Kontroll av personals belastningsregister inom KSC – avgränsning och en rättssäker process

Kontroll av personals belastningsregister inom KSC är varken en generell HR-kontroll eller en formalitet inför revision. Omfattningen måste grundas på ett konkret krav, organisationens status och personens faktiska arbetsuppgifter och behörigheter. Om processen börjar med att intyg samlas in i stället för att roller kvalificeras finns risk både att personer som omfattas förbises och att uppgifter om lagöverträdelser behandlas utan stöd. Fastställ därför först vem som får kontrolleras och på vilken grund. Separera därefter ansvaret för inhämtning, bedömning och åtkomstbeslut, och begränsa dokumentationen till vad som krävs för att kunna visa efterlevnad.

Börja med omfattningen – inte med intyget

Ett beslut om kontroll av belastningsregister ska inte börja med att personalen ombeds lämna in handlingar. Ledningen behöver först bekräfta organisationens status inom KSC-systemet och identifiera den konkreta bestämmelse som medför ett krav för vissa personer. En allmän hänvisning till NIS2, revisionsförberedelser eller införandet av ett ledningssystem för informationssäkerhet motiverar inte att samtliga anställda, uppdragstagare och leverantörer kontrolleras.

Processens gränser måste fastställas separat för varje kravkälla. NIS2-direktivet, den polska KSC-lagen i dess aktuella lydelse, genomförandebestämmelser, sektorsregler, avtalsvillkor och interna regler för tilldelning av åtkomst är inte likvärdiga rättskällor eller kravkällor. För varje källa behöver organisationen fastställa den organisatoriska, personella och tidsmässiga omfattningen: vilka som berörs, varför kravet gäller, från vilken tidpunkt, vilka undantag som finns och när en ny bedömning krävs. Om rutinen utformas innan denna analys är slutförd kan organisationen både missa personer som omfattas och behandla uppgifter om lagöverträdelser utan tillräckligt stöd.

Kvalificeringen bör resultera i en kortfattad promemoria som godkänns av processägaren för regelefterlevnad. Dokumentet bör ange verksamhetens status, rättslig grund, datum och rättsläge som analysen bygger på, berörda roller samt motiverade undantag. Kategorin ”IT-personal” är för bred. Organisationen behöver avgöra om kravet omfattar administratörer med privilegierade behörigheter, incidenthanterare, leverantörspersonal och ersättare som periodvis utför dessa uppgifter. Det ska också finnas en utsedd ägare för den rättsliga analysen och ett datum för omprövning, särskilt efter ändrad lagstiftning, verksamhetsomfattning eller åtkomstmodell.

Avgränsningen av kontrollen bör ingå i initiativet ”Ledningssystem för informationssäkerhet enligt KSC-lagen – så fastställs omfattning, ägarskap och införandeplan”. Systemets omfattning, processansvar och privilegierade roller måste bygga på samma organisations- och processkarta. Först då går det att göra en underbyggd bedömning av om organisationen omfattas enligt gällande rätt, vilken bestämmelse som tillåter inhämtning av belastningsregisteruppgifter och för vilka personalkategorier detta är tillåtet.

Vilka personer ska omfattas av kontrollen?

Den personella omfattningen avgörs varken av befattningstiteln eller anställningsformen. Avgörande är hur det tillämpliga kravet förhåller sig till personens faktiska arbetsuppgifter, behörigheter och påverkan på tjänstens säkerhet. Bedömningen bör omfatta logisk och fysisk åtkomst, möjlighet att ändra konfigurationer, medverkan i incidenthantering, påverkan på verksamhetskontinuitet samt tillfälliga och akuta behörigheter. Roller som saknar koppling till den skyddade tjänsten, systemet, anläggningen eller det område som anges i bestämmelsen ska inte tas med som en försiktighetsåtgärd.

Det centrala beslutsunderlaget är en rollmatris som förvaltas gemensamt av processägaren, informationssäkerhetsansvarig och HR, med medverkan av ansvarig för regelefterlevnad. Matrisen bör vara integrerad med identitets- och behörighetsstyrningen samt principen om åtskillnad av arbetsuppgifter. En personalförteckning är inte tillräcklig. Det behövs också register över privilegierade konton, administrativa, fysiska och akuta åtkomster samt externa personer med faktisk åtkomst till system eller processer inom tillämpningsområdet.

