NIS2 ir KSC atitikties patikrinimas: nuosekli dokumentų, registrų ir bandymų įrodymų grandinė

NIS2 ir KSC atitikties patikrinimas neapsiriboja politikų ir procedūrų pateikimu. Priežiūros institucija gali vertinti, ar organizacija tinkamai nustatė savo pareigų apimtį, paskirstė atsakomybę, įdiegė saugumo priemones ir geba įrodyti jų veikimą aktualiais registrais, bandymų rezultatais bei vadovybės sprendimais. Todėl pasirengimas turi būti grindžiamas nuoseklia įrodymų grandine: nuo pareigos ir rizikos iki taikomos kontrolės priemonės, jos įgyvendinimo įrašo, veiksmingumo įvertinimo ir reagavimo į nukrypimus.

Tikrinama sistema, o ne dokumentų segtuvas

Atspirties taškas yra ne politikų ir procedūrų skaičius, bet teisingai apibrėžta pareigų apimtis. Organizacija turi gebėti nurodyti, kurioms paslaugoms, procesams, informacinėms sistemoms, vietoms ir priklausomybėms nuo tiekėjų taikomi KSC reikalavimai ir kuo toks sprendimas pagrįstas. Todėl prieš tvarkant dokumentus vadovybė turėtų patvirtinti subjekto statusą bei teikiamų paslaugų apimtį ir paskirti už pasirengimo patikrinimui koordinavimą atsakingą asmenį.

Didžiausia įrodymų rizika kyla tuomet, kai dokumentuose aprašytos priemonės faktiškai netaikomos arba jų veikimo neįmanoma patvirtinti įrašais. Tai ypač aktualu prieigos teisių peržiūroms, rizikos vertinimams, atsarginėms kopijoms, tiekėjų kontrolei ir veiklos tęstinumo bandymams. Įrodymai turi sudaryti vientisą grandinę: reikalavimas arba rizika, sprendimas, įdiegta kontrolės priemonė, atsakomybė, įgyvendinimo įrašas, veiksmingumo vertinimo rezultatas ir reakcija į nustatytą nukrypimą.

Institucija gali pradėti nuo aukštesnio lygmens dokumento, o vėliau pereiti prie veiklos įrašų imties. Jei incidentų valdymo procedūroje nustatyta įvykių klasifikavimo ir eskalavimo tvarka, tikėtina, kad bus tikrinami pranešimai, reagavimo laikas, priimti sprendimai, komunikacija, atvejų uždarymas ir po incidento padarytos išvados. Sistemos apimtis pagrindžiama ne vien aprašu, bet ir paslaugų bei priklausomybių žemėlapiu, išteklių sąrašu, priskirtais savininkais ir šių duomenų atitiktimi veiklos registrams.

NIS2 ir KSC dokumentai prieš patikrinimą: kokių politikų, registrų ir įrodymų iš tikrųjų reikia turi atspindėti veikiančią valdymo sistemą, o ne dokumentų šablonų rinkinį. Priežiūros institucijos patikrinimą taip pat būtina atskirti nuo vadybos sistemos audito. Abiem atvejais gali būti naudojami panašūs įrodymai, tačiau patikrinimo tikslas – įvertinti, kaip vykdomos pagal taikytinus teisės aktus ir priežiūros apimtį nustatytos pareigos, o audito tikslas – pagal apibrėžtus kriterijus įvertinti sistemos atitiktį ir veiksmingumą. Teigiamas vieno vertinimo rezultatas nepakeičia kito.

Atidžiai vertinama apimtis ir atsakomybė

Pirmoji įrodymų grupė turi paaiškinti, kodėl organizacijai taikomos konkrečios pareigos ir kur yra prižiūrimos aplinkos ribos. Institucija gali prašyti pagrįsti subjekto klasifikavimą, nustatyti reguliuojamas paslaugas ir nurodyti susijusius procesus, informacinį turtą, sistemas, vietas bei tiekėjus. Apimties nepakanka apibrėžti vien veiklos pavadinimu. Ji turi leisti atsekti paslaugos teikimą nuo verslo proceso ir jį palaikančio turto iki išorinių priklausomybių.

