NIS2 και ELOT EN ISO 27001: τι καλύπτει η πιστοποίηση και τι απαιτείται ακόμη για συμμόρφωση με το KSC

Σε πολλές επιχειρήσεις, η συζήτηση για την NIS2 ξεκινά από το πιστοποιητικό ELOT EN ISO 27001. Είναι κατανοητό, αλλά από την οπτική της διοίκησης και του ιδιοκτήτη της διεργασίας αποτελεί λανθασμένη αφετηρία. Πρώτα πρέπει να διευκρινιστεί αν ο οργανισμός υπάγεται στις σχετικές υποχρεώσεις, ποιες υπηρεσίες και ποιοι πόροι εμπίπτουν στο πεδίο τους και ποιος αναλαμβάνει την ευθύνη. Μόνο στη συνέχεια μπορεί να αξιολογηθεί αξιόπιστα τι καλύπτει στην πράξη το υφιστάμενο σύστημα διαχείρισης ασφάλειας πληροφοριών και τι εξακολουθεί να λείπει για τη συμμόρφωση με το KSC. Εδώ ακριβώς κρίνεται η διαφορά μεταξύ ενός οργανωμένου συστήματος και μιας δαπανηρής ψευδαίσθησης ετοιμότητας.

Το ακριβότερο λάθος: η ταύτιση της πιστοποίησης με τη συμμόρφωση

Το σημαντικότερο αρχικό λάθος δεν είναι η απουσία πιστοποιητικού ELOT EN ISO 27001, αλλά η παραδοχή ότι η κατοχή του τεκμηριώνει αυτομάτως συμμόρφωση με τις υποχρεώσεις που απορρέουν από την NIS2 και τις εθνικές διατάξεις εφαρμογής του KSC. Για τη διοίκηση, το σωστό ερώτημα δεν είναι «διαθέτουμε ELOT EN ISO 27001;», αλλά «υπαγόμαστε στις υποχρεώσεις, με ποια ιδιότητα και για ποιες υπηρεσίες, διεργασίες και πόρους;». Μόνο αφού καθοριστούν το καθεστώς της οντότητας, το πεδίο δραστηριοτήτων που καλύπτεται από τις απαιτήσεις και η ευθύνη της διοίκησης μπορεί να αξιολογηθεί κατά πόσο το υφιστάμενο σύστημα υποστηρίζει ουσιαστικά τη συμμόρφωση ή απλώς δημιουργεί εικόνα οργανωμένης λειτουργίας.

Η διάκριση αυτή έχει άμεσες επιπτώσεις στον σχεδιασμό και στον προϋπολογισμό του έργου. Το πιστοποιητικό επιβεβαιώνει ότι το σύστημα διαχείρισης συμμορφώνεται με τις απαιτήσεις του προτύπου εντός συγκεκριμένου πεδίου πιστοποίησης, το οποίο συνήθως περιγράφεται στο πιστοποιητικό και εξειδικεύεται στη Δήλωση Εφαρμογής. Δεν υποκαθιστά, όμως, την ανάλυση των νομοθετικών υποχρεώσεων, τον προσδιορισμό των ουσιωδών υπηρεσιών, την αξιολόγηση των εξαρτήσεων από προμηθευτές ή τον καθορισμό των τυπικών ενεργειών που οφείλει να εκτελέσει ένας οργανισμός ο οποίος υπάγεται στο ρυθμιστικό πλαίσιο. Η διοίκηση πρέπει επομένως να διαχωρίζει τρία επίπεδα που συχνά συγχέονται: το σύστημα διαχείρισης, τη ρυθμιστική συμμόρφωση και την επιχειρησιακή ετοιμότητα υπό την πίεση ενός περιστατικού.

Τα ακριβότερα έργα είναι εκείνα που εκτελούνται με την αντίστροφη σειρά. Ο οργανισμός οργανώνει πρώτα την τεκμηρίωση και τους ελέγχους ενόψει της επιθεώρησης πιστοποίησης και ανακαλύπτει αργότερα ότι εκτός πεδίου έχουν μείνει κρίσιμες διεργασίες, υποχρεώσεις αναφοράς περιστατικών, απαιτήσεις για προμηθευτές, ευθύνες της διοίκησης ή κλαδικές απαιτήσεις. Σε αυτή την περίπτωση δεν αρκεί η συμπλήρωση ορισμένων διαδικασιών. Απαιτείται επανασχεδιασμός του πεδίου του συστήματος, των ρόλων λήψης αποφάσεων και του τρόπου απόκρισης.

