Tri skraćenice sve češće se pojavljuju u tenderima, upitnicima dobavljača i ugovorima sa klijentima: ISO 27001, GDPR i NIS2. Vlasnici srpskih firmi najčešće postavljaju isto pitanje: da li se ovo odnosi na nas ili samo na firme unutar Evropske unije?
Iskren odgovor je: zavisi čime se bavite i za koga radite. Ovaj tekst objašnjava sva tri okvira jednostavnim jezikom i pokazuje odakle dolazi stvarni pritisak. Reč je o opštim informacijama, a ne o pravnom savetu. Za obavezujuće odgovore obratite se pravniku koji poznaje zaštitu podataka i vašu delatnost.
ISO 27001: standard koji sami birate
ISO/IEC 27001 je međunarodni standard za sistem upravljanja bezbednošću informacija. Dobrovoljan je. Firma gradi sistem politika, procene rizika i kontrola, a nezavisno telo može da ga sertifikuje.
- Za koga je: za svaku firmu koja želi da dokaže da bezbedno rukuje informacijama, naročito IT pružaoce usluga, finansije, zdravstvo i sve koji rade sa velikim klijentima.
- Šta zahteva: procenu rizika, definisan obuhvat, dokumentovane politike, izabrane bezbednosne kontrole, interne provere i stalno unapređenje.
- Zašto je važan komercijalno: veliki klijenti i tenderi sve češće traže sertifikat ili bar dokaze o sličnim praksama.
GDPR: uredba EU o zaštiti podataka
GDPR štiti lične podatke ljudi u EU. Može da se primeni i na firmu van EU kada ona nudi robu ili usluge ljudima u EU ili prati njihovo ponašanje. Srbija ima sopstveni Zakon o zaštiti podataka o ličnosti, koji sledi istu logiku i mnoga ista načela, pa je praktičan posao sličan.
- Znajte svoje podatke: koje lične podatke imate, zašto, gde se čuvaju i ko im može pristupiti.
- Pravni osnov i transparentnost: jasan razlog obrade i obaveštenje o privatnosti koje ljudi razumeju.
- Bezbednost obrade: kontrola pristupa, šifrovanje gde je smisleno, backup i procedura za povredu podataka, uključujući obaveštavanje nadležnog organa u zakonskom roku.
- Obrađivači i ugovori: pisani ugovori sa svakim dobavljačem koji za vas obrađuje lične podatke.
NIS2: direktiva EU o sajber bezbednosti
NIS2 je direktiva EU koja pooštrava obaveze u oblasti sajber bezbednosti za „ključne“ i „važne“ subjekte u sektorima kao što su energetika, saobraćaj, zdravstvo, digitalna infrastruktura, pružaoci upravljanih usluga i drugi. Sprovodi se kroz nacionalne zakone država članica EU.
Srbija nije članica EU, pa se NIS2 ne primenjuje direktno na srpsku firmu. Srbija ima sopstvena pravila o informacionoj bezbednosti, sa posebnim obavezama za operatore IKT sistema od posebnog značaja. Ipak, NIS2 vas se tiče na dva praktična načina:
- Pritisak lanca snabdevanja. EU firma koja potpada pod NIS2 mora da upravlja bezbednošću svojih dobavljača. Očekujte upitnike, ugovorne klauzule i provere EU klijenata.
- Koristan orijentir. Njegove mere su razumna kontrolna lista i tamo gde nisu obavezne: upravljanje rizikom, rukovanje incidentima, kontinuitet poslovanja, bezbednost lanca snabdevanja, upravljanje ranjivostima i višefaktorska autentifikacija.
Sva tri jedno pored drugog
| ISO 27001 | GDPR | NIS2 | |
|---|---|---|---|
| Vrsta | Međunarodni standard | Uredba EU | Direktiva EU |
| Obavezno? | Ne, dobrovoljno | Da, ako se odnosi na vas | Da, za obuhvaćene EU subjekte |
| Fokus | Upravljanje bezbednošću informacija | Zaštita ličnih podataka | Sajber otpornost ključnih sektora |
| Dokaz | Nezavisna sertifikacija | Dokumentacija, evidencije, odgovornost | Mere i izveštavanje nadležnih organa |
Odakle početi na praktičan način
- Mapirajte podatke i sisteme. Ne možete zaštititi ono što niste popisali.
- Uradite procenu rizika. Prepoznajte nekoliko rizika koji zaista mogu da naškode poslovanju.
- Pokrijte osnove. Ažuriranje, backup, višefaktorska autentifikacija, kontrola pristupa, zaštita krajnjih tačaka i evidentiranje događaja.
- Napišite kratke, upotrebljive politike i plan odgovora na incidente, i jednom ga testirajte.
- Izaberite okvir. Ako klijenti traže sertifikat, ISO 27001 je prirodan put. Ako obrađujete lične podatke iz EU, dodajte rad na GDPR-u.
Savet: jedan dobro izgrađen program bezbednosti može da odgovori na većinu upitnika iz sva tri pravca. Jeftinije je odraditi posao jednom i uskladiti ga sa svakim okvirom nego voditi tri odvojena projekta.
Kako vam možemo pomoći
Alficom usklađuje IT infrastrukturu sa međunarodnim standardima kroz usluge strategije sajber otpornosti i usklađenosti: analiza površine napada, okviri ISO 27001 i GDPR, planiranje odgovora na incidente i upravljanje ranjivostima. Ako se pripremate za proveru klijenta, možemo da počnemo analizom odstupanja u odnosu na okvir koji vam treba.
