Auditoria KSC obrigatória: que entidades essenciais devem preparar a primeira avaliação de conformidade

A preparação para a auditoria KSC obrigatória não começa pela escolha do auditor nem pela compilação de procedimentos. Antes disso, é necessário confirmar o estatuto da entidade em causa, delimitar os serviços abrangidos pela regulamentação e atribuir responsabilidades pelo risco, pelos controlos e pelas evidências do seu funcionamento. Sem estas decisões, a organização pode investir nos domínios errados, ignorar dependências críticas ou chegar à auditoria com documentação que não corresponde à forma como os serviços são efetivamente prestados. A preparação para a primeira avaliação depende, portanto, não da quantidade de procedimentos, mas da coerência entre o enquadramento jurídico, o âmbito operacional, a gestão do risco e a prática da organização.

Quem estará abrangido pela primeira auditoria

A primeira decisão consiste em confirmar se determinada pessoa coletiva está sujeita ao KSC, em que categoria se enquadra e que requisitos e prazos de auditoria lhe são aplicáveis. Esta qualificação deve considerar o setor, a atividade efetivamente exercida, a dimensão da organização e quaisquer critérios específicos previstos na legislação em vigor. As entidades essenciais não devem ser automaticamente equiparadas aos antigos operadores de serviços essenciais, nem o seu estatuto pode ser determinado apenas com base no código PKD. Esse código pode servir de indicação, mas não substitui a análise dos serviços prestados, dos respetivos destinatários e do papel da organização no setor.

O primeiro documento de trabalho deve ser uma análise de enquadramento formalmente aprovada. Esta deve identificar as atividades abrangidas, as unidades organizacionais que as executam, os serviços prestados, os sistemas de informação que os suportam e a fundamentação da posição adotada. A responsabilidade operacional pela conformidade com o KSC pode ser atribuída às funções jurídica, de conformidade ou de cibersegurança. Contudo, a qualificação deve ser formalmente aprovada pelo órgão competente para decidir em nome da entidade. Perante situações ambíguas, é prudente obter um parecer jurídico, em vez de basear todo o programa de preparação num pressuposto não documentado.

Num grupo empresarial, o estatuto de uma sociedade não se estende automaticamente às restantes. Cada pessoa coletiva, a sua atividade, dimensão e critérios específicos devem ser avaliados separadamente. Só depois devem ser identificados os centros de serviços partilhados, as infraestruturas, os sistemas e os fornecedores comuns. Esta separação é indispensável para atribuir responsabilidades pelo risco, definir os limites da auditoria e planear como preparar a empresa para uma auditoria de segunda parte a um fornecedor crítico.

Os limiares, as exceções, os procedimentos de identificação, registo ou notificação e os prazos de auditoria devem ser verificados à luz da versão em vigor da lei polaca relativa ao sistema nacional de cibersegurança e dos atos regulamentares aplicáveis. A ausência de uma notificação oficial não deve, por si só, suspender a análise quando o perfil da atividade indicar uma possível sujeição à regulamentação. Só depois de confirmado o estatuto será possível definir de forma responsável o âmbito e o calendário da primeira auditoria.

O âmbito determina o resultado

Um dos erros de preparação mais graves consiste em limitar a auditoria KSC ao departamento de tecnologias de informação. A avaliação incide sobre a forma como a segurança dos serviços e sistemas é gerida. Por isso, o âmbito deve abranger também as operações, a manutenção, as compras, os recursos humanos, a continuidade do negócio, a gestão de incidentes e a supervisão pela gestão. Um âmbito demasiado restrito ignora dependências relevantes para a resiliência do serviço. Incluir toda a organização sem uma justificação objetiva aumenta, por outro lado, o esforço necessário e dificulta a distinção entre constatações críticas e aspetos secundários.

O âmbito deve ser construído a partir dos serviços abrangidos pela regulamentação. Em seguida, é necessário percorrer os processos e a informação que os suportam até chegar às aplicações, infraestruturas, instalações, pessoas e entidades externas. Um simples inventário de equipamentos não demonstra quais os recursos indispensáveis à prestação do serviço nem quem responde pelos riscos associados. Para cada serviço devem ser identificados o respetivo responsável, os processos dependentes, os ativos de informação críticos, os sistemas, os fornecedores e as evidências de funcionamento dos controlos. O mapa de dependências deve permitir acompanhar os efeitos de uma indisponibilidade ou violação, sem documentar relações que não tenham impacto no serviço avaliado.