Από επιχειρησιακή άποψη, δεν αρκεί να μετράται η ύπαρξη του πιστοποιητικού. Πρέπει να αξιολογούνται τρία στοιχεία: η αντιστοίχιση του πεδίου πιστοποίησης με τις κρίσιμες υπηρεσίες, το αποτέλεσμα της αυτοαξιολόγησης για την υπαγωγή στο KSC και ο αριθμός των αποκλίσεων μεταξύ των καταγεγραμμένων διαδικασιών και της πραγματικής ικανότητας απόκρισης. Ως εκ τούτου, το πρώτο βήμα δεν είναι η επέκταση της τεκμηρίωσης, αλλά η εξακρίβωση του κατά πόσο ο οργανισμός εμπίπτει στο πεδίο των υποχρεώσεων και ποιες τυπικές ενέργειες απαιτούνται. Τη σωστή αυτή ακολουθία αποτυπώνει και το θέμα NIS2: αυτοαξιολόγηση και εγγραφή στο Μητρώο KSC – τι πρέπει να κάνει μια μεταποιητική επιχείρηση;, καθώς σε αυτό το σημείο κρίνεται αν η επιχείρηση σχεδιάζει το σύστημα με βάση πραγματικές υποχρεώσεις ή μια βολική αλλά δαπανηρή ψευδαίσθηση ετοιμότητας.

Τι καλύπτει ουσιαστικά το ELOT EN ISO 27001 και όχι μόνο σε επίπεδο δηλώσεων

Η μεγαλύτερη πρακτική αξία του ELOT EN ISO 27001 δεν έγκειται στην κατοχή του πιστοποιητικού, αλλά στο γεγονός ότι ένα σωστά εφαρμοσμένο σύστημα εντάσσει την ασφάλεια στο μοντέλο διοίκησης του οργανισμού. Η συμβολή του είναι ισχυρότερη στα πεδία όπου απαιτείται διεργασιακή προσέγγιση: αξιολόγηση και αντιμετώπιση κινδύνων, πολιτικές και κανόνες εποπτείας, ανάθεση ρόλων και αρμοδιοτήτων, αναγνώριση πληροφοριακών αγαθών, διαχείριση περιστατικών, επιχειρησιακή συνέχεια, καθώς και μηχανισμοί ανασκόπησης και βελτίωσης. Όταν τα στοιχεία αυτά λειτουργούν στην πράξη και όχι μόνο για τις ανάγκες της επιθεώρησης, η επιχείρηση διαθέτει σταθερή βάση για να αποδείξει ότι η ασφάλεια δεν αποτελεί σύνολο αποσπασματικών μέτρων, αλλά ένα διοικούμενο σύστημα συνδεδεμένο με τις επιχειρησιακές αποφάσεις.

Η διοίκηση, ωστόσο, δεν πρέπει να εστιάζει στο ίδιο το πιστοποιητικό, αλλά στη χρησιμότητά του σε σχέση με τις υπηρεσίες, τις διεργασίες και τις εξαρτήσεις που έχουν ρυθμιστική σημασία. Το ίδιο πιστοποιητικό μπορεί να αντιστοιχεί είτε σε ένα ώριμο σύστημα που καλύπτει κρίσιμες διεργασίες, τακτικές ανασκοπήσεις, διορθωτικές ενέργειες και ουσιαστική εποπτεία από τους ιδιοκτήτες διεργασιών είτε σε μια στενή εφαρμογή που περιορίζεται σε επιλεγμένο τμήμα του οργανισμού. Πριν από την αυτοαξιολόγηση έναντι των απαιτήσεων NIS2 και KSC, πρέπει επομένως να εξετάζονται όχι μόνο η Δήλωση Εφαρμογής, αλλά και ο κατάλογος των διεργασιών που καλύπτονται από την αξιολόγηση κινδύνων, τα αποτελέσματα των εσωτερικών επιθεωρήσεων, τα συμπεράσματα των ανασκοπήσεων από τη διοίκηση και το κατά πόσο οι αποφάσεις για τους κινδύνους μεταφράζονται σε προϋπολογισμό, συμβάσεις, αρχιτεκτονική υπηρεσιών και μηχανισμούς απόκρισης.

