Jak wdrożyć raportowanie incydentów NIS2 z wykorzystaniem AI

Przegląd

Dowiesz się, jak użyć AI do zbudowania pełnej zdolności raportowania incydentów NIS2 zgodnej z Artykułem 23. Przewodnik obejmuje kryteria istotności incydentów, obowiązkowy proces raportowania w ciągu 24 godzin, 72 godzin i miesiąca, szablony wczesnego ostrzegania, formaty powiadomień o incydentach z wskaźnikami kompromitacji (IOC), strukturę raportu końcowego z analizą przyczyn źródłowych, dobrowolne raportowanie zagrożeń i incydentów bliskich przeoczeniu, a także integrację z krajowym CSIRT.

Dla kogo jest ten przewodnik

Ten przewodnik jest przeznaczony dla:

• Kierowników reakcji na incydenty i liderów SOC budujących procesy raportowania zgodne z NIS2
• Dyrektorów ds. bezpieczeństwa informacji (CISO) odpowiedzialnych za ustanowienie zdolności raportowania incydentów, które spełniają terminy określone w Artykule 23
• Oficerów ds. zgodności, którzy muszą zapewnić, że procedury raportowania spełniają wymagania organów nadzorczych
• Konsultantów ds. bezpieczeństwa wdrażających raportowanie incydentów dla klientów z sektorów regulowanych przez NIS2
• Członków organów zarządzających, którzy muszą zrozumieć swoje obowiązki w zakresie powiadamiania i nadzoru

Zanim zaczniesz

Będziesz potrzebować:

• Konta w ISMS Copilot (dostępna darmowa wersja próbna)
• Klasyfikacji swojej jednostki NIS2 (podstawowa lub ważna) -- zobacz Jak rozpocząć wdrażanie NIS2 z wykorzystaniem AI
• Dane kontaktowe do krajowego CSIRT i właściwego organu
• Swojej Polityki Reakcji na Incydenty (zobacz Jak stworzyć polityki cyberbezpieczeństwa NIS2 z wykorzystaniem AI w celu uzyskania wskazówek dotyczących generowania)
• Zrozumienia swoich krytycznych usług i systemów z oceny ryzyka (zobacz Jak przeprowadzić ocenę ryzyka NIS2 z wykorzystaniem AI)

Zrozumienie wymagań dotyczących raportowania incydentów NIS2

Czego wymaga Artykuł 23

Artykuł 23 Dyrektywy NIS2 ustanawia wieloetapowy framework powiadamiania o istotnych incydentach. Każdy etap ma określone wymagania dotyczące treści i terminy.

Etap raportowania

Termin

Wymagania dotyczące treści

Odbiorca

Wczesne ostrzeżenie

W ciągu 24 godzin od uzyskania świadomości

Wskazanie, czy incydent jest podejrzewany o spowodowanie przez nielegalne lub złośliwe działania; wskazanie, czy może mieć wpływ transgraniczny

Krajowy CSIRT lub właściwy organ

Powiadomienie o incydencie

W ciągu 72 godzin od uzyskania świadomości

Aktualizacja wczesnego ostrzeżenia; wstępna ocena dotkliwości i wpływu; wskaźniki kompromitacji (IOC), jeśli są dostępne

Krajowy CSIRT lub właściwy organ

Raport pośredni

Na żądanie CSIRT lub właściwego organu

Aktualizacje statusu dotyczące obsługi i odzyskiwania po incydencie

Krajowy CSIRT lub właściwy organ

Raport końcowy

W ciągu jednego miesiąca od powiadomienia o incydencie

Szczegółowy opis incydentu, w tym dotkliwość i wpływ; rodzaj zagrożenia lub przyczyna źródłowa; zastosowane i trwające środki łagodzące; wpływ transgraniczny (jeśli dotyczy)

Krajowy CSIRT lub właściwy organ

Raport o postępach (dla trwających incydentów)

Po upływie miesiąca, jeśli incydent nadal trwa

Aktualizacja postępów zamiast raportu końcowego; raport końcowy należy złożyć w ciągu miesiąca od rozwiązania incydentu

Krajowy CSIRT lub właściwy organ

Co sprawia, że incydent jest "istotny"

