Ο έλεγχος ποινικού μητρώου προσωπικού στο πλαίσιο του KSC δεν αποτελεί γενικό έλεγχο ανθρώπινου δυναμικού ούτε τυπική ενέργεια πριν από έναν έλεγχο. Το πεδίο εφαρμογής του πρέπει να προκύπτει από συγκεκριμένη βάση, από το καθεστώς του οργανισμού και από τα πραγματικά καθήκοντα και δικαιώματα πρόσβασης κάθε προσώπου. Αν η διαδικασία αρχίσει με τη συλλογή πιστοποιητικών αντί με την αξιολόγηση των ρόλων, ενδέχεται να παραλειφθούν πρόσωπα που υπάγονται στην απαίτηση και, ταυτόχρονα, να υποβληθούν σε αδικαιολόγητη επεξεργασία δεδομένα σχετικά με ποινικές καταδίκες. Προηγείται, επομένως, ο προσδιορισμός των προσώπων που επιτρέπεται να ελεγχθούν και της αντίστοιχης βάσης· ακολουθεί ο διαχωρισμός της ευθύνης για τη συλλογή των πληροφοριών, την αξιολόγηση του αποτελέσματος και την απόφαση πρόσβασης· και, τέλος, η καταγραφή περιορίζεται στα στοιχεία που είναι αναγκαία για την τεκμηρίωση της συμμόρφωσης.
Πρώτα οριοθέτηση, μετά πιστοποιητικά
Η απόφαση για έλεγχο ποινικού μητρώου δεν πρέπει να ξεκινά με αίτημα υποβολής εγγράφων από το προσωπικό. Η διοίκηση οφείλει πρώτα να επιβεβαιώσει το καθεστώς του οργανισμού στο σύστημα KSC και να προσδιορίσει τη συγκεκριμένη διάταξη από την οποία απορρέει η υποχρέωση για ορισμένα πρόσωπα. Η γενική επίκληση της NIS2, η προετοιμασία για έλεγχο ή η ανάπτυξη συστήματος διαχείρισης ασφάλειας πληροφοριών δεν αρκούν για να δικαιολογήσουν τον έλεγχο όλων των εργαζομένων, συνεργατών και προμηθευτών.
Τα όρια της διαδικασίας πρέπει να καθορίζονται χωριστά για κάθε πηγή απαίτησης. Η οδηγία NIS2, ο πολωνικός νόμος περί KSC όπως ισχύει, οι εκτελεστικές διατάξεις, οι τομεακές ρυθμίσεις, οι συμβατικοί όροι και οι εσωτερικοί κανόνες χορήγησης πρόσβασης δεν αποτελούν ισοδύναμες πηγές. Για καθεμία πρέπει να προσδιορίζεται το οργανωτικό, προσωπικό και χρονικό πεδίο εφαρμογής: ποιον αφορά η απαίτηση, για ποιον λόγο, από πότε, αν προβλέπονται εξαιρέσεις και πότε απαιτείται νέα αξιολόγηση. Η σύνταξη διαδικασίας πριν ολοκληρωθεί αυτή η ανάλυση μπορεί να οδηγήσει τόσο σε παράλειψη προσώπων που υπάγονται στην υποχρέωση όσο και σε αδικαιολόγητη επεξεργασία δεδομένων σχετικά με ποινικές καταδίκες.
Το αποτέλεσμα της αξιολόγησης πρέπει να αποτυπώνεται σε σύντομο σημείωμα, εγκεκριμένο από τον υπεύθυνο συμμόρφωσης. Το έγγραφο πρέπει να αναφέρει το καθεστώς του φορέα, τη νομική βάση, την ημερομηνία και το νομοθετικό πλαίσιο που λήφθηκε υπόψη, τους ρόλους που καλύπτονται και τις αιτιολογημένες εξαιρέσεις. Η κατηγορία «προσωπικό πληροφορικής» είναι υπερβολικά γενική. Πρέπει να διευκρινιστεί αν η απαίτηση καλύπτει διαχειριστές με προνομιακά δικαιώματα, άτομα που χειρίζονται περιστατικά, προσωπικό προμηθευτών και αναπληρωτές που εκτελούν περιοδικά τα συγκεκριμένα καθήκοντα. Απαιτείται επίσης να οριστούν ο ιδιοκτήτης της νομικής ανάλυσης και η προθεσμία επανεξέτασής της, ιδίως μετά από μεταβολή της νομοθεσίας, του πεδίου δραστηριότητας ή του μοντέλου πρόσβασης.