Αυτό είναι ιδιαίτερα εμφανές στις επιχειρήσεις που δραστηριοποιούνται σε αλυσίδες εφοδιασμού. Το ELOT EN ISO 27001 οργανώνει συνήθως τις συμβατικές απαιτήσεις, τη διαβάθμιση των πληροφοριών, τους κανόνες πρόσβασης, τις ευθύνες των προμηθευτών και τον τρόπο τεκμηρίωσης των εξαιρέσεων. Πρόκειται για χρήσιμη βάση, ιδίως όταν οι πελάτες απαιτούν αποδείξεις εποπτείας των συνεργατών. Δεν καλύπτει, όμως, αυτομάτως όλες τις κλαδικές προσδοκίες ή τα ειδικά τομεακά κριτήρια. Αντίστοιχο δίλημμα εξετάζεται στο θέμα ELOT EN ISO 27001 ή TISAX – τι να επιλέξετε όταν ο πελάτης απαιτεί ασφάλεια πληροφοριών στην αλυσίδα εφοδιασμού; Στην πράξη, η πιστοποίηση οργανώνει τις σχέσεις και τις ευθύνες, αλλά δεν υποκαθιστά την αξιολόγηση των πρόσθετων υποχρεώσεων που πρέπει να ενσωματωθούν στις συμβάσεις, στις διαδικασίες κλιμάκωσης και στην εποπτεία των εξωτερικών υπηρεσιών.

Το συμπέρασμα είναι σαφές: το πιστοποιητικό μπορεί να συντομεύσει σημαντικά την πορεία προς ένα οργανωμένο πλαίσιο ασφάλειας, αλλά δεν αποτελεί αυτοτελή απόδειξη εκπλήρωσης των υποχρεώσεων του KSC. Η επιθεώρηση πιστοποίησης αξιολογεί τη συμμόρφωση του συστήματος διαχείρισης με τις απαιτήσεις του προτύπου εντός καθορισμένου πεδίου. Δεν εξετάζει κατ’ ανάγκη τα ίδια στοιχεία που μπορεί να αξιολογηθούν κατά τον έλεγχο νομοθετικών υποχρεώσεων και επιχειρησιακής ετοιμότητας. Ο οργανισμός πρέπει παράλληλα να επιβεβαιώσει ότι το πεδίο του συστήματος περιλαμβάνει τις ουσιώδεις διεργασίες, ότι η αξιολόγηση κινδύνων έχει επικαιροποιηθεί βάσει των πραγματικών υπηρεσιών και εξαρτήσεων και ότι οι διαδικασίες απόκρισης, συνέχειας και εποπτείας προμηθευτών λειτουργούν στην πράξη.

Σε ποια σημεία δεν επαρκεί το πιστοποιητικό

Το πρώτο κενό αφορά την ίδια τη ρυθμιστική συμμόρφωση. Το σύστημα διαχείρισης ασφάλειας πληροφοριών οργανώνει αρχές, ρόλους και εποπτεία, αλλά δεν απαντά αυτομάτως στο αν μια οντότητα έχει προσδιοριστεί σωστά ως προς τις υποχρεώσεις του KSC, ποιος είναι υπεύθυνος για τις επίσημες γνωστοποιήσεις, ποιος διατηρεί την επικοινωνία με την αρμόδια αρχή και πώς κλιμακώνονται οι αποφάσεις προς τη διοίκηση. Δεν πρόκειται για την απουσία ενός μεμονωμένου εγγράφου, αλλά για αδυναμία στον σχεδιασμό των αρμοδιοτήτων. Αν τα στοιχεία αυτά δεν ενταχθούν στο πραγματικό μοντέλο λειτουργίας της εταιρείας, η πιστοποίηση προσφέρει εσωτερική τάξη, όχι όμως ακόμη ρυθμιστική ικανότητα διοίκησης.

