KSC darbuotojų teistumo patikra: kaip nustatyti apimtį ir sukurti tinkamą procesą

KSC kontekste darbuotojų teistumo patikra nėra visuotinė personalo kontrolė ar formalumas prieš auditą. Jos apimtį turi pagrįsti konkreti teisės norma, organizacijos statusas ir faktinės asmens funkcijos bei prieigos teisės. Jei procesas pradedamas nuo pažymų rinkimo, o ne nuo vaidmenų kvalifikavimo, galima ir nepatikrinti asmenų, kuriems reikalavimas taikomas, ir be pagrindo tvarkyti duomenis apie apkaltinamuosius nuosprendžius. Todėl pirmiausia reikia nustatyti, ką ir kokiu pagrindu leidžiama tikrinti, tuomet atskirti atsakomybę už informacijos gavimą, rezultato vertinimą ir sprendimą dėl prieigos, o galiausiai registruoti tik tuos duomenis, kurių reikia atitikčiai įrodyti.

Pradėkite ne nuo pažymos, o nuo taikymo apimties

Sprendimas tikrinti teistumą neturėtų prasidėti nuo reikalavimo darbuotojams pateikti dokumentus. Pirmiausia vadovybė turi patvirtinti organizacijos statusą KSC sistemoje ir nurodyti konkrečią nuostatą, pagal kurią prievolė taikoma apibrėžtiems asmenims. Vien nuoroda į NIS2, pasirengimas auditui ar informacijos saugumo valdymo sistemos kūrimas nepagrindžia visų darbuotojų, kitais pagrindais dirbančių asmenų ir tiekėjų tikrinimo.

Proceso ribos turi būti nustatomos atskirai pagal kiekvieną reikalavimo šaltinį. NIS2 direktyva, aktualios redakcijos Lenkijos KSC įstatymas, įgyvendinamieji teisės aktai, sektoriaus reguliavimas, sutartinės sąlygos ir vidaus prieigos suteikimo taisyklės nėra lygiaverčiai šaltiniai. Kiekvienu atveju būtina apibrėžti organizacinę, asmeninę ir laiko taikymo apimtį: kam reikalavimas taikomas, dėl kokios priežasties ir nuo kada, ar numatytos išimtys ir kada būtinas pakartotinis vertinimas. Procedūrą parengus dar nebaigus šios analizės, galima ir neįtraukti asmenų, kuriems prievolė taikoma, ir nepagrįstai tvarkyti duomenis apie apkaltinamuosius nuosprendžius.

Kvalifikavimo rezultatas turėtų būti trumpas atitikties valdytojo patvirtintas dokumentas. Jame nurodomas subjekto statusas, teisinis pagrindas, analizės data ir jos metu taikyta teisės aktų redakcija, įtraukti vaidmenys bei pagrįstos išimtys. Kategorija „IT personalas“ yra pernelyg plati. Reikia nuspręsti, ar reikalavimas taikomas privilegijuotąsias teises turintiems administratoriams, incidentus valdantiems specialistams, tiekėjo personalui ir šias užduotis periodiškai atliekantiems pavaduojantiems asmenims. Taip pat reikia paskirti teisinės analizės valdytoją ir nustatyti jos peržiūros terminą, ypač pasikeitus teisės aktams, veiklos apimčiai ar prieigos modeliui.

Patikros ribų nustatymas turėtų būti projekto „KSC įstatymą atitinkanti ISVS: kaip nustatyti apimtį, valdytojus ir įgyvendinimo grafiką“ dalis. Sistemos apimtis, procesų atsakomybės ir privilegijuotieji vaidmenys turi būti grindžiami tuo pačiu organizaciniu žemėlapiu. Tik tuomet galima atsakingai įvertinti, ar pagal tuo metu galiojančius teisės aktus prievolė taikoma organizacijai, kokia nuostata leidžia gauti informaciją apie teistumą ir kurių personalo kategorijų atžvilgiu tai leidžiama.

