Obvezna revizija KSC: kateri ključni subjekti se morajo pripraviti na prvo presojo skladnosti

Priprava na obvezno revizijo KSC se ne začne z izbiro revizorja ali zbiranjem postopkov. Najprej je treba potrditi status konkretnega subjekta, opredeliti obseg storitev, ki jih zajema ureditev, ter določiti odgovornost za tveganja, varnostne ukrepe in dokazila o njihovem delovanju. Brez teh odločitev lahko organizacija sredstva usmeri na napačna področja, spregleda kritične odvisnosti ali v revizijo vstopi z dokumentacijo, ki ne odraža dejanskega načina izvajanja storitev. Pripravljenost na prvo presojo zato ni odvisna od števila postopkov, temveč od usklajenosti pravne kvalifikacije, operativnega obsega, upravljanja tveganj in dejanskega izvajanja procesov.

Koga bo zajela prva revizija

Prva odločitev mora biti potrditev, ali za določeno pravno osebo velja KSC, v katero kategorijo je uvrščena ter katere revizijske zahteve in roki se zanjo uporabljajo. Pri kvalifikaciji je treba upoštevati sektor, dejavnost, ki jo organizacija dejansko opravlja, njeno velikost in posebna merila iz veljavnih predpisov. Ključnih subjektov ni primerno enačiti z nekdanjimi izvajalci bistvenih storitev, njihovega statusa pa ni mogoče določiti zgolj na podlagi kode PKD. Ta je lahko izhodišče, vendar ne nadomesti analize storitev, njihovih uporabnikov in vloge organizacije v sektorju.

Prvi delovni dokument mora biti odobrena kvalifikacijska analiza. V njej je treba opredeliti dejavnosti, ki jih zajema ureditev, organizacijske enote, ki jih izvajajo, storitve, podporne informacijske sisteme in podlago za sprejeto stališče. Lastništvo procesa skladnosti s KSC je mogoče dodeliti pravni funkciji, funkciji skladnosti ali kibernetske varnosti, vendar mora kvalifikacijo formalno potrditi organ, pristojen za odločanje v imenu subjekta. Pri nejasnih primerih je smiselno pridobiti pravno mnenje, namesto da se program priprav opira na nedokumentirano predpostavko.

V skupini družb se status ene družbe ne prenese samodejno na druge. Vsako pravno osebo, njeno dejavnost, velikost in posebna merila je treba oceniti ločeno. Šele nato je treba opredeliti skupne storitvene centre, infrastrukturo, sisteme in dobavitelje. Takšno razmejevanje je nujno za dodelitev odgovornosti za tveganja, določitev meja revizije in načrtovanje, kako podjetje pripraviti na revizijo druge strani pri ključnem dobavitelju.

Podrobne pragove, izjeme, postopke identifikacije, vpisa ali prijave ter revizijske roke je treba preveriti glede na veljavno besedilo zakona o nacionalnem sistemu kibernetske varnosti in ustreznih izvedbenih aktov. Če profil dejavnosti kaže, da bi ureditev lahko veljala za organizacijo, odsotnost uradnega obvestila sama po sebi ne bi smela ustaviti analize. Šele potrjen status omogoča odgovorno določitev obsega in časovnega načrta prve revizije.

Obseg odloča o rezultatu

Najresnejša napaka pri pripravi je enačenje obsega revizije KSC z oddelkom IT. Presoja se način upravljanja varnosti storitev in sistemov, zato morajo meje revizije zajemati tudi