Je účinnosť bezpečnostných opatrení periodicky overovaná?

Overovanie je súčasťou samotného opatrenia, nie oddelená položka

Áno, vo väčšine prípadov áno — ale nie ako samostatná otázka, pretože článok 21 ods. 2 smernice NIS2 ju formuluje ako charakteristiku politiky a postupov, nie ako samostatnú požiadavku na overovanie. Pri bode (a), politike analýzy rizík a ochrane informačných systémov, a pri bode (b), riadení incidentov, patrí periodické hodnotenie k tomu, čo "primeraná" politika normálne zahŕňa. Kto môže preukázať, že opatrenia sú pravidelne preskúmavané — po incidente, po penetračnom teste, po zistení z auditu — spĺňa to, čo zákazník s touto otázkou vlastne chce vidieť: fungujúci systém riadenia, nie snímku z jedného dokumentu na nastavenie.

Ak je podnik certifikovaný podľa ISO 27001 je to zvyčajne najľahší dôkazný materiál: norma sama vyžaduje interné audity a management review, a tieto dokumenty priamo ukazujú, že overovanie prebieha. Bez certifikátu môže byť to isté podložené správou z penetračného testu, záznamom z interného hodnotenia alebo zápasmi, v ktorých boli bezpečnostné opatrenia diskutované a upravené. Ak chýba všetok tento dôkaz, potom je "nie" alebo "vo vývoji" poctivejšia odpoveď ako áno bez podkladového materiálu — najmä preto, že táto otázka sa často kladie spolu s otázkou o politike analýzy rizík, a nekonzistentnosť medzi dvoma odpoveďami si všimne zákazník, ktorý obe číta.

Kde sa to nachádza v smernici: článok 21 odsek 2

Článok 21 ods. 2 smernice NIS2 uvádza desať kategórií opatrení, ktoré musia byť "vhodné a proporcionálne", a vysvetlivka k smernici spája proporcionálnosť s priebežným procesom hodnotenia rizík — nie s jednorazovým nastavením. Explicitne samostatná povinnosť "periodického overenia doeltreffendnosti" ako samostatný článok neexistuje; vyplýva z kombinácií bodu (a) politika analýzy rizík a bodu (b) riadenie incidentov, kde poučenia z incidentov a periodické hodnotenie rizík logicky vedú k revízii opatrení. Pre presný text je autentická smernica zdrojom, na ktorý sa treba odvolávať.