Obvezna revizija KSC-a: koji se ključni subjekti moraju pripremiti za prvu ocjenu sukladnosti

Priprema za obveznu reviziju KSC-a ne počinje odabirom revizora ni prikupljanjem procedura. Najprije treba potvrditi status konkretnog subjekta, utvrditi opseg usluga obuhvaćenih propisima te dodijeliti odgovornost za rizike, sigurnosne mjere i dokaze o njihovu djelovanju. Bez tih odluka organizacija može usmjeriti resurse na pogrešna područja, previdjeti kritične ovisnosti ili ući u reviziju s dokumentacijom koja ne odražava stvarni način pružanja usluga. Spremnost za prvu ocjenu stoga ne ovisi o broju procedura, nego o usklađenosti pravne kvalifikacije, operativnog opsega, upravljanja rizicima i stvarne prakse.

Na koga se odnosi prva revizija

Prva odluka treba biti potvrda podliježe li određena pravna osoba KSC-u, u koju je kategoriju razvrstana te koji se revizijski zahtjevi i rokovi na nju primjenjuju. Pri kvalifikaciji treba uzeti u obzir sektor, djelatnosti koje se stvarno obavljaju, veličinu organizacije i posebne kriterije propisane važećim odredbama. Ključne subjekte ne treba automatski izjednačavati s ranijim operatorima ključnih usluga niti njihov status određivati isključivo prema šifri PKD-a. Šifra može biti početna indikacija, ali ne zamjenjuje analizu usluga, njihovih korisnika i uloge organizacije u određenom sektoru.

Prvi radni dokument treba biti odobrena kvalifikacijska analiza. U njoj treba navesti djelatnosti obuhvaćene propisima, organizacijske jedinice koje ih provode, usluge koje se pružaju, informacijske sustave koji ih podržavaju te osnovu za doneseni zaključak. Vlasništvo nad procesom usklađivanja s KSC-om može se dodijeliti pravnoj funkciji, funkciji usklađenosti ili kibernetičke sigurnosti, ali kvalifikaciju treba formalno odobriti tijelo ovlašteno za donošenje odluka u ime subjekta. U dvojbenim slučajevima razumno je pribaviti pravno mišljenje umjesto da se program pripreme temelji na nedokumentiranoj pretpostavci.

U grupi društava status jednog društva ne obuhvaća automatski ostala. Svaku pravnu osobu, njezine djelatnosti, veličinu i posebne kriterije treba procijeniti zasebno. Tek nakon toga treba identificirati zajedničke uslužne centre, infrastrukturu, sustave i dobavljače. Takvo razgraničenje potrebno je za dodjelu odgovornosti za rizike, određivanje granica revizije i planiranje, Kako pripremiti organizaciju za reviziju druge strane kod ključnog dobavljača?

Detaljne pragove, iznimke, postupke identifikacije, upisa ili prijave te revizijske rokove treba provjeriti prema važećem tekstu zakona o nacionalnom sustavu kibernetičke sigurnosti i pripadajućim provedbenim propisima. Izostanak službene obavijesti sam po sebi ne bi trebao zaustaviti analizu ako profil djelatnosti upućuje na mogućnost obuhvata propisima. Tek potvrđeni status omogućuje odgovorno određivanje opsega i vremenskog plana prve revizije.

Opseg odlučuje o rezultatu

Najozbiljnija pogreška u pripremi jest poistovjećivanje opsega revizije KSC-a s informatičkim odjelom. Ocjenjuje se način upravljanja sigurnošću usluga i sustava, pa granice revizije moraju obuhvatiti i operativne procese, održavanje, nabavu, ljudske resurse, kontinuitet poslovanja, upravljanje incidentima i upravljački nadzor. Preuzak opseg izostavlja ovisnosti važne za otpornost usluge. Uključivanje cijele organizacije bez opravdanja, s druge strane, povećava opterećenje i otežava razlikovanje bitnih nalaza od sporednih.

