Daudzos uzņēmumos saruna par NIS2 sākas ar jautājumu par LVS EN ISO 27001 sertifikātu. Tas ir saprotami, tomēr valdes un procesa īpašnieka skatījumā tas nav pareizais sākumpunkts. Vispirms jānosaka, vai uz organizāciju attiecas konkrētie pienākumi, kurus pakalpojumus un resursus tie skar un kam par tiem jāatbild. Tikai pēc tam iespējams objektīvi novērtēt, ko esošā informācijas drošības pārvaldības sistēma patiešām aptver un kā vēl trūkst atbilstībai KSC. Praksē tieši šajā posmā atklājas atšķirība starp sakārtotu pārvaldības sistēmu un dārgu gatavības ilūziju.
Dārgākā kļūda: sertifikāta pielīdzināšana atbilstībai
Lielākā sākotnējā kļūda nav LVS EN ISO 27001 sertifikāta neesamība, bet gan pieņēmums, ka sertifikāts pats par sevi apliecina atbilstību no NIS2 un KSC ieviešanas nacionālajiem tiesību aktiem izrietošajiem pienākumiem. Vadībai būtu jājautā nevis “vai mums ir LVS EN ISO 27001?”, bet gan “vai uz mums attiecas šie pienākumi, kādā statusā un attiecībā uz kuriem pakalpojumiem, procesiem un resursiem?”. Tikai pēc subjekta statusa, prasībām pakļautās darbības jomas un valdes atbildības noteikšanas var izvērtēt, cik lielā mērā esošā sistēma reāli atbalsta atbilstību un kur tā rada tikai sakārtotības iespaidu.
Šim nošķīrumam ir tieša ietekme uz projekta apjomu un budžetu. Sertifikāts apliecina pārvaldības sistēmas atbilstību standarta prasībām noteiktā sertifikācijas tvērumā, kas parasti norādīts sertifikātā un precizēts piemērojamības deklarācijā. Tas tomēr neaizstāj tiesību aktos noteikto pienākumu analīzi, būtisko pakalpojumu identificēšanu, piegādātāju atkarību izvērtēšanu vai to formālo darbību noteikšanu, kuras organizācijai jāveic kā regulējumam pakļautam subjektam. Tādēļ valdei jānodala trīs jomas, kuras praksē bieži tiek sajauktas: pārvaldības sistēma, regulatīvā atbilstība un operacionālā gatavība rīkoties incidenta radīta spiediena apstākļos.
Visdārgākie ir projekti, kas īstenoti pretējā secībā. Organizācija vispirms sakārto dokumentāciju un kontroles pasākumus sertifikācijas auditam, bet tikai pēc tam konstatē, ka ārpus tvēruma palikuši kritiskie procesi, incidentu ziņošanas pienākumi, prasības piegādātājiem, vadības atbildība vai nozarei specifiskas prasības. Tad nepietiek papildināt dažas procedūras — jāpārveido sistēmas tvērums, lēmumu pieņemšanas lomas un reaģēšanas kārtība.
No operacionālās pārvaldības viedokļa jāvērtē nevis sertifikāta esamība, bet trīs konkrēti aspekti: sertifikācijas tvēruma atbilstība kritiskajiem pakalpojumiem, pašnovērtējuma rezultāts par KSC piemērojamību un plaisu skaits starp aprakstītajām procedūrām un faktisko rīcībspēju. Tādēļ pirmais loģiskais solis nav dokumentācijas paplašināšana, bet gan noskaidrošana, vai organizācija ietilpst pienākumu tvērumā un kādas formālās darbības tai jāveic. Šo secību palīdz strukturēt arī tēma NIS2: pašnovērtējums un iekļaušana KSC sarakstā — kas jādara ražošanas uzņēmumam?, jo tieši šeit kļūst skaidrs, vai uzņēmums veido sistēmu reāliem pienākumiem vai ērtai, bet dārgai gatavības ilūzijai.