Pasirengimo pagrindas – aktualus ir vadovybės patvirtintas apimties aprašas, papildytas paslaugų bei procesų žemėlapiu, kritinio turto sąrašu ir atsakomybės struktūra. Vaidmenis nustatantys dokumentai turi apibrėžti ne tik pareigybių pavadinimus, bet ir įgaliojimus priimti riziką, aktyvuoti avarinius veiksmus, eskaluoti incidentus ir priimti sprendimus dėl tiekėjų. Paslaugų, turto ir rizikų savininkai turi būti paskirti pagal faktinį kompetencijų pasiskirstymą.

Tipinis neatitikimas atsiranda, kai registre nurodytas formalus rizikos savininkas, tačiau sprendimą priimti riziką priima kitas asmuo, neturintis tinkamų įgaliojimų arba nepaliekantis sprendimo įrašo. Ta pati problema būdinga saugumo priemonių išimtims, veiklos tęstinumui ir tiekėjų tvirtinimui. Posėdžių protokolai, nutarimai, rizikos vertinimų patvirtinimai, biudžeto sprendimai ir vadovybės peržiūros turi rodyti, kad vadovybė žino reikšmingas rizikas, sprendžia klausimus, viršijančius veiklos lygmens įgaliojimus, ir prižiūri priimtų sprendimų įgyvendinimą.

Klasifikavimo tvarką, įtraukimą į atitinkamą sąrašą ir institucijos kompetenciją kiekvienu atveju reikia nustatyti pagal aktualią teisinę situaciją ir konkretaus subjekto aplinkybes. Praktinis šios temos tęsinys pateiktas straipsnyje NIS2: savęs vertinimas ir įtraukimas į KSC sąrašą – ką turi atlikti gamybos įmonė? Jei organizacija turi esminio subjekto statusą, apimties vertinimą taip pat reikėtų susieti su medžiaga Privalomas KSC auditas: kurie esminiai subjektai turi pasirengti pirmajam atitikties vertinimui. Tačiau pats statusas neįrodo, kad vadovybė patvirtino atsakomybės ribas ir užtikrino periodinę jų peržiūrą.

Registrai parodo faktinę praktiką

Registras yra nuolatinio valdymo įrodymas tik tada, kai atspindi procesuose priimamus sprendimus ir atliekamus veiksmus, o ne periodiškai pildomą procedūros priedą. Prieš pasirenkant priemonę reikia nustatyti privalomus laukus, duomenų šaltinius, įrašų savininkus ir pakeitimų tvirtinimo taisykles. Skaičiuoklės gali pakakti, jei užtikrinama prieigos kontrolė, pakeitimų istorija, aiški atsakomybė ir apsauga nuo neleistino keitimo. Sudėtinga sistema neužtikrins duomenų patikimumo, jei neaišku, kas, kada ir kokio įvykio pagrindu atnaujina registrą.

Rizikų registras turi susieti grėsmių scenarijus su paslaugomis ir turtu, nurodyti savininką, esamas kontrolės priemones, vertinimo rezultatą, pasirinktą rizikos tvarkymo būdą ir veiksmų įgyvendinimo būklę. Institucija gali tikrinti, ar mažinamai rizikai priskirtas veiksmas, terminas ir įvykdymo įrodymas, o priimtai rizikai – reikiamus įgaliojimus turinčio asmens patvirtinimas. Naudingi valdymo rodikliai yra atvirų rizikų, neužbaigtų veiksmų ir pakartotinės peržiūros laukiančių sprendimų skaičius. Tai organizacijos nustatyti rodikliai, o ne teisės aktuose įtvirtintos ribinės vertės.

Incidentų ir įvykių registras turi leisti atkurti visą seką: aptikimą, incidento klasifikavimą, eskalavimą, sprendimą dėl pranešimo, komunikaciją, veiklos atkūrimą ir formalų uždarymą su išvadomis. Susiję įrodymai apima pažeidžiamumų, pataisų ir patvirtintų išimčių registrus, prieigos teisių peržiūras, atsarginių kopijų kūrimo ir atkūrimo įrašus, konfigūracijos pakeitimus, administratorių veiksmus, mokymus ir pratybas.

Atidėjus pataisos diegimą turi būti atsekama visa grandinė: nustatytas pažeidžiamumas, poveikio vertinimas, sprendimas dėl išimties, kompensuojamosios priemonės, pakartotinio vertinimo terminas ir uždarymo patvirtinimas. Vien neįdiegtų pataisų sąrašas neparodo, ar vėlavimas yra valdomas.

