NIS2, KSC, ISO 27001 i DORA w praktyce
/
Aplikacje biznesowe
/
NIS2, KSC, ISO ...

NIS2, KSC, ISO 27001 i DORA w praktyce

Cyberbezpieczeństwo jako system zarządzania odpornością biznesu

Michał Greś, Head of IT Infrastructure and Services Delivery w Komputronik Biznes

Jeszcze kilka lat temu cyberbezpieczeństwo w wielu organizacjach było postrzegane głównie jako obszar techniczny. Kojarzono je z firewallem, antywirusem, kopią zapasową, administratorem, który „pilnuje serwerów” oraz okresowym audytem, który trzeba było przejść, bo wymagał tego klient, regulator albo centrala.

Ten sposób myślenia przestał być wystarczający.

NIS2, polska ustawa o krajowym systemie cyberbezpieczeństwa, ISO/IEC 27001 oraz DORA pokazują bardzo wyraźnie, że cyberbezpieczeństwo nie jest już tylko ochroną infrastruktury IT. Jest systemem zarządzania ryzykiem, ciągłością działania, odpowiedzialnością organizacyjną i odpornością operacyjną firmy.

To zasadnicza zmiana. Jeśli cyberbezpieczeństwo jest częścią zarządzania firmą, nie można go sprowadzić do zakupu kolejnego narzędzia. Technologia może pomóc, ale nie zastąpi wiedzy o procesach, zasobach, danych, użytkownikach, uprawnieniach, zależnościach technologicznych i krytycznych funkcjach biznesowych.

Innymi słowy, zanim firma zacznie skutecznie chronić swój biznes, musi najpierw zrozumieć, z czego ten biznes naprawdę się składa.

Cztery pojęcia, jeden wspólny mianownik

NIS2, KSC, ISO 27001 i DORA często omawia się osobno. To błąd. W praktyce biznesowej te obszary wzajemnie się przenikają.

NIS2 wyznacza europejski kierunek wzmacniania cyberbezpieczeństwa podmiotów ważnych i kluczowych dla gospodarki oraz społeczeństwa. KSC przenosi ten kierunek na polski porządek prawny i określa konkretne obowiązki dla organizacji działających w określonych sektorach. ISO 27001 daje uporządkowany model budowy Systemu Zarządzania Bezpieczeństwem Informacji, czyli SZBI. DORA natomiast koncentruje się na cyfrowej odporności operacyjnej sektora finansowego, ale jej logika ma znaczenie znacznie szersze, bo pokazuje, jak myśleć o odporności procesów, dostawców, systemów i usług ICT, czyli technologii informatycznych i komunikacyjnych.

Każdy z tych obszarów ma inną funkcję, ale wszystkie prowadzą do tego samego celu: organizacja ma chronić poufność, integralność i dostępność informacji oraz usług, które są krytyczne dla jej działania.

Poufność oznacza, że do informacji dostęp mają tylko osoby i systemy, które powinny go mieć.

Integralność oznacza, że dane są kompletne, prawidłowe i nie zostały nieuprawnienie zmienione.

Dostępność oznacza, że systemy, informacje i procesy są osiągalne wtedy, gdy biznes ich potrzebuje.

To klasyczna triada bezpieczeństwa informacji. Ale w praktyce biznesowej nie jest to teoria z podręcznika. To pytanie, czy firma może wystawić fakturę, obsłużyć klienta, zrealizować produkcję, przyjąć zamówienie, wykonać przelew, obsłużyć zgłoszenie serwisowe, wysłać towar, uruchomić linię technologiczną albo udowodnić regulatorowi, że kontroluje swoje ryzyka.

Regulacje nie wymagają „papierowego bezpieczeństwa”. Wymagają zdolności organizacyjnej

Największym błędem firm przygotowujących się do NIS2, KSC, ISO 27001 czy DORA jest traktowanie tych wymagań jako projektu dokumentacyjnego.

Powstają polityki. Procedury. Rejestry. Matryce. Raporty. Czasami nawet bardzo ładne. Problem zaczyna się wtedy, gdy dokumentacja opisuje świat, który nie istnieje w praktyce operacyjnej.