Η οριοθέτηση του ελέγχου πρέπει να αποτελεί μέρος του έργου «Σύστημα διαχείρισης ασφάλειας πληροφοριών σύμφωνο με τον νόμο περί KSC – πώς καθορίζονται το πεδίο εφαρμογής, οι ιδιοκτήτες και το χρονοδιάγραμμα υλοποίησης». Το πεδίο του συστήματος, οι αρμοδιότητες των διεργασιών και οι προνομιακοί ρόλοι πρέπει να προκύπτουν από τον ίδιο οργανωτικό χάρτη. Μόνο τότε μπορεί να κριθεί υπεύθυνα αν η υποχρέωση αφορά τον οργανισμό βάσει του ισχύοντος πλαισίου, ποια διάταξη επιτρέπει τη συλλογή πληροφοριών ποινικού μητρώου και για ποιες κατηγορίες προσωπικού είναι επιτρεπτή.
Ποια πρόσωπα καλύπτει ο έλεγχος
Το προσωπικό πεδίο εφαρμογής δεν καθορίζεται από τον τίτλο της θέσης ούτε από τη μορφή απασχόλησης. Καθοριστική είναι η ουσία της σχετικής απαίτησης σε συνδυασμό με τα πραγματικά καθήκοντα, τα δικαιώματα και την επιρροή του προσώπου στην ασφάλεια της υπηρεσίας. Η αξιολόγηση πρέπει να λαμβάνει υπόψη τη λογική και φυσική πρόσβαση, τη δυνατότητα μεταβολής παραμέτρων, τη συμμετοχή στη διαχείριση περιστατικών, την επίδραση στην επιχειρησιακή συνέχεια, καθώς και τα προσωρινά ή έκτακτα δικαιώματα. Ρόλοι που δεν συνδέονται με την προστατευόμενη υπηρεσία, το σύστημα, την εγκατάσταση ή το πεδίο που ορίζει η διάταξη δεν πρέπει να εντάσσονται προληπτικά στον έλεγχο.
Βασικό εργαλείο λήψης αποφάσεων είναι ένας πίνακας ρόλων, τον οποίο διαχειρίζονται από κοινού ο ιδιοκτήτης της διεργασίας, ο υπεύθυνος ασφάλειας πληροφοριών και η μονάδα ανθρώπινου δυναμικού, με τη συμμετοχή του υπευθύνου συμμόρφωσης. Ο πίνακας πρέπει να συνδέεται με τη διαχείριση ταυτοτήτων και δικαιωμάτων πρόσβασης, καθώς και με τον διαχωρισμό καθηκόντων. Ένας απλός κατάλογος εργαζομένων δεν επαρκεί. Απαιτούνται επίσης μητρώα προνομιακών λογαριασμών, διαχειριστικής, φυσικής και έκτακτης πρόσβασης, καθώς και εξωτερικών προσώπων που έχουν πραγματική πρόσβαση στα συστήματα ή στις διεργασίες εντός πεδίου.
