NIS2
Zdąż z terminami NIS2 - 24 godziny, 72 godziny i miesiąc - dzięki dokumentom zgłoszenia generowanym prosto z detekcji, mierz każdy środek z art. 21 na żywych danych tenanta i prowadź zapis obsługi incydentu, którego wymaga dyrektywa - na standardowych licencjach Microsoft 365.
Gotowość na NIS2
NIS2 zamienia reagowanie na incydenty w wyścig z ustawowymi zegarami: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia poważnego incydentu, zgłoszenie incydentu ze wstępną oceną w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca. Większość organizacji nie potrafi w tym czasie odpowiedzieć na podstawowe pytania - co się stało, kogo dotknęło, czy nadal trwa, co zrobiliśmy - bo dowody leżą w 90-dniowych logach i rozproszonych centrach administracyjnych. Zadaniem 1Security jest sprawić, by termin był najłatwiejszą częścią: detekcja, jej aktywność, historia przeglądu i sam dokument zgłoszenia są jednym obiektem, a obowiązki z art. 21 są mierzone, a nie deklarowane.
Czego NIS2 naprawdę wymaga
Dyrektywa (UE 2022/2555, transponowana do prawa krajowego od października 2024) obejmuje podmioty kluczowe i ważne w 18 sektorach i nie jest ćwiczeniem z odhaczania:
- Art. 21 nakazuje środki zarządzania ryzykiem: polityki analizy ryzyka i bezpieczeństwa systemów informatycznych, obsługę incydentów, bezpieczeństwo łańcucha dostaw, podstawową cyberhigienę i szkolenia, kontrolę dostępu i zarządzanie aktywami, uwierzytelnianie wieloskładnikowe - oraz polityki oceny skuteczności tych środków.
- Art. 23 ustawia zegar zgłoszeń: wczesne ostrzeżenie w 24 godziny (w tym czy podejrzewa się działanie niezgodne z prawem lub złośliwe i czy możliwy jest skutek transgraniczny), zgłoszenie w 72 godziny ze wstępną oceną dotkliwości i skutków oraz dostępnymi wskaźnikami naruszenia, a także sprawozdanie końcowe w ciągu miesiąca od zgłoszenia - ze szczegółowym opisem, rodzajem zagrożenia lub przyczyną, zastosowanymi i trwającymi środkami zaradczymi oraz skutkami transgranicznymi. Sprawozdanie pośrednie może zostać zażądane w każdej chwili.
- Zarząd odpowiada osobiście. Organy zarządzające muszą zatwierdzać i nadzorować środki i mogą ponosić odpowiedzialność za naruszenia - z karami do 10 mln EUR lub 2% światowego obrotu dla podmiotów kluczowych (7 mln EUR / 1,4% dla ważnych).
Od detekcji do zgłoszenia w jednym miejscu
Zegar zgłoszeń rusza w chwili, gdy dowiadujesz się o incydencie. W 1Security ta chwila ma zapis: anomalia lub incydent otwiera się jako epizod - detektor zadziałał na użytkowniku, aplikacji, agencie AI, lokalizacji albo całym tenancie, z dotkliwością wynikającą z wyniku i innych otwartych detekcji tego samego podmiotu, a nie przystawioną pieczątką. Szuflada epizodu zawiera wszystko, o co zapyta regulator:
- Co się stało - detektor, podmiot, baza wobec zaobserwowanej aktywności, szczyt, wynik względem Twojej linii alertu.
- Aktywność za tym stojąca - zdarzenia podmiotu w oknie incydentu, każde przypisane do aktora, zasobu, aplikacji, urządzenia i lokalizacji, z adresami sieciowymi, dostawcami i krajami, które stają się wskaźnikami naruszenia.
- Historia i komentarze - każda zmiana statusu, każdy werdykt dotkliwości, każda zlecona akcja reakcji i każdy komentarz, od najnowszych. To zapis obsługi incydentu, którego oczekuje art. 21 ust. 2 lit. b, prowadzony w trakcie pracy.
- Reaguj - dobrane akcje powstrzymujące (wyłącz konto, cofnij zgody, poddaj agenta kwarantannie), które przechodzą przez Centrum akcji i zostawiają ślad audytowy z możliwością cofnięcia.
