Auditul KSC obligatoriu: ce entități esențiale trebuie să se pregătească pentru prima evaluare

Pregătirea pentru auditul KSC obligatoriu nu începe cu alegerea auditorului sau cu redactarea procedurilor. Mai întâi trebuie confirmat statutul juridic al entității, stabilit perimetrul serviciilor reglementate și atribuite responsabilitățile pentru riscuri, măsuri de securitate și dovezile privind funcționarea acestora. Fără aceste clarificări, organizația poate aloca resurse unor domenii greșite, poate omite dependențe critice sau poate intra în audit cu o documentație care nu reflectă modul real de furnizare a serviciilor. Prin urmare, pregătirea pentru prima evaluare nu depinde de numărul procedurilor, ci de coerența dintre încadrarea juridică, perimetrul operațional, managementul riscurilor și practicile efectiv aplicate.

Cine va intra în prima rundă de audit

Prima decizie trebuie să confirme dacă persoana juridică respectivă intră sub incidența KSC, în ce categorie este încadrată și ce cerințe de audit și termene i se aplică. Analiza trebuie să țină cont de sector, activitatea desfășurată în mod real, dimensiunea organizației și criteriile speciale prevăzute de reglementările în vigoare. Entitățile esențiale nu trebuie confundate cu foștii operatori de servicii esențiale, iar statutul lor nu poate fi stabilit exclusiv pe baza codului PKD. Codul poate oferi un indiciu, dar nu înlocuiește analiza serviciilor, a beneficiarilor acestora și a rolului organizației în sectorul relevant.

Primul document de lucru ar trebui să fie o analiză de încadrare aprobată. Aceasta trebuie să identifice activitățile supuse reglementării, structurile organizaționale care le desfășoară, serviciile furnizate, sistemele informatice care le susțin și temeiul poziției adoptate. Procesul de conformare cu KSC poate fi coordonat de funcția juridică, de conformitate sau de securitate cibernetică, însă încadrarea trebuie aprobată formal de organul autorizat să ia decizii în numele entității. În situațiile neclare, este prudentă obținerea unei opinii juridice, în locul construirii întregului program de pregătire pe o ipoteză nedocumentată.

Într-un grup de companii, statutul unei societăți nu se extinde automat asupra celorlalte. Fiecare persoană juridică trebuie evaluată separat în raport cu activitatea, dimensiunea și criteriile speciale aplicabile. Abia ulterior se identifică centrele de servicii partajate, infrastructura, sistemele și furnizorii comuni. Această separare este necesară pentru atribuirea responsabilității privind riscurile, delimitarea auditului și planificarea demersului descris în Cum pregătiți compania pentru un audit de secundă parte la un furnizor-cheie?

Pragurile detaliate, excepțiile, procedurile de identificare, înscriere sau notificare și termenele de audit trebuie verificate în raport cu versiunea în vigoare a Legii privind sistemul național de securitate cibernetică și cu actele de punere în aplicare relevante. Absența unei notificări oficiale nu ar trebui să suspende analiza dacă profilul activității indică posibilitatea intrării sub incidența reglementării. Numai după confirmarea statutului poate fi stabilit în mod responsabil perimetrul și calendarul primului audit.

Perimetrul auditului influențează rezultatul

Cea mai gravă eroare de pregătire este limitarea auditului KSC la departamentul IT. Evaluarea vizează modul în care sunt gestionate securitatea serviciilor și a sistemelor. În consecință, perimetrul auditului trebuie să includă procesele operaționale, mentenanța, achizițiile, resursele umane, continuitatea activității, gestionarea incidentelor și supravegherea exercitată de conducere. Un perimetru prea restrâns omite dependențe relevante pentru reziliența serviciului. În schimb, includerea întregii organizații fără justificare mărește volumul de lucru și îngreunează separarea constatărilor importante de cele secundare.

Perimetrul trebuie proiectat pornind de la serviciile supuse reglementării. Analiza continuă apoi cu procesele și informațiile care le susțin, până la aplicații, infrastructură, locații, personal și părți externe. Un simplu inventar al echipamentelor nu arată ce resurse condiționează furnizarea serviciului și nici cine răspunde pentru riscurile asociate. Pentru fiecare serviciu trebuie identificați responsabilul, procesele dependente, activele informaționale esențiale, sistemele, furnizorii și dovezile privind funcționarea măsurilor de securitate. Harta dependențelor trebuie să permită urmărirea efectelor unei indisponibilități sau breșe, fără documentarea unor relații care nu influențează serviciul evaluat.