Ko LVS EN ISO 27001 aptver praksē, nevis tikai deklarācijās
LVS EN ISO 27001 galvenā praktiskā vērtība nav pats sertifikāts. Pareizi ieviesta sistēma ļauj pārvaldīt informācijas drošību kā pilnvērtīgu vadības jomu. Vislielāko atbalstu tā sniedz procesos, kuros nepieciešama sistemātiska pieeja: riska novērtēšanā un apstrādē, politiku un kontroles principu izstrādē, lomu un atbildības noteikšanā, informācijas aktīvu identificēšanā, incidentu pārvaldībā, darbības nepārtrauktībā, kā arī pārskatīšanas un pilnveidošanas mehānismos. Ja šie elementi darbojas ikdienā, nevis tikai audita vajadzībām, organizācijai ir stabils pamats, lai pierādītu, ka drošība nav atsevišķu aizsardzības līdzekļu kopums, bet gan pārvaldīta sistēma, kas saistīta ar operacionāliem lēmumiem.
Valdei tomēr jāvērtē nevis sertifikāts pats par sevi, bet tā praktiskā nozīme pakalpojumiem, procesiem un atkarībām ar regulatīvu ietekmi. Viens un tas pats sertifikāts var nozīmēt nobriedušu sistēmu, kas aptver kritiskos procesus, regulāras pārskatīšanas, korektīvās darbības un procesu īpašnieku faktisku uzraudzību, vai arī šauru sistēmu, kas attiecas tikai uz vienu organizācijas daļu. Tādēļ pirms NIS2 un KSC prasību pašnovērtējuma jāpārbauda ne vien piemērojamības deklarācija, bet arī riska novērtējumā iekļauto procesu saraksts, iekšējo auditu rezultāti, vadības pārskatu secinājumi un tas, vai lēmumi par risku ietekmē budžetu, līgumus, pakalpojumu arhitektūru un reaģēšanas kārtību.
Tas īpaši labi redzams piegādes ķēdēs strādājošos uzņēmumos. LVS EN ISO 27001 parasti palīdz sakārtot līgumu prasības, informācijas klasifikāciju, piekļuves noteikumus, piegādātāju atbildību un atkāpju dokumentēšanu. Tas ir vērtīgs pamats, it īpaši tad, ja klienti sagaida pierādāmu partneru uzraudzību. Tomēr standarts automātiski neaptver visas nozares prasības vai īpašos sektora kritērijus. Līdzīgs jautājums aplūkots materiālā LVS EN ISO 27001 vai TISAX — ko izvēlēties, ja klients pieprasa informācijas drošību piegādes ķēdē? Praksē sertifikāts palīdz strukturēt attiecības un atbildību, taču neaizstāj pārbaudi, kādi papildu pienākumi jāiekļauj līgumos, eskalācijas procedūrās un ārpakalpojumu uzraudzībā.
| Sistēmas joma | Tipiskā nozīme NIS2/KSC kontekstā | LVS EN ISO 27001 nodrošinātais segums |
|---|---|---|
| Riska pārvaldība | Pasākumu izvēles pamatojums, aizsardzības prioritātes un vadības lēmumi | Pilnīgs kā sistēmisks ietvars; rezultāts atkarīgs no ieviešanas kvalitātes |
| Politikas, lomas un atbildība | Uzraudzības, pienākumu sadales un pārskatīšanas cikla pierādīšana | Pilnīgs vai daļējs atkarībā no sistēmas tvēruma |
| Informācijas aktīvi un piekļuve | Aizsargājamo objektu un par tiem atbildīgo personu identificēšana | No daļēja līdz pilnīgam |
| Reaģēšana uz incidentiem | Organizatoriskā gatavība, eskalācijas ceļi, notikumu reģistrēšana un analīze | Daļējs; nepieciešama precizēšana atbilstoši regulatīvajiem pienākumiem |
| Darbības nepārtrauktība | Pakalpojumu uzturēšana un atjaunošana pēc traucējumiem | No daļēja līdz pilnīgam |
| Piegādātāju uzraudzība | Prasības partneriem, līgumi un atkarību novērtēšana | Daļējs; neaizstāj nozaru un tiesību aktu prasības |
| Auditi, pārskatīšana un korektīvās darbības | Pierādījumi, ka sistēma darbojas un tiek pilnveidota | Pilnīgs kā pārvaldības mehānisms |
Secinājums ir vienkāršs: sertifikāts var būtiski saīsināt ceļu līdz sakārtotai drošības pārvaldībai, taču tas pats par sevi nav pierādījums visu no KSC izrietošo pienākumu izpildei. Sertifikācijas auditā tiek vērtēta pārvaldības sistēmas atbilstība standarta prasībām noteiktā tvērumā. Tas nav tas pats, kas tiesību aktos noteikto pienākumu un operacionālās gatavības novērtējums. Tādēļ organizācijai paralēli jāpārbauda, vai sistēmas tvērums ietver būtiskos procesus, vai riska novērtējums ir aktualizēts atbilstoši faktiskajiem pakalpojumiem un atkarībām un vai incidentu pārvaldības, darbības nepārtrauktības un piegādātāju uzraudzības procedūras darbojas praksē.
