Kötelező KSC-audit: mely alapvető szervezeteknek kell felkészülniük az első megfelelőségértékelésre?

A kötelező KSC-audit előkészítése nem az auditor kiválasztásával vagy az eljárások összeállításával kezdődik. Először az adott jogi személy státuszát, a szabályozás hatálya alá tartozó szolgáltatásokat, valamint a kockázatokért, az intézkedésekért és a működésüket igazoló bizonyítékokért viselt felelősséget kell tisztázni. E döntések nélkül a szervezet nem megfelelő területekre fordíthat erőforrásokat, figyelmen kívül hagyhat kritikus függőségeket, vagy olyan dokumentációval érkezhet az auditra, amely nem tükrözi a szolgáltatásnyújtás tényleges módját. Az első értékelésre való felkészültséget ezért nem az eljárások száma, hanem a jogi besorolás, a működési hatókör, a kockázatkezelés és a mindennapi gyakorlat összhangja határozza meg.

Kikre terjed ki az első audit?

Első lépésként meg kell erősíteni, hogy az adott jogi személy a KSC hatálya alá tartozik-e, mely kategóriába sorolandó, továbbá milyen auditkövetelmények és határidők vonatkoznak rá. A besorolás során figyelembe kell venni az ágazatot, a ténylegesen végzett tevékenységet, a szervezet méretét és a hatályos rendelkezésekben meghatározott különös feltételeket. Az alapvető szervezetek köre nem azonosítható automatikusan a korábbi alapvető szolgáltatást nyújtó szereplőkkel, és a státusz nem határozható meg kizárólag a lengyel PKD tevékenységi kód alapján. A kód hasznos támpont lehet, de nem helyettesíti a szolgáltatások, azok igénybevevői és a szervezet ágazati szerepének elemzését.

Az első munkadokumentumnak egy jóváhagyott besorolási elemzésnek kell lennie. Ebben meg kell határozni a szabályozás hatálya alá tartozó tevékenységet, az azt végző szervezeti egységeket, a nyújtott szolgáltatásokat, az ezeket támogató információs rendszereket, valamint az álláspont alapjául szolgáló indokokat. A KSC-megfelelőség folyamatgazdája lehet a kijelölt jogi, megfelelőségi vagy kiberbiztonsági funkció, a besorolást azonban a szervezet nevében döntésre jogosult szervnek kell hivatalosan jóváhagynia. Nem egyértelmű esetben célszerű jogi véleményt kérni ahelyett, hogy a felkészülési program dokumentálatlan feltételezésre épülne.

Egy vállalatcsoportban az egyik társaság státusza nem terjed ki automatikusan a többi társaságra. Minden jogi személyt, annak tevékenységét, méretét és különös besorolási feltételeit külön kell értékelni. Csak ezt követően célszerű azonosítani a közös szolgáltató központokat, infrastruktúrát, rendszereket és beszállítókat. Ez a szétválasztás nélkülözhetetlen a kockázati felelősségek kiosztásához, az audit határainak meghatározásához és annak megtervezéséhez, hogy miként készítsük fel a vállalatot egy kulcsfontosságú beszállító második fél általi auditjára.

A részletes küszöbértékeket, kivételeket, az azonosítási, nyilvántartásba vételi vagy bejelentési eljárásokat, valamint az audit határidejét a lengyel nemzeti kiberbiztonsági rendszerről szóló törvény és a kapcsolódó végrehajtási jogszabályok mindenkor hatályos szövege alapján kell ellenőrizni. A hivatalos értesítés hiánya önmagában nem indokolja az elemzés elhalasztását, ha a tevékenységi profil alapján reális a szabályozás hatálya alá kerülés. Az első audit hatóköre és ütemezése csak a státusz megerősítése után jelölhető ki felelősen.

Az eredményt a megfelelő hatókör alapozza meg

Az előkészítés egyik legsúlyosabb hibája, ha a KSC-audit hatókörét az informatikai részleggel azonosítják. Az értékelés a szolgáltatások és rendszerek biztonságának irányítására terjed ki, ezért az audit határain belül kell kezelni az operatív folyamatokat, az üzemeltetést, a beszerzést, a HR-t, az üzletmenet-folytonosságot, az incidenskezelést és a vezetői felügyeletet is. A túl szűk hatókörből kimaradnak a szolgáltatás ellenálló képessége szempontjából lényeges függőségek. Indokolatlanul a teljes szervezetre kiterjesztett értékelés esetén viszont nő a munkaráfordítás, és nehezebbé válik a lényeges megállapítások elkülönítése a másodlagosaktól.

