Zákon o kybernetickej bezpečnosti so smernicou NIS2 ukladajú firmám, inštitúciám aj samosprávam konkrétne povinnosti. V žiadnom ustanovení však nenájdete vetu, ktorá by odporúčala nástroje k ich naplneniu. Otázka pre IT manažérov preto znie: „Aká kombinácia nástrojov nám najlepšie pomôže plniť tieto povinnosti a zároveň poskytne dôkazy o ich plnení?“ V tomto článku si skúsime vysvetliť, prečo service desk postavený na štandardoch ITIL má v týchto nástrojoch vysokú prioritu.
Zákon predpisuje výsledky, nie nástroje
Prevádzkovatelia základných a kritických služieb dnes riešia rovnakú úlohu: preukázať bezpečnosť svojej prevádzky tým, že majú poriadok v aktívach, že incidenty riešia riadene a v termínoch, že zmeny sú schvaľované a riadené a podobne.
Problém nastáva vo chvíli, keď sa tieto povinnosti pokúsime naplniť tabuľkami v Exceli a e-mailovou komunikáciou. Údaje môžu byť neaktuálne, história rozhodnutí sa tým stráca a auditná stopa je ťažko dohľadateľná.
Sedem dôvodov, prečo je service desk dôležitý pre riadenie KB
Nižšie uvádzame sedem oblastí, v ktorých service desk priamo prispieva k plneniu povinností kybernetickej bezpečnosti. Prvé body ukazujú, ako sa do systému dostávajú a udržiavajú dáta o aktívach; ďalšie sa venujú riadeniu incidentov, zmien a prístupov; posledné dva pokrývajú oboznamovanie zamestnancov a preukázateľnosť pre audit.
1. CMDB databáza – Aktíva so zákonnou klasifikáciou
CMDB databáza v service desku slúži ako nástroj na klasifikáciu a evidenciu aktív, čo je úplným základom a prvým krokom budovania kybernetickej bezpečnosti. Aktíva delí na primárne a podporné, podporuje ďalšiu kategorizáciu a rôzne pohľady. K aktívam eviduje vlastníka a klasifikuje ich podľa C-I-A triády. Takto postavená CMDB je vstupom pre analýzu rizík, na ktorú NIS2 kladie vysoký dôraz.
2. Automatizovaný zber IT aktív
Nemôžete chrániť to, čo nevidíte. IT aktíva je preto ideálne do konfiguračnej databázy (CMDB) dostávať čo najviac automatizovane — z externých monitorovacích, inventárnych a bezpečnostných nástrojov, prípadne automatickým vyhľadaním zariadení v sieti. Zabezpečuje sa tak kompletný a aktuálny prehľad o HW a SW v sieti, a zároveň sa znižuje riziko Shadow IT.
3. Detekcie z monitoringu priamo do procesu riešenia
Bezpečnostné incidenty často nezačínajú telefonátom, ale detekciou v monitoringu alebo v bezpečnostných nástrojoch (napríklad EDR/XDR či SIEM). Ak udalosti a detekcie z týchto nástrojov padajú priamo do service desku, vzniká jeden záznam od detekcie cez riešenie až po dôkaz pre audit — bez ručného prepisovania medzi konzolami. Detekcia sa tak okamžite mení na riadený a termínovaný proces s jasným riešiteľom.
4. Incidenty s termínmi podľa ZoKB
Kvalitný service desk automaticky spúšťa procesy (workflow) pre kybernetické incidenty, čím garantuje dodržanie prísnych lehôt hlásenia úradu – 24 hodín na včasné varovanie a 72 hodín na oznámenie incidentu. V rámci týchto procesov systém dokumentuje každý krok, notifikuje manažéra kybernetickej bezpečnosti a automaticky eskaluje a postupne buduje kompletnú auditnú stopu.
5. Riadenie zmien a kontrola prístupov
Neriadená zmena v infraštruktúre je jednou z najčastejších príčin incidentov. Service desk by mal riadiť zmeny procesne – od posúdenia cez schválenie až po realizáciu a vyhodnotenie. Nad zmenovou požiadavkou by mal stáť manažér zmeny, ktorý analyzuje závislosť aktív a bezpečnostný dopad na dôvernosť, integritu a dostupnosť dotknutých aktív. Schvaľovanie je v dobrom service desku viacúrovňové a viazané na konkrétne konfiguračné položky a roly, pričom platí oddelenie právomocí.
Podobne je to pri správe zamestnaneckých prístupov do systémov — aj menšie organizácie musia preukázať, kto má aký prístup, prečo a dokedy. Dobre postavená CMDB spolu so schvaľovaním prístupov do systémov to umožní aj bez samostatného nástroja.
6. Manažment oboznamovania
V každej firme existuje rad bezpečnostných a organizačných opatrení, s ktorými musia byť zamestnanci preukázateľne oboznámení.
Oboznamovanie v service desku prebieha ako riadený proces. Dokument na oboznámenie sa môže naviazať na aktíva alebo záznamy, ktorých sa týka, a priradí sa konkrétnym zamestnancom, skupinám alebo rolám — každému vznikne požiadavka oboznámiť sa. Systém dokáže oboznámenie aj technicky vynútiť — napríklad tým, že dokument treba prejsť celý, až potom je možné ho odsúhlasiť.
7. Dôkazy pre regulátora priebežne
Pri audite kybernetickej bezpečnosti rozhoduje, či viete preukázať, čo sa stalo a ako ste reagovali. V dobrom service desku vznikajú auditná stopa, časové stopy, história zmien na úrovni aktíva aj reporting a export automaticky. Regulátora pritom nezaujímajú len jednotlivé tikety, ale najmä agregované ukazovatele — počet a závažnosť incidentov, časy detekcie a reakcie (MTTD, MTTR), podiel incidentov vyriešených v SLA či trendy za jednotlivé mesiace. Práve tie dokazujú, že
bezpečnostné procesy reálne fungujú, nie sú len opísané v dokumentácii.
Service desk je nástroj na plnenie a preukazovanie povinností; nenahrádza právne posúdenie rozsahu vašich povinností podľa ZoKB a NIS2. Konkrétny rozsah opatrení vyplýva z kategórie a postavenia vašej organizácie.
