Проверка за съдимост на персонала по KSC – как да определите обхвата и да изградите съответстващ процес

Проверката за съдимост на персонала по KSC не е обща кадрова проверка, нито формалност преди одит. Нейният обхват трябва да произтича от конкретно основание, статута на организацията и реалните задачи и права за достъп на съответното лице. Процес, който започва със събиране на свидетелства, вместо с квалифициране на ролите, може едновременно да пропусне лица, за които се прилага изискването, и да доведе до обработване без основание на данни за присъди. Затова първо трябва да се установи кои лица могат да бъдат проверявани и на какво основание. След това се разграничават отговорностите за получаване на информацията, оценяване на резултата и вземане на решение за достъп, а накрая записите се ограничават до данните, необходими за доказване на съответствие.

Започнете от обхвата, а не от свидетелството

Решението за проверка за съдимост не трябва да започва с изискване на документи от персонала. Най-напред ръководството следва да потвърди статута на организацията в системата KSC и да посочи конкретната разпоредба, от която произтича задължението спрямо определени лица. Позоваването само на NIS2, подготовката за одит или изграждането на система за управление на сигурността на информацията не са достатъчно основание проверката да обхване всички служители, външни сътрудници и доставчици.

Границите на процеса трябва да бъдат определени отделно за всеки източник на изисквания. Директивата NIS2, полският закон за KSC в актуалната му редакция, подзаконовите актове, секторните правила, договорните условия и вътрешните правила за предоставяне на достъп не са равностойни източници. За всеки от тях трябва да се определят организационният, персоналният и времевият обхват: за кого се отнася изискването, по каква причина, от кой момент, дали допуска изключения и кога изисква повторна оценка. Разработването на процедура преди приключването на този анализ може както да остави извън обхвата задължени лица, така и да доведе до обработване без основание на данни за присъди.

Резултатът от квалифицирането следва да бъде кратка обосновка, одобрена от отговорника по съответствието. Документът трябва да посочва статута на организацията, правното основание, датата и нормативната редакция, използвана при анализа, обхванатите роли и обоснованите изключения. Категорията „ИТ персонал“ е прекалено обща. Необходимо е да се установи дали изискването включва администратори с привилегировани права, служители, участващи в управлението на инциденти, персонал на доставчици и заместници, които периодично изпълняват тези функции. Трябва да бъдат определени и собственикът на правния анализ, както и срокът за неговия преглед, особено след промяна на нормативните изисквания, обхвата на дейността или модела за достъп.

Определянето на границите на проверката трябва да бъде част от инициативата „СУИС, съответстваща на закона за KSC – как да определите обхвата, отговорниците и графика за внедряване“. Обхватът на системата, процесните отговорности и привилегированите роли трябва да произтичат от една и съща организационна карта. Едва тогава може обосновано да се определи дали според действащата нормативна уредба задължението се отнася за организацията, коя разпоредба позволява получаването на информация за съдимост и спрямо кои категории персонал това е допустимо.

Кои лица обхваща проверката

Персоналният обхват не се определя от наименованието на длъжността или формата на заетост. Решаващо е съдържанието на приложимото изискване, съпоставено с действителните задачи, права и влияние на лицето върху сигурността на услугата. Квалифицирането трябва да отчита логическия и физическия достъп, възможността за промяна на конфигурации, участието в обработването на инциденти, влиянието върху непрекъсваемостта на дейността, както и временните и аварийните права. Роли, които не са свързани със защитената услуга, система, обект или нормативно определен обхват, не следва да бъдат включвани превантивно.

Основният инструмент за вземане на решения е матрица на ролите, поддържана съвместно от собственика на процеса, отговорника по сигурността на информацията и функцията по човешки ресурси, с участието на отговорника по съответствието. Матрицата трябва да бъде свързана с управлението на идентичности и права и с разделението на задълженията. Списъкът на служителите сам по себе си не е достатъчен. Необходими са също регистри на привилегированите акаунти, административния, физическия и аварийния достъп, както и на външните лица с реален достъп до системи или процеси в обхвата.