A hatókört a szabályozás alá tartozó szolgáltatásokból kiindulva kell felépíteni. Ezt követően kell feltérképezni a támogató folyamatokat és információkat, majd az alkalmazásokat, infrastruktúrát, telephelyeket, személyi erőforrásokat és külső szolgáltatókat. Az eszközleltár önmagában nem mutatja meg, hogy mely erőforrások szükségesek a szolgáltatás biztosításához, és ki felel a hozzájuk kapcsolódó kockázatokért. Minden szolgáltatáshoz meg kell nevezni a szolgáltatásgazdát, a függő folyamatokat, a kritikus információs vagyonelemeket, rendszereket, beszállítókat, valamint az intézkedések működését igazoló bizonyítékokat. A függőségi térképnek lehetővé kell tennie a kiesés vagy biztonságsértés következményeinek végigkövetését anélkül, hogy az értékelt szolgáltatásra hatással nem lévő kapcsolatokat feleslegesen dokumentálnák.

Ennek a megközelítésnek a jelentősége jól látható a biztonsági mentések példáján. A mentések készülhetnek határidőben, felügyelt módon és az eljárásnak megfelelően, de ha az operatív folyamat gazdája nem határozta meg az elvárt helyreállítási időt, nem igazolható, hogy a műszaki intézkedés megfelel az üzleti igénynek. Hasonlóképpen: a több társaság által közösen használt rendszernek minden olyan társaság auditjában szerepelnie kell, amelynek szabályozott szolgáltatását támogatja. Egyértelműen rögzíteni kell ugyanakkor az üzemeltetésért, a kockázatokért, az incidensekért és a bizonyítékok rendelkezésre bocsátásáért viselt felelősség megosztását.

A szervezeti és műszaki határokat olyan workshopon célszerű megerősíteni, amelyen részt vesznek a szolgáltatás- és folyamatgazdák, valamint az üzletmenet-folytonosságért, a kiberbiztonságért és a kulcsfontosságú beszállítókért felelős személyek. A hatókör nem alakítható ki kizárólag az infrastruktúra-adminisztrátorral folytatott egyeztetés alapján. A workshop eredménye legyen az elemzésbe bevont szolgáltatások, az azokat támogató rendszerek, telephelyek és beszállítók, a közös függőségek, valamint az indokolt kizárások jegyzéke. Minden kizárásnál meg kell adni annak alapját, a szolgáltatásra gyakorolt hatását és a döntés felelősét.

Ez a térkép egyben kiindulópontot biztosít a következő anyagban bemutatott ráfordítások becsléséhez is: Mennyibe kerül a NIS2 és az uKSC bevezetése – hogyan tervezzük meg az audit, a dokumentáció, a képzések és a biztonsági intézkedések költségvetését költséges hibák nélkül?

A szerepkörök, az értékelés függetlensége és a megállapítások kezelése során hasznos támpont lehet a belső és külső audit közötti különbségtétel. Ez azonban nem változtat az alapelven: a KSC-audit saját jogalappal, kritériumrendszerrel és az értékelt szervezet kötelezettségeiből levezetett hatókörrel rendelkezik. Nem tekinthető egyszerű irányítási rendszer-tanúsítási auditnak, még akkor sem, ha hasonló módszereket alkalmaz a bizonyítékok gyűjtésére és az intézkedések eredményességének értékelésére.

A költségek a felelősségi határfelületeken nőnek meg

Az auditfelkészülés legnagyobb költségei jellemzően nem ott keletkeznek, ahol hiányzik egy dokumentum, hanem a megosztott felelősségek találkozási pontjain. Különösen igaz ez az informatika és az operáció, a társaság és a vállalatcsoport, a megrendelő és a beszállító, illetve a folyamatgazda és a rendszergazda kapcsolatára. Ha egyik fél sem visel egyértelmű felelősséget a kockázatokért, az incidensekért, az üzletmenet-folytonosságért és a bizonyítékok bemutatásáért, a hiányosság a szerepek formális kiosztása ellenére is fennmarad.

A költségvetést a hiányosságok szolgáltatásra gyakorolt hatása és az intézkedések eredményessége igazolhatóságának kockázata alapján kell felépíteni, nem pedig a hiányzó eljárások száma szerint. Érdemes külön kezelni a hiányelemzés, a szervezeti intézkedések, a műszaki kontrollok, a tesztek, a kompetenciafejlesztés, a beszállítók kezelése és maga az audit költségeit. A ráfordítások irányítását három mutató segítheti:

• a beruházástól vagy szerződésmódosítástól függő kritikus hiányosságok száma;
• a tesztelést igénylő intézkedések bevezetésének várható időtartama;
• az auditkötelezettségtől független infrastruktúra-korszerűsítés aránya a teljes költségen belül.

