Weryfikacja niekaralności personelu w KSC – jak ustalić zakres i zbudować zgodny proces

Weryfikacja niekaralności personelu w KSC nie jest powszechną kontrolą kadrową ani formalnością poprzedzającą audyt. Jej zakres musi wynikać z konkretnej podstawy, statusu organizacji oraz rzeczywistych zadań i uprawnień danej osoby. Proces rozpoczęty od zbierania zaświadczeń, zamiast od kwalifikacji ról, może jednocześnie pominąć osoby objęte wymaganiem i doprowadzić do bezpodstawnego przetwarzania danych dotyczących skazań. Dlatego najpierw należy ustalić, kogo i na jakiej podstawie wolno sprawdzać, następnie rozdzielić odpowiedzialność za pozyskanie informacji, ocenę wyniku i decyzję o dostępie, a na końcu ograniczyć zapis do danych niezbędnych do wykazania zgodności.

Nie od zaświadczenia, lecz od zakresu

Decyzji o weryfikacji niekaralności nie należy rozpoczynać od żądania dokumentów od personelu. Najpierw zarząd powinien potwierdzić status organizacji w systemie KSC i wskazać konkretny przepis, z którego wynika obowiązek wobec określonych osób. Samo powołanie się na NIS2, przygotowanie do audytu albo budowę systemu zarządzania bezpieczeństwem informacji nie uzasadnia objęcia kontrolą wszystkich pracowników, współpracowników i dostawców.

Granice procesu trzeba ustalić odrębnie dla każdego źródła wymagania. Dyrektywa NIS2, polska ustawa o KSC w aktualnym brzmieniu, przepisy wykonawcze, regulacje sektorowe, warunki umowne oraz wewnętrzne zasady przyznawania dostępu nie są źródłami równoważnymi. Dla każdego z nich należy określić zakres podmiotowy, osobowy i czasowy: kogo dotyczy wymaganie, z jakiego powodu, od kiedy, czy przewiduje wyjątki oraz kiedy wymaga ponownej oceny. Projektowanie procedury przed zakończeniem tej analizy może prowadzić zarówno do pominięcia osób objętych obowiązkiem, jak i do bezpodstawnego przetwarzania danych dotyczących skazań.

Wynikiem kwalifikacji powinna być zwięzła notatka zatwierdzona przez właściciela zgodności. Dokument powinien wskazywać status podmiotu, podstawę prawną, datę i stan prawny przyjęty do analizy, objęte role oraz uzasadnione wyjątki. Kategoria „personel informatyczny” jest zbyt ogólna. Trzeba rozstrzygnąć, czy wymaganie obejmuje administratorów z uprawnieniami uprzywilejowanymi, osoby obsługujące incydenty, personel dostawcy oraz zastępców wykonujących te zadania okresowo. Należy również wyznaczyć właściciela analizy prawnej i termin jej ponownego przeglądu, zwłaszcza po zmianie przepisów, zakresu działalności lub modelu dostępu.

Ustalenie granic weryfikacji powinno być częścią przedsięwzięcia „SZBI zgodny z ustawą o KSC – jak ustalić zakres, właścicieli i harmonogram wdrożenia”. Zakres systemu, odpowiedzialności procesowe i role uprzywilejowane muszą wynikać z tej samej mapy organizacyjnej. Dopiero wtedy można odpowiedzialnie rozstrzygnąć, czy obowiązek dotyczy organizacji według aktualnego stanu prawnego, jaki przepis pozwala pozyskać informację o niekaralności i wobec których kategorii personelu jest to dopuszczalne.

Kogo obejmuje weryfikacja

Zakresu osobowego nie wyznacza nazwa stanowiska ani forma zatrudnienia. Decyduje treść właściwego wymagania zestawiona z rzeczywistymi zadaniami, uprawnieniami i wpływem danej osoby na bezpieczeństwo usługi. Kwalifikacja powinna uwzględniać dostęp logiczny i fizyczny, możliwość zmiany konfiguracji, udział w obsłudze incydentów, wpływ na ciągłość działania oraz uprawnienia czasowe i awaryjne. Ról niezwiązanych z chronioną usługą, systemem, obiektem lub zakresem wskazanym w przepisie nie należy obejmować kontrolą na zapas.

Podstawowym narzędziem decyzyjnym jest macierz ról prowadzona wspólnie przez właściciela procesu, osobę odpowiedzialną za bezpieczeństwo informacji i dział kadr, z udziałem właściciela zgodności. Macierz powinna być powiązana z zarządzaniem tożsamością i uprawnieniami oraz rozdzieleniem obowiązków. Sam wykaz pracowników nie wystarcza. Potrzebne są także rejestry kont uprzywilejowanych, dostępów administracyjnych, fizycznych i awaryjnych oraz osób zewnętrznych mających rzeczywisty dostęp do systemów lub procesów objętych zakresem.