Opseg treba oblikovati polazeći od usluga obuhvaćenih propisima. Zatim treba pratiti procese i informacije koje ih podržavaju sve do aplikacija, infrastrukture, lokacija, osoblja i vanjskih subjekata. Sam popis uređaja ne pokazuje koji su resursi presudni za pružanje usluge ni tko je odgovoran za povezane rizike. Za svaku uslugu zato treba imenovati vlasnika te utvrditi ovisne procese, ključnu informacijsku imovinu, sustave, dobavljače i dokaze o djelovanju sigurnosnih mjera. Mapa ovisnosti treba omogućiti praćenje posljedica nedostupnosti ili narušavanja sigurnosti, bez dokumentiranja veza koje ne utječu na uslugu koja se ocjenjuje.

Praktična važnost takvog pristupa jasno se vidi na primjeru sigurnosnih kopija. One se mogu izrađivati pravodobno, pratiti i biti usklađene s procedurom, ali ako vlasnik operativnog procesa nije definirao potrebno vrijeme oporavka, nije moguće potvrditi odgovara li tehnička mjera poslovnoj potrebi. Jednako tako, sustav koji dijeli više društava treba biti u opsegu svakog društva čiju reguliranu uslugu podržava. Pritom treba jasno opisati raspodjelu odgovornosti za administraciju, rizike, incidente i osiguravanje dokaza.

Organizacijske i tehničke granice treba potvrditi na radionici s vlasnicima usluga i procesa te osobama odgovornima za kontinuitet poslovanja, kibernetičku sigurnost i ključne dobavljače. Zaključci se ne smiju temeljiti isključivo na razgovoru s administratorom infrastrukture. Rezultat radionice trebaju biti: popis usluga obuhvaćenih analizom, sustava, lokacija i dobavljača koji ih podržavaju, zajedničkih ovisnosti te opravdanih isključenja. Za svako isključenje treba navesti osnovu, utjecaj na uslugu i vlasnika odluke.

Takva mapa ujedno je polazište za procjenu potrebnih ulaganja obrađenih u materijalu Koliko košta uvođenje NIS2 i uKSC-a – kako izraditi proračun za reviziju, dokumentaciju, osposobljavanje i sigurnosne mjere bez skupih pogrešaka.

Pri definiranju uloga, neovisnosti ocjene i načina postupanja s nalazima može pomoći razlikovanje interne i vanjske revizije. To ne mijenja osnovno pravilo: revizija KSC-a ima vlastitu pravnu osnovu, kriterije i opseg koji proizlaze iz obveza subjekta koji se ocjenjuje. Nije riječ o uobičajenom certifikacijskom auditu sustava upravljanja, čak i ako se primjenjuju slične metode prikupljanja dokaza i ocjene učinkovitosti sigurnosnih mjera.

Troškovi rastu na dodirnim točkama odgovornosti

Najveći troškovi pripreme za reviziju obično ne nastaju ondje gdje nedostaje dokument, nego na dodirnim točkama podijeljenih odgovornosti. To se osobito odnosi na odnose između informatike i operacija, društva i grupe društava, naručitelja i dobavljača te vlasnika procesa i vlasnika sustava. Ako nijedna strana nema nedvosmislenu odgovornost za rizike, incidente, kontinuitet poslovanja i osiguravanje dokaza, nedostatak ostaje otvoren unatoč formalno dodijeljenim ulogama.

Proračun treba temeljiti na utjecaju nedostataka na uslugu i riziku da se ne može dokazati učinkovitost sigurnosnih mjera, a ne na broju procedura koje nedostaju. Korisno je odvojeno planirati analizu nedostataka, organizacijske aktivnosti, tehničke mjere, testiranja, razvoj kompetencija, upravljanje dobavljačima i samu reviziju. U upravljanju ulaganjima pomažu tri pokazatelja:

• broj kritičnih nedostataka koji ovise o ulaganju ili izmjeni ugovora;
• procijenjeno vrijeme uvođenja sigurnosnih mjera koje zahtijevaju testiranje;
• udio troškova modernizacije infrastrukture koji ne proizlaze izravno iz obveze usklađivanja.

