NIS2 és MSZ EN ISO 27001: mire elég a tanúsítvány, és mi hiányzik még a KSC-megfeleléshez?

Sok vállalatnál a NIS2-ről szóló egyeztetés az MSZ EN ISO 27001 tanúsítvánnyal kezdődik. Ez érthető, vezetői és folyamattulajdonosi szempontból azonban nem ez a megfelelő kiindulópont. Először azt kell tisztázni, hogy a szervezetre milyen kötelezettségek vonatkoznak, ezek mely szolgáltatásokat és erőforrásokat érintik, és ki felel értük. Csak ezt követően lehet megalapozottan értékelni, hogy a meglévő információbiztonsági irányítási rendszer mit fed le ténylegesen, és mi hiányzik még a KSC szerinti megfeleléshez. A gyakorlatban ezen a ponton válik el a működőképes irányítási rendszer a felkészültség költséges látszatától.

A legköltségesebb hiba: a tanúsítvány azonosítása a megfeleléssel

A kezdeti szakasz legnagyobb hibája nem az MSZ EN ISO 27001 tanúsítvány hiánya, hanem az a feltételezés, hogy a tanúsítvány önmagában igazolja a NIS2-ből és a KSC-t bevezető nemzeti szabályozásból eredő kötelezettségek teljesítését. A vezetés számára nem az a helyes kérdés, hogy „rendelkezünk-e MSZ EN ISO 27001 tanúsítvánnyal”, hanem az, hogy „vonatkoznak-e ránk a követelmények, milyen minőségben, illetve mely szolgáltatások, folyamatok és erőforrások tekintetében”. Csak a szervezet státuszának, az érintett tevékenységi körnek és a felső vezetés felelősségének tisztázása után ítélhető meg, hogy a meglévő rendszer mennyiben támogatja a megfelelést, és hol teremt csupán látszólagos rendezettséget.

Ennek a különbségtételnek közvetlen projekt- és költségvetési következményei vannak. A tanúsítvány azt igazolja, hogy az irányítási rendszer a meghatározott tanúsítási területen megfelel a szabvány követelményeinek. Ezt a területet rendszerint maga a tanúsítvány rögzíti, az alkalmazhatósági nyilatkozat pedig tovább pontosítja. A tanúsítvány ugyanakkor nem helyettesíti a jogszabályi kötelezettségek elemzését, az érintett szolgáltatások azonosítását, a beszállítói függőségek értékelését vagy annak meghatározását, hogy a szabályozás hatálya alá tartozó szervezetnek milyen formális lépéseket kell megtennie. A vezetésnek ezért három, a gyakorlatban gyakran összemosódó területet kell szétválasztania: az irányítási rendszert, a szabályozói megfelelést és az incidenshelyzetben szükséges operatív készenlétet.

A fordított sorrendben vezetett projektek kerülnek a legtöbbe. A szervezet először a tanúsító audit elvárásaihoz igazítja a dokumentációt és a kontrollokat, majd csak később derül ki, hogy kritikus folyamatok, incidensbejelentési kötelezettségek, beszállítói követelmények, vezetői felelősségek vagy ágazatspecifikus előírások maradtak a rendszeren kívül. Ilyenkor néhány eljárás kiegészítése már nem elegendő. Újra kell tervezni a rendszer alkalmazási területét, a döntési szerepköröket és a reagálás módját.

Operatív szempontból ezért nem pusztán a tanúsítvány meglétét érdemes mérni, hanem három tényezőt: a tanúsítási terület és a kritikus szolgáltatások összhangját, a KSC hatályának vizsgálatára irányuló önértékelés eredményét, valamint az eljárásokban leírtak és a tényleges cselekvőképesség közötti eltérések számát. Az első természetes lépés tehát nem a dokumentáció bővítése, hanem annak tisztázása, hogy a szervezet a kötelezettségek hatálya alá tartozik-e, és milyen formális intézkedések szükségesek. Ezt a sorrendet jól szemlélteti a NIS2: önértékelés és felvétel a KSC-nyilvántartásba – mit kell tennie egy gyártóvállalatnak? című anyag is. Itt dől el, hogy a vállalat tényleges kötelezettségekre építi-e rendszerét, vagy a felkészültség kényelmes, de költséges illúziójára.

