Atliekame kibernetinio saugumo auditą įmonėms ir organizacijoms Lietuvoje – pagal atnaujintą Lietuvos Respublikos kibernetinio saugumo įstatymą, kuriuo įgyvendinta ES NIS2 direktyva (Network and Information Security Directive 2, lietuviškai – TIS2), ir Nacionalinio kibernetinio saugumo centro (NKSC) patvirtintą audito metodiką. Vertiname tiek biuro IT (informacinių technologijų) sistemas, tiek pramonės ir energetikos OT (Operational Technology – operacinių technologijų) aplinką.
Audito rezultatas – aiški ataskaita, kurią galite pateikti priežiūros institucijai, ir prioritetizuotas veiksmų planas, ką taisyti pirmiausia.
Kam kibernetinio saugumo auditas yra privalomas?
Atnaujintas Kibernetinio saugumo įstatymas įsigaliojo 2024 m. spalio 18 d. Juo nustatyta, kad kibernetinio saugumo subjektai ne rečiau kaip kartą per 3 metus privalo atlikti kibernetinio saugumo auditą pagal NKSC patvirtintą metodiką.
Kibernetinio saugumo subjektai skirstomi į dvi grupes:
- Esminiai subjektai – didesnės organizacijos ypatingos svarbos sektoriuose: energetikos, transporto, bankininkystės, sveikatos priežiūros, geriamojo vandens, skaitmeninės infrastruktūros, viešojo administravimo ir kt.
- Svarbūs subjektai – organizacijos kituose itin svarbiuose sektoriuose, pvz., gamybos, maisto, chemijos, atliekų tvarkymo, pašto ir kurjerių, skaitmeninių paslaugų teikėjai.
Pareigos atsiranda nuo įtraukimo į Kibernetinio saugumo subjektų registrą. Tai, ar jūsų įmonė yra subjektas, galite pasitikrinti NKSC registre arba per nemokamą pirminį pokalbį su mumis.
Atskiras privalomas auditas taikomas ir elektrinėms bei energijos kaupimo įrenginiams, kurių galia viršija 100 kW – plačiau: saulės elektrinių kibernetinio saugumo auditas.
Net jei auditas jums neprivalomas, jį dažnai reikalauja didieji klientai, investuotojai ar draudikai – ypač jei jūs patys esate NIS2 subjekto tiekėjas.
Kodėl auditą verta atlikti laiku?
- Baudos ir nurodymai. Už įstatymo reikalavimų nevykdymą NKSC gali skirti baudas ir privalomus nurodymus, o vadovams numatyta asmeninė atsakomybė.
- Ribotas laikas reikalavimams įgyvendinti. Įregistruoti subjektai organizacinius reikalavimus turi įgyvendinti per 12 mėnesių, techninius – per 24 mėnesius. Auditas parodo, kiek liko padaryti.
- Realios grėsmės. Išpirkos reikalaujančios programos, nuotolinės prieigos išnaudojimas ir tiekėjų grandinės atakos dažniausiai pasiekia tas sistemas, kurių niekas seniai netikrino.
- Reputacija ir klientų pasitikėjimas. Dokumentuotas auditas – stiprus argumentas derybose su klientais ir partneriais.
Kokiais standartais ir metodikomis remiamės
Auditą atliekame pagal NKSC metodiką ir Kibernetinio saugumo reikalavimų aprašą, o metodiškai remiamės tarptautiniais standartais, pritaikytais jūsų aplinkai:
- ISO/IEC 27001 – tarptautinis informacijos saugumo valdymo sistemos (ISVS) standartas. Tinka organizacinėms priemonėms, politikoms, rizikų valdymui ir IT aplinkai vertinti.
- IEC 62443 (ISA/IEC 62443) – tarptautinis pramonės automatizavimo ir valdymo sistemų kibernetinio saugumo standartas. Taikome energetikos objektams, gamybos linijoms, SCADA (Supervisory Control and Data Acquisition – priežiūros ir duomenų rinkimo) ir PLC (Programmable Logic Controller – programuojamų loginių valdiklių) sistemoms. Vertiname zonas ir kanalus, nuotolinę prieigą, rangovų teises ir sistemos saugumo lygį. Plačiau – IEC 62443 diegimas.
- NIST CSF 2.0 (National Institute of Standards and Technology Cybersecurity Framework – JAV standartų instituto kibernetinio saugumo sistema) – naudojame brandai įvertinti ir veiksmų plano prioritetams nustatyti.
Standartų derinys parenkamas pagal jūsų veiklą: biuro aplinkai daugiausia taikome ISO/IEC 27001, pramonės ir energetikos objektams – IEC 62443.
Kokius auditus atliekame
- Kibernetinio saugumo auditas pagal NIS2 / Kibernetinio saugumo įstatymą – esminiams ir svarbiems subjektams, pagal NKSC metodiką.
- OT kibernetinio saugumo auditas – gamyklos, energetikos objektai, vandentvarka, pastatų automatika.
- Saulės elektrinių kibernetinio saugumo auditas – elektrinėms ir kaupikliams virš 100 kW, pasirengimas saugumo atitikties deklaracijai ESO (Energijos skirstymo operatoriui).