Artykuł 23(3) definiuje istotny incydent jako taki, który:

• (a) Spowodował lub jest w stanie spowodować poważne zakłócenia operacyjne usług lub straty finansowe dla danej jednostki
• (b) Wpłynął lub jest w stanie wpłynąć na inne osoby fizyczne lub prawne, powodując znaczne szkody materialne lub niematerialne

Komisja Europejska może dodatkowo uszczegółowić kryteria istotności incydentów poprzez akty wykonawcze. Ustawy implementacyjne krajowe mogą również określać dodatkowe lub bardziej szczegółowe progi. Twoja organizacja musi ustanowić wewnętrzne kryteria klasyfikacji, które są zgodne z tymi definicjami.

Dobrowolne raportowanie

Artykuł 23 zachęca również do dobrowolnego raportowania:

• Incydentów bliskich przeoczeniu (incydentów, które mogłyby spowodować znaczny wpływ, ale zostały zapobiegnięte lub wykryte wcześnie)
• Znaczące zagrożenia cybernetyczne, które mogą potencjalnie spowodować istotne incydenty
• Informacji, które mogłyby pomóc w zapobieganiu lub reagowaniu na incydenty wpływające na inne jednostki

Krok 1: Zbuduj macierz klasyfikacji incydentów

Definiowanie progów istotności

Zanim będziesz mógł raportować incydenty, potrzebujesz jasnych, jednoznacznych kryteriów określających, kiedy incydent przekracza próg "istotności" i uruchamia obowiązki raportowania NIS2.

1. Wygeneruj macierz klasyfikacji:

   "Utwórz kompleksową macierz klasyfikacji incydentów dla zgodności z Artykułem 23 NIS2 w naszej organizacji z sektora [sektor] (sklasyfikowanej jako jednostka [podstawowa/ważna]). Macierz powinna zawierać: cztery poziomy dotkliwości (Krytyczny, Wysoki, Średni, Niski) z jasnymi kryteriami dla każdego. Dla każdego poziomu zdefiniuj: progi wpływu operacyjnego (czas trwania zakłócenia usług, procent dotkniętych użytkowników, poziom degradacji), progi wpływu finansowego (koszty bezpośrednie, potencjalne kary regulacyjne, utrata przychodów), progi wpływu na dane (liczba ujawnionych rekordów, typy danych, wpływ na poufność/integralność/dostępność), wpływ na strony trzecie (liczba dotkniętych jednostek, potencjał wpływu na cały sektor) oraz wpływ reputacyjny. Wyraźnie zaznacz, które poziomy dotkliwości stanowią 'istotny incydent' zgodnie z Artykułem 23(3) i uruchamiają obowiązkowe raportowanie. Dołącz przykłady specyficzne dla sektora [sektor]."

2. Utwórz drzewo decyzyjne do klasyfikacji:

   "Utwórz drzewo decyzyjne dla osób reagujących w pierwszej kolejności, aby szybko określić, czy incydent jest 'istotny' zgodnie z Artykułem 23 NIS2 i wymaga raportowania. Drzewo decyzyjne powinno być możliwe do użycia w ciągu 30 minut od wykrycia incydentu. Zawrzyj pytania tak/nie obejmujące: (1) Czy dostarczanie usług jest zakłócone lub zagrożone? (2) Czy incydent dotyczy systemów lub danych krytycznych? (3) Czy może wpłynąć na inne jednostki lub osoby? (4) Czy istnieją dowody na złośliwą lub nielegalną działalność? (5) Czy może wystąpić wpływ transgraniczny? Każdą ścieżkę przyporządkuj do poziomu klasyfikacji i wymaganych działań reakcyjnych."

3. Wygeneruj przykłady istotności specyficzne dla sektora:

   "Wygeneruj 15 realistycznych scenariuszy incydentów dla organizacji z sektora [sektor] i zaklasyfikuj każdy jako istotny lub nieistotny zgodnie z Artykułem 23(3) NIS2. Dla każdego scenariusza wyjaśnij uzasadnienie klasyfikacji. Dołącz scenariusze graniczne, aby zilustrować, gdzie potrzebne są decyzje oparte na ocenie. Posłuży to jako materiał szkoleniowy dla naszego zespołu reagowania na incydenty."

