NIS2: neyi kanıtlayabilmeniz gerekiyor

Bu size hangi yoldan ulaşır

NIS2 enerji, ulaştırma, bankacılık, sağlık, içme suyu, dijital altyapı, kamu yönetimi, posta hizmetleri, atık, kimya, gıda, imalat ve dijital sağlayıcılar gibi sektörlerdeki temel ve önemli kuruluşları kapsar. Ancak bu bir Avrupa Birliği düzenlemesidir: Türkiye’de yerleşik bir şirket doğrudan kapsamına girmez.

Buradaki yol sözleşmedir. Kapsam içindeki bir AB kuruluşuna tedarik ediyorsanız, o kuruluşun tedarik zinciri yükümlülükleri sözleşme aracılığıyla sizin yükümlülüğünüze dönüşür. Deneyimimize göre şirketlerin çoğu bunu şöyle öğrenir: bir müşteri, geçen yıl var olmayan bir güvenlik anketi gönderir.

Gerçekte istediği beş şey

Her satırın bir ürün değil bir belge olduğuna dikkat edin. Piyasadaki en iyi güvenlik duvarına sahip olup yine de evrak işinde kalabilirsiniz.

24 saatlik sayaç

Önemli bir olay, öğrenilmesinden itibaren 24 saat içinde erken uyarıyla, 72 saat içinde daha kapsamlı bir bildirimle ve bir ay içinde nihai raporla bildirilmelidir. Sayacın olayın gerçekleştiği anda değil öğrenildiği anda başladığını fark edene kadar yirmi dört saat cömert görünür; o an da genellikle gecenin ortası ya da bir cumartesidir.

Bu süreyi atlatılabilir kılan şey, olayı kimin ilan edeceğine, bildirimi kimin yazacağına ve kanıtın nerede olduğuna önceden karar vermektir. Tek sayfaya yazılmış bu üç yanıt, epeyce araçtan daha değerlidir.

Çoğu kurumun eksik kaldığı yer: kayıtlar

Kaydetmediğiniz bir olayı yeniden kuramazsınız. Yaygın başarısızlık, var olan ama yalnızca yedi ya da on dört gün saklanan kayıtlardır; bu da bir sızıntının fark edilmesinin normalde aldığı süreden kısadır.

Bir müfettişin sorduğu soruyu yanıtlamaya yetecek kadar saklama hedefliyoruz: bu ne zaman başladı, hesap başka nelere dokundu ve dışarı bir şey çıktı mı. Pratikte bu, günlerle değil aylarla ölçülen sürelerde saklanan merkezî kayıtlar ve uyarılara bakan biri demektir. Bunun için Splunk ve Grafana kullanıyoruz; yönetilen BT altında anlatılıyor.

Hangi sırayla yapardık

NIS2 nereden başlayacağınızı söylemez; harcanan çabaya göre en çok riski kaldıran ve yol boyunca kanıt üreten sıra şudur.

• Her şeyde çok faktörlü doğrulama. En ucuz kontrol, en büyük etki ve anında kanıtlanabilir.
• Tarihli geri yükleme testi olan değiştirilemez bir yedek. Süreklilik gerekliliğini ve en kötü senaryoyu aynı anda karşılar. Bakınız yedekleme ve süreklilik.
• Saklama süreli merkezî kayıt. Bu olmadan bildirim sürelerini dürüstçe karşılayamazsınız.
• İçinde isimler olan yazılı bir olay prosedürü. Bir sayfa, bir kez denenmiş.
• Tedarikçi kaydı. Sistemlerinize kim erişebiliyor, neyi doğruladınız, ne zaman.
• Sonra güvenlik duvarı ve bölümleme işi. Önemli, ama çoğu kişinin koyduğundan daha geç.

Kendi BT sağlayıcınıza ne sormalı

Anketi tersine çevirin. Sistemlerinizi yöneten bir sağlayıcı gecikmeden yanıtlayabilmeli: hangi belgelere sahipsiniz ve bunları kim denetledi, bizim ortamımızdaki bir olayı nasıl ele alıyorsunuz, yazılı yanıt süreleriniz nedir ve mühendisleriniz nerede oturuyor.

Süreçlerimiz ISO 9001, ISO/IEC 27001 ve ISO 14001 kapsamında bağımsız olarak denetleniyor. Türkiye pazarında geceleri ve hafta sonlarını Karaman’daki kendi çalışanlarımız vardiya olarak yürütür; yani ortamınıza dair hiçbir şey üçüncü bir tarafa devredilmez. Bu tek başına sizi uyumlu yapmaz, ama denetçiniz zincirinizin bir halkası hakkında net bir yanıt alır.

Kanıtı bir yan ürün haline getirin

NIS2’yi acı verici bulan kurumlar, kanıtı istendiğinde üretenlerdir. Yönetilebilir bulanlar ise raporlama düzeni zaten var olduğu için onu her ay yine de üretenlerdir.

Hizmet yönetişiminin ardındaki bütün fikir budur: tek bir rakam kümesi, tek bir gözden geçirme döngüsü, tek bir sorumluluk noktası. Anket geldiğinde yanıt, elinizde zaten bulunan bir belgedir.