Provjera nekažnjavanosti osoblja u KSC-u – kako odrediti obuhvat i uspostaviti usklađen proces

Provjera nekažnjavanosti osoblja u KSC-u nije opća kadrovska kontrola ni formalnost prije audita. Njezin obuhvat mora proizlaziti iz konkretne pravne osnove, statusa organizacije te stvarnih zadataka i ovlasti pojedine osobe. Ako proces započne prikupljanjem potvrda umjesto klasifikacijom uloga, organizacija može istodobno izostaviti osobe na koje se zahtjev odnosi i bez valjane osnove obrađivati podatke o kaznenim osudama. Zato najprije treba utvrditi koga je dopušteno provjeravati i na kojoj osnovi, zatim razdvojiti odgovornosti za pribavljanje podataka, ocjenu rezultata i odluku o pristupu te na kraju ograničiti zapise na podatke nužne za dokazivanje usklađenosti.

Ne počinjite od potvrde, nego od obuhvata

Odluku o provjeri nekažnjavanosti ne treba započeti zahtjevom da osoblje dostavi dokumentaciju. Uprava najprije mora potvrditi status organizacije u sustavu KSC i utvrditi konkretnu odredbu iz koje proizlazi obveza za određene osobe. Samo pozivanje na NIS2, pripremu za audit ili uspostavu sustava upravljanja informacijskom sigurnošću nije dovoljno opravdanje za provjeru svih zaposlenika, vanjskih suradnika i dobavljača.

Granice procesa treba odrediti zasebno za svaki izvor zahtjeva. Direktiva NIS2, poljski Zakon o KSC-u u važećem tekstu, provedbeni propisi, sektorska regulativa, ugovorni uvjeti i interna pravila za dodjelu pristupa nisu jednakovrijedni izvori. Za svaki izvor treba utvrditi organizacijski, osobni i vremenski obuhvat: na koga se zahtjev odnosi, zbog čega i od kada, postoje li iznimke te kada je potrebna ponovna procjena. Izrada postupka prije dovršetka ove analize može dovesti i do izostavljanja osoba obuhvaćenih obvezom i do neosnovane obrade podataka o kaznenim osudama.

Rezultat klasifikacije treba biti sažeta bilješka koju odobrava vlasnik usklađenosti. U dokumentu treba navesti status subjekta, pravnu osnovu, datum i pravno stanje uzeto u obzir, obuhvaćene uloge te obrazložene iznimke. Kategorija „IT osoblje” preširoka je za upravljanje ovim procesom. Potrebno je odlučiti obuhvaća li zahtjev administratore s povlaštenim ovlastima, osobe koje postupaju s incidentima, osoblje dobavljača te zamjene koje te zadatke obavljaju povremeno. Također treba imenovati vlasnika pravne analize i odrediti rok za njezino ponovno preispitivanje, osobito nakon promjene propisa, opsega poslovanja ili modela pristupa.

Određivanje granica provjere treba biti dio projekta „ISMS usklađen sa Zakonom o KSC-u – kako odrediti opseg, vlasnike i plan provedbe”. Opseg sustava, procesne odgovornosti i povlaštene uloge moraju proizlaziti iz iste organizacijske mape. Tek se tada može odgovorno utvrditi odnosi li se obveza na organizaciju prema trenutačno važećem pravnom stanju, koja odredba dopušta pribavljanje podataka o nekažnjavanosti i za koje je kategorije osoblja takva obrada dopuštena.

Na koga se provjera odnosi

Osobni obuhvat ne određuju naziv radnog mjesta ni oblik angažmana. Odlučujući su sadržaj primjenjivog zahtjeva te stvarni zadaci, ovlasti i utjecaj osobe na sigurnost usluge. Pri klasifikaciji treba uzeti u obzir logički i fizički pristup, mogućnost promjene konfiguracije, sudjelovanje u postupanju s incidentima, utjecaj na kontinuitet poslovanja te privremene i interventne ovlasti. Uloge koje nisu povezane sa zaštićenom uslugom, sustavom, objektom ili područjem navedenim u propisu ne treba preventivno uključivati u provjeru.

Temeljni alat za odlučivanje jest matrica uloga koju zajednički vode vlasnik procesa, osoba odgovorna za informacijsku sigurnost i ljudski resursi, uz sudjelovanje vlasnika usklađenosti. Matrica treba biti povezana s upravljanjem identitetima i ovlastima te razdvajanjem dužnosti. Popis zaposlenika sam po sebi nije dovoljan. Potrebni su i registri povlaštenih računa, administrativnih, fizičkih i interventnih pristupa te vanjskih osoba koje stvarno pristupaju sustavima ili procesima obuhvaćenima zahtjevom.

