Kontrol af medarbejderes straffeattest under KSC – afgrænsning og etablering af en korrekt proces

Kontrol af medarbejderes straffeattest under KSC er hverken en generel HR-kontrol eller en formalitet før en audit. Omfanget skal bero på et konkret retsgrundlag, organisationens status samt den enkelte persons faktiske opgaver og adgangsrettigheder. Hvis processen begynder med indsamling af attester frem for klassificering af roller, kan organisationen både overse personer, der er omfattet af kravet, og behandle oplysninger om straffedomme uden tilstrækkeligt grundlag. Derfor skal man først fastlægge, hvem der må kontrolleres og på hvilket grundlag. Derefter skal ansvaret for indhentning af oplysninger, vurdering af resultatet og beslutning om adgang adskilles. Endelig bør registreringen begrænses til de oplysninger, der er nødvendige for at dokumentere efterlevelse.

Begynd med afgrænsningen – ikke med attesten

En beslutning om kontrol af straffeattest bør ikke begynde med et krav om, at medarbejderne fremlægger dokumentation. Ledelsen skal først bekræfte organisationens status under KSC og identificere den konkrete bestemmelse, som medfører en forpligtelse i relation til bestemte personer. En generel henvisning til NIS2, forberedelse til audit eller etablering af et ledelsessystem for informationssikkerhed er ikke i sig selv tilstrækkelig begrundelse for at kontrollere alle medarbejdere, eksterne samarbejdspartnere og leverandører.

Processens grænser skal fastlægges særskilt for hver kilde til krav. NIS2-direktivet, den polske KSC-lov i dens aktuelle ordlyd, gennemførelsesbestemmelser, sektorregulering, kontraktvilkår og interne regler for tildeling af adgang er ikke sidestillede retskilder eller kravgrundlag. For hvert grundlag skal organisationen definere det organisatoriske, personelle og tidsmæssige anvendelsesområde: Hvem er omfattet, hvorfor, fra hvilket tidspunkt, hvilke undtagelser gælder, og hvornår skal vurderingen gentages? Udarbejdes proceduren, før denne analyse er afsluttet, kan organisationen både overse personer, som er omfattet af en forpligtelse, og behandle oplysninger om straffedomme uden tilstrækkeligt grundlag.

Klassificeringen bør munde ud i et kort notat, som er godkendt af den ansvarlige for compliance. Notatet bør angive organisationens status, retsgrundlaget, datoen og den retstilstand, analysen bygger på, de omfattede roller samt begrundede undtagelser. Kategorien »IT-personale« er for bred. Det skal afklares, om kravet omfatter administratorer med privilegerede rettigheder, medarbejdere, der håndterer hændelser, leverandørpersonale og stedfortrædere, som periodisk udfører disse opgaver. Organisationen bør også udpege en ejer af den juridiske analyse og fastsætte en frist for genvurdering, navnlig efter ændringer i lovgivningen, aktivitetsområdet eller adgangsmodellen.

Afgrænsningen af kontrollen bør indgå i initiativet »ISMS i overensstemmelse med KSC-loven – sådan fastlægges omfang, procesejere og implementeringsplan«. Ledelsessystemets omfang, procesansvaret og de privilegerede roller skal bygge på det samme organisatoriske kort. Først da kan organisationen på et forsvarligt grundlag afgøre, om forpligtelsen gælder efter den aktuelle retstilstand, hvilken bestemmelse der giver mulighed for at indhente oplysninger om strafforhold, og hvilke personalekategorier der lovligt kan omfattes.

Hvem skal kontrollen omfatte?

Det personelle omfang afgøres hverken af stillingsbetegnelsen eller ansættelsesformen. Det afgørende er indholdet af det relevante krav sammenholdt med personens faktiske opgaver, beføjelser og indflydelse på tjenestens sikkerhed. Klassificeringen bør omfatte logisk og fysisk adgang, mulighed for at ændre konfigurationer, deltagelse i hændelseshåndtering, indflydelse på driftskontinuitet samt midlertidige rettigheder og nødadgang. Roller, der ikke er knyttet til den beskyttede tjeneste, det relevante system, anlæg eller lovbestemte anvendelsesområde, bør ikke kontrolleres for en sikkerheds skyld.

Det centrale beslutningsværktøj er en rollematrix, som vedligeholdes i fællesskab af procesejeren, den informationssikkerhedsansvarlige og HR med deltagelse af den complianceansvarlige. Matrixen bør være koblet til identitets- og adgangsstyring samt funktionsadskillelse. En almindelig medarbejderliste er ikke tilstrækkelig. Der er også behov for registre over privilegerede konti, administrativ, fysisk og akut adgang samt eksterne personer med faktisk adgang til systemer eller processer inden for det fastlagte omfang.