Техническият администратор на доставчика може да разполага с по-широки права от вътрешен ръководител, въпреки че не е служител на организацията. Поради това квалифициране само според вида на договора може да изключи лице със съществено влияние върху сигурността. Това обаче не означава, че външният администратор автоматично подлежи на същата процедура като служител. Обхватът на данните, начинът за потвърждаване на изпълнението и отговорността за оценката трябва да произтичат от допустимо правно основание или от подходящо структуриран договор. Временният и аварийният достъп се оценяват според възможния обхват на действията, а не според очакваната честота на използване.

Матрицата следва да обхваща служители, членове на органи, лица, ангажирани на други основания, външни администратори и персонал на доставчици и подизпълнители, но само в границите на приложимото изискване. Тя трябва да се преглежда след промяна в архитектурата на правата, обхвата на услугата, доставчика или нормативната уредба. Броят на привилегированите роли и външните лица с фактически достъп определя мащаба на процеса и е входна информация за планиране на ресурсите, разгледано в материала „Колко струва внедряването на NIS2 и uKSC – как да планирате бюджет за одит, документация, обучения и мерки за защита без скъпоструващи грешки“.

Къде възникват разходите и рисковете

Най-същественият риск не е свързан с техническото получаване на информация за съдимост, а със стартирането на проверка без еднозначно основание, ясно определена цел и ограничен обхват. Данните за присъди и правонарушения са предмет на специален режим на обработване. Обикновеното съгласие на лицето или обща разпоредба в кадровата политика не следва да се приемат автоматично като основание за събирането им. Преди да бъде избрана формата на проверката, трябва да се установи каква информация действително изисква приложимата разпоредба, кои лица обхваща и кой отговаря за оценяването на резултата.

Разходите нарастват, когато организацията изисква пълни документи от целия персонал, съхранява копия без определен срок, изпраща ги по обикновена електронна поща или предоставя достъп до тях едновременно на човешки ресурси, преките ръководители, екипа по сигурността и одиторите, без разграничаване на правата. Всяко допълнително копие увеличава усилията за защита на данните, контрол на достъпа, обработване на искания и сигурно заличаване. Затова ръководството трябва да наблюдава не само броя на извършените проверки, но и броя на лицата с достъп до документите и действителните срокове на съхранение.

Друг съществен риск е липсата на критерии за оценка на резултата. Информацията, установена при проверката, не трябва да води до импровизирано решение на ръководител или до оценка, несвързана с изискването за съответната роля. Човешки ресурси могат правилно да получат документа, но процесът ще остане недостатъчен, ако не е определено кой оценява значението му, на какво основание се взема решение за предоставяне на достъп и дали съхраняването на копие е необходимо. Процедурата трябва да определя реда за ескалация и плана за реакция в контролния план – как да се опишат действията, когато процесът излезе извън допустимите граници.

Доказателството за извършена проверка трябва да бъде отделено от съхраняването на съдържанието на документа. В зависимост от приложимото основание и изискването за доказуемост може да бъде достатъчен запис за датата на проверката, нейния обхват, оправомощеното лице, резултата от квалифицирането и решението за достъп, без да се съхранява пълното съдържание на свидетелството. Когато копие е необходимо, трябва да бъдат определени получателите, мерките за защита и срокът за заличаване. Така минимизирането на данните се съчетава с доказването на съответствие, вместо правният анализ да бъде заменен със събиране на документи „за всеки случай“.

Процесът – от квалифициране на ролята до предоставяне на достъп

Процесът трябва да започне преди получаването на информация за съдимост. Първо собственикът на процеса квалифицира ролята, посочва актуалното правно основание и определя необходимия обхват на проверката. След това организацията информира лицето за целта, реда и правилата за обработване на данните, избира допустим източник на информация и потвърждава самоличността му. Следващите контролни точки включват оценка на резултата, решение за допускане, предоставяне на права и създаване на контролен запис.