Krok 2: Stwórz proces i szablon wczesnego ostrzeżenia w ciągu 24 godzin

Zrozumienie wymagań dotyczących wczesnego ostrzeżenia

Wczesne ostrzeżenie to Twoja pierwsza komunikacja z krajowym CSIRT lub właściwym organem. Musi zostać przesłane w ciągu 24 godzin od uzyskania świadomości o istotnym incydencie. Wymagania dotyczące treści są celowo minimalne, aby umożliwić szybkie raportowanie -- nie oczekuje się, że na tym etapie będziesz miał pełny obraz sytuacji.

1. Wygeneruj szablon wczesnego ostrzeżenia:

   "Utwórz szablon raportu wczesnego ostrzeżenia zgodny z Artykułem 23 NIS2 dla naszej organizacji z sektora [sektor]. Szablon musi zawierać wszystkie pola wymagane w oknie 24-godzinnym: identyfikacja jednostki raportującej (nazwa, numer rejestracyjny NIS2, sektor, klasyfikacja jednostki), identyfikator incydentu (wewnętrzny numer referencyjny), data i godzina uzyskania świadomości, krótki opis incydentu (co się stało, jakie systemy/usługi są dotknięte), czy incydent jest podejrzewany o spowodowanie przez nielegalne lub złośliwe działania (tak/nie/nieznane z uzasadnieniem), czy może mieć wpływ transgraniczny (tak/nie/nieznane z uzasadnieniem), wstępna ocena zakresu (dotknięte usługi, zakres geograficzny), osoba kontaktowa do dalszych działań (imię, rola, telefon, email, bezpieczny kanał komunikacji) oraz wszelkie podjęte natychmiastowe działania. Sformatuj jako formularz, który można wypełnić w 15 minut."

2. Zbuduj proces wczesnego ostrzeżenia:

   "Utwórz krok po kroku proces przesyłania 24-godzinnego wczesnego ostrzeżenia NIS2, od wykrycia incydentu do przesłania raportu. Zawrzyj: (1) wykrycie i wstępną klasyfikację (cel: 2 godziny), (2) ocenę istotności przy użyciu naszej macierzy klasyfikacji (cel: 1 godzina), (3) powiadomienie kierownika ds. incydentów i osoby kontaktowej CSIRT (cel: 30 minut), (4) wypełnienie raportu wczesnego ostrzeżenia (cel: 30 minut), (5) wewnętrzną akceptację (CISO lub wyznaczony autorytet) (cel: 1 godzina), (6) przesłanie do krajowego CSIRT poprzez [określ kanał], (7) wewnętrzną dokumentację i śledzenie. Dołącz cele czasowe dla każdego kroku, które zapewnią dotrzymanie 24-godzinnego terminu z marginesem. Określ, kto jest odpowiedzialny za każdy krok, procedury eskalacji, jeśli osoby odpowiedzialne są niedostępne, oraz procedury po godzinach pracy."

Krok 3: Stwórz proces i szablon powiadomienia o incydencie w ciągu 72 godzin

Zrozumienie wymagań dotyczących powiadomienia

72-godzinne powiadomienie o incydencie aktualizuje wczesne ostrzeżenie o dodatkowe szczegóły. Na tym etapie Twoje dochodzenie powinno być na tyle zaawansowane, aby dostarczyć wstępną ocenę dotkliwości, wpływu i wskaźników kompromitacji.

1. Wygeneruj szablon powiadomienia o incydencie:

   "Utwórz szablon powiadomienia o incydencie zgodny z Artykułem 23 NIS2 (raport 72-godzinny) dla naszej organizacji. Zawrzyj wszystkie wymagane pola: odniesienie do raportu wczesnego ostrzeżenia, zaktualizowany opis incydentu z dodatkowymi szczegółami, wstępną ocenę dotkliwości incydentu (przy użyciu naszej macierzy klasyfikacji), ocenę wpływu -- dotknięte usługi, liczba dotkniętych użytkowników/jednostek, czas trwania zakłócenia, wskaźniki kompromitacji (IOC), jeśli są dostępne -- adresy IP, domeny, skróty plików, sygnatury złośliwego oprogramowania, zaobserwowane TTP (Taktyki, Techniki, Procedury), identyfikację wektora ataku (jeśli znany na tym etapie), dotknięte systemy i sieci, podjęte wstępne środki powstrzymania i łagodzenia, ocenę wpływu transgranicznego, ocenę, czy incydent został spowodowany przez nielegalne lub złośliwe działania, oraz wszelką pomoc zażądaną od CSIRT. Dołącz sekcję załącznika dla technicznych szczegółów IOC."