Το δεύτερο κενό αφορά το πεδίο εφαρμογής. Πολλοί οργανισμοί διαθέτουν πιστοποίηση περιορισμένη σε μία εγκατάσταση, μία εταιρεία, συγκεκριμένη οργανωτική μονάδα ή μέρος των υποστηρικτικών υπηρεσιών. Η αξιολόγηση ετοιμότητας έναντι του KSC πρέπει, αντίθετα, να ξεκινά από τον πραγματικό χάρτη υπηρεσιών, κρίσιμων διεργασιών, πόρων και εξαρτήσεων και όχι από τα όρια της επιθεώρησης πιστοποίησης. Αν μια ουσιώδης ή σημαντική υπηρεσία παρέχεται από περισσότερες εταιρείες ενός ομίλου, με συμμετοχή εξωτερικού κέντρου δεδομένων, κοινής ομάδας συντήρησης ή κατανεμημένης διεργασίας διαχείρισης περιστατικών, ένα τυπικά ορθό πιστοποιητικό μπορεί να καλύπτει μόνο ένα μέρος της συνολικής λειτουργίας. Σε αυτή την περίπτωση, η διοικητική απόφαση δεν περιορίζεται στο αν πρέπει να επεκταθεί η πιστοποίηση, αλλά αφορά το αν θα δημιουργηθεί ένα ενιαίο πρόγραμμα συμμόρφωσης ή δύο παράλληλες ροές εργασίας: μία για την πιστοποίηση και μία για τις ρυθμιστικές υποχρεώσεις.

Το τρίτο κενό αφορά τα αποδεικτικά στοιχεία και συνήθως αποκαλύπτεται κατά τη διάρκεια περιστατικού, άσκησης ή ελέγχου. Ο οργανισμός διαθέτει διαδικασίες απόκρισης, επιχειρησιακής συνέχειας και εποπτείας προμηθευτών, αλλά δεν μπορεί να αποδείξει ότι οι μηχανισμοί αυτοί λειτουργούν επιχειρησιακά. Απουσιάζουν το μητρώο περιστατικών, το ίχνος αποφάσεων της διοίκησης, τα αποτελέσματα ασκήσεων, οι ανασκοπήσεις μετά από συμβάντα, οι δείκτες αποτελεσματικότητας και οι τεκμηριωμένες διορθωτικές ενέργειες. Σε αυτή την κατάσταση, το σύστημα είναι περιγεγραμμένο αλλά όχι αποδεδειγμένο. Εδώ εμφανίζονται και οι δαπανηρότερες διορθώσεις, διότι πρέπει να αλλάξουν όχι μόνο οι διαδικασίες, αλλά και ο τρόπος αναφοράς προς τη διοίκηση, η συχνότητα των ανασκοπήσεων και η λογοδοσία των ιδιοκτητών διεργασιών. Ο ίδιος μηχανισμός παρατηρείται και σε άλλα συστήματα διαχείρισης, όπως στο θέμα IATF 16949 – ποιες απαιτήσεις δημιουργούν πραγματικές δυσκολίες στην καθημερινή διαχείριση ποιότητας και πώς αντιμετωπίζονται χωρίς προσχηματική συμμόρφωση.

Το τέταρτο κενό αφορά την αλυσίδα εφοδιασμού και τις εξωτερικές εξαρτήσεις. Το πρότυπο συμβάλλει στην οργάνωση των απαιτήσεων για τους προμηθευτές, αλλά η συμμόρφωση με το KSC ενδέχεται να απαιτεί βαθύτερη χαρτογράφηση: ποιες εξωτερικές υπηρεσίες υποστηρίζουν την παροχή κρίσιμης υπηρεσίας, πού υπάρχουν μοναδικά σημεία αστοχίας, ποια σενάρια διαταραχής έχουν εξεταστεί και σε ποιο βαθμό μπορεί να αντικατασταθεί ένας προμηθευτής, το προσωπικό ή μια εγκατάσταση. Στην πράξη, δεν αρκεί να μετράται η ύπαρξη συμβάσεων και αξιολογήσεων προμηθευτών. Πρέπει να εξετάζονται η αντιστοίχιση του πεδίου πιστοποίησης με τον πραγματικό χάρτη κρίσιμων υπηρεσιών, η πληρότητα του μητρώου περιστατικών και ασκήσεων, καθώς και η επικαιρότητα των ανασκοπήσεων προμηθευτών και εξαρτήσεων. Μόνο μια τέτοια σύγκριση δείχνει αν ο οργανισμός διαθέτει λειτουργικό σύστημα ή απλώς την τυπική του απεικόνιση.

