Lühidalt
NIS2 audit hindab, kas kohustuslase riskijuhtimine ja nõuded toimivad tõendatult. See ei ole pentest ega sertifikaat. Hea audit vastab kolmele küsimusele: mis on ulatus, millistel kriteeriumidel hinnati ja millist tõendit iga järelduse taga nähti.
Auditi ulatus
- Juhtimine: rollid, kinnitused, juhatuse ülevaatus ja ressursside otsused.
- Riskijuhtimine: riskiregister, hindamise loogika, ravi ja jääkrisk.
- Kümme meedet: poliitika, intsidendid, toimepidevus, tarneahel, haavatavused, krüpteerimine, MFA, logimine, koolitus.
- Tarneahel: kriitilised tarnijad, lepingud, due diligence ja seire.
- Intsidendid: tuvastamine, teavitamine 24/72 tunni jooksul ja õppimine.
- Tehniline valim: ligipääsud, varundus, logid ja kriitilised süsteemid.
Milliseid tõendeid koguda?
Laadi auditi tõendite mall (CSV)
| Valdkond | Tõend |
|---|---|
| Juhtimine | Juhatuse protokoll, riskide kinnitamine, eelarve ja otsused. |
| Riskid | Riskiregister, skaala, raviplaan, jääkrisk ja omanik. |
| Intsidendid | Protseduur, kontaktid, teavituste logi, õppetunnid. |
| Varundus | Taastetesti tulemus, RPO/RTO ja kõrvalekalded. |
| Ligipääs | MFA, privileegide ülevaatus, konto elutsükkel. |
| Tarneahel | Tarnijate nimekiri, lepingud, hindamine ja seire. |
Tõend peab olema jälgitav: kes, millal, mis alusel ja mis tulemus. Ekraanitõmmis ilma selgituseta ei ole tavaliselt piisav.
Auditi protsess
- Scoping: üksused, teenused, süsteemid, tarnijad ja välistused.
- Intervjuud: juhtkond, IT, turvalisus, personal, hanked.
- Dokumendivaade: poliitikad, register, lepingud, logid.
- Valim ja testid: ligipääsud, varundus, intsidendi rada, tarnija tõendid.
- Leiud: puudus, tõend, mõju, riskitase ja soovitus.
- Raport ja järeltegevus: juhtkonna vastus, tähtajad, retest.
Mida raport peab sisaldama?
- Ulatus, periood, kriteeriumid ja metoodika.
- Leiud koos tõendite ja mõju hinnanguga.
- Prioriteedid: kohe, 30 päeva, 90 päeva.
- Juhtkonna vastus ja omanik iga tegevuse jaoks.
- Piirangud: mida ei vaadatud ja miks.
Raport ei peaks olema ainult skoor. Järelevalve ja juhatus vajavad jälgitavat seost nõude, tõendi ja parandustegevuse vahel.
Levinud vead
- Audititakse ainult dokumente, mitte protsessi toimimist.
- Puudub selge ulatus ja väljajätete põhjendus.
- Leiud on kirjeldatud ilma tõendi või mõjuta.
- Tarneahel jäetakse valimist välja.
- Raportil puudub omanik ja tähtaeg.
Kui otsid laiemat tehnilist kontrolli, vaata küberauditi teenust ja pentestimist.
Küsimused NIS2 auditi kohta
Kas NIS2 nõuab sertifikaati?
NIS2 ei sätesta ühte kohustuslikku sertifikaati ega ühte auditivormi. Kohustuslane peab suutma tõendada, et riskijuhtimine ja nõuded päriselt toimivad. Sertifitseerimine on auditist eraldi protsess.
Mis vahe on NIS2 auditil ja pentestil?
NIS2 audit vaatab juhtimise, protsessid, tõendid ja tarneahela tervikut. Pentest kontrollib konkreetse süsteemi tehnilist turvalisust. Mõlemad võivad olla vajalikud, kuid vastavad eri küsimustele.
Kui kaua NIS2 audit võtab?
Sõltub ulatusest, süsteemide arvust ja tõendite valmidusest. Kitsam juhtimise ja protsesside audit on lühem kui mitme teenuse, tarneahela ja tehniliste süsteemide kontroll. Ulatus tuleb enne fikseerida.
Mida peab NIS2 auditi raport sisaldama?
Ulatus, kriteeriumid, meetod, leitud puudused koos tõenditega, riski hinnang, soovitused ja juhtkonna vastus. Raport peab olema jälgitav, mitte ainult skoor.
Allikad
- Küberturvalisuse seadus (KüTS).
- NIS2 direktiiv (EL) 2022/2555.
- RIA järelevalve ja juhendid.