NIS-2 gereksinimleri ve bunların MDM ile uygulanması

NIS-2 direktifinin gereklilikleri, birçok küçük ve orta ölçekli şirket için büyük zorluklar oluşturuyor. Genellikle şu sorular netlik kazanmaz:

• Şirketim bu kapsamda mı?
• Gereklilikler ne zamana kadar uygulanmalı?
• Hangi teknik önlemler gerekli?

Bu yazımızda, NIS-2 politikasını nasıl uygulayabileceğinizi ve Mobil Cihaz Yönetimi (MDM)‘nin bu süreçte nasıl bir rol oynadığını öğreneceksiniz.

NIS-2’nin Hedefleri ve Gereklilikleri

NIS-2 yönergesi, 2016 yılında yürürlüğe giren Avrupa Güvenlik Direktifi NIS’in gözden geçirilmiş ve genişletilmiş bir versiyonudur. Amacı, özellikle kritik altyapılara yönelik giderek karmaşıklaşan saldırılar karşısında AB üye ülkelerinde siber güvenliği güçlendirmektir. NIS-2’nin teorik olarak Ekim 2024’te yürürlüğe girmesi planlansa da, Almanya’da uygulamanın Mart 2025’e kadar ertelenmesi bekleniyor. Bu ek süreyi gerekli hazırlıkları yapmak için kullanın.

Hangi Şirketler Etkileniyor?

Şirketinizin NIS-2 kapsamında olup olmadığını anlamak için Google’da kısa bir arama yaparak birçok (ve ücretsiz) kontrol aracı bulabilirsiniz. NIS-2 şu sektörlerdeki şirketleri kapsar:

• Enerji ve su temini
• Ulaşım ve trafik
• BT ve telekomünikasyon
• Bankacılık ve finansal piyasa altyapıları
• Sağlık hizmetleri
• Dijital altyapı
• Kamu yönetimi
• Uzay teknolojileri

Etkilenen Şirketler Şunlara Sahiptir:

• 50 veya daha fazla çalışan
• 10 milyon Euro’dan fazla yıllık ciro veya bilanço
• Kritik altyapıda faaliyet gösteren küçük şirketler de kapsama dahil olabilir.

NIS-2 ile Gelen Yenilikler

Önemli bir yenilik, şirketlerin etkilenip etkilenmediğini sınıflandırmak için kullanılan “boyut sınırı” kuralının getirilmesidir. Halihazırda GDPR veya KRITIS’e uygun güvenlik önlemleri almış olan şirketler için NIS-2’ye uyum sağlamak genellikle kolay olacaktır. Ancak, mevcut önlemleri olmayan şirketler daha büyük zorluklarla karşılaşabilir. Alman Federal Bilgi Güvenliği Ofisi (BSI) bu konuda rehberlik sağlar.

NIS-2 Nasıl Uygulanabilir?

Şirketiniz doğrudan etkilenmese bile siber güvenlik konusunu düşünmek faydalıdır. Sonuçta, tüm şirketler GDPR’ye tabidir ve müşteri, çalışan ve tedarikçi verilerini korumakla yükümlüdür. Neyse ki, dijital verileri ve süreçleri güvence altına almak için zaman ve bütçe açısından uygun, kolay yöntemler zaten mevcuttur. Gelecekte NIS-2 gerekliliklerini karşılamak için ilk adımları atmanıza yardımcı olacak küçük bir kontrol listemiz var:

1. Mevcut Güvenlik Durumunu Analiz Edin:

Kuruluşunuzun güvenlik durumu hakkında kapsamlı bir değerlendirme ile başlayın ve olası zayıf noktaları belirleyin. Çalışanların kendi cihazlarını (örneğin USB bellek, veri kablosu vs.) kullanması gibi küçük görünen ayrıntılara da dikkat edin. Özel dizüstü bilgisayar veya mobil cihaz kullanımı da analiz edilmelidir. Çalışanların siber güvenlik konusundaki bilgi düzeylerini belirleyin ve buna göre eğitim ihtiyaçlarını değerlendirin.

2. Bir Risk Yönetim Planı Oluşturun:

Siber güvenlikte önleyici ve savunmaya yönelik önlemler, saldırıya tepki vermekten ve hasarı onarmaktan çok daha az zaman ve maliyet gerektirir. Bu nedenle, tüm belirlenen zayıf noktaları etkili bir şekilde güvence altına alacak bir plan oluşturmak esastır. Örneğin, çalışanların profesyonel amaçlar için özel e-posta adreslerini kullandığını fark ederseniz, bunu yalnızca yasaklamamalı, aynı zamanda MDM gibi teknik önlemlerle de engellemelisiniz.

3. Düzenli Eğitimler Planlayın:

En büyük risk faktörü insandır. Bu nedenle, veri koruma ve mevcut güvenlik tehditleri konularında düzenli eğitimler verilmesi son derece önemlidir. BSI, 2024 yılında yaptığı bir araştırmada, katılımcıların %26’sının hangi önlemi alacaklarını bilemediklerini belirtmiştir. Eğitimler, çalışanların günlük iş yaşamında doğrudan uygulayabileceği pratik ipuçları içermelidir. Ayrıca, kurum genelinde stratejik noktalara yerleştirilecek küçük uyarı notları da farkındalığı artırabilir.

4. Olay Durumunda Bir Müdahale Planı Hazırlayın (Incident Response Plan):

En iyi güvenlik önlemlerine rağmen sorunlar meydana gelebilir. Bu durumda nasıl tepki vereceğinizi önceden belirlemeniz gerekir: Hangi sistemler hemen devre dışı bırakılacak? Çalışanlar nasıl bilgilendirilecek? Hangi olaylar güvenlik ihlali sayılır ve nasıl cezalandırılır?
Tüm bu soruların cevapları, küçük olaylardan kritik düzeydeki olaylara kadar kategorilere ayrılmalı. Ayrıca, müşteriler ya da iş ortakları gibi etkilenen üçüncü tarafların ne zaman ve nasıl bilgilendirileceği de belirlenmelidir.

5. İş Ortakları ve Tedarikçileri Sürece Dahil Edin:

İş birliği yaptığınız şirketlerin de veri koruma düzenlemelerine uymasına ve ideal olarak kapsamlı bir siber güvenlik stratejisine sahip olmasına dikkat edin. Ortak şirketlerden birinde yaşanacak bir güvenlik ihlali, sizin şirketinizi de riske atabilir. Güvenlik politikalarınızı iş ortaklarınıza bildirin ve gerekirse dış taraflar için belirli davranış kuralları oluşturun. Örneğin, tesislere giriş öncesi kayıt zorunluluğu veya fotoğraf/video çekim yasağı getirilebilir. Dış firmaların doğrudan ağınıza erişimi olmamalı; dosya ve erişim yalnızca gerçekten gerekliyse paylaşılmalıdır.