Mit fed le ténylegesen az MSZ EN ISO 27001?

Az MSZ EN ISO 27001 legnagyobb gyakorlati értéke nem maga a tanúsítvány, hanem az, hogy egy megfelelően bevezetett rendszer vezetési területként rendezi az információbiztonságot. Ott nyújtja a legerősebb alapot, ahol a szervezetnek folyamatalapon kell működnie: a kockázatok elemzésében és kezelésében, a szabályzatok és felügyeleti elvek kialakításában, a szerepek és felelősségek kijelölésében, az információs vagyonelemek azonosításában, az incidenskezelésben, az üzletmenet-folytonosságban, valamint a felülvizsgálat és a fejlesztés mechanizmusaiban. Ha ezek az elemek ténylegesen működnek, és nem csak az audit kedvéért léteznek, a vállalat szilárd alapokkal rendelkezik annak igazolására, hogy a biztonság nem elszigetelt kontrollok halmaza, hanem az operatív döntésekkel összekapcsolt, irányított rendszer.

A felső vezetésnek azonban nem önmagában a tanúsítványt, hanem annak a szabályozási szempontból jelentős szolgáltatásokra, folyamatokra és függőségekre gyakorolt hasznosságát kell értékelnie. Ugyanaz a tanúsítvány jelenthet kritikus folyamatokra kiterjedő, rendszeres felülvizsgálatokkal, helyesbítő intézkedésekkel és tényleges folyamattulajdonosi felügyelettel működő érett rendszert, de jelenthet a szervezet egy szűk részére korlátozott megoldást is. A NIS2 és a KSC szerinti önértékelés előtt ezért nemcsak az alkalmazhatósági nyilatkozatot célszerű megvizsgálni, hanem a kockázatelemzésbe bevont folyamatok jegyzékét, a belső auditok eredményeit, a vezetőségi átvizsgálások megállapításait, továbbá azt is, hogy a kockázati döntések megjelennek-e a költségvetésben, a szerződésekben, a szolgáltatási architektúrában és a reagálási rendben.

Ez különösen jól látható az ellátási láncokban működő vállalatoknál. Az MSZ EN ISO 27001 rendszerint rendezi a szerződéses követelményeket, az információk osztályozását, a hozzáférési szabályokat, a beszállítói felelősségeket és az eltérések dokumentálását. Ez hasznos alap, különösen akkor, ha az ügyfelek elvárják a partnerek feletti kontroll igazolását. Nem dönti el azonban automatikusan az összes iparági elvárás vagy speciális ágazati kritérium teljesítését. Hasonló kérdést jár körül az MSZ EN ISO 27001 vagy TISAX – melyiket válasszuk, ha az ügyfél információbiztonságot követel meg az ellátási láncban? című anyag. A tanúsítvány a gyakorlatban rendezi a kapcsolatokat és a felelősségeket, de nem helyettesíti annak ellenőrzését, hogy milyen további kötelezettségeket kell beépíteni a szerződésekbe, az eszkalációs eljárásokba és a külső szolgáltatások felügyeletébe.

A következtetés egyértelmű: a tanúsítvány jelentősen lerövidítheti az információbiztonság rendszerezéséhez vezető utat, de önmagában nem bizonyítja a KSC-ből eredő kötelezettségek teljesítését. A tanúsító audit az irányítási rendszer szabványkövetelményeknek való megfelelését vizsgálja a meghatározott alkalmazási területen. Ez nem azonos a jogszabályi kötelezettségek és az operatív készenlét értékelésével. A szervezetnek ezért ezzel párhuzamosan azt is ellenőriznie kell, hogy a rendszer alkalmazási területe kiterjed-e a releváns folyamatokra, a kockázatelemzést aktualizálták-e a tényleges szolgáltatások és függőségek alapján, valamint hogy az incidenskezelési, folytonossági és beszállítói felügyeleti eljárások működnek-e a gyakorlatban.