2. Zbuduj procedurę zbierania IOC:

   "Utwórz procedurę zbierania i formatowania wskaźników kompromitacji (IOC) do powiadomienia o incydencie NIS2. Obejmij: typy IOC do zebrania (wskaźniki sieciowe, wskaźniki hosta, wskaźniki emailowe, wskaźniki plików), metody i narzędzia zbierania, zachowanie dowodów i łańcucha dowodowego, standardy formatowania IOC (STIX/TAXII, jeśli ma zastosowanie), klasyfikację IOC (oznaczenia TLP -- Traffic Light Protocol), co należy uwzględnić w raporcie 72-godzinnym, a co przekazać oddzielnie do CSIRT, oraz jak postępować z wrażliwymi IOC, które mogą ujawnić wewnętrzną architekturę."

3. Zbuduj proces powiadomienia w ciągu 72 godzin:

   "Utwórz szczegółowy proces dla 72-godzinnego powiadomienia o incydencie NIS2. Zawrzyj: działania dochodzeniowe do wykonania w oknie 72-godzinnym (analiza logów, wstępna analiza forensyczna, ekstrakcja IOC, ocena wpływu), kroki dotyczące zbierania i zachowania dowodów, proces tworzenia raportu z udziałem zespołu technicznego/prawnego/komunikacji, wewnętrzny proces przeglądu i akceptacji, procedurę przesłania do krajowego CSIRT, powiadomienie interesariuszy (organ zarządzający, dotknięte strony, organy ścigania, jeśli dotyczy), oraz wymagania dotyczące dokumentacji. Określ role, cele czasowe i procedury eskalacji."

Krok 4: Stwórz proces i szablon raportu końcowego w ciągu miesiąca

Zrozumienie wymagań dotyczących raportu końcowego

Raport końcowy jest najbardziej kompleksowym dokumentem i musi zawierać szczegółowy opis incydentu, analizę przyczyn źródłowych oraz środki łagodzące. Jeśli incydent nadal trwa po upływie miesiąca, należy przesłać raport o postępach, a raport końcowy dostarczyć w ciągu miesiąca od rozwiązania incydentu.

1. Wygeneruj szablon raportu końcowego:

   "Utwórz szablon raportu końcowego o incydencie zgodny z Artykułem 23 NIS2 dla naszej organizacji z sektora [sektor]. Zawrzyj wszystkie wymagane sekcje: (1) Podsumowanie wykonawcze (jednostronicowy przegląd dla zarządu i organu nadzorczego), (2) Harmonogram incydentu (chronologiczna sekwencja od pierwszych wskaźników przez wykrycie, raportowanie, powstrzymanie, eliminację i odzyskiwanie, z znacznikami czasu), (3) Szczegółowy opis incydentu (dotknięte systemy, wektor ataku, ocena sprawcy zagrożenia, dane, których dotyczy incydent), (4) Ocena dotkliwości i wpływu (ostateczna ocena wpływu operacyjnego, finansowego, na dane i na strony trzecie przy użyciu naszej macierzy klasyfikacji), (5) Analiza przyczyn źródłowych (techniczna przyczyna źródłowa, czynniki przyczyniające się, systemowe słabości, które umożliwiły incydent), (6) Wskaźniki kompromitacji (pełna lista IOC z klasyfikacjami), (7) Zastosowane środki łagodzące (natychmiastowe powstrzymanie, działania eliminacyjne, kroki odzyskiwania), (8) Trwające środki łagodzące (długoterminowe poprawki, ulepszenia kontroli, usprawnienia monitoringu), (9) Ocena wpływu transgranicznego, (10) Wnioski i zalecenia zapobiegawcze, (11) Załączniki (dowody techniczne, szczegóły harmonogramu, szczegóły IOC). Sformatuj do przesłania do krajowego CSIRT."