Általában azok a hiányosságok szüntethetők meg a legnehezebben, amelyek műszaki változtatást, szerződés-újratárgyalást, helyreállítási tesztet, a privilegizált hozzáférések rendezését vagy az incidensbejelentési és eszkalációs folyamat átalakítását igénylik. Ezek nem zárhatók le hitelt érdemlően pusztán egy eljárás jóváhagyásával. Egy felhőszolgáltató például átfogó biztonsági intézkedésekről nyilatkozhat, miközben a szervezet továbbra sem képes igazolni a felelősségek megosztását, az incidensinformációkhoz való jogát vagy az auditor számára szükséges bizonyítékok megszerezhetőségét. Ilyenkor a probléma egyszerre érinti a szerződést, a beszállító felügyeletét, a szolgáltatás architektúráját és a bizonyítékok rendelkezésre állását.

Az audit előtt feltétlenül meg kell szüntetni azokat a hiányosságokat, amelyek megkérdőjelezik a szolgáltatás nyújtásának, az incidensekre való reagálásnak vagy valamely kulcsfontosságú intézkedés működése igazolásának képességét. A többi hiányosságra kontrollált intézkedési terv fogadható el, amennyiben az meghatározza a felelőst, a határidőt, az erőforrásokat, a bevezetésig alkalmazott kockázatcsökkentő intézkedéseket, valamint a maradványkockázat megfelelő vezetői szinten történő elfogadását. Nem azoknak a feladatoknak kell elsőbbséget kapniuk, amelyek a legkönnyebben jelölhetők késznek. Az eszközbeszerzés és a folyamatfejlesztés közötti döntést is a hiányosság kiváltó okára, nem pedig a beruházási keret elérhetőségére kell alapozni.

Hasonló felelősségi fegyelem szükséges a Hogyan készítsük fel a csapatot a vevői auditra, ha APQP, PPAP és gyökérokelemzés szükséges? című anyagban tárgyalt területen is, jóllehet az értékelés jogalapja és kritériumai eltérőek.

Az auditor a működést vizsgálja, nem az iratgyűjtőt

A dokumentum csak a bizonyítási lánc kiindulópontja. Az auditornak képesnek kell lennie végigkövetni az utat a követelménytől és az azonosított kockázattól a folyamatgazdán, az alkalmazott intézkedésen és a végrehajtást igazoló feljegyzésen át a monitoring eredményéig, majd az észlelt eltérésre adott reakcióig. Egy szabályzat, eljárás vagy utasítás önmagában nem igazolja az eredményességet. A szervezet rendes működéséből származó objektív bizonyítékokra van szükség: bejelentésekre, eseménynaplókra, jóváhagyásokra, tesztjegyzőkönyvekre, felülvizsgálati eredményekre, kockázati döntésekre és lezárt helyesbítő intézkedésekre.

A felkészülési programnak nemcsak a bemutatandó dokumentumok jegyzékét, hanem a tényleges esetekből vett minták kiválasztásának módszerét is meg kell határoznia. A mintának többek között ki kell terjednie a hozzáférés megadására és visszavonására, a sérülékenységek kezelésére, egy incidensre, az adatok helyreállítására, egy rendszerváltoztatásra, munkavállalói képzésre, beszállítóminősítésre és vezetőségi átvizsgálásra. Minden mintához meg kell határozni a feljegyzés forrását, a felelőst és az eredményességi kritériumot.

Érdemes összevetni a megfelelő esetek, az eltérések és a bizonyítékhiányok számát. Ahol a szervezet méréseket végez, figyelembe kell venni az incidensekre adott reakció és az incidenslezárás idejét, továbbá a helyreállítási tesztek, gyakorlatok és jogosultsági felülvizsgálatok eredményeit. A bizonyítékok megőrzési idejének lehetővé kell tennie a folyamat ismételhetőségének értékelését, és le kell fednie a kockázat szempontjából lényeges eseményeket. A megőrzési időt nem célszerű kizárólag az audit időpontjához igazítani.