| Κατηγορία προσώπου | Χαρακτήρας πρόσβασης | Βάση υπαγωγής | Χρόνος ελέγχου | Ιδιοκτήτης απόφασης | Χειρισμός προμηθευτή |
|---|---|---|---|---|---|
| Εσωτερικό προσωπικό | Διαχειριστική, προνομιακή, φυσική ή έκτακτη πρόσβαση | Η εφαρμοστέα διάταξη σε συνάρτηση με τα καθήκοντα του ρόλου | Πριν από την παροχή πρόσβασης και κατά την αλλαγή ρόλου· εκ νέου, εφόσον το απαιτεί η σχετική βάση | Ο υπεύθυνος συμμόρφωσης μαζί με τον ιδιοκτήτη της διεργασίας | Δεν εφαρμόζεται |
| Μέλος διοικητικού οργάνου ή πρόσωπο που απασχολείται με άλλη σχέση | Επιρροή σε επίπεδο λήψης αποφάσεων ή λειτουργίας στο καλυπτόμενο πεδίο | Αποκλειστικά η εφαρμοστέα νομική βάση | Πριν από την ανάθεση της θέσης ή της πρόσβασης | Το αρμόδιο όργανο διορισμού ή η διοίκηση | Δεν εφαρμόζεται |
| Διαχειριστής προμηθευτή ή υπεργολάβου | Απομακρυσμένη ή επιτόπια διαχειριστική πρόσβαση, συμπεριλαμβανομένης της προσωρινής | Η εφαρμοστέα διάταξη ή κατάλληλα διατυπωμένη συμβατική απαίτηση | Πριν από τη χορήγηση πρόσβασης και μετά από μεταβολή του αντικειμένου των υπηρεσιών | Ο ιδιοκτήτης της υπηρεσίας ή της σύμβασης | Καθορισμός της υποχρέωσης, των αποδεικτικών στοιχείων υλοποίησης, των κανόνων άρνησης πρόσβασης και της εποπτείας υπεργολάβων |
Ένας τεχνικός διαχειριστής προμηθευτή μπορεί να διαθέτει ευρύτερα δικαιώματα από έναν εσωτερικό προϊστάμενο, παρότι δεν είναι εργαζόμενος του οργανισμού. Επομένως, αξιολόγηση που βασίζεται μόνο στο είδος της σύμβασης μπορεί να αποκλείσει πρόσωπο με ουσιώδη επιρροή στην ασφάλεια. Αυτό δεν σημαίνει, ωστόσο, ότι ο εξωτερικός διαχειριστής υπάγεται αυτομάτως στην ίδια διαδικασία με τον εργαζόμενο. Το εύρος των δεδομένων, ο τρόπος επιβεβαίωσης της απαίτησης και η ευθύνη αξιολόγησης πρέπει να προκύπτουν από επιτρεπτή νομική βάση ή από κατάλληλα διαμορφωμένη σύμβαση. Η προσωρινή και η έκτακτη πρόσβαση πρέπει να αξιολογούνται βάσει του δυνητικού εύρους ενεργειών και όχι της αναμενόμενης συχνότητας χρήσης.
Ο πίνακας πρέπει να περιλαμβάνει εργαζομένους, μέλη οργάνων, πρόσωπα που συνεργάζονται με άλλη σχέση, εξωτερικούς διαχειριστές και προσωπικό προμηθευτών ή υπεργολάβων, αλλά αποκλειστικά εντός των ορίων της εφαρμοστέας απαίτησης. Πρέπει να επανεξετάζεται μετά από αλλαγή στην αρχιτεκτονική δικαιωμάτων, στο αντικείμενο της υπηρεσίας, στον προμηθευτή ή στη νομοθεσία. Ο αριθμός των προνομιακών ρόλων και των εξωτερικών προσώπων με πραγματική πρόσβαση καθορίζει την κλίμακα της διεργασίας και αποτελεί δεδομένο εισόδου για τον προγραμματισμό των απαιτούμενων πόρων που περιγράφεται στο άρθρο «Πόσο κοστίζει η εφαρμογή της NIS2 και του uKSC – πώς καταρτίζεται προϋπολογισμός για ελέγχους, τεκμηρίωση, εκπαίδευση και μέτρα προστασίας χωρίς δαπανηρά λάθη».