2. Wygeneruj metodologię analizy przyczyn źródłowych:

   "Utwórz metodologię analizy przyczyn źródłowych (RCA) dla raportów końcowych o incydentach NIS2. Zawrzyj: techniki RCA odpowiednie dla incydentów cyberbezpieczeństwa (Pięć Dlaczego, Diagram Ishikawy/Rybiego Ości, Analiza Drzewa Błędów), jak odróżnić przyczynę bezpośrednią od przyczyny źródłowej, szablon do dokumentowania procesu RCA i ustaleń, jak identyfikować czynniki przyczyniające się (techniczne, procesowe, ludzkie, organizacyjne), jak wyprowadzać działania korygujące i zapobiegawcze z przyczyn źródłowych, oraz jak prezentować ustalenia RCA zarówno dla odbiorców technicznych, jak i organu zarządzającego."

3. Zbuduj szablon raportu o postępach dla trwających incydentów:

   "Utwórz szablon raportu o postępach NIS2 dla incydentów, które nadal trwają po upływie miesiąca. Zawrzyj: odniesienie do oryginalnego wczesnego ostrzeżenia i powiadomienia, aktualny status incydentu i faza reakcji, zaktualizowaną ocenę wpływu, działania podjęte od ostatniego raportu, trwające środki powstrzymania i eliminacji, szacowany harmonogram rozwiązania oraz wszelkie zaktualizowane IOC lub informacje o zagrożeniach."

Krok 5: Zbuduj playbooki reakcji na incydenty

Playbooki specyficzne dla scenariuszy zintegrowane z raportowaniem NIS2

Playbooki przekładają Twoją politykę reakcji na incydenty i procesy raportowania na konkretne, możliwe do wykonania procedury dla typowych rodzajów incydentów. Każdy playbook powinien integrować kamienie milowe raportowania NIS2 z procesem reakcji.

1. Wygeneruj playbook dla ransomware:

   "Utwórz kompleksowy playbook reakcji na incydenty typu ransomware dla naszej organizacji z sektora [sektor] zintegrowany z raportowaniem zgodnym z Artykułem 23 NIS2. Zawrzyj: wyzwalacze wykrycia i początkowe wskaźniki, natychmiastowe działania powstrzymujące (izolacja sieci, rotacja poświadczeń), ocenę istotności NIS2 (ransomware wpływające na usługi podstawowe/ważne jest prawie zawsze istotne), wyzwalacz i wypełnienie 24-godzinnego wczesnego ostrzeżenia, zachowanie dowodów (nie wyłączaj zaszyfrowanych systemów, przechwyć pamięć), kroki dochodzenia forensycznego, ekstrakcję IOC do powiadomienia w ciągu 72 godzin, kroki eliminacji (usunięcie złośliwego oprogramowania, zamknięcie wektora dostępu), odzyskiwanie z kopii zapasowych offline, ocenę eksfiltracji danych, wypełnienie powiadomienia w ciągu 72 godzin z IOC, koordynację z organami ścigania, ramy decyzyjne dotyczące płatności okupu, weryfikację przywrócenia usług, raport końcowy po miesiącu z analizą przyczyn źródłowych oraz ulepszenia po incydencie."

2. Wygeneruj playbook dla wycieku danych:

   "Utwórz playbook reakcji na incydenty związane z wyciekiem danych zintegrowany z raportowaniem zgodnym z Artykułem 23 NIS2 i Artykułem 33/34 RODO. Obejmij: wykrycie i ocenę ekspozycji danych, określenie zakresu (jakie dane, ile rekordów, jakie kategorie), ocenę istotności NIS2, 24-godzinne wczesne ostrzeżenie, powstrzymanie nieautoryzowanego dostępu, ocenę powiadomienia w ciągu 72 godzin zgodnie z RODO (równolegle do raportowania NIS2), zbieranie IOC i 72-godzinne powiadomienie NIS2, ocenę powiadomienia dotkniętych osób (Artykuł 34 RODO), dochodzenie forensyczne i zachowanie dowodów, raport końcowy NIS2 po miesiącu oraz koordynację między raportowaniem do CSIRT NIS2 a powiadomieniem organu ochrony danych osobowych (DPA) zgodnie z RODO."

