A KSC szerinti személyzeti erkölcsi bizonyítvány-ellenőrzés: a hatókör meghatározása és a megfelelő folyamat kialakítása

A KSC szerinti személyzeti erkölcsi bizonyítvány-ellenőrzés nem általános HR-kontroll, és nem is az auditot megelőző adminisztratív formalitás. Hatókörét a konkrét jogalap, a szervezet státusza, valamint az érintett személy tényleges feladatai és jogosultságai alapján kell meghatározni. Ha a folyamat a munkakörök minősítése helyett az igazolások bekérésével kezdődik, egyszerre maradhatnak ki az ellenőrzésre kötelezett személyek, és kerülhet sor a büntetőjogi felelősségre vonatkozó adatok jogalap nélküli kezelésére. Ezért először azt kell tisztázni, hogy kit és milyen alapon lehet ellenőrizni, majd szét kell választani az információ beszerzéséért, az eredmény értékeléséért és a hozzáférési döntésért viselt felelősséget. Végül csak a megfelelőség igazolásához szükséges adatokat szabad rögzíteni.

Ne az igazolással, hanem a hatókör meghatározásával kezdjük

Az erkölcsi bizonyítvány-ellenőrzésről szóló döntést nem a munkatársaktól bekérendő dokumentumok meghatározásával kell kezdeni. Első lépésként a vezetésnek meg kell erősítenie a szervezet KSC-rendszeren belüli státuszát, és azonosítania kell azt a konkrét rendelkezést, amely meghatározott személyek esetében ellenőrzési kötelezettséget keletkeztet. Önmagában a NIS2-re való hivatkozás, az auditfelkészülés vagy egy információbiztonsági irányítási rendszer kialakítása nem indokolja valamennyi munkavállaló, közreműködő és beszállító ellenőrzését.

A folyamat határait minden követelményforrás esetében külön kell megállapítani. A NIS2 irányelv, a lengyel KSC-törvény mindenkor hatályos szövege, a végrehajtási rendelkezések, az ágazati előírások, a szerződéses feltételek és a belső hozzáférés-kezelési szabályok nem azonos jogi és működési súlyú források. Mindegyiknél meg kell határozni a szervezeti, személyi és időbeli hatókört: kire vonatkozik a követelmény, milyen okból és mely időponttól alkalmazandó, tartalmaz-e kivételeket, valamint mikor szükséges az ismételt értékelés. Ha a szervezet még az elemzés lezárása előtt elkészíti az eljárást, azzal egyrészt kihagyhat kötelezett személyeket, másrészt megfelelő jogalap nélkül kezelhet büntetőjogi felelősségre vonatkozó adatokat.

A minősítés eredményét a megfelelőségért felelős folyamatgazda által jóváhagyott, tömör feljegyzésben célszerű rögzíteni. A dokumentumnak tartalmaznia kell a szervezet státuszát, a jogalapot, az elemzés dátumát és az alapul vett jogszabályi állapotot, az érintett szerepköröket, valamint az indokolt kivételeket. Az „informatikai személyzet” kategória ehhez túl általános. Külön kell értékelni például a privilegizált jogosultságú rendszergazdákat, az incidenskezelésben részt vevő személyeket, a beszállítók munkatársait, illetve azokat a helyetteseket, akik időszakosan látják el ezeket a feladatokat. Ki kell jelölni a jogi elemzés felelősét és a felülvizsgálat határidejét is, különösen jogszabályváltozás, a tevékenységi kör módosulása vagy a hozzáférési modell átalakítása esetére.

Az ellenőrzés határainak meghatározását a „A KSC-törvénynek megfelelő ISMS – hogyan határozzuk meg a hatókört, a felelősöket és a bevezetés ütemezését” projekt részeként érdemes elvégezni. A rendszer hatókörének, a folyamatfelelősségeknek és a privilegizált szerepköröknek ugyanabból a szervezeti térképből kell következniük. Csak ennek alapján dönthető el felelősen, hogy a mindenkor hatályos szabályozás szerint fennáll-e a szervezet kötelezettsége, mely rendelkezés teszi lehetővé a büntetlen előéletre vonatkozó információ beszerzését, és mely személyzeti kategóriákra terjedhet ki jogszerűen az ellenőrzés.

Kikre terjed ki az ellenőrzés?

