KSC personalitausta kontroll – kelle see kehtib ja kuidas luua nõuetele vastav protsess

KSC raames tehtav personalitausta ja karistusandmete kontroll ei ole üldine personalikontroll ega auditieelne formaalsus. Kontrolli ulatus peab põhinema konkreetsel õiguslikul alusel, organisatsiooni staatusel ning inimese tegelikel ülesannetel ja õigustel. Kui protsessi alustatakse tõendite kogumisest, mitte rollide kvalifitseerimisest, võivad kontrollikohustusega isikud jääda tähelepanuta ning karistusandmeid võidakse töödelda õigusliku aluseta. Seetõttu tuleb esmalt kindlaks määrata, keda ja millisel alusel võib kontrollida, seejärel lahutada teabe hankimise, tulemuse hindamise ja juurdepääsuotsuse vastutus ning lõpuks piirduda vastavuse tõendamiseks vajalike andmetega.

Alustada tuleb kohaldamisalast, mitte tõendist

Karistusandmete kontrollimise otsust ei tohiks alustada töötajatelt dokumentide nõudmisega. Kõigepealt peab juhtkond kinnitama organisatsiooni staatuse KSC süsteemis ja määrama kindlaks konkreetse õigusnormi, millest tuleneb kohustus teatavate isikute suhtes. Ainuüksi viide NIS2-le, auditiks valmistumine või infoturbe juhtimissüsteemi ülesehitamine ei anna alust kontrollida kõiki töötajaid, koostööpartnereid ega tarnijate personali.

Protsessi piirid tuleb määrata iga nõudeallika puhul eraldi. NIS2 direktiiv, Poola kehtiv KSC seadus, rakendusaktid, valdkondlikud õigusnormid, lepingutingimused ja organisatsiooni sisemised juurdepääsureeglid ei ole samaväärsed alused. Iga allika puhul tuleb määratleda organisatsiooniline, isikuline ja ajaline ulatus: kellele nõue kehtib, miks see kohaldub, millisest hetkest, millised erandid on ette nähtud ning millal tuleb hinnangut korrata. Menetluse koostamine enne selle analüüsi lõpetamist võib põhjustada nii kohustusega hõlmatud isikute väljajäämise kui ka karistusandmete põhjendamatu töötlemise.

Kvalifitseerimise tulemus peaks olema lühike vastavuse omaniku kinnitatud memo. Dokumendis tuleb näidata organisatsiooni staatus, õiguslik alus, analüüsi kuupäev ja aluseks võetud õiguslik seis, hõlmatud rollid ning põhjendatud erandid. Kategooria „IT-personal” on liiga üldine. Eraldi tuleb otsustada, kas nõue hõlmab privilegeeritud õigustega administraatoreid, intsidentide lahendajaid, tarnija personali ning neid ülesandeid ajutiselt täitvaid asendajaid. Samuti tuleb määrata õigusanalüüsi omanik ja järgmise läbivaatuse tähtaeg, eelkõige pärast õigusnormide, tegevusulatuse või juurdepääsumudeli muutumist.

Kontrolli piiride määramine peaks olema osa projektist „KSC seadusele vastav infoturbe juhtimissüsteem – kuidas määrata ulatus, omanikud ja rakenduskava”. Süsteemi ulatus, protsessivastutus ja privilegeeritud rollid peavad tuginema samale organisatsioonikaardile. Alles seejärel saab põhjendatult otsustada, kas kohustus kehtib organisatsioonile analüüsi ajal kehtiva õiguse järgi, milline õigusnorm lubab karistusandmeid hankida ning milliste personalikategooriate suhtes on see lubatud.