Jeżeli organizacja deklaruje, że ma kontrolę dostępu, ale nie wie, ilu użytkowników ma uprawnienia administracyjne, to nie ma kontroli dostępu.

Jeżeli firma posiada procedurę klasyfikacji informacji, ale pracownicy wysyłają pliki z danymi klientów przez prywatne skrzynki, to nie zarządza informacją.

Jeżeli w rejestrze zasobów widnieją serwery i laptopy, ale nie ma powiązania z aplikacjami, procesami, dostawcami i właścicielami biznesowymi, to inwentaryzacja jest techniczna, nie zarządcza.

Jeżeli organizacja wdrożyła narzędzie do monitorowania, ale nikt nie analizuje zdarzeń, nie koreluje sygnałów i nie reaguje według scenariuszy, to monitoring jest dekoracją, a nie mechanizmem bezpieczeństwa.

Regulacje nie oczekują dekoracji. Oczekują zdolności: identyfikacji i ograniczania ryzyka, wykrywania incydentów, reagowania, odtwarzania działania oraz wykazania, że organizacja działa w sposób świadomy, mierzalny i nadzorowany.

Zarządzanie tożsamościami i dostępami, czyli kto naprawdę może dotknąć firmowych danych

Jednym z najważniejszych praktycznych obszarów wspólnych dla NIS2, KSC, ISO 27001 i DORA jest zarządzanie tożsamościami, dostępami i uprawnieniami.

W biznesowym języku chodzi o bardzo proste pytanie: kto, do czego, dlaczego i na jak długo ma dostęp?

W dojrzałej organizacji dostęp nie jest przywilejem nadawanym „na wszelki wypadek”. Dostęp jest kontrolowanym uprawnieniem wynikającym z roli, odpowiedzialności i rzeczywistej potrzeby biznesowej.

Tu pojawiają się pojęcia IAM, IGA i PAM.

IAM, czyli Identity and Access Management, obejmuje zarządzanie tożsamościami i dostępami użytkowników do systemów: kto loguje się do środowiska, jak jest uwierzytelniany i do jakich zasobów uzyskuje dostęp.

IGA, czyli Identity Governance and Administration, idzie krok dalej. Obejmuje przeglądy uprawnień, zatwierdzanie dostępów, cykl życia użytkownika, zgodność z politykami oraz dowodzenie, że dostęp został nadany, zmieniony lub odebrany zgodnie z zasadami.

PAM, czyli Privileged Access Management, dotyczy kont uprzywilejowanych: administratorów, kont serwisowych, kont technicznych i wszystkich dostępów, które w niewłaściwych rękach mogą stać się kluczem do całej organizacji.

Z perspektywy biznesu to nie jest „techniczna zabawa administratorów”. To fundament odpowiedzialności. Bo wiele incydentów nie zaczyna się od zaawansowanego ataku, ale od zbyt szerokich uprawnień, nieaktywnych kont, braku przeglądów, współdzielonych haseł, kont byłych pracowników albo dostępu nadanego kiedyś tymczasowo, który po latach nadal działa.

W praktyce zgodność z regulacjami zaczyna się od higieny uprawnień. Organizacja musi wiedzieć, kto ma dostęp do danych finansowych, kto może zmienić konfigurację systemu produkcyjnego, kto może eksportować bazę klientów, kto ma dostęp do kopii zapasowych i kto może wyłączyć zabezpieczenia.

Bez tego nie ma realnego bezpieczeństwa. Jest tylko nadzieja, że nikt nie zauważy bałaganu.

DLP, czyli ochrona danych przed wyciekiem, tj. zanim wyciek stanie się komunikatem kryzysowym

DLP, czyli Data Loss Prevention, to zestaw rozwiązań, procesów i zasad służących do zapobiegania utracie, wyciekowi lub nieuprawnionemu przesyłaniu danych.

Najprościej mówiąc: DLP pomaga odpowiedzieć na pytanie, czy wrażliwe informacje opuszczają organizację w sposób kontrolowany.