Ahol a tanúsítvány már nem elegendő

Az első hiányosság magát a szabályozói megfelelést érinti. Az információbiztonsági irányítási rendszer rendezi az alapelveket, a szerepeket és a felügyeletet, de önmagában nem válaszolja meg, hogy az adott szervezetet helyesen azonosították-e a KSC szerinti kötelezettségek szempontjából, ki felel a formális bejelentésekért, ki tartja fenn a kapcsolatot az illetékes hatósággal, és hogyan jutnak el a döntések a felső vezetéshez. Ez nem egyetlen dokumentum hiánya, hanem a felelősségi modell tervezési hibája. Ha ezek az elemek nem épülnek be a vállalat tényleges működési modelljébe, a tanúsítvány belső rendezettséget biztosíthat, de szabályozói szempontból még nem teszi irányíthatóvá a szervezetet.

A második hiányosság az alkalmazási területet érinti. Sok szervezet tanúsítása egy kiválasztott telephelyre, egyetlen társaságra, egy meghatározott szervezeti egységre vagy a támogató szolgáltatások egy részére korlátozódik. A KSC szerinti felkészültség értékelésének azonban a szolgáltatások, kritikus folyamatok, erőforrások és függőségek tényleges térképéből kell kiindulnia, nem pedig a tanúsító audit határaiból. Ha egy alapvető vagy fontos szolgáltatást a vállalatcsoport több tagja közösen nyújt, külső adatközpont, közös üzemeltetési csapat vagy megosztott incidenskezelési folyamat bevonásával, a formailag megfelelő tanúsítvány csak a teljes működés egy részét fedheti le. Ilyenkor a vezetői döntés nem pusztán arról szól, hogy bővítsék-e a tanúsítási területet, hanem arról is, hogy egységes megfelelési programot alakítsanak-e ki, vagy két párhuzamos munkafolyamatot tartsanak fenn: egy tanúsításit és egy szabályozóit.

A harmadik hiányosság a bizonyíthatósághoz kapcsolódik, és rendszerint csak incidens, gyakorlat vagy ellenőrzés során válik láthatóvá. A szervezet rendelkezik incidenskezelési, üzletmenet-folytonossági és beszállítói felügyeleti eljárásokkal, de nem tudja igazolni, hogy ezek operatív szinten is működnek. Hiányzik az incidensnyilvántartás, a vezetői döntések dokumentált nyoma, a gyakorlatok eredménye, az esemény utáni felülvizsgálat, a hatékonysági mutató vagy a dokumentált helyesbítő intézkedés. Ilyenkor a rendszer le van írva, de működése nem bizonyított. Ezen a ponton merülnek fel a legköltségesebb korrekciók, mert nemcsak az eljárások tartalmát, hanem a felső vezetés felé történő jelentéstételt, a felülvizsgálatok ütemezését és a folyamattulajdonosok felelősségét is módosítani kell. Ugyanez a mechanizmus más irányítási rendszereknél is megfigyelhető, többek között az IATF 16949 – mely követelmények okoznak valódi nehézséget a napi minőségirányításban, és hogyan kezelhetők látszatmegfelelés nélkül? című témában.

A negyedik hiányosság az ellátási láncot és a külső függőségeket érinti. A szabvány segít rendszerezni a beszállítókkal szembeni követelményeket, a KSC szerinti megfelelés azonban mélyebb feltérképezést igényelhet: mely külső szolgáltatások szükségesek a kritikus szolgáltatás fenntartásához, hol találhatók egyedi hibapontok, milyen zavari forgatókönyvek lehetségesek, és mennyire helyettesíthető a beszállító, a személyzet vagy a telephely. A gyakorlatban nem csupán a szerződések és beszállítói értékelések meglétét érdemes mérni, hanem a tanúsítási terület összhangját a kritikus szolgáltatások tényleges térképével, az incidens- és gyakorlatnyilvántartás teljességét, valamint a beszállítók és függőségek felülvizsgálatának naprakészségét. Csak ez az összevetés mutatja meg, hogy a szervezet működő rendszert vagy csupán annak formális képét tartja fenn.

