DORA и NIS2: какво ЕС вече очаква да тествате

DORA и NIS2 поставят конкретни изисквания към управлението и проверката на сигурността за организациите в техния обхват. Нужно е да уточните приложимите задължения и да планирате тестовете и доказателствата според тях. Статията е практическо въведение в това какво да проверите, а не правен съвет.

DORA: оперативна устойчивост във финансите

DORA установява задължения за оперативна устойчивост за финансовите субекти в обхвата и отделна рамка за надзор на определените критични външни доставчици на ИКТ услуги. Финансовите субекти се нуждаят от програма за тестове според риска. TLPT се прилага за субекти, определени от компетентните органи по DORA и приложимите RTS; стандартен тест за проникване не замества този регулиран процес.

NIS2: значително по-широк обхват

NIS2 изисква пропорционални мерки за управление на киберриска, включително политики и процедури за оценка на ефективността им. Оценка на уязвимости и тестове за проникване могат да подкрепят доказателствата, но точните задължения, обхват и честота зависят от субекта, националното прилагане и приложимите правила или надзорни изисквания. Директивата не е универсално изискване за ежегоден penetration test.

Как да се подготвите

• Установете какво се прилага. Определете кой режим ви покрива и за кои системи и доставчици.
• Направете тестването програма. Повтарящ се ритъм, обвързан с риска, а не едно годишно отмятане.
Потвърдете приложимостта на TLPT с компетентния орган. Когато е изискуем, планирайте разузнаването, продукционния обхват, пригодността на доставчика и рисковите контроли предварително. Пазете съответните доказателства. Доклади, рискови решения, проследяване на поправки и повторни тестове подпомагат оценката; никой документ сам не гарантира съответствие.
• Съотнасяйте констатациите към контроли. Работете с тестери, които могат да свържат всяка констатация със задължението, което тя подкрепя.

Общата нишка е, че регулаторите вече искат да видят, че вашите контроли работят, тествани независимо и документирани. Организациите, за които това ще бъде лесно, са онези, които вече тестват сериозно; останалите трябва да наваксат.

Веригата ви на доставки също е в обхвата

И двата режима умишлено гледат отвъд собствения ви периметър. DORA изрично покрива критичните ИКТ доставчици — трети страни, с очаквания за надзор и тестване, които се пренасят към тях. NIS2 въвежда управлението на риска по веригата на доставки директно в изискваните мерки. Практическото последствие е двустранно: тестването на собствените ви системи е необходимо, но вече не достатъчно — ще се очаква да покажете каква увереност притежавате относно доставчиците, от които зависите, и все по-често вие ще бъдете доставчикът, от когото се иска да осигури тази увереност на своите клиенти. Чист, независим отчет от тест бързо се превръща в минимално изискване за продажби към регулирани купувачи.

Започнете с честна оценка на пропуските

Преди каквото и да е тестване разберете къде стоите в действителност. Кратка оценка на пропуските спрямо съответния режим превръща неясно правно задължение в приоритизиран план: кои системи са в обхвата, кои мерки вече съществуват и къде са действителните дупки. Тя също ви казва кое тестване да бъде направено първо, така че бюджетът ви да отиде към пропуските, които имат значение, вместо към повторно потвърждаване на това, което вече работи.

Как протича тест, воден от заплахи: етапите на TIBER-EU на практика

За субектите със задължителен TLPT DORA и RTS определят процеса, съобразен с TIBER-EU. Структурата на TIBER-EU има фази за подготовка, тестване и приключване; тестването включва threat intelligence и активен red team. Четирите направления по-долу са практическо разделение, а не четири официални основни фази.