A hozzáférések visszavonására vonatkozó eljárás nem elegendő bizonyíték, ha a kilépett munkavállalók fiókjain vett minta késedelmeket, továbbra is aktív fiókokat vagy a végrehajtás igazolásának hiányát mutatja. Az auditor összevetheti a HR-adatokat, a szolgáltatáskezelő rendszer bejegyzéseit, a címtárszolgáltatás adatait és a tevékenységi naplókat. Az eszközök által automatikusan generált bizonyítékok akkor értékesek, ha igazolható teljességük, megbízható időbélyegük és konkrét esethez való kapcsolódásuk. A kockázat elfogadására, az eltérés engedélyezésére, az incidens lezárására vagy a beszállító minősítésére vonatkozó döntéseknél ugyanakkor jóváhagyott és egyértelmű felelősséggel rendelkező feljegyzés szükséges.

A belső auditmintának a külső auditor gondolatmenetét kell követnie: a kritériumtól a mintavételen át a bevezetés és az eredményesség értékeléséig. Az értékelést azonban nem végezheti olyan személy, aki saját munkáját auditálja. Harmadik felek felügyeletének vizsgálatakor hasznos háttéranyagot jelenthet a Beszállítói audit a nukleáris energetikában – mit vizsgálnak, és hogyan készítsük fel a vállalatot a minősítés előtt? című cikk, az eltérő értékelési kritériumok figyelembevételével.

A meglévő irányítási rendszer biztosíthatja a dokumentumkezelés, a belső auditok, a helyesbítő intézkedések és a vezetőségi átvizsgálás mechanizmusait. Ezeket célszerű felhasználni párhuzamos rendszer kialakítása helyett. A meglévő tanúsítvány azonban nem helyettesíti a vonatkozó KSC-kritériumoknak való megfelelés igazolását. Az eredményt az határozza meg, hogy az intézkedések működnek-e a meghatározott hatókörben, és a szervezet képes-e következetes, hiteles bizonyítékokkal igazolni alkalmazásukat.

A beszállítók is bekerülnek a hatókörbe

A rendszerüzemeltetés, az adatkezelés vagy a biztonsági monitoring kiszervezése nem ruházza át az alapvető szervezet felelősségét a szolgáltatóra. A beszállító végrehajthat biztonsági intézkedéseket és kezelhet incidenseket, a szervezetnek azonban továbbra is értenie kell a szolgáltatáshoz kapcsolódó kockázatokat, meg kell határoznia a követelményeket, és igazolnia kell az eredményes felügyeletet. Az auditfelkészülésnek ezért ki kell terjednie azokra a külső szolgáltatásokra is, amelyektől az üzletmenet folytonossága, az információk bizalmassága vagy a rendszerek rendelkezésre állása függ.

Az értékelés mélységét a beszállító kritikusságához kell igazítani. Figyelembe kell venni a kiesés szolgáltatásra gyakorolt hatását, az információkhoz és rendszerekhez való hozzáférés mértékét, a szolgáltató helyettesíthetőségét, az alvállalkozók bevonását, az adatkezelés helyét és a bizonyítékok tényleges megszerezhetőségét. A korlátozott hatású beszállítók kérdőívvel és dokumentum-felülvizsgálattal is értékelhetők. Stratégiai partnereknél indokolt lehet interjúk, folytonossági tesztek, operatív feljegyzések elemzése vagy második fél általi audit alkalmazása.

Ha a beszállító nem biztosít auditjogot, a szervezetnek alternatív bizonyítékokat kell meghatároznia, értékelnie kell a maradványkockázatot, és döntenie kell arról, hogy szükséges-e további intézkedés, a szerződés újratárgyalása vagy kilépési terv. A beszállító nyilatkozata vagy tanúsítványa önmagában elégtelen lehet, ha nem a megfelelő szolgáltatásra, telephelyre vagy működési hatókörre vonatkozik.

Tipikus hiányosság, amikor a szerződés meghatározza a szolgáltatás rendelkezésre állását, de nem rögzíti az incidensről szóló tájékoztatás határidejét, a gyökérokelemzésben való együttműködés szabályait vagy a beszállítói intézkedések ellenőrzésének jogát. Ez nem pusztán formai probléma. Ilyen rendelkezések nélkül a szervezet nem feltétlenül kapja meg időben az esemény hatásának értékeléséhez, a döntéshozatalhoz és a reakció következetes bemutatásához szükséges adatokat. A szerződéses hiányosság belső eljárással önmagában nem orvosolható.

