عميلنا الكبير يقول إننا خاضعون لـ NIS2: ما هو NIS2، وهل ينطبق على شركة صغيرة في فرنسا؟

الإدارات القانونية في الشركات الكبيرة تنسخ هذه النصوص وترسلها للجميع للتهرب من المسؤولية. اهدأ، واجلس معهم على طاولة المفاوضات وقل: "نحن لسنا بنية تحتية حرجة لديكم، بل مزود برمجيات معزول"، وضيّق نطاق الطلبات.

استلمنا خطاباً مشابهاً قبل 3 أشهر من عميل في قطاع الطاقة. في البداية طلبوا تدقيقاً يشمل 60 بنداً. جلسنا وتحدثنا، واكتفينا بإثبات سجلات الوصول لقواعد البيانات والدخول بخطوتين وخفضنا البنود إلى 8 فقط، دون أن ننفق قرشاً إضافياً.

كيف ترتبطون بنظام العميل بالضبط؟ إذا كان لديكم وصول دائم وغير محدود إلى خوادمهم عبر VPN فمخاوف العميل مفهومة. هل الاتصال عبر API أحادي الاتجاه فقط أم أنكم داخل شبكتهم؟

ملاحظة: كتبت هذا بناءً على تجربتي الشخصية، قد لا ينطبق على الجميع.

أعد فوراً ملخصاً أمنياً: المصادقة الثنائية داخل الشركة، دورية النسخ الاحتياطي للبيانات، والتدريب الأمني الأساسي للموظفين. أرسل هذا لوحدة إدارة المخاطر لدى العميل وقل: "هذا هو ملفنا الأمني المناسب لحجم منشأة صغيرة".

يمتلئ السوق حالياً بمستشارين طارئين يحاولون فوترة الشركات الصغيرة بمبالغ 20-30 ألف يورو تحت مسمى "استشارات التوافق مع NIS2". إياك والتوقيع معهم، فاللائحة لا تفرض غرامات مباشرة على المنشآت الصغيرة.

المادة الثانية من توجيه الاتحاد الأوروبي تحدد بوضوح حدود حجم المنشآت. من مصلحتكم في الرد الرسمي للعميل الإشارة إلى تعريف المفوضية الأوروبية للمنشآت الصغيرة والمتوسطة وتأكيد عدم وجود التزام مباشر عليكم بصياغة قانونية.

عميلنا جانا بنفس القلق، اول ما الشركات تسمع اسم nis2 تبغى تدبس المورد في كل التكاليف. خلي التواصل هادي، واول ما توريهم الضوابط الاساسية الموضوع بيتقفل غالبا.

موضوع في الوقت المناسب تمامًا. نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف. إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

أتفق مع هذا. انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

يجب إجراء تمييز هنا. كل من يستعجل في ما هو nis2 يتعثر في نفس النقطة.

الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً. صححوا لي إن أخطأت.

إذا كنت ستسلك هذا المسار، فحل هذه المشكلة من البداية. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها. لو كنت مكانك، لسلك هذا المسار.

نعم، الوضع في موضوع ما هو nis2 هو بالضبط هكذا. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا. اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

تشتت النقاش، دعني ألخصه. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا ثم بصراحة مثبت بالتجربة.

أنت محق تمامًا. على كل حال كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

دعوني ألخص ما قيل حتى الآن. فعل الجميع لشيء ما لا يعني أنه صحيح.

إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

أنا أيضًا أوافق على هذا الرأي. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

أخذت ملاحظة، شكرًا لك. لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر. إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

نحن أيضاً واجهنا نفس المشكلة في فترة معينة. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

تقرير الفحص الآلي ليس نفس اختبار الاختراق. دعني أتركها كملاحظة، قد تكون مفيدة.