En teknisk administrator hos en leverandør kan have mere omfattende rettigheder end en intern leder, selv om vedkommende ikke er ansat i organisationen. En klassificering baseret alene på kontrakttypen kan derfor udelukke en person med væsentlig indflydelse på sikkerheden. Det betyder dog ikke, at en ekstern administrator automatisk skal underlægges samme procedure som en medarbejder. Omfanget af oplysninger, måden hvorpå opfyldelsen dokumenteres, og ansvaret for vurderingen skal følge af et lovligt retsgrundlag eller en korrekt udformet kontrakt. Midlertidig adgang og nødadgang skal vurderes ud fra de handlinger, adgangen muliggør, og ikke ud fra den forventede anvendelseshyppighed.

Rollematrixen bør omfatte medarbejdere, medlemmer af ledelsesorganer, personer tilknyttet på andre vilkår, eksterne administratorer samt personale hos leverandører og underleverandører – men kun inden for grænserne af det relevante krav. Matrixen skal gennemgås efter ændringer i adgangsarkitekturen, tjenestens omfang, leverandørforhold eller lovgivningen. Antallet af privilegerede roller og eksterne personer med faktisk adgang afgør processens skala og indgår i ressourceplanlægningen, som er beskrevet i materialet »Hvad koster implementering af NIS2 og uKSC – sådan udarbejdes et budget for audit, dokumentation, uddannelse og sikkerhedsforanstaltninger uden dyre fejl«.

Hvor opstår omkostningerne og risiciene?

Den væsentligste risiko skyldes ikke den tekniske indhentning af oplysninger om strafforhold, men at kontrollen iværksættes uden et entydigt grundlag, et fastlagt formål og et afgrænset omfang. Oplysninger om straffedomme og lovovertrædelser er underlagt særlige regler for behandling. Et almindeligt samtykke fra personen eller en generel bestemmelse i HR-politikken bør ikke betragtes som automatisk grundlag for at indhente sådanne oplysninger. Før kontrolformen vælges, skal organisationen fastlægge, hvilke oplysninger den relevante bestemmelse faktisk kræver, hvem der er omfattet, og hvem der har ansvaret for at vurdere resultatet.

Omkostningerne stiger, når organisationen kræver fuldstændige dokumenter fra hele personalet, opbevarer kopier uden en fastsat opbevaringsperiode, sender dem via almindelig e-mail eller giver HR, ledere, sikkerhedsfunktionen og auditorer adgang uden tydelig rettighedsadskillelse. Hver ekstra kopi øger behovet for databeskyttelse, adgangskontrol, håndtering af anmodninger og sikker sletning. Ledelsen bør derfor ikke alene måle antallet af gennemførte kontroller, men også antallet af personer med adgang til dokumenterne og de faktiske opbevaringsperioder.

En anden væsentlig risiko er manglende kriterier for vurdering af resultatet. Oplysninger, der fremkommer under kontrollen, må ikke føre til en improviseret lederbeslutning eller en vurdering, som ikke er knyttet til kravene for den konkrete rolle. HR kan indhente dokumentet korrekt, men processen er stadig mangelfuld, hvis det ikke er fastlagt, hvem der vurderer oplysningernes betydning, på hvilket grundlag adgangsbeslutningen træffes, og om det er nødvendigt at opbevare en kopi. Proceduren bør definere eskalationsforløbet og en reaktionsplan i kontrolplanen – sådan beskrives handlinger, når processen overskrider de fastlagte grænser.

Dokumentation for, at kontrollen er gennemført, bør adskilles fra opbevaring af selve dokumentets indhold. Afhængigt af det relevante grundlag og dokumentationskravet kan det være tilstrækkeligt at registrere kontroldatoen, kontrolomfanget, den person, der var bemyndiget til at foretage vurderingen, klassificeringsresultatet og beslutningen om adgang uden at gemme hele attesten. Hvis en kopi er nødvendig, skal modtagerkredsen, sikkerhedsforanstaltningerne og slettefristen fastlægges. Denne tilgang forener dataminimering med kravet om at kunne dokumentere efterlevelse og erstatter ikke den juridiske analyse med dokumentindsamling for en sikkerheds skyld.

Processen fra klassificering til adgangsgodkendelse

Processen skal begynde, før oplysninger om strafforhold indhentes. Procesejeren klassificerer først rollen, angiver det aktuelle retsgrundlag og fastlægger det nødvendige kontrolomfang. Derefter informerer organisationen personen om formål, fremgangsmåde og regler for behandling af oplysninger, vælger en tilladt informationskilde og kontrollerer personens identitet. De efterfølgende beslutningsporte omfatter vurdering af resultatet, beslutning om godkendelse, tildeling af rettigheder og oprettelse af et kontrolspor.