3. Wygeneruj playbook dla ataku DDoS:

   "Utwórz playbook reakcji na incydenty typu DDoS dla naszej organizacji z sektora [sektor] z raportowaniem zgodnym z NIS2. Obejmij: wykrycie (anomalie ruchu, monitorowanie degradacji usług), wstępną ocenę (atak wolumetryczny, protokołowy lub na warstwę aplikacji), ocenę istotności NIS2 (czy dostarczanie usług do użytkowników/jednostek zależnych jest zakłócone?), 24-godzinne wczesne ostrzeżenie, jeśli istotne, aktywację łagodzenia DDoS (filtrowanie upstream, CDN, usługi oczyszczania), ciągłe monitorowanie usług, zbieranie IOC (adresy IP źródłowe, sygnatury ataku, wzorce), powiadomienie w ciągu 72 godzin, jeśli ma zastosowanie, dochodzenie, czy DDoS jest potencjalnym odwróceniem uwagi od wtórnego ataku oraz analizę po incydencie."

4. Wygeneruj playbook dla kompromitacji łańcucha dostaw:

   "Utwórz playbook reakcji na incydenty związane z kompromitacją łańcucha dostaw z raportowaniem zgodnym z NIS2. Obejmij: wykrycie kompromitacji dostawcy (powiadomienie od dostawcy, anomalie w zachowaniu zaufanego oprogramowania/usług), ocenę wpływu na nasze systemy i dane, ocenę istotności NIS2 (kompromitacja łańcucha dostaw często ma implikacje transgraniczne), 24-godzinne wczesne ostrzeżenie z oceną wpływu transgranicznego, powstrzymanie (izolacja dotkniętych połączeń z dostawcą, unieważnienie poświadczeń, blokowanie skompromitowanych aktualizacji), koordynację z kompromitowanym dostawcą, ocenę ruchu lateralnego, ekstrakcję i udostępnianie IOC, powiadomienie w ciągu 72 godzin, powiadomienie jednostek zależnych, którym świadczymy usługi oraz raport końcowy po miesiącu z wnioskami dotyczącymi łańcucha dostaw."

5. Wygeneruj playbooki specyficzne dla sektora:

   "Utwórz playbook reakcji na [kompromitację OT/ICS | zakłócenie systemów opieki zdrowotnej | naruszenie systemów finansowych | incydent w sieci energetycznej] specyficzny dla naszego sektora [sektor] zintegrowany z raportowaniem NIS2. Uwzględnij specyficzne dla sektora rozważania, takie jak [implikacje bezpieczeństwa, wpływ na pacjentów, stabilność rynku finansowego, ciągłość dostaw energii] oraz koordynację z organami specyficznymi dla sektora."

Krok 6: Ustanów integrację i kanały komunikacji z CSIRT

Nawiązanie kontaktu z krajowym CSIRT

NIS2 wymaga raportowania do krajowego CSIRT (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego) lub wyznaczonego właściwego organu. Każde państwo członkowskie UE wyznaczyło określone organy i ustanowiło mechanizmy raportowania.

1. Zidentyfikuj swój organ raportujący:

   "Pomóż mi zidentyfikować właściwy organ NIS2 i CSIRT dla [państwa członkowskiego]. Podaj: oficjalną nazwę i dane kontaktowe, portal raportowania lub metodę przesyłania, wszelkie specyficzne formaty raportów wymagane przez prawo implementacyjne tego państwa członkowskiego, wymagania rejestracyjne oraz wszelkie kanały raportowania specyficzne dla sektora, które mogą mieć zastosowanie do naszego sektora [sektor]."