Importanța practică a acestei abordări este evidentă în cazul copiilor de siguranță. Acestea pot fi realizate la timp, monitorizate și conforme cu procedura, dar dacă responsabilul procesului operațional nu a definit timpul necesar de restaurare, nu se poate demonstra că măsura tehnică răspunde nevoii de afaceri. În mod similar, un sistem partajat de mai multe societăți trebuie inclus în perimetrul fiecărei entități ale cărei servicii reglementate sunt susținute de acel sistem. Împărțirea responsabilităților pentru administrare, risc, incidente și prezentarea dovezilor trebuie însă descrisă fără echivoc.

Limitele organizaționale și tehnice trebuie confirmate într-un atelier la care participă responsabilii serviciilor și proceselor, precum și persoanele care răspund de continuitatea activității, securitatea cibernetică și furnizorii critici. Delimitarea nu poate rezulta exclusiv dintr-o discuție cu administratorul infrastructurii. Rezultatul atelierului trebuie să includă lista serviciilor analizate, sistemele, locațiile și furnizorii care le susțin, dependențele partajate și excluderile justificate. Pentru fiecare excludere trebuie precizate temeiul, impactul asupra serviciului și responsabilul deciziei.

Această hartă reprezintă și punctul de plecare pentru estimarea resurselor prezentate în materialul Cât costă implementarea NIS2 și uKSC – cum construiți bugetul pentru audit, documentație, instruire și măsuri de securitate fără erori costisitoare.

Pentru definirea rolurilor, asigurarea independenței evaluării și gestionarea constatărilor poate fi utilizată, ca reper auxiliar, distincția dintre auditul intern și cel extern. Aceasta nu modifică principiul de bază: auditul KSC are propriul temei juridic, propriile criterii și un perimetru care rezultă din obligațiile entității evaluate. Nu este un simplu audit de certificare a unui sistem de management, chiar dacă utilizează metode similare pentru colectarea dovezilor și evaluarea eficacității măsurilor de securitate.

Costurile cresc la interfața dintre responsabilități

Cele mai mari costuri de pregătire nu apar, de regulă, acolo unde lipsește un document, ci la interfața dintre responsabilități fragmentate. Sunt vizate în special relațiile dintre IT și operațiuni, societate și grup, beneficiar și furnizor, respectiv responsabilul de proces și responsabilul de sistem. Dacă nicio parte nu răspunde clar pentru riscuri, incidente, continuitatea activității și prezentarea dovezilor, deficiența rămâne deschisă chiar dacă rolurile sunt atribuite formal.

Bugetul trebuie construit în funcție de impactul deficiențelor asupra serviciului și de riscul de a nu putea demonstra eficacitatea măsurilor, nu după numărul procedurilor lipsă. Este util ca analiza decalajelor, activitățile organizaționale, măsurile tehnice, testele, dezvoltarea competențelor, gestionarea furnizorilor și auditul propriu-zis să fie bugetate separat. Trei indicatori sunt deosebit de utili pentru controlul resurselor:

• numărul deficiențelor critice a căror remediere depinde de o investiție sau de modificarea unui contract;
• durata estimată pentru implementarea măsurilor care necesită testare;
• ponderea costurilor de modernizare a infrastructurii care nu rezultă exclusiv din obligația de conformare.

Cele mai dificil de remediat sunt, de regulă, deficiențele care necesită modificări tehnice, renegocierea contractelor, teste de restaurare, controlul accesului privilegiat sau reproiectarea procesului de raportare și escaladare a incidentelor. Acestea nu pot fi închise credibil prin simpla aprobare a unei proceduri. De exemplu, un furnizor de servicii cloud poate declara măsuri avansate de securitate, în timp ce organizația nu poate demonstra împărțirea responsabilităților, dreptul de a primi informații despre incidente sau posibilitatea de a obține dovezile necesare auditorului. Problema implică simultan contractul, supravegherea furnizorului, arhitectura serviciului și capacitatea de a furniza dovezi.

Înaintea auditului trebuie închise cu prioritate deficiențele care pun sub semnul întrebării capacitatea de furnizare a serviciului, răspunsul la incidente sau demonstrarea funcționării unei măsuri esențiale. Pentru celelalte deficiențe poate fi acceptat un plan controlat de acțiuni, dacă acesta precizează responsabilul, termenul, resursele, măsurile temporare de reducere a riscului și decizia de acceptare a riscului rezidual la nivelul de conducere competent. Prioritatea nu trebuie acordată sarcinilor cel mai ușor de marcat drept finalizate. Alegerea dintre achiziția unui instrument și îmbunătățirea procesului trebuie să pornească de la cauza deficienței, nu de la disponibilitatea bugetului de investiții.

Aceeași disciplină în atribuirea responsabilităților este relevantă și pentru domeniul prezentat în Cum pregătiți echipa pentru auditul clientului atunci când sunt cerute APQP, PPAP și analiza cauzelor, chiar dacă temeiul și criteriile de evaluare sunt diferite.

