Ontologia NIS-2 Compliance
Compliance to nie checklista. To ekosystem połączonych encji, gdzie każda zmiana kaskadowo wpływa na cały system. Ontologia to formalny model pojęć, relacji i reguł, który łączy procesy bezpieczeństwa, dowody zgodności i decyzje zarządcze. Dzięki temu każda metryka KPI, każdy audyt i każdy workflow operacyjny mają jedno źródło prawdy.
Od dokumentów do semantycznego grafu wiedzy
Risk_Register_Q3.pdf
Asset_Inventory.docx
Brak połączeń. Brak kontekstu. Brak intelligence.
Asset:DB-PROD-01 → critical_for → Process:Payments
Process:Payments → owned_by → Person:CFO
Pełna traceability. Instant context. Automated insights.
Best practices: od modelu domenowego do dashboardów
Zaczynamy od modelu domenowego, który zasila dashboardy, workflowy i raporty. Decyzje są reprodukowalne, a audyt – natychmiastowy.
Semantic reasoning
System „rozumie” że jeśli Vendor ma problem, automatycznie identyfikuje wpływ na wszystkie Assets, Processes i Risks przez transitive relationships.
Bi-directional traversal
Możesz pytać „które incydenty wpłynęły na proces X?” lub „który proces jest najbardziej narażony na ryzyka?” — graf odpowiada w obie strony.
Emergent intelligence
Im więcej połączeń, tym więcej insights: hotspots ryzyka, single points of failure, compliance debt — emergują z grafu bez programowania.
Architektura ontologii NIS-2
Warstwa encji
8 kluczowych typów encji z właściwościami i constraints
Incydent
- Nasilenie
- Status
- Oś czasu
Ryzyko
- Prawdopodobieństwo
- Wpływ
- Postępowanie z ryzykiem
Zasób
- Krytyczność
- Typ
- Lokalizacja
- Właściciel
Osoba
- Rola
- Odpowiedzialność
- Poziom dostępu
Dostawca
- Poziom (tier)
- SLA
- Status audytu
Proces
- RTO
- RPO
- Krytyczność
BCP/DRP
- Status testów
- Ostatnie ćwiczenia
Ład korporacyjny
- Polityka
- Zatwierdzenie
- Audyt
Warstwa relacji
Typy relacji semantycznych między encjami
- wpływa na: Incydent → Zasób/Proces
- materializuje się jako: Ryzyko → Incydent
- krytyczny dla: Zasób → Proces
- należy do: Zasób/Proces → Osoba
- dostarcza: Dostawca → Zasób
- zależny od: Proces → Zasób/Dostawca
- obejmuje: BCP → Proces
- zarządzany przez: dowolny element → Ład korporacyjny
Warstwa inteligencji
Automatyczne lub hybrydowe rozumowanie i obliczanie właściwości
Promień wpływu
Zasięg skutków w powiązanych elementach
Propagacja ryzyka
Ryzyko dostawcy → Ryzyko zasobu
Dług zgodności
Zaległe incydenty
Wykrywanie SPOF
Analiza pojedynczej zależności
Gotowość audytowa
Wskaźnik kompletności
Wykrywanie anomalii
Odchylenie od wzorca
Predykcja
Uczenie maszynowe na osadzeniach grafowych
Co-jeśli
Scenariusze symulacyjne
Kluczowe encje powiązane z NIS-2
Encje powiązane są z artykułami NIS-2 / projektem ustawy o KSC oraz z modułami funkcjonalnymi systemu
Mapowanie wymagań NIS-2 na encje i moduły
Wybrane kluczowe przykłady powiązań. Każdy wiersz łączy przepis z encjami/relacjami, dowodami i modułami funkcjonalnymi systemu.
| Przepis / Zakres | Encje i relacje | Dowody (artefakty) | Moduły / KPI |
|---|---|---|---|
| Art. 21 ust. 2 – środki techniczne/organizacyjne (IAM/MFA, backup, patching, monitorowanie, szyfrowanie) | Zasób ⇄ Kontrola ⇄ Dowód; Użytkownik ⇄ Tożsamość; Kopia ⇄ Test odzysku | Raporty backupów, logi SIEM, rejestry patchy, polityki, zrzuty MFA | SZBI / ISO 27001, ITAM, BCM |
| Art. 23–24 – zgłaszanie incydentów (CSIRT / organ) | Incydent ⇄ Usługa krytyczna ⇄ Podmiot; Incydent ⇄ Zgłoszenie ⇄ Dowód | Zgłoszenia, linia czasu, RCA, komunikacja z CSIRT | Reagowanie na incydenty, BCM |
| Łańcuch dostaw – wymagania kontraktowe i ocena ryzyka | Dostawca ⇄ Umowa ⇄ Kontrole ⇄ Dowody; Dostawca ⇄ Ryzyko | Umowy z klauzulami bezpieczeństwa, oceny, audyty, certyfikaty | Polityki łańcucha dostaw, Zarządzanie ryzykiem |
| Governance – należyta staranność zarządu, role i odpowiedzialność | Podmiot ⇄ Rola ⇄ Właściciel procesu; Polityka ⇄ Akceptacja ⇄ Przegląd | Rejestry ról, protokoły szkoleń zarządu, przeglądy polityk | Strategia i zarządzanie, Edukacja |
| BCM – ciągłość działania i odporność | Usługa ⇄ Plan BCM/DR ⇄ Test ⇄ Dowód; Zasób ⇄ Zależności | Wyniki testów, runbooki, RTO/RPO, decyzje eskalacyjne | Reagowanie i ciągłość działania |
Case studies: Ontologia w akcji
Incident:RW-2024-089 automatycznie identyfikuje:
- 47 zainfekowanych Assets (server farm)
- 12 Processes dotknięcych (via critical_for relation)
- 3 zmaterializowane Risks z Risk Register
- 8 Persons w crisis team (via responsible_for)
- BCP:DR-PLAN-003 aktywowany automatycznie
System generuje pełny impact report z graph traversal: które procesy były offline, ile transakcji lost, koszty downtime, compliance implications.