Dane mogą wyciekać różnymi drogami. Przez pocztę elektroniczną. Przez komunikatory. Przez prywatne dyski chmurowe. Przez nośniki USB. Przez błędnie skonfigurowane repozytoria. Przez wydruki. Przez eksporty z systemów. Przez przypadkowe załączenie niewłaściwego pliku. Przez pracownika, który nie ma złych intencji, ale nie rozumie, że arkusz z danymi klientów nie powinien trafić poza organizację.

W kontekście NIS2, KSC, ISO 27001 i DORA DLP nie jest wyłącznie narzędziem technologicznym. Jest elementem zarządzania informacją.

Aby DLP miało sens, firma musi najpierw wiedzieć, jakie dane są krytyczne: osobowe, finansowe, produkcyjne, techniczne, kontraktowe, klienckie, dostępowe, projektowe, zarządcze oraz te związane z incydentami i infrastrukturą.

Dopiero wtedy można określić, gdzie te dane są przechowywane, kto może je przetwarzać, jak można je przesyłać, kiedy powinny być szyfrowane i w jakich sytuacjach system powinien zablokować działanie albo wygenerować alert.

DLP jest więc praktycznym pomostem między polityką bezpieczeństwa a codziennym zachowaniem organizacji. Nie zastępuje świadomości pracowników, ale znacząco ogranicza skutki błędów, niedojrzałości procesów i nieuprawnionych działań.

Inwentaryzacja zasobów IT, czyli nie da się chronić czegoś, o czym organizacja nie wie

Jednym z najbardziej niedocenianych obszarów cyberbezpieczeństwa jest inwentaryzacja zasobów IT.

W wielu firmach istnieje lista sprzętu. Czasami nawet aktualna. Ale lista laptopów i serwerów to jeszcze nie jest mapa bezpieczeństwa organizacji.

Dojrzała inwentaryzacja powinna obejmować sprzęt, systemy, aplikacje, bazy danych, konta użytkowników, konta techniczne, usługi chmurowe, integracje, interfejsy API, dostawców, zależności między systemami, właścicieli biznesowych, poziom krytyczności oraz powiązanie zasobów z procesami biznesowymi.

To ważne, bo incydent rzadko dotyczy tylko jednego urządzenia. Jeśli atakujący przejmie konto użytkownika, może uzyskać dostęp do aplikacji zintegrowanej z systemem finansowym, usługą chmurową lub krytycznym procesem biznesowym.

Bez mapy zależności organizacja reaguje punktowo. Z mapą zależności może reagować zarządczo.

To szczególnie ważne w kontekście DORA, gdzie odporność operacyjna wymaga rozumienia zależności od usług ICT i dostawców zewnętrznych. Ale ta sama logika dotyczy NIS2, KSC i ISO 27001. Bez znajomości zasobów nie ma realnej oceny ryzyka. Bez oceny ryzyka nie ma priorytetów. Bez priorytetów cyberbezpieczeństwo staje się zbiorem przypadkowych działań.

IT-OT, czyli miejsce, w którym cyberbezpieczeństwo spotyka produkcję i infrastrukturę

Konwergencja IT-OT to jeden z najważniejszych tematów współczesnego bezpieczeństwa.

IT obejmuje klasyczne środowiska informatyczne: systemy biznesowe, aplikacje, serwery, sieci, chmurę, pocztę, urządzenia użytkowników.

OT, czyli Operational Technology, obejmuje technologie operacyjne sterujące procesami fizycznymi: automatykę przemysłową, systemy SCADA, sterowniki PLC, linie produkcyjne, systemy pomiarowe, urządzenia infrastruktury technicznej, rozwiązania wykorzystywane w energetyce, przemyśle, logistyce, wodociągach czy transporcie.

Przez lata te światy były oddzielone. IT obsługiwało biznes. OT obsługiwało produkcję i infrastrukturę. Dziś granica między nimi zanika.

