CYBORA užtikrina visapusišką, automatizuotą ir rizikomis grindžiamą požiūrį į NIS2 (TIS2) direktyvos 21 straipsnyje numatytus kibernetinio saugumo rizikos valdymo reikalavimus. Platforma integruoja nuolatinį stebėjimą, grėsmių analizę ir procesų valdymą, leidžiantį organizacijoms pereiti nuo formalios atitikties prie realaus kibernetinio atsparumo.
1. Rizikų vertinimo metodika ir procesas
CYBORA rizikų vertinimas paremtas tarptautiniais standartais (ISO/IEC 27005, NIST SP 800-30) bei nacionaliniais kibernetinio saugumo reikalavimais:
Turtų (Assets) ir procesų inventorizacija:
Sistemingas kritinės infrastruktūros, informacinių sistemų, duomenų srautų ir susijusių tiekėjų identifikavimas.
Turtų klasifikavimas pagal jų svarbą veiklos tęstinumui ir poveikį organizacijai.
Grėsmių ir pažeidžiamumų identifikavimas:
Automatinis ir nepertraukiamas techninių pažeidžiamumų skenavimas sistemoje.
Išorinių ir vidinių grėsmių scenarijų modeliavimas, atsižvelgiant į sektoriaus specifiką ir aktualią kibernetinių grėsmių aplinką.
Rizikos lygio nustatymas ir prioritetizavimas:
Kvalitatinis ir kiekybinis rizikos vertinimas pagal formulę: $\text{Rizika} = \text{Poveikis} \times \text{Tikimybė}$.
Automatinis rizikų matricos generavimas, leidžiantis vadovybei aiškiai matyti kritines sritis ir priimti pagrįstus sprendimus.
2. NIS2 Kontrolės priemonių įgyvendinimas ir valdymas
CYBORA užtikrina sistemingą NIS2 21 straipsnyje numatytų techninių, operacinių ir organizacinių kontrolės priemonių diegimą bei stebėseną:
A. Organizacinė kontrolė ir valdymas
Politikos ir procedūros: Kibernetinio saugumo politikos, rizikos valdymo tvarkų bei saugumo procedūrų rengimo ir periodinio peržiūrėjimo palaikymas.
Atsakomybių priskyrimas: Aiškių vaidmenų ir atsakomybių paskirstymas organizacijos viduje, užtikrinant vadovybės įtraukimą (kaip reikalauja NIS2 20 straipsnis).
B. Techninė ir operacinė kontrolė
Prieigos valdymas ir MTI (MFA): Griežta prieigos teisių kontrolė, daugiafaktorio autentifikavimo (MFA) ir saugaus ryšio protokolų diegimas.
Incidentų valdymas ir reagavimas:
Automatinis incidentų aptikimas ir prioritetizavimas.
Sintezuoti reagavimo į incidentus scenarijai (Playbooks).
Integracija su pranešimų apie incidentus mechanizmais (pagal NIS2 reikalavimus informuoti NCSC / reguliuotoją per 24 val. / 72 val.).
Veiklos tęstinumas ir atsarginės kopijos: Backup valdymo stebėsena ir atkūrimo po incidentų (Disaster Recovery) planų testavimo kontrolė.
Tiekimo grandinės saugumas (Supply Chain Security): Trečiųjų šalių bei tiekėjų rizikos vertinimas, reikalavimų atitikties stebėjimas ir sutartinių saugumo įsipareigojimų kontrolė.
Tinklo ir sistemų saugumas: Šifravimas (perduodamiems ir saugomiems duomenims), tinklo segmentavimas bei nuolatinė pažeidžiamumų analizė.
3. Nuolatinė stebėsena, auditas ir atitiktis
Atitikties skydelis (NIS2 Compliance Dashboard): Realaus laiko rodikliai, rodantys organizacijos pasirengimo ir atitikties lygį pagal NIS2 reikalavimus.
Automatinis įrodymų rinkimas: Sisteminiai žurnalai (logs), auditų pėdsakai ir ataskaitos rengiamos automatiškai, taip sumažinant administracinę naštą pasiruošiant išorės auditams.
Nuolatinis korekcinis ciklas (PDCA): Rizikų ir kontrolės priemonių atnaujinimas pasikeitus teisiniam reglamentavimui, atsiradus naujoms grėsmėms ar po įvykusių saugumo incidentų.
Apibendrinimas: CYBORA sujungia rizikų vertinimą, kontrolės priemonių valdymą ir incidentų valdymą į vieningą ekosistemą, leidžiančią organizacijai užtikrinti pamatuojamą atitiktį NIS2 direktyvai ir sumažinti vadovybės teisinę bei operacinę riziką.