Πού δημιουργούνται κόστος και κίνδυνος
Ο σημαντικότερος κίνδυνος δεν προκύπτει από την τεχνική απόκτηση των πληροφοριών ποινικού μητρώου, αλλά από την έναρξη του ελέγχου χωρίς σαφή βάση, καθορισμένο σκοπό και περιορισμένο πεδίο. Τα δεδομένα που αφορούν ποινικές καταδίκες και αδικήματα υπόκεινται σε ειδικό καθεστώς επεξεργασίας. Η απλή συγκατάθεση του προσώπου ή μια γενική αναφορά στην πολιτική ανθρώπινου δυναμικού δεν πρέπει να θεωρείται αυτόματη αιτιολόγηση για τη συλλογή τους. Πριν επιλεγεί η μορφή του ελέγχου, πρέπει να καθοριστούν οι πληροφορίες που απαιτεί πράγματι η εφαρμοστέα διάταξη, τα πρόσωπα που καλύπτει και ο υπεύθυνος αξιολόγησης του αποτελέσματος.
Το κόστος αυξάνεται όταν ο οργανισμός ζητά πλήρη έγγραφα από όλο το προσωπικό, διατηρεί αντίγραφα χωρίς καθορισμένη περίοδο φύλαξης, τα αποστέλλει με απλό ηλεκτρονικό ταχυδρομείο ή τα διαθέτει στο ανθρώπινο δυναμικό, στους προϊσταμένους, στη λειτουργία ασφάλειας και στους ελεγκτές χωρίς διαχωρισμό δικαιωμάτων. Κάθε πρόσθετο αντίγραφο αυξάνει τις απαιτήσεις προστασίας δεδομένων, ελέγχου πρόσβασης, διαχείρισης αιτημάτων και ασφαλούς διαγραφής. Η διοίκηση πρέπει, συνεπώς, να παρακολουθεί όχι μόνο τον αριθμό των ελέγχων, αλλά και τον αριθμό των προσώπων που έχουν πρόσβαση στα έγγραφα και τις πραγματικές περιόδους διατήρησής τους.
Δεύτερη πηγή κινδύνου είναι η απουσία κριτηρίων αξιολόγησης του αποτελέσματος. Πληροφορία που προκύπτει από τον έλεγχο δεν πρέπει να οδηγεί σε αυτοσχέδια απόφαση του προϊσταμένου ούτε σε κρίση αποκομμένη από την απαίτηση που ισχύει για τον συγκεκριμένο ρόλο. Το ανθρώπινο δυναμικό μπορεί να συλλέξει ορθά το έγγραφο, αλλά η διεργασία παραμένει ελαττωματική αν δεν έχει καθοριστεί ποιος αξιολογεί τη σημασία του, σε ποια βάση λαμβάνει την απόφαση πρόσβασης και αν είναι αναγκαία η διατήρηση αντιγράφου. Η διαδικασία πρέπει να καθορίζει τον μηχανισμό κλιμάκωσης και το σχέδιο αντίδρασης στο πλάνο ελέγχου – πώς περιγράφονται οι ενέργειες όταν η διεργασία αποκλίνει από τα καθορισμένα όρια.
Η απόδειξη ότι ο έλεγχος πραγματοποιήθηκε πρέπει να διαχωρίζεται από τη διατήρηση του περιεχομένου του εγγράφου. Ανάλογα με την εφαρμοστέα βάση και την υποχρέωση τεκμηρίωσης, μπορεί να επαρκεί η καταγραφή της ημερομηνίας ελέγχου, του πεδίου επαλήθευσης, του εξουσιοδοτημένου αξιολογητή, του αποτελέσματος της αξιολόγησης και της απόφασης πρόσβασης, χωρίς αποθήκευση ολόκληρου του πιστοποιητικού. Αν απαιτείται αντίγραφο, πρέπει να καθορίζονται οι αποδέκτες, τα μέτρα προστασίας και η προθεσμία διαγραφής του. Έτσι συνδυάζονται η ελαχιστοποίηση των δεδομένων και η δυνατότητα απόδειξης της συμμόρφωσης, χωρίς η νομική ανάλυση να υποκαθίσταται από συλλογή εγγράφων «για κάθε ενδεχόμενο».