Tehnički administrator dobavljača može imati šire ovlasti od internog rukovoditelja, iako nije zaposlenik organizacije. Klasifikacija koja se temelji samo na vrsti ugovora mogla bi stoga izostaviti osobu sa znatnim utjecajem na sigurnost. To ipak ne znači da se na vanjskog administratora automatski primjenjuje isti postupak kao na zaposlenika. Opseg podataka, način dokazivanja ispunjenja zahtjeva i odgovornost za ocjenu moraju proizlaziti iz dopuštene pravne osnove ili pravilno oblikovanog ugovora. Privremeni i interventni pristup treba procjenjivati prema mogućem opsegu radnji, a ne prema očekivanoj učestalosti korištenja.

Matrica treba obuhvatiti zaposlenike, članove tijela upravljanja, osobe angažirane na drugim osnovama, vanjske administratore te osoblje dobavljača i podugovaratelja, ali isključivo unutar granica primjenjivog zahtjeva. Treba je preispitati nakon promjene arhitekture ovlasti, opsega usluge, dobavljača ili propisa. Broj povlaštenih uloga i vanjskih osoba sa stvarnim pristupom određuje opseg procesa i ulazni je podatak za planiranje troškova opisano u materijalu „Koliko košta provedba NIS2 i uKSC-a – kako planirati proračun za audit, dokumentaciju, osposobljavanje i zaštitne mjere bez skupih pogrešaka”.

Gdje nastaju troškovi i rizici

Najveći rizik ne proizlazi iz tehničkog pribavljanja podatka o nekažnjavanosti, nego iz pokretanja provjere bez nedvosmislene osnove, jasno određene svrhe i ograničenog obuhvata. Podaci o kaznenim osudama i kažnjivim djelima podliježu posebnom režimu obrade. Uobičajena privola osobe ni opća odredba kadrovske politike ne bi se smjele smatrati automatskim opravdanjem za njihovo pribavljanje. Prije odabira načina provjere treba utvrditi koje informacije primjenjiva odredba doista zahtijeva, na koga se odnosi i tko je odgovoran za ocjenu rezultata.

Troškovi rastu kada organizacija od cijelog osoblja traži potpune dokumente, čuva njihove preslike bez definiranog roka, šalje ih običnom elektroničkom poštom ili ih daje na uvid ljudskim resursima, nadređenima, funkciji sigurnosti i auditorima bez razdvajanja ovlasti. Svaka dodatna preslika povećava opterećenje povezano sa zaštitom podataka, kontrolom pristupa, postupanjem po zahtjevima i sigurnim brisanjem. Uprava zato treba pratiti ne samo broj provedenih provjera nego i broj osoba koje imaju pristup dokumentima te stvarna razdoblja njihova čuvanja.

Drugi izvor rizika jest nepostojanje kriterija za ocjenu rezultata. Informacija utvrđena provjerom ne smije dovesti do improvizirane odluke rukovoditelja niti do procjene odvojene od zahtjeva koji vrijedi za konkretnu ulogu. Ljudski resursi mogu pravilno pribaviti dokument, ali proces će i dalje biti manjkav ako nije utvrđeno tko ocjenjuje njegovo značenje, na kojoj se osnovi odlučuje o odobravanju pristupa i je li čuvanje preslike potrebno. Postupak treba definirati način eskalacije i plan reakcije u planu kontrole – kako definirati postupanje kada proces izađe iz utvrđenih granica.

Dokaz da je provjera provedena treba odvojiti od čuvanja sadržaja dokumenta. Ovisno o primjenjivoj osnovi i obvezi dokazivanja, može biti dovoljan zapis datuma provjere, njezina opsega, osobe ovlaštene za ocjenu, kvalifikacijskog ishoda i odluke o odobravanju pristupa, bez pohrane cjelokupnog sadržaja potvrde. Ako je preslika nužna, treba odrediti tko joj smije pristupiti, kako se štiti i kada se briše. Takav zapis povezuje smanjenje količine podataka s obvezom dokazivanja usklađenosti, umjesto da se pravna analiza zamijeni prikupljanjem dokumenata „za svaki slučaj”.

Proces od klasifikacije do odobravanja pristupa

Proces treba započeti prije pribavljanja podataka o nekažnjavanosti. Vlasnik procesa najprije klasificira ulogu, navodi važeću pravnu osnovu i utvrđuje potreban opseg provjere. Organizacija zatim osobu informira o svrsi, načinu provedbe i pravilima obrade podataka, odabire dopušteni izvor informacija i provjerava identitet. Sljedeće kontrolne točke obuhvaćaju ocjenu rezultata, odluku o odobravanju pristupa, dodjelu ovlasti i izradu kontrolnog zapisa.

