Un cliente grande dice que entramos en NIS2: ¿qué es NIS2 y aplica a una PYME en Francia?

Los de legales de las empresas grandes copian y pegan estos textos a todo el mundo para lavarse las manos. Tranquis, siéntense a negociar y acoten el alcance diciendo 'no somos su infraestructura crítica, somos un proveedor de software aislado'.

Recibimos una carta parecida hace 3 meses de un cliente del sector energético. Al principio nos pedían una auditoría de 60 puntos. Nos sentamos a hablar, demostramos los logs de acceso a la base de datos y la autenticación en dos pasos, y redujimos los puntos a 8 sin gastar un solo euro de más.

¿Cómo están conectados exactamente al sistema del cliente? Si tienen acceso continuo e ilimitado por VPN directa a sus servidores, se entiende la preocupación. ¿La conexión es solo por API unidireccional o están metidos dentro?

Nota: esto es mi experiencia, puede no aplicar a todos.

Preparen ya mismo un resumen de seguridad: autenticación de doble factor interna, frecuencia de copias de seguridad y formación básica en seguridad del personal. Mándenlo al equipo de riesgos del cliente y díganles 'este es nuestro perfil de seguridad a escala PYME'.

Anda suelto mucho consultor oportunista intentando cobrar de 20 a 30 mil euros a pequeñas empresas bajo el nombre de 'consultoría de cumplimiento NIS2'. No firmen nada, la regulación no puede multar directamente a las PYMEs.

El artículo 2 de la directiva de la Unión Europea establece claramente los umbrales del tamaño de empresa. Les conviene responder por escrito citando la definición de PYME de la Comisión Europea para dejar constancia legal de que no tienen obligaciones directas.

nuestro cliente vino con el mismo panico, en cuanto escuchan nis2 le quieren pasar toda la factura al proveedor. en fin mantengan la calma q en cuanto les muestras los controles basicos se suele cerrar el tema.

Tema muy oportuno. Una copia de seguridad no probada no es una copia de seguridad.

Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo. Si escribís el resultado aquí, también servirá de ayuda a otros.

Estoy de acuerdo. Antes de decidir, mirad qué datos tenéis en la mano.

Aquí hay que hacer una distinción. Todos los que se apresuran con que es nis2 se atascan en el mismo punto.

Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves. Corrijanme si me equivoco.

Si vas por ahí, resuelve esto desde el principio... bueno los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan. pues yo seguiría por ese camino.

Sí, la situación con que es nis2 es exactamente así. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Si no lo pones por escrito desde el principio, luego surgen discusiones. Si tenéis dudas, escribid, os responderé en la medida de lo posible.

la discusión se ha dispersado, voy a ordenarla.. pero o sea los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

si no lo pones por escrito desde el principio, luego surgen discusiones. copmrobado por experiencia.

Tiene razón. Todo lo que no está por escrito ambas partes lo recordarán de forma distinta en el futuro.

Permíteme resumir lo que se ha dicho hasta ahora. la verdad que todo el mundo haga algo no significa que sea lo correcto.

Si es la primera vez que lo hacéis, empezad poco a poco la escala llegará después.

Yo también pienso lo mismo. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Tomo nota, gracias. No confíes en una sola medida; ve capa por capa.

Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla. Si escribís el resultado aquí, también servirá de ayuda a otros.

En su momento, nosotros también nos atascamos ahí. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Un informe de escaneo automático no es lo mismo que una prueba de penetración. Lo dejo como nota, por si sirve.