Η διεργασία από την αξιολόγηση έως την έγκριση πρόσβασης
Η διεργασία πρέπει να ξεκινά πριν από τη συλλογή πληροφοριών ποινικού μητρώου. Αρχικά, ο ιδιοκτήτης της διεργασίας αξιολογεί τον ρόλο, προσδιορίζει την ισχύουσα νομική βάση και καθορίζει το απαιτούμενο εύρος ελέγχου. Στη συνέχεια, ο οργανισμός ενημερώνει το πρόσωπο για τον σκοπό, τη διαδικασία και τους κανόνες επεξεργασίας δεδομένων, επιλέγει επιτρεπτή πηγή πληροφοριών και επαληθεύει την ταυτότητά του. Τα επόμενα σημεία ελέγχου περιλαμβάνουν την αξιολόγηση του αποτελέσματος, την απόφαση έγκρισης, τη χορήγηση δικαιωμάτων και τη δημιουργία του αρχείου ελέγχου.
Για κάθε ενέργεια πρέπει να ορίζονται ο υπεύθυνος, τα απαιτούμενα δεδομένα εισόδου, η προθεσμία και ο τρόπος χειρισμού σε περίπτωση απουσίας εγγράφου, υπέρβασης προθεσμίας ή αποτελέσματος που απαιτεί διευκρίνιση. Ο τυπικός έλεγχος δεν ταυτίζεται με την επιχειρησιακή απόφαση. Το ανθρώπινο δυναμικό μπορεί να ενημερώσει τον εργαζόμενο, να παραλάβει το έγγραφο και να επιβεβαιώσει την πληρότητα των δεδομένων, αλλά δεν πρέπει να αποφασίζει μόνο του για την πρόσβαση σε σύστημα ή υποδομή.
Η τελική απόφαση πρέπει να ανήκει σε καθορισμένο επιχειρησιακό ρόλο, συνήθως στον ιδιοκτήτη του συστήματος ή στον υπεύθυνο του σχετικού λειτουργικού τομέα, με συμμετοχή της λειτουργίας ασφάλειας. Αν το αποτέλεσμα είναι ασαφές ή υπάρχουν αμφιβολίες για το επιτρεπτό εύρος επεξεργασίας, η υπόθεση πρέπει να παραπέμπεται στη νομική λειτουργία ή στη λειτουργία προστασίας δεδομένων. Αυτός ο διαχωρισμός αρμοδιοτήτων αποτρέπει τόσο την αυτόματη χορήγηση πρόσβασης μετά την επίδειξη του εγγράφου όσο και την αυθαίρετη ερμηνεία από τον προϊστάμενο.
Τα κριτήρια απόφασης πρέπει να εγκρίνονται πριν εμφανιστεί η πρώτη προβληματική περίπτωση. Η διαδικασία πρέπει να ορίζει ποιος αξιολογεί τις αμφισημίες, ποιες πληροφορίες επιτρέπεται να ληφθούν υπόψη, αν μπορεί να περιοριστεί το εύρος πρόσβασης και πώς τεκμηριώνεται η αιτιολόγηση χωρίς κοινοποίηση του περιεχομένου σε ευρύτερο κύκλο αποδεκτών. Ένα νεοπροσληφθέν πρόσωπο μπορεί, για παράδειγμα, να ολοκληρώσει την εκπαίδευση και τις οργανωτικές ενέργειες, αλλά μέχρι να ληφθεί απόφαση δεν πρέπει να αποκτήσει προνομιακό λογαριασμό ή πρόσβαση στο προστατευόμενο περιβάλλον. Η προσωρινή πρόσβαση, εφόσον επιτρέπεται, απαιτεί χωριστή έγκριση, περιορισμένο πεδίο, ημερομηνία λήξης και εποπτεία. Δεν μπορεί να χρησιμοποιείται για παράκαμψη του ελέγχου.
