NIS2 กับธุรกิจไทยและยุโรป สิ่งที่คุณต้องทำจริง ๆ

คำสั่ง NIS2 (EU 2022/2555) แทนที่คำสั่ง NIS ฉบับแรก และขยายขอบเขตองค์กรที่ต้องปฏิบัติตามข้อกำหนดด้านความปลอดภัยไซเบอร์อย่างชัดเจน พูดสั้น ๆ คือ มีธุรกิจมากขึ้นที่อยู่ในขอบเขต ข้อกำหนดเป็นรูปธรรมมากขึ้น และความรับผิดชอบถูกยกขึ้นถึงระดับผู้บริหาร

นี่คือสิ่งที่กรอบนี้หมายถึงในทางปฏิบัติ และควรเริ่มจากอะไร

คุณอยู่ในขอบเขตหรือไม่

มีสองคำถามที่ตัดสิน คือ คุณอยู่ในภาคส่วนใด และ คุณมีขนาดใหญ่แค่ไหน

ในทางปฏิบัติ ภาคส่วนแบ่งออกเป็นสองกลุ่ม กลุ่มแรกได้แก่ พลังงาน การขนส่ง การธนาคารและตลาดการเงิน สาธารณสุข น้ำดื่ม น้ำเสีย โครงสร้างพื้นฐานดิจิทัล การจัดการบริการ ICT และอวกาศ กลุ่มที่สองได้แก่ บริการไปรษณีย์และขนส่งพัสดุ การจัดการของเสีย เคมีภัณฑ์ อาหาร การผลิต ผู้ให้บริการดิจิทัล และการวิจัย

ด้านขนาด กรอบนี้มุ่งเป้าที่วิสาหกิจขนาดกลางและขนาดใหญ่เป็นหลัก แต่มีข้อยกเว้นสำคัญ หน่วยงานบางประเภทอยู่ในขอบเขตโดยไม่คำนึงถึงขนาด เช่น ผู้ให้บริการความน่าเชื่อถือที่ผ่านการรับรอง ผู้ให้บริการบริการสื่อสารอิเล็กทรอนิกส์สาธารณะ และผู้ให้บริการ DNS หลัก ธุรกิจขนาดเล็กก็อาจอยู่ในขอบเขตได้หากเป็นผู้ให้บริการรายเดียวของบริการที่สำคัญต่อสังคม

ข้อสรุป: จัดทำการประเมินภาคส่วน ขนาด และกฎพิเศษที่อาจเกี่ยวข้องเป็นลายลักษณ์อักษร หากไม่แน่ใจ ให้ถือว่าคุณอาจอยู่ในขอบเขตและตรวจสอบให้ชัด ซึ่งถูกกว่าการค้นพบระหว่างการตรวจสอบของหน่วยงาน

ข้อกำหนดด้านเนื้อหา

NIS2 ไม่ใช่รายการผลิตภัณฑ์ แต่เป็นข้อกำหนดต่อระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ โดยมีขอบเขตพื้นฐานดังนี้

• การวิเคราะห์ความเสี่ยงและนโยบายความปลอดภัย ที่เป็นลายลักษณ์อักษรและถูกนำไปใช้จริง
• การจัดการเหตุการณ์ ที่มีบทบาทชัดเจน ช่องทางส่งต่อ และการซ้อม
• ความต่อเนื่องทางธุรกิจ สำรองข้อมูล กู้คืน และแผนรักษาหน้าที่สำคัญ
• ห่วงโซ่อุปทาน คุณรับผิดชอบความปลอดภัยของผู้ให้บริการที่คุณใช้ ไม่ใช่เพียงของคุณเอง
• การจัดการช่องโหว่และการอัปเดต รวมถึงขั้นตอนรับมือช่องโหว่ที่รู้จัก
• การยืนยันตัวตนหลายปัจจัย และการปกป้องการสื่อสารในจุดที่เหมาะสม
• การฝึกอบรม ผู้บริหารและพนักงาน
• การเข้ารหัส ในจุดที่เหมาะสม

การรายงานคือกำหนดเวลาที่ตึงที่สุด

การรายงานเหตุการณ์เป็นส่วนที่ถูกประเมินต่ำที่สุด เพราะนาฬิกาเดินสวนทางกับคุณ สำหรับเหตุการณ์สำคัญ NIS2 กำหนดการรายงานหลายขั้น คือ แจ้งเตือนเบื้องต้นภายใน 24 ชั่วโมง รายงานเหตุการณ์ภายใน 72 ชั่วโมง และรายงานฉบับสมบูรณ์ภายในหนึ่งเดือน

ในทางปฏิบัติ หมายความว่าขั้นตอนนี้คิดขึ้นในระหว่างเกิดเหตุไม่ได้ คุณต้องมี

1. คำจำกัดความของเหตุการณ์สำคัญที่มาจากธุรกิจ ไม่ใช่จากฝ่ายไอที
2. บุคคลที่ได้รับมอบหมายให้ส่งการแจ้งเตือนเบื้องต้นได้ แม้ในเวลาตีสาม
3. แบบฟอร์มและช่องทางติดต่อหน่วยงานกำกับ เตรียมไว้ก่อนจำเป็น
4. บันทึกที่ทำให้คุณอธิบายได้ว่าเกิดอะไรขึ้นภายใน 72 ชั่วโมง

ความรับผิดชอบของผู้บริหาร

หนึ่งในการเปลี่ยนแปลงสำคัญคือ ผู้บริหารมอบหมายความรับผิดชอบต่อไม่ได้ ฝ่ายบริหารต้องอนุมัติมาตรการจัดการความเสี่ยง กำกับการนำไปใช้ และเข้ารับการฝึกอบรมด้านความปลอดภัยไซเบอร์ ในกรณีละเมิดร้ายแรง บทลงโทษอาจมุ่งที่องค์กร และในบางกรณีรวมถึงผู้บริหารเอง

ในทางปฏิบัติ NIS2 จึงเป็นเรื่องของผู้บริหาร ไม่ใช่ของฝ่ายไอที ก้าวแรกที่ดีคือการบรรจุความเสี่ยงไซเบอร์ไว้ในวาระถาวร ระบบใดสำคัญที่สุดของเรา เกิดอะไรขึ้นหากระบบนั้นหยุด 72 ชั่วโมง และใครรับผิดชอบ

ควรเริ่มจากอะไร

1. ประเมินขอบเขต ภาคส่วน ขนาด และกฎพิเศษ เป็นลายลักษณ์อักษร
2. วิเคราะห์ช่องว่าง เทียบกับข้อกำหนดข้างต้น จุดใดมีนโยบายจริง จุดใดเป็นเพียงความตั้งใจ
3. ขั้นตอนรับมือเหตุการณ์ก่อน มีกำหนดเวลาตึงที่สุดและถูกที่สุดในการจัดทำ
4. รายชื่อผู้ให้บริการ บุคคลที่สามรายใดเข้าถึงระบบสำคัญของคุณ และคุณกำหนดข้อกำหนดความปลอดภัยใดไว้ในสัญญา
5. การยืนยันจากผู้บริหาร การตัดสินใจ ความรับผิดชอบ และการฝึกอบรม เป็นลายลักษณ์อักษร

ทำตามลำดับนี้ ข้อกำหนดของกรอบคือการทำงานชุดเดียวกับที่ลดความเสี่ยงได้จริง ความต่างคือตอนนี้ต้องมีเอกสาร มีผู้รับผิดชอบ และแสดงให้เห็นได้