Paljudes ettevõtetes algab NIS2 käsitlus küsimusest, kas EVS EN ISO 27001 sertifikaat on olemas. See on mõistetav, kuid juhatuse ja protsessiomaniku vaates vale lähtekoht. Esmalt tuleb kindlaks teha, kas organisatsioonile kohalduvad asjaomased kohustused, milliseid teenuseid ja varasid need hõlmavad ning kes nende täitmise eest vastutab. Alles seejärel saab usaldusväärselt hinnata, mida olemasolev infoturbe juhtimissüsteem tegelikult katab ja mis on KSC nõuetele vastavusest veel puudu. Praktikas eristab just see süsteemselt juhitud infoturvet kulukast valmisolekuillusioonist.
Kõige kallim viga: sertifikaadi võrdsustamine nõuetele vastavusega
Suurim algusviga ei ole EVS EN ISO 27001 sertifikaadi puudumine, vaid eeldus, et sertifikaat tõendab automaatselt NIS2-st ja KSC-d rakendavatest riigisisestest õigusaktidest tulenevate kohustuste täitmist. Juhtkonna jaoks ei ole õige küsimus „kas meil on EVS EN ISO 27001?”, vaid „kas nõuded kohalduvad meile, millises rollis ning milliste teenuste, protsesside ja varade suhtes?”. Alles pärast organisatsiooni staatuse, nõuetega hõlmatud tegevusulatuse ja juhatuse vastutuse kindlaksmääramist saab hinnata, mil määral olemasolev süsteem nõuetele vastavust toetab ning kus see loob üksnes korrastatuse mulje.
Sellel eristusel on otsene mõju projekti ulatusele ja eelarvele. Sertifikaat kinnitab juhtimissüsteemi vastavust standardi nõuetele kindlaksmääratud sertifitseerimisulatuses, mis on tavaliselt kirjeldatud sertifikaadil ja täpsustatud rakendatavusavalduses. See ei asenda siiski õiguslike kohustuste analüüsi, oluliste teenuste tuvastamist, tarnijasõltuvuste hindamist ega nende formaalsete toimingute määramist, mida reguleerimisalasse kuuluv organisatsioon peab tegema. Juhatus peab seetõttu eristama kolme praktikas sageli segunevat tasandit: juhtimissüsteem, regulatiivne vastavus ja operatiivne valmisolek tegutseda intsidendi surve all.
Kõige kulukamad on vastupidises järjekorras ellu viidud projektid. Organisatsioon korrastab esmalt dokumentatsiooni ja kontrollimeetmed sertifitseerimisauditi jaoks ning avastab alles hiljem, et kriitilised protsessid, intsidentidest teatamise kohustused, tarnijanõuded, juhtkonna vastutus või sektoripõhised nõuded jäid ulatusest välja. Sellisel juhul ei piisa mõne protseduuri täiendamisest. Ümber tuleb kujundada süsteemi ulatus, otsustusrollid ja reageerimismudel.
Operatiivvaates ei tasu mõõta üksnes sertifikaadi olemasolu, vaid kolme asja: sertifitseerimisulatuse vastavust kriitilistele teenustele, KSC kohaldumise enesehindamise tulemust ning protseduuride ja tegeliku tegutsemisvõime vahele jäävate lünkade arvu. Seetõttu ei ole loomulik esimene samm dokumentatsiooni laiendamine, vaid selle kindlakstegemine, kas organisatsioon kuulub kohustuste kohaldamisalasse ja milliseid formaalseid toiminguid temalt nõutakse. Sama tööjärjekorda aitab mõtestada ka teema NIS2: enesehindamine ja KSC registrisse kandmine – mida peab tootmisettevõte tegema?, sest just siin selgub, kas ettevõte kujundab süsteemi tegelike kohustuste või mugava, kuid kuluka valmisolekuillusiooni järgi.
Mida EVS EN ISO 27001 tegelikult, mitte üksnes deklaratiivselt katab
EVS EN ISO 27001 suurim praktiline väärtus ei seisne sertifikaadis endas, vaid selles, et hästi rakendatud süsteem muudab infoturbe juhitavaks valdkonnaks. Standard toetab kõige tugevamalt protsessipõhist tegutsemist: riskide hindamist ja käsitlemist, poliitikate ja kontrollipõhimõtete kujundamist, rollide ja vastutuse määramist, infovarade tuvastamist, intsidentidele reageerimist, talitluspidevust ning ülevaatamise ja pideva parendamise mehhanisme. Kui need elemendid toimivad päriselt, mitte ainult auditi tarbeks, on ettevõttel tugev alus näitamaks, et infoturve ei ole üksikute kaitsemeetmete kogum, vaid operatiivsete otsustega seotud juhitav süsteem.
