モルドバの法 48/2023: NIS2 スタイルのサイバールールがあなたの会社の意味

長年、モルドバのサイバーセキュリティは、クライアントが尋ねた、または外国のパートナーが契約に置くため、会社がやったものでした。 法律第48 / 2023は、その圧力のソースを変更します。それは、EUのNIS2指令と同じアーキテクチャ上に構築された、サイバーセキュリティの国民の法的義務を作ります。 重要なサービスを供給したり、組織に販売したりする場合、このフレームワークは、次の契約でサプライチェーン条項を直接、または直接、またはそれを介して到達します。

What Law 48/2023は、実際には

Law No. 48/2023は、Moldova共和国のフィールドの法的および機関フレームワークを確立します。 組織が規制機関としてカウントされるかを定義します。, 彼らが実施しなければならない最小のリスク管理措置, 事件が報告される方法, およびどのように監理が行使. 設計は意図的にヨーロッパです:同じ本質的/重要な団体の区別、リスク管理措置の同じカテゴリ、およびNIS2.

で見つけられる同じtiered事件報告モデル そのアライメントは、モルドバン社の法律全体で最も有用な事実です。 既に欧州市場向けコンプライアンスプログラムを維持している場合 — NIS2 自体によって駆動されるか、クライアントのベンダーのアンケート、または親グループのセキュリティベースライン &mdash によって; あなたも国の要件をカバーしています。 逆は同様に真実であり、輸出業者にとっては、より価値のある方向です。 Chisinauがブリュッセル、フランクフルト、ブカレストによく旅行を満たせるようにする作業。

注意: NIS2アライメントは、欧州市場向けに構築されたコンプライアンス・プログラムが、国内の要件もカバーしています。 輸出業者にとって、その重複は両方に最も安いパスです。

誰が法律で落ちる

法律は、社会と経済の機能を重要視するサービスを提供する組織を対象としています。 セクターは、エネルギー、輸送、銀行および金融市場インフラ、健康、飲料水および廃水、デジタルインフラ、公共管理、郵便サービス、廃棄物管理、食品生産および流通、製造、デジタルサービスプロバイダ、および研究に従います。 NIS2に基づく

は、2つの変数に依存します。 あなたのセクターと組織のサイズ。 essential と important の区別は、主にコアの義務ではなく、監督の強度に反映されます。 エッセンシャル・エンティティティティティティティティティティティティティティティティは、積極的に &mdash を監督しています。 権威は何かが間違って行く前に来ると見えることができます。 重要なエンティティティティティティティティは、通常、インシデントまたはチップオフの後、より反応的に監視されます。 両方とも同じカテゴリの対策を実施し、インシデントを報告しなければなりません。

スコープ

ここは、ほとんどの企業が見逃している部分です。 指定されたエンティティティティを自分で指定していない場合でも、法律のサプライチェーンの義務は、ITプロバイダー、ホスティング会社、ソフトウェア開発者、メンテナンス請負業者への契約を通じて要件を押し下げます。 重要なエンティティティティティティティティは、その直接サプライヤーのセキュリティを管理し、契約者である実用的な方法です。セキュリティ条項、証拠要求、監査権、インシデント通知義務。 多くのMoldovan企業— SaaSベンダー、マネージドサービスプロバイダ、小規模な開発ショップ— 法律48 / 2023は、規制当局からの手紙として到着する前に、顧客の契約の条項として到着します。

それが課す義務

法律は、インスコープ組織が採用しなければならない最小限のリスク管理措置を設定します。 対象物質:

• 情報システムのセキュリティのためのリスク分析ポリシーとポリシー。
• インシデント処理: 有能な権限に対する検出、応答、および階層的な報告。
• サプライチェーンのセキュリティ、直接サプライヤーに課される要件を含む。
• 脆弱性管理によるシステムの取得、開発、メンテナンスにおけるセキュリティ。
• 対策の有効性を評価するためのポリシー — つまり、テストは、単なる文書化ではありません。
• Cyber 衛生とスタッフのトレーニング。
• Cryptography、アクセス制御、マルチファクター認証、安全な通信。

リストをもう一度読んで、意図ではなく証拠についてどれだけのことを通知します。 署名されたポリシー文書は、何かを書いたことを証明します。 コントロール作品は証明しません。 NIS2のような法律は、その違いを理解している人々によって書かれています。