• Подготовка. Обхватът се договаря с органите и с контролен екип вътре в субекта; установяват се критичните функции и поддържащите системи, които трябва да бъдат задействани; а ангажиментът, ролите и контролът на риска се въвеждат, преди да започне каквото и да е тестване.
• Разузнаване на заплахите. Отделен доставчик изгражда целеви профил на заплахите, произвеждайки реалистични сценарии, базирани на участниците, които е най-вероятно да атакуват организация от вашия тип. Намерението е тестът да отразява правдоподобни противници, а не общ контролен списък.
• Red team. Тестерите се опитват да постигнат договорените цели по сценария срещу работещи продукционни системи, под строгия надзор на контролния екип, емулирайки поведението, водено от разузнавателната информация, вместо просто да сканират за известни слабости.
• Приключване. Констатациите се документират, възпроизвеждат и обсъждат, често чрез purple team упражнение, при което нападатели и защитници преминават през това какво е било и какво не е било открито, последвано от планиране на отстраняването и отчитане пред съответните страни.

Пропорционалност: как се степенуват задълженията

Нито един от двата режима не очаква малък субект да прави това, което прави системно значим. И двата са изградени върху пропорционалност, което означава, че това, което е „подходящо“, зависи от размера на организацията, естеството и сложността на дейностите ѝ, изложеността ѝ на риск и колко критични са услугите ѝ.

• По NIS2 задълженията се различават между съществените и важните субекти, а мерките за управление на риска се очаква да бъдат пропорционални на рисковете, пред които действително са изправени, а не еднакви за всяка организация.
• По DORA пълната рамка за управление на ИКТ риска се прилага широко, но най-тежките задължения, включително тестването, водено от заплахи, падат върху субектите, определени като значими въз основа на установени критерии.
• Пропорционалността не е разрешение да се прави по-малко от базовото ниво. Тя оформя дълбочината и честотата; не премахва основните задължения да се управлява риск, да се тества и да се докаже, че мерките работят.

Доказателства, съхранение и срокове за докладване на инциденти

Повтаряща се тема в двата режима е, че вече не е достатъчно да имате контроли; трябва да можете да покажете, че съществуват, че се прилагат и че ефективността им е била оценена. На практика това означава да пазите трайни, датирани доказателства: политики и историята на одобряването им, оценки на риска, обхвати и резултати от тестове, проследяване на отстраняването и записи на решенията.

• Съхранение. Третирайте доказателствата като нещо, което надзорен орган може да поиска да види по-късно. Пазете ги подредени, с контрол на версиите и със срок, съобразен с изискванията на вашия сектор и собствените ви политики, вместо да ги изхвърляте, щом един тест бъде приключен.
• Докладване на инциденти. И двата режима налагат задължения за уведомяване при значими или големи инциденти и те вървят по стегнати, поетапни срокове, които обикновено започват с ранно предупреждение скоро след откриването на инцидент, следвано от по-подробен доклад и, по-късно, окончателен доклад. Точните поводи, прагове и крайни срокове са установени в регулациите и техническите стандарти за вашия режим и сектор.
• Упражнете пътя на докладване, преди да ви потрябва: кой обявява инцидент, кой уведомява, кого и в какъв срок.

От констатациите към защитните контроли и отговорните лица

Тестът за проникване или TLPT дава най-голяма стойност, когато всяка констатация е съотнесена обратно към конкретно изискване за контрол, така че отстраняването да е проследимо, а не случайно. Свържете една констатация с мярката, към която се отнася, например контрол на достъпа, шифроване, журналиране и наблюдение, управление на уязвимостите или надзор над веригата на доставки, и запишете решението за риска и отговорника за отстраняването за всяка от тях.

• Това съотнасяне превръща отчета от теста в доказателство, че мерките ви за управление на риска се оценяват и подобряват — което е точно това, което и двата режима очакват.
• Отговорността е на върха. И DORA, и NIS2 изтласкват отговорността към управителните органи: от тях се очаква да одобряват и надзират уредбата за управление на риска, а ръководството може да бъде държано отговорно за провали. Управлението, обучението и документираният надзор са част от съответствието, не нещо допълнително.