Najzahtjevniji su obično nedostaci koji traže tehničke promjene, ponovno pregovaranje ugovora, testove oporavka, uređivanje privilegiranog pristupa ili preoblikovanje procesa prijave i eskalacije incidenata. Njih nije moguće vjerodostojno zatvoriti samim odobravanjem procedure. Primjerice, pružatelj usluge u oblaku može navoditi opsežne sigurnosne mjere, dok organizacija i dalje ne može dokazati raspodjelu odgovornosti, pravo na informacije o incidentu ni mogućnost pribavljanja dokaza potrebnih revizoru. Tada problem istodobno obuhvaća ugovor, nadzor dobavljača, arhitekturu usluge i spremnost dokaza.

Prije revizije nužno je zatvoriti nedostatke koji dovode u pitanje sposobnost pružanja usluge, odgovora na incidente ili dokazivanja djelovanja ključne sigurnosne mjere. Za ostale nedostatke može se prihvatiti kontrolirani akcijski plan ako definira vlasnika, rok, resurse, način ograničavanja rizika do provedbe te odluku o prihvaćanju preostalog rizika na odgovarajućoj razini. Prioritet ne smiju automatski dobiti zadaci koje je najlakše označiti izvršenima. Odluka između nabave alata i poboljšanja procesa također mora proizlaziti iz uzroka nedostatka, a ne iz dostupnosti investicijskog proračuna.

Slična disciplina odgovornosti važna je i u području opisanom u materijalu Kako pripremiti tim za audit kupca kada su potrebni APQP, PPAP i analiza uzroka, iako se kriteriji i osnova ocjene razlikuju.

Revizor provjerava djelovanje, a ne registratore

Dokument je samo početak dokaznog traga. Revizor treba moći pratiti slijed od zahtjeva i prepoznatog rizika preko vlasnika procesa i primijenjene sigurnosne mjere do zapisa o njezinoj provedbi, rezultata praćenja i reakcije na utvrđeno odstupanje. Sama politika, procedura ili uputa ne dokazuje učinkovitost. Potrebni su objektivni dokazi nastali u redovnom radu organizacije: prijave, dnevnici događaja, odobrenja, zapisnici testiranja, rezultati pregleda, odluke o rizicima i zatvorene korektivne radnje.

Program pripreme treba definirati način odabira uzoraka stvarnih slučajeva, a ne samo popis dokumenata za predočenje. Uzorak bi, među ostalim, trebao obuhvatiti dodjelu i ukidanje pristupa, upravljanje ranjivostima, incident, oporavak podataka, promjenu sustava, osposobljavanje zaposlenika, kvalifikaciju dobavljača i preispitivanje upravljanja. Za svaki uzorak treba odrediti izvor zapisa, odgovornu osobu i kriterij učinkovitosti.

Korisno je uspoređivati broj usklađenih slučajeva, odstupanja i slučajeva bez odgovarajućih dokaza. Ondje gdje organizacija provodi mjerenja treba uzeti u obzir i vrijeme reakcije i zatvaranja incidenata te rezultate testova oporavka, vježbi i pregleda ovlasti. Razdoblje čuvanja dokaza treba omogućiti ocjenu dosljednosti procesa i obuhvatiti događaje važne za rizik. Ne treba ga određivati isključivo prema datumu revizije.