Kur ar sertifikātu nepietiek
Pirmā plaisa attiecas uz regulatīvo atbilstību. Informācijas drošības pārvaldības sistēma sakārto noteikumus, lomas un uzraudzību, bet pati par sevi neatbild uz jautājumu, vai organizācijas statuss KSC kontekstā ir noteikts pareizi, kurš atbild par formālajiem paziņojumiem, kurš uztur saziņu ar kompetento iestādi un kā lēmumi tiek eskalēti vadībai. Tā nav viena trūkstoša dokumenta problēma, bet gan atbildības modeļa nepilnība. Ja šie elementi nav integrēti uzņēmuma faktiskajā darbības modelī, sertifikāts nodrošina iekšēju kārtību, bet vēl nenodrošina regulatīvo vadāmību.
Otrā plaisa ir saistīta ar tvērumu. Daudzu organizāciju sertifikācija attiecas tikai uz konkrētu atrašanās vietu, vienu uzņēmumu, noteiktu struktūrvienību vai daļu atbalsta pakalpojumu. Savukārt KSC gatavības novērtējumam jāsākas ar faktisko pakalpojumu, kritisko procesu, resursu un atkarību kartējumu, nevis sertifikācijas audita robežām. Ja būtisku vai svarīgu pakalpojumu nodrošina vairāki grupas uzņēmumi, izmantojot ārēju datu centru, kopīgu uzturēšanas komandu vai izkliedētu incidentu pārvaldības procesu, formāli korekts sertifikāts var aptvert tikai daļu no kopējās sistēmas. Šādā situācijā vadībai jālemj ne tikai par sertifikāta tvēruma paplašināšanu, bet arī par to, vai veidot vienotu atbilstības programmu vai divas koordinētas plūsmas — sertifikācijas un regulatīvās atbilstības plūsmu.
Trešā plaisa ir saistīta ar pierādījumiem un parasti kļūst redzama tikai incidenta, mācību vai pārbaudes laikā. Organizācijai ir incidentu pārvaldības, darbības nepārtrauktības un piegādātāju uzraudzības procedūras, taču tā nespēj pierādīt šo mehānismu praktisku darbību. Trūkst incidentu reģistra, vadības lēmumu izsekojamības, mācību rezultātu, pēcincidenta pārskatu, efektivitātes rādītāju un dokumentētu korektīvo darbību. Šādā situācijā sistēma ir aprakstīta, bet nav pierādīta. Tieši šeit rodas dārgākās korekcijas, jo jāmaina ne tikai procedūru saturs, bet arī ziņošanas kārtība valdei, pārskatīšanas ritms un procesu īpašnieku atbildība. Tas pats mehānisms vērojams arī citās pārvaldības sistēmās, tostarp rakstā IATF 16949 — kuras prasības kvalitātes ikdienas darbā rada visvairāk problēmu un kā tās pārvaldīt bez šķietamas atbilstības.