System produkcyjny pobiera dane z ERP, linia technologiczna raportuje parametry do systemu analitycznego, utrzymanie ruchu korzysta z predykcji awarii, a dane z maszyn trafiają do chmury. Integracje przyspieszają decyzje i optymalizują koszty. To ogromna wartość biznesowa, ale również nowe ryzyko.

Atak na środowisko IT może wpłynąć na OT. Błąd w integracji może zaburzyć proces produkcyjny. Nieautoryzowany dostęp do sieci przemysłowej może mieć skutki fizyczne, finansowe i reputacyjne. Zatrzymanie systemu operacyjnego w fabryce, centrum logistycznym, podmiocie energetycznym czy instytucji infrastrukturalnej nie jest już tylko problemem IT. To problem ciągłości działania biznesu.

Dlatego organizacje objęte NIS2, KSC, ISO 27001 lub DORA powinny patrzeć na IT i OT jako na jeden ekosystem ryzyka, nawet jeśli technicznie są to różne środowiska.

W praktyce oznacza to konieczność segmentacji sieci, kontroli zdalnego dostępu, monitorowania ruchu, zarządzania podatnościami, klasyfikacji krytycznych zasobów, ustalenia procedur reagowania oraz ścisłej współpracy IT, automatyki, produkcji, bezpieczeństwa i zarządu.

Cyberbezpieczeństwo IT-OT nie polega na tym, aby zatrzymać transformację cyfrową przemysłu. Polega na tym, aby transformacja nie stworzyła niekontrolowanej powierzchni ataku.

Monitoring środowisk, czyli różnica między „coś się stało” a „wiemy, co się dzieje”

W dojrzałym cyberbezpieczeństwie nie chodzi tylko o zapobieganie incydentom. Chodzi również o szybkie wykrywanie, właściwą klasyfikację i skuteczną reakcję.

To wymaga monitorowania środowisk.

Monitoring bezpieczeństwa nie jest tym samym, co klasyczne monitorowanie dostępności systemów. Informacja, że serwer działa, nie oznacza, że jest bezpieczny. System może działać poprawnie, a jednocześnie przetwarzać nieautoryzowane zapytania, wysyłać dane poza organizację, wykonywać podejrzane procesy albo obsługiwać konto przejęte przez atakującego.

Dlatego organizacja potrzebuje monitoringu zdarzeń bezpieczeństwa: logowań, zmian uprawnień, aktywności administratorów, anomalii w ruchu sieciowym, działań na danych, alertów z systemów endpoint protection, zdarzeń z chmury, firewalli, systemów pocztowych, aplikacji biznesowych, systemów OT i usług zewnętrznych.

Sama liczba logów nie daje jednak bezpieczeństwa. Logi są surowcem. Wartość powstaje dopiero wtedy, gdy zdarzenia są korelowane, analizowane i przekładane na decyzje. To tu zaczyna się rola SOC, czyli centrum operacji bezpieczeństwa odpowiedzialnego za bieżące monitorowanie, analizę i obsługę zdarzeń cyberbezpieczeństwa.

SZBI, czyli ISO 27001 jako system operacyjny bezpieczeństwa informacji

ISO/IEC 27001 jest często kojarzone z certyfikatem. To zrozumiałe, ale zbyt wąskie spojrzenie.

Prawdziwa wartość ISO 27001 polega na tym, że standard porządkuje sposób zarządzania bezpieczeństwem informacji. Nie mówi wyłącznie, jakie zabezpieczenia wdrożyć. Wymaga, aby organizacja rozumiała kontekst, identyfikowała ryzyka, określała odpowiedzialności, wdrażała adekwatne środki, mierzyła skuteczność, prowadziła audyty, reagowała na niezgodności i stale doskonaliła system.

To właśnie SZBI, czyli System Zarządzania Bezpieczeństwem Informacji.

SZBI jest strukturą, która pozwala połączyć wymagania regulacyjne z praktyką organizacyjną. Dzięki niemu NIS2, KSC czy DORA nie muszą funkcjonować jako oddzielne światy dokumentacyjne. Mogą zostać osadzone w jednym spójnym systemie zarządzania ryzykiem bezpieczeństwa informacji.