Keda kontroll hõlmab

Isikulist ulatust ei määra ametinimetus ega töösuhte vorm. Määrav on kohaldatava nõude sisu koostoimes inimese tegelike ülesannete, õiguste ja mõjuga teenuse turvalisusele. Kvalifitseerimisel tuleb arvestada loogilist ja füüsilist juurdepääsu, konfiguratsiooni muutmise võimalust, osalemist intsidentide lahendamises, mõju toimepidevusele ning ajutisi ja hädaolukorra õigusi. Rolle, mis ei ole seotud õigusnormis nimetatud kaitstava teenuse, süsteemi, rajatise või tegevusalaga, ei tohiks ennetavalt kontrolliga hõlmata.

Peamine otsustusvahend on rollimaatriks, mida haldavad ühiselt protsessiomanik, infoturbe eest vastutav isik ja personalifunktsioon ning mille koostamisse kaasatakse vastavuse omanik. Maatriks peab olema seotud identiteedi- ja pääsuõiguste halduse ning ülesannete lahususega. Töötajate nimekirjast üksi ei piisa. Vaja on ka privilegeeritud kontode, administratiivsete, füüsiliste ja hädaolukorra juurdepääsude ning protsessidele või süsteemidele tegelikku juurdepääsu omavate väliste isikute registreid.

Tarnija tehnilisel administraatoril võivad olla laiemad õigused kui organisatsiooni sisemisel juhil, kuigi ta ei ole organisatsiooni töötaja. Lepingu liigist lähtuv kvalifitseerimine võib seega välistada isiku, kellel on turvalisusele oluline mõju. See ei tähenda siiski, et välisele administraatorile kohaldub automaatselt sama menetlus nagu töötajale. Andmete ulatus, nõude täitmise tõendamise viis ja hindamisvastutus peavad tulenema lubatud õiguslikust alusest või asjakohaselt koostatud lepingust. Ajutist ja hädaolukorra juurdepääsu tuleb hinnata võimalike toimingute ulatuse, mitte eeldatava kasutussageduse järgi.

Maatriks peaks hõlmama töötajaid, juhtorganite liikmeid, muul alusel koostööd tegevaid isikuid, väliseid administraatoreid ning tarnijate ja alltöövõtjate personali, kuid üksnes kohaldatava nõude piires. Maatriks tuleb üle vaadata pärast juurdepääsuarhitektuuri, teenuse ulatuse, tarnija või õigusnormide muutumist. Privilegeeritud rollide ja tegeliku juurdepääsuga väliste isikute arv määrab protsessi mahu ning on sisend kulude kavandamisel, mida käsitletakse materjalis „Kui palju maksab NIS2 ja uKSC rakendamine – kuidas koostada auditi, dokumentatsiooni, koolituste ja turvameetmete eelarve kulukaid vigu vältides”.

Kus tekivad kulud ja riskid

Suurim risk ei tulene karistusandmete tehnilisest hankimisest, vaid kontrolli käivitamisest ilma selge aluse, kindlaksmääratud eesmärgi ja piiratud ulatuseta. Süüdimõistvate kohtuotsuste ja õigusrikkumistega seotud andmetele kohaldub erirežiim. Isiku tavapärast nõusolekut ega üldist sätet personalipoliitikas ei tohiks pidada automaatselt piisavaks aluseks nende andmete hankimiseks. Enne kontrollimisviisi valimist tuleb kindlaks teha, millist teavet asjaomane õigusnorm tegelikult nõuab, kellele nõue kehtib ja kes vastutab tulemuse hindamise eest.

Kulud kasvavad, kui organisatsioon nõuab kogu personalilt täielikke dokumente, säilitab nende koopiaid ilma kinnitatud säilitustähtajata, edastab neid tavalise e-postiga või teeb need kättesaadavaks personalitöötajatele, juhtidele, turbefunktsioonile ja audiitoritele ilma juurdepääsuõigusi lahutamata. Iga lisakoopia suurendab andmekaitse, juurdepääsu kontrollimise, taotluste menetlemise ja turvalise kustutamise koormust. Seetõttu peaks juhtkond mõõtma peale tehtud kontrollide arvu ka dokumentidele juurdepääsu omavate isikute arvu ja tegelikke säilitusaegu.