A személyi hatókört nem a munkakör elnevezése és nem is a foglalkoztatási jogviszony formája határozza meg. A döntés alapja az alkalmazandó követelmény tartalma, összevetve az érintett személy tényleges feladataival, jogosultságaival és a szolgáltatás biztonságára gyakorolt hatásával. A minősítés során figyelembe kell venni a logikai és fizikai hozzáférést, a konfiguráció módosításának lehetőségét, az incidenskezelésben betöltött szerepet, az üzletmenet-folytonosságra gyakorolt hatást, valamint az ideiglenes és vészhelyzeti jogosultságokat. Azokat a szerepköröket, amelyek nem kapcsolódnak a védett szolgáltatáshoz, rendszerhez, létesítményhez vagy a jogszabályban meghatározott hatókörhöz, pusztán elővigyázatosságból nem szabad bevonni az ellenőrzésbe.

Az alapvető döntéstámogató eszköz egy szerepkörmátrix, amelyet a folyamatgazda, az információbiztonságért felelős személy és a HR közösen vezet, a megfelelőségért felelős szerepkör bevonásával. A mátrixot össze kell kapcsolni az identitás- és jogosultságkezeléssel, valamint a feladatok megfelelő szétválasztásával. A munkavállalói névsor önmagában nem elegendő. Szükség van a privilegizált fiókok, az adminisztratív, fizikai és vészhelyzeti hozzáférések, továbbá a hatókörbe tartozó rendszerekhez vagy folyamatokhoz tényleges hozzáféréssel rendelkező külső személyek nyilvántartására is.

Egy beszállító műszaki rendszergazdája szélesebb jogosultságokkal rendelkezhet, mint egy belső vezető, annak ellenére, hogy nem a szervezet munkavállalója. A kizárólag a szerződés típusára épülő minősítés ezért kizárhatna egy olyan személyt, akinek jelentős hatása van a biztonságra. Ez azonban nem jelenti azt, hogy a külső rendszergazdára automatikusan ugyanaz az eljárás vonatkozik, mint a munkavállalóra. A kezelhető adatok körének, a követelmény teljesítését igazoló bizonyítéknak és az értékelési felelősségnek megfelelő jogalapból vagy kellően kialakított szerződésből kell következnie. Az ideiglenes és vészhelyzeti hozzáférést a lehetséges műveleti kör, nem pedig a várható használati gyakoriság alapján kell értékelni.

A mátrixnak ki kell terjednie a munkavállalókra, a testületi tagokra, az egyéb jogviszonyban közreműködő személyekre, a külső rendszergazdákra, valamint a beszállítók és alvállalkozók személyzetére, de kizárólag az alkalmazandó követelmény határain belül. Felülvizsgálata indokolt a jogosultsági architektúra, a szolgáltatási kör, a beszállító vagy a szabályozás változásakor. A privilegizált szerepkörök és a tényleges hozzáféréssel rendelkező külső személyek száma meghatározza a folyamat léptékét, és bemenő adatot szolgáltat a „Mennyibe kerül a NIS2 és az uKSC bevezetése – hogyan tervezzük meg az audit, a dokumentáció, a képzés és a védelmi intézkedések költségvetését költséges hibák nélkül” című anyagban ismertetett erőforrás-tervezéshez.

Hol keletkezik költség és kockázat?

A legnagyobb kockázat nem az erkölcsi bizonyítvány technikai beszerzéséből, hanem abból fakad, ha az ellenőrzés egyértelmű jogalap, meghatározott cél és korlátozott hatókör nélkül indul el. A büntetőítéletekre és jogsértésekre vonatkozó adatok kezelése különleges szabályok alá tartozik. Az érintett általános hozzájárulása vagy a HR-szabályzat általános rendelkezése nem tekinthető automatikusan elegendő alapnak az adatok beszerzésére. Az ellenőrzés formájának kiválasztása előtt tisztázni kell, hogy az alkalmazandó rendelkezés pontosan milyen információt követel meg, kikre terjed ki, és ki felel az eredmény értékeléséért.

A költségek gyorsan növekednek, ha a szervezet minden munkatárstól teljes dokumentumokat kér be, meghatározott megőrzési idő nélkül másolatokat tárol, hagyományos e-mailben továbbítja azokat, vagy a HR, a vezetők, az információbiztonság és az auditorok számára a jogosultságok szétválasztása nélkül hozzáférhetővé teszi őket. Minden további másolat növeli az adatvédelemmel, a hozzáférés-szabályozással, az érintetti kérelmek kezelésével és a biztonságos törléssel kapcsolatos ráfordítást. A vezetésnek ezért nemcsak az elvégzett ellenőrzések számát, hanem a dokumentumokhoz hozzáférő személyek számát és a tényleges megőrzési időket is figyelemmel kell kísérnie.