Auditorul va verifica funcționarea sistemului, nu dosarele

Documentul este doar punctul de plecare al traseului de audit. Auditorul trebuie să poată urmări legătura dintre cerință și riscul identificat, responsabilul procesului, măsura aplicată, înregistrarea care confirmă executarea, rezultatul monitorizării și reacția la abaterea constatată. Politica, procedura sau instrucțiunea nu demonstrează, prin ele însele, eficacitatea. Sunt necesare dovezi obiective provenite din funcționarea curentă a organizației: tichete, jurnale de evenimente, aprobări, rapoarte de testare, rezultate ale analizelor, decizii privind riscurile și acțiuni corective închise.

Programul de pregătire trebuie să definească modul de eșantionare a cazurilor reale, nu doar lista documentelor care vor fi prezentate. Eșantionul ar trebui să includă, între altele, acordarea și retragerea accesului, gestionarea vulnerabilităților, un incident, restaurarea datelor, o modificare de sistem, instruirea unui angajat, calificarea unui furnizor și analiza efectuată de conducere. Pentru fiecare eșantion trebuie stabilite sursa înregistrării, persoana responsabilă și criteriul de eficacitate.

Este utilă monitorizarea numărului de cazuri conforme, a abaterilor și a situațiilor în care lipsesc dovezile. Dacă organizația efectuează măsurători, trebuie avute în vedere și timpul de răspuns și de închidere a incidentelor, precum și rezultatele testelor de restaurare, exercițiilor și revizuirilor drepturilor de acces. Perioada de păstrare a dovezilor trebuie să permită evaluarea caracterului repetabil al procesului și să acopere evenimentele relevante pentru risc. Aceasta nu trebuie stabilită exclusiv în funcție de data auditului.

Procedura de retragere a drepturilor de acces nu va constitui o dovadă suficientă dacă eșantionul de conturi ale foștilor angajați indică întârzieri, conturi încă active sau lipsa confirmării executării solicitării. Auditorul poate compara datele de resurse umane, tichetele din sistemul de asistență, înregistrările din serviciile de directoare și jurnalele de activitate. Dovezile generate automat de instrumente sunt valoroase dacă pot fi demonstrate caracterul complet, marcarea temporală fiabilă și legătura cu un caz concret. Deciziile privind acceptarea riscului, derogările, închiderea incidentelor sau calificarea furnizorilor necesită o înregistrare aprobată, cu responsabilitate identificabilă.

Auditul intern de simulare trebuie să reproducă logica evaluării externe: de la criteriu și eșantion până la evaluarea implementării și eficacității. Totuși, acesta nu poate fi realizat de persoane care își evaluează propria activitate. Pentru examinarea supravegherii terților, un context util este oferit de materialul Auditul furnizorului în sectorul energiei nucleare – ce se verifică și cum pregătiți compania înainte de calificare, cu păstrarea diferențelor dintre criteriile de evaluare.

Un sistem de management existent poate furniza mecanisme pentru controlul documentelor, audituri interne, acțiuni corective și analiza efectuată de management. Acestea trebuie valorificate, în locul construirii unui circuit paralel. Certificatul deținut nu înlocuiește însă demonstrarea conformității cu criteriile KSC aplicabile. Rezultatul depinde de funcționarea măsurilor în perimetrul stabilit și de capacitatea organizației de a prezenta dovezi coerente și credibile privind aplicarea lor.

Furnizorii intră în perimetrul evaluării

Externalizarea mentenanței unui sistem, a prelucrării datelor sau a monitorizării securității nu transferă responsabilitatea entității esențiale către prestator. Furnizorul poate implementa măsuri și gestiona incidente, însă organizația trebuie să înțeleagă în continuare riscurile serviciului, să definească cerințele și să demonstreze o supraveghere eficace. Pregătirea pentru audit trebuie să includă serviciile externe de care depind continuitatea activității, confidențialitatea informațiilor sau disponibilitatea sistemelor.

Profunzimea evaluării trebuie stabilită în funcție de nivelul de criticitate al furnizorului. Sunt relevante impactul unei întreruperi asupra serviciului, nivelul accesului la informații și sisteme, posibilitatea înlocuirii prestatorului, implicarea subcontractanților, locul prelucrării și capacitatea reală de obținere a dovezilor. Furnizorii cu impact limitat pot fi evaluați prin chestionare și revizuirea documentelor. Pentru partenerii strategici pot fi justificate interviurile, testele de continuitate, analiza înregistrărilor operaționale sau un audit de secundă parte.

Dacă furnizorul refuză dreptul de audit, organizația trebuie să stabilească dovezi alternative, să evalueze riscul rezidual și să decidă dacă sunt necesare măsuri suplimentare, renegocierea contractului sau un plan de ieșire. Declarația furnizorului ori certificatul acestuia poate fi insuficient dacă nu acoperă serviciul, locația sau perimetrul operațional relevant.