A megfelelési programot a szolgáltatásokból, nem a dokumentumokból kell felépíteni

A projektek kezdetén gyakori hiba, hogy a szervezet az MSZ EN ISO 27001 szabályzatainak, eljárásainak és feljegyzéseinek felülvizsgálatával indul, ahelyett, hogy először azt tisztázná, mely szolgáltatásokat kell ténylegesen fenntartania, és ezekhez milyen szabályozói kötelezettségek kapcsolódnak. A helyes sorrend ennek az ellenkezője: először az üzletmenet-folytonosság és a KSC szerinti felelősségek szempontjából kritikus szolgáltatásokat, folyamatokat, erőforrásokat és függőségeket kell azonosítani, majd ezekhez kell hozzárendelni az irányítási és bizonyítási követelményeket. Csak így választható el a valóban szükséges dokumentum a feleslegestől.

A felső vezetés számára ez azt jelenti, hogy el kell rendelni a kritikus szolgáltatások, a beszállítói és rendszerfüggőségek, valamint a párhuzamosság nélkül felhasználható meglévő eljárások feltérképezését. Csak ennek alapján látható, hogy a jelenlegi rendszer azt fedi-e le, ami a szolgáltatás fenntartása és a megfelelés szempontjából ténylegesen fontos, vagy csupán azt, ami korábban bekerült a tanúsítási területbe.

A második lépés a felelősségi modell kialakítása. Ha az információbiztonsági feladatok megoszlanak az informatika, a minőségirányítás, a megfelelési funkció, a karbantartás és a beszerzés között, egyértelmű szerepkiosztás nélkül a projekt gyorsan helyi kezdeményezések halmazává válik. Meg kell határozni, ki a kockázatok felelőse, ki vezeti az incidenskezelést, ki felügyeli a beszállítói kapcsolatokat, ki hozza meg a vezetői döntéseket, és ki gondoskodik a megfelelési bizonyítékokról. A gyakorlatban jól működik egy egyszerű szerep- és felelősségi mátrix, valamint egyetlen vezetői felülvizsgálati ritmus több párhuzamos jelentési útvonal helyett. Ekkor kell arról is dönteni, hogy létrejöjjön-e közös irányító testület a megfelelés és az információbiztonság felügyeletére, illetve hogy az operatív technológiai környezet ugyanabba a kockázatkezelési modellbe kerüljön-e.

Ez a logika különösen fontos a gyártó és több telephelyen működő szervezeteknél. Egy incidens következménye itt nem korlátozódik az adatok bizalmasságának sérülésére: leállhat a gyártósor, megszakadhat a tervezés, elveszhet a tételazonosíthatóság vagy a szolgáltatásnyújtási képesség. Az információbiztonságot ezért össze kell kapcsolni az operatív folytonossággal, a karbantartással és az operatív technológiai környezetekkel. Ha az irányítási rendszer csak az irodai környezetet fedi le, miközben kihagyja a vezérlést, a távoli szervizelést, a rendszerintegrátoroktól való függőséget vagy a telephelyi vészhelyzeti eljárásokat, a kockázati kép formailag rendezett, operatív szempontból azonban hiányos marad. Ugyanez a tervezési fegyelem más, magas felügyeleti követelményekkel jellemezhető területeken is megjelenik, például az ASME, NQA-1 és ISO 19443 — három rövidítés, amelyet minden nukleáris beszállítónak ismernie kell című témában.

