Obligātais KSC audits: kuriem būtiskajiem subjektiem jāgatavojas pirmajam atbilstības novērtējumam

Gatavošanās obligātajam KSC auditam nesākas ar auditora izvēli vai procedūru apkopošanu. Vispirms jāapstiprina konkrētā subjekta statuss, jānosaka regulējumam pakļauto pakalpojumu tvērums un jāpiešķir atbildība par riskiem, drošības pasākumiem un pierādījumiem par to darbību. Bez šiem lēmumiem organizācija var novirzīt resursus nepareizajām jomām, neņemt vērā kritiskas atkarības vai sākt auditu ar dokumentāciju, kas neatspoguļo pakalpojumu faktisko sniegšanas modeli. Tādēļ gatavību pirmajam novērtējumam nosaka nevis procedūru skaits, bet gan juridiskās kvalifikācijas, darbības tvēruma, risku pārvaldības un ikdienas prakses savstarpējā atbilstība.

Uz kuriem subjektiem attieksies pirmais audits

Pirmais lēmums ir apstiprināt, vai konkrētā juridiskā persona ir pakļauta KSC prasībām, kurai kategorijai tā ir pieskaitāma un kādas audita prasības un termiņi uz to attiecas. Kvalifikācijā jāņem vērā nozare, faktiski veiktā darbība, organizācijas lielums un spēkā esošajos noteikumos paredzētie īpašie kritēriji. Būtiskos subjektus nedrīkst automātiski pielīdzināt agrākajiem pamatpakalpojumu operatoriem vai noteikt to statusu tikai pēc PKD koda. Kods var būt sākotnēja norāde, taču tas neaizstāj pakalpojumu, to saņēmēju un organizācijas lomas analīzi attiecīgajā nozarē.

Pirmajam darba dokumentam jābūt apstiprinātai kvalifikācijas analīzei. Tajā jānorāda regulējumam pakļautā darbība, to īstenojošās struktūrvienības, sniegtie pakalpojumi, tos atbalstošās informācijas sistēmas un pieņemtā secinājuma pamatojums. Par KSC atbilstības procesa īpašnieku var noteikt juridisko, atbilstības vai kiberdrošības funkciju, tomēr kvalifikācija formāli jāapstiprina institūcijai, kurai ir tiesības pieņemt lēmumus subjekta vārdā. Neskaidros gadījumos ir pamatoti saņemt juridisku atzinumu, nevis balstīt sagatavošanās programmu uz nedokumentētu pieņēmumu.

Uzņēmumu grupā vienas sabiedrības statuss automātiski neattiecas uz pārējām. Katra juridiskā persona, tās darbība, mērogs un īpašie kvalifikācijas kritēriji jāvērtē atsevišķi. Tikai pēc tam jāidentificē koplietojamie pakalpojumu centri, infrastruktūra, sistēmas un piegādātāji. Šāds nodalījums ir nepieciešams, lai piešķirtu atbildību par riskiem, noteiktu audita robežas un plānotu, kā sagatavot uzņēmumu otrās puses auditam pie kritiski svarīga piegādātāja.

Detalizētās robežvērtības, izņēmumi, identifikācijas, reģistrācijas vai paziņošanas procedūras un audita termiņi jāpārbauda atbilstoši Polijas likuma par valsts kiberdrošības sistēmu aktuālajai redakcijai un attiecīgajiem izpildtiesību aktiem. Oficiāla paziņojuma neesamība pati par sevi nedrīkst apturēt analīzi, ja darbības profils norāda uz iespējamu regulējuma piemērošanu. Tikai pēc statusa apstiprināšanas var atbildīgi noteikt pirmā audita tvērumu un grafiku.

Audita rezultātu nosaka pareizi definēts tvērums

Nopietnākā sagatavošanās kļūda ir KSC audita tvēruma pielīdzināšana IT nodaļas darbībai. Novērtējuma priekšmets ir pakalpojumu un sistēmu drošības pārvaldība, tādēļ audita robežās jāiekļauj arī pamatdarbības procesi, uzturēšana, iepirkumi, personāla vadība, darbības nepārtrauktība, incidentu pārvaldība un vadības uzraudzība. Pārāk šaurs tvērums neaptver atkarības, kas ietekmē pakalpojuma noturību. Savukārt visas organizācijas iekļaušana bez skaidra pamatojuma palielina darba apjomu un apgrūtina būtisku konstatējumu nošķiršanu no maznozīmīgiem jautājumiem.

