NIS2 READY
Bezpečnostná dokumentácia nemusí znamenať desiatky smerníc, ktoré nikto nečíta. Dôležité je mať pravidlá, ktoré organizácia skutočne potrebuje – a vedieť, kto za ne zodpovedá a či sa podľa nich aj postupuje.
Mať smernicu ešte neznamená mať bezpečnosť
Pri budovaní kybernetickej bezpečnosti je jednoduché začať dokumentmi. Nájsť vzor bezpečnostnej politiky, doplniť názov organizácie, nechať ju schváliť a uložiť.
Formálne dokument existuje. Otázkou však zostáva, či opisuje aj to, čo sa v organizácii skutočne deje.
Ak smernica hovorí, že používateľské oprávnenia sa pravidelne kontrolujú, malo by byť jasné, kto ich kontroluje, ako často a čo urobí, keď nájde problém. Ak plán kontinuity hovorí, že organizácia dokáže obnoviť dôležitú službu, mala by vedieť, či tento postup niekedy aj vyskúšala.
Bezpečnostná dokumentácia preto nemá byť cieľom sama osebe. Má zachytiť pravidlá, zodpovednosti a postupy, podľa ktorých organizácia svoju bezpečnosť skutočne riadi. Tento princíp zodpovedá aj požiadavke zákona o kybernetickej bezpečnosti, podľa ktorej má byť schválená bezpečnostná dokumentácia aktuálna a zodpovedať reálnemu stavu.
Najhoršia smernica nie je tá krátka. Najhoršia je taká, ktorá opisuje bezpečnosť, ktorá v organizácii v skutočnosti neexistuje.
Koľko smerníc teda potrebujete?
Univerzálne číslo neexistuje.
Menšia organizácia nemusí mať pre každú bezpečnostnú tému samostatný dokument. Súvisiace pravidlá môže spojiť do jednej smernice. Keď organizácia rastie, pribúdajú systémy, dodávatelia alebo nové povinnosti, niektoré témy môže neskôr oddeliť.
Preto je užitočnejšie pýtať sa:
„Máme pokryté pravidlá, ktoré potrebujeme?“
než:
„Koľko smerníc musíme mať?“
Praktický začiatok: prehľad základných oblastí
Ak menšia organizácia začína od nuly, základné pravidlá môže na začiatku usporiadať napríklad do šiestich dokumentov.
1. Bezpečnostná politika a organizácia bezpečnosti
Dokument by mal vysvetliť základné pravidlá kybernetickej bezpečnosti a najmä to, kto za čo zodpovedá.
Kto riadi bezpečnosť? Kto vlastní aktíva a riziká? Kto schvaľuje opatrenia? Komu sa hlási závažný problém?
Nemusí ísť o rozsiahly dokument. Dôležité je, aby boli úlohy a zodpovednosti jasné. Bezpečnosť nemôže zostať len na IT. Vedenie organizácie opatrenia schvaľuje, dohliada na ich plnenie a nesie za ne zodpovednosť. V menšej firme to často znamená, že dôležité rozhodnutia, napríklad akceptáciu rizika, schvaľuje priamo konateľ.
2. Riadenie aktív a rizík
Organizácia musí vedieť, čo chráni.
Na začiatku nemusí evidovať každý monitor alebo kábel. Potrebuje však poznať svoje dôležité služby, informácie, systémy a ďalšie aktíva a vedieť, kto za ne zodpovedá. Pomôže aj jednoduché rozdelenie informácií podľa citlivosti, napríklad verejné, interné a dôverné, aby ľudia vedeli, s čím ako zaobchádzať.
Na prehľad aktív nadväzuje práca s rizikami: ako sa identifikujú a hodnotia, čo sa s nimi urobí, kto zodpovedá za opatrenia a kto môže rozhodnúť, že určité riziko organizácia akceptuje.
3. Riadenie prístupov a bezpečnosť prevádzky
Sem patria pravidlá pre prideľovanie a odoberanie prístupov, kontrolu oprávnení, aktualizácie systémov, ochranu pred škodlivým kódom a ďalšie základné pravidlá bezpečnej prevádzky.
Patrí sem aj vykonávanie záloh – čo sa zálohuje, ako často a kto za to zodpovedá.
To je však niečo iné ako otázka, či sa zo zálohy dokážeme skutočne obnoviť. K tomu sa dostaneme pri riadení kontinuity.