Teine riskiallikas on tulemuse hindamise kriteeriumide puudumine. Kontrolli käigus ilmnenud teave ei tohi põhjustada juhi improviseeritud otsust ega hinnangut, mis ei ole seotud konkreetsele rollile kohalduva nõudega. Personalifunktsioon võib dokumendi korrektselt hankida, kuid protsess jääb puudulikuks, kui pole määratud, kes hindab teabe tähendust, millisel alusel tehakse juurdepääsuotsus ja kas koopia säilitamine on vajalik. Menetluses tuleb kirjeldada eskaleerimiskorda ja kontrolliplaani reageerimiskava – kuidas kirjeldada tegevusi protsessi piiridest väljumisel.

Kontrolli tegemise tõend tuleb eristada dokumendi sisu säilitamisest. Sõltuvalt kohaldatavast alusest ja tõendamiskohustusest võib piisata kontrollimise kuupäeva, kontrolli ulatuse, hindamiseks volitatud isiku, kvalifitseerimistulemuse ja juurdepääsuotsuse registreerimisest ilma tõendi täielikku sisu säilitamata. Kui koopia on vajalik, tuleb määrata selle kasutajad, kaitsemeetmed ja kustutamise tähtaeg. Selline kirje ühendab minimaalsuse põhimõtte vastavuse tõendamisega, selle asemel et asendada õigusanalüüs dokumentide kogumisega „igaks juhuks”.

Protsess rolli kvalifitseerimisest juurdepääsuotsuseni

Protsess peab algama enne karistusandmete hankimist. Esmalt kvalifitseerib protsessiomanik rolli, määrab kehtiva õigusliku aluse ja vajaliku kontrolli ulatuse. Seejärel teavitab organisatsioon isikut andmetöötluse eesmärgist, korrast ja reeglitest, valib lubatud teabeallika ning kontrollib isikusamasust. Järgmised otsustusväravad hõlmavad tulemuse hindamist, juurdepääsuotsust, õiguste andmist ja kontrollikirje loomist.

Iga tegevuse puhul tuleb määrata vastutaja, nõutavad sisendid, tähtaeg ning toimimisviis dokumendi puudumise, tähtaja ületamise või selgitamist vajava tulemuse korral. Vormiline kontroll ei ole sama mis operatiivne otsus. Personalifunktsioon võib isikut teavitada, dokumendi vastu võtta ja andmete täielikkust kinnitada, kuid ei peaks iseseisvalt otsustama süsteemile või taristule juurdepääsu andmist.

Lõplik otsus peaks kuuluma määratud ärilisele rollile, tavaliselt süsteemiomanikule või asjaomase tegevusvaldkonna eest vastutavale isikule, kaasates turbefunktsiooni. Kui tulemus on ebaselge või andmete lubatud töötlemise ulatus tekitab kahtlusi, tuleb juhtum suunata õigus- või andmekaitsefunktsioonile. Selline vastutuse lahusus väldib nii automaatset juurdepääsu andmist pärast dokumendi esitamist kui ka juhi meelevaldset tõlgendust.

Otsustuskriteeriumid tuleb kinnitada enne esimese probleemse juhtumi tekkimist. Menetluses peab olema määratud, kes hindab ebaselgust, millist teavet võib arvesse võtta, kas juurdepääsu ulatust saab piirata ning kuidas põhjendus dokumenteerida ilma sisu tarbetult laiemale isikute ringile avaldamata. Uus töötaja võib näiteks läbida koolitused ja organisatsioonilised tegevused, kuid enne otsuse tegemist ei tohiks talle anda privilegeeritud kontot ega juurdepääsu kaitstud keskkonnale. Kui ajutine juurdepääs on üldse lubatud, vajab see eraldi kinnitust, piiratud ulatust, aegumistähtaega ja järelevalvet. Seda ei tohi kasutada kontrollist möödahiilimiseks.