W praktyce SZBI odpowiada na pytania:

  • Jakie informacje są kluczowe dla organizacji?
  • Jakie procesy zależą od tych informacji?
  • Jakie zasoby je przetwarzają?
  • Jakie ryzyka mogą naruszyć ich poufność, integralność lub dostępność?
  • Jakie zabezpieczenia są adekwatne?
  • Kto jest właścicielem ryzyka?
  • Jak często dokonujemy przeglądów?
  • Jak mierzymy skuteczność zabezpieczeń?
  • Jak reagujemy na incydenty?
  • Jak uczymy organizację i doskonalimy system?

To nie jest formalność. To fundament zarządzania cyberbezpieczeństwem.

DORA, czyli odporność cyfrowa jako lekcja dla całego rynku

DORA dotyczy sektora finansowego, ale jej logika jest uniwersalna: w nowoczesnej gospodarce nie wystarczy chronić systemów, trzeba zapewnić odporność operacyjną, czyli zdolność działania mimo zakłóceń.

DORA kładzie nacisk na zarządzanie ryzykiem ICT, raportowanie incydentów, testowanie odporności, zarządzanie ryzykiem dostawców oraz wymianę informacji. To bardzo praktyczne podejście, bo współczesna organizacja rzadko działa wyłącznie na własnej infrastrukturze. Zazwyczaj korzysta z chmury, SaaS, outsourcingu, usług integratorów, operatorów, fintechów, dostawców cyberbezpieczeństwa, platform komunikacyjnych i zewnętrznych API.

Każdy z tych elementów może być źródłem wartości. Każdy może być też źródłem ryzyka.

Dlatego pytanie nie brzmi już: czy mamy dostawcę?

Pytanie brzmi: czy wiemy, które krytyczne procesy zależą od którego dostawcy, jakie mamy zapisy umowne, jakie są czasy odtworzenia, kto odpowiada za incydent, jakie mamy plany wyjścia, czy testowaliśmy scenariusz awarii i czy umiemy utrzymać ciągłość działania?

To sposób myślenia, który powinien wyjść poza sektor finansowy. Bo każda firma, która zależy od technologii, zależy również od odporności swoich dostawców i własnego ekosystemu ICT.

SOC, SIEM i SOAR, czyli operacyjne centrum ciężkości cyberbezpieczeństwa

Na końcu tej układanki znajduje się SOC, czyli Security Operations Center.

SOC to nie jest jedno narzędzie. To funkcja operacyjna organizacji odpowiedzialna za monitorowanie bezpieczeństwa, analizę zdarzeń, wykrywanie zagrożeń, obsługę incydentów, eskalację, raportowanie i doskonalenie mechanizmów ochrony.

Sercem SOC często jest SIEM, czyli Security Information and Event Management. SIEM zbiera i koreluje zdarzenia z wielu źródeł: systemów, aplikacji, sieci, chmury, endpointów, usług bezpieczeństwa i infrastruktury. Dzięki temu pozwala zobaczyć nie pojedynczy sygnał, ale szerszy obraz sytuacji.

Obok SIEM coraz większą rolę pełni SOAR, czyli Security Orchestration, Automation and Response. SOAR pozwala automatyzować część reakcji na incydenty, uruchamiać scenariusze postępowania, integrować narzędzia i skracać czas od wykrycia zagrożenia do podjęcia działania.

W praktyce SOC jest miejscem, w którym regulacyjne wymagania zaczynają działać operacyjnie.

Polityka bezpieczeństwa mówi, co powinno być chronione. IAM i PAM kontrolują dostęp. DLP ogranicza wycieki. Inwentaryzacja pokazuje, jakie zasoby istnieją. Monitoring dostarcza sygnały. SZBI porządkuje zarządzanie. SOC wykrywa, analizuje i reaguje.

Bez SOC organizacja może mieć zabezpieczenia, ale nie mieć zdolności operacyjnej do prowadzenia ciągłej obserwacji i reakcji. A w świecie NIS2, KSC, ISO 27001 i DORA czas reakcji, jakość dowodów, klasyfikacja incydentu i możliwość raportowania stają się równie ważne jak sama prewencja.