Kam taikoma patikra

Asmeninės taikymo apimties nenulemia pareigų pavadinimas ar darbo santykių forma. Lemiamą reikšmę turi konkretaus reikalavimo turinys, sugretintas su faktinėmis asmens užduotimis, įgaliojimais ir įtaka paslaugos saugumui. Kvalifikuojant vaidmenį reikia įvertinti loginę ir fizinę prieigą, galimybę keisti konfigūraciją, dalyvavimą valdant incidentus, poveikį veiklos tęstinumui ir laikinąsias bei avarines teises. Su teisės akte nurodyta saugoma paslauga, sistema, objektu ar kita apimtimi nesusiję vaidmenys neturėtų būti prevenciškai įtraukiami į patikrą.

Pagrindinė sprendimų priemonė yra vaidmenų matrica, kurią kartu tvarko proceso valdytojas, už informacijos saugumą atsakingas asmuo ir personalo padalinys, dalyvaujant atitikties valdytojui. Matrica turi būti susieta su tapatybių ir prieigos teisių valdymu bei pareigų atskyrimu. Vien darbuotojų sąrašo nepakanka. Reikalingi ir privilegijuotųjų paskyrų, administracinės, fizinės bei avarinės prieigos registrai, taip pat išorės asmenų, turinčių faktinę prieigą prie į apimtį įtrauktų sistemų ar procesų, sąrašai.

Tiekėjo techninis administratorius gali turėti platesnes teises nei organizacijos vidaus vadovas, nors nėra jos darbuotojas. Todėl kvalifikavimas vien pagal sutartinių santykių rūšį gali neapimti asmens, darančio reikšmingą poveikį saugumui. Tačiau tai nereiškia, kad išorės administratoriui automatiškai taikoma tokia pati tvarka kaip darbuotojui. Duomenų apimtis, reikalavimo įvykdymo patvirtinimo būdas ir atsakomybė už vertinimą turi būti grindžiami leistinu teisiniu pagrindu arba tinkamai parengta sutartimi. Laikinoji ir avarinė prieiga vertinama pagal galimą veiksmų apimtį, o ne numatomą naudojimo dažnį.

Matrica turėtų apimti darbuotojus, valdymo organų narius, kitais pagrindais dirbančius asmenis, išorės administratorius, tiekėjų bei subrangovų personalą, tačiau tik tiek, kiek numato konkretus reikalavimas. Ją reikia peržiūrėti pasikeitus prieigos teisių architektūrai, paslaugos apimčiai, tiekėjui ar teisės aktams. Privilegijuotųjų vaidmenų ir faktinę prieigą turinčių išorės asmenų skaičius lemia proceso mastą ir yra sąnaudų planavimo įvestis, aptarta medžiagoje „Kiek kainuoja NIS2 ir uKSC įgyvendinimas: kaip be brangiai kainuojančių klaidų sudaryti audito, dokumentų, mokymų ir saugumo priemonių biudžetą“.

Kur susidaro sąnaudos ir rizika

Didžiausią riziką kelia ne techninis informacijos apie teistumą gavimas, o patikros pradėjimas neturint aiškaus pagrindo, apibrėžto tikslo ir ribotos apimties. Duomenims apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas taikomas specialus tvarkymo režimas. Įprastas asmens sutikimas ar bendro pobūdžio personalo politikos nuostata neturėtų būti laikomi automatiniu pagrindu tokius duomenis gauti. Prieš pasirenkant patikros būdą reikia nustatyti, kokios informacijos iš tikrųjų reikalauja taikoma teisės norma, kam ji taikoma ir kas atsako už rezultato vertinimą.

Sąnaudos didėja, kai organizacija reikalauja iš viso personalo išsamių dokumentų, saugo jų kopijas nenustačiusi saugojimo termino, siunčia juos paprastu elektroniniu paštu arba suteikia prieigą personalo padaliniui, vadovams, saugumo funkcijai ir auditoriams neatskyrusi įgaliojimų. Kiekviena papildoma kopija didina duomenų apsaugos, prieigos kontrolės, prašymų administravimo ir saugaus ištrynimo sąnaudas. Todėl vadovybė turėtų stebėti ne tik atliktų patikrų skaičių, bet ir dokumentus galinčių pasiekti asmenų skaičių bei faktinius saugojimo laikotarpius.