Vendor:CLOUD-PROVIDER-X failed audit → System wykonuje:
- Traverse: Vendor → supplies → Assets (124 assets)
- Traverse: Assets → critical_for → Processes (89 processes)
- Compute: Aggregate impact score = 8.7/10 (CRITICAL)
- Identify: 23 Processes bez backup vendor (SPOF)
- Alert: 5 Persons (process owners + CISO + CTO)
- Auto-create: Remediation plan w Risk Register
System response w real-time:
- Risk management: 234 Risks in register, 100% mapped to Assets/Processes
- Supply chain: 47 Vendors, all with SLA + audit trail
- Asset inventory: 1,247 Assets, 98.7% coverage, ownership complete
- BCP/DRP: 34 critical Processes, all with RTO/RPO, tested
Moduły i KPI – widok funkcjonalny
Funkcje zgodnie z kompleksową listą modułów NIS-2. Każdy kafel łączy się z ontologią (encje/relacje) i dowodami.
Strategia i Zarządzanie Ryzykiem
Ład, odpowiedzialność, apetyt na ryzyko, matryce decyzji, przeglądy zarządcze.
SZBI – ISO 27001:2022
Polityki, cele bezpieczeństwa, Statement of Applicability, audyty wewn./zewn.
IT Asset Management (ITAM)
Inwentarz IT/OT, właściciele, klasyfikacja danych, CMDB, relacje usług.
Ramy Zarządzania Ryzykiem (ENISA)
Identyfikacja, analiza, ocena, plany postępowania, monitorowanie.
Reagowanie i Ciągłość Działania (BCM)
Incident, DR/BCP, testy, runbooki, powiadomienia CSIRT/organ.
Polityki Bezpieczeństwa Łańcucha Dostaw
Ocena dostawców, zapisy umowne, SLA, audyty, certyfikacje.
Bezpieczeństwo Sieci i Ochrona Systemów
Hardening, segmentacja, EDR/SIEM, zarządzanie podatnościami i patching.
Edukacja, Procedury i Kryptografia
Program szkoleń, KVIs, procedury operacyjne, szyfrowanie i klucze.
RODO, Zarządzanie, Audyt, IOD
Rejestry czynności, DPIA, polityki prywatności, incydenty danych.
Zarządzanie zgodnie z ISO 27001:2022
Kontrole A.5–A.8, mierniki skuteczności, zgodność cross-standard.
Rejestry i komunikacja z organami
Rejestry zgłoszeń, kontaktów, raporty okresowe, korespondencja.
Przepływy decyzyjne oparte na ontologii
Krótkie scenariusze „od danych do decyzji”. Każdy krok bazuje na encjach i dowodach – to nadaje spójność panelom KPI i raportom audytowym.
Zgłoszenie incydentu → klasyfikacja → powiadomienie
Zdarzenie → Incydent powiązany z Usługą i Zasobami → ocena wpływu → SLA i kanały (CSIRT/organ) → RCA i wnioski.
Podatność → priorytetyzacja → patch
CVE → ryzyko → właściciel zasobu → okno serwisowe → dowód wdrożenia (log, raport) → KPI „czas remediacji”.
Dostawca → ocena ryzyka → klauzule w umowie
Profil dostawcy → scoring → wymagane kontrole → zapisy kontraktowe → przeglądy i audyty okresowe.
Governance → przegląd zarządczy → decyzje
KPI zgodności i ryzyka → odchylenia → plany działań, budżet, akcept ryzyka → komunikacja i zadania.
Wersjonowanie i audyt
Ontologia obejmuje wersjonowanie polityk, dowodów, kontroli i ról. Każda zmiana ma autora, datę i uzasadnienie – audyt jest natychmiastowy.
Repo dowodów
Integralność, metadane (kto/kiedy/co), unikanie „sierocych” plików dzięki powiązaniu z encjami.
Ścieżka decyzji
Dlaczego podjęto decyzję? Które KPI, ryzyka i dowody ją uzasadniały? – wszystko w jednym miejscu.
Rozszerzalność
Mapowania cross-regulatory (DORA, ISO 22301, RODO) dodajemy bez zmiany fundamentu danych.
Jak wdrażamy: Bootcamp → Pilot → Produkcja
Praktyka „operating system” – szybkie mapowanie, wyniki w dniach, a nie miesiącach.
Faza 1 – Mapowanie domeny
Warsztaty, encje i relacje, priorytetyzacja wymagań (NIS-2 / KSC), szybkie KPI.
Faza 2 – Integracje i dowody
Źródła danych (ITAM, SIEM, ticketing), repo dowodów, pulpity decyzyjne.
Faza 3 – Scenariusze decyzyjne
Incydenty, podatności, łańcuch dostaw – eskalacje, automatyzacje i raportowanie.
Faza 4 – Operacjonalizacja
Wersjonowanie, audyty, cykl PDCA, cross-mapowania (DORA/ISO/RODO).
Zbuduj swoją ontologię compliance
NIS-2 Compliance Bootcamp to nie tylko wdrożenie narzędzia. To budowa Twojego knowledge graph — operating system dla compliance.
Umów konsultację