Ar saugumo priemonių veiksmingumas periodiškai tikrinamas?

Tikrinimas yra pačios priemonės dalis, o ne atskira sritis

Taip, daugeliu atvejų — tačiau ne kaip atskira klausimas, nes NIS2 direktyvos 21 straipsnio 2 dalis jį formuluoja kaip politikos ir procedūrų požymį, o ne kaip atskirus tikrinimo reikalavimus. Prie punkto (a) — rizikos analizės politika ir informacinių sistemų saugumas, ir prie punkto (b) — incidentų tvarkymas, periodinį vertinimą sudaro tai, ką "adekvatūs" politika paprastai apima. Kas gali parodyti, kad priemonės peržiūrimos reguliariai — po incidento, po penetracinio bandymo, po audito rezultatų — atitinka tai, ką klientas iš tikrųjų nori pamatyti šiame klausime: funkcinę valdymo sistemą, o ne momentinę nuotrauką iš vieno reguliavimo dokumento.

Jei įmonė ISO 27001 sertifikuota yra, tai paprastai yra lengviausias įrodymas: norma pati reikalauja vidinių auditų ir vadovybės peržiūros, o šie dokumentai tiesiogiai parodo, kad atliekamas vertinimas. Be sertifikato, tas pats gali būti pagrįstas penetracinių testų ataskaita, vidinės vertinimo ataskaita arba posėdžio protokolais, kuriuose aptarti ir pakoreguoti saugumo priemonės. Jei to viso įrodymų stinga, tada "ne" arba "vystymosi stadijoje" yra sąžiningiau atsakyti nei "taip" be pagrindo — ypač todėl, kad šis klausimas dažnai užduodamas kartu su klausimu apie rizikos analizės politika, ir neatitiktis tarp dviejų atsakymų pastebima kliento, kuris abu skaito.

Tai nurodyta direktyvoje: 21 straipsnio 2 dalis

NIS2 21 straipsnio 2 dalyje nurodoma dešimt priemonių kategorijų, kurios turi būti "tinkamos ir proporcingos", o direktyvos paaiškinimas proporcingumą susieja su nuolatine rizikos vertinimo procesu — ne su vienkartine sutvarkymu. Nėra aiškios atskiros "periodinio veiksmingumo patikrinimo" pareigos kaip atskiro straipsnio dalies; ji išplaukia iš (a) rizikos analizės politikos ir (b) incidentų vadybos derinio, kai iš incidentų pamokas ir periodinį rizikos vertinimą logiškai turi lemti priemonių peržiūra. Tiksliausiam tekstui autentinė direktyva yra šaltinis, į kurį reikia grįžti.