Procedura ukidanja ovlasti nije dovoljan dokaz ako uzorak računa bivših zaposlenika pokaže kašnjenja, i dalje aktivne račune ili izostanak potvrde o izvršenju naloga. Revizor može usporediti kadrovske podatke, prijave u sustavu podrške, zapise direktorija i evidencije aktivnosti. Dokazi koje alati generiraju automatski vrijedni su ako se može dokazati njihova potpunost, vjerodostojna vremenska oznaka i povezanost s konkretnim slučajem. Odluke o prihvaćanju rizika, odstupanju, zatvaranju incidenta ili kvalifikaciji dobavljača zahtijevaju odobren zapis s jasno utvrdivom odgovornošću.

Interna probna revizija treba slijediti logiku vanjskog revizora: od kriterija preko uzorka do ocjene provedbe i učinkovitosti. Međutim, ne smiju je provoditi osobe koje ocjenjuju vlastiti rad. Pri provjeri nadzora nad trećim stranama koristan kontekst pruža materijal Revizija dobavljača u nuklearnoj energetici – što se provjerava i kako pripremiti organizaciju prije kvalifikacije, uz očuvanje zasebnosti kriterija ocjene.

Postojeći sustav upravljanja može osigurati mehanizme upravljanja dokumentacijom, internih audita, korektivnih radnji i preispitivanja upravljanja. Treba ih iskoristiti umjesto izgradnje paralelnog sustava. Postojeći certifikat ipak ne zamjenjuje dokazivanje usklađenosti s odgovarajućim kriterijima KSC-a. Rezultat ovisi o tome djeluju li sigurnosne mjere u utvrđenom opsegu i može li organizacija predočiti dosljedne i vjerodostojne dokaze o njihovoj primjeni.

Dobavljači ulaze u opseg

Ugovaranje održavanja sustava, obrade podataka ili nadzora sigurnosti s vanjskim izvođačem ne prenosi odgovornost ključnog subjekta na dobavljača. Dobavljač može provoditi sigurnosne mjere i upravljati incidentima, ali organizacija i dalje mora razumjeti rizike povezane s uslugom, definirati zahtjeve i dokazati učinkovit nadzor. Priprema za reviziju zato treba obuhvatiti i vanjske usluge o kojima ovise kontinuitet poslovanja, povjerljivost informacija ili dostupnost sustava.

Dubinu ocjene treba prilagoditi kritičnosti dobavljača. Relevantni su utjecaj prekida na uslugu, opseg pristupa informacijama i sustavima, mogućnost zamjene dobavljača, uključivanje podizvođača, lokacija obrade i stvarna mogućnost pribavljanja dokaza. Dobavljači s ograničenim utjecajem mogu se ocjenjivati upitnikom i pregledom dokumentacije. Kod strateških partnera mogu biti opravdani intervjui, testovi kontinuiteta, analiza operativnih zapisa ili revizija druge strane.

Ako dobavljač ne dopušta pravo na reviziju, organizacija treba utvrditi zamjenske dokaze, ocijeniti preostali rizik i odlučiti zahtijeva li on dodatne mjere, ponovno pregovaranje ugovora ili izlazni plan. Sama izjava dobavljača ili certifikat koji posjeduje može biti nedostatan ako se ne odnosi na odgovarajuću uslugu, lokaciju ili operativni opseg.

Tipičan nedostatak nastaje kada ugovor definira dostupnost usluge, ali ne određuje rok za dostavu informacija o incidentu, pravila suradnje pri analizi uzroka ni pravo na provjeru aktivnosti dobavljača. To nije samo formalni propust. Bez takvih odredbi organizacija možda neće pravodobno dobiti podatke potrebne za procjenu posljedica događaja, donošenje odluka i predočenje revizoru dosljednog tijeka reakcije. Ugovorni nedostatak ne može se ukloniti samo internom procedurom.