O deficiență tipică apare atunci când contractul precizează disponibilitatea serviciului, dar nu definește termenul pentru transmiterea informațiilor despre incidente, regulile de cooperare la analiza cauzelor sau dreptul de verificare a acțiunilor furnizorului. Nu este doar o lipsă formală. Fără aceste prevederi, organizația poate să nu primească la timp informațiile necesare pentru evaluarea efectelor evenimentului, luarea deciziilor și prezentarea către auditor a unui traseu coerent al răspunsului. O lacună contractuală nu poate fi remediată exclusiv printr-o procedură internă.

Revizuirea contractelor și a anexelor de securitate trebuie să acopere obligațiile privind protecția informațiilor, raportarea incidentelor, continuitatea activității, subcontractarea, încetarea colaborării, returnarea sau ștergerea datelor, accesul la dovezi și regulile de verificare. Progresul pregătirii poate fi urmărit prin numărul furnizorilor critici, procentul partenerilor care au o evaluare actualizată a riscurilor și dovezi de supraveghere, numărul contractelor care necesită completări și numărul serviciilor fără un plan confirmat de continuitate sau de ieșire. Metodologia verificării aprofundate este dezvoltată în materialul Cum pregătiți compania pentru un audit de secundă parte la un furnizor-cheie?

Planul pentru prima evaluare

Programul de pregătire trebuie derulat într-o succesiune clară: confirmarea statutului entității și a criteriilor juridice aplicabile, stabilirea limitelor mediului evaluat, atribuirea responsabilităților, analiza riscurilor și a decalajelor și, ulterior, aprobarea planului de remediere. Un audit de simulare este justificat numai după implementarea acțiunilor și colectarea înregistrărilor care demonstrează funcționarea acestora. Rezultatele sale trebuie să conducă la eliminarea cauzelor neconformităților, nu doar a simptomelor, și la o analiză finală a nivelului de pregătire efectuată de conducere.

Calendarul se construiește în sens invers, pornind de la termenul prevăzut de reglementările în vigoare sau de la decizia formală aplicabilă entității. Nu există o singură dată sigură de începere a pregătirilor pentru toate organizațiile. Aceasta depinde de statutul juridic, perimetrul tehnic, maturitatea măsurilor de securitate, numărul dependențelor externe și timpul necesar pentru obținerea înregistrărilor care demonstrează funcționarea. Conducerea trebuie să aprobe prioritățile în funcție de importanța riscurilor și de dependențele dintre activități, nu de ușurința cu care pot fi închise pozițiile din plan.

O sarcină marcată drept finalizată după publicarea procedurii rămâne, în realitate, deschisă până când procedura este implementată, verificată pe un eșantion reprezentativ și confirmată prin înregistrări. Același principiu se aplică măsurilor tehnice, gestionării incidentelor, planurilor de continuitate și supravegherii furnizorilor. Pregătirea pentru audit presupune demonstrarea întregului ciclu operațional: decizie, executare, verificarea rezultatului și reacție la abaterile identificate. Dacă deficiența privește condițiile colaborării cu o parte externă, un context util este oferit de Auditul furnizorului înainte de semnarea contractului – cum reduceți riscurile privind calitatea și termenele de livrare.

Raportarea către conducere nu trebuie să se limiteze la procentul de realizare a planului. Informațiile pentru management trebuie să includă:

• numărul deficiențelor pe niveluri de importanță, împreună cu responsabilul și termenul de închidere;
• procentul măsurilor de securitate confirmate prin înregistrări;
• riscurile deschise, acceptate de nivelul competent de conducere;
• blocajele, cum ar fi lipsa unui responsabil, o măsură neimplementată, un plan netestat, un contract neagreat sau o deficiență fără dovezi credibile de închidere.

Selectarea entității care va efectua auditul trebuie începută suficient de devreme, însă numai după verificarea cerințelor KSC în vigoare privind prestatorul și documentarea rezultatelor. Prețul nu poate fi singurul criteriu. Trebuie evaluate autorizările cerute, independența, competențele sectoriale, metodologia și capacitatea de a examina mediul tehnic real. Contractarea prestatorului nu înlocuiește auditul de simulare și nici analiza efectuată de conducere. Ea închide doar componenta organizatorică a pregătirii pentru evaluarea formală.

Primul audit KSC trebuie tratat ca o verificare a capacității organizației de a gestiona securitatea serviciilor, nu ca o revizuire punctuală a documentației. Entitatea este pregătită numai atunci când își poate justifica statutul și perimetrul, poate identifica responsabilii riscurilor, poate demonstra funcționarea măsurilor și poate prezenta dovezi credibile privind supravegherea proceselor și a furnizorilor.