A importância prática desta abordagem é evidente no caso das cópias de segurança. Estas podem ser executadas dentro dos prazos, monitorizadas e realizadas de acordo com o procedimento. No entanto, se o responsável pelo processo operacional não tiver definido o tempo de recuperação necessário, não será possível confirmar que o controlo técnico responde à necessidade do negócio. Do mesmo modo, um sistema partilhado por várias sociedades deve integrar o âmbito de cada entidade cujos serviços regulados dependa desse sistema. A divisão das responsabilidades pela administração, pelo risco, pelos incidentes e pela apresentação das evidências deve, contudo, estar claramente documentada.

Os limites organizacionais e técnicos devem ser confirmados num workshop com os responsáveis pelos serviços e processos, bem como com as pessoas responsáveis pela continuidade do negócio, cibersegurança e fornecedores críticos. Estas conclusões não podem resultar apenas de uma conversa com o administrador da infraestrutura. O workshop deve produzir uma lista dos serviços analisados, dos sistemas, instalações e fornecedores que os suportam, das dependências partilhadas e das exclusões devidamente justificadas. Cada exclusão deve indicar a sua fundamentação, o impacto no serviço e o responsável pela decisão.

Este mapa constitui também o ponto de partida para estimar o investimento abordado no artigo Quanto custa implementar a NIS2 e o uKSC — como estruturar o orçamento para auditoria, documentação, formação e controlos sem erros dispendiosos.

Ao definir funções, independência da avaliação e tratamento das constatações, pode ser útil distinguir entre auditoria interna e auditoria externa. Isto não altera o princípio fundamental: a auditoria KSC tem uma base jurídica, critérios próprios e um âmbito decorrente das obrigações da entidade avaliada. Não se trata de uma auditoria normal de certificação de um sistema de gestão, ainda que utilize métodos semelhantes de recolha de evidências e avaliação da eficácia dos controlos.

Os custos aumentam nas interfaces de responsabilidade

Os maiores custos de preparação para a auditoria surgem, em regra, não onde falta um documento, mas nas interfaces entre responsabilidades dispersas. Isto é particularmente visível entre TI e operações, entre uma sociedade e o grupo empresarial, entre o cliente e o fornecedor e entre o responsável pelo processo e o responsável pelo sistema. Se nenhuma das partes assumir inequivocamente a responsabilidade pelo risco, pelos incidentes, pela continuidade e pela disponibilização das evidências, a lacuna permanecerá aberta, mesmo quando as funções tenham sido formalmente atribuídas.

O orçamento deve ser estruturado em função do impacto das lacunas no serviço e do risco de não ser possível demonstrar a eficácia dos controlos, e não de acordo com o número de procedimentos em falta. É recomendável separar os custos da análise de lacunas, das medidas organizacionais, dos controlos técnicos, dos testes, do desenvolvimento de competências, da gestão de fornecedores e da própria auditoria. Três indicadores são particularmente úteis para gerir o investimento:

• número de lacunas críticas que dependem de investimento ou de alterações contratuais;
• tempo previsto para implementar controlos que exigem testes;
• percentagem dos custos de modernização da infraestrutura que não decorre diretamente da obrigação de conformidade.

As lacunas mais difíceis de eliminar são normalmente aquelas que exigem alterações técnicas, renegociação de contratos, testes de recuperação, organização dos acessos privilegiados ou reformulação do processo de comunicação e escalamento de incidentes. Estas questões não podem ser encerradas de forma credível apenas com a aprovação de um procedimento. Por exemplo, um prestador de serviços de cloud pode declarar controlos abrangentes, enquanto a organização continua sem conseguir demonstrar a divisão de responsabilidades, o direito de receber informação sobre incidentes ou a possibilidade de obter as evidências necessárias para o auditor. Neste caso, o problema envolve simultaneamente o contrato, a supervisão do fornecedor, a arquitetura do serviço e a capacidade de produzir evidências.

Antes da auditoria, devem ser obrigatoriamente resolvidas as lacunas que comprometam a capacidade de prestar o serviço, responder a incidentes ou demonstrar o funcionamento de um controlo crítico. Para as restantes lacunas pode ser adotado um plano de ações controlado, desde que identifique o responsável, o prazo, os recursos, a forma de reduzir o risco até à implementação e a decisão de aceitação do risco residual no nível de gestão adequado. As tarefas mais fáceis de marcar como concluídas não devem receber prioridade automática. A escolha entre adquirir uma ferramenta e melhorar um processo também deve resultar da causa da lacuna, e não apenas da disponibilidade de orçamento de investimento.