Tvēruma noteikšana jāsāk ar regulējumam pakļautajiem pakalpojumiem. Pēc tam jāizseko tos atbalstošie procesi un informācija līdz lietojumprogrammām, infrastruktūrai, atrašanās vietām, personālam un ārējiem pakalpojumu sniedzējiem. Iekārtu inventarizācija vien neparāda, kuri resursi ir nepieciešami pakalpojuma sniegšanai un kurš atbild par saistītajiem riskiem. Katram pakalpojumam jānosaka īpašnieks, atkarīgie procesi, galvenie informācijas aktīvi, sistēmas, piegādātāji un drošības pasākumu darbības pierādījumi. Atkarību kartei jāļauj izsekot nepieejamības vai drošības pārkāpuma sekām, vienlaikus nedokumentējot saiknes, kas neietekmē novērtējamo pakalpojumu.

Šīs pieejas praktisko nozīmi labi parāda rezerves kopijas. Tās var tikt veidotas savlaicīgi, uzraudzītas un atbilst procedūrai, taču, ja darbības procesa īpašnieks nav noteicis nepieciešamo atjaunošanas laiku, nevar apstiprināt, ka tehniskais drošības pasākums atbilst darbības vajadzībām. Tāpat sistēma, ko kopīgi izmanto vairākas sabiedrības, jāiekļauj katras tādas sabiedrības tvērumā, kuras regulēto pakalpojumu tā atbalsta. Vienlaikus skaidri jāapraksta atbildības sadalījums par administrēšanu, riskiem, incidentiem un pierādījumu iesniegšanu.

Organizatoriskās un tehniskās robežas jāapstiprina darbseminārā ar pakalpojumu un procesu īpašniekiem, kā arī par darbības nepārtrauktību, kiberdrošību un kritiski svarīgiem piegādātājiem atbildīgajām personām. Tvērumu nedrīkst noteikt tikai sarunā ar infrastruktūras administratoru. Darbsemināra rezultātam jābūt analizējamo pakalpojumu, tos atbalstošo sistēmu, atrašanās vietu un piegādātāju sarakstam, koplietojamo atkarību aprakstam un pamatotu izņēmumu uzskaitījumam. Katram izņēmumam jānorāda pamats, ietekme uz pakalpojumu un lēmuma īpašnieks.

Šāda karte ir arī sākumpunkts izmaksu novērtējumam, kas aplūkots materiālā Cik maksā NIS2 un uKSC ieviešana — kā izveidot audita, dokumentācijas, apmācību un drošības pasākumu budžetu bez dārgām kļūdām.

Nosakot lomas, novērtējuma neatkarību un rīcību ar konstatējumiem, kā palīglīdzekli var izmantot iekšējā un ārējā audita nošķīrumu. Tas nemaina pamatprincipu: KSC auditam ir savs juridiskais pamats, kritēriji un tvērums, kas izriet no pārbaudāmā subjekta pienākumiem. Tas nav parasts vadības sistēmas sertifikācijas audits, pat ja tiek izmantotas līdzīgas pierādījumu vākšanas un drošības pasākumu efektivitātes vērtēšanas metodes.

Izmaksas pieaug neskaidras atbildības saskares punktos

Lielākās sagatavošanās izmaksas parasti rodas nevis tur, kur trūkst dokumenta, bet gan sadalītas atbildības saskares punktos. Tas īpaši attiecas uz attiecībām starp IT un pamatdarbības funkcijām, sabiedrību un uzņēmumu grupu, pasūtītāju un piegādātāju, kā arī procesa īpašnieku un sistēmas īpašnieku. Ja neviena puse nav nepārprotami atbildīga par riskiem, incidentiem, darbības nepārtrauktību un pierādījumu iesniegšanu, neatbilstība paliek atvērta arī tad, ja lomas formāli ir sadalītas.

Budžets jāveido pēc neatbilstību ietekmes uz pakalpojumu un riska, ka nebūs iespējams pierādīt drošības pasākumu efektivitāti, nevis pēc trūkstošo procedūru skaita. Atsevišķi ieteicams plānot nepilnību analīzi, organizatoriskos pasākumus, tehniskos drošības risinājumus, testēšanu, kompetenču attīstību, piegādātāju pārvaldību un pašu auditu. Izmaksu pārvaldībai noder trīs rādītāji:

• kritisko neatbilstību skaits, kuru novēršanai nepieciešamas investīcijas vai līguma grozījumi;
• paredzamais ieviešanas laiks drošības pasākumiem, kuri jātestē;
• infrastruktūras modernizācijas izmaksu daļa, kas nav tieši saistīta ar atbilstības pienākumu.