Το έργο συμμόρφωσης πρέπει να σχεδιάζεται με αφετηρία τις υπηρεσίες, όχι τα έγγραφα

Ένα συχνό αρχικό λάθος είναι η έναρξη του έργου με ανασκόπηση των πολιτικών, των διαδικασιών και των αρχείων ELOT EN ISO 27001, αντί με το ερώτημα ποιες υπηρεσίες πρέπει πράγματι να διατηρούνται και ποιες ρυθμιστικές υποχρεώσεις συνδέονται με αυτές. Η σωστή σειρά είναι αντίστροφη: προσδιορίζονται πρώτα οι υπηρεσίες, οι διεργασίες, οι πόροι και οι κρίσιμες εξαρτήσεις από την άποψη της επιχειρησιακής συνέχειας και των αρμοδιοτήτων βάσει KSC και στη συνέχεια αντιστοιχίζονται σε αυτά οι απαιτήσεις του συστήματος και τα αναγκαία αποδεικτικά στοιχεία. Μόνο αυτή η προσέγγιση επιτρέπει τη διάκριση μεταξύ αναγκαίας και περιττής τεκμηρίωσης.

Για τη διοίκηση, αυτό σημαίνει απόφαση για τη δημιουργία χάρτη κρίσιμων υπηρεσιών, εξαρτήσεων από προμηθευτές και συστήματα, καθώς και καταλόγου υφιστάμενων διαδικασιών που μπορούν να αξιοποιηθούν χωρίς διπλασιασμό των μηχανισμών. Μόνο τότε καθίσταται σαφές αν το υφιστάμενο σύστημα καλύπτει όσα έχουν πραγματική σημασία για τη διατήρηση της υπηρεσίας και τη συμμόρφωση ή απλώς όσα εντάχθηκαν ιστορικά στο πεδίο πιστοποίησης.

Το δεύτερο βήμα αφορά το μοντέλο αρμοδιοτήτων. Όταν η ασφάλεια πληροφοριών κατανέμεται μεταξύ πληροφορικής, ποιότητας, κανονιστικής συμμόρφωσης, συντήρησης και προμηθειών χωρίς σαφή κατανομή ρόλων, το έργο μετατρέπεται γρήγορα σε σύνολο τοπικών πρωτοβουλιών. Πρέπει επομένως να καθοριστεί ποιος είναι υπεύθυνος για κάθε κίνδυνο, ποιος διαχειρίζεται τα περιστατικά, ποιος εποπτεύει τις σχέσεις με τους προμηθευτές, ποιος λαμβάνει διοικητικές αποφάσεις και ποιος διατηρεί τα αποδεικτικά στοιχεία συμμόρφωσης. Στην πράξη, μια απλή μήτρα ρόλων και αρμοδιοτήτων και ένας ενιαίος κύκλος ανασκοπήσεων από τη διοίκηση λειτουργούν καλύτερα από πολλαπλές παράλληλες γραμμές αναφοράς. Σε αυτό το στάδιο πρέπει επίσης να αποφασιστεί αν θα συσταθεί μία κοινή συντονιστική επιτροπή για τη συμμόρφωση και την ασφάλεια και αν η επιχειρησιακή τεχνολογία θα ενταχθεί στο ίδιο μοντέλο διαχείρισης κινδύνων.