További kockázatot jelent, ha hiányoznak az eredmény értékelési kritériumai. Az ellenőrzés során feltárt információ nem vezethet improvizált vezetői döntéshez vagy az adott szerepkörre vonatkozó követelménytől független megítéléshez. A HR szabályosan beszerezheti a dokumentumot, a folyamat mégis hibás marad, ha nincs meghatározva, ki értékeli annak jelentőségét, milyen alapon születik hozzáférési döntés, és szükséges-e a másolat megőrzése. Az eljárásnak meg kell határoznia az eszkaláció rendjét, valamint a „Reagálási terv az ellenőrzési tervben – hogyan írjuk le a teendőket, ha a folyamat kilép a meghatározott határok közül” alkalmazását.

Az ellenőrzés végrehajtásának igazolását el kell választani a dokumentum tartalmának tárolásától. Az alkalmazandó jogalaptól és bizonyítási kötelezettségtől függően elegendő lehet az ellenőrzés dátumának, hatókörének, az értékelésre jogosult személynek, a minősítés eredményének és a hozzáférési döntésnek a rögzítése, a teljes igazolás megőrzése nélkül. Ha a másolat tárolása szükséges, meg kell határozni a hozzáférésre jogosultakat, a védelmi intézkedéseket és a törlési határidőt. Ez a megközelítés összekapcsolja az adattakarékosságot a megfelelőség igazolásával, és nem helyettesíti a jogi elemzést „hátha szükség lesz rá” alapon gyűjtött dokumentumokkal.

A minősítéstől a hozzáférés engedélyezéséig

A folyamatnak az erkölcsi bizonyítványra vonatkozó információ beszerzése előtt kell kezdődnie. Először a folyamatgazda minősíti a szerepkört, megjelöli az aktuális jogalapot és meghatározza az ellenőrzés szükséges terjedelmét. Ezután a szervezet tájékoztatja az érintettet az adatkezelés céljáról, módjáról és szabályairól, kiválasztja a megengedett információforrást, majd ellenőrzi a személyazonosságot. A következő döntési pontok az eredmény értékelését, a hozzáférés engedélyezését, a jogosultságok kiadását és az ellenőrzési nyilvántartás létrehozását foglalják magukban.

Minden tevékenységnél meg kell határozni a felelőst, a szükséges bemenő adatokat, a határidőt, valamint az eljárást arra az esetre, ha a dokumentum hiányzik, a határidő lejár, vagy az eredmény további tisztázást igényel. A formai ellenőrzés ugyanis nem azonos az operatív döntéssel. A HR tájékoztathatja a munkavállalót, átveheti a dokumentumot és ellenőrizheti az adatok teljességét, de önállóan nem dönthet a rendszerhez vagy infrastruktúrához való hozzáférésről.

A végső döntésnek egy kijelölt üzleti szerepkörhöz – jellemzően a rendszergazdához, rendszertulajdonoshoz vagy az adott működési terület felelőséhez – kell tartoznia, az információbiztonsági funkció bevonásával. Ha az eredmény nem egyértelmű, vagy kétséges a kezelhető adatok köre, az ügyet a jogi vagy adatvédelmi funkcióhoz kell továbbítani. Ez a felelősségmegosztás egyaránt megakadályozza, hogy a dokumentum bemutatása után automatikusan hozzáférést adjanak, illetve hogy a közvetlen vezető saját mérlegelése alapján, következetlenül értelmezze az eredményt.

A döntési kritériumokat még az első problémás eset felmerülése előtt jóvá kell hagyni. Az eljárásban rögzíteni kell, ki értékeli a nem egyértelmű helyzetet, milyen információkat vehet figyelembe, korlátozható-e a hozzáférés terjedelme, és hogyan dokumentálható az indokolás anélkül, hogy annak tartalma szükségtelenül széles kör számára hozzáférhetővé válna. Egy új munkatárs például elvégezheti a képzéseket és az általános szervezeti feladatokat, de a döntésig nem kaphat privilegizált fiókot vagy hozzáférést a védett környezethez. Az ideiglenes hozzáférés – amennyiben egyáltalán engedélyezett – külön jóváhagyást, korlátozott hatókört, lejárati időt és felügyeletet igényel. Nem használható az ellenőrzés megkerülésére.