Dokumenty zgłoszenia
Z tej samej szuflady Raport otwiera kreator raportów dla tej jednej detekcji. Trzy gotowe szablony odpowiadają art. 23 ust. 4 punkt po punkcie:
| Termin | Szablon | Co zawiera |
|---|---|---|
| 24 h - wczesne ostrzeżenie | NIS2 wczesne ostrzeżenie | Znane dotąd fakty, Twoja ocena, czy podejrzewa się działanie niezgodne z prawem lub złośliwe i czy możliwy jest skutek transgraniczny, podmiot zgłaszający i kontakt |
| 72 h - zgłoszenie | NIS2 zgłoszenie incydentu | Aktualizuje wczesne ostrzeżenie o wstępną ocenę dotkliwości i skutków, wskaźniki naruszenia wzięte z aktywności, dotknięty podmiot i dotychczasowe akcje |
| 1 miesiąc - sprawozdanie końcowe | NIS2 sprawozdanie końcowe | Szczegółowy opis z dotkliwością i skutkami, rodzaj zagrożenia lub przyczyna, zastosowane i trwające środki zaradcze, skutki transgraniczne w stosownych przypadkach, pełna historia przeglądu i zapis aktywności |
Raport z etapem ma sekcję Obowiązek zgłoszenia: etap, chwilę wykrycia incydentu (pierwsze wystąpienie detekcji, chyba że ją ustawisz), trzy terminy z informacją, czy zostały dotrzymane, oraz tabelę, który punkt art. 23 ust. 4 realizuje każda sekcja dokumentu - i którego dokument nie obejmuje, żeby nic nie wynikało z przemilczenia. To, czego żaden system nie wie - opis, skutki, przyczyna, środki zaradcze, ocena poważnego charakteru według art. 23 ust. 3, czy poinformowano odbiorców usług, czy zaangażowano organy ścigania - wpisujesz raz w oknie; jest zapisane dla detekcji, więc sprawozdanie końcowe miesiąc później zaczyna się od tekstu zgłoszenia. Każdy wygenerowany raport sam trafia do karty Historia i komentarze, a terminy na osi czasu kolejnego raportu czytają te wpisy: wczesne ostrzeżenie wygenerowane przed 24. godziną pokazuje W terminie, po niej Po terminie.
Dwa kolejne szablony - Zapis incydentu i Briefing incydentu - nie mają etapu regulacyjnego i służą do akt wewnętrznych, dla klienta albo jako streszczenie dla zarządu. Ten sam raport, w PDF, PowerPoint, HTML, CSV lub JSON i w siedmiu językach, platforma SOC może pobrać przez REST API lub MCP dla detekcji, nad którą pracuje.
Mierzenie środków z art. 21
NIS2 nie każe tylko mieć kontroli - każe wykazać, że działają. Ekran Zgodność czyta NIS2 jako jedne z jedenastu ram zbudowanych na wspólnym zestawie wymagań - rzeczy, które organizacja naprawdę robi - i mierzy te, które da się zmierzyć z żywych danych tenanta, ciągle, z tygodniowymi migawkami i pakietem dowodów na ramy. Artykuły NIS2, które obejmuje dziś, i na czym się opierają:
| Artykuł | Wymaganie | Skąd pochodzi pomiar |
|---|---|---|
| 21 ust. 2 lit. a analiza ryzyka i bezpieczeństwo systemów | Udokumentowane zarządzanie ryzykiem i nadzór nad bezpieczeństwem | Poświadczone przez organizację, ze statusem, właścicielem i datą zapisanymi na wymaganiu |
| 21 ust. 2 lit. b obsługa incydentów | Ciągłe monitorowanie aktywności z detekcją anomalii; procedura reagowania na incydenty | Anomalie z bazami per podmiot nad całym tenantem, alertowanie z dziennikiem powiadomień oraz raporty z incydentów opisane wyżej |
| 21 ust. 2 lit. d bezpieczeństwo łańcucha dostaw | Zasięg aplikacji zewnętrznych pod kontrolą; znane i nadzorowane organizacje zewnętrzne wymieniające dane | Każda aplikacja zewnętrzna i agent AI z dostępem do tenanta, jego wydawca i kanał dostępu; Domeny dla organizacji, z którymi tenant wymienia dane, z werdyktami i dryfem |
| 21 ust. 2 lit. g cyberhigiena i szkolenia | Brak włączonych uśpionych kont; urządzenia sięgające do tenanta są zarządzane i zgodne | Użytkownicy i urządzenia - w tym urządzenia-cienie, które nigdy się nie zarejestrowały |
| 21 ust. 2 lit. i kontrola dostępu i zarządzanie aktywami | Te same dwa wymagania, czytane jako kontrola dostępu | Graf uprawnień rozwiązuje dostęp efektywny przez zagnieżdżone grupy i dziedziczenie, więc najmniejsze uprawnienia są mierzone; żywe inwentarze witryn, aplikacji, urządzeń i agentów |
| 21 ust. 2 lit. j uwierzytelnianie wieloskładnikowe lub ciągłe | Logowania objęte dostępem warunkowym | Pokrycie dostępem warunkowym czytane z każdego logowania - które polityki zadziałały, których logowań nie objęła żadna |
| 23 obowiązki zgłaszania | Procedura reagowania na incydenty i ich zgłaszania | Poświadczone, z raportami z incydentów jako wynikiem procedury |
Artykuł przyjmuje najgorszy status wymagań, na które się powołuje. Wymaganie mierzone pokazuje bieżącą liczbę i uzasadnienie; gdy organizacja wie, że pełny obraz jest inny, zapisuje własną ocenę i ten status obowiązuje, a pomiar jest widoczny obok. Wynik bezpieczeństwa pokazuje dla każdej kontroli Microsoft Secure Score i każdej kontroli 1Security, które artykuły NIS2 poruszą się po jej naprawieniu.