Toks pat nuoseklumas būtinas valdant tiekimo grandinę. Sutarčių sąrašas nepakeičia tiekėjų klasifikavimo, paslaugų ir turto priklausomybės nuo išorės subjektų vertinimo, saugumo reikalavimų, peržiūrų įrašų ar sprendimų dėl nepriimtinų trūkumų. Registre turi būti matoma, kas patvirtino tiekėją, kokios išimtys priimtos ir kada vyks pakartotinis vertinimas. Ypač svarbu stebėti tiekėjus, kurių vertinimas neaktualus, ir po peržiūrų neįvykdytus veiksmus. Šis klausimas taip pat išlieka reikšmingas įgyvendinant programą NIS2 įgyvendinimas po įtraukimo į KSC sąrašą – veiksmų planas iki 2027 m. balandžio 3 d.

Saugojimo, prieigos ir pakeitimų tvirtinimo taisyklės turi būti diferencijuojamos pagal įrašo rūšį, jo įrodomąją reikšmę, teisinius bei sutartinius reikalavimus ir incidentų analizės poreikius. Neatlikus tokios analizės nereikėtų visiems registrams nustatyti vienodo saugojimo laikotarpio. Incidentų pranešimo terminus ir įrodymų apsaugos būdą kiekvienu atveju būtina tikrinti pagal galiojančius teisės aktus ir kompetentingos institucijos gaires. Platesnis medžiagos sąrašas pateiktas straipsnyje „NIS2 ir KSC dokumentai prieš patikrinimą: kokių politikų, registrų ir įrodymų iš tikrųjų reikia“. Tačiau veiklos brandą lemia kasdienėje veikloje kuriami įrašai ir aiškus ryšys nuo reikalavimo iki kontrolės rezultato bei korekcinio veiksmo.

Kiekvienas bandymas turi baigtis sprendimu

Priežiūros institucija gali prašyti ne tik veiklos tęstinumo plano, reagavimo į incidentus procedūros ar patvirtinimo, kad daromos atsarginės kopijos. Taip pat svarbūs įrodymai, jog šios priemonės buvo išbandytos sąlygomis, atitinkančiomis realias paslaugas, technologijas ir priklausomybes nuo tiekėjų. Bandymų programa turi būti grindžiama rizikos vertinimu, paslaugos kritiškumu, aplinkos pokyčiais bei teisiniais ir sutartiniais reikalavimais. Nėra vieno visoms kontrolės priemonėms tinkamo dažnumo. Dažniau reikia tikrinti didelį poveikį turinčias, sparčiai kintančias sritis ir tas sritis, kuriose ankstesni bandymai atskleidė reikšmingų nukrypimų.

Prieš kiekvieną bandymą būtina apibrėžti jo objektą ir sėkmės kriterijus. Įraše turi būti nurodyta apimtis, scenarijus, dalyviai, aplinka, sėkmės kriterijai ir leistini nuokrypiai, o po bandymo – rezultatas, nukrypimai ir faktinis arba galimas poveikis paslaugai. Nustačius trūkumų, įrodymai turi apimti korekcinius veiksmus, jų savininkus, įgyvendinimo terminus ir pakartotinio patikrinimo datą.

Naudingi rodikliai gali būti faktinis atkūrimo laikas, pasiektas atkūrimo taškas, eskalavimo trukmė ir po bandymo užbaigtų veiksmų dalis. Viena rimčiausių organizacinių klaidų – periodiškai vykdyti bandymus nenustačius sėkmės kriterijų arba neuždarant nustatytų neatitikčių.

Svarbiausi bandymai apima duomenų atkūrimą iš atsarginių kopijų, perjungimą į atsarginius sprendimus, reagavimo į incidentus pratybas, krizių komunikacijos bandymus, prieigos teisių peržiūras, konfigūracijos atkūrimą ir techninį pažeidžiamumų tikrinimą, įskaitant skenavimą ir, atsižvelgiant į riziką, įsiskverbimo testus. Tiekėjo rezultatas gali būti įrodymų dalis, tačiau jis nepakeičia bandymo organizacijos aplinkoje, jei neapima jos procesų, integracijų, atsakomybės ir veiklos sąlygų.