En teknisk administratör hos en leverantör kan ha mer omfattande behörigheter än en intern chef trots att personen inte är anställd av organisationen. En kvalificering som enbart utgår från avtalsformen kan därför utesluta någon med väsentlig påverkan på säkerheten. Det innebär dock inte att en extern administratör automatiskt ska omfattas av samma förfarande som en anställd. Vilka uppgifter som får behandlas, hur kravuppfyllelsen ska styrkas och vem som ansvarar för bedömningen måste följa av en tillåten rättslig grund eller ett korrekt utformat avtal. Tillfällig och akut åtkomst ska bedömas utifrån vilka åtgärder personen kan utföra, inte hur ofta åtkomsten förväntas användas.

Rollmatrisen bör omfatta anställda, ledamöter i organ, personer som anlitas på andra grunder, externa administratörer samt personal hos leverantörer och underleverantörer – men endast inom gränserna för det tillämpliga kravet. Matrisen ska ses över när behörighetsarkitekturen, tjänstens omfattning, leverantören eller regelverket förändras. Antalet privilegierade roller och externa personer med faktisk åtkomst avgör processens skala och utgör underlag för resursplaneringen som beskrivs i materialet ”Vad kostar införandet av NIS2 och uKSC – så budgeterar du revision, dokumentation, utbildning och skyddsåtgärder utan kostsamma misstag”.

Var uppstår kostnaderna och riskerna?

Den största risken ligger inte i den tekniska inhämtningen av belastningsregisteruppgifter, utan i att kontrollen påbörjas utan entydig grund, definierat ändamål och avgränsad omfattning. Uppgifter om fällande domar och lagöverträdelser omfattas av särskilda regler för personuppgiftsbehandling. Ett vanligt samtycke från personen eller en allmän formulering i HR-policyn bör inte betraktas som ett automatiskt stöd för att inhämta sådana uppgifter. Innan kontrollformen väljs måste organisationen fastställa vilka uppgifter den tillämpliga bestämmelsen faktiskt kräver, vilka personer som omfattas och vem som ansvarar för att bedöma resultatet.

Kostnaderna ökar när organisationen begär fullständiga handlingar från all personal, sparar kopior utan fastställd lagringstid, skickar dem via vanlig e-post eller ger HR, chefer, säkerhetsfunktioner och revisorer åtkomst utan tydlig behörighetsseparering. Varje extra kopia medför mer arbete för informationsskydd, åtkomststyrning, hantering av begäranden och säker radering. Ledningen bör därför inte bara följa antalet genomförda kontroller, utan även hur många personer som kan se handlingarna och hur länge de faktiskt sparas.

En annan risk uppstår när bedömningskriterier saknas. Information som framkommer vid kontrollen får inte leda till ett improviserat chefsbeslut eller en bedömning utan koppling till kravet för den aktuella rollen. HR kan inhämta handlingen korrekt, men processen är ändå bristfällig om det inte är bestämt vem som ska bedöma informationens betydelse, på vilken grund beslutet om åtkomst ska fattas och om en kopia behöver sparas. Rutinen bör ange eskaleringsvägen och innehålla en åtgärdsplan i kontrollplanen – så beskrivs insatser när processen går utanför fastställda gränser.

Bevis på att kontrollen har genomförts ska hållas åtskilt från lagringen av handlingens innehåll. Beroende på tillämplig grund och dokumentationskrav kan det vara tillräckligt att registrera kontrolldatum, kontrollens omfattning, vem som var behörig att bedöma resultatet, kvalificeringsutfallet och beslutet om åtkomst – utan att bevara intygets fullständiga innehåll. Om en kopia krävs ska mottagare, skyddsåtgärder och tidpunkt för radering fastställas. En sådan dokumentation förenar uppgiftsminimering med kravet att kunna visa efterlevnad, i stället för att ersätta den rättsliga analysen med dokumentinsamling ”för säkerhets skull”.

Processen från rollkvalificering till beviljad åtkomst

Processen ska börja innan belastningsregisteruppgifter hämtas in. Processägaren kvalificerar först rollen, anger aktuell rättslig grund och definierar kontrollens nödvändiga omfattning. Därefter informerar organisationen personen om ändamålet, förfarandet och reglerna för personuppgiftsbehandling, väljer en tillåten informationskälla och verifierar personens identitet. Följande beslutspunkter omfattar bedömning av resultatet, beslut om tillträde, tilldelning av behörigheter och upprättande av kontrollbevis.