За всяка дейност трябва да бъдат определени отговорното лице, необходимите входни данни, срокът и действията при липса на документ, просрочване или резултат, който изисква изясняване. Формалната проверка не е равнозначна на оперативно решение. Човешки ресурси могат да информират служителя, да приемат документа и да потвърдят пълнотата на данните, но не следва самостоятелно да решават дали да бъде предоставен достъп до система или инфраструктура.

Окончателното решение трябва да принадлежи на определена бизнес роля — обичайно собственика на системата или отговорното лице за съответната оперативна област — с участието на функцията по сигурността. Ако резултатът е нееднозначен или допустимият обхват на обработването поражда съмнения, случаят следва да бъде отнесен към правната функция или длъжностното лице по защита на данните. Това разделение на отговорностите предотвратява както автоматичното предоставяне на достъп след представяне на документ, така и произволната му интерпретация от прекия ръководител.

Критериите за решение трябва да бъдат одобрени преди възникването на първия проблемен случай. Процедурата следва да определя кой оценява нееднозначността, каква информация може да бъде взета предвид, дали е допустимо ограничаване на достъпа и как да се документира обосновката, без съдържанието да се разкрива пред по-широк кръг лица. Например новоназначено лице може да премине обученията и организационните стъпки, но до вземането на решение не трябва да получава привилегирован акаунт или достъп до защитената среда. Временният достъп, ако изобщо е допустим, изисква отделно одобрение, ограничен обхват, срок на изтичане и надзор. Той не може да служи за заобикаляне на проверката.

Отрицателният сценарий изисква предварително определен план за реакция: спиране на правата, ескалация към посочените лица, определяне на заместник, оценка на въздействието върху непрекъсваемостта на дейността и контролирано приключване на случая. Логиката трябва да бъде същата като при план за реакция: конкретно събитие задейства предварително определено действие, отговорност и запис. При назначаване и промяна на роля полезна отправна точка е материалът Как да подготвите процеса за въвеждане на нов инженер по качеството или представител по ISO, особено по отношение на контролните точки за вземане на решения и потвърждаването на отговорностите.

Контролният запис трябва да позволява възстановяване на квалификацията на ролята, основанието и обхвата на проверката, датата на потвърждаване на самоличността, източника на информация, оценяващото лице, решението, датата на предоставяне на правата и евентуалната ескалация. Трябва да се определят и събитията, които задействат повторна оценка — по-специално промяна на ролята или обхвата на достъпа — както и редът за отнемане на правата при напускане. Ефективността на процеса се показва най-добре чрез времето от квалифицирането до решението, броя на достъпите, предоставени преди приключване на изискваната проверка, и броя на ескалациите поради липсващ документ или нееднозначен резултат.

Документация и повторна проверка

Документацията на процеса трябва да позволява възстановяване на основанията и последиците от решението, а не да създава архив с информация за съдимост. Записът следва да обяснява защо съответната роля е подлежала на проверка, кога е извършена тя, кой е взел решението и какъв е бил оперативният резултат: предоставяне, ограничаване или отказ на достъп. Това не означава автоматично, че трябва да се съхранява копие от изходния документ. Решението за запазване на копие трябва да бъде отделено от съхраняването на метаданни и да се основава на актуалното правно основание, целта на обработването и принципа за ограничаване на съхранението.

Съгласуваният набор от записи трябва да включва:

• матрица на ролите с обосновка на обхвата;
• регистър на извършените проверки;
• оправомощаване за обработване и правила за достъп;
• одобрени срокове за съхранение;
• протокол за ескалация;
• доказателства за изпълнение на задълженията от доставчиците.