- IT saugumo auditas – biuro infrastruktūra, debesijos paslaugos, prieigų valdymas.
- ISO 27001 vidaus auditas – organizacijoms, kurios ruošiasi sertifikavimui arba jį palaiko.
Kaip vyksta kibernetinio saugumo auditas
- Nemokamas pirminis pokalbis. Aptariame jūsų veiklą, reguliacinį statusą ir lūkesčius. Po pokalbio žinote, kurie reikalavimai jums taikomi.
- Apimtis ir pasiūlymas. Suderiname vertinamas sistemas, padalinius, leidžiamus techninius veiksmus ir terminus. Gaunate fiksuotos kainos pasiūlymą.
- Duomenų rinkimas. Peržiūrime dokumentaciją, kalbamės su vadovybe, IT, automatikos ir eksploatacijos specialistais, atliekame apžiūrą vietoje ir saugią techninę patikrą.
- Rizikų ir neatitikčių analizė. Kiekvieną radinį susiejame su konkrečiu įstatymo ar standarto reikalavimu ir įvertiname jo poveikį verslui.
- Ataskaita ir pristatymas. Pateikiame ataskaitą, vadovybės santrauką ir prioritetizuotą veiksmų planą, juos aptariame su atsakingais asmenimis.
Ką gaunate po audito
- Kibernetinio saugumo audito ataskaitą, parengtą pagal NKSC metodiką.
- Vadovybei skirtą santrauką be techninio žargono.
- Prioritetizuotą veiksmų planą: ką taisyti per 30 dienų, per 6 mėnesius ir per metus.
- Aiškų vaizdą, kiek jūsų organizacija atitinka Kibernetinio saugumo įstatymo reikalavimus.
- Galimybę po audito tęsti darbą kartu – padėti įgyvendinti planą arba tapti jūsų kibernetinio saugumo vadovu (CISO paslaugos).
Kodėl rinktis mus
- Patirtis energetikoje ir pramonėje. Esame atlikę 10 saulės elektrinių ir hidroelektrinės kibernetinio saugumo auditų, teikiame CISO (Chief Information Security Officer – informacijos saugumo vadovo) paslaugas.
- Kvalifikacija. ISO/IEC 27001 Lead Auditor sertifikatas, NKSC pažymėjimas kibernetinio saugumo vadovo paslaugoms teikti, IEC 62443 ir INL (Idaho National Laboratory) pramoninių valdymo sistemų kibernetinio saugumo mokymų (ICS 300, ICS 401) sertifikatai.
- IT ir OT vienoje vietoje. Nereikia dviejų skirtingų tiekėjų biurui ir gamybai.
- Verslo kalba. Vadovaujančio finansų vadovo patirtis padeda rizikas įvertinti pinigais ir rasti sprendimus, atitinkančius biudžetą.
- Konfidencialumas. Su audito duomenimis dirbame tik pagal sutartas sąlygas, techniniai veiksmai iš anksto suderinami ir nesutrikdo veiklos.
Dažniausiai užduodami klausimai
Kas kiek laiko privaloma atlikti kibernetinio saugumo auditą?
Kibernetinio saugumo subjektai auditą privalo atlikti ne rečiau kaip kartą per 3 metus pagal NKSC patvirtintą metodiką.
Kaip sužinoti, ar mano įmonė yra kibernetinio saugumo subjektas?
Subjektus nustato NKSC ir įtraukia į Kibernetinio saugumo subjektų registrą. Jei nesate tikri, per nemokamą pokalbį padėsime įvertinti jūsų sektorių ir dydį.
Kuo skiriasi auditas pagal ISO/IEC 27001 ir pagal IEC 62443?
ISO/IEC 27001 vertina organizacijos informacijos saugumo valdymą ir IT aplinką. IEC 62443 skirtas pramonės automatizavimo ir valdymo sistemoms – gamybos įrenginiams, elektrinėms, SCADA sistemoms. Jei turite abi aplinkas, auditą atliekame pagal abu standartus.
Kiek kainuoja kibernetinio saugumo auditas?
Kaina priklauso nuo organizacijos dydžio, padalinių ir sistemų skaičiaus bei to, ar vertinama OT aplinka. Po pirminio pokalbio pateikiame fiksuotos kainos pasiūlymą.
Ar auditą atliekate visoje Lietuvoje?
Taip. Dalį darbų atliekame nuotoliu, o apžiūras vietoje – visoje Lietuvoje.
Ar galite padėti ištaisyti audito metu nustatytas spragas?
Taip. Padedame įgyvendinti veiksmų planą arba tampame jūsų kibernetinio saugumo vadovu. Tokiu atveju kitą privalomą auditą, siekiant nepriklausomumo, rekomenduojame atlikti kitam auditoriui.
Pradėkime nuo aiškaus vaizdo
Per pirmą nemokamą pokalbį įvertinsime, kurie reikalavimai – Kibernetinio saugumo įstatymas (NIS2), IEC 62443, CRA (Cyber Resilience Act – ES kibernetinio atsparumo aktas) ar Elektros energetikos įstatymas – taikomi jūsų įmonei ir ką verta daryti pirmiausia.