Juhatus ei peaks siiski vaatama üksnes sertifikaati, vaid hindama selle kasutatavust regulatiivse tähtsusega teenuste, protsesside ja sõltuvuste suhtes. Sama sertifikaat võib tähendada küpset süsteemi, mis hõlmab kriitilisi protsesse, regulaarseid ülevaatusi, parandusmeetmeid ja protsessiomanike tegelikku järelevalvet, kuid ka kitsast süsteemi, mis piirdub organisatsiooni valitud osaga. Seetõttu tasub enne NIS2 ja KSC nõuete enesehindamist kontrollida lisaks rakendatavusavaldusele ka riskihindamisega hõlmatud protsesside loetelu, siseauditite tulemusi, juhtkonnapoolse ülevaatuse järeldusi ning seda, kas riskiotsused mõjutavad eelarvet, lepinguid, teenusearhitektuuri ja reageerimiskorda.
See tuleb hästi esile tarneahelates tegutsevate ettevõtete puhul. EVS EN ISO 27001 aitab tavaliselt korrastada lepingulisi nõudeid, teabe klassifitseerimist, juurdepääsureegleid, tarnijate vastutust ja erandite dokumenteerimist. See on kasulik alus, eriti kui kliendid eeldavad partnerite üle tehtava järelevalve tõendamist. Standard ei lahenda aga automaatselt kõiki valdkondlikke ootusi ega sektoripõhiseid kriteeriume. Sarnast valikut käsitleb teema EVS EN ISO 27001 või TISAX – kumba valida, kui klient nõuab tarneahelas infoturvet? Praktikas korrastab sertifikaat suhteid ja vastutust, kuid ei asenda kontrolli selle üle, millised kohustused tuleb veel lisada lepingutesse, eskalatsiooniprotseduuridesse ja väliste teenuste järelevalvesse.
| Süsteemi valdkond | Tüüpiline tähendus NIS2/KSC jaoks | EVS EN ISO 27001 katvuse tase |
|---|---|---|
| Riskijuhtimine | Meetmete valiku põhjendamine, kaitseprioriteedid ja juhtkonna otsused | Raamistikuna täielik; sõltub rakendamise kvaliteedist |
| Poliitikad, rollid ja vastutus | Järelevalve, ülesannete ja ülevaatustsükli tõendamine | Täielik või osaline, sõltuvalt süsteemi ulatusest |
| Infovarad ja juurdepääs | Kaitstavate varade ja nende eest vastutajate tuvastamine | Osaline kuni täielik |
| Intsidentidele reageerimine | Organisatsiooniline valmisolek, eskalatsiooniteed ning sündmuste registreerimine ja analüüs | Osaline; vajab regulatiivsete kohustuste järgi täpsustamist |
| Talitluspidevus | Teenuste säilitamine ja taastamine pärast häiret | Osaline kuni täielik |
| Tarnijate järelevalve | Nõuded partneritele, lepingud ja sõltuvuste hindamine | Osaline; ei asenda sektoripõhiseid ega õiguslikke nõudeid |
| Auditid, ülevaatused ja parandusmeetmed | Tõendid süsteemi toimimise ja parendamise kohta | Juhtimismehhanismina täielik |
Järeldus on lihtne: sertifikaat võib infoturbe korrastamise teekonda oluliselt lühendada, kuid ei tõenda iseseisvalt KSC-st tulenevate kohustuste täitmist. Sertifitseerimisaudit hindab juhtimissüsteemi vastavust standardi nõuetele määratletud ulatuses. See ei ole sama mis õiguslike kohustuste täitmise või operatiivse valmisoleku hindamine. Organisatsioon peab seetõttu paralleelselt kontrollima, kas süsteemi ulatus hõlmab olulisi protsesse, kas riskihindamist on tegelike teenuste ja sõltuvuste alusel ajakohastatud ning kas reageerimise, talitluspidevuse ja tarnijate järelevalve protseduurid toimivad praktikas.
Kus sertifikaadist ei piisa
Esimene lünk puudutab regulatiivset vastavust ennast. Infoturbe juhtimissüsteem korrastab põhimõtted, rollid ja järelevalve, kuid ei vasta automaatselt küsimusele, kas organisatsioon on KSC kohustuste kontekstis õigesti liigitatud, kes vastutab formaalsete teadete eest, kes suhtleb pädeva asutusega ning kuidas otsused juhtkonnani eskaleeritakse. See ei ole ühe puuduva dokumendi probleem, vaid vastutusmudeli ülesehituse puudus. Kui neid elemente ei seota ettevõtte tegeliku tegevusmudeliga, loob sertifikaat sisemise korra, kuid ei taga veel regulatiivset juhitavust.
