli osobnej listy, a obie działają najlepiej, gdy są zgodne.
Zacznij od usług, bez których firma nie działa, i wypisz, co za nimi stoi. Potem poszerzaj listę. Pierwsza wersja będzie miejscami błędna i to nie szkodzi, jeśli ma właściciela i wyznaczoną datę następnego sprawdzenia.
podstawa NIS2 art. 21(2)(i); DORA art. 8(1). Metoda i kolejność są praktyką.
jak lista zasobów pozostaje prawdziwa
- 1znajdźprzeskanuj sieć, konta w chmurze i listę aplikacji w dostawcy tożsamości
- 2porównajzestaw to, co znaleziono, ze zobowiązaniami wobec dostawców i z samą listą
- 3przypiszkażdy wiersz dostaje właściciela, funkcję biznesową i krytyczność
- 4zasilłatanie, kopie zapasowe i przeglądy dostępu czytają z tej jednej listy
następne sprawdzenie, w terminie, który ma właściciela
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
przykład
Wyobraź sobie firmę ze 120 osobami i arkuszem z laptopami i serwerami.
Arkusz powstał na potrzeby audytu i nie ma właścicieli. Brakuje subskrypcji w chmurze kupionych kartą. Gdy dostawca ogłasza lukę w narzędziu, nikt nie umie powiedzieć, czy firma go używa.
Jedna lista obejmuje serwery, usługi w chmurze i zbiory danych, każdy zasób z właścicielem i funkcją. Dwa razy w roku porównuje się ją ze zobowiązaniami wobec dostawców i listą aplikacji. Pusty właściciel jest usterką i znika w ciągu kwartału.
To ilustracja, a nie opis prawdziwego przypadku.
co musi robić dla każdego przepisu
| przepis | gdzie | czego wymaga tekst | co musi robić zabezpieczenie |
|---|---|---|---|
| NIS2 | NIS2 art. 21(2)(i) | Bezpieczeństwo zasobów ludzkich, polityki kontroli dostępu i zarządzanie aktywami. | Prowadź listę systemów z właścicielem każdego z nich i aktualizuj ją, gdy coś kupujesz, wycofujesz albo przekazujesz komuś innemu. |
| IR 2024/2690 | IR 2024/2690 załącznik 12.4 | Wymienieni dostawcy usług cyfrowych: inwentarz zasobów. | Zapisz przy każdym zasobie właściciela i krytyczność, żeby inne zabezpieczenia dało się dobrać do tej krytyczności. |
| DORA | DORA art. 8(1) | Zidentyfikować i udokumentować funkcje, aktywa i zależności, z przeglądem co najmniej raz w roku. | Powiąż każdy zasób z funkcją biznesową, która od niego zależy, i przeglądaj listę co najmniej raz w roku. |
| RODO | RODO art. 30(1) | Rejestr czynności przetwarzania. | Oznacz zasoby, które przechowują dane osobowe, żeby rejestr czynności przetwarzania i lista zasobów były zgodne. |
podstawa NIS2 art. 21(2)(i); IR 2024/2690 załącznik 12.4 jako punkt odniesienia; DORA art. 8(1); RODO art. 30(1). To, co zabezpieczenie ma robić, jest praktyką.
na co patrzeć przy wyborze
- Czy narzędzie samo znajduje zasoby, czy ktoś musi je wpisywać? Lista, która zależy od ręcznego wpisywania, jest nieaktualna po kilku tygodniach.
- Czy obejmuje to, co pracownicy uruchamiają sami: konta w chmurze, subskrypcje kupione kartą, prywatne urządzenia używane do pracy?
- Czy przy zasobie można zapisać właściciela, funkcję biznesową, krytyczność i znacznik danych osobowych?
- Czy pokazuje powiązania, na przykład która aplikacja działa na którym serwerze i który dostawca go hostuje?
- Czy da się wyeksportować całą listę razem z historią w formie, którą przeczyta audytor?
- Czy oznacza zasoby bez właściciela, zasoby, których nikt dawno nie widział, i zasoby po wygaśnięciu wsparcia?
- Czy inne narzędzia mogą z niej czytać, żeby listy do łatania, kopii zapasowych i przeglądu dostępu wychodziły z jednego źródła?
- Kto może zmienić wpis i czy każda zmiana jest zapisywana?
podstawa praktyka
trzy poziomy, od pierwszego kroku do mocnego
Każdy poziom dodaje coś widocznego. Zatrzymaj się tam, gdzie pozwala na to ryzyko, które akceptujesz.
- start
Wypisz usługi, bez których firma nie działa, i to, co za nimi stoi. Każdemu wierszowi daj właściciela.
- solidnie
Dodaj usługi w chmurze i subskrypcje, porównaj listę ze zobowiązaniami wobec dostawców i listą aplikacji, a przy każdym wierszu oznacz dane osobowe.
- mocno
Zasilaj listę narzędziami do wykrywania, powiąż zasoby z funkcjami biznesowymi i dostawcami, a łatanie, kopie zapasowe i przeglądy dostępu niech czytają z niej.
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
gdzie się psuje
arkusz zbudowany raz
Lista zrobiona na potrzeby audytu i nigdy nieaktualizowana zaczyna się rozjeżdżać w dniu zapisania. Daj jej właściciela i datę odświeżenia.
tylko sprzęt
Usługi w chmurze, subskrypcje oprogramowania i zbiory danych niosą dziś większość wartości. Lista laptopów i serwerów ich nie obejmuje.
wiersz bez właściciela
Zasób bez wskazanego właściciela nie ma nikogo, kto decyduje, co się dzieje, gdy zawiedzie. Pusty właściciel to usterka.
ukryte zasoby zostają ukryte
Wszystko, co kupiono poza zakupami, nie trafia na listę. Porównaj ją ze zobowiązaniami wobec dostawców i listą aplikacji w dostawcy tożsamości.
jedna lista dla bezpieczeństwa, druga dla rejestru czynności
Dwie listy, które się różnią, nie odpowiadają na żadne z pytań. Prowadź jedną i dodaj znacznik danych osobowych.
podstawa praktyka
dowód, który zostawia
| co możesz pokazać | kto jest właścicielem | odświeżanie |
|---|---|---|
| lista zasobów z właścicielem, funkcją i krytycznością każdego wpisu | szef IT | dwa razy w roku |
| uzgodnienie ze zobowiązaniami wobec dostawców i listą aplikacji w dostawcy tożsamości | szef IT | dwa razy w roku |
| lista zasobów bez właściciela i zapis tego, co z nimi zrobiono | szef IT | kwartalnie |
| zapis corocznego przeglądu z datą i osobą, która go zatwierdziła | szef IT | raz w roku |
podstawa praktyka. Częstotliwość jest Twoim wyborem.
sprawdź sam
- Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690 (EUR-Lex)
- Rozporządzenie (UE) 2022/2554 (DORA) (EUR-Lex)
- Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)
twój następny krok
Wyeksportuj zobowiązania wobec dostawców i listę aplikacji w dostawcy tożsamości i policz usługi, których nie ma na Twojej liście zasobów.