Csak erre az alapra érdemes ráépíteni a meglévő MSZ EN ISO 27001 rendszert, majd külön KSC-követelmények szerinti hiányelemzést végezni. Ennek célja nem a tanúsítvány megkérdőjelezése, hanem annak feltárása, hogy hol van tényleges lefedettség, és hol szükségesek további eljárások, nyilvántartások, eszkalációs útvonalak vagy működési bizonyítékok. Ez a megközelítés csökkenti a túlzott dokumentálást, és jobban biztosítja a mechanizmusok összhangját, mint az egymással versengő, különálló bevezetési projektek.

Hogyan ellenőrizhető a tényleges állapot audit vagy hatósági ellenőrzés előtt?

Audit, önértékelés vagy ellenőrzés előtt nem azt kell megkérdezni, hogy a szervezet „rendelkezik-e MSZ EN ISO 27001-gyel”, hanem azt, hogy képes-e bizonyítani a tényleges cselekvőképességét és a döntések elszámoltathatóságát. Ezt a felkészültséget négy rétegben érdemes értékelni: először a kötelezettségek hatályát és a szervezet státuszát kell tisztázni, majd az irányítási rendszer kialakítását, azt követően a folyamatok eredményességét, végül pedig a bizonyítékok teljességét kell ellenőrizni. Csak ez a sorrend teszi lehetővé a dokumentáció rendezettségének és az operatív képességnek a megkülönböztetését.

A leghasznosabb kérdés ezért nem az, hogy van-e eljárás, hanem az, hogy ismert-e, mikor kell azt aktiválni, ki hozza meg a döntést, melyek az eszkalációs küszöbértékek, hogyan bizonyítható az intézkedés, és sor került-e a forgatókönyv gyakorlására. Ha az incidenskezelés egyetlen személy tudásától függ, a beszállítói kapcsolatokhoz nincsenek információbiztonsági kritériumok rendelve, a felső vezetés pedig csak általános, döntések és határidők nélküli jelentéseket kap, akkor a rendszer formailag megfelelhet saját leírásának, mégsem áll készen a nyomás alatti működésre.

A felkészültségi felülvizsgálatnak ezért ki kell terjednie a felső vezetés, az operatív területek, az informatika, a karbantartás és a beszállítók közötti kapcsolódási pontokra, mert a kizárólag eljárásalapú vizsgálatokban nem látható hiányosságok leggyakrabban ezeken a pontokon jelennek meg. A gyakorlatban az operatív audit jellegű hiányelemzés működik a legjobban. Ilyenkor nemcsak a dokumentumok tartalmát, hanem a döntési folyamatot, az eszkalációs útvonalakat, az incidensfeljegyzéseket, a tesztek és gyakorlatok eredményeit, valamint a nemmegfelelőségek, észrevételek és helyesbítő intézkedések nyilvántartását is értékelni kell.

Hasznos próba egy egyszerű forgatókönyv: incidens történik egy kulcsfontosságú beszállítónál vagy zavar keletkezik a termelési környezetben. Meg kell határozni, ki minősíti az eseményt, ki indítja el a kommunikációt, ki értékeli a szolgáltatásra gyakorolt hatást, és milyen bizonyítékok maradnak a döntés után. Ha a válaszok szétszórtak, a szervezet pedig olyan „bevett gyakorlatra” hivatkozik, amelyet senki nem tud feljegyzésekből rekonstruálni, a felkészültség még szabályosan fenntartott irányítási rendszer mellett is csak látszólagos.

Ha a szervezet már végez MSZ EN ISO 27001 szerinti belső auditokat, azokat érdemes felhasználni ehhez az ellenőrzéshez, az auditkritériumokat azonban ki kell egészíteni a szabályozói kötelezettségekkel és a KSC szempontjából elvárt bizonyítékokkal. Az auditori módszertan itt kifejezetten hasznos, ahogyan a vezető auditor vagy belső auditor szerepére készülő szakemberek kompetenciái is. Természetes kiindulópont lehet az MSZ EN ISO 27001 vezető auditor: átfogó útmutató a tanúsításhoz és a szabvány követelményeihez című anyag. A megfelelő sorrendet azonban meg kell tartani: az auditori kompetencia segít a rendszer ellenőrzésében, de nem helyettesíti annak elemzését, hogy az adott vállalatra ténylegesen milyen jogi és szervezeti kötelezettségek vonatkoznak.