Teine lünk puudutab ulatust. Paljudes organisatsioonides piirdub sertifitseerimine valitud asukoha, ühe äriühingu, konkreetse funktsiooni või osaga tugiteenustest. KSC-valmiduse hindamine peab aga lähtuma teenuste, kriitiliste protsesside, varade ja sõltuvuste tegelikust kaardist, mitte sertifitseerimisauditi piiridest. Kui olulist või tähtsat teenust osutab kontsernis mitu üksust ning kasutatakse välist andmekeskust, ühist hooldusmeeskonda või hajutatud intsidendikäsitlust, võib formaalselt korrektne sertifikaat katta ainult osa tervikust. Sellises olukorras ei piirdu juhtimisotsus küsimusega, kas sertifikaadi ulatust laiendada. Otsustada tuleb, kas luua üks terviklik vastavusprogramm või kaks paralleelset töövoogu: sertifitseerimise ja regulatiivse vastavuse jaoks.
Kolmas lünk puudutab tõendeid ning ilmneb tavaliselt alles intsidendi, õppuse või kontrolli käigus. Organisatsioonil võivad olla reageerimise, talitluspidevuse ja tarnijate järelevalve protseduurid, kuid ta ei suuda tõendada nende operatiivset toimimist. Puududa võivad intsidendiregister, juhtimisotsuste jälg, õppuste tulemused, sündmusejärgsed ülevaatused, tõhususnäitajad ja dokumenteeritud parandusmeetmed. Sellises olukorras on süsteem kirjeldatud, kuid selle toimimine ei ole tõendatud. Just siin tekivad kõige kallimad parandused, sest muuta tuleb nii protseduure kui ka juhtkonnale raporteerimist, ülevaatuste rütmi ja protsessiomanike vastutust. Sama mehhanism ilmneb ka teistes juhtimissüsteemides, sealhulgas teemas IATF 16949 – millised nõuded tekitavad igapäevases kvaliteedijuhtimises tegelikke raskusi ja kuidas vältida näilist vastavust?.
Neljas lünk puudutab tarneahelat ja väliseid sõltuvusi. Standard aitab tarnijatele esitatavaid nõudeid korrastada, kuid KSC nõuetele vastavus võib eeldada põhjalikumat kaardistamist: millised välised teenused toetavad kriitilise teenuse osutamist, kus asuvad üksikud rikkepunktid, millised on häirestsenaariumid ning kui asendatav on tarnija, personal või asukoht. Praktikas tasub mõõta mitte ainult lepingute ja tarnijahinnangute olemasolu, vaid ka sertifikaadi ulatuse vastavust kriitiliste teenuste tegelikule kaardile, intsidendi- ja õppuseregistrite täielikkust ning tarnijate ja sõltuvuste ülevaatuste ajakohasust. Alles selline võrdlus näitab, kas organisatsioonil on toimiv süsteem või üksnes selle formaalne kujutis.
Vastavusprojekt tuleb üles ehitada teenuste, mitte dokumentide järgi
Levinud algusviga on avada projekt EVS EN ISO 27001 poliitikate, protseduuride ja tõendusdokumentide ülevaatamisega, selle asemel et küsida, millised teenused peavad tegelikult säilima ja millised regulatiivsed kohustused nendega kaasnevad. Õige tööjärjekord on vastupidine: esmalt tuvastatakse talitluspidevuse ja KSC vastutuse seisukohalt kriitilised teenused, protsessid, varad ja sõltuvused ning alles seejärel seotakse nendega süsteemi- ja tõendusnõuded. Ainult nii saab eristada vajalikku dokumenti üleliigsest.
Juhatuse jaoks tähendab see otsust luua kriitiliste teenuste, tarnija- ja süsteemisõltuvuste kaart ning loetelu olemasolevatest protseduuridest, mida saab kasutada mehhanisme dubleerimata. Alles selle põhjal selgub, kas praegune süsteem hõlmab teenuse säilitamise ja nõuetele vastavuse seisukohalt olulist või üksnes seda, mis on ajalooliselt sertifitseerimisulatusse lisatud.