Για αρνητικό αποτέλεσμα απαιτείται προκαθορισμένο σχέδιο αντίδρασης: αναστολή δικαιωμάτων, κλιμάκωση στους καθορισμένους υπευθύνους λήψης αποφάσεων, ορισμός αντικαταστάτη, αξιολόγηση επιπτώσεων στην επιχειρησιακή συνέχεια και ελεγχόμενο κλείσιμο της υπόθεσης. Η λογική πρέπει να είναι ίδια με εκείνη ενός σχεδίου αντίδρασης: συγκεκριμένο γεγονός ενεργοποιεί καθορισμένη ενέργεια, ευθύνη και καταγραφή. Κατά την πρόσληψη και την αλλαγή ρόλου, χρήσιμο σημείο αναφοράς είναι το άρθρο Πώς οργανώνεται η διαδικασία ένταξης νέου μηχανικού ποιότητας ή υπευθύνου ISO, ιδίως ως προς τα σημεία λήψης απόφασης και την επιβεβαίωση αρμοδιοτήτων.
Το αρχείο ελέγχου πρέπει να επιτρέπει την ανασύσταση της αξιολόγησης του ρόλου, της βάσης και του εύρους ελέγχου, της ημερομηνίας επιβεβαίωσης ταυτότητας, της πηγής πληροφοριών, του αξιολογητή, της απόφασης, της ημερομηνίας χορήγησης δικαιωμάτων και τυχόν κλιμάκωσης. Πρέπει επίσης να ορίζονται τα γεγονότα που ενεργοποιούν νέα αξιολόγηση, ιδίως η αλλαγή ρόλου ή εύρους πρόσβασης, καθώς και η διαδικασία ανάκλησης δικαιωμάτων κατά την αποχώρηση εργαζομένου. Η αποτελεσματικότητα της διεργασίας αποτυπώνεται κυρίως στον χρόνο από την αξιολόγηση έως την απόφαση, στον αριθμό προσβάσεων που χορηγήθηκαν πριν ολοκληρωθεί ο απαιτούμενος έλεγχος και στον αριθμό κλιμακώσεων λόγω απουσίας εγγράφου ή ασαφούς αποτελέσματος.
Τεκμηρίωση και επανέλεγχος
Η τεκμηρίωση της διεργασίας πρέπει να επιτρέπει την ανασύσταση των προϋποθέσεων και των συνεπειών μιας απόφασης, όχι να δημιουργεί αρχείο πληροφοριών ποινικού μητρώου. Η καταγραφή πρέπει να εξηγεί γιατί ο συγκεκριμένος ρόλος υπαγόταν σε έλεγχο, πότε πραγματοποιήθηκε, ποιος αποφάσισε και ποιο ήταν το επιχειρησιακό αποτέλεσμα: χορήγηση, περιορισμός ή άρνηση πρόσβασης. Αυτό δεν συνεπάγεται αυτομάτως την ανάγκη διατήρησης αντιγράφου του πρωτογενούς εγγράφου. Η απόφαση διατήρησης αντιγράφου πρέπει να διαχωρίζεται από τη διατήρηση μεταδεδομένων και να βασίζεται στην ισχύουσα νομική βάση, στον σκοπό της επεξεργασίας και στην αρχή του περιορισμού της περιόδου αποθήκευσης.
Ένα συνεκτικό σύνολο αρχείων πρέπει να περιλαμβάνει:
- τον πίνακα ρόλων μαζί με την αιτιολόγηση του πεδίου εφαρμογής·
- το μητρώο των ελέγχων που πραγματοποιήθηκαν·
- τις εξουσιοδοτήσεις επεξεργασίας και τους κανόνες πρόσβασης·
- τις εγκεκριμένες περιόδους διατήρησης·
- το πρωτόκολλο κλιμάκωσης·
- τις αποδείξεις εκπλήρωσης των υποχρεώσεων από τους προμηθευτές.
