NIS2-työkalu

Vie riskiarvio ja toimenpidesuunnitelma johdon hyväksyttäviksi ja sovi, kuinka usein johto käy tilanteen läpi, esimerkiksi neljännesvuosittain.

Järjestä johdolle lyhyt koulutus NIS2:n velvoitteista, johdon vastuusta ja yrityksen tärkeimmistä riskeistä.

Tee riskiarvio: listaa tärkeimmät palvelut ja tiedot, niihin kohdistuvat uhat sekä niiden todennäköisyys ja vaikutus. Päivitä arvio vähintään kerran vuodessa.

Kirjaa tietoturvapolitiikka: tavoitteet, vastuut ja periaatteet. Valmis pohja nopeuttaa työtä.

Kirjaa poikkeamaohje: kuka päättää, kehen soitetaan, miten järjestelmä eristetään ja miten tapahtumat dokumentoidaan.

Ota käyttöön lokien keruu ja hälytykset tärkeimmistä järjestelmistä, esimerkiksi Microsoft 365:n valmiit hälytykset.

Kirjaa ilmoitusketju ja viranomaisen yhteystiedot: ennakkovaroitus 24 tunnissa, häiriöilmoitus 72 tunnissa ja loppuraportti kuukauden kuluessa.

Pidä vuosittain pöytäharjoitus, jossa kuviteltu häiriö käydään läpi havainnosta loppuraporttiin.

Varmuuskopioi myös pilvipalvelut, säilytä yksi kopio erillään ja testaa palautus säännöllisesti.

Kirjaa, miten tärkeimmät palvelut palautetaan ja kuka johtaa kriisissä. Pidä suunnitelma saatavilla myös silloin, kun järjestelmät eivät toimi.

Listaa toimittajat, joiden häiriö pysäyttäisi toimintanne, ja arvioi niiden tietoturva esimerkiksi kyselyllä.

Lisää sopimuksiin tietoturvaliite: vähimmäisvaatimukset, häiriöistä ilmoittaminen ja oikeus tarkastaa.

Ota automaattiset päivitykset käyttöön ja sovi, missä ajassa kriittiset haavoittuvuudet korjataan.

Lisää hankintojen tarkistuslistaan tietoturvavaatimukset: tunnistautuminen, lokit, tietojen sijainti ja päivitykset.

Sovi vuosikello: milloin toimet käydään läpi, kuka arvioi ja miten havainnot korjataan.

Valitse muutama mittari, esimerkiksi päivitysten kattavuus, monivaiheisen tunnistautumisen käyttöaste ja koulutuksen suorittaneiden osuus.

Järjestä säännöllinen koulutus ja harjoittele huijausviestien tunnistamista.

Kirjaa lyhyet ohjeet henkilöstölle ja käy ne läpi perehdytyksessä.

Ota levysalaus käyttöön kaikissa laitteissa ja varmista, että palvelut käyttävät salattuja yhteyksiä.

Kirjaa, mitä salataan, millä menetelmillä ja kuka hallitsee avaimia ja palautusavaimia.

Tee lista järjestelmistä ja käyttäjistä, anna oikeudet tarpeen mukaan ja tarkista ne säännöllisesti.

Kokoa laite- ja järjestelmäluettelo omistajineen ja pidä se ajan tasalla.

Ota monivaiheinen tunnistautuminen käyttöön kaikkialla, mihin pääsee internetistä, ja erityisesti ylläpitotunnuksissa.

Sovi varakanava ja pidä tärkeimmät yhteystiedot tallessa myös järjestelmien ulkopuolella.