Η λογική αυτή είναι ιδιαίτερα σημαντική σε βιομηχανικούς οργανισμούς και επιχειρήσεις με πολλές εγκαταστάσεις. Εκεί, ένα περιστατικό δεν περιορίζεται στην απώλεια εμπιστευτικότητας δεδομένων, αλλά μπορεί να οδηγήσει σε διακοπή γραμμής παραγωγής, διατάραξη προγραμματισμού, απώλεια ιχνηλασιμότητας παρτίδων ή αδυναμία παροχής υπηρεσίας. Για τον λόγο αυτό, η ασφάλεια πληροφοριών πρέπει να συνδεθεί με την επιχειρησιακή συνέχεια, τη συντήρηση και τα περιβάλλοντα επιχειρησιακής τεχνολογίας. Αν το σύστημα διαχείρισης καλύπτει μόνο το περιβάλλον γραφείου και παραλείπει τα συστήματα ελέγχου, την απομακρυσμένη τεχνική υποστήριξη, τις εξαρτήσεις από ολοκληρωτές συστημάτων ή τις διαδικασίες έκτακτης ανάγκης στην εγκατάσταση, η εικόνα κινδύνου θα είναι τυπικά οργανωμένη αλλά επιχειρησιακά ελλιπής. Η ίδια πειθαρχία σχεδιασμού είναι εμφανής και σε άλλους τομείς με αυξημένες απαιτήσεις εποπτείας, όπως στο θέμα ASME, NQA-1 και ISO 19443 — τρία ακρωνύμια που πρέπει να γνωρίζει κάθε προμηθευτής του πυρηνικού κλάδου.

Μόνο πάνω σε αυτή τη βάση πρέπει να αξιοποιηθεί το υφιστάμενο ELOT EN ISO 27001 ως βασική υποδομή και να πραγματοποιηθεί χωριστή ανάλυση αποκλίσεων έναντι του KSC. Σκοπός της δεν είναι να αμφισβητήσει το πιστοποιητικό, αλλά να προσδιορίσει πού υπάρχει ουσιαστική κάλυψη και πού απαιτούνται πρόσθετες διαδικασίες, μητρώα, διαδρομές κλιμάκωσης ή αποδείξεις εφαρμογής. Η προσέγγιση αυτή περιορίζει την υπερβολική τεκμηρίωση και διασφαλίζει μεγαλύτερη συνοχή των μηχανισμών από ό,τι δύο χωριστά και ανταγωνιστικά έργα εφαρμογής.

Πώς να αξιολογήσετε την πραγματική κατάσταση πριν από επιθεώρηση ή έλεγχο

Πριν από επιθεώρηση, αυτοαξιολόγηση ή έλεγχο, το ερώτημα δεν πρέπει να είναι αν ο οργανισμός «διαθέτει ELOT EN ISO 27001», αλλά αν μπορεί να αποδείξει πραγματική ετοιμότητα απόκρισης και λογοδοσία για τις αποφάσεις. Η ετοιμότητα αυτή πρέπει να αξιολογείται σε τέσσερα επίπεδα: πρώτα καθορίζονται το πεδίο και το καθεστώς των υποχρεώσεων, στη συνέχεια εξετάζεται ο σχεδιασμός του συστήματος διαχείρισης, κατόπιν η αποτελεσματικότητα των διεργασιών και, τέλος, η πληρότητα των αποδεικτικών στοιχείων. Μόνο αυτή η διάρθρωση επιτρέπει να διαχωριστεί η τάξη στην τεκμηρίωση από την πραγματική επιχειρησιακή ικανότητα.

Τα πλέον χρήσιμα ερωτήματα δεν είναι «διαθέτουμε διαδικασία;», αλλά «γνωρίζουμε πότε ενεργοποιείται, ποιος λαμβάνει την απόφαση, ποια είναι τα όρια κλιμάκωσης, πώς θα το αποδείξουμε και έχουμε δοκιμάσει το συγκεκριμένο σενάριο;». Αν η διαχείριση περιστατικού εξαρτάται από τη γνώση ενός μόνο ατόμου, οι σχέσεις με τους προμηθευτές δεν περιλαμβάνουν καθορισμένα κριτήρια ασφάλειας και η διοίκηση λαμβάνει μόνο γενικές αναφορές χωρίς αποφάσεις και προθεσμίες, το σύστημα μπορεί να συμφωνεί τυπικά με την περιγραφή του, αλλά να παραμένει ανεπαρκές για λειτουργία υπό πίεση.

