Je pátek odpoledne a výpadek úložiště zasáhl několik systémů. Kromě obnovy provozu teď běží i druhé hodiny: pokud jde o významný incident, je potřeba ho v krátké lhůtě nahlásit. Někdo se zeptá: „Které služby to zasáhlo, kolik uživatelů a jak kritické jsou?“ Odpověď se skládá z monitoringu, tabulky služeb a paměti zkušených kolegů. Stejné otázky přijdou při kontrole – jen s odstupem a s požadavkem na důkazy.
Na co se regulace ptají
NIS2 a DORA mají jiný rozsah i jiné dozorové orgány, ale z pohledu IT provozu se opakují tytéž požadavky:
- znát dopad výpadku na služby a jejich kritičnost,
- hlásit významné incidenty ve stanovených lhůtách a s dostatečnými podklady,
- řídit změny a zranitelnosti a umět doložit, kdo co schválil,
- mít přehled o ICT službách a dodavatelích, na kterých provoz závisí,
- dohledat odpovědnost – kdo je vlastníkem služby a kdo co kdy změnil.
Žádný z těch požadavků není nový. Nový je tlak na to, aby odpovědi byly rychlé, úplné a doložitelné.
Co z toho dnes pokrývá Stilla
Základ regulatorních odpovědí tvoří data, která Stilla vede pro běžný provoz:
- Mapa závislostí od business služby po infrastrukturu a výpočet dopadu s ohledem na redundanci – clustery, replikace databází, zrcadlené úložiště.
- Vlastník každé služby, role s rozsahem a RACI matice, u které Stilla kontroluje soulad s oprávněními.
- Neměnná auditní stopa na pět let; u konfigurace se ukládá stav před změnou i po ní.
- Řízené změny se schválením vlastníkem zasažené služby, servisní okna a změnová zmrazení.
- Servisní kontrakty a SLA dodavatelů včetně eskalace incidentu na dodavatele podle smlouvy.
- Zranitelnosti po službách s termíny podle závažnosti a s rozlišením aktivně zneužívaných chyb.
Když se incident stane, Stilla ukáže zasažené služby z mapy závislostí, ne z odhadu. Vlastník služby je dohledatelný a historie změn ukáže, co se v posledních dnech měnilo.
Co připravujeme
Na těchto datech stavíme regulatorní výstupy, které dnes ještě nejsou součástí produktu:
- klasifikaci významného incidentu podle kritérií NIS2 a DORA, odvozenou z dopadu v CMDB,
- předvyplněný podklad pro hlášení s časovou osou a dopadem,
- registr ICT služeb a dodavatelů podle DORA.
Princip zůstane stejný jako v celém produktu: Stilla podklady připraví, rozhoduje a odesílá vždy člověk. Termín uvolnění upřesníme s pilotními zákazníky.
Kde začít
Regulatorní odpověď je tak dobrá, jak dobrá jsou data pod ní. Proto doporučujeme začít tam, kde se to vyplatí i bez regulace: u klíčových služeb, jejich vlastníků a mapy závislostí. Kdo tohle má v pořádku, má hotovou většinu práce – a v pátek odpoledne odpovídá z dat, ne z paměti.
Stilla nenahrazuje právní posouzení. Konkrétní povinnosti vaší organizace posuďte se svým compliance týmem.
Stilla Standard
Pro organizace, které chtějí spolehlivou CMDB a řízené ITSM procesy.