Vai drošības pasākumu efektivitāte tiek periodiski pārbaudīta?

Pārbaude ir pašas pasākuma daļa, nevis atsevišķa izvēles rūtiņa

Jā, vairumā gadījumu — bet ne kā atsevišķs jautājums, jo NIS2 21. panta 2. punkts to formulē kā politikas un procedūru pazīmi, nevis kā atsevišķu pārbaudes prasību. Punktā (a), risks analīzes politika un informācijas sistēmu drošība, un punktā (b), negadījumu apstrāde, periodiska novērtēšana parasti ir daļa no tā, ko nozīmē "atbilstošā" politika. Kas var parādīt, ka pasākumi tiek regulāri pārskatīti — pēc negadījuma, pēc penetrācijas testa, pēc revīzijas secinājuma — tas atbilst tam, ko klients patiesībā vēlas redzēt šajā jautājumā: strādājošu vadības sistēmu, nevis viena dokumenta snapšotu.

Ja uzņēmums ISO 27001 sertificēts ir, tas parasti ir visvieglākais pierādījums: standarts pats prasa iekšējās auditus un vadības pārskatu, un šie dokumenti tieši parāda, ka pārbaude notiek. Bez sertifikata to pašu var pamatot ar penetrācijas testa ziņojumu, iekšējās novērtēšanas atskaiti vai protokoliem, kuros drošības pasākumi ir apspriesti un pārveidoti. Ja šādi pierādījumi trūkst, tad "nē" vai "izstrādes stadijā" ir godīgāka atbilde nekā jā bez pielikuma — īpaši tāpēc, ka šis jautājums bieži tiek uzdots kopā ar jautājumu par risku analīzes politiku, un pretrunīgums starp abām atbildēm ir pamanāms klients, kurš abas lasa.

Kur tas ir norādīts direktīvā: 21. panta 2. punkts

NIS2 21. panta 2. punkts nosauc desmit pasākumu kategorijas, kuriem jābūt "atbilstošiem un proporcionāliem", un direktīvas paskaidrojumi piesaista proporcionalitāti nepārtrauktam riska novērtēšanas procesam — nevis vienas reizes ieviešanai. Skaidra atsevišķa "periodiskas drošības pasākumu efektivitātes pārbaudes" prasība kā atsevišķs artikula punkts tur neatrodas; tā izriet no kombinācijas starp punktu (a) risku analīzes politika un punktu (b) negadījumu apstrāde, kur mācības no negadījumiem un periodiska riska novērtēšana loģiski noved pie pasākumu pārskatīšanas. Precīzam tekstam autentiskā direktīva ir avots, uz kuru atsaukties.