Za svaku radnju treba odrediti odgovornu osobu, potrebne ulazne podatke, rok i način postupanja u slučaju nedostajućeg dokumenta, prekoračenja roka ili rezultata koji zahtijeva dodatno pojašnjenje. Formalna provjera nije isto što i operativna odluka. Ljudski resursi mogu obavijestiti zaposlenika, zaprimiti dokument i potvrditi potpunost podataka, ali ne bi trebali samostalno odlučivati o pristupu sustavu ili infrastrukturi.

Konačnu odluku treba donijeti imenovana poslovna uloga, najčešće vlasnik sustava ili osoba odgovorna za predmetno operativno područje, uz sudjelovanje funkcije informacijske sigurnosti. Ako je rezultat nejasan ili postoje dvojbe o dopuštenom opsegu obrade, predmet treba uputiti pravnoj funkciji ili funkciji zaštite podataka. Takva podjela odgovornosti sprječava i automatsko odobravanje pristupa nakon predočenja dokumenta i proizvoljno tumačenje nadređene osobe.

Kriterije odlučivanja treba odobriti prije prvog problematičnog slučaja. Postupkom treba utvrditi tko procjenjuje nejasne situacije, koje se informacije smiju uzeti u obzir, je li dopušteno ograničiti opseg pristupa te kako evidentirati obrazloženje bez otkrivanja sadržaja širem krugu primatelja. Novoangažirana osoba može, primjerice, završiti osposobljavanja i organizacijske aktivnosti, ali do donošenja odluke ne bi trebala dobiti povlašteni račun ni pristup zaštićenom okruženju. Ako je privremeni pristup uopće dopušten, zahtijeva zasebno odobrenje, ograničen opseg, datum isteka i nadzor. Ne smije služiti za zaobilaženje provjere.

Negativan ishod zahtijeva unaprijed definiran plan reakcije: obustavu ovlasti, eskalaciju imenovanim donositeljima odluka, određivanje zamjene, procjenu posljedica za kontinuitet poslovanja i kontrolirano zaključenje predmeta. Logika treba biti jednaka kao u planu reakcije: određeni događaj pokreće unaprijed određenu reakciju, odgovornost i zapis. Pri zapošljavanju i promjeni uloge koristan je materijal Kako pripremiti proces uvođenja novog inženjera kvalitete ili predstavnika za ISO, osobito u dijelu koji se odnosi na kontrolne točke odlučivanja i potvrđivanje odgovornosti.

Kontrolni zapis treba omogućiti rekonstrukciju klasifikacije uloge, osnove i opsega provjere, datuma potvrde identiteta, izvora informacija, osobe koja je provela ocjenu, odluke, datuma dodjele ovlasti i eventualne eskalacije. Također treba definirati događaje koji pokreću ponovnu procjenu, posebice promjenu uloge ili opsega pristupa, kao i način ukidanja ovlasti pri odlasku zaposlenika. Djelotvornost procesa najbolje pokazuju vrijeme od klasifikacije do odluke, broj pristupa dodijeljenih prije završetka obvezne provjere i broj eskalacija zbog nedostajućeg dokumenta ili nejasnog rezultata.

Dokumentacija i ponovna provjera

Dokumentacija procesa treba omogućiti rekonstrukciju razloga i posljedica odluke, a ne stvarati arhiv podataka o nekažnjavanosti. Zapis treba pokazati zašto je određena uloga podlijegala provjeri, kada je provjera provedena, tko je donio odluku i kakav je bio operativni ishod: odobravanje, ograničavanje ili odbijanje pristupa. To ne znači da je uvijek potrebno čuvati presliku izvornog dokumenta. Odluku o čuvanju preslike treba odvojiti od pohrane metapodataka i temeljiti na važećoj pravnoj osnovi, svrsi obrade i načelu ograničenja pohrane.

Usklađen skup zapisa trebaju činiti:

• matrica uloga s obrazloženjem obuhvata;
• registar provedenih provjera;
• ovlaštenja za obradu i pravila pristupa;
• odobrena razdoblja čuvanja;
• protokol eskalacije;
• dokazi da su dobavljači ispunili svoje obveze.