För varje aktivitet ska ansvarig funktion, nödvändiga indata, tidsfrist och hantering vid utebliven handling, försenad kontroll eller ett resultat som kräver utredning vara fastställda. En formell kontroll är inte samma sak som ett operativt åtkomstbeslut. HR kan informera den berörda personen, ta emot handlingen och kontrollera att uppgifterna är fullständiga, men bör inte ensamt besluta om åtkomst till system eller infrastruktur.

Det slutliga beslutet bör fattas av en utsedd verksamhetsroll, vanligen systemägaren eller den som ansvarar för det aktuella operativa området, med medverkan av säkerhetsfunktionen. Om resultatet är oklart eller om det finns tveksamhet kring vilken personuppgiftsbehandling som är tillåten ska ärendet eskaleras till juridisk funktion eller dataskyddsfunktion. Denna ansvarsfördelning motverkar både automatisk åtkomst efter uppvisad handling och godtyckliga bedömningar från närmaste chef.

Beslutskriterierna behöver vara godkända innan det första avvikande fallet inträffar. Rutinen ska ange vem som bedömer otydligheter, vilken information som får beaktas, om begränsad åtkomst kan användas och hur motiveringen dokumenteras utan att innehållet sprids till en större mottagarkrets. En nyanställd person kan exempelvis genomföra utbildningar och administrativa introduktionsmoment, men ska inte få ett privilegierat konto eller tillträde till en skyddad miljö innan beslutet är fattat. Tillfällig åtkomst, om den över huvud taget tillåts, kräver ett separat godkännande, begränsad omfattning, ett slutdatum och övervakning. Den får inte användas för att kringgå kontrollen.

Ett negativt utfall kräver en i förväg fastställd åtgärdsplan: blockering av behörigheter, eskalering till utsedda beslutsfattare, tillsättning av ersättare, konsekvensbedömning för verksamhetskontinuiteten och kontrollerad avslutning av ärendet. Logiken ska vara densamma som i en åtgärdsplan: en definierad händelse aktiverar en tilldelad åtgärd, ett tydligt ansvar och ett dokumentationskrav. Vid nyanställning och rollbyte kan materialet Så utformar du introduktionsprocessen för en ny kvalitetsingenjör eller ISO-samordnare vara en användbar referens, särskilt för beslutspunkter och bekräftelse av ansvar.

Kontrollbeviset ska göra det möjligt att i efterhand återskapa rollkvalificeringen, grunden och kontrollens omfattning, datum för identitetsverifiering, informationskällan, bedömaren, beslutet, datum för tilldelning av behörigheter samt eventuell eskalering. Organisationen behöver också definiera vilka händelser som utlöser en ny bedömning, särskilt ändrad roll eller åtkomstomfattning, samt hur behörigheter återkallas när en person lämnar organisationen. Processens effektivitet visas framför allt genom tiden från kvalificering till beslut, antalet åtkomster som beviljats innan obligatorisk kontroll slutförts och antalet eskaleringar på grund av saknad handling eller oklart resultat.

Dokumentation och förnyad kontroll

Processdokumentationen ska göra det möjligt att förstå grunden för beslutet och dess konsekvenser – inte skapa ett arkiv med belastningsregisteruppgifter. Dokumentationen bör förklara varför rollen omfattades, när kontrollen genomfördes, vem som avgjorde ärendet och vilket operativt resultat beslutet fick: beviljad, begränsad eller nekad åtkomst. Detta innebär inte automatiskt att en kopia av källdokumentet måste sparas. Beslutet att bevara en kopia ska skiljas från lagringen av metadata och bygga på aktuell rättslig grund, ändamålet med behandlingen och principen om lagringsminimering.

En sammanhållen dokumentation bör bestå av:

• rollmatris med motivering av omfattningen;
• register över genomförda kontroller;
• behörigheter för personuppgiftsbehandling och regler för åtkomst;
• godkända lagringstider;
• eskaleringsprotokoll;
• bevis på leverantörernas fullgörande av sina skyldigheter.