Negatív kimenetel esetére előzetesen meghatározott reagálási terv szükséges: a jogosultságok felfüggesztése, az ügy továbbítása a kijelölt döntéshozókhoz, helyettes kijelölése, az üzletmenet-folytonosságra gyakorolt hatás értékelése és az eset kontrollált lezárása. A logika ugyanaz, mint bármely reagálási tervnél: egy meghatározott eseményhez előre kijelölt intézkedés, felelősség és nyilvántartás kapcsolódik. Felvétel és szerepkörváltás esetén hasznos referencia a Hogyan alakítsuk ki egy új minőségügyi mérnök vagy ISO-megbízott beléptetési folyamatát? című anyag, különösen a döntési pontok és a felelősségek igazolása szempontjából.

Az ellenőrzési nyilvántartásnak visszakövethetővé kell tennie a szerepkör minősítését, az ellenőrzés jogalapját és terjedelmét, a személyazonosság megerősítésének dátumát, az információ forrását, az értékelő személyét, a döntést, a jogosultság kiadásának időpontját és az esetleges eszkalációt. Meg kell határozni az újraértékelést kiváltó eseményeket – különösen a szerepkör vagy a hozzáférési kör változását –, valamint a munkaviszony vagy közreműködés megszűnésekor követendő jogosultság-visszavonási eljárást. A folyamat eredményességét elsősorban a minősítéstől a döntésig eltelt idő, az előírt ellenőrzés lezárása előtt kiadott hozzáférések száma, továbbá a hiányzó dokumentum vagy a nem egyértelmű eredmény miatt indított eszkalációk száma mutatja.

Dokumentáció és ismételt ellenőrzés

A folyamat dokumentációjának a döntések indokait és következményeit kell visszakövethetővé tennie, nem pedig a büntetlen előéletre vonatkozó információk archívumát létrehoznia. A nyilvántartásnak meg kell mutatnia, miért tartozott az adott szerepkör az ellenőrzés hatálya alá, mikor végezték el az ellenőrzést, ki hozta meg a döntést, és mi volt annak működési következménye: hozzáférés megadása, korlátozása vagy megtagadása. Ez nem jelenti automatikusan a forrásdokumentum másolatának megőrzését. A másolat tárolásáról szóló döntést el kell választani a metaadatok megőrzésétől, és azt az aktuális jogalapra, az adatkezelés céljára és a korlátozott tárolhatóság elvére kell alapozni.

Az egységes nyilvántartási rendszernek legalább a következő elemekből kell állnia:

• szerepkörmátrix a hatókör indokolásával;
• az elvégzett ellenőrzések nyilvántartása;
• adatkezelési felhatalmazások és hozzáférési szabályok;
• jóváhagyott megőrzési idők;
• eszkalációs jegyzőkönyv;
• a beszállítói kötelezettségek teljesítésének bizonyítékai.

Ezekhez közös folyamatgazdát, verziófelügyeletet és az ISMS dokumentumkezeléséhez való egyértelmű kapcsolódást kell rendelni. Ha az elemek szétszórtan, a HR-nél, az információbiztonsági területen és a beszerzésnél találhatók, nehézzé válik a folyamat teljességének igazolása. A tárhelyen a sablonokat, rendszerszintű döntéseket és a szabályváltozások történetét kell karbantartani, míg az egyedi személyes adatokat kizárólag az arra jogosultak számára szabad hozzáférhetővé tenni. Hasznos szervezési referencia a Hogyan alakítsunk ki belső minőségügyi tudástárat, hogy ne vesszen el a csapat tapasztalata? című anyag.

A rekord tartalmazhatja a szerepkör minősítésének, az ellenőrzésnek és a döntésnek a dátumát, az alkalmazott jogalap megjelölését, valamint a hozzáférés megadásának és a tervezett felülvizsgálatnak az időpontját. Ha elegendő az ellenőrzés végrehajtásának és működési eredményének igazolása, az igazolás másolatát nem szabad „hátha szükség lesz rá” alapon megőrizni. A törlési mechanizmusnak az e-mail-mellékletekre, munkakönyvtárakra és a beszállítók erőforrásaira is ki kell terjednie. A felügyelet eredményessége értékelhető többek között azon szerepkörök arányával, amelyek bevonásához naprakész indokolás áll rendelkezésre, valamint a jóváhagyott megőrzési időn túl tárolt rekordok számával.

