NIS2 प्रबंधन दायित्व: क्या इससे बोर्ड के व्यवहार में बदलाव आएगा?

पिछले बीस वर्षों से सुरक्षा नेता बोर्ड से साइबर सुरक्षा को गंभीरता से लेने के लिए कहते आए हैं, जिसके नतीजे मिले-जुले रहे हैं। NIS2 प्रोत्साहन की संरचना बदल देता है। अनुच्छेद 20 के तहत दायरे में आने वाली संस्थाओं के प्रबंधन निकायों को साइबर सुरक्षा जोखिम-प्रबंधन उपायों को मंज़ूरी देनी होगी, उनके कार्यान्वयन की निगरानी करनी होगी, और स्वयं प्रशिक्षण लेना होगा, और उल्लंघनों के लिए वे दायी ठहराए जा सकते हैं। आवश्यक संस्थाओं के मामले में, राष्ट्रीय प्राधिकरण कुछ परिस्थितियों में किसी प्रबंधक को प्रबंधन कार्य करने से अस्थायी रूप से रोकने की मांग कर सकते हैं।

क्या इससे बोर्ड के व्यवहार में बदलाव आएगा? मेरा मानना है कि आएगा, लेकिन अपने-आप नहीं, और हमेशा उस तरीके से नहीं जैसा सुरक्षा टीमें उम्मीद करती हैं।

किसमें बदलाव आना चाहिए

• मंज़ूरी वास्तविक बनती है। जिस बोर्ड को उपायों को मंज़ूरी देनी है, और जिससे उनके लिए जवाबदेही ली जा सकती है, उसके पास यह समझने का कारण होता है कि वह किस चीज़ को मंज़ूरी दे रहा है।
• प्रशिक्षण वैकल्पिक नहीं रहता। निदेशकों को जोखिमों की पहचान और प्रबंधन प्रथाओं के आकलन के लिए पर्याप्त प्रशिक्षण लेना होगा। कई बोर्डों के पास पहली बार समझ का एक साझा आधार होगा।
• निगरानी को संरचना मिलती है। उपायों, घटनाओं और प्रगति पर नियमित रिपोर्टिंग अब एक कानूनी दायित्व है, शिष्टाचार नहीं।

क्या गलत हो सकता है

• दायित्व खानापूर्ति को बढ़ावा दे सकता है। निजी जोखिम को लेकर चिंतित बोर्ड सुरक्षा के बजाय अनुपालन के सबूत माँग सकते हैं: अधिक प्रमाणन, अधिक कागज़ी कार्रवाई, वही जोखिम।
• प्रशिक्षण औपचारिकता बन सकता है। सालाना एक घंटे का वीडियो प्रशिक्षण आवश्यकता के शब्दों को पूरा कर देता है, लेकिन कुछ नहीं बदलता।
• सुरक्षा टीमें डर पर अधिक निर्भर हो सकती हैं। "आप दायी ठहराए जा सकते हैं" एक बार ध्यान खींचता है। वह किसी कार्यक्रम को लंबे समय तक नहीं चला सकता।

बोर्डों को अभी क्या करना चाहिए

1. समझें कि वे किन उपायों को मंज़ूरी दे रहे हैं। अनुच्छेद 21 दस क्षेत्र सूचीबद्ध करता है; कार्यान्वयन विनियमन डिजिटल प्रदाताओं के लिए इन्हें विस्तार से बताता है। हर क्षेत्र में संगठन कहाँ खड़ा है, इसका एक-पेज का सार माँगें।
2. दस्तावेज़ नहीं, परिणाम माँगें। कोई गंभीर घटना हम कितनी तेज़ी से रिपोर्ट कर सकते हैं? हमने आखिरी बार बैकअप से कब रिस्टोर किया था? कौन-से सप्लायर हमें ठप कर सकते हैं?
3. ऐसा फ़्रेमवर्क इस्तेमाल करें जिसे बोर्ड पढ़ सके। NIST CSF 2.0 का "शासन करें" फ़ंक्शन ठीक बोर्ड के क्षेत्र को कवर करता है: संदर्भ, जोखिम रणनीति, भूमिकाएँ, नीति, निगरानी और आपूर्ति श्रृंखला। देखें CSF प्रोफ़ाइल के साथ बोर्ड को रिपोर्टिंग।
4. प्रशिक्षण को सार्थक बनाएँ: परिदृश्य-आधारित, व्यवसाय के अनुरूप, और बार-बार दोहराया जाने वाला।

बोर्ड कल ही कौन-से सवाल पूछ सकता है

बोर्ड को सुरक्षा का विशेषज्ञ बनने की ज़रूरत नहीं है ताकि वह सुरक्षा की अच्छी निगरानी कर सके। उसे ऐसे सवाल पूछने होंगे जिनका जवाब कोई दस्तावेज़ नहीं दे सकता:

