IT 項目中的技術措施

技術措施是在系統本身運作的保安措施，有別於描述這些措施的政策和程序。NIS2 即歐盟關於網絡安全的第2022/2555號指令，KSC 自2026年4月3日起把它轉化為波蘭法律（法律狀況截至2026年9月20日）。指令所列的風險管理措施包括存取控制、備份及恢復運作、加密和事故處理等。指令亦列出採購、開發和維護系統時的安全，包括處理漏洞，即保安上的缺口。這些要求是否適用於您的公司、從何時起適用，由另一個範圍判斷：影響及差距分析。

驗收準則是系統必須符合的條件清單，符合後您才驗收該階段並付款。我們把安全要求與功能並列寫進驗收準則。存取權：每人都有自己的帳戶和角色，由指定人員授予和收回，員工離職時關閉。事件日誌：由系統保存的記錄，列明誰在何時做了甚麼，包括數據和權限的修改，用戶無法更改。備份及還原：系統自動備份，驗收包括從備份啟動系統。更新：系統上線後安全修補的推送途徑有書面說明，每次安裝都留有記錄。環境分隔：測試環境，即用作試驗的獨立系統副本，使用測試數據運作。加密：儲存和傳輸的數據在沒有密鑰時無法讀取。事故處理：系統顯示發生了甚麼、何時發生、涉及誰，並可把這些資料記錄下來用於通報。嚴重事故的早期預警須在發現後24小時內送交行業 CSIRT，即您所屬行業負責接收通報的小組。

審計證據在項目進行期間產生。自該法生效之日起已受規管的關鍵實體，須在2028年4月3日前完成首次資訊系統安全審計。其後最少每三年一次；重要實體則在發生嚴重事故或其他違反該法的情況後，按主管機關的命令接受審計。每個階段我們都把以下資料歸入同一個檔案：附條文依據的要求、設計、包括還原記錄在內的測試結果、驗收記錄、上線當日的帳戶清單，以及更新清單。

如果系統由其他承辦商建構，我們站在您的一方工作：把要求寫進報價邀請或合約，從這些要求的角度審閱承辦商的設計，參與驗收並收集證據。與承辦商合約中的條款，以及政策和程序，屬另外的範圍；這裏的工作以它們為基礎。不論法規要求如何，保護公司伺服器和網絡屬「雲端與基礎設施」服務中的「基礎設施安全」範圍。

1. 我們寫下要求。我們從公司政策、差距分析結果（如有）及系統範圍中，選出與系統相關的要求。成果：附驗收準則的要求清單。
2. 我們監督建構。我們在承辦商的設計中檢查每項要求如何實現，並在每個階段保存證據。成果：逐階段充實的證據檔案。
3. 我們以測試驗收保安措施。我們關閉測試用戶的存取權、從備份啟動系統、閱讀日誌，並走一遍模擬事故通報。成果：保安措施驗收記錄。
4. 我們把檔案連同管理規則交給指定人員。成果：證據檔案在您手上，由您的團隊或我們繼續管理。

1. 哪些安全要求納入了範圍和驗收準則？哪些留給我們自己處理？
2. 事件日誌記錄甚麼？保存多久？誰可以更改？
3. 驗收時我們如何核實員工離職後其存取權即告終止？
4. 何時會試行從備份還原？由誰簽署記錄？
5. 系統上線後，安全修補如何推送到系統？由誰安裝？
6. 驗收時我們會收到哪些文件？審計師在沒有承辦商協助下能否看懂？

上述期限反映2026年9月20日的法律狀況；在決定範圍前我們會再次核實。要求的範圍取決於公司在該法下的身份，以及系統的功能，因此我們從分析開始。