Ceturtā plaisa skar piegādes ķēdi un ārējās atkarības. Standarts palīdz sakārtot prasības piegādātājiem, tomēr atbilstībai KSC var būt nepieciešama detalizētāka kartēšana: kuri ārējie pakalpojumi uztur kritiskā pakalpojuma sniegšanu, kur atrodas vienīgie atteices punkti, kādi ir darbības traucējumu scenāriji un cik reāli iespējams aizstāt piegādātāju, personālu vai atrašanās vietu. Praksē jāvērtē nevis tikai līgumu un piegādātāju novērtējumu esamība, bet arī sertifikācijas tvēruma atbilstība faktiskajai kritisko pakalpojumu kartei, incidentu un mācību reģistra pilnīgums, kā arī piegādātāju un atkarību pārskatīšanas aktualitāte. Tikai šāds kopskats parāda, vai organizācijai ir funkcionējoša sistēma vai vienīgi tās formāls attēlojums.
Atbilstības projekts jāsāk ar pakalpojumiem, nevis dokumentiem
Tipiska sākotnējā kļūda ir projekta sākšana ar LVS EN ISO 27001 politiku, procedūru un ierakstu pārskatīšanu, nevis ar jautājumu, kuri pakalpojumi faktiski jāuztur un kādi regulatīvie pienākumi ar tiem saistīti. Pareizā secība ir pretēja: vispirms identificē pakalpojumus, procesus, resursus un atkarības, kas ir kritiski darbības nepārtrauktībai un atbildībai KSC kontekstā, un tikai pēc tam tiem piesaista sistēmas prasības un nepieciešamos pierādījumus. Tikai šāda pieeja ļauj nošķirt vajadzīgos dokumentus no tiem, kas praktisku vērtību nerada.
Valdei tas nozīmē lēmumu izveidot kritisko pakalpojumu, piegādātāju un sistēmu atkarību karti, kā arī sarakstu ar esošajām procedūrām, kuras iespējams izmantot, nedublējot kontroles mehānismus. Tikai uz šāda pamata var noteikt, vai esošā sistēma aptver elementus, kas patiešām ir svarīgi pakalpojuma uzturēšanai un atbilstībai, vai tikai to, kas vēsturiski iekļauts sertifikācijas tvērumā.
Otrais solis ir atbildības modeļa noteikšana. Ja informācijas drošība ir sadalīta starp IT, kvalitātes vadību, atbilstības funkciju, tehnisko uzturēšanu un iepirkumu, bet lomas nav skaidri nodalītas, projekts ātri pārvēršas par savstarpēji nesaistītu vietējo iniciatīvu kopumu. Jānosaka, kurš atbild par risku, kurš vada incidentu pārvaldību, kurš uzrauga attiecības ar piegādātājiem, kurš pieņem vadības lēmumus un kurš uztur atbilstības pierādījumus. Praksē labi darbojas vienkārša lomu un atbildības matrica un vienots vadības pārskatīšanas ritms vairāku paralēlu ziņošanas kanālu vietā. Šajā posmā jāizlemj arī, vai atbilstībai un drošībai veidot vienotu vadības komiteju un vai operacionālās tehnoloģijas iekļaut tajā pašā riska pārvaldības modelī.
Ražošanas uzņēmumos un organizācijās ar vairākām ražotnēm šai pieejai ir īpaša nozīme. Incidents var skart ne tikai datu konfidencialitāti, bet arī apturēt ražošanas līniju, traucēt plānošanu, liegt partiju izsekojamību vai pārtraukt pakalpojuma sniegšanu. Tādēļ informācijas drošība jāsasaista ar darbības nepārtrauktību, tehnisko uzturēšanu un operacionālo tehnoloģiju vidi. Ja pārvaldības sistēma aptver tikai biroja IT, bet neietver vadības sistēmas, attālināto servisu, atkarību no integratoriem vai ražotnes ārkārtas procedūras, riska aina būs formāli sakārtota, bet operacionāli nepilnīga. Tāda pati projektu disciplīna nepieciešama arī citās stingri uzraudzītās jomās, kurās tiek izmantotas tādas atsauces kā ASME, NQA-1 un ISO 19443 — trīs saīsinājumi, kas jāzina kodolenerģētikas nozares piegādātājam.
Tikai uz šāda pamata esošo LVS EN ISO 27001 sistēmu ir lietderīgi izmantot kā bāzes slāni un veikt atsevišķu KSC prasību neatbilstību analīzi. Šādas analīzes mērķis nav apšaubīt sertifikātu, bet noteikt, kur prasības jau ir aptvertas un kur nepieciešamas papildu procedūras, reģistri, eskalācijas ceļi vai darbības pierādījumi. Šī pieeja samazina liekas dokumentācijas apjomu un ļauj labāk kontrolēt mehānismu savstarpējo saskaņotību nekā atsevišķi, konkurējoši ieviešanas projekti.
Kā pārbaudīt faktisko situāciju pirms audita vai pārbaudes
Pirms audita, pašnovērtējuma vai pārbaudes nevajadzētu jautāt, vai organizācijai “ir LVS EN ISO 27001”. Jājautā, vai tā spēj pierādīt faktisku gatavību rīkoties un lēmumu izsekojamību. Gatavību ieteicams vērtēt četros slāņos: vispirms noteikt pienākumu tvērumu un organizācijas statusu, tad pārbaudīt pārvaldības sistēmas uzbūvi, pēc tam procesu darbības efektivitāti un visbeidzot pierādījumu pilnīgumu. Tikai šāda secība ļauj nošķirt dokumentu sakārtotību no operacionālās rīcībspējas.
Noderīgākie jautājumi nav “vai mums ir procedūra?”, bet gan “vai zinām, kad tā jāiedarbina, kurš pieņem lēmumu, kādi ir eskalācijas sliekšņi, kā mēs to pierādīsim un vai esam šo scenāriju izmēģinājuši?”. Ja incidenta pārvaldība ir atkarīga no vienas personas zināšanām, attiecībās ar piegādātājiem nav noteikti drošības kritēriji un valde saņem tikai vispārīgus ziņojumus bez lēmumiem un termiņiem, sistēma var formāli atbilst savam aprakstam, bet nebūt gatava darbam paaugstināta spiediena apstākļos.
Tādēļ gatavības pārskatā jāiekļauj saskares punkti starp valdi, operacionālajām struktūrvienībām, IT, tehnisko uzturēšanu un piegādātājiem, jo tieši tur visbiežāk atklājas nepilnības, kuras procedūrās nav redzamas. Praksē vislabāk darbojas neatbilstību analīze, kas organizēta līdzīgi operacionālam auditam. Tajā vērtē ne vien dokumentu saturu, bet arī lēmumu pieņemšanas gaitu, eskalācijas ceļus, incidentu ierakstus, testu un mācību rezultātus, kā arī neatbilstību, novērojumu un korektīvo darbību reģistru.
Labs pārbaudes scenārijs ir vienkāršs: notiek incidents pie būtiska piegādātāja vai traucējums ražošanas vidē, un jānosaka, kurš klasificē notikumu, kurš sāk saziņu, kurš novērtē ietekmi uz pakalpojumu un kādi pierādījumi saglabāsies par pieņemtajiem lēmumiem. Ja atbildes ir izkliedētas un organizācija atsaucas uz “ierasto praksi”, kuru neviens nevar atjaunot no ierakstiem, gatavība ir šķietama pat tad, ja pārvaldības sistēma formāli tiek uzturēta korekti.
Ja organizācija jau veic LVS EN ISO 27001 iekšējos auditus, tos ir lietderīgi izmantot šādai pārbaudei, paplašinot audita kritērijus ar regulatīvajiem pienākumiem un KSC kontekstā sagaidāmajiem pierādījumiem. Audita kompetence šeit ir ļoti vērtīga, tāpat kā prasmes, kuras attīsta vadošie auditori un iekšējie auditori. Noderīgs atsauces materiāls ir arī LVS EN ISO 27001 vadošais auditors: visaptverošs ceļvedis par sertifikāciju un standarta prasībām. Tomēr jāsaglabā pareizā secība: audita kompetence palīdz pārbaudīt sistēmu, bet neaizstāj analīzi par konkrētajam uzņēmumam piemērojamiem juridiskajiem un organizatoriskajiem pienākumiem.
Vadības lēmums: sertifikāts kā pamats, nevis attaisnojums
Racionālākā pieeja ir izmantot LVS EN ISO 27001 kā pārvaldības pamatu, nevis kā patstāvīgu pierādījumu visu NIS2 un KSC pienākumu izpildei. Sertifikācija palīdz sakārtot atbildību, riska novērtēšanu, incidentu uzraudzību, auditus un pilnveidošanu, taču neatbrīvo organizāciju no pienākuma noteikt, kuras prasības uz to faktiski attiecas, kādā tvērumā un kādi pierādījumi būs vajadzīgi darbības efektivitātes apliecināšanai.
No valdes skatpunkta lielākais risks nav nepilnīga dokumentācija, bet gatavības ilūzija — pārliecība, ka sertificēta sistēma automātiski nozīmē gatavību izpildīt arī nacionālā tiesiskā regulējuma prasības. Tādēļ lēmums nedrīkst aprobežoties ar sertifikācijas uzturēšanu vai tvēruma paplašināšanu. Vispirms jāatrisina trīs vadības jautājumi:
- jāapstiprina organizācijas statuss un pienākumu tvērums,
- jāveic neatbilstību analīze starp esošo sistēmu un KSC prasībām,
- jānosaka darbību izpildes un efektivitātes pierādījumu uzraudzības modelis.
Tikai uz šāda pamata var pamatoti izlemt, vai uzņēmumam jāpaplašina sertifikācijas tvērums vai arī pietiek izmantot esošo LVS EN ISO 27001 sistēmu, nemainot tās tvērumu, un papildināt to ar trūkstošajiem organizatoriskajiem, juridiskajiem un operacionālajiem mehānismiem. Praksē noder trīs vienkārši vadības instrumenti: aktuālais sertifikācijas tvērums, kas salīdzināts ar kritisko procesu karti; neatbilstību saraksts ar ietekmes novērtējumu attiecībā uz risku un atbilstību; kā arī rīcības plāns ar atbildīgajiem, termiņiem un slēgšanas kritērijiem.
Ja organizācija vēl tikai izvēlas pieeju, darbu secība nav universāla. Ja pastāv spēcīgs klientu spiediens vai iepirkumu prasības, sistēmas veidošana sertifikācijai var būt pamatots pirmais solis, ja vien paralēli netiek atlikta regulatīvo pienākumu analīze. Savukārt uzņēmumos ar augstu operacionālo risku vai izkliedētu atbildības modeli var būt saprātīgāk vispirms novērst regulatīvās nepilnības un tikai pēc tam sakārtot sertifikācijas tvērumu. Tas nav strīds par formalitāšu secību, bet gan par risku samazināšanas prioritātēm. Arī tēma ISO sertifikāts: ieguvumi un ieviešanas process būtu jāvērtē nevis atrauti, bet kā daļa no plašāka lēmuma par uzņēmuma atbilstības pārvaldības modeli.
Vislabākos rezultātus nodrošina vienota programma, kurā informācijas drošība, darbības nepārtrauktība, piegādātāju uzraudzība un regulatīvie pienākumi tiek pārvaldīti kā uzņēmuma darbības modeļa elementi, nevis kā atsevišķu struktūrvienību iniciatīvas. Polijas apstākļos tieši sadrumstalota atbildība visbiežāk vājina gan pierādījumu kvalitāti, gan izpildes gatavību. Galvenais secinājums ir vienkāršs: sertifikāts palīdz un var būtiski saīsināt ceļu līdz sakārtotai sistēmai, taču atbilstība vēl ir jāprojektē, jāievieš un jāpamato ar pierādījumiem NIS2 un KSC specifiskajos apstākļos.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