Visgrūtāk parasti novērst trūkumus, kuri prasa tehniskas izmaiņas, līgumu pārskatīšanu, atjaunošanas testus, privileģētās piekļuves sakārtošanu vai incidentu paziņošanas un eskalācijas procesa pārveidi. Tos nevar ticami slēgt, tikai apstiprinot procedūru. Piemēram, mākoņpakalpojuma sniedzējs var deklarēt plašus drošības pasākumus, bet organizācija joprojām nespēj pierādīt atbildības sadalījumu, tiesības saņemt informāciju par incidentu vai iespēju iegūt auditoram nepieciešamos pierādījumus. Šādā gadījumā problēma vienlaikus skar līgumu, piegādātāja uzraudzību, pakalpojuma arhitektūru un pierādījumu pieejamību.

Pirms audita obligāti jānovērš trūkumi, kas apdraud spēju sniegt pakalpojumu, reaģēt uz incidentiem vai pierādīt galvenā drošības pasākuma darbību. Pārējiem trūkumiem var apstiprināt kontrolētu rīcības plānu, ja tajā noteikts īpašnieks, termiņš, resursi, riska ierobežošanas veids līdz ieviešanai un atlikušā riska akceptēšana atbilstošā vadības līmenī. Prioritāti nevajadzētu piešķirt uzdevumiem tikai tādēļ, ka tos ir visvieglāk atzīmēt kā izpildītus. Arī izvēlei starp rīka iegādi un procesa pilnveidošanu jāizriet no problēmas pamatcēloņa, nevis investīciju budžeta pieejamības.

Līdzīga atbildības disciplīna ir būtiska materiālā Kā sagatavot komandu klienta auditam, ja tiek prasīti APQP, PPAP un cēloņu analīze aplūkotajā jomā, lai gan novērtējuma kritēriji un pamats ir atšķirīgi.

Auditors pārbaudīs faktisko darbību, nevis dokumentu mapi

Dokuments ir tikai pierādījumu ķēdes sākums. Auditoram jāspēj izsekot ceļam no prasības un identificētā riska līdz procesa īpašniekam, piemērotajam drošības pasākumam, ierakstam par tā izpildi, uzraudzības rezultātam un reakcijai uz konstatēto novirzi. Politika, procedūra vai instrukcija pati par sevi neapliecina efektivitāti. Nepieciešami objektīvi pierādījumi no organizācijas ikdienas darbības: pieteikumi, notikumu žurnāli, apstiprinājumi, testu protokoli, pārskatu rezultāti, lēmumi par riskiem un pabeigtas korektīvās darbības.

Sagatavošanās programmā jānosaka reālu gadījumu izlašu atlases metode, nevis tikai auditā uzrādāmo dokumentu saraksts. Izlasē cita starpā jāiekļauj piekļuves piešķiršana un anulēšana, ievainojamības apstrāde, incidents, datu atjaunošana, sistēmas izmaiņa, darbinieka apmācība, piegādātāja kvalificēšana un vadības pārskats. Katrai izlasei jānosaka ieraksta avots, atbildīgā persona un efektivitātes kritērijs.

Ieteicams salīdzināt atbilstošo gadījumu, noviržu un pierādījumu trūkumu skaitu. Ja organizācija veic mērījumus, jāņem vērā arī incidentu reakcijas un slēgšanas laiks, kā arī atjaunošanas testu, mācību un piekļuves tiesību pārskatu rezultāti. Pierādījumu glabāšanas periodam jāļauj novērtēt procesa atkārtojamību un jāaptver riskam būtiski notikumi. To nedrīkst noteikt tikai atbilstoši audita datumam.