Uma disciplina semelhante na atribuição de responsabilidades é relevante no tema Como preparar a equipa para uma auditoria de cliente quando são exigidos APQP, PPAP e análise de causas, embora os critérios e a base da avaliação sejam diferentes.

O auditor avaliará a prática, não o dossier

Um documento é apenas o início da cadeia de evidências. O auditor deve conseguir partir do requisito e do risco identificado e chegar ao responsável pelo processo, ao controlo aplicado, ao registo que comprova a sua execução, ao resultado da monitorização e à resposta perante um desvio. Uma política, um procedimento ou uma instrução, por si só, não demonstram eficácia. São necessárias evidências objetivas produzidas pela atividade normal da organização: pedidos, registos de eventos, aprovações, relatórios de testes, resultados de revisões, decisões relativas ao risco e ações corretivas encerradas.

O programa de preparação deve definir como serão selecionadas amostras de casos reais, não apenas uma lista de documentos a apresentar. A amostra deve abranger, entre outros, a concessão e revogação de acessos, a gestão de vulnerabilidades, um incidente, a recuperação de dados, uma alteração de sistema, a formação de um trabalhador, a qualificação de um fornecedor e uma revisão pela gestão. Para cada amostra devem ser definidos a origem do registo, o responsável e o critério de eficácia.

É útil comparar o número de casos conformes, desvios e situações sem evidência suficiente. Quando existam medições, devem ser considerados os tempos de resposta e encerramento de incidentes, bem como os resultados de testes de recuperação, exercícios e revisões de permissões. O período de retenção das evidências deve permitir avaliar a repetibilidade do processo e abranger acontecimentos relevantes para o risco. Não deve ser estabelecido apenas em função da data da auditoria.

Um procedimento de revogação de acessos não constituirá evidência suficiente se uma amostra de contas de antigos trabalhadores revelar atrasos, contas ainda ativas ou ausência de confirmação da execução do pedido. O auditor pode cruzar dados dos recursos humanos, pedidos registados no sistema de suporte, registos dos serviços de diretório e logs de atividade. As evidências geradas automaticamente pelas ferramentas são úteis quando é possível demonstrar a sua completude, uma marca temporal fiável e a ligação a um caso concreto. As decisões de aceitação de risco, exceção, encerramento de incidentes ou qualificação de fornecedores exigem, por sua vez, um registo aprovado que permita identificar claramente a responsabilidade.

A auditoria interna de preparação deve reproduzir o percurso de avaliação do auditor externo: do critério à amostra e, depois, à avaliação da implementação e eficácia. No entanto, as pessoas não devem auditar o seu próprio trabalho. Na avaliação da supervisão de terceiros, pode ser útil consultar Auditoria a fornecedores no setor da energia nuclear — o que é verificado e como preparar a empresa antes da qualificação, mantendo a distinção entre os critérios aplicáveis.

Um sistema de gestão já implementado pode disponibilizar mecanismos de controlo documental, auditoria interna, ações corretivas e revisão pela gestão. Estes mecanismos devem ser aproveitados, evitando criar circuitos paralelos. Contudo, um certificado existente não substitui a demonstração de conformidade com os critérios KSC aplicáveis. O resultado dependerá de os controlos funcionarem no âmbito definido e de a organização conseguir apresentar evidências coerentes e credíveis da sua aplicação.

Os fornecedores fazem parte do âmbito

A externalização da manutenção de sistemas, do tratamento de dados ou da monitorização de segurança não transfere para o prestador a responsabilidade da entidade essencial. O fornecedor pode executar controlos e gerir incidentes, mas a organização continua obrigada a compreender os riscos associados ao serviço, definir requisitos e demonstrar uma supervisão eficaz. A preparação para a auditoria deve, por isso, abranger também os serviços externos dos quais dependem a continuidade das operações, a confidencialidade da informação ou a disponibilidade dos sistemas.

A profundidade da avaliação deve ser proporcional à criticidade do fornecedor. Devem ser considerados o impacto de uma falha no serviço, o nível de acesso à informação e aos sistemas, a possibilidade de substituição do prestador, a utilização de subcontratados, o local de tratamento dos dados e a capacidade efetiva de obter evidências. Os fornecedores com impacto limitado podem ser avaliados através de questionários e análise documental. Para parceiros estratégicos, podem justificar-se entrevistas, testes de continuidade, análise de registos operacionais ou auditorias de segunda parte.

