co zrobić
Zadania, których wymaga większość tych przepisów. Każda strona mówi, co zdecydować, kto za to odpowiada, co zbudować, jaki dowód zostaje i co idzie źle.
- zgłaszanie incydentówDla zarządu i właściciela IT: jedno zdarzenie może uruchomić trzy terminy naraz, każdy wobec innego organu. Godziny łatwo zapamiętać. Trudne jest to, że ktoś musi mieć prawo powiedzieć, że to się liczy, zanim śledztwo się skończy.
- ryzyko dostawcówAwarie Twoich dostawców liczą się jako Twoje. NIS2, DORA i RODO wymagają tego samego: wiedzieć, kim są dostawcy, sprawdzać ich proporcjonalnie i wpisać bezpieczeństwo do umowy.
- odpowiedzialność zarząduDla członków zarządu i przewodniczącego: decyzje o bezpieczeństwie wymagają teraz podpisu członka zarządu. Zarząd nie musi rozumieć reguł zapory sieciowej. Musi widzieć ryzyka, koszt i wybór, zdecydować i umieć pokazać, że to zrobił.
- kontrola dostępuDla właściciela IT: kto może wejść, kto to zatwierdził i kiedy ostatnio ktoś to sprawdził. NIS2, DORA i RODO pytają o to samo, więc jeden porządny przegląd odpowiada na wszystkie trzy.
- ocena ryzykaKażdy z tych przepisów wymaga środków odpowiednich do ryzyka. Krótka pisemna ocena pozwala wykazać, że Twoje takie są, i daje uczciwy powód, by zrobić mniej tam, gdzie ryzyko jest niskie.
- kopie zapasowe i odtwarzanieDla właściciela IT i prezesa: kopia zapasowa liczy się dopiero po tym, jak ją odtworzysz. Jedno odtworzenie z pomiarem czasu mówi więcej niż plan i zostawia zapis, że zabezpieczenie działa.
- szkoleniaNIS2, DORA i RODO wymagają szkoleń, a AI Act dodaje własny. Jeden mały program z jedną listą obecności odpowiada na wszystkie. Porażką, która wychodzi na jaw, jest brak zapisu.
- łatanie i sprawdzanie, czy działaŁataj według spisanego harmonogramu, obsługuj zgłoszenia, które przychodzą, i raz w roku sprawdzaj, czy reszta Twoich zabezpieczeń działa. Firmy pomijają ostatnią część, bo nic się nie psuje, gdy to robią.
twój następny krok
Nie wiesz, które z nich Cię obejmują? Kilka pytań to rozstrzygnie.