事件報告は、ステージで起こります

NIS2-derivedモデルが3つの瞬間に報告を分割します。非常に高速な早期警告、最初の日に初期評価の通知、およびインシデントが閉鎖されると最終的なレポート。 正確な期限とフォームは、下位の規範的な行為によって設定されますが、構造は固定されています — そして、実用的な結果は鈍くなります。 あなたの内部の手順は、数週間ではなく、有用なメッセージを生成することができる必要があります。

プロセス設計の問題ではなく、事務処理の問題です。 イベントが報告可能なインシデントかどうかを決める人は誰ですか? 早期警告を2時送信する権限は誰ですか? 技術的な詳細が &mdash から来ている場所、 SIEM、EDR、ホスティングプロバイダのログ? 実際のインシデント中に回答を発見する組織は、早期警告ウィンドウを完全に見逃す傾向があります。

セキュリティテストは、

そのリスト上の2つの義務は、文書で閉鎖することはできません。 最初は、対策の有効性を評価しています。 — 防衛が実際に保持している独立した検証が必要です。 2 つは脆弱性管理 &mdash です。, 他の人がそれらを見つける前に持っている脆弱性を知っている必要があります。. 貫通テストは両方をカバーし、監督当局の証拠フォーマットを生成します。スコープ、方法論、発見、是正、retest.

4行目は重点を置いています。 継続計画は予測可能な場所で失敗します:復元されていないバックアップ、ダウンしたシステムに保存された回復資格情報、単一のDNSプロバイダに依存する障害。 プランを書いたのと同じチームによって実行されるテーブルトップの練習のその表面のどれも。 誰かが実際に回復パスを破るためにしようとすると、それは表面します。

法律は名前で貫通テストを必要としますか?

No— これは混乱の一般的なソースです。 NIS2 と同様に、法律 48/2023 はリスク管理措置の有効性を評価し、脆弱性管理を必要としているポリシーが必要ですが、特定の方法が義務付けられません。 実際には、しかし、これらの2つの義務は文書だけで実証することはできません。 技術的、独立した検証が必要であり、貫通試験は、その証拠の最も直接的な形式です。 また、アーティファクトを正確に生成するために起こります。 重度の、方法論、発見、是正、retest.

注意:脆弱性スキャンは浸透テストではなく、監査人はますます違いを知っています。 スキャンは、どのようなツールが見えるかを列挙します。テストは、攻撃者が実際にそれらを一緒にチェーンすることで達成できるものを示しています。 証拠フォルダにのみスキャナ出力が含まれている場合は、質問を期待してください。

NIS2 と GDPR

Law 48/2023 は NIS2 のモデルと モルドバの国のアライメントです。そのため、要件はほぼ完全に重複します: 同じカテゴリの対策、同じエンティティティティティカル、同じティアドインシデントレポート。 既に他の管轄区域で NIS2 に取り組んでいる場合は、起動しません。

GDPR は異なるフレームワークの &mdash です。それは、個人データの &mdash の保護に懸念しています。しかし、技術的な対策で、法律 48/2023 に違反しています。 GDPR第32条は、それらの対策の有効性の定期的なテストを必要とします。 1つのウェルスコープテストキャンペーンは、したがって、全国のサイバーセキュリティ法、NIS2、およびGDPRのセキュリティ処理義務の3つの証拠を生成することができます。 それについて考える効率的な方法です。 3つのプログラムではなく、3つのレポート出力を持つ1つのプログラム。

あなたが何もしなかった場合は起動する 在庫および周囲から始めて下さい。 最初に提供するサービスをサポートするシステムを確立し、誰がそれらにアクセスしているかを確立します。 その後、インターネットにさらされているものを技術的に確認します。 プログラムの開始時に外部の貫通テストは、あなたに真の優先リストを与え、最も一般的な故障モードを回避します。管理インターフェイスは、公に到達可能な、非パッチ付き、待機している間、ポリシーを書く月。

ドキュメントは、他の方法よりも明確な技術的な画像の上に構築しやすくなります。 法律48/2023に苦しむチームは、弱技術&mdashの1つです。 彼らは政策を最初に書いたものであり、後で自分の不動産が実際にどのように見えるかを発見しました。

正直な評価はこれです: 法律 48/2023 は、既に実行中のセキュリティプログラムが行わないことを要求しません。 変化は、需要が現在外部、日付、および証拠であるということです。 ドキュメント演習として扱う組織は、監査を通過し、インシデントに失敗します。 彼らの防衛&mdashをテストする理由としてそれを扱うもの; 何が露出されているかから始めて、そして再テスト&mdashを通して発見に従う; コンプライアンスよりも価値のある何かに終わる: 彼らが実際に示すことができる防御可能な位置。