Negatiivse variandi jaoks peab olema eelnevalt kinnitatud reageerimiskava: õiguste peatamine, juhtumi eskaleerimine määratud otsustajatele, asendaja määramine, toimepidevusele avalduva mõju hindamine ja juhtumi kontrollitud sulgemine. Loogika peab olema sama nagu reageerimiskavas: kindlaksmääratud sündmus käivitab määratud tegevuse, vastutuse ja kirje loomise. Värbamisel ja rolli muutmisel on kasulikuks lähtekohaks materjal Kuidas koostada uue kvaliteediinseneri või ISO juhtimissüsteemi esindaja sisseelamisprotsess, eelkõige otsustusväravate ja vastutuse kinnitamise osas.

Kontrollikirje peab võimaldama taastada rolli kvalifitseerimise, kontrolli aluse ja ulatuse, isikusamasuse kinnitamise kuupäeva, teabeallika, hindaja, otsuse, õiguste andmise kuupäeva ning võimaliku eskaleerimise. Samuti tuleb määrata kordushindamist käivitavad sündmused, eelkõige rolli või juurdepääsu ulatuse muutumine, ning õiguste tühistamise kord töötaja lahkumisel. Protsessi tulemuslikkust näitavad eelkõige aeg kvalifitseerimisest otsuseni, enne nõutava kontrolli lõpetamist antud juurdepääsude arv ning puuduva dokumendi või ebaselge tulemuse tõttu algatatud eskaleerimiste arv.

Dokumentatsioon ja korduskontroll

Protsessi dokumentatsioon peab võimaldama otsuse aluseid ja tagajärgi taastada, mitte moodustama karistusandmete arhiivi. Kirje peab selgitama, miks konkreetne roll kuulus kontrollimisele, millal kontroll tehti, kes juhtumi lahendas ja milline oli operatiivne tulemus: juurdepääsu andmine, piiramine või sellest keeldumine. See ei tähenda automaatselt algdokumendi koopia säilitamise vajadust. Koopia säilitamise otsus tuleb metaandmete säilitamisest eraldada ning rajada kehtivale õiguslikule alusele, töötlemise eesmärgile ja säilitamise piiramise põhimõttele.

Sidusa tõendusmaterjali kogumi peaksid moodustama:

• rollimaatriks koos kohaldamisala põhjendusega;
• tehtud kontrollide register;
• andmetöötlusvolitused ja juurdepääsureeglid;
• kinnitatud säilitustähtajad;
• eskaleerimisprotokoll;
• tarnijate kohustuste täitmist tõendavad materjalid.

Nendel elementidel peab olema ühine omanik, versioonihaldus ja seos infoturbe juhtimissüsteemi dokumendiohjega. Materjalide hajutamine personali-, turbe- ja hankefunktsiooni vahel raskendab protsessi täielikkuse tõendamist. Repositooriumis tuleb hallata malle, süsteemseid otsuseid ja reeglite muudatuste ajalugu, kuid üksikisikute andmed peavad olema kättesaadavad ainult volitatud isikutele. Organisatsioonilise lähtekohana võib kasutada materjali Kuidas luua sisemine kvaliteediteadmiste repositoorium, et meeskonna kogemus ei läheks kaduma.

Kirje võib sisaldada rolli kvalifitseerimise, kontrollimise ja otsuse kuupäeva, kohaldatud aluse viidet, juurdepääsu andmise kuupäeva ning kavandatud läbivaatust. Kui piisab kontrolli tegemise ja selle operatiivse tulemuse kinnitamisest, ei tohiks tõendi koopiat „igaks juhuks” säilitada. Kustutamismehhanism peab hõlmama ka e-kirjade manuseid, töökaustu ja tarnijate ressursse. Järelevalve tulemuslikkust tasub hinnata nende rollide osakaalu järgi, mille kontrolliga hõlmamiseks on olemas ajakohane põhjendus, ning pärast kinnitatud säilitustähtaja lõppu alles olevate kirjete arvu järgi.

