Kde máte medzery? NIS2 a GAP analýza v praxi

Na základe úvodnej analýzy rizík, ktorá identifikuje najslabšie miesta a najcennejšie aktíva organizácie, je kľúčovým krokom implementácia a hodnotenie bezpečnostných opatrení. V tomto kontexte je najčastejšie využívaným nástrojom tzv. gap analýza. Tento proces nielenže odhaľuje „gapy“, teda rozdiely medzi súčasným stavom bezpečnostných opatrení a ideálnym cieľovým stavom, ale zároveň poskytuje jasný plán na zlepšenie a minimalizáciu potenciálnych bezpečnostných rizík.

V prípade priemyslu, kde eskalácia bezpečnostných hrozieb môže negatívne ovplyvniť alebo úplne paralyzovať veľké technologické celky, môže gap analýza poukázať na nevyhnutné technologické a procesné zmeny. Na základe zistených rozdielov môžu firmy efektívne alokovať zdroje na najkritickejšie oblasti, čím optimalizujú svoje investície do bezpečnosti a zároveň znižujú riziká finančných a reputačných strát.

Pri realizácií gap analýzy je dôležité stanoviť jasné kritériá na porovnanie súčasného stavu s požadovaným stavom, ako aj definovať merateľné parametre (KPI), ktoré umožnia merať pokrok a efektivitu prijatých opatrení. Táto metodika nielenže pomáha spĺňať regulačné požiadavky, stanovené smernicou NIS2, ale tiež výrazne prispieva k budovaniu silnejšej obrannej línie proti kybernetickým hrozbám. Je na mieste otázka, s čím sa máme porovnávať, čo by mal byť ten požadovaný cieľový stav? Na túto otázku sme si už vlastne odpovedali, cieľovým stavom je súlad s požiadavkami smernice NIS2 a v blízkej budúcnosti to bude nový zákon o kybernetickej bezpečnosti.

Vzťah gap analýzy a auditu kybernetickej bezpečnosti

Na Slovensku sa stalo dobrou praxou, že organizácie si nechávajú vypracovať gap analýzu pred oficiálnym auditom kybernetickej bezpečnosti, povinným zo zákona. V čom je teda rozdiel? Na prvý pohľad v ničom, keďže gap analýza je vlastne „malým“ auditom, z ktorého ale organizácii nevyplývajú žiadne povinnosti. Organizácia ho podstupuje dobrovoľne. Výsledky gap analýzy nie sú záväzné, metodika môže byť akákoľvek. S „veľkým“ auditom je spoločný iba štandard, s ktorým sa porovnávame.

Výhodou kvalitne spracovanej gap analýzy je, že organizácia vie, na čom je. Ak ju robí kvalitný audítor, tak rozdiel medzi auditom a gap analýzou bude minimálny. Stále tu je však otázka, prečo ju vôbec robiť? Je to ďalší náklad navyše. Jednoducho preto, že keď si organizácia rozumne časovo zladí gap analýzu voči auditu, tak vie ešte pred samotným auditom implementovať niektoré opatrenia a v oficiálnom audite bude úroveň zhody vyššia. Samozrejme, audit nie je súťaž o lepšie percentuálne skóre, ale treba vnímať fakt, že nápravné opatrenia z auditu sú záväzné, a teda ich neimplementovanie môže byť dôvodom na udelenie sankcie. Ďalším dôvodom je aj to, že každý rozumný audítor, ak sa dozvie, že organizácia vykonáva aj gap analýzu, tak chápe, že organizácia ku kybernetickej bezpečnosti pristupuje zodpovedne. Organizácia si takto často dokáže zlepšiť svoju pozíciu u audítora.

Praktické využitie

Nemá zmysel robiť analýzu pre analýzu. Organizácie môžu z gap analýzy profitovať najviac vtedy, ak ju budú systematicky využívať ako zdroj podnetov na trvalé zvyšovanie úrovne kybernetickej bezpečnosti. Je dôležité si uvedomiť, že tento proces by mal byť dynamický a pravidelne aktualizovaný. Kybernetické hrozby sa stále vyvíjajú a preto je nevyhnutné, aby sa akékoľvek analytické činnosti v oblasti kybernetickej bezpečnosti nevnímali ako jednorazový úkon, ale ako súčasť trvalej stratégie kybernetickej bezpečnosti.

Efektívne využitie odporúčaní vyžaduje jasné definovanie priorít pri implementácii. Prioritizácia by mala zohľadňovať nielen potenciálne následky hrozieb, ale aj pravdepodobnosť ich výskytu a možné náklady na zmiernenie rizika. Vďaka gap analýze sú organizácie schopné identifikovať medzery v kybernetickej odolnosti a tiež navrhnúť najefektívnejšie spôsoby, ako tieto medzery riešiť.

Často sa tiež stáva, že organizácie identifikujú potreby vzdelávania zamestnancov v oblasti kybernetickej bezpečnosti. Vedomosti a povedomie zamestnancov sú často považované za slabé miesto v kybernetickej odolnosti organizácie, a preto je dôležité, aby boli všetci zamestnanci pravidelne informovaní o najnovších hrozbách a všeobecné povedomie o kybernetickej bezpečnosti bolo udržiavané na najvyššej možnej úrovni.

Šmejdi útočia

Oblasť kybernetickej bezpečnosti má dlhodobo na Slovensku slušnú povesť najmä preto, že tejto oblasti sa vyhýbali rôzne pochybné firmy, ktoré okamžite začínajú podnikať všade tam, kde identifikujú dostatok príležitostí. Komunita kybernetickej bezpečnosti sa s takýmito „rýchlokvasenými“ odborníkmi vždy vedela vyrovnať a akosi nenásilne ich eliminovať, prípadne sami pochopili, že táto oblasť je nad ich schopnosti.

Príležitosť však robí zlodeja a začínajúca panika na trhu v súvislosti s NIS2 ženie týmto „šmejdom“ vodu na mlyn. A tak sa stáva, že sa z odborníkov na GDPR (nie, GDPR nemá s kybernetickou bezpečnosťou naozaj nič spoločné…), opravárov kočíkov, servisných IT firiem a iných rýchlokvasených pseudoodborníkov na kybernetickú bezpečnosť, stávajú aj experti na NIS2. Žiaľ, pri ich obrovskej chuti po zisku strácajú úplne všetky zábrany a už si s nimi nedokáže poradiť ani odborná komunita. Môžeme na nich len upozorňovať. Cítime zodpovednosť, tak to robíme.

Kybernetická bezpečnosť v priemysle má ešte jeden špecifický problém. Začali sa nám zázračne rodiť „experti“ na OT a priemysel, ktorí sa regrutujú z radov IT expertov na kybernetickú bezpečnosť. Na prvý pohľad na tom nie je nič zlé, ale odborníkom sa nestane niekto, kto si odsedí napríklad päť dní na školení v Londýne. Pri všetkej úcte, asi by ste nechceli, aby vám operoval mozog kardiológ. Nie je lekár ako lekár, nie je expert ako expert, aj keď v zdanlivo podobnej oblasti.

S našimi skutočnými expertmi so spoločnosti TÜV SÜD určite nestúpite vedľa, máme reálne skúsenosti. Veľmi radi vám pomôžeme a podelíme sa so skúsenosťami.