Kitas rizikos šaltinis – neapibrėžti rezultato vertinimo kriterijai. Patikros metu gauta informacija negali lemti improvizuoto vadovo sprendimo ar būti vertinama atsietai nuo konkrečiam vaidmeniui taikomo reikalavimo. Personalo padalinys gali tinkamai gauti dokumentą, tačiau procesas vis tiek bus netinkamas, jei nenustatyta, kas vertina jo reikšmę, kokiu pagrindu priima sprendimą dėl prieigos ir ar būtina saugoti kopiją. Procedūroje turi būti nustatyta eskalavimo tvarka ir reagavimo planas kontrolės plane: kaip aprašyti veiksmus procesui peržengus nustatytas ribas.

Patikros atlikimo patvirtinimą reikia atskirti nuo dokumento turinio saugojimo. Atsižvelgiant į taikomą pagrindą ir įrodymų reikalavimą, gali pakakti užregistruoti patikros datą, jos apimtį, vertinti įgaliotą asmenį, kvalifikavimo rezultatą ir sprendimą dėl prieigos, neišsaugant viso pažymos turinio. Jei kopija būtina, reikia nustatyti jos gavėjus, apsaugos priemones ir ištrynimo terminą. Toks įrašas suderina duomenų kiekio mažinimą su pareiga įrodyti atitiktį, užuot teisinę analizę pakeitus dokumentų kaupimu „dėl visa ko“.

Procesas nuo kvalifikavimo iki prieigos suteikimo

Procesas turi prasidėti dar prieš gaunant informaciją apie teistumą. Pirmiausia proceso valdytojas kvalifikuoja vaidmenį, nurodo galiojantį teisinį pagrindą ir nustato reikiamą patikros apimtį. Tada organizacija informuoja asmenį apie duomenų tvarkymo tikslą, būdą ir taisykles, pasirenka leistiną informacijos šaltinį ir patvirtina asmens tapatybę. Kiti kontrolės vartai apima rezultato įvertinimą, sprendimą dėl leidimo, prieigos teisių suteikimą ir kontrolės įrašo sukūrimą.

Kiekvienam veiksmui reikia paskirti atsakingą asmenį, nurodyti reikiamus įvesties duomenis, terminą ir veiksmus, kai dokumentas nepateiktas, terminas praleistas arba rezultatą reikia išsiaiškinti. Formalios patikros negalima tapatinti su operaciniu sprendimu. Personalo padalinys gali informuoti darbuotoją, priimti dokumentą ir patvirtinti duomenų išsamumą, tačiau neturėtų savarankiškai spręsti dėl prieigos prie sistemos ar infrastruktūros.

Galutinį sprendimą turėtų priimti paskirtas veiklos vaidmuo – dažniausiai sistemos valdytojas arba už konkrečią veiklos sritį atsakingas asmuo – dalyvaujant saugumo funkcijai. Jei rezultatas nėra vienareikšmis arba kyla abejonių dėl leistinos duomenų tvarkymo apimties, klausimas turi būti perduotas teisės arba duomenų apsaugos funkcijai. Toks atsakomybės atskyrimas padeda išvengti ir automatinio prieigos suteikimo vien pateikus dokumentą, ir subjektyvaus vadovo vertinimo.

Sprendimo kriterijai turi būti patvirtinti dar prieš pasitaikant pirmajam probleminiam atvejui. Procedūroje reikia nustatyti, kas vertina neaiškumus, kokią informaciją leidžiama vertinti, ar galima apriboti prieigos apimtį ir kaip dokumentuoti pagrindimą neatskleidžiant turinio platesniam gavėjų ratui. Pavyzdžiui, naujas darbuotojas gali baigti mokymus ir atlikti organizacines užduotis, tačiau iki sprendimo neturėtų gauti privilegijuotosios paskyros ar prieigos prie saugomos aplinkos. Laikinajai prieigai, jei ji apskritai leidžiama, būtinas atskiras patvirtinimas, ribota apimtis, galiojimo pabaigos terminas ir priežiūra. Ji negali būti naudojama kontrolei apeiti.