Pregled ugovora i sigurnosnih dodataka treba obuhvatiti obveze zaštite informacija, prijavljivanje incidenata, kontinuitet poslovanja, podugovaranje, prestanak suradnje, povrat ili brisanje podataka, pristup dokazima i pravila provjere. Napredak priprema korisno je mjeriti brojem kritičnih dobavljača, udjelom partnera s ažurnom procjenom rizika i dokazima nadzora, brojem ugovora koje treba dopuniti te brojem usluga bez potvrđenog plana kontinuiteta ili izlaska. Metodologiju detaljnije provjere razvija materijal Kako pripremiti organizaciju za reviziju druge strane kod ključnog dobavljača?

Plan do prve ocjene

Program pripreme treba provoditi utvrđenim redoslijedom: potvrditi status subjekta i mjerodavne pravne kriterije, odrediti granice okruženja koje se ocjenjuje, dodijeliti odgovornosti, provesti analizu rizika i nedostataka te zatim odobriti plan korektivnih aktivnosti. Probna revizija opravdana je tek nakon provedbe aktivnosti i prikupljanja zapisa o njihovu funkcioniranju. Njezini rezultati trebaju voditi uklanjanju uzroka nesukladnosti, a ne samo njihovih posljedica, te završnom pregledu spremnosti koji provodi rukovodstvo.

Vremenski plan izrađuje se unatrag od roka koji proizlazi iz važećih propisa ili formalne odluke koja se odnosi na konkretni subjekt. Ne postoji jedan siguran datum početka pripreme za sve organizacije. On ovisi o pravnom statusu, tehničkom opsegu, zrelosti sigurnosnih mjera, broju vanjskih ovisnosti i vremenu potrebnom za stvaranje zapisa koji potvrđuju djelovanje. Uprava treba odobriti prioritete prema značaju rizika i međuovisnostima zadataka, a ne prema tome koliko je lako zatvoriti stavke u planu.

Zadatak označen kao izvršen nakon objave procedure zapravo ostaje otvoren sve dok se procedura ne uvede, provjeri na reprezentativnom uzorku i potvrdi zapisom. Isto vrijedi za tehničke mjere, upravljanje incidentima, planove kontinuiteta i nadzor dobavljača. Revizijska spremnost zahtijeva dokaz cijelog ciklusa: odluke, provedbe, provjere rezultata i reakcije na utvrđeno odstupanje. Ako se nedostatak odnosi na uvjete suradnje s vanjskim subjektom, koristan kontekst pruža Revizija dobavljača prije potpisivanja ugovora – kako ograničiti rizik kvalitete i rokova.

Izvještavanje uprave ne smije se svesti na postotak izvršenja plana. Upravljačke informacije trebaju uključivati:

• broj nedostataka prema važnosti, zajedno s vlasnikom i rokom zatvaranja;
• udio sigurnosnih mjera potvrđenih zapisima;
• otvorene rizike koje je prihvatila odgovarajuća razina rukovodstva;
• prepreke kao što su neimenovan vlasnik, neprovedena sigurnosna mjera, netestiran plan, neusuglašen ugovor ili nedostatak bez vjerodostojnog dokaza zatvaranja.

Odabir subjekta koji će provesti reviziju treba započeti dovoljno rano, ali tek nakon provjere aktualnih zahtjeva KSC-a koji se odnose na izvođača i dokumentiranje rezultata. Cijena ne smije biti jedini kriterij. Treba ocijeniti potrebna ovlaštenja, neovisnost, sektorske kompetencije, metodologiju i sposobnost provjere stvarnog tehničkog okruženja. Ugovaranje izvođača ne zamjenjuje probnu reviziju ni preispitivanje koje provodi rukovodstvo. Time se zatvara samo organizacijski dio pripreme za formalnu ocjenu.

Prvu reviziju KSC-a treba promatrati kao provjeru sposobnosti organizacije da upravlja sigurnošću usluga, a ne kao jednokratni pregled dokumentacije. Subjekt je spreman tek kada može obrazložiti svoj status i opseg, imenovati vlasnike rizika, dokazati djelovanje sigurnosnih mjera te predočiti vjerodostojne dokaze nadzora nad procesima i dobavljačima.