2. Utwórz procedurę komunikacji z CSIRT:

   "Utwórz procedurę komunikacji z CSIRT dla naszego raportowania incydentów NIS2. Obejmij: podstawowe i zapasowe metody przesyłania (portal online, email, telefon), bezpieczne kanały komunikacji do udostępniania wrażliwych IOC, wyznaczone osoby kontaktowe CSIRT (podstawowe i zapasowe, z pokryciem 24/7), procedury eskalacji, jeśli kanały komunikacji z CSIRT są niedostępne, obsługę wskazówek i instrukcji otrzymanych od CSIRT podczas reakcji na incydent, klasyfikację i obsługę informacji (co można udostępnić, oznaczenia TLP), oraz koordynację z CSIRT w przypadku incydentów wielojednostkowych."

Krok 7: Zbuduj procedury dobrowolnego raportowania

Raportowanie incydentów bliskich przeoczeniu i zagrożeń

NIS2 zachęca (ale nie nakazuje) do dobrowolnego raportowania incydentów bliskich przeoczeniu, znaczących zagrożeń cybernetycznych oraz informacji, które mogłyby pomóc w zapobieganiu incydentom wpływającym na inne jednostki. Ustanowienie dobrowolnego raportowania świadczy o dojrzałym zarządzaniu bezpieczeństwem i buduje dobre relacje z organami nadzorczymi.

1. Wygeneruj procedurę dobrowolnego raportowania:

   "Utwórz procedurę dobrowolnego raportowania incydentów i zagrożeń dla zgodności z NIS2. Obejmij: definicję incydentów bliskich przeoczeniu, które podlegają raportowaniu (incydenty zapobiegnięte przez kontrolę, wykryte kampanie phishingowe, zablokowane próby włamań), definicję zagrożeń podlegających raportowaniu (informacje o bezpośrednich zagrożeniach dla naszego sektora, nowo odkryte luki w powszechnie używanych systemach), format raportowania dla dobrowolnych powiadomień (lżejszy niż obowiązkowe raporty, skupiony na praktycznych informacjach), wewnętrzny proces decyzyjny dotyczący przesyłania dobrowolnych raportów, rozważania dotyczące anonimizacji, jeśli ma to zastosowanie, oraz korzyści z dobrowolnego raportowania (relacje z CSIRT, udostępnianie informacji w sektorze)."

Krok 8: Wdróż wskaźniki raportowania i ciągłe doskonalenie

Pomiar efektywności raportowania incydentów

Artykuł 21(2)(f) wymaga oceny efektywności środków cyberbezpieczeństwa. Twoja zdolność do raportowania incydentów powinna być regularnie mierzona i doskonalona.

1. Zdefiniuj KPI raportowania:

   "Utwórz zestaw KPI do pomiaru efektywności naszej zdolności raportowania incydentów NIS2. Zawrzyj: średni czas wykrycia istotnych incydentów, średni czas od wykrycia do przesłania wczesnego ostrzeżenia, procent wczesnych ostrzeżeń przesłanych w ciągu 24 godzin, procent powiadomień przesłanych w ciągu 72 godzin, procent raportów końcowych przesłanych w ciągu miesiąca, wskaźnik jakości kompletności i dokładności raportów, liczba incydentów prawidłowo sklasyfikowanych jako istotne vs. nieistotne, wyniki ćwiczeń typu tabletop, czas nawiązania komunikacji z CSIRT podczas incydentów oraz częstotliwość raportowania organowi zarządzającemu na temat wskaźników incydentów."

2. Utwórz procedurę przeglądu po incydencie:

   "Utwórz procedurę przeglądu po incydencie, która szczególnie ocenia naszą wydajność w zakresie raportowania NIS2. Po każdym istotnym incydencie (oraz wybranych nieistotnych incydentach) przejrzyj: (1) czy incydent został prawidłowo sklasyfikowany pod kątem istotności NIS2? (2) czy dotrzymano wszystkich terminów raportowania? (3) czy treść raportu była kompletna i dokładna? (4) czy komunikacja z CSIRT była efektywna? (5) czy wszyscy wewnętrzni interesariusze zostali odpowiednio powiadomieni? (6) jakie ulepszenia są potrzebne w naszych procesach wykrywania, klasyfikacji lub raportowania? Udokumentuj ustalenia i śledź działania korygujące."