Dessa delar behöver en gemensam dokumentägare, versionsstyrning och koppling till dokumentstyrningen i ledningssystemet för informationssäkerhet. Om materialet är utspritt mellan HR, säkerhet och inköp blir det svårt att visa att processen är fullständig. Mallar, systembeslut och ändringshistorik för reglerna bör förvaltas i dokumentarkivet, medan individuppgifter endast ska vara tillgängliga för behöriga personer. Som organisatorisk referens kan materialet Så bygger du ett internt kunskapsarkiv för kvalitetsarbete utan att förlora teamets erfarenheter användas.

En post kan innehålla datum för rollkvalificering, kontroll och beslut, beteckning på tillämpad grund samt datum för beviljad åtkomst och planerad översyn. Om ett bevis på genomförd kontroll och dess operativa utfall är tillräckligt ska en kopia av intyget inte sparas ”för säkerhets skull”. Raderingsmekanismen måste även omfatta e-postbilagor, arbetsmappar och leverantörernas lagringsytor. Styrningens effektivitet kan följas genom andelen roller med en aktuell motivering för att omfattas och antalet poster som finns kvar efter godkänd lagringstid.

Tidpunkten för en ny kontroll ska inte fastställas enligt en godtycklig kalender. Frekvensen kan följa av tillämplig bestämmelse, rollens karaktär, avtalsvillkor eller en dokumenterad riskbedömning. Oavsett periodisk översyn bör rutinen ange utlösande händelser, särskilt befattningsbyte, utökade behörigheter, återgång till rollen efter ett avbrott eller väsentligt ändrade rättsliga eller avtalsmässiga krav. Aktuell information behöver inte innebära att ett fullständigt dokument hämtas in återkommande. Processen bör ange ett lagligt och proportionerligt sätt att bekräfta status, varje gång anpassat till den aktuella rättsliga grunden och de uppgifter som organisationen får behandla.

Beredskapstest inför revision

En bedömning av revisionsberedskapen bör inte börja med frågan om det finns en rutin, utan med att faktiska ärenden återskapas. Urvalet bör minst omfatta en anställd i en roll som kräver kontroll, en person som har bytt roll, en extern administratör och ett fall med akut åtkomst. För varje fall ska revisorn kunna följa hela kedjan: från aktuell rättslig grund och rollkvalificering, via inhämtning och åtkomstbeslut, till de behörigheter som faktiskt är aktiva.

Minimikontrollen omfattar jämförelse mellan rollförteckningen och åtkomstregistren, granskning av beslutens fullständighet, kontrollernas punktlighet, begränsningen av åtkomst till dokumentationen samt korrekta lagringstider. Organisationen bör även simulera en saknad handling, ett oklart resultat eller en försenad kontroll. Den ska kunna visa att åtkomst kan stoppas, att eskalering fungerar och att det finns en utsedd, behörig beslutsfattare. Frekvensen för internrevision av ledningssystemet för informationssäkerhet och tröskeln för eskalering bör motsvara risken och kraven i den aktuella grunden, inte enbart revisionskalendern.

Typiska systemavvikelser uppstår i gränssnitten mellan processerna. Exempel är avsaknad av dokumenterad grund, skillnader mellan befattningsförteckningen och faktiska behörigheter, förbisedda underleverantörer, åtkomst som beviljats innan kontrollen avslutats, en odefinierad lagringstid eller en eskaleringsväg som inte har dokumenterats. En korrekt HR-post är inte tillräcklig om en extern administratör behåller ett aktivt konto efter ändrad avtalsomfattning eller får utökade behörigheter utan ny kvalificering.

Ledningen bör få aggregerad information, inte innehållet i uppgifter om lagöverträdelser. Relevanta nyckeltal är andelen aktiva åtkomster som kräver kontroll och har ett aktuellt beslut, antalet åtkomster som beviljats före slutförd kontroll, andelen översyner som genomförts i tid samt antalet avvikelser per bakomliggande systemorsak. Nyckeltalen ska stödja beslut om resurser, korrigeringar och eskalering i enlighet med angreppssättet i materialet Så utformar du processbaserade KPI:er för ledningen utan att kvalitetsledningen stannar vid tabeller.

Revisionsberedskap innebär att organisationen kan visa mer än att en rutin finns. Den behöver även kunna belägga att omfattningen är proportionerlig, besluten konsekventa och processen verksam i praktiken. Testresultaten bör behandlas i internrevisionen av ledningssystemet för informationssäkerhet och i ledningens genomgång, med angiven åtgärdsägare, tidsfrist för att stänga bristen och bedömning av påverkan på aktiva behörigheter.