Neigiamo rezultato atveju reikalingas iš anksto nustatytas reagavimo planas: prieigos teisių sustabdymas, klausimo eskalavimas paskirtiems sprendimų priėmėjams, pavaduojančio asmens paskyrimas, poveikio veiklos tęstinumui įvertinimas ir kontroliuojamas atvejo užbaigimas. Logika turi atitikti reagavimo plano principą: apibrėžtas įvykis inicijuoja priskirtą reakciją, atsakomybę ir įrašą. Priimant darbuotoją ir keičiant jo vaidmenį naudingas atskaitos taškas yra medžiaga Kaip parengti naujo kokybės inžinieriaus ar ISO atstovo įvedimo procesą, ypač sprendimų vartų ir atsakomybės patvirtinimo klausimais.

Kontrolės įrašas turi leisti atkurti vaidmens kvalifikavimą, patikros pagrindą ir apimtį, tapatybės patvirtinimo datą, informacijos šaltinį, vertintoją, priimtą sprendimą, prieigos suteikimo datą ir galimą eskalavimą. Taip pat reikia nustatyti pakartotinį vertinimą inicijuojančius įvykius, ypač vaidmens ar prieigos apimties pasikeitimą, ir prieigos panaikinimo tvarką darbuotojui išėjus. Proceso veiksmingumą pirmiausia parodo laikas nuo kvalifikavimo iki sprendimo, iki privalomos patikros pabaigos suteiktų prieigų skaičius ir eskalavimų dėl nepateikto dokumento arba neaiškaus rezultato skaičius.

Dokumentai ir pakartotinė patikra

Proceso dokumentai turi leisti atkurti sprendimo prielaidas ir pasekmes, o ne tapti teistumo informacijos archyvu. Įrašas turi paaiškinti, kodėl konkrečiam vaidmeniui taikyta patikra, kada ji atlikta, kas priėmė sprendimą ir kokia buvo operacinė pasekmė: prieigos suteikimas, apribojimas arba atsisakymas ją suteikti. Tai savaime nereiškia, kad būtina saugoti pirminio dokumento kopiją. Sprendimą išsaugoti kopiją reikia atskirti nuo metaduomenų saugojimo ir pagrįsti aktualiu teisiniu pagrindu, tvarkymo tikslu bei saugojimo trukmės ribojimo principu.

Nuoseklų įrašų rinkinį turėtų sudaryti:

• vaidmenų matrica su apimties pagrindimu;
• atliktų patikrų registras;
• įgaliojimai tvarkyti duomenis ir prieigos taisyklės;
• patvirtinti saugojimo terminai;
• eskalavimo protokolas;
• tiekėjų prievolių įvykdymo įrodymai.

Šiems elementams reikia bendro valdytojo, versijų kontrolės ir sąsajos su ISVS dokumentų valdymu. Išskaidžius juos tarp personalo, saugumo ir pirkimų funkcijų, tampa sunkiau įrodyti proceso išsamumą. Saugykloje turi būti valdomi šablonai, sisteminio lygmens sprendimai ir taisyklių pakeitimų istorija, o konkrečių asmenų duomenys turi būti prieinami tik įgaliotiems asmenims. Naudinga organizacinė nuoroda – Kaip sukurti vidinę kokybės žinių saugyklą ir neprarasti komandos patirties.

Įraše gali būti nurodyta vaidmens kvalifikavimo, patikros ir sprendimo data, taikyto pagrindo žymuo, prieigos suteikimo data ir planuojama peržiūros data. Jei pakanka patvirtinti, kad patikra atlikta, ir užregistruoti jos operacinį rezultatą, pažymos kopijos nereikėtų saugoti „dėl visa ko“. Ištrynimo mechanizmas turi apimti ir el. laiškų priedus, darbo katalogus bei tiekėjų išteklius. Priežiūros veiksmingumą verta vertinti pagal vaidmenų, kurių įtraukimas į procesą pagrįstas ir aktualus, dalį bei įrašų, saugomų pasibaigus patvirtintam terminui, skaičių.