Środek, na którym NIS2 zależy najbardziej - art. 21 ust. 2 lit. f, ocena skuteczności - to cel reszty platformy: pokrycie etykietami wrażliwości mierzone wobec rzeczywistych lokalizacji danych wrażliwych, Trendy pokazujące, jak liczba każdej kontroli zmienia się w czasie, oraz migawki zgodności, które datują każdą zmianę.
Wiedzieć, że to prawdziwe - i skąd przyszło
Wczesne ostrzeżenie zadaje dwa pytania, na które sam log nie odpowie: czy to prawdziwy atak i czy jest transgraniczny. Lokalizacje odpowiadają na oba. Każde logowanie i akcja są rozwiązywane do kraju, miasta i dostawcy sieci, z oddzieleniem ruchu zaplecza Microsoft od prawdziwych aktorów, więc logowanie z nieoczekiwanego kraju czyta się jako takie, a nie jako szum. Lista lokalizacji zamienia decyzję w egzekwowanie - zezwól lub blokuj kraje i sieci, przyznaj zezwolenia osobowe z datą końcową - a każda decyzja ląduje w historii lokalizacji. Mapy podróży per użytkownik i per urządzenie pokazują, gdzie konto bywało, a karta dostępu warunkowego - które lokalizacje Twoje polityki już obejmują. Incydent lokalizacji jest epizodem jak każdy inny: ma szufladę, reakcję i raport.
Alertowanie, z którego umiesz się rozliczyć
Art. 21 ust. 2 lit. b dotyczy obsługi incydentów, a ta zaczyna się od wiedzy o nich. Alertowanie ma trzy warstwy: alerty natychmiastowe dla detekcji, które nie mogą czekać, zestawienia dla całej reszty i nadpisania od postawy tenanta po pojedynczy podmiot. Każdy wysłany e-mail, każde wyciszenie i każde nadpisanie jest w dzienniku Powiadomień - zapisie decyzji, nie tylko poczty - więc gdy regulator pyta, kiedy wiedzieliście, odpowiedź ma znacznik czasu. Dotkliwość da się wyjaśnić w każdym wierszu: poziom własny detektora, eskalacja z wyniku, podniesienie przez skorelowane detekcje tego samego podmiotu albo werdykt ręczny i kto go wydał.
Ślad audytowy środków zaradczych
Sprawozdanie końcowe pyta o zastosowane i trwające środki zaradcze. Wszystko zrobione przez Centrum akcji - od reakcji uruchomionej w szufladzie po sprawę bezpieczeństwa nad zamrożonym zbiorem zasobów - ma własny wiersz: kto zlecił, kiedy wykonano, czy Microsoft potwierdził i jakie cofnięcie to odwraca. Właściciele poproszeni o przegląd propozycji i ich decyzje są w tym samym rejestrze. Sekcja Reakcja i środki zaradcze raportu z incydentu wypisuje każdą akcję na dotkniętym podmiocie od początku incydentu obok środków, które opisujesz słowami.
Ćwiczenie 72 godzin
Przeprowadź to jako ćwiczenie, zanim przeprowadzisz jako incydent. Otwórz anomalię na użytkowniku i w jednym posiedzeniu: (1) przeczytaj jej szufladę - bazę, aktywność, lokalizacje i urządzenia; (2) uruchom jedną akcję powstrzymującą z Reaguj i zostaw komentarz, dlaczego; (3) wygeneruj NIS2 wczesne ostrzeżenie, potem NIS2 zgłoszenie incydentu, i sprawdź, że oś czasu drugiego pokazuje pierwsze jako W terminie; (4) otwórz Zgodność i przeczytaj status ram NIS2 z pakietem dowodów. Jeśli ćwiczenie zajmuje godzinę, zgłoszenie w 72 godziny przestaje być straszne.
Zakres, uczciwie
1Security dostarcza zapis śledczy, żywy pomiar kontroli, historię obsługi incydentu i dokumenty zgłoszenia, na których opierają się obowiązki NIS2. Czy dany incydent jest „poważny” według art. 23 ust. 3, który organ krajowy przyjmuje zgłoszenie, jak stosuje się transpozycja Twojego sektora i co dokument musi zawierać ponad fakty, które niesie - to pytania do Twojego doradcy ds. zgodności. Raporty oznaczają każdą ocenę, której nie dokonano, jako Nie ustalono, zamiast zgadywać. Przynieś doradcy dowody; 1Security dba o to, żebyś je miał.
Dostęp Warunkowy (Conditional Access)
Porównaj dostęp warunkowy zadeklarowany w Entra z logowaniami, które faktycznie obserwujesz - i znajdź miejsca, zakresy oraz reguły, w których jedno rozmija się z drugim.
Integracja z SIEM
Przesyłaj wykrycia, alerty bezpieczeństwa, dzienniki audytu i skany zasad z 1Security do Splunk, Microsoft Sentinel, QRadar, Elastic lub dowolnego systemu SIEM potrafiącego odpytywać API REST.