Typowe wyzwania i rozwiązania w zakresie raportowania incydentów

Wyzwanie

Ryzyko

Rozwiązanie

Niejasne kryteria istotności

Opóźnione raportowanie lub nadmierne raportowanie

Wdróż macierz klasyfikacji i drzewo decyzyjne z przykładami specyficznymi dla sektora

Brak pokrycia po godzinach pracy

Przekroczenie 24-godzinnego terminu dla incydentów wykrytych poza godzinami pracy

Ustanów rotację dyżurów 24/7 z upoważnieniem do przesyłania wczesnych ostrzeżeń

Luki w zbieraniu IOC

Niekompletne powiadomienie w ciągu 72 godzin

Zintegruj zbieranie IOC ze standardowymi procedurami forensycznymi; wstępnie skonfiguruj narzędzia do zbierania

Płytka analiza przyczyn źródłowych

Raporty końcowe, które nie spełniają oczekiwań organów nadzorczych

Użyj ustrukturyzowanej metodologii RCA; szukaj poza bezpośrednią przyczyną czynników systemowych

Koordynacja RODO/NIS2

Zduplikowane lub sprzeczne powiadomienia do różnych organów

Utwórz ujednolicony proces powiadamiania, który uwzględnia zarówno wymagania NIS2, jak i RODO

Awaria komunikacji z CSIRT

Nie można przesłać raportów podczas poważnego incydentu

Ustanów zapasowe kanały komunikacji; regularnie je testuj

Obawy prawne dotyczące ujawnienia

Opóźnione raportowanie z powodu wąskich gardeł związanych z przeglądem prawnym

Wstępnie zaakceptuj szablony raportów; zaangażuj dział prawny w tworzenie playbooków, a nie w akceptację każdego incydentu

Następne kroki

Po ustanowieniu zdolności raportowania incydentów, rozwiązałeś jeden z najbardziej czasowo wrażliwych i szczegółowo analizowanych obszarów zgodności z NIS2.

Kontynuuj z kolejnym przewodnikiem z tej serii:

• Bezpieczeństwo łańcucha dostaw: Zobacz Jak zarządzać bezpieczeństwem łańcucha dostaw NIS2 z wykorzystaniem AI, aby zbudować zdolność zarządzania ryzykiem łańcucha dostaw wymaganą przez Artykuł 21(2)(d) -- w tym jak incydenty w łańcuchu dostaw wpływają na Twoje procesy raportowania

Jeśli nie ukończyłeś jeszcze wcześniejszych kroków, zobacz:

• Jak rozpocząć wdrażanie NIS2 z wykorzystaniem AI w celu określenia zakresu i konfiguracji zarządzania
• Jak przeprowadzić ocenę ryzyka NIS2 z wykorzystaniem AI w celu oceny ryzyka, która informuje Twoją klasyfikację incydentów
• Jak stworzyć polityki cyberbezpieczeństwa NIS2 z wykorzystaniem AI w celu stworzenia ram polityki, które regulują Twoją reakcję na incydenty

Aby uzyskać gotowe do użycia prompty dotyczące raportowania incydentów, zapoznaj się z Biblioteką Promptów Dyrektywy NIS2. Aby uzyskać kompleksowy przegląd wszystkich wymagań NIS2, zobacz Przewodnik zgodności NIS2 dla jednostek objętych zakresem.

Uzyskanie pomocy

Aby uzyskać dodatkowe wsparcie w zakresie raportowania incydentów NIS2:

• Zapytaj ISMS Copilot: Użyj swojego obszaru roboczego NIS2, aby zadawać pytania dotyczące raportowania incydentów, dostosowywania szablonów i tworzenia playbooków
• Symuluj incydenty: Poproś ISMS Copilot o wygenerowanie realistycznych scenariuszy incydentów do ćwiczeń typu tabletop i szkolenia zespołu
• Przeglądaj raporty: Prześlij projekty raportów o incydentach i poproś o sprawdzenie kompletności pod kątem wymagań Artykułu 23
• Wymagania krajowe: Zapytaj o specyficzne formaty raportów, portale lub dodatkowe wymagania nałożone przez prawo implementacyjne Twojego państwa członkowskiego