Administrator techniczny dostawcy może mieć szersze uprawnienia niż wewnętrzny kierownik, mimo że nie jest pracownikiem organizacji. Kwalifikacja oparta na rodzaju umowy mogłaby więc wyłączyć osobę o istotnym wpływie na bezpieczeństwo. Nie oznacza to jednak, że zewnętrzny administrator automatycznie podlega temu samemu trybowi co pracownik. Zakres danych, sposób potwierdzenia spełnienia wymagania i odpowiedzialność za ocenę muszą wynikać z dopuszczalnej podstawy prawnej albo odpowiednio skonstruowanej umowy. Dostęp czasowy i awaryjny należy oceniać według możliwego zakresu czynności, a nie przewidywanej częstotliwości jego użycia.

Macierz powinna obejmować pracowników, członków organów, osoby współpracujące na innych podstawach, administratorów zewnętrznych oraz personel dostawców i podwykonawców, ale wyłącznie w granicach właściwego wymagania. Trzeba ją przeglądać po zmianie architektury uprawnień, zakresu usługi, dostawcy lub przepisów. Liczba ról uprzywilejowanych i osób zewnętrznych z faktycznym dostępem określa skalę procesu oraz stanowi dane wejściowe do planowania nakładów opisanego w materiale „Ile kosztuje wdrożenie NIS2 i uKSC – jak zbudować budżet audytu, dokumentacji, szkoleń i zabezpieczeń bez kosztownych pomyłek”.

Gdzie powstaje koszt i ryzyko

Największe ryzyko nie wynika z technicznego uzyskania informacji o niekaralności, lecz z uruchomienia kontroli bez jednoznacznej podstawy, określonego celu i ograniczonego zakresu. Dane dotyczące wyroków skazujących i naruszeń prawa podlegają szczególnemu reżimowi przetwarzania. Zwykła zgoda osoby ani ogólny zapis w polityce kadrowej nie powinny być traktowane jako automatyczne uzasadnienie ich pozyskiwania. Przed wyborem formy sprawdzenia trzeba ustalić, jakich informacji rzeczywiście wymaga właściwy przepis, kogo obejmuje oraz kto odpowiada za ocenę wyniku.

Koszt rośnie, gdy organizacja żąda pełnych dokumentów od całego personelu, zachowuje ich kopie bez ustalonego okresu przechowywania, przesyła je zwykłą pocztą elektroniczną albo udostępnia kadrom, przełożonym, bezpieczeństwu i audytorom bez rozdzielenia uprawnień. Każda dodatkowa kopia zwiększa nakład związany z zabezpieczeniem danych, kontrolą dostępu, obsługą żądań i bezpiecznym usunięciem. Kierownictwo powinno więc mierzyć nie tylko liczbę przeprowadzonych kontroli, lecz także liczbę osób mających dostęp do dokumentów oraz rzeczywiste okresy ich przechowywania.

Drugim źródłem ryzyka jest brak kryteriów oceny wyniku. Informacja ujawniona podczas sprawdzenia nie może prowadzić do improwizowanej decyzji kierownika ani do oceny oderwanej od wymagania właściwego dla danej roli. Kadry mogą prawidłowo pozyskać dokument, lecz proces pozostanie wadliwy, jeżeli nie ustalono, kto ocenia jego znaczenie, na jakiej podstawie podejmuje decyzję o dopuszczeniu i czy zachowanie kopii jest konieczne. Procedura powinna określać tryb eskalacji oraz Plan reakcji w planie kontroli – jak opisać działania, gdy proces wychodzi poza granice.

Potwierdzenie wykonania kontroli należy oddzielić od przechowywania treści dokumentu. W zależności od właściwej podstawy i obowiązku dowodowego wystarczający może być zapis daty sprawdzenia, zakresu weryfikacji, osoby uprawnionej do oceny, wyniku kwalifikacyjnego i decyzji o dopuszczeniu, bez utrwalania pełnej treści zaświadczenia. Jeżeli kopia jest konieczna, trzeba określić jej odbiorców, zabezpieczenia i termin usunięcia. Taki zapis łączy minimalizację danych z obowiązkiem wykazania zgodności, zamiast zastępować analizę prawną gromadzeniem dokumentów „na wszelki wypadek”.

Proces od kwalifikacji do dopuszczenia

Proces powinien rozpoczynać się przed pozyskaniem informacji o niekaralności. Najpierw właściciel procesu kwalifikuje rolę, wskazuje aktualną podstawę prawną i określa wymagany zakres kontroli. Następnie organizacja informuje osobę o celu, trybie i zasadach przetwarzania danych, wybiera dopuszczalne źródło informacji oraz weryfikuje jej tożsamość. Kolejne bramki obejmują ocenę wyniku, decyzję o dopuszczeniu, nadanie uprawnień i utworzenie zapisu kontrolnego.