Pakartotinės patikros terminai neturėtų būti nustatomi pagal savavališkai pasirinktą kalendorių. Dažnumą gali lemti galiojanti teisės norma, vaidmens pobūdis, sutarties sąlygos arba dokumentuotas rizikos vertinimas. Nepriklausomai nuo periodinės peržiūros, procedūroje turi būti nurodyti vertinimą inicijuojantys įvykiai, ypač pareigų pasikeitimas, teisių išplėtimas, grįžimas į vaidmenį po pertraukos arba reikšmingas teisinių ar sutartinių reikalavimų pasikeitimas. Informacijos aktualumas nebūtinai reiškia periodinį viso dokumento gavimą. Procese turi būti numatytas teisėtas ir proporcingas būdas būklei patvirtinti, kiekvieną kartą atitinkantis aktualų teisinį pagrindą ir duomenų, kuriuos organizacija gali tvarkyti, apimtį.

Pasirengimo auditui testas

Pasirengimo vertinimas turėtų prasidėti ne nuo patikrinimo, ar procedūra egzistuoja, o nuo realių atvejų atkūrimo. Imtis turėtų apimti bent vieną darbuotoją, kurio vaidmeniui taikoma patikra, asmenį po vaidmens pakeitimo, išorės administratorių ir avarinės prieigos atvejį. Kiekvienu atveju auditorius turėtų atsekti visą seką: nuo galiojančio teisinio pagrindo ir vaidmens kvalifikavimo iki informacijos gavimo, sprendimo dėl leidimo ir faktiškai aktyvių prieigos teisių.

Minimalus testas apima vaidmenų sąrašo palyginimą su prieigos apskaita, sprendimų išsamumo ir patikrų savalaikiškumo patikrinimą, prieigos prie įrašų ribojimo bei jų saugojimo tinkamumo įvertinimą. Taip pat reikia sumodeliuoti dokumento nepateikimą, neaiškų rezultatą arba patikros vėlavimą. Organizacija turi įrodyti, kad geba sustabdyti prieigą, inicijuoti eskalavimą ir nurodyti priimti sprendimą įgaliotą asmenį. ISVS vidaus audito dažnumas ir eskalavimo slenkstis turi atitikti riziką bei aktualiai taikomo pagrindo reikalavimus, o ne vien auditų kalendorių.

Tipinės sisteminės neatitiktys atsiranda procesų sąsajose. Tai gali būti neįrodytas pagrindas, pareigybių sąrašo neatitiktis faktinėms teisėms, neįtraukti subrangovai, prieigos suteikimas nebaigus patikros, nenustatytas saugojimo laikotarpis ar nedokumentuota eskalavimo tvarka. Tinkamo personalo įrašo nepakanka, jei išorės administratorius pasikeitus sutarties apimčiai išsaugojo aktyvią paskyrą arba jo teisės buvo išplėstos neatlikus pakartotinio kvalifikavimo.

Vadovybė turėtų gauti apibendrintą informaciją, o ne duomenų apie apkaltinamuosius nuosprendžius turinį. Naudingi rodikliai: aktyvių prieigų, kurioms būtina patikra ir dėl kurių priimtas aktualus sprendimas, dalis; prieš patikros pabaigą suteiktų prieigų skaičius; peržiūrų savalaikiškumas; neatitikčių skaičius pagal sistemines priežastis. Rodikliai turi padėti priimti sprendimus dėl išteklių, korekcijų ir eskalavimo, laikantis medžiagoje Kaip parengti procesų KPI vadovybei, kad kokybės sistema neapsiribotų lentelėmis aprašyto požiūrio.

Pasirengimas auditui reiškia gebėjimą įrodyti ne tik procedūros egzistavimą, bet ir jos apimties proporcingumą, sprendimų nuoseklumą bei veiksmingą įgyvendinimą. Testo rezultatai turi būti įtraukti į ISVS vidaus auditą ir vadovybinę vertinamąją analizę, nurodant veiksmo valdytoją, spragos pašalinimo terminą ir poveikio aktyvioms prieigoms įvertinimą.