Po kiekvieno bandymo paslaugos savininkas turi priimti dokumentuotą sprendimą: patvirtinti rezultatą, įgyvendinti korekciją, nustatyti kompensuojamąją priemonę, pakartoti bandymą arba priimti riziką pagal suteiktus įgaliojimus.

Sėkmingai sukurta duomenų bazės atsarginė kopija dar neįrodo gebėjimo atkurti paslaugą. Bandymo metu gali paaiškėti, kad programai reikia nedokumentuotos konfigūracijos versijos, tapatybės valdymo mechanizmas neveikia atsarginėje aplinkoje, raktai nepasiekiami, o vienintelis komponentų paleidimo seką žinantis darbuotojas atkūrime nedalyvauja. Tik visos priklausomybių grandinės patikrinimas leidžia palyginti faktinį atkūrimo laiką ir tašką su nustatytais kriterijais, įvertinti poveikį paslaugai ir priimti sprendimą dėl pasirengimo arba tobulinimo poreikio.

Toks bandymų dokumentavimas svarbus nepriklausomai nuo sektoriaus, taip pat nagrinėjant temą NIS2 gamybos įmonėms: kam taikoma, kokias pareigas nustato ir kaip pasirengti neapsiribojant vien IT. Tikėtinų įrodymų apimtį reikia sieti su konkrečiai organizacijai bei jos paslaugoms taikomomis pareigomis ir aktualia teisine padėtimi. Esminė išlieka nuosekli grandinė: nustatyta rizika, suplanuotas bandymas, išmatuojamas kriterijus, dokumentuotas rezultatas, savininko sprendimas ir veiksmingo veiksmų uždarymo patvirtinimas.

Nenuoseklumai didina patikrinimo sąnaudas

Formaliai išsami dokumentacija praranda vertę, jei neatitinka faktinės situacijos. Institucija gali lyginti politikose pateiktus teiginius su sistemų konfigūracija, pranešimų įrašais, sutartimis, prieigos sąrašais, skenavimo rezultatais, bandymų protokolais ir procesų savininkų paaiškinimais. Svarbus ne redakcinis suderinamumas, o galimybė atsekti sprendimą nuo nustatytos pareigos ir rizikos iki įdiegtos kontrolės priemonės, jos veikimo įrašo ir reakcijos į nukrypimą.

Prieš institucijai pradedant veiksmus atliekamas bandomasis patikrinimas turėtų būti grindžiamas tikslingai parinkta paslaugų, incidentų, tiekėjų ir prieigos teisių imtimi, o dokumentuose pateikta informacija turi būti atsekama iki pirminių duomenų. Taip galima nustatyti pasenusį turto sąrašą, skirtingus tos pačios paslaugos pavadinimus keliuose dokumentuose, rizikas be savininkų, registre neužfiksuotus incidentus, tiekėjus be dokumentuoto vertinimo ir korekcinius veiksmus, uždarytus nepatikrinus jų veiksmingumo. Neatitikimus reikia šalinti nustatant faktinę padėtį ir įrašo savininką, o ne skubiai suvienodinant dokumentų formuluotes.

Gamybos įmonėje peržiūra neturėtų apsiriboti biuro IT aplinka. Pasirinktai paslaugai ji gali apimti techninę priežiūrą, automatiką, nuotolinę techninės priežiūros prieigą, konfigūracijos valdymą ir gamybos sistemų tarpusavio priklausomybes. Pavyzdžiui, prieigos sąraše gali nebūti techninės priežiūros specialisto naudojamos paskyros, nors jos egzistavimą patvirtina sutartis, prisijungimo įrašas ir įrenginio konfigūracija. Šių priklausomybių reikšmė plačiau aptariama medžiagoje „NIS2 gamybos įmonėms: kam taikoma, kokias pareigas nustato ir kaip pasirengti neapsiribojant vien IT“.

Vadybos sistemos sertifikatas gali padėti struktūrizuoti rizikos valdymą, dokumentų kontrolę, auditus ir korekcinius veiksmus, tačiau jis nepakeičia teisinės apimties analizės ar KSC būdingų pareigų vykdymo įrodymų. Ši riba aptariama straipsnyje NIS2 ir LST EN ISO 27001: ką suteikia sertifikatas ir ko vis dar trūksta KSC atitikčiai. Vieno įrašo nebuvimas nebūtinai automatiškai reiškia neatitiktį, tačiau reikia įvertinti įrodymo reikšmę, spragos priežastį ir galimybę priemonės veikimą patvirtinti kitais patikimais įrašais.