Ti elementi trebaju imati zajedničkog vlasnika, kontrolu verzija i vezu s upravljanjem dokumentiranim informacijama ISMS-a. Njihova raspršenost između ljudskih resursa, informacijske sigurnosti i nabave otežava dokazivanje cjelovitosti procesa. U repozitoriju treba održavati predloške, sistemske odluke i povijest promjena pravila, dok se pojedinačni podaci smiju učiniti dostupnima samo ovlaštenim osobama. Korisna organizacijska referenca je Kako uspostaviti interni repozitorij znanja o kvaliteti i sačuvati iskustvo tima.

Zapis može sadržavati datum klasifikacije uloge, provjere i odluke, oznaku primijenjene osnove te datum dodjele pristupa i planiranog preispitivanja. Ako je dovoljno evidentirati provedbu provjere i njezin operativni ishod, presliku potvrde ne treba čuvati „za svaki slučaj”. Mehanizam brisanja mora obuhvatiti i privitke poruka, radne direktorije i resurse dobavljača. Djelotvornost nadzora korisno je procjenjivati prema udjelu uloga za koje postoji aktualno obrazloženje uključivanja u proces te broju zapisa koji se čuvaju nakon isteka odobrenog razdoblja.

Rokove ponovne provjere ne treba određivati proizvoljnim kalendarom. Učestalost može proizlaziti iz važeće odredbe, prirode uloge, ugovornih uvjeta ili dokumentirane procjene rizika. Neovisno o periodičnom preispitivanju, postupak treba navesti događaje koji pokreću procjenu, osobito promjenu radnog mjesta, proširenje ovlasti, povratak u ulogu nakon prekida ili značajnu promjenu pravnih odnosno ugovornih zahtjeva. Ažurnost informacija ne mora značiti periodično pribavljanje cijelog dokumenta. Proces treba predvidjeti zakonit i razmjeran način potvrđivanja stanja, svaki put usklađen s važećom pravnom osnovom i opsegom podataka koje organizacija smije obrađivati.

Provjera spremnosti prije audita

Procjenu spremnosti ne treba započeti provjerom postoji li postupak, nego rekonstrukcijom stvarnih slučajeva. Uzorak treba obuhvatiti najmanje zaposlenika na ulozi koja podliježe provjeri, osobu nakon promjene uloge, vanjskog administratora i slučaj interventnog pristupa. Za svaki slučaj auditor treba pratiti slijed od važeće pravne osnove i klasifikacije uloge, preko pribavljanja informacija i odluke o pristupu, do stvarno aktivnih ovlasti.

Minimalni test obuhvaća usporedbu popisa uloga s evidencijom pristupa te provjeru potpunosti odluka, pravodobnosti kontrola, ograničenja pristupa zapisima i pravilnosti njihova čuvanja. Treba simulirati i situaciju u kojoj dokument nedostaje, rezultat je nejasan ili provjera kasni. Organizacija treba dokazati da može obustaviti pristup, pokrenuti eskalaciju i identificirati osobu ovlaštenu za donošenje odluke. Učestalost internog audita ISMS-a i prag eskalacije trebaju odgovarati riziku i zahtjevima koji proizlaze iz trenutačno važeće osnove, a ne samo kalendaru audita.

Tipične sustavne nesukladnosti nastaju na sučeljima procesa. To uključuje nedokazanu pravnu osnovu, nepodudarnost između popisa radnih mjesta i stvarnih ovlasti, izostavljanje podugovaratelja, dodjelu pristupa prije završetka provjere, nedefinirano razdoblje čuvanja ili nepostojanje dokumentiranog načina eskalacije. Ispravan kadrovski zapis nije dovoljan ako je vanjski administrator zadržao aktivan račun nakon promjene opsega ugovora ili su mu ovlasti proširene bez ponovne klasifikacije.

Uprava treba primati zbirne pokazatelje, a ne sadržaj podataka o kaznenim osudama. Korisni su: udio aktivnih pristupa za koje je provjera obvezna i postoji važeća odluka, broj pristupa odobrenih prije završetka provjere, pravodobnost preispitivanja te broj nesukladnosti prema sustavnom uzroku. Pokazatelji trebaju podupirati odluke o resursima, korektivnim mjerama i eskalaciji, u skladu s pristupom opisanim u materijalu Kako uspostaviti procesne KPI-jeve za upravu da sustav kvalitete ne ostane samo na tablicama.

Spremnost za audit podrazumijeva sposobnost dokazivanja ne samo da postupak postoji nego i da je njegov obuhvat razmjeran, odluke dosljedne, a provedba djelotvorna. Rezultate testa treba uključiti u interni audit ISMS-a i upravinu ocjenu, uz imenovanje vlasnika aktivnosti, rok za otklanjanje nedostatka i procjenu utjecaja na aktivne pristupe.