A szerződések és biztonsági mellékletek felülvizsgálatának ki kell terjednie az információvédelmi kötelezettségekre, az incidensbejelentésre, az üzletmenet-folytonosságra, az alvállalkozásra, az együttműködés megszüntetésére, az adatok visszaadására vagy törlésére, a bizonyítékokhoz való hozzáférésre és az ellenőrzés szabályaira. A felkészülés előrehaladása mérhető a kritikus beszállítók számával, az aktuális kockázatértékeléssel és felügyeleti bizonyítékokkal rendelkező partnerek arányával, a kiegészítendő szerződések számával, valamint a megerősített folytonossági vagy kilépési terv nélküli szolgáltatások számával. A részletes ellenőrzés módszertanát a „Hogyan készítsük fel a vállalatot egy kulcsfontosságú beszállító második fél általi auditjára?” című anyag fejti ki.

Felkészülési terv az első értékelésig

A felkészülési programot meghatározott sorrendben kell végrehajtani: először meg kell erősíteni a szervezet státuszát és a vonatkozó jogi kritériumokat, majd ki kell jelölni az értékelt környezet határait, hozzá kell rendelni a felelősségeket, el kell végezni a kockázat- és hiányelemzést, végül pedig jóvá kell hagyni az intézkedési tervet. Próbavizsgálatot csak az intézkedések bevezetése és a működésükből származó feljegyzések összegyűjtése után indokolt végezni. Az eredményeknek a nemmegfelelőségek okainak, nem pusztán tüneteinek megszüntetéséhez, majd a vezetőség által végzett végső felkészültségi felülvizsgálathoz kell vezetniük.

Az ütemtervet a hatályos jogszabályokból vagy az adott szervezetre vonatkozó formális döntésből eredő határidőtől visszafelé kell megtervezni. Nincs minden szervezetre egyaránt biztonságosan alkalmazható kezdési időpont. Ez függ a jogi státusztól, a műszaki hatókörtől, az intézkedések érettségétől, a külső függőségek számától és attól, mennyi idő szükséges a működést igazoló feljegyzések előállításához. A vezetésnek a prioritásokat a kockázatok jelentősége és a feladatok közötti függőségek alapján kell jóváhagynia, nem pedig aszerint, mely tételek zárhatók le a legkönnyebben.

Az eljárás közzététele után készre jelentett feladat valójában mindaddig nyitott, amíg az eljárást nem vezették be, reprezentatív mintán nem ellenőrizték, és működését feljegyzés nem igazolja. Ugyanez vonatkozik a műszaki intézkedésekre, az incidenskezelésre, a folytonossági tervekre és a beszállítói felügyeletre. Az auditálhatóság a teljes működési ciklus bizonyítását igényli: döntés, végrehajtás, eredményellenőrzés és az észlelt eltérésre adott reakció. Ha a hiányosság külső féllel fennálló együttműködési feltételeket érint, hasznos háttéranyagot jelenthet a Beszállítói audit a szerződés aláírása előtt – hogyan csökkenthető a minőségi és határidős kockázat? című cikk.

A vezetőségnek szóló jelentés nem korlátozódhat a terv teljesítési százalékára. A vezetői információnak tartalmaznia kell:

• a hiányosságok számát súlyosság szerint, a felelős és a lezárási határidő megjelölésével;
• a feljegyzésekkel igazolt intézkedések arányát;
• a megfelelő vezetői szinten elfogadott, még nyitott kockázatokat;
• az akadályokat, például a felelős hiányát, a be nem vezetett intézkedést, a nem tesztelt tervet, a nem egyeztetett szerződést vagy a hiteles lezárási bizonyíték nélküli hiányosságot.

Az auditot végző szervezet kiválasztását célszerű időben megkezdeni, de előtte ellenőrizni kell a KSC-nek a végrehajtóra és az eredmények dokumentálására vonatkozó aktuális követelményeit. Az ár nem lehet az egyetlen kiválasztási szempont. Értékelni kell az előírt jogosultságokat, a függetlenséget, az ágazati kompetenciát, a módszertant, valamint a tényleges műszaki környezet vizsgálatára való képességet. Az auditor megbízása nem helyettesíti a próbavizsgálatot vagy a vezetőségi átvizsgálást; csupán a formális értékelés szervezési feltételeinek egyikét zárja le.

Az első KSC-auditot a szolgáltatások biztonságának irányítására való szervezeti képesség értékeléseként, nem pedig egyszeri dokumentáció-ellenőrzésként kell kezelni. A szervezet akkor tekinthető felkészültnek, ha meg tudja indokolni státuszát és hatókörét, meg tudja nevezni a kockázatok gazdáit, igazolni tudja az intézkedések működését, továbbá hiteles bizonyítékokkal tudja alátámasztani a folyamatok és a beszállítók felügyeletét.