• अगर आज रात हमारी सबसे महत्वपूर्ण प्रणाली रैनसमवेयर से एन्क्रिप्ट हो जाए, तो हमें दोबारा काम शुरू करने में कितना समय लगेगा, और हमने यह आखिरी बार कब जाँचा था?
• कौन-से तीन सप्लायर हमें सबसे ज़्यादा नुकसान पहुँचा सकते हैं, और उनकी सुरक्षा के बारे में हम क्या जानते हैं?
• इंटरनेट से जुड़ी प्रणालियों पर कितनी गंभीर कमज़ोरियाँ खुली हैं, और सबसे पुरानी कितनी पुरानी है?
• कौन तय करता है कि कोई घटना 24 घंटों के भीतर रिपोर्ट करने लायक गंभीर है, और क्या उन्होंने इसका अभ्यास किया है?
• हमारे आखिरी ऑडिट या मूल्यांकन में क्या निकला था, और तब से क्या बदला है?

जवाब सबूतों के साथ आने चाहिए: परीक्षण परिणाम, मीट्रिक, तारीखें। समय के साथ, बोर्ड के सवाल तय करते हैं कि प्रबंधन क्या मापता है, और यही ठीक वह निगरानी है जो अनुच्छेद 20 माँगता है। गैप विश्लेषण दिखाता है कि आपका मौजूदा फ़्रेमवर्क किन NIS2 उपायों को पहले से समर्थन देता है।

मुख्य बातें

• अनुच्छेद 20 बोर्डों को साइबर सुरक्षा को मंज़ूरी देने, उसकी निगरानी करने और उसके लिए प्रशिक्षण लेने के लिए बाध्य करता है।
• दायित्व वास्तविक निगरानी या अधिक कागज़ी कार्रवाई, दोनों को बढ़ा सकता है।
• बोर्डों को दस्तावेज़ नहीं, परिणाम और सबूत माँगने चाहिए।

अवसर

अनुच्छेद 20 सुरक्षा नेताओं को कानूनन बोर्ड का ध्यान दिलाता है। इसका सबसे अच्छा उपयोग दायित्व वाली धारा को लहराना नहीं है, बल्कि बोर्ड के सामने असली निर्णय रखना है: वह किस जोखिम को स्वीकार करने को तैयार है, किसके लिए धन देगा, और क्या देखने की अपेक्षा रखता है। यही शासन है। बाकी केवल कागज़ी कार्रवाई है।

व्यापक तस्वीर के लिए, NIS2 गाइड और हमारी NIS2 घटना रिपोर्टिंग प्रक्रिया पोस्ट देखें। NIS2 फ़्रेमवर्क पेज हर कार्यान्वयन विनियमन बिंदु को दस फ़्रेमवर्क से मैप करता है।

प्रश्न

NIS2 अनुच्छेद 20 प्रबंधन से क्या अपेक्षा रखता है?

आवश्यक और महत्वपूर्ण संस्थाओं के प्रबंधन निकायों को साइबर सुरक्षा जोखिम-प्रबंधन उपायों को मंज़ूरी देनी होगी, उनके कार्यान्वयन की निगरानी करनी होगी, प्रशिक्षण लेना होगा, और उल्लंघनों के लिए वे दायी ठहराए जा सकते हैं। सदस्य राज्य कर्मचारियों के लिए भी नियमित प्रशिक्षण को प्रोत्साहित करते हैं।

क्या NIS2 के तहत बोर्ड सदस्य व्यक्तिगत रूप से दायी ठहराए जा सकते हैं?

NIS2 के अनुसार सदस्य राज्यों को यह सुनिश्चित करना होगा कि उल्लंघनों के लिए प्रबंधन को दायी ठहराया जा सके, और आवश्यक संस्थाओं के लिए कुछ मामलों में प्रबंधन कार्यों से अस्थायी प्रतिबंध की अनुमति है। दायित्व कैसे काम करता है, यह राष्ट्रीय कानून पर निर्भर करता है।

NIS2 प्रबंधन निकायों को कौन-सा प्रशिक्षण लेना होगा?

ऐसा प्रशिक्षण जो जोखिमों की पहचान करने और साइबर सुरक्षा जोखिम-प्रबंधन प्रथाओं और उनके द्वारा संस्था की सेवाओं पर पड़ने वाले प्रभाव का आकलन करने के लिए पर्याप्त ज्ञान और कौशल दे। प्रारूप संस्था और राष्ट्रीय कानून पर निर्भर है।