Η ανασκόπηση ετοιμότητας πρέπει επομένως να καλύπτει τις διασυνδέσεις μεταξύ διοίκησης, λειτουργιών, πληροφορικής, συντήρησης και προμηθευτών, διότι εκεί εντοπίζονται συχνότερα τα κενά που δεν φαίνονται στις διαδικασίες. Στην πράξη, η αποτελεσματικότερη προσέγγιση είναι μια ανάλυση αποκλίσεων με χαρακτηριστικά επιχειρησιακής επιθεώρησης. Αξιολογούνται όχι μόνο τα έγγραφα, αλλά και η ροή λήψης αποφάσεων, οι διαδρομές κλιμάκωσης, τα αρχεία περιστατικών, τα αποτελέσματα δοκιμών και ασκήσεων, καθώς και το μητρώο μη συμμορφώσεων, παρατηρήσεων και διορθωτικών ενεργειών.

Ένα απλό σενάριο αποτελεί καλό πρακτικό έλεγχο: σημειώνεται περιστατικό σε κρίσιμο προμηθευτή ή διαταραχή στο περιβάλλον παραγωγής και πρέπει να διαπιστωθεί ποιος ταξινομεί το συμβάν, ποιος ενεργοποιεί την επικοινωνία, ποιος αξιολογεί τον αντίκτυπο στην υπηρεσία και ποια τεκμήρια θα παραμείνουν μετά τη λήψη της απόφασης. Αν οι απαντήσεις είναι κατακερματισμένες και ο οργανισμός παραπέμπει σε μια «καθιερωμένη πρακτική» που δεν μπορεί να αναπαραχθεί μέσω αρχείων, η ετοιμότητα είναι προσχηματική, ακόμη και αν το σύστημα διαχείρισης συντηρείται ορθά.

Αν ο οργανισμός διενεργεί ήδη εσωτερικές επιθεωρήσεις ELOT EN ISO 27001, μπορεί να τις αξιοποιήσει ως μέσο αυτής της επαλήθευσης, αλλά τα κριτήρια επιθεώρησης πρέπει να διευρυνθούν ώστε να περιλαμβάνουν τις ρυθμιστικές υποχρεώσεις και τα αποδεικτικά στοιχεία που αναμένονται από την οπτική του KSC. Η μεθοδολογία επιθεώρησης είναι ιδιαίτερα χρήσιμη, όπως και οι ικανότητες που αναπτύσσουν όσοι προετοιμάζονται για τον ρόλο επικεφαλής επιθεωρητή ή εσωτερικού επιθεωρητή. Χρήσιμο σημείο αναφοράς αποτελεί επίσης το υλικό Επικεφαλής Επιθεωρητής ELOT EN ISO 27001: ολοκληρωμένος οδηγός για την πιστοποίηση και τις απαιτήσεις του προτύπου. Πρέπει, ωστόσο, να διατηρείται η σωστή σειρά: η επιθεωρησιακή επάρκεια βοηθά στην αξιολόγηση του συστήματος, αλλά δεν αντικαθιστά την ανάλυση των νομικών και οργανωτικών υποχρεώσεων που εφαρμόζονται στη συγκεκριμένη επιχείρηση.

Διοικητική απόφαση: το πιστοποιητικό ως βάση, όχι ως άλλοθι

Η πλέον ορθολογική προσέγγιση είναι να αντιμετωπίζεται το ELOT EN ISO 27001 ως θεμέλιο διοικητικής οργάνωσης και όχι ως αυτοτελής απόδειξη εκπλήρωσης όλων των υποχρεώσεων που απορρέουν από την NIS2 και το KSC. Το πιστοποιητικό οργανώνει τις αρμοδιότητες, την αξιολόγηση κινδύνων, την εποπτεία περιστατικών, τις επιθεωρήσεις και τη βελτίωση. Δεν απαλλάσσει, όμως, τον οργανισμό από την υποχρέωση να προσδιορίσει ποιες απαιτήσεις τον αφορούν, σε ποιο πεδίο και ποια αποδεικτικά στοιχεία απαιτούνται για την τεκμηρίωση της αποτελεσματικότητας.

