NIS2 a DORA: co musí provoz umět doložit

Je pátek odpoledne a výpadek úložiště zasáhl několik systémů. Kromě obnovy provozu teď běží i druhé hodiny: pokud jde o významný incident, je potřeba ho v krátké lhůtě nahlásit. Někdo se zeptá: „Které služby to zasáhlo, kolik uživatelů a jak kritické jsou?“ Odpověď se skládá z monitoringu, tabulky služeb a paměti zkušených kolegů. Stejné otázky přijdou při kontrole – jen s odstupem a s požadavkem na důkazy.

Na co se regulace ptají

NIS2 a DORA mají jiný rozsah i jiné dozorové orgány, ale z pohledu IT provozu se opakují tytéž požadavky:

• znát dopad výpadku na služby a jejich kritičnost,
• hlásit významné incidenty ve stanovených lhůtách a s dostatečnými podklady,
• řídit změny a zranitelnosti a umět doložit, kdo co schválil,
• mít přehled o ICT službách a dodavatelích, na kterých provoz závisí,
• dohledat odpovědnost – kdo je vlastníkem služby a kdo co kdy změnil.

Žádný z těch požadavků není nový. Nový je tlak na to, aby odpovědi byly rychlé, úplné a doložitelné.

Co z toho dnes pokrývá Eywo Stratum

Základ regulatorních odpovědí tvoří data, která Stratum vede pro běžný provoz:

• Mapa závislostí od business služby po infrastrukturu a výpočet dopadu s ohledem na redundanci – clustery, replikace databází, zrcadlené úložiště.
• Vlastník každé služby, role s rozsahem a RACI matice, u které Stratum kontroluje soulad s oprávněními.
• Neměnná auditní stopa na pět let; u konfigurace se ukládá stav před změnou i po ní.
• Řízené změny se schválením vlastníkem zasažené služby, servisní okna a změnová zmrazení.
• Servisní kontrakty a SLA dodavatelů včetně eskalace incidentu na dodavatele podle smlouvy.
• Zranitelnosti po službách s termíny podle závažnosti a s rozlišením aktivně zneužívaných chyb.

Když se incident stane, Stratum ukáže zasažené služby z mapy závislostí, ne z odhadu. Vlastník služby je dohledatelný a historie změn ukáže, co se v posledních dnech měnilo.

Co připravujeme

Na těchto datech stavíme regulatorní výstupy, které dnes ještě nejsou součástí produktu:

• klasifikaci významného incidentu podle kritérií NIS2 a DORA, odvozenou z dopadu v CMDB,
• předvyplněný podklad pro hlášení s časovou osou a dopadem,
• registr ICT služeb a dodavatelů podle DORA.

Princip zůstane stejný jako v celém produktu: Stratum podklady připraví, rozhoduje a odesílá vždy člověk. Termín uvolnění upřesníme s pilotními zákazníky.

Kde začít

Regulatorní odpověď je tak dobrá, jak dobrá jsou data pod ní. Proto doporučujeme začít tam, kde se to vyplatí i bez regulace: u klíčových služeb, jejich vlastníků a mapy závislostí. Kdo tohle má v pořádku, má hotovou většinu práce – a v pátek odpoledne odpovídá z dat, ne z paměti.

Stratum nenahrazuje právní posouzení. Konkrétní povinnosti vaší organizace posuďte se svým compliance týmem.