Тези елементи изискват общ собственик, контрол на версиите и връзка с управлението на документацията на СУИС. Разпръскването им между човешки ресурси, сигурност и снабдяване затруднява доказването на пълнотата на процеса. В хранилището следва да се поддържат образци, системни решения и история на промените в правилата, а индивидуалните данни да се предоставят само на оправомощени лица. Полезна организационна отправна точка е Как да изградите вътрешно хранилище на знания по качеството, без да губите опита на екипа.

Записът може да съдържа датите на квалифициране на ролята, проверката и решението, обозначение на приложеното основание, датата на предоставяне на достъп и планирания преглед. Ако е достатъчно потвърждение за извършената проверка и нейния оперативен резултат, копие от свидетелството не следва да се пази „за всеки случай“. Механизмът за заличаване трябва да обхваща също прикачените файлове към електронни писма, работните директории и ресурсите на доставчиците. Ефективността на контрола може да се оценява чрез дела на ролите с актуална обосновка за включване в процеса и броя на записите, съхранявани след изтичането на одобрения срок.

Сроковете за повторна проверка не трябва да се определят чрез произволен календар. Честотата може да произтича от приложимата разпоредба, характера на ролята, договорните условия или документирана оценка на риска. Независимо от периодичния преглед, процедурата трябва да определя събитията, задействащи оценка — по-специално смяна на длъжността, разширяване на правата, връщане към ролята след прекъсване или съществена промяна на нормативните или договорните изисквания. Актуалността на информацията не означава непременно периодично получаване на целия документ. Процесът трябва да предвижда законосъобразен и пропорционален начин за потвърждаване на състоянието, който всеки път да съответства на актуалното правно основание и на обхвата на данните, които организацията може да обработва.

Тест за готовност преди одит

Оценката на готовността не трябва да започва с проверка дали съществува процедура, а с проследяване на реални случаи. Извадката следва да включва най-малко служител в роля, подлежаща на проверка, лице след промяна на ролята, външен администратор и случай на авариен достъп. За всеки случай одиторът трябва да проследи последователността от актуалното правно основание и квалифицирането на ролята, през получаването на информацията и решението за допускане, до действително активните права.

Минималният тест включва съпоставка на списъка с роли и регистъра на достъпите, проверка на пълнотата на решенията, спазването на сроковете, ограничаването на достъпа до записите и правилното им съхранение. Следва да бъдат симулирани и липса на документ, нееднозначен резултат или забавяне на проверката. Организацията трябва да покаже, че може да спре достъпа, да задейства ескалация и да посочи лицето, оправомощено да вземе решение. Честотата на вътрешния одит на СУИС и прагът за ескалация трябва да съответстват на риска и на изискванията на актуално приложимото основание, а не единствено на графика за одити.

Типичните системни несъответствия възникват на границата между процесите. Сред тях са липса на доказано основание, разминаване между списъка на длъжностите и реалните права, пропуснати подизпълнители, предоставяне на достъп преди приключване на проверката, неопределен срок за съхранение или липса на документиран ред за ескалация. Коректният кадрови запис не е достатъчен, ако външен администратор е запазил активния си акаунт след промяна в обхвата на договора или е получил разширени права без повторно квалифициране.

Ръководството трябва да получава обобщена информация, а не съдържанието на данните за присъди. Полезни показатели са: делът на активните достъпи, за които се изисква проверка и има актуално решение; броят на достъпите, предоставени преди приключване на проверката; навременността на прегледите; както и броят на несъответствията според системната причина. Показателите трябва да подпомагат решенията за ресурси, коригиращи действия и ескалация съгласно подхода, представен в материала Как да изградите процесни KPI за ръководството, така че системата за управление на качеството да не се свежда до таблици.

Готовността за одит означава организацията да може да докаже не само наличието на процедура, но и пропорционалността на нейния обхват, последователността на решенията и ефективността на процеса. Резултатите от теста трябва да бъдат включени във вътрешния одит на СУИС и в прегледа от ръководството, заедно с определен отговорник за действието, срок за отстраняване на пропуска и оценка на въздействието върху активните достъпи.