Ráðgjöf og Innleiðing öryggisstaðla NIS2, DORA, ISO/IEC 27001, PCI DSS

Við veitum ráðgjöf til fjármálafyrirtækja, fyrirtæka í verslun og þjónustu, opinberra stofnana, þjónustuaðila í opinberri stjórnsýslu og allra sem falla undir kröfur og gildissvið ofangreindra öryggisstaðla. Ráðgjöf gefur falist í innleiðingu öryggisstaðla að fullu eða aðstoð og leiðsögn við hluta þeirra.

NIS2 tilskipun ESB/EES um net- og upplýsingaöryggi

NIS2 er Evróputilskipun sem leysti af hólmi eldri tilskipun, NIS (sem lögleidd var á Íslandi árið 2019), og snýst um að stórefla kröfur hins opinbera um öryggi í rekstri og meðferð stafrænna innviða samfélagsins. Tilskipunin er lagaleg skylda og samræmir öryggiskröfur á víðtækan hátt og gengur út á að vernda mikilvæga innviði samfélagsins gegn netógnum. Tilskipunin tekur til fleiri þátta en áður gilti. Starfssemi er nú flokkuð í tvo flokka, nauðsynlega (e. essential) innviði og mikilvæga (e. important) innviði. NIS2 innleiðir strangara eftirlit og viðurlög við brotum og misfellum, sumir aðilar, svo sem sveitarfélög og hið opinbera, verða þó undanþegnir viðurlögum og sektum.

Stýringar og ferli sem þarf að koma á undir NIS2 tilskipuninni eru m.a.:

  • Viðbragðsáætlun vegna netárása og bilana í upplýsingakerfum
  • Fjölþátta auðkenning notenda
  • Örugg dulritun gagna
  • Greining og skráning veikleika í upplýsingakerfum
  • Tilkynningarskylda vegna öryggisatvika
  • Regluleg námskeið og fræðsla í upplýsinga- og netöryggi fyrir starfsfólk
  • Öryggisstefna
  • Eignaskráning upplýsingaeigna
  • Reglulegt áhættumat fyrir upplýsingaeigur
  • Vitund, samþykki og lagaleg ábyrgð æðstu stjórnenda

Við hvetjum þá sem falla undir NIS2 tilskipunina til að vera í sambandi við okkur um hvernig best er taka fyrstu skrefin. Fyrirtæki og stofnanir sem hafa innleitt og vinna skv. ISO 27001 teljast uppfylla stóran hluta NIS2 krafnanna nú þegar.

DORA reglugerð ESB/EES um upplýsingaöryggi fjármálastofnana

DORA (Digital Operational Resilience Act) er sérsniðin löggjöf og regluverk sem tekur til fjármálamarkaðar aðildarlanda ESB/EES og gengur nokkuð lengra en NIS2 í kröfum til fyrirtækja á þessum markaði. Reglugerðin nær til nánast allra fyrirtækja í fjármálageiranum, s.s. banka, sparisjóði og lánastofnanir, greiðslukorta og greiðslumiðlunar, tryggingafélög, verðbréfasjóði og þriðja aðila sem veita þessum aðilum þjónustu í upplýsingatækni.

Meginþættir DORA-regluverksins eru þessir helstir:

  • Áhættustýringar í upplýsingatækni
  • Tilkynningarskylda vegna öryggisatvika og bilana
  • Reglulegar prófanir á viðnámsþoli í rekstri upplýsingakerfa
  • Áhættustýringar vegna þriðja aðila
  • Miðlun upplýsinga um netógnir og árásir

Fyrirtæki sem falla undir DORA reglugerðina þurfa ekki að innleiða NIS2, enda er DORA víðtækara og strangara regluverk en felst í NIS2 og felur í sér strangari kröfur um prófanir og stýringar.

ÍST EN ISO/IEC 27001 öryggisstaðalinn – Stjórnunarkerfi um upplýsingaöryggi

ISO 27001 er alþjóðlegur og vel þekktur staðall sem setur fram og skilgreinir kröfur fyrir stjórnunarkerfi upplýsingaöryggis (ISMS, e. information security management system). Í stuttu máli sagt er hann eins konar handbók fyrirtækja og stofnana um það hvernig vernda skuli mikilvæg gögn, lágmarka áhættu og tryggja samfelldan rekstur upplýsingakerfa.

Meginmarkmiðið með ISO 27001 eru þessi:

  • Trúnaður (e. confidentiality) – aðeins þeir sem hafa rétt til að sjá gögn geti það.
  • Réttleiki (e. integrity) – að gögn séu rétt hverju sinni og að þeim sé ekki breytt eða þau eyðilögð af vegna mistaka eða af völdum tölvuþrjóta.
  • Tiltækileiki (e. availability) – að gögn og kerfi séu aðgengileg þeim sem á þurfa að halda, þegar þess þarf.

Segja má að staðallinn byggi á stöðugri áhættustýringu og umbótum í rekstri upplýsingakerfa. Hann skiptist í raun í tvo meginhluta: 1) Stjórnunarkerfið sjálft, sem er ferli þar sem félagið skuldbindur sig til að meta áhættur í rekstri reglulega (áhættumat), fræða starfsfólk og bregðast við öryggisatvikum; og 2) öryggisvarnir (viðauki A), sem gátlisti stýringa fyrir ákveðnar varnir, t.d. aðgangsstýringar, dulritun gagna, líkamlegt öryggi í húsnæði og mannauðsöryggi sem fyrirtæki þarf að viðhafa til að lágmarka þær áhættur sem greindust í áhættumati.

ISO 27001 á að vera lifandi stjórnunartæki sem hjálpar fyrirtækjum að vera skrefi á undan stafrænum ógnum með skipulögðum og viðurkenndum hætti. Góð innleiðing staðalsins gengur út á góða og skýra skjölum og góða verkferla. Innleiðing krefst þess ekki að dýr hugbúnaður sé keyptur til verksins. Við getum aðstoðað þitt fyrirtæki við fyrstu skrefin, hluta innleiðingarinnar eða farið með ykkur alla leið.

PCI DSS öryggisstaðall greiðslukortafélaganna

Stóru greiðslukortafyrirtækin gera kröfur til sölu- og þjónustuaðila, sem stunda viðskipti með greiðslukort á einn eða annan hátt, að uppfylla kröfur um upplýsingaöryggi. Kröfur PCI DSS staðalsins eiga við alla sem stunda viðskipti með greiðslukort, en það fer eftir stærð og umfangi sölu- og þjónustuaðila nánar hvort og hvaða kröfur og stýringar þarf að innleiða til að uppfylla staðalinn. Við bjóðum ráðgjöf og þjónustu við alla þætti PCI DSS staðalsins.

Áður en hafist er handa við innleiðingu kröfustaðla PCI DSS, er mikilvægt að bera kennsl á og afmarka þann búnað, sem meðhöndlar og vinnur með greiðslukortaupplýsingar í upplýsingakerfum einhvern hátt. Kröfur PCI DSS staðalsins eiga við þau kerfi fyrst og fremst, ásamt ákveðnum kjarnakerfum sem teljast nauðsynleg. Með því að afmarka umfang búnaðar er mögulegt að lágmarka kostnað sem hlýst af hlítingu við PCI DSS staðalinn.

Öllum sölu- og þjónustuaðilum, óháð stærð, er ráðlagt að svara sjálfsmati (e. self assessment questionary – SAQ). Söluaðilar sem fara árlega yfir 20.000 kortafærslur vegna netviðskipta og/eða heildarfjöldi kortafærsla fer yfir eina milljón árlega, eru hins vegar skyldaðir til að svara og skila inn sjálfmati. Við veitum aðstoð og ráðgjöf við vinnu og útfyllingu sjálfsmatsins og ráðleggum um úrbætur sem gæti þurft að legga í til að standast kröfur staðalsins.

Söluaðilar sem fara yfir 20.000 árlegar færslur í netviðskiptum og/eða heildarfjöldi færsla fer yfir ein milljón árlega þurfa að láta framkvæma svokölluð PCI öryggisskönn á ytri netum sínum af viðurkenndum skanaðila. Bithex ehf. framkvæmir viðurkennd veikleika- og öryggisskönn fyrir sölu- og þjónustuaðila. Veikleikaskönn ganga út á það að prófa reglulega öll ytri upplýsingakerfi fyrirtækis þar sem höndlað er með greiðslukortaupplýsingar. Skimað er eftir þekktum veikleikum og prófað er fyrir stillingingum í netþjónum sem geta leitt til öryggisgalla. Atriði eru flokkuð í áhættuþrep og fyrirtæki teljast uppfylla skilyrði um PCI DSS hlítingu ef engar alvarlegar öryggisveilur koma fram.

Þeir sölu- og þjónustuaðilar sem höndla yfir sex milljón greiðslukortafærsla árlega þurfa að innleiða PCI DSS staðalinn í heild sinni. Í því felst að skila inn sjálfmati og láta framkvæma öryggisskönn og öryggisúttektir, en að auki Þarf að semja við viðurkenndan úttektaraðila sem tekur út og vottar innleiðingu staðalsins hjá viðkomandi fyrirtæki árlega.

Ráðgjafar Bithex ehf ráðleggja og veita aðstoð við innleiðingu PCI DSS staðalsins. Við mælum með aðgerðaáætlun sem tekur miða af eftirfarandi verkþáttum:

  1. Afmörkun netþjóna og búnaðar í PCI DSS safn.
  2. Yfirferð staðalsins og samanburður við núverandi kerfi og högun.
  3. Úrbætur og innleiðing stýringa til að uppfylla kröfur staðalsins.
  4. Árlegt ferli fyrir vottun, öryggisprófanir, úttektir og veikleikaskönn.

Bithex ehf. veitir þjónustu, sem krafist er í öryggisstaðlinum PCI DSS. Við hvetjum alla til að vera í sambandi til að fá nánari upplýsingar um hvað af þessu á við um starfsemi þeirra fyrirtækis og hvernig best er taka fyrstu skrefin.