Az ismételt ellenőrzés időpontját nem célszerű önkényes naptár alapján meghatározni. A gyakoriságot az alkalmazandó rendelkezés, a szerepkör jellege, a szerződés feltételei vagy egy dokumentált kockázatértékelés alapozhatja meg. Az időszakos felülvizsgálattól függetlenül az eljárásnak meg kell jelölnie az újraértékelést kiváltó eseményeket, különösen a munkakör megváltozását, a jogosultságok bővítését, a megszakítás utáni visszatérést az adott szerepkörbe, illetve a jogi vagy szerződéses követelmények lényeges módosulását. Az információ naprakészsége nem feltétlenül követeli meg a teljes dokumentum ciklikus beszerzését. A folyamatnak jogszerű és arányos módot kell biztosítania az állapot megerősítésére, minden esetben az aktuális jogalappal és a szervezet által kezelhető adatok körével összhangban.

Audit előtti felkészültségi teszt

A felkészültség értékelését nem azzal kell kezdeni, hogy létezik-e eljárás, hanem valós esetek teljes körű visszakövetésével. A mintának legalább egy ellenőrzésköteles szerepkörben foglalkoztatott munkavállalót, egy szerepkört váltó személyt, egy külső rendszergazdát és egy vészhelyzeti hozzáférési esetet kell tartalmaznia. Az auditornak minden esetben végig kell követnie a láncot az aktuális jogalaptól és a szerepkör minősítésétől az információ beszerzésén és a hozzáférési döntésen át a ténylegesen aktív jogosultságokig.

A minimális teszt magában foglalja a szerepkörlista összevetését a hozzáférési nyilvántartással, a döntések teljességének és az ellenőrzések határidőben történő elvégzésének vizsgálatát, valamint a nyilvántartásokhoz való hozzáférés és azok megőrzési szabályainak ellenőrzését. Szimulálni kell a dokumentum hiányát, a nem egyértelmű eredményt vagy az ellenőrzés késedelmét is. A szervezetnek igazolnia kell, hogy képes a hozzáférést felfüggeszteni, az eszkalációt elindítani és az illetékes döntéshozót azonosítani. Az ISMS belső auditjának gyakoriságát és az eszkalációs küszöbértéket a kockázathoz, valamint az aktuálisan hatályos jogalap követelményeihez kell igazítani, nem kizárólag az auditnaptárhoz.

A tipikus rendszerszintű nemmegfelelőségek a folyamatok kapcsolódási pontjain jelennek meg. Ilyen lehet a kimutatható jogalap hiánya, a munkakörjegyzék és a tényleges jogosultságok közötti eltérés, az alvállalkozók kihagyása, a hozzáférés megadása az ellenőrzés lezárása előtt, a megőrzési idő meghatározatlansága vagy a dokumentált eszkalációs rend hiánya. A HR-nyilvántartás önmagában akkor sem elegendő, ha formai szempontból megfelelő, amennyiben egy külső rendszergazda a szerződés hatókörének módosítása után is aktív fiókkal rendelkezik, vagy újraminősítés nélkül bővített jogosultságokat kap.

A vezetésnek összesített információkat kell kapnia, nem pedig a büntetőítéletekre vonatkozó adatok tartalmát. Hasznos mutató lehet az ellenőrzést igénylő aktív hozzáférések közül az aktuális döntéssel rendelkezők aránya, az ellenőrzés lezárása előtt kiadott hozzáférések száma, a felülvizsgálatok határidőben történő elvégzése, valamint a nemmegfelelőségek száma rendszerszintű okok szerinti bontásban. A mutatóknak erőforrás-, korrekciós és eszkalációs döntésekhez kell vezetniük, a Hogyan alakítsunk ki folyamat-KPI-okat a vezetés számára, hogy a minőségirányítási rendszer ne pusztán táblázatokból álljon? című anyagban ismertetett megközelítés szerint.

Az auditfelkészültség nem csupán az eljárás meglétének igazolását jelenti, hanem annak bemutatását is, hogy a hatókör arányos, a döntések következetesek, a folyamat pedig a gyakorlatban eredményesen működik. A teszt eredményeit be kell építeni az ISMS belső auditjába és a vezetőségi átvizsgálásba, a szükséges intézkedés felelősének, a hiányosság megszüntetési határidejének és az aktív hozzáférésekre gyakorolt hatás értékelésének megjelölésével.