Patikrinimo sąnaudos labiausiai išauga tuomet, kai įrodymai išskaidyti, įgaliojimai neaiškūs ir niekas nekoordinuoja atsakymų bei perduodamos medžiagos tvirtinimo. Tada komandos jau patikrinimo metu pradeda rankiniu būdu derinti prieštaringus duomenis. Iš anksto paskirtas koordinatorius, nustatyti konkrečių įrodymų savininkai ir aiški neatitikimų sprendimo tvarka mažina darbo sąnaudas bei riziką pateikti institucijai nenuoseklius paaiškinimus.

Pasirengimas kuriamas atliekant bandomąjį patikrinimą

Vidinį bandomąjį patikrinimą reikia pradėti nuo subjekto statuso, pareigų apimamų paslaugų ir vadovybės bei procesų savininkų atsakomybės patvirtinimo. Tada ryšį su institucija koordinuojantis asmuo turėtų parengti atitikties matricą, kurioje kiekviena pareiga susiejama su savininku ir įrodymu. Tik po to tikrinamos įrašų imtys, kalbamasi su atsakingais asmenimis ir atkuriama pasirinkto incidento arba bandymo eiga. Koordinatoriumi verta skirti asmenį, turintį tiesioginę prieigą prie vadovybės ir galintį spręsti neatitikimus, tačiau nepakeičiantį už įrodymų turinį atsakingų savininkų.

Kiekvienas pareigos savininkas turėtų gebėti nurodyti:

• aukštesnio lygmens dokumentą, nustatantį veiklos tvarką,
• pareigos įvykdymą patvirtinantį įrašą,
• taikomos kontrolės priemonės veiksmingumo rodiklį,
• paskutinį per peržiūrą priimtą sprendimą.

Bet kurio iš šių elementų trūkumas reiškia įrodymų grandinės spragą. Reagavimo į incidentus procedūros nepakanka, jei organizacija negali pateikti įvykio įrašo, reagavimo laiko, padarinių vertinimo, priežasčių analizės rezultato ir sprendimo pakeisti saugumo priemones. Konkretaus atvejo atkūrimas taip pat parodo, ar darbuotojų paaiškinimai atitinka įrašus ir faktinę veiksmų eigą.

Bandomasis patikrinimas turėtų apimti ir kontrolės logistiką: prašymo priėmimą bei registravimą, atsakymo termino ir savininko nustatymą, medžiagos tvirtinimą, jautrios informacijos apsaugą, perduodamų versijų žymėjimą ir susitarimų su institucija dokumentavimą. Verta išbandyti situaciją, kai prašomame įraše yra su patikrinimo dalyku nesusijusių duomenų arba jį pateikiant reikia paaiškinti kontekstą. Tai leidžia iš anksto nustatyti, kas sprendžia dėl atskleidimo apimties ir kaip organizacija išsaugo medžiagos perdavimo atsekamumą.

Koregavimo plane spragos turėtų būti prioritetizuojamos pagal poveikį paslaugai, teisinę ekspoziciją, tikimybę, kad jos bus nustatytos, ir laiką, reikalingą patikimiems veiksmingumo įrodymams gauti, o ne pagal tai, kaip lengva parašyti dar vieną procedūrą. Vadovybė tvirtina prioritetus, išteklius ir priimtiną rizikos lygį. Veiksmą galima uždaryti tik pakartotinai patikrinus kontrolės priemonę.

Tvarkaraštis turi būti sudaromas pagal faktinį subjekto statusą, susirašinėjimą su institucija ir aktualius teisės aktus. Nustačius statusą, analizę gali papildyti medžiagos „NIS2: savęs vertinimas ir įtraukimas į KSC sąrašą – ką turi atlikti gamybos įmonė?“ ir „NIS2 įgyvendinimas po įtraukimo į KSC sąrašą – veiksmų planas iki 2027 m. balandžio 3 d.“ Šiuose šaltiniuose nurodytas datas ir pareigas kiekvienu atveju būtina patvirtinti pagal aktualią teisinę padėtį.