Vezetői döntés: a tanúsítvány legyen alap, ne alibi

A legészszerűbb megközelítés az MSZ EN ISO 27001-et a vezetési rend alapjaként, nem pedig a NIS2-ből és a KSC-ből eredő valamennyi kötelezettség teljesítésének önálló bizonyítékaként kezeli. A tanúsítvány rendezi a felelősségeket, a kockázatértékelést, az incidensek felügyeletét, az auditálást és a fejlesztést, de nem mentesít annak meghatározása alól, hogy az adott szervezetre pontosan milyen kötelezettségek vonatkoznak, milyen terjedelemben, és milyen bizonyítékok szükségesek a működés eredményességének igazolásához.

Vezetői szempontból nem a dokumentációs hiányosság jelenti a legnagyobb veszélyt, hanem a felkészültség illúziója: az a meggyőződés, hogy a tanúsított rendszer automatikusan felkészíti a szervezetet a nemzeti jogrend követelményeire is. A döntés ezért nem korlátozódhat arra, hogy fenn kell-e tartani vagy ki kell-e terjeszteni a tanúsítást. Először három vezetési kérdést kell rendezni:

• meg kell erősíteni a szervezet státuszát és a kötelezettségek hatályát,
• hiányelemzést kell végezni a meglévő rendszer és a KSC követelményei között,
• meg kell határozni az intézkedések végrehajtásának és az eredményességi bizonyítékoknak a felügyeleti modelljét.

Csak ennek alapján dönthető el érdemben, hogy szükséges-e a tanúsítási terület kiterjesztése, vagy a meglévő MSZ EN ISO 27001 rendszer változatlan alkalmazási területtel is felhasználható, és elegendő a hiányzó szervezeti, jogi és operatív mechanizmusok kiépítése. A gyakorlatban három egyszerű vezetési eszköz segíti ezt: a tanúsítás aktuális alkalmazási területének összevetése a kritikus folyamatok térképével, a hiányosságok kockázati és megfelelési hatás szerinti listája, valamint egy intézkedési terv kijelölt felelősökkel, határidőkkel és lezárási kritériumokkal.

Ha a szervezet még csak most választja ki a követendő utat, a feladatok sorrendje nem lehet minden esetben azonos. Erős ügyfélnyomás vagy közbeszerzési követelmények mellett indokolt lehet először a tanúsítható rendszer kialakítása, feltéve, hogy ezzel párhuzamosan nem halasztják el a szabályozói kötelezettségek elemzését. Magas operatív kockázattal vagy széttagolt felelősségi modellel működő vállalatoknál viszont célszerűbb lehet először a szabályozói hiányosságokat megszüntetni, és csak utána rendezni a tanúsítási területet. Ez nem a formalitások sorrendjéről, hanem a kockázatcsökkentés prioritásairól szól. Ebben az értelemben az ISO tanúsítvány: előnyök és a bevezetés folyamata témáját sem a vállalat működési modelljétől elszigetelten, hanem a megfelelés irányításáról szóló szélesebb vezetői döntés részeként érdemes kezelni.

A legjobb eredményt olyan egységes program biztosítja, amelyben az információbiztonság, az üzletmenet-folytonosság, a beszállítói felügyelet és a szabályozói kötelezettségek a vállalat működési modelljének részeként jelennek meg, nem pedig különböző szervezeti egységek elkülönült kezdeményezéseiként. Lengyelországi környezetben gyakran éppen a széttagolt felelősség gyengíti a bizonyítási és végrehajtási képességet. A végső következtetés egyértelmű: a tanúsítvány segít, és jelentősen lerövidítheti a rendszer rendezéséhez vezető utat, de a megfelelést külön meg kell tervezni, be kell vezetni, és a NIS2, valamint a KSC sajátos feltételei között bizonyítékokkal is alá kell támasztani.