Posada en marxa de NIS2 Cybersecurity Compliance Toolkit a Odoo: un cas de principi a fi

El cas: Metalúrgica Ribera instal·la el toolkit

Exemple Cas il·lustratiu: l'empresa i les seves dades són inventades per explicar el flux.

Metalúrgica Ribera és una empresa inventada que fabrica peces per a altres indústries i ja treballa amb Odoo. La seva responsable de sistemes, Laura, instal·la NIS2 Cybersecurity Compliance Toolkit per tenir en un mateix lloc el perfil de l'empresa, els controls, els riscos, la formació i els incidents. El recorregut que segueix és el que fa ella durant la posada en marxa: els noms de pantalles, columnes, camps i estats són els del mòdul; les decisions de Laura són il·lustratives.

Abans d'instal·lar, Laura comprova la seva versió. El mòdul està publicat a Odoo Apps per a Odoo 17, 18 i 19, a 49 € sense IVA a cadascuna d'aquestes versions, pagament únic per versió. Si encara dubtes que et encaixi, ho tens desglossat a si el toolkit encaixa a la teva empresa.

Primer registre: el perfil d'empresa

Laura comença per la llista de perfils d'empresa. Les columnes que veu són entitat legal, empresa, estat membre, sector, mida, estat d'aplicabilitat, estat del perfil i responsable, amb una barra de cerca i el botó Nou. Aquestes columnes li diuen quines dades ha de portar preparades: quina entitat legal és, en quin estat membre opera, el seu sector, la seva mida i qui s'encarrega del perfil.

El camp en què més s'atura és applicability_status. Els valors que defineix el mòdul són Potentially In Scope, Likely Out of Scope, Needs Legal Review, Essential Entity Candidate (Annex I), Important Entity Candidate (Annex II) i Confirmed by Legal Counsel. Fixa't en les etiquetes: parlen de «candidata» i de revisió legal. L'app guarda la valoració que tu anotes. Laura deixa el perfil a Needs Legal Review i apunta que el canviarà a Confirmed by Legal Counsel quan el seu assessor jurídic li ho confirmi.

Segon pas: els controls i el seu estat de maduresa

La llista de controls té columnes de categoria, nom del control, estat de maduresa, responsable i revisió. L'estat de maduresa (maturity_status) admet Not Implemented, Planned, Partially Implemented, Implemented i Not Applicable.

Laura recorre els controls amb el seu equip, un a un, i es posa un criteri propi per no dubtar a cada fila:

• Implemented només si pot ensenyar com ho fan avui.
• Partially Implemented si existeix, però no cobreix tot el que descriu el control.
• Planned si hi ha una persona i una data compromeses.
• Not Applicable si no s'aplica a la seva activitat i sap explicar per què.
• Not Implemented per a tota la resta.

A cada fila omple també el responsable, perquè la columna és a la llista i vol veure d'un cop d'ull qui porta cada control.

Tercer pas: el registre de riscos

La llista Risk Register mostra impacte, probabilitat, risc residual, decisió de tractament i estat, amb el botó New i la cerca. Els estats que defineix el mòdul per a aquest joc són Draft, Under Review, Accepted i Closed.

Laura dona d'alta cada risc a Draft amb el seu impacte i la seva probabilitat. El mou a Under Review quan el presenta a direcció i a Accepted quan hi ha una decisió de tractament acordada. Els que ja no s'apliquen els deixa a Closed en lloc d'esborrar-los, per conservar el rastre.

Formació: els Training Records

La llista de Training Records té columnes de nom, tipus, article i estat, amb el botó New i el cercador. Els estats són Assigned, In Progress, Completed, Overdue i Exempt.

Laura crea un registre per cada formació que ha de fer la plantilla i marca com a Exempt qui no li correspon, en lloc de deixar-lo sense registre. Així, quan filtra la llista, el que no està a Completed ni a Exempt és feina pendent.

Incidents: la llista i els estats que defineix el mòdul

La llista d'incidents té columnes de referència, hora de detecció, severitat, estat i avaluació de significança, a més del botó Nou i el cercador.

Entre els jocs d'estats que defineix el codi del mòdul n'hi ha un amb Detected, Triage, Under Investigation, Reportable Decision Pending, Reported, Closed i False Positive, i un camp root_cause_status amb Unknown, Under Investigation, Identified i Not Applicable. Laura obre un incident de prova a la seva base de dades de proves per veure quins valors li ofereix la columna d'estat abans d'explicar-ho a l'equip. Si vols veure l'estructura completa del mòdul, la tens a com funciona el toolkit per dins.

La primera setmana: el que va revisar Laura

Amb tot donat d'alta, Laura es reserva una estona cada dia de la primera setmana per repassar:

• Que el perfil d'empresa té omplerts entitat legal, estat membre, sector, mida i responsable.
• Que applicability_status reflecteix el que ha dit l'assessor i no una suposició.
• Que cap control s'ha quedat sense responsable a la llista de controls.
• Que els controls a Planned tenen una persona al darrere.
• Que els riscos a Draft han passat a Under Review o tenen data per fer-ho.
• Quines formacions apareixen a Overdue i a qui cal trucar.
• Que l'incident de prova s'ha quedat a la base de dades de proves i no a la de treball.

Què aprendre del cas

L'ordre que segueix Laura (perfil, controls, riscos, formació, incidents) és una elecció seva, pensada per anar del general al diari. El que sí que surt del mòdul és el que has d'omplir i entendre: les columnes de cada llista i els valors de cada estat. Tres idees per emportar-te:

• Els estats són decisions de persones. Posa un criteri per escrit abans de començar, sobretot per a maturity_status.
• L'estat d'aplicabilitat necessita el teu assessor. Les etiquetes del propi mòdul ho deixen clar amb Needs Legal Review i Confirmed by Legal Counsel.
• Un responsable per fila. Les llistes de perfils i controls tenen aquesta columna; fes-la servir.

Com t'ajuda FlexigoTech

FlexigoTech implanta Odoo i desenvolupa connectors i integracions a mida. Si vols ajuda per carregar els teus controls i riscos, o per connectar el toolkit amb altres parts del teu Odoo, tens el mòdul a la nostra pàgina i a la seva fitxa d'Odoo Apps.

Continua llegint