Korduskontrolli tähtaegu ei tohiks määrata meelevaldse kalendri alusel. Sagedus võib tuleneda kohaldatavast õigusnormist, rolli laadist, lepingutingimustest või dokumenteeritud riskihinnangust. Sõltumata perioodilisest läbivaatusest peab menetluses nimetama hindamist käivitavad sündmused, eelkõige ametikoha muutumise, õiguste laiendamise, pärast pausi samasse rolli naasmise ning olulise õigusliku või lepingulise nõude muudatuse. Teabe ajakohasus ei pea tähendama täieliku dokumendi tsüklilist hankimist. Protsess peab ette nägema õiguspärase ja proportsionaalse viisi seisundi kinnitamiseks, mis vastab iga kord kehtivale õiguslikule alusele ja nende andmete ulatusele, mida organisatsioon võib töödelda.

Auditivalmiduse test

Valmiduse hindamist ei tohiks alustada menetlusdokumendi olemasolu kontrollimisest, vaid tegelike juhtumite rekonstrueerimisest. Valim peab hõlmama vähemalt kontrollitavas rollis töötajat, pärast rollimuutust tegutsevat isikut, välist administraatorit ja hädaolukorra juurdepääsu juhtumit. Audiitor peab iga juhtumi puhul jälgima kogu ahelat alates kehtivast õiguslikust alusest ja rolli kvalifitseerimisest kuni teabe hankimise, juurdepääsuotsuse ja tegelikult aktiivsete õigusteni.

Minimaalne test hõlmab rollide nimekirja võrdlemist juurdepääsuregistriga, otsuste täielikkuse, kontrollide õigeaegsuse, kirjetele juurdepääsu piiramise ning säilitamise nõuetekohasuse kontrollimist. Samuti tuleb simuleerida dokumendi puudumist, ebaselget tulemust või kontrolli viibimist. Organisatsioon peab suutma tõendada, et juurdepääs peatatakse, eskaleerimine käivitatakse ja otsustamiseks volitatud isik on määratud. Infoturbe juhtimissüsteemi siseauditi sagedus ja eskaleerimiskünnis peavad vastama riskile ning analüüsi ajal kehtivast alusest tulenevatele nõuetele, mitte ainult auditikalendrile.

Tüüpilised süsteemsed mittevastavused tekivad protsesside kokkupuutepunktides. Nende hulka kuuluvad tõendamata õiguslik alus, ametikohtade nimekirja ja tegelike õiguste erinevus, alltöövõtjate väljajätmine, juurdepääsu andmine enne kontrolli lõpetamist, määramata säilitustähtaeg või dokumenteeritud eskaleerimiskorra puudumine. Korrektsest personalikirjest ei piisa, kui väline administraator säilitab pärast lepingu ulatuse muutmist aktiivse konto või tema õigusi laiendatakse ilma uue kvalifitseerimiseta.

Juhtkonnale tuleb esitada koondteavet, mitte karistusandmete sisu. Kasulikud näitajad on: kontrolli nõudvate aktiivsete juurdepääsude osakaal, mille kohta on olemas ajakohane otsus; enne kontrolli lõpetamist antud juurdepääsude arv; läbivaatuste õigeaegsus ning mittevastavuste arv süsteemse põhjuse kaupa. Näitajad peavad toetama ressursside, paranduste ja eskaleerimisega seotud otsuseid kooskõlas materjalis Kuidas koostada juhtkonnale protsessipõhised KPI-d, et kvaliteedisüsteem ei piirduks tabelitega kirjeldatud lähenemisega.

Auditivalmidus tähendab suutlikkust tõendada mitte ainult menetluse olemasolu, vaid ka selle ulatuse proportsionaalsust, otsuste järjepidevust ja protsessi tegelikku toimivust. Testi tulemused tuleb koos meetme omaniku, puuduse kõrvaldamise tähtaja ja aktiivsetele juurdepääsudele avalduva mõju hinnanguga esitada infoturbe juhtimissüsteemi siseauditile ning juhtkonnapoolsele ülevaatusele.