4. Riešenie bezpečnostných incidentov
Keď nastane incident, nie je vhodný čas začať zisťovať, komu zavolať.
Malo by byť jasné, ako sa incident nahlási, kto ho rieši, kedy sa eskaluje, kto informuje vedenie a kto zabezpečí prípadné hlásenie príslušným orgánom.
Dôležité sú aj aktuálne kontakty. Incidentný plán s telefónnym číslom na človeka, ktorý z organizácie odišiel pred dvoma rokmi, veľmi nepomôže.
5. Kontinuita a obnova
Organizácia by mala vedieť, ktoré služby sú pre jej fungovanie dôležité, ako dlho môžu byť nedostupné a ako ich v prípade výpadku obnoví.
Tu už nejde iba o to, či sa zálohy robia, ale či z nich možno systém alebo údaje skutočne obnoviť a či sa to dá zvládnuť v čase, ktorý organizácia potrebuje.
Preto sem patria aj plány kontinuity a obnovy a ich testovanie.
6. Bezpečnostné pravidlá pre zamestnancov
Zamestnanci potrebujú vedieť, čo sa od nich očakáva pri používaní hesiel, e-mailu, pracovných zariadení alebo pri práci s informáciami a čo majú urobiť, keď si všimnú niečo podozrivé.
Pravidlá by mali myslieť aj na nástup nového zamestnanca, zmenu jeho pracovnej pozície a odchod z organizácie.
A čo dodávatelia?
Ak má externý dodávateľ prístup k systémom alebo údajom organizácie, prevádzkuje pre ňu systém alebo sa podieľa na poskytovaní dôležitej služby, treba riešiť aj jeho bezpečnosť.
Organizácia by mala vedieť, aké bezpečnostné požiadavky na dodávateľa kladie, aké prístupy má, čo má urobiť pri incidente a čo musí organizácii oznámiť.
V menšej organizácii môžu byť tieto pravidlá súčasťou inej bezpečnostnej smernice. Ak je závislosť od dodávateľov väčšia, je praktické spracovať ich samostatne. Pre organizácie v pôsobnosti NIS2 je bezpečnosť dodávateľského reťazca zároveň jednou z oblastí opatrení na riadenie kybernetických rizík.
Tento prehľad nie je regulačné minimum
Vybrané oblasti predstavujú praktický spôsob, ako môže menšia organizácia začať. Nie je to zoznam, ktorého splnením automaticky splní požiadavky NIS2 alebo slovenskej legislatívy.
Napríklad vyhláška NBÚ č. 227/2025 Z. z. pre prevádzkovateľov základnej služby upravuje obsah bezpečnostnej dokumentácie podrobnejšie. Podľa § 4 zahŕňa okrem schválenej stratégie kybernetickej bezpečnosti a bezpečnostných politík aj klasifikáciu informácií, kategorizáciu IKT a OT, analýzu rizík spolu so zoznamom aktív, dokumentovanie rozsahu a spôsobu prijatia bezpečnostných opatrení a ďalšie stanovené dokumenty.
Rozsah všeobecných bezpečnostných opatrení sa pritom podľa vyhlášky určuje na základe analýzy rizík.
Ak ste v pôsobnosti zákona, berte prehľad základných oblastí ako spôsob, ako dokumentáciu usporiadať, nie ako náhradu za požiadavky vyhlášky. Pri spájaní dokumentov si overte, že žiadna povinná časť nevypadla.
Šablóna je začiatok, nie hotová smernica
Začať každý dokument od prázdnej stránky nie je potrebné. Dobrá šablóna môže pomôcť so štruktúrou dokumentu a pripomenúť témy, na ktoré netreba zabudnúť. Musí sa však prispôsobiť konkrétnej organizácii.
Ak šablóna opisuje roly, procesy alebo opatrenia, ktoré organizácia v skutočnosti nemá, ich ponechaním nevznikne lepšia dokumentácia. Vznikne iba rozdiel medzi tým, čo je napísané a čo sa reálne robí.
Smernica bez záznamov nič nepreukáže. Ak smernica hovorí, že sa oprávnenia kontrolujú, záloha sa testuje a zamestnanci sa školia, mali by po tom zostať stopy – záznam z kontroly, výsledok testu obnovy, zoznam preškolených ľudí. Pri audite alebo kontrole sa nehodnotí iba to, čo je napísané, ale aj to, čím viete preukázať, že sa to deje.