Jak podejść do wdrożenia? Nie od technologii, lecz od mapy ryzyka

Firmy często zaczynają od pytania: jakie narzędzie kupić? Tymczasem właściwe pytanie brzmi: jaki problem biznesowy i regulacyjny musimy rozwiązać?

Dojrzałe podejście powinno przebiegać w logicznej kolejności. Najpierw należy ustalić, czy organizacja podlega pod NIS2, KSC, DORA lub inne wymagania sektorowe. Następnie trzeba zidentyfikować krytyczne procesy, informacje, systemy, dostawców i zależności technologiczne. Dopiero później można ocenić ryzyka, zaprojektować model SZBI, uporządkować dostępy, wdrożyć mechanizmy ochrony danych, zinwentaryzować zasoby, objąć środowisko monitoringiem i zbudować zdolność reagowania.

To nie jest projekt jednego działu. To praca na styku zarządu, IT, bezpieczeństwa, prawników, compliance, właścicieli procesów, HR, zakupów, produkcji, finansów i dostawców technologii.

Cyberbezpieczeństwo stało się odpowiedzialnością całej organizacji. Stawką jest ciągłość działania, zaufanie klientów, odpowiedzialność zarządcza i stabilność biznesu.

Największa wartość: spójność

NIS2, KSC, ISO 27001 i DORA nie powinny tworzyć czterech osobnych projektów.

Ich prawdziwa wartość pojawia się wtedy, gdy organizacja potraktuje je jako wspólną architekturę bezpieczeństwa i odporności. Jedna mapa procesów. Jedna klasyfikacja informacji. Jeden model zarządzania ryzykiem. Spójne rejestry zasobów. Kontrolowane dostępy. Monitorowane środowiska. Jasne role i odpowiedzialności. Powiązanie technologii z biznesem. SOC zdolny do wykrywania i reagowania. SZBI jako system zarządzania, a nie segregator dokumentów.

Wtedy zgodność regulacyjna przestaje być kosztem administracyjnym. Staje się narzędziem porządkowania organizacji.

A dobrze uporządkowana organizacja jest trudniejsza do zaatakowania, łatwiejsza do monitorowania, szybsza w reakcji, bardziej odporna na awarie i bardziej wiarygodna wobec klientów, partnerów, audytorów oraz regulatorów.

Podsumowanie

NIS2, KSC, ISO 27001 i DORA nie są tylko kolejnymi skrótami w świecie cyberbezpieczeństwa. Są sygnałem, że rynek wchodzi w etap dojrzałości, w którym nie wystarczy deklarować bezpieczeństwa. Trzeba je wykazać, utrzymać i stale doskonalić.

Dla biznesu oznacza to konieczność przejścia od reaktywnego IT do zarządzanej odporności cyfrowej.

  • Od przypadkowych uprawnień do kontroli tożsamości.
  • Od niepełnej listy sprzętu do mapy zasobów i zależności.
  • Od dokumentów bezpieczeństwa do działającego SZBI.
  • Od technicznego monitoringu do SOC zdolnego wykrywać, analizować i reagować.
  • Od zgodności na papierze do realnej ochrony poufności, integralności i dostępności informacji.

Bo cyberbezpieczeństwo nie polega dziś na tym, aby mieć więcej narzędzi niż konkurencja. Polega na tym, aby wiedzieć, co jest naprawdę ważne, jak to chronić i jak wykazać, że organizacja panuje nad własnym ryzykiem.

I właśnie w tym miejscu regulacje, normy ISO, technologia oraz praktyka biznesowa spotykają się w jednym punkcie – cyberodporności organizacji.

1. Pozostaw kontakt
2. Napisz wiadomość

Wybierz dogodną formę kontaktu

Z kim mamy przyjemność

Zgoda na przetwarzanie danych
Zgoda na newsletter
Ścieżka
Spis treści

AI w biznesie

Dlaczego dane i procesy są dziś ważniejsze niż sam model AI?

Czytaj artykuł