Τα στοιχεία αυτά χρειάζονται κοινό ιδιοκτήτη, έλεγχο εκδόσεων και σύνδεση με τη διαχείριση τεκμηρίωσης του συστήματος διαχείρισης ασφάλειας πληροφοριών. Η διασπορά τους μεταξύ ανθρώπινου δυναμικού, ασφάλειας και προμηθειών δυσχεραίνει την απόδειξη της πληρότητας της διεργασίας. Στο αποθετήριο πρέπει να τηρούνται πρότυπα, αποφάσεις που αφορούν το σύστημα και ιστορικό μεταβολών των κανόνων, ενώ τα ατομικά δεδομένα πρέπει να είναι διαθέσιμα μόνο σε εξουσιοδοτημένα πρόσωπα. Χρήσιμο οργανωτικό σημείο αναφοράς είναι το άρθρο Πώς δημιουργείται εσωτερικό αποθετήριο γνώσης για την ποιότητα χωρίς να χάνεται η εμπειρία της ομάδας.
Το αρχείο μπορεί να περιλαμβάνει την ημερομηνία αξιολόγησης του ρόλου, του ελέγχου και της απόφασης, αναφορά στην εφαρμοσθείσα βάση, καθώς και την ημερομηνία χορήγησης πρόσβασης και της προγραμματισμένης επανεξέτασης. Αν επαρκεί η επιβεβαίωση εκτέλεσης του ελέγχου και του επιχειρησιακού αποτελέσματός του, το αντίγραφο του πιστοποιητικού δεν πρέπει να διατηρείται «για κάθε ενδεχόμενο». Ο μηχανισμός διαγραφής πρέπει να καλύπτει επίσης συνημμένα ηλεκτρονικού ταχυδρομείου, προσωρινούς φακέλους εργασίας και πόρους προμηθευτών. Η αποτελεσματικότητα της εποπτείας μπορεί να αξιολογείται μέσω του ποσοστού ρόλων για τους οποίους υπάρχει επικαιροποιημένη αιτιολόγηση υπαγωγής στη διεργασία και του αριθμού αρχείων που διατηρούνται μετά τη λήξη της εγκεκριμένης περιόδου.
Οι προθεσμίες επανελέγχου δεν πρέπει να καθορίζονται βάσει αυθαίρετου ημερολογίου. Η συχνότητα μπορεί να προκύπτει από την ισχύουσα διάταξη, τη φύση του ρόλου, τους όρους της σύμβασης ή τεκμηριωμένη αξιολόγηση κινδύνου. Ανεξάρτητα από την περιοδική επανεξέταση, η διαδικασία πρέπει να προσδιορίζει τα γεγονότα που ενεργοποιούν αξιολόγηση, ιδίως την αλλαγή θέσης, την επέκταση δικαιωμάτων, την επιστροφή σε ρόλο μετά από διακοπή ή ουσιώδη μεταβολή νομικών ή συμβατικών απαιτήσεων. Η επικαιρότητα των πληροφοριών δεν προϋποθέτει κατ’ ανάγκη την περιοδική συλλογή ολόκληρου του εγγράφου. Η διεργασία πρέπει να προβλέπει νόμιμο και αναλογικό τρόπο επιβεβαίωσης της κατάστασης, κάθε φορά σύμφωνο με την ισχύουσα νομική βάση και το εύρος δεδομένων που επιτρέπεται να επεξεργάζεται ο οργανισμός.
Δοκιμή ετοιμότητας πριν από τον έλεγχο
Η αξιολόγηση ετοιμότητας δεν πρέπει να ξεκινά με την επιβεβαίωση ότι υπάρχει διαδικασία, αλλά με την ανασύσταση πραγματικών περιπτώσεων. Το δείγμα πρέπει να περιλαμβάνει τουλάχιστον έναν εργαζόμενο σε ρόλο που απαιτεί έλεγχο, ένα πρόσωπο μετά από αλλαγή ρόλου, έναν εξωτερικό διαχειριστή και μία περίπτωση έκτακτης πρόσβασης. Για κάθε περίπτωση, ο ελεγκτής πρέπει να παρακολουθήσει ολόκληρη την ακολουθία: από την ισχύουσα νομική βάση και την αξιολόγηση του ρόλου, μέσω της συλλογής πληροφοριών και της απόφασης έγκρισης, έως τα πραγματικά ενεργά δικαιώματα.