For hver aktivitet skal der udpeges en ansvarlig, defineres nødvendige input, fastsættes en frist og beskrives en fremgangsmåde ved manglende dokumentation, fristoverskridelse eller et resultat, som kræver yderligere afklaring. En formel kontrol er ikke det samme som en operationel beslutning. HR kan informere medarbejderen, modtage dokumentet og bekræfte, at oplysningerne er fuldstændige, men bør ikke selv træffe afgørelse om adgang til et system eller kritisk infrastruktur.

Den endelige beslutning bør ligge hos en udpeget forretningsrolle, typisk systemejeren eller den ansvarlige for det relevante driftsområde, med inddragelse af sikkerhedsfunktionen. Hvis resultatet er uklart, eller der er tvivl om det tilladte omfang af databehandlingen, skal sagen eskaleres til den juridiske funktion eller databeskyttelsesfunktionen. Denne ansvarsdeling forebygger både automatisk tildeling af adgang efter fremvisning af et dokument og vilkårlig fortolkning fra den nærmeste leder.

Beslutningskriterierne skal godkendes, før den første problematiske sag opstår. Proceduren bør fastlægge, hvem der vurderer uklarheder, hvilke oplysninger der må indgå, om adgangens omfang kan begrænses, og hvordan begrundelsen registreres uden at gøre indholdet tilgængeligt for en bredere modtagerkreds. En nyansat kan eksempelvis gennemføre uddannelse og organisatoriske aktiviteter, men bør ikke få en privilegeret konto eller adgang til et beskyttet miljø, før beslutningen er truffet. Midlertidig adgang kræver, hvis den overhovedet tillades, særskilt godkendelse, et begrænset omfang, en udløbsdato og passende overvågning. Den må ikke bruges til at omgå kontrollen.

Et negativt udfald kræver en på forhånd fastlagt reaktionsplan: tilbageholdelse af rettigheder, eskalation til de udpegede beslutningstagere, udpegning af en stedfortræder, vurdering af konsekvenserne for driftskontinuiteten og kontrolleret afslutning af sagen. Logikken bør være den samme som i en reaktionsplan: En defineret hændelse udløser en bestemt reaktion, et ansvar og et registreringskrav. Ved ansættelse og ændring af rolle kan materialet Sådan etableres en onboardingproces for en ny kvalitetsingeniør eller ISO-ansvarlig anvendes som organisatorisk reference, især med hensyn til beslutningsporte og dokumentation af ansvar.

Kontrolsporet bør gøre det muligt at rekonstruere klassificeringen af rollen, grundlaget og omfanget af kontrollen, datoen for identitetsbekræftelsen, informationskilden, den person, der foretog vurderingen, beslutningen, datoen for tildeling af rettigheder samt eventuel eskalation. Organisationen skal også definere de hændelser, der udløser en ny vurdering, navnlig ændringer i rolle eller adgangsomfang, samt fremgangsmåden for at tilbagekalde rettigheder, når en medarbejder fratræder. Processens effektivitet vises især gennem tiden fra klassificering til beslutning, antallet af adgangsrettigheder tildelt før den krævede kontrol var afsluttet, og antallet af eskalationer som følge af manglende dokumentation eller uklare resultater.

Dokumentation og fornyet kontrol

Procesdokumentationen skal gøre det muligt at rekonstruere beslutningens forudsætninger og konsekvenser – ikke opbygge et arkiv over oplysninger om strafforhold. Registreringen bør forklare, hvorfor en bestemt rolle var omfattet af kontrollen, hvornår den blev gennemført, hvem der traf afgørelsen, og hvilken operationel konsekvens den fik: tildeling, begrænsning eller afvisning af adgang. Det indebærer ikke automatisk, at en kopi af kildedokumentet skal opbevares. Beslutningen om at gemme en kopi skal adskilles fra opbevaringen af metadata og baseres på det aktuelle retsgrundlag, behandlingsformålet og princippet om opbevaringsbegrænsning.

Et sammenhængende dokumentationssæt bør bestå af:

• en rollematrix med begrundelse for omfanget;
• et register over gennemførte kontroller;
• bemyndigelser til databehandling og regler for adgang;
• godkendte opbevaringsperioder;
• en eskalationsprotokol;
• dokumentation for leverandørernes opfyldelse af deres forpligtelser.

