Una dintre cele mai concrete cerințe ale NIS2 este să ții o serie de registre și inventare actualizate. Nu sunt documente pe care le faci o dată și rămân într-un folder, ci evidențe actualizate, rezultate din procesele operaționale și de securitate, pe care le prezinți la audit. Un auditor nu se uită doar dacă registrul sau dovezile există, ci dacă acestea sunt actualizate, coerente cu realitatea și corelate cu celelalte.
Registrele care contează cel mai des
- Inventarul de active hardware și software: ce echipamente și aplicații se regăsesc în organizație, cine răspunde de ele, cât sunt de critice.
- Inventarul și clasificarea datelor: ce date deții, unde sunt stocate, cât sunt de sensibile.
- Registrul furnizorilor: furnizorii critici, serviciile lor și evaluarea riscului asociat.
- Registrul de riscuri: riscurile identificate, cu impact, probabilitate, proprietar și tratarea lor.
- Registrul de vulnerabilități: vulnerabilitățile identificate și stadiul remedierii lor.
- Registrul de incidente: evenimentele de securitate, cu trasabilitate, decizii și notificări.
- Jurnalele de audit și evidența copiilor de rezervă, inclusiv testele de restaurare.
- Registrul de identități și acces și evidența excepțiilor aprobate.
De ce Excel-ul te trădează exact la audit
Fiecare registru pare gestionabil separat. Problema apare la corelări: un activ trebuie să apară în inventar, să fie legat de datele pe care le procesează, de furnizorul care îl întreține, de riscurile și vulnerabilitățile lui. Pe fișiere aleatorii, aceste corelări nu există sau sunt insuficiente, versiunile se contrazic, iar auditorul identifică imediat neconformitățile. Rezultatul: pierzi timp să reconstruiești procesul chiar în momentul în care ai cea mai mare nevoie de el.
Cum arată bine
Un sistem sănătos ține registrele într-un singur loc, cu corelări între ele, cu control al modificărilor, responsabili clari și revizuiri periodice. Atunci registrele nu mai sunt o problemă administrativă, ci încep să aibă sens: îți arată din timp unde ești expus și îți pregătesc dovezile pentru audit. Exact pe ideea asta este construită platforma Certudo.