Η ελάχιστη δοκιμή περιλαμβάνει σύγκριση του καταλόγου ρόλων με το μητρώο προσβάσεων, έλεγχο της πληρότητας των αποφάσεων, της έγκαιρης διενέργειας των ελέγχων, του περιορισμού πρόσβασης στα αρχεία και της ορθής διατήρησής τους. Πρέπει επίσης να προσομοιωθεί απουσία εγγράφου, ασαφές αποτέλεσμα ή καθυστέρηση του ελέγχου. Ο οργανισμός πρέπει να αποδεικνύει ότι μπορεί να αναστείλει την πρόσβαση, να ενεργοποιήσει την κλιμάκωση και να υποδείξει το πρόσωπο που έχει την αρμοδιότητα λήψης απόφασης. Η συχνότητα του εσωτερικού ελέγχου του συστήματος διαχείρισης ασφάλειας πληροφοριών και το όριο κλιμάκωσης πρέπει να ανταποκρίνονται στον κίνδυνο και στις απαιτήσεις της ισχύουσας βάσης και όχι μόνο στο ημερολόγιο ελέγχων.
Οι συνήθεις συστημικές μη συμμορφώσεις εμφανίζονται στα σημεία διασύνδεσης των διεργασιών. Περιλαμβάνουν την απουσία τεκμηριωμένης βάσης, την απόκλιση μεταξύ του καταλόγου θέσεων και των πραγματικών δικαιωμάτων, την παράλειψη υπεργολάβων, τη χορήγηση πρόσβασης πριν από την ολοκλήρωση του ελέγχου, τον μη καθορισμένο χρόνο διατήρησης ή την απουσία τεκμηριωμένης διαδικασίας κλιμάκωσης. Ένα ορθό αρχείο ανθρώπινου δυναμικού δεν επαρκεί αν ένας εξωτερικός διαχειριστής διατηρεί ενεργό λογαριασμό μετά από αλλαγή του συμβατικού αντικειμένου ή έχει αποκτήσει διευρυμένα δικαιώματα χωρίς νέα αξιολόγηση.
Η διοίκηση πρέπει να λαμβάνει συγκεντρωτικές πληροφορίες και όχι το περιεχόμενο δεδομένων που αφορούν ποινικές καταδίκες. Χρήσιμοι δείκτες είναι: το ποσοστό ενεργών προσβάσεων που απαιτούν έλεγχο και διαθέτουν ισχύουσα απόφαση, ο αριθμός προσβάσεων που χορηγήθηκαν πριν από την ολοκλήρωση της επαλήθευσης, η έγκαιρη διενέργεια των επανεξετάσεων και ο αριθμός μη συμμορφώσεων ανά συστημική αιτία. Οι δείκτες πρέπει να υποστηρίζουν αποφάσεις σχετικά με πόρους, διορθώσεις και κλιμάκωση, σύμφωνα με την προσέγγιση του άρθρου Πώς σχεδιάζονται KPI διεργασιών για τη διοίκηση, ώστε το σύστημα ποιότητας να μην περιορίζεται σε πίνακες.
Ετοιμότητα για έλεγχο σημαίνει δυνατότητα απόδειξης όχι μόνο της ύπαρξης μιας διαδικασίας, αλλά και της αναλογικότητας του πεδίου της, της συνέπειας των αποφάσεων και της αποτελεσματικής λειτουργίας της. Τα αποτελέσματα της δοκιμής πρέπει να εντάσσονται στον εσωτερικό έλεγχο του συστήματος διαχείρισης ασφάλειας πληροφοριών και στην ανασκόπηση από τη διοίκηση, με καθορισμένο υπεύθυνο ενέργειας, προθεσμία άρσης του κενού και αξιολόγηση της επίπτωσης στις ενεργές προσβάσεις.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