Disse elementer kræver en fælles ejer, versionsstyring og sammenhæng med dokumentstyringen i ISMS’et. Hvis de er spredt mellem HR, informationssikkerhed og indkøb, bliver det vanskeligere at dokumentere, at processen er fuldstændig. Skabeloner, systembeslutninger og historik over ændringer i reglerne bør vedligeholdes i dokumentrepositoryet, mens personspecifikke oplysninger kun må være tilgængelige for bemyndigede personer. En relevant organisatorisk reference er Sådan etableres et internt repository for kvalitetsviden, så teamets erfaringer bevares.

Registreringen kan indeholde datoen for klassificering af rollen, kontrol og beslutning, en reference til det anvendte grundlag samt datoen for tildeling af adgang og den planlagte gennemgang. Hvis det er tilstrækkeligt at dokumentere, at kontrollen er udført, og registrere dens operationelle resultat, bør en kopi af attesten ikke gemmes for en sikkerheds skyld. Slettemekanismen skal også omfatte vedhæftede filer i e-mails, arbejdsmapper og leverandørers ressourcer. Styringens effektivitet kan blandt andet vurderes ud fra andelen af roller med en aktuel begrundelse for at være omfattet af processen samt antallet af registreringer, der opbevares efter udløbet af den godkendte periode.

Frister for fornyet kontrol bør ikke fastsættes efter en vilkårlig kalender. Hyppigheden kan følge af den gældende bestemmelse, rollens karakter, kontraktvilkår eller en dokumenteret risikovurdering. Uanset den periodiske gennemgang bør proceduren angive de hændelser, der udløser en ny vurdering, herunder ændring af stilling, udvidelse af rettigheder, tilbagevenden til en rolle efter en pause eller væsentlige ændringer i juridiske eller kontraktuelle krav. Aktuelle oplysninger kræver ikke nødvendigvis, at hele dokumentet indhentes med faste intervaller. Processen bør beskrive en lovlig og proportional måde at bekræfte status på, som hver gang er i overensstemmelse med det aktuelle retsgrundlag og det dataomfang, organisationen må behandle.

Test af auditparathed

Vurderingen af auditparathed bør ikke begynde med spørgsmålet om, hvorvidt der findes en procedure, men med rekonstruktion af faktiske sager. Stikprøven bør mindst omfatte en medarbejder i en rolle, der er underlagt kontrol, en person efter et rolleskift, en ekstern administrator og et tilfælde med nødadgang. For hver sag bør auditor følge hele kæden fra det aktuelle retsgrundlag og klassificeringen af rollen via indhentning af oplysninger og beslutningen om adgang til de faktisk aktive rettigheder.

Minimumstesten omfatter en sammenligning af rollelisten med adgangsregistrene samt kontrol af beslutningernes fuldstændighed, kontrollernes rettidighed, begrænsningen af adgangen til registreringerne og korrekt opbevaring. Organisationen bør også simulere manglende dokumentation, et uklart resultat eller en forsinket kontrol. Den skal kunne dokumentere, at adgang kan tilbageholdes, at eskalation kan iværksættes, og at den beslutningskompetente person er udpeget. Hyppigheden af interne ISMS-audits og tærsklen for eskalation bør svare til risikoen og kravene i det aktuelt gældende grundlag – ikke alene til auditkalenderen.

Typiske systemiske afvigelser opstår i grænsefladerne mellem processer. De omfatter manglende dokumentation for grundlaget, uoverensstemmelse mellem stillingsoversigten og de faktiske rettigheder, udeladelse af underleverandører, tildeling af adgang før kontrollens afslutning, en udefineret opbevaringsperiode eller manglende dokumenteret eskalationsprocedure. En korrekt HR-registrering er ikke tilstrækkelig, hvis en ekstern administrator fortsat har en aktiv konto efter en ændring af kontraktens omfang eller har fået udvidede rettigheder uden en ny klassificering.

Ledelsen bør modtage aggregerede oplysninger – ikke indholdet af oplysninger om straffedomme. Relevante nøgletal omfatter andelen af aktive adgangsrettigheder, der kræver kontrol, og som har en aktuel beslutning, antallet af adgangsrettigheder tildelt før kontrollens afslutning, rettidigheden af gennemgange samt antallet af afvigelser fordelt efter systemisk årsag. Nøgletallene skal understøtte beslutninger om ressourcer, korrigerende handlinger og eskalation i overensstemmelse med tilgangen i materialet Sådan etableres procesbaserede KPI’er til ledelsen, så kvalitetsledelsessystemet ikke ender som regneark.

Auditparathed betyder, at organisationen ikke alene kan dokumentere, at proceduren findes, men også at dens omfang er proportionalt, at beslutningerne er konsistente, og at processen fungerer effektivt. Testresultaterne bør indgå i den interne ISMS-audit og ledelsens evaluering med angivelse af ansvarlig for handlingen, frist for lukning af manglen og vurdering af påvirkningen på aktive adgangsrettigheder.