Teine samm puudutab vastutusmudelit. Kui infoturve on hajutatud IT, kvaliteedijuhtimise, vastavuskontrolli, hoolduse ja hangete vahel ning rollid ei ole üheselt määratud, muutub projekt kiiresti kohalike algatuste kogumiks. Seetõttu tuleb kindlaks määrata, kes vastutab riskide eest, kes juhib intsidentide käsitlemist, kes kontrollib tarnijasuhteid, kes teeb juhtimisotsuseid ja kes säilitab vastavustõendeid. Praktikas toimivad hästi lihtne rollide ja vastutuse maatriks ning üks juhtkonna ülevaatuste rütm mitme paralleelse aruandluskanali asemel. Samuti tuleb siin otsustada, kas vastavuse ja infoturbe jaoks luuakse üks juhtkomitee ning kas operatiivtehnoloogia kaasatakse samasse riskijuhtimismudelisse.
Tootmis- ja mitme tegevuskohaga organisatsioonides on see loogika eriti oluline. Intsident ei piirdu seal andmete konfidentsiaalsuse kadumisega, vaid võib peatada tootmisliini, häirida planeerimist, kaotada partiide jälgitavuse või katkestada teenuse osutamise võime. Seetõttu tuleb infoturve siduda tegevuse järjepidevuse, hoolduse ja operatiivtehnoloogia keskkondadega. Kui juhtimissüsteem hõlmab ainult kontorikeskkonda, kuid jätab kõrvale juhtimissüsteemid, kaugteeninduse, integraatoritest sõltuvuse või tehase hädaolukorra protseduurid, on riskipilt formaalselt korrastatud, kuid operatiivselt puudulik. Sama projektidistsipliini kohtab ka teistes rangelt kontrollitud valdkondades, sealhulgas teemas ASME, NQA-1 ja ISO 19443 – kolm lühendit, mida peab tundma tuumasektori tarnija.
Alles sellel alusel tasub kasutada olemasolevat EVS EN ISO 27001 süsteemi baaskihina ja teha eraldi KSC lünkade analüüs. Selle eesmärk ei ole sertifikaadi kahtluse alla seadmine, vaid kontrollimine, kus katvus päriselt olemas on ning kus on vaja täiendavaid protseduure, registreid, eskalatsiooniteid või toimivustõendeid. Selline lähenemine vähendab liigset dokumentatsiooni ja aitab mehhanismide kooskõla paremini juhtida kui eraldiseisvad konkureerivad rakendusprojektid.
Kuidas kontrollida tegelikku olukorda enne auditit või järelevalvekontrolli
Enne auditit, enesehindamist või kontrolli ei tule küsida, kas organisatsioonil „on EVS EN ISO 27001”, vaid kas ta suudab tõendada tegelikku tegutsemisvalmidust ja otsuste jälgitavust. Seda valmisolekut tasub hinnata neljal tasandil: esmalt kohustuste kohaldamisala ja organisatsiooni staatus, seejärel juhtimissüsteemi ülesehitus, protsesside toimivus ning lõpuks tõendite täielikkus. Alles selline järjestus võimaldab eristada dokumenteeritud korda operatiivsest võimekusest.
Kõige kasulikumad küsimused ei ole „kas meil on protseduur?”, vaid „kas me teame, millal see käivitada, kes teeb otsuse, millised on eskalatsioonikünnised, kuidas me seda tõendame ja kas oleme stsenaariumi harjutanud?”. Kui intsidendikäsitlus sõltub ühe inimese teadmistest, tarnijasuhetele ei ole määratud infoturbekriteeriume ning juhatus saab ainult üldisi aruandeid ilma otsuste ja tähtaegadeta, võib süsteem vastata formaalselt enda kirjeldusele, kuid olla surveolukorras endiselt ebapiisav.
Valmisoleku ülevaatus peab seetõttu hõlmama juhatuse, operatsioonide, IT, hoolduse ja tarnijate vahelisi liideseid, sest just seal ilmnevad tavaliselt protseduuridest nähtamatud lüngad. Praktikas annab parima tulemuse operatiivauditi laadis lünkade analüüs. See hindab lisaks dokumentide sisule ka otsustusvoogu, eskalatsiooniteid, intsidendikirjeid, testide ja õppuste tulemusi ning mittevastavuste, tähelepanekute ja parandusmeetmete registrit.
Hea kontrollstsenaarium on lihtne: võtmetarnija juures toimub intsident või tootmiskeskkonnas tekib häire ning tuleb otsustada, kes sündmuse liigitab, kes käivitab kommunikatsiooni, kes hindab mõju teenusele ja millised tõendid otsusest alles jäävad. Kui vastused on hajutatud ning organisatsioon viitab „väljakujunenud praktikale”, mida ei saa kirjetest taastada, on valmisolek näiline ka korrektselt hooldatud juhtimissüsteemi puhul.