Pred schválením smernice si overte:
- Má dokument jasného vlastníka?
- Vie vedenie, čo schvaľuje, a stojí za tým?
- Zodpovedá tomu, ako naša organizácia skutočne funguje?
- Sú zodpovednosti pridelené konkrétnym rolám?
- Vedia ľudia, ktorých sa smernica týka, čo majú robiť?
- Budeme vedieť preukázať, že sa podľa týchto pravidiel postupuje?
- Vieme, kedy a kto dokument znovu skontroluje?
Ak je pri niektorej otázke odpoveď „nie“, pridanie ďalšej smernice pravdepodobne problém nevyrieši.
Ako s dokumentáciou pomáha Tazilla
Tazilla obsahuje Knižnicu so šablónami bezpečnostnej dokumentácie, takže CISO nemusí pri každej téme začínať od prázdnej stránky.
Dostupné šablóny pokrývajú jednotlivé oblasti podrobnejšie. To však neznamená, že každá organizácia musí automaticky zaviesť každú šablónu ako samostatnú smernicu.
Pre začínajúceho CISO môže byť užitočné pozerať sa na ne takto:
| Základná oblasť | Šablóny v Knižnici Tazilla |
| Bezpečnostná politika a organizácia | Bezpečnostná politika Organizácia informačnej bezpečnosti |
| Aktíva a riziká | Riadenie aktív, hrozieb a rizík |
| Prístupy a bezpečnosť prevádzky | Riadenie prístupov Riadenie bezpečnosti prevádzky Riadenie bezpečnosti siete a IKT Kryptografické opatrenia Fyzická bezpečnosť a bezpečnosť prostredia Monitorovanie a testovanie bezpečnosti a bezpečnostných auditov |
| Incidenty | Riešenie kybernetických bezpečnostných incidentov |
| Kontinuita a obnova | BCM smernica Riadenie kontinuity procesov Plán kontinuity činností BCP Plán obnovy po havárii DRP |
| Pravidlá pre zamestnancov | Pravidlá správania sa a dobrej praxe Personálna bezpečnosť |
| Dodávatelia | Riadenie dodávateľských služieb |
Tieto základné oblasti môžu pomôcť zorientovať sa v šablónach dostupných v Knižnici. Organizácia si z nich vyberie a prispôsobí tie, ktoré potrebuje podľa svojho fungovania, rizík a povinností.
Šablóna vám pomôže začať. Vašou smernicou sa stane až vtedy, keď zodpovedá tomu, ako vaša organizácia skutočne funguje.
Dokumentácia sa musí meniť spolu s organizáciou
Smernica nemá zostať rovnaká niekoľko rokov len preto, že bola raz schválená.
Nový systém, dodávateľ, zmena zodpovedností, bezpečnostný incident, audit alebo test obnovy môžu ukázať, že niektoré pravidlá už neplatia alebo nestačia. Dokumentáciu preto treba priebežne kontrolovať a podľa potreby upravovať.
Požiadavka, aby bezpečnostná dokumentácia bola aktuálna a zodpovedala reálnemu stavu, je zakotvená aj v slovenskej úprave kybernetickej bezpečnosti.
Tu sa dokumentácia prepája aj s ďalšími časťami platformy Tazilla. Riziká a opatrenia, evidencia incidentov, kontinuita či vzdelávanie zamestnancov poskytujú informácie o tom, či nastavené pravidlá fungujú a kde ich treba zmeniť. Dokumentácia tak nemusí existovať oddelene od každodenného riadenia bezpečnosti.
Na záver
Dobrá bezpečnostná dokumentácia nemusí byť rozsiahla. Musí však zodpovedať organizácii, jej rizikám a povinnostiam.
Ak začínate, sústreďte sa najskôr na najdôležitejšie oblasti, jasné zodpovednosti a pravidlá, ktoré sa dajú reálne dodržiavať. Ďalšie dokumenty pridávajte tam, kde ich organizácia skutočne potrebuje alebo kde ich vyžadujú jej povinnosti.
Nejde o to mať čo najviac smerníc. Ide o to, aby tie, ktoré máte, opisovali to, čo skutočne robíte.