Dla każdej czynności trzeba wskazać odpowiedzialnego, wymagane dane wejściowe, termin i sposób postępowania w razie braku dokumentu, przekroczenia terminu albo wyniku wymagającego wyjaśnienia. Sprawdzenie formalne nie jest bowiem równoznaczne z decyzją operacyjną. Kadry mogą poinformować pracownika, odebrać dokument i potwierdzić kompletność danych, lecz nie powinny samodzielnie rozstrzygać o dostępie do systemu lub infrastruktury.

Ostateczna decyzja powinna należeć do wyznaczonej roli biznesowej, najczęściej właściciela systemu albo osoby odpowiedzialnej za dany obszar operacyjny, z udziałem funkcji bezpieczeństwa. Jeżeli wynik jest niejednoznaczny albo zakres dopuszczalnego przetwarzania danych budzi wątpliwości, sprawę należy skierować do funkcji prawnej lub ochrony danych. Taki podział odpowiedzialności zapobiega zarówno automatycznemu nadaniu dostępu po okazaniu dokumentu, jak i dowolnej interpretacji przez przełożonego.

Kryteria rozstrzygnięcia trzeba zatwierdzić przed pierwszym przypadkiem problemowym. Procedura powinna określać, kto ocenia niejednoznaczność, jakie informacje wolno uwzględnić, czy dopuszczalne jest ograniczenie zakresu dostępu oraz jak zapisać uzasadnienie bez ujawniania treści szerszemu kręgowi odbiorców. Nowo zatrudniona osoba może na przykład ukończyć szkolenia i czynności organizacyjne, ale do czasu decyzji nie powinna otrzymać konta uprzywilejowanego ani dostępu do chronionego środowiska. Dostęp tymczasowy, jeżeli w ogóle jest dopuszczony, wymaga odrębnej zgody, ograniczonego zakresu, terminu wygaśnięcia i nadzoru. Nie może służyć obchodzeniu kontroli.

Wariant negatywny wymaga wcześniej ustalonego planu reakcji: wstrzymania uprawnień, eskalacji do wskazanych decydentów, wyznaczenia zastępstwa, oceny skutków dla ciągłości działania oraz kontrolowanego zamknięcia sprawy. Logika powinna być taka sama jak w planie reakcji: określone zdarzenie uruchamia przypisaną reakcję, odpowiedzialność i zapis. Przy zatrudnianiu oraz zmianie roli pomocnym punktem odniesienia jest materiał Jak przygotować proces onboardingowy dla nowego inżyniera jakości lub pełnomocnika ISO, zwłaszcza w zakresie bramek decyzyjnych i potwierdzania odpowiedzialności.

Zapis kontrolny powinien umożliwiać odtworzenie kwalifikacji roli, podstawy i zakresu sprawdzenia, daty potwierdzenia tożsamości, źródła informacji, osoby oceniającej, decyzji, daty nadania uprawnień oraz ewentualnej eskalacji. Trzeba również określić zdarzenia powodujące ponowną ocenę, w szczególności zmianę roli lub zakresu dostępu, oraz tryb odebrania uprawnień przy odejściu pracownika. Skuteczność procesu pokazują przede wszystkim czas od kwalifikacji do decyzji, liczba dostępów nadanych przed zakończeniem wymaganej kontroli i liczba eskalacji spowodowanych brakiem dokumentu albo niejednoznacznym wynikiem.

Dokumentacja i ponowna weryfikacja

Dokumentacja procesu ma umożliwiać odtworzenie przesłanek i skutków decyzji, a nie tworzyć archiwum informacji o niekaralności. Zapis powinien wyjaśniać, dlaczego dana rola podlegała weryfikacji, kiedy ją przeprowadzono, kto rozstrzygnął sprawę i jaki był skutek operacyjny: nadanie, ograniczenie albo odmowa dostępu. Nie oznacza to automatycznie konieczności przechowywania kopii dokumentu źródłowego. Decyzję o zachowaniu kopii należy oddzielić od przechowywania metadanych i oprzeć na aktualnej podstawie prawnej, celu przetwarzania oraz zasadzie ograniczenia przechowywania.

Spójny zestaw zapisów powinny tworzyć:

• macierz ról wraz z uzasadnieniem zakresu;
• rejestr przeprowadzonych kontroli;
• upoważnienia do przetwarzania i reguły dostępu;
• zatwierdzone okresy przechowywania;
• protokół eskalacji;
• dowody wykonania obowiązków przez dostawców.