Kui organisatsioon juba teeb EVS EN ISO 27001 siseauditeid, tasub neid kasutada sellise kontrolli kandjana, kuid auditikriteeriume tuleb täiendada regulatiivsete kohustuste ja KSC vaates eeldatavate tõenditega. Auditeerimispädevus on siin väga kasulik, nagu ka juhtivaudiitori või siseaudiitori rolliks valmistuvate spetsialistide oskused. Sobivaks lähteallikaks võib olla ka materjal EVS EN ISO 27001 juhtivaudiitor: põhjalik juhend sertifitseerimise ja standardi nõuete kohta. Õige järjekord peab siiski säilima: auditipädevus aitab süsteemi hinnata, kuid ei asenda analüüsi selle kohta, millised õiguslikud ja korralduslikud kohustused konkreetsele ettevõttele tegelikult kohalduvad.
Juhtimisotsus: sertifikaat on alus, mitte alibi
Kõige mõistlikum on käsitleda EVS EN ISO 27001 standardit juhtimiskorra alusena, mitte iseseisva tõendina kõigi NIS2-st ja KSC-st tulenevate kohustuste täitmise kohta. Sertifikaat aitab korrastada vastutust, riskihindamist, intsidentide järelevalvet, auditeerimist ja parendamist, kuid ei vabasta organisatsiooni kohustusest määrata kindlaks, millised nõuded talle kohalduvad, millises ulatuses ning milliseid tõendeid on tegevuse tulemuslikkuse näitamiseks vaja.
Juhatuse vaates ei ole kõige ohtlikum dokumentatsioonilünk, vaid valmisolekuillusioon: veendumus, et sertifitseeritud süsteem tähendab automaatselt valmisolekut riigisisese õiguskorra nõueteks. Seetõttu ei peaks otsus puudutama ainult sertifikaadi säilitamist või ulatuse laiendamist. Esmalt tuleb lahendada kolm juhtimisküsimust:
- kinnitada organisatsiooni staatus ja kohustuste ulatus,
- analüüsida olemasoleva süsteemi ja KSC nõuete vahelisi lünki,
- määrata meetmete elluviimise ja tõhusustõendite järelevalvemudel.
Alles selle põhjal saab põhjendatult otsustada, kas ettevõte vajab sertifitseerimisulatuse laiendamist või piisab olemasoleva EVS EN ISO 27001 süsteemi kasutamisest ja puuduvate organisatsiooniliste, õiguslike ning operatiivsete mehhanismide lisamisest. Praktikas toetavad otsustamist kolm lihtsat juhtimisvahendit: kriitiliste protsesside kaardiga kõrvutatud kehtiv sertifitseerimisulatus, riski- ja vastavusmõju järgi hinnatud lünkade loetelu ning tegevuskava koos vastutajate, tähtaegade ja sulgemiskriteeriumidega.
Kui organisatsioon alles valib tegevussuunda, ei ole tööde järjekord universaalne. Seal, kus klientide surve või hanketingimused on tugevad, võib sertifitseerimisele suunatud süsteemi ehitamine olla põhjendatud esimene samm, tingimusel et regulatiivsete kohustuste analüüsi samal ajal edasi ei lükata. Suure operatsiooniriskiga või hajusa vastutusmudeliga ettevõtetes võib olla mõistlikum esmalt sulgeda regulatiivsed lüngad ning alles seejärel korrastada sertifitseerimisulatust. Küsimus ei ole formaalsuste järjestuses, vaid riskide vähendamise järjekorras. Seetõttu tuleb ka teemat ISO sertifikaat: kasu ja rakendamisprotsess vaadelda ettevõtte tegevusmudeli kontekstis ning osana laiemast vastavusjuhtimise otsusest.
Parima tulemuse annab üks terviklik programm, milles infoturvet, talitluspidevust, tarnijate järelevalvet ja regulatiivseid kohustusi juhitakse ettevõtte tegevusmudeli osana, mitte eri üksuste eraldiseisvate algatustena. Poola oludes nõrgestab tõendamis- ja teostusvalmidust kõige sagedamini just vastutuse killustatus. Lõppjäreldus on selge: sertifikaat aitab ja võib süsteemi korrastamise teekonda märkimisväärselt lühendada, kuid NIS2 ja KSC kontekstis tuleb vastavus ikkagi kavandada, rakendada ning toimivate tõenditega kaitsta.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