Se o fornecedor recusar o direito de auditoria, a organização deve definir evidências alternativas, avaliar o risco residual e decidir se são necessários controlos adicionais, a renegociação do contrato ou um plano de saída. Uma declaração do fornecedor ou um certificado por ele detido pode ser insuficiente quando não abrange o serviço, a localização ou o âmbito operacional relevante.

Uma lacuna típica ocorre quando o contrato define a disponibilidade do serviço, mas não estabelece o prazo para comunicar um incidente, as regras de cooperação na análise de causas ou o direito de verificar as ações do fornecedor. Isto não constitui apenas uma deficiência formal. Sem estas disposições, a organização pode não receber atempadamente os dados necessários para avaliar os efeitos do evento, tomar decisões e apresentar ao auditor uma sequência coerente da resposta. Uma lacuna contratual não pode ser corrigida apenas através de um procedimento interno.

A revisão de contratos e anexos de segurança deve abranger as obrigações de proteção da informação, a comunicação de incidentes, a continuidade do negócio, a subcontratação, a cessação da relação, a devolução ou eliminação dos dados, o acesso a evidências e as regras de verificação. O progresso da preparação pode ser medido pelo número de fornecedores críticos, pela percentagem de parceiros com avaliação de risco atualizada e evidências de supervisão, pelo número de contratos que exigem atualização e pelos serviços sem plano de continuidade ou saída confirmado. A metodologia de verificação aprofundada é desenvolvida no artigo Como preparar a empresa para uma auditoria de segunda parte a um fornecedor crítico?

Plano para a primeira avaliação

O programa de preparação deve respeitar uma sequência definida: confirmar o estatuto da entidade e os critérios jurídicos aplicáveis, delimitar o ambiente a avaliar, atribuir responsabilidades, realizar a análise de riscos e lacunas e, por fim, aprovar o plano de correção. Só depois de as ações terem sido implementadas e de existirem registos do seu funcionamento se justifica realizar uma auditoria de simulação. Os respetivos resultados devem conduzir à eliminação das causas das não conformidades, e não apenas dos seus sintomas, seguida de uma revisão final da preparação pela gestão.

O calendário deve ser construído de trás para a frente, a partir do prazo resultante da legislação em vigor ou de uma decisão formal aplicável à entidade. Não existe uma data de início universalmente segura para todas as organizações. Esta depende do estatuto jurídico, do âmbito técnico, da maturidade dos controlos, do número de dependências externas e do tempo necessário para produzir registos que demonstrem o funcionamento. A gestão deve aprovar as prioridades com base na relevância do risco e nas dependências entre tarefas, não na facilidade de encerrar pontos do plano.

Uma tarefa assinalada como concluída após a publicação de um procedimento continua, na realidade, em aberto até que o procedimento seja implementado, verificado através de uma amostra representativa e confirmado por registos. O mesmo se aplica aos controlos técnicos, à gestão de incidentes, aos planos de continuidade e à supervisão de fornecedores. A preparação para a auditoria exige evidências de todo o ciclo operacional: decisão, execução, verificação do resultado e resposta aos desvios identificados. Se a lacuna estiver relacionada com as condições de cooperação com uma entidade externa, pode ser útil consultar Auditoria a fornecedores antes da assinatura do contrato — como reduzir os riscos de qualidade e cumprimento de prazos.

O reporte à gestão não deve limitar-se à percentagem de execução do plano. A informação de gestão deve indicar:

• o número de lacunas por nível de criticidade, com responsável e prazo de encerramento;
• a percentagem de controlos confirmados por registos;
• os riscos em aberto aceites pelo nível de gestão competente;
• os bloqueios, como ausência de responsável, controlo não implementado, plano não testado, contrato não acordado ou lacuna sem evidência credível de encerramento.

A seleção da entidade que realizará a auditoria deve começar com antecedência suficiente, mas apenas depois de verificados os requisitos KSC em vigor relativos ao prestador e à documentação dos resultados. O preço não pode ser o único critério. Devem ser avaliados as autorizações exigidas, a independência, a competência setorial, a metodologia e a capacidade para examinar o ambiente técnico real. A contratação do prestador não substitui a auditoria de simulação nem a revisão pela gestão. Resolve apenas a componente organizacional da preparação para a avaliação formal.

A primeira auditoria KSC deve ser tratada como uma avaliação da capacidade da organização para gerir a segurança dos serviços, e não como uma verificação pontual de documentação. A entidade só estará preparada quando conseguir fundamentar o seu estatuto e âmbito, identificar os responsáveis pelo risco, demonstrar o funcionamento dos controlos e apresentar evidências credíveis da supervisão dos processos e fornecedores.