Από την οπτική της διοίκησης, ο μεγαλύτερος κίνδυνος δεν είναι ένα κενό στην τεκμηρίωση, αλλά η ψευδαίσθηση ετοιμότητας: η πεποίθηση ότι, επειδή το σύστημα είναι πιστοποιημένο, ο οργανισμός είναι ήδη προετοιμασμένος για τις απαιτήσεις του εθνικού νομικού πλαισίου. Η απόφαση δεν πρέπει, επομένως, να περιορίζεται στο αν θα διατηρηθεί ή θα επεκταθεί η πιστοποίηση. Πρέπει προηγουμένως να διευθετηθούν τρία ζητήματα διοίκησης:

• να επιβεβαιωθούν το καθεστώς του οργανισμού και το πεδίο των υποχρεώσεων,
• να πραγματοποιηθεί ανάλυση αποκλίσεων μεταξύ του υφιστάμενου συστήματος και των απαιτήσεων του KSC,
• να καθοριστεί μοντέλο εποπτείας για την υλοποίηση των ενεργειών και τη διατήρηση αποδεικτικών στοιχείων αποτελεσματικότητας.

Μόνο τότε μπορεί να αποφασιστεί τεκμηριωμένα αν η επιχείρηση χρειάζεται επέκταση του πεδίου πιστοποίησης ή αν αρκεί να αξιοποιήσει το υφιστάμενο σύστημα ELOT EN ISO 27001 χωρίς αλλαγή πεδίου και να προσθέσει τους οργανωτικούς, νομικούς και επιχειρησιακούς μηχανισμούς που λείπουν. Τρία απλά εργαλεία διοίκησης είναι ιδιαίτερα χρήσιμα: το ισχύον πεδίο πιστοποίησης σε αντιπαραβολή με τον χάρτη κρίσιμων διεργασιών, ένας κατάλογος αποκλίσεων με αξιολόγηση των επιπτώσεών τους στον κίνδυνο και στη συμμόρφωση και ένα σχέδιο ενεργειών με υπευθύνους, προθεσμίες και κριτήρια ολοκλήρωσης.

Αν ο οργανισμός βρίσκεται ακόμη στο στάδιο επιλογής προσέγγισης, η σειρά των εργασιών δεν είναι ίδια για όλους. Όπου υπάρχει έντονη πίεση από πελάτες ή απαιτήσεις διαγωνισμών, η ανάπτυξη συστήματος με στόχο την πιστοποίηση μπορεί να αποτελεί δικαιολογημένο πρώτο βήμα, υπό την προϋπόθεση ότι η ανάλυση των ρυθμιστικών υποχρεώσεων δεν αναβάλλεται. Αντίθετα, σε επιχειρήσεις με υψηλό επιχειρησιακό κίνδυνο ή κατακερματισμένο μοντέλο αρμοδιοτήτων, είναι συχνά προτιμότερο να κλείσουν πρώτα τα ρυθμιστικά κενά και στη συνέχεια να οργανωθεί το πεδίο πιστοποίησης. Δεν πρόκειται για διαφωνία ως προς τη σειρά των τυπικών ενεργειών, αλλά για τη σειρά μείωσης των κινδύνων. Υπό αυτή την έννοια, και το θέμα Πιστοποιητικό ISO: οφέλη και διαδικασία εφαρμογής πρέπει να εξετάζεται ως μέρος μιας ευρύτερης απόφασης για τον τρόπο διαχείρισης της συμμόρφωσης και όχι αποκομμένο από το μοντέλο λειτουργίας της επιχείρησης.

Τα καλύτερα αποτελέσματα προκύπτουν από ένα ενιαίο και συνεκτικό πρόγραμμα, στο οποίο η ασφάλεια πληροφοριών, η επιχειρησιακή συνέχεια, η εποπτεία προμηθευτών και οι ρυθμιστικές υποχρεώσεις αντιμετωπίζονται ως στοιχεία του επιχειρησιακού μοντέλου της εταιρείας και όχι ως χωριστές πρωτοβουλίες διαφορετικών τμημάτων. Στην πολωνική πραγματικότητα, ο κατακερματισμός των αρμοδιοτήτων είναι συχνά αυτός που αποδυναμώνει περισσότερο τόσο την εκτελεστική ικανότητα όσο και την επάρκεια των αποδεικτικών στοιχείων. Το τελικό συμπέρασμα είναι σαφές: η πιστοποίηση βοηθά και μπορεί να επιταχύνει σημαντικά την οργάνωση του συστήματος, αλλά η συμμόρφωση πρέπει επιπλέον να σχεδιαστεί, να εφαρμοστεί και να τεκμηριωθεί με αποδεικτικά στοιχεία στις συνθήκες που διαμορφώνουν η NIS2 και το KSC.