Elementy te wymagają wspólnego właściciela, nadzoru nad wersjami i powiązania z zarządzaniem dokumentacją SZBI. Rozproszenie ich między kadrami, bezpieczeństwem i zakupami utrudnia wykazanie kompletności procesu. W repozytorium należy utrzymywać wzory, decyzje systemowe i historię zmian zasad, natomiast dane jednostkowe udostępniać wyłącznie osobom upoważnionym. Przydatnym odniesieniem organizacyjnym jest Jak zbudować wewnętrzne repozytorium wiedzy jakościowej, żeby nie tracić doświadczeń zespołu.

Rekord może zawierać datę kwalifikacji roli, weryfikacji i decyzji, oznaczenie zastosowanej podstawy oraz datę nadania dostępu i planowanego przeglądu. Jeżeli wystarcza potwierdzenie wykonania kontroli i jej wyniku operacyjnego, kopii zaświadczenia nie należy zachowywać „na wszelki wypadek”. Mechanizm usuwania musi obejmować również załączniki wiadomości, katalogi robocze i zasoby dostawców. Skuteczność nadzoru warto oceniać przez odsetek ról posiadających aktualne uzasadnienie objęcia procesem oraz liczbę rekordów przechowywanych po upływie zatwierdzonego okresu.

Terminów ponownego sprawdzenia nie należy wyznaczać według arbitralnego kalendarza. Częstotliwość może wynikać z obowiązującego przepisu, charakteru roli, warunków umowy albo udokumentowanej oceny ryzyka. Niezależnie od przeglądu okresowego procedura powinna wskazywać zdarzenia uruchamiające ocenę, zwłaszcza zmianę stanowiska, rozszerzenie uprawnień, powrót do roli po przerwie lub istotną zmianę wymagań prawnych bądź umownych. Aktualność informacji nie musi oznaczać cyklicznego pobierania pełnego dokumentu. Proces powinien przewidywać legalny i proporcjonalny sposób potwierdzania stanu, każdorazowo zgodny z aktualną podstawą prawną i zakresem danych, które organizacja może przetwarzać.

Test gotowości przed audytem

Oceny gotowości nie należy zaczynać od sprawdzenia, czy istnieje procedura, lecz od odtworzenia rzeczywistych przypadków. Próba powinna objąć co najmniej pracownika zatrudnionego w roli podlegającej weryfikacji, osobę po zmianie roli, administratora zewnętrznego oraz przypadek dostępu awaryjnego. Dla każdego przypadku audytor powinien prześledzić ciąg od aktualnej podstawy prawnej i kwalifikacji roli, przez pozyskanie informacji i decyzję o dopuszczeniu, aż do faktycznie aktywnych uprawnień.

Minimalny test obejmuje porównanie listy ról z ewidencją dostępów, sprawdzenie kompletności decyzji, terminowości kontroli, ograniczenia dostępu do zapisów i prawidłowości ich przechowywania. Należy również zasymulować brak dokumentu, niejednoznaczny wynik lub opóźnienie weryfikacji. Organizacja powinna wykazać, że potrafi wstrzymać dostęp, uruchomić eskalację i wskazać osobę uprawnioną do rozstrzygnięcia. Częstotliwość audytu wewnętrznego SZBI i próg eskalacji powinny odpowiadać ryzyku oraz wymaganiom wynikającym z aktualnie obowiązującej podstawy, a nie wyłącznie kalendarzowi audytów.

Typowe niezgodności systemowe powstają na styku procesów. Należą do nich brak wykazanej podstawy, rozbieżność między wykazem stanowisk a rzeczywistymi uprawnieniami, pominięcie podwykonawców, nadanie dostępu przed zakończeniem kontroli, nieokreślony okres przechowywania albo brak udokumentowanego trybu eskalacji. Poprawny zapis kadrowy nie wystarcza, jeżeli administrator zewnętrzny zachował aktywne konto po zmianie zakresu umowy lub rozszerzył uprawnienia bez ponownej kwalifikacji.

Zarząd powinien otrzymywać informacje zagregowane, a nie treść danych dotyczących skazań. Przydatne są: odsetek aktywnych dostępów wymagających kontroli, dla których istnieje aktualna decyzja, liczba dostępów nadanych przed zakończeniem weryfikacji, terminowość przeglądów oraz liczba niezgodności według przyczyny systemowej. Wskaźniki mają prowadzić do decyzji o zasobach, korektach i eskalacji, zgodnie z podejściem opisanym w materiale Jak zbudować procesowe KPI dla zarządu, żeby system jakości nie kończył się na tabelkach.

Gotowość do audytu oznacza zdolność wykazania nie tylko istnienia procedury, lecz także proporcjonalności jej zakresu, spójności decyzji i skuteczności działania. Wyniki testu powinny trafić do audytu wewnętrznego SZBI i przeglądu zarządzania wraz ze wskazaniem właściciela działania, terminu usunięcia luki oraz oceną wpływu na aktywne dostępy.