Piekļuves anulēšanas procedūra nebūs pietiekams pierādījums, ja bijušo darbinieku kontu izlase atklās kavējumus, joprojām aktīvus kontus vai izpildes apstiprinājuma trūkumu. Auditors var salīdzināt personāla datus, apkalpošanas sistēmas pieteikumus, direktoriju ierakstus un darbību žurnālus. Rīku automātiski ģenerētie pierādījumi ir vērtīgi, ja iespējams apliecināt to pilnīgumu, uzticamu laika marķējumu un saistību ar konkrēto gadījumu. Savukārt lēmumiem par riska akceptēšanu, atkāpi, incidenta slēgšanu vai piegādātāja kvalificēšanu nepieciešams apstiprināts ieraksts ar identificējamu atbildību.

Iekšējai audita pārbaudei jāatveido ārējā auditora vērtēšanas gaita: no kritērija un izlases līdz ieviešanas un efektivitātes novērtējumam. Tomēr to nedrīkst veikt personas, kuras vērtē pašas savu darbu. Pārbaudot trešo pušu uzraudzību, noderīgu kontekstu sniedz materiāls Piegādātāja audits kodolenerģētikā — ko pārbauda un kā sagatavot uzņēmumu pirms kvalifikācijas, saglabājot novērtēšanas kritēriju nošķīrumu.

Esošā vadības sistēma var nodrošināt dokumentētās informācijas pārvaldības, iekšējo auditu, korektīvo darbību un vadības pārskatu mehānismus. Tos ir lietderīgi izmantot, nevis veidot paralēlu apriti. Tomēr esošs sertifikāts neaizstāj atbilstības pierādīšanu attiecīgajiem KSC kritērijiem. Rezultātu nosaka tas, vai drošības pasākumi darbojas noteiktajā tvērumā un organizācija spēj iesniegt saskaņotus, ticamus pierādījumus par to piemērošanu.

Piegādātāji ir daļa no audita tvēruma

Sistēmas uzturēšanas, datu apstrādes vai drošības uzraudzības nodošana ārpakalpojumā nepārceļ būtiskā subjekta atbildību uz izpildītāju. Piegādātājs var īstenot drošības pasākumus un apstrādāt incidentus, tomēr organizācijai joprojām jāizprot ar pakalpojumu saistītie riski, jānosaka prasības un jāpierāda efektīva uzraudzība. Tādēļ sagatavošanās auditam jāaptver arī ārējie pakalpojumi, no kuriem atkarīga darbības nepārtrauktība, informācijas konfidencialitāte vai sistēmu pieejamība.

Novērtējuma dziļums jānosaka atbilstoši piegādātāja kritiskumam. Jāņem vērā atteices ietekme uz pakalpojumu, piekļuves apjoms informācijai un sistēmām, iespēja aizstāt izpildītāju, apakšuzņēmēju iesaiste, datu apstrādes vieta un faktiskā iespēja iegūt pierādījumus. Piegādātājus ar ierobežotu ietekmi var vērtēt, izmantojot anketu un dokumentu pārbaudi. Stratēģisko partneru gadījumā var būt pamatotas intervijas, darbības nepārtrauktības testi, operatīvo ierakstu analīze vai otrās puses audits.

Ja piegādātājs atsakās nodrošināt audita tiesības, organizācijai jānosaka alternatīvi pierādījumi, jānovērtē atlikušais risks un jāizlemj, vai nepieciešami papildu drošības pasākumi, līguma pārskatīšana vai izstāšanās plāns. Ar piegādātāja apliecinājumu vai tā rīcībā esošu sertifikātu vien var nepietikt, ja tas neattiecas uz konkrēto pakalpojumu, atrašanās vietu vai darbības tvērumu.

Tipiska nepilnība rodas, ja līgumā ir noteikta pakalpojuma pieejamība, bet nav paredzēts incidenta informācijas sniegšanas termiņš, sadarbības kārtība cēloņu analīzē vai tiesības pārbaudīt piegādātāja darbības. Tas nav tikai formāls trūkums. Bez šādiem nosacījumiem organizācija var savlaicīgi nesaņemt informāciju, kas nepieciešama notikuma seku novērtēšanai, lēmumu pieņemšanai un saskaņota reakcijas apraksta iesniegšanai auditoram. Līguma trūkumu nevar novērst tikai ar iekšējo procedūru.

Līgumu un drošības pielikumu pārskatā jāiekļauj informācijas aizsardzības pienākumi, incidentu paziņošana, darbības nepārtrauktība, apakšuzņēmēju iesaiste, sadarbības izbeigšana, datu atdošana vai dzēšana, piekļuve pierādījumiem un pārbaudes kārtība. Sagatavošanās progresu ieteicams mērīt pēc kritisko piegādātāju skaita, partneru īpatsvara ar aktuālu riska novērtējumu un uzraudzības pierādījumiem, papildināmo līgumu skaita un tādu pakalpojumu skaita, kuriem nav apstiprināta darbības nepārtrauktības vai izstāšanās plāna. Padziļinātas pārbaudes metodika izklāstīta materiālā Kā sagatavot uzņēmumu otrās puses auditam pie kritiski svarīga piegādātāja?

Plāns līdz pirmajam novērtējumam

Sagatavošanās programma jāīsteno noteiktā secībā: jāapstiprina subjekta statuss un piemērojamie juridiskie kritēriji, jānosaka novērtējamās vides robežas, jāpiešķir atbildība, jāveic risku un nepilnību analīze un pēc tam jāapstiprina korektīvo pasākumu plāns. Izmēģinājuma audits ir pamatots tikai pēc pasākumu ieviešanas un ierakstu uzkrāšanas par to darbību. Tā rezultātiem jāveicina neatbilstību pamatcēloņu, nevis tikai simptomu novēršana, kā arī vadības veikts noslēguma gatavības pārskats.

Grafiks jāveido atpakaļejoši no termiņa, kas izriet no spēkā esošajiem noteikumiem vai formāla lēmuma par konkrēto subjektu. Nav viena droša sagatavošanās sākuma termiņa, kas būtu piemērots visām organizācijām. Tas ir atkarīgs no juridiskā statusa, tehniskā tvēruma, drošības pasākumu brieduma, ārējo atkarību skaita un laika, kas nepieciešams darbību apliecinošu ierakstu iegūšanai. Vadībai prioritātes jāapstiprina pēc risku nozīmīguma un uzdevumu savstarpējām atkarībām, nevis pēc tā, cik viegli pozīciju var slēgt plānā.

Uzdevums, kas atzīmēts kā izpildīts pēc procedūras publicēšanas, faktiski paliek atvērts, kamēr procedūra nav ieviesta, pārbaudīta reprezentatīvā izlasē un apliecināta ar ierakstu. Tas attiecas arī uz tehniskajiem drošības pasākumiem, incidentu pārvaldību, darbības nepārtrauktības plāniem un piegādātāju uzraudzību. Gatavībai auditam nepieciešams pierādīt pilnu darbības ciklu: lēmumu, izpildi, rezultāta kontroli un reakciju uz konstatēto novirzi. Ja trūkums attiecas uz sadarbības nosacījumiem ar ārēju subjektu, noderīgu kontekstu sniedz materiāls Piegādātāja audits pirms līguma parakstīšanas — kā mazināt kvalitātes un termiņu risku.

Ziņošanu vadībai nevajadzētu ierobežot līdz plāna izpildes procentam. Vadības informācijā jānorāda:

• nepilnību skaits pēc nozīmīguma, norādot īpašnieku un slēgšanas termiņu;
• ar ierakstiem apstiprināto drošības pasākumu īpatsvars;
• atvērtie riski, kurus akceptējis atbilstošais vadības līmenis;
• šķēršļi, piemēram, īpašnieka trūkums, neieviests drošības pasākums, nepārbaudīts plāns, nesaskaņots līgums vai nepilnība bez ticama slēgšanas pierādījuma.

Audita veicēja izvēli ir lietderīgi sākt savlaicīgi, taču tikai pēc tam, kad pārbaudītas aktuālās KSC prasības attiecībā uz izpildītāju un rezultātu dokumentēšanu. Cena nedrīkst būt vienīgais kritērijs. Jānovērtē nepieciešamās pilnvaras, neatkarība, nozares kompetence, metodika un spēja pārbaudīt faktisko tehnisko vidi. Vienošanās ar audita veicēju neaizstāj izmēģinājuma auditu vai vadības pārskatu. Tā noslēdz tikai formālā novērtējuma sagatavošanas organizatorisko daļu.

Pirmais KSC audits jāuztver kā organizācijas spējas pārvaldīt pakalpojumu drošību pārbaude, nevis vienreizējs dokumentācijas pārskats. Subjekts ir gatavs tikai tad, ja tas spēj pamatot savu statusu un tvērumu, norādīt risku īpašniekus, pierādīt drošības pasākumu darbību un iesniegt ticamus procesu un piegādātāju uzraudzības pierādījumus.