Индустрии
Сајбер безбедност прилагодена на вашиот сектор
Обврските на една банка не се исти со оние на едно министерство или на средна компанија. Подолу објаснуваме што значат законот усогласен со NIS2 и DORA за секоја од четирите групи, со што најчесто се соочуваат и како помагаме.
01
Банки и финансиски институции
Банкарството и финансискиот пазар се меѓу областите во кои законот усогласен со NIS2 веќе се применува за средните и големите субјекти. Ако сте ќерка-компанија на банкарска или осигурителна група од ЕУ, групата од вас бара и усогласеност со DORA, иако таа регулатива во Македонија не важи директно.
Предизвици
- Две рамки истовремено: домашниот закон и барањата на групата според DORA, Регулатива (ЕУ) 2022/2554, која во ЕУ се применува од 17 јануари 2025.
- Кратки рокови: прво известување најдоцна три часа откако ќе дознаете за значаен инцидент, потоа рано предупредување за 24 часа и известување за инцидентот за 72 часа.
- Електронското банкарство, мобилните апликации и платните системи се постојана мета, а секој прекин клиентите го чувствуваат веднаш.
- Зависност од ИКТ добавувачи и облак-услуги, која мора да се управува како ризик во ланецот на снабдување.
Како помагаме
- Управуван SOC 24/7 со временска линија за секој случај, од која ги подготвувате известувањата до надлежниот тим и до групата.
- Пенетрациско тестирање и red teaming на е-банкарство, мобилни апликации и API-ја, како дел од тестирањето на дигиталната оперативна отпорност.
- Проценка според главните области на DORA: управување со ИКТ ризици, ИКТ инциденти и известување, тестирање на отпорноста, ризик од трети страни и споделување информации.
- Една рамка на контроли според ISO/IEC 27001:2022, мапирана и на законот и на DORA, за да не ја работите истата работа двапати.
02
Јавен сектор и критична инфраструктура
Собранието, самостојните државни органи и регулаторните тела, Владата, министерствата, органите на државната управа, судовите, општините и Градот Скопје се суштински субјекти според законот. Суштински се и сопствениците и операторите на критична инфраструктура, без оглед на големината. Законот не е задолжителен за Министерството за внатрешни работи, Агенцијата за национална безбедност, Оперативно-техничката агенција, Дирекцијата за безбедност на класифицирани информации, Агенцијата за разузнавање, Министерството за одбрана и Јавното обвинителство, а не се применува на Народната банка.
Предизвици
- Задолжителен офицер за сајбер безбедност: институциите назначуваат еден или повеќе административни службеници, кои директно одговараат пред раководството.
- Проактивен надзор, вклучително и проверки на лице место од надлежниот орган и ревизии од ревизори со лиценца од Министерството за дигитална трансформација или други институции што ги дозволува законот.
- Регистрација и известување преку единствениот портал за сајбер безбедност, со прво известување најдоцна три часа по дознавањето за значаен инцидент.
- Набавки: Министерството е должно да бара сертифицирани ИКТ производи и услуги, според правилник на министерот, и води регистар на високоризични ИКТ добавувачи, кои се исклучени од јавните набавки.
Како помагаме
- Проценка на моменталната состојба наспроти десетте мерки од законот и годишна проценка на ризиците што раководството може да ја разгледа и усвои.
- Поддршка за вашиот офицер за сајбер безбедност: методологија, политики, евиденција на инциденти и докази подготвени за надзор. Официјалната ревизија не ја вршиме ние, туку ве подготвуваме за неа.
- Мониторинг 24/7 со временски линии на случаите, за првото известување и следните извештаи да тргнат навреме.
- Редовни обуки за раководството и вработените, какви што бара законот, и фишинг симулации што покажуваат каде е потребна дополнителна поддршка.
03
Средни компании
Ако сте средна или голема компанија во енергетиката, транспортот, банкарството, финансискиот пазар, здравството, дигиталната инфраструктура или управувањето со ИКТ услуги (B2B), законот веќе се однесува на вас: средните субјекти се важни, а големите суштински. Големината се утврдува според класификацијата во Законот за трговските друштва, а не според дефиницијата на ЕУ за мали и средни претпријатија.
Предизвици
- Прво треба да знаете дали сте опфатени: големината според Законот за трговските друштва, областа во која работите и дали вашата област, на пример производство или храна, е одложена до пристапувањето во ЕУ.
- Мониторингот ноќе и за викенд бара тим во смени, што тешко се оправдува за мал ИТ оддел.
- Регулираните клиенти мора да управуваат со ризикот во својот ланец на снабдување, па можат да побараат докази за безбедност и од вас како добавувач.
- Политиките и документацијата за усогласеност одземаат време што тимот го нема.
Како помагаме
- Краток разговор во кој проверуваме дали сте опфатени и дали би биле суштински или важен субјект.
- Прво пенетрациско тестирање со јасен опфат, фиксна понуда и извештај со наоди подредени по приоритет.
- Управуван SOC 24/7 наместо сопствен тим во смени.
- План за NIS2 или ISO/IEC 27001:2022 по мерка на компанијата: прво мерките што најмногу го намалуваат ризикот, потоа останатото.
04
Меѓународни компании во Македонија
Ако вашата група е во ЕУ или пошироко, а дел од работата ви е во Македонија, ви треба локален партнер што ги познава македонските прописи и известува на англиски, во формат што го користи вашата група.
Предизвици
- Два режима истовремено: политиките на групата, а во ЕУ и NIS2 или DORA, плус македонскиот закон, чии рокови не се исти со NIS2, бидејќи бара прво известување најдоцна три часа по дознавањето за значаен инцидент.
- Странските даватели на облак-услуги, податочни центри, управувани и управувани безбедносни услуги без седиште во Македонија мора да регистрираат претставник во Министерството за дигитална трансформација.
- Безбедносниот тим на групата бара наодите и инцидентите на англиски, во својата структура и ритам.
- Законот, подзаконските акти и постапките кај надлежните органи се на македонски јазик.
Како помагаме
- Локален SOC и тим за одговор на инциденти во Скопје, во иста временска зона со вашата канцеларија тука, кој може да дојде на лице место.
- Извештаи, временски линии на случаите и резимеа за управата на англиски, а по потреба и на македонски за надлежните органи.
- Мапирање на контролите на групата, на пример според ISO/IEC 27001:2022, NIS2 или DORA, на македонскиот закон, за да покажете усогласеност на двете места.
- Пенетрациски тестови според OWASP, PTES и NIST SP 800-115, со наоди оценети по CVSS, во формат што вашата група го прифаќа.
Да разговараме за вашата безбедност
Кажете ни што ви треба: мониторинг 24/7, тестирање или подготовка за законот усогласен со NIS2. Во краток разговор ќе ги договориме опфатот и следните чекори.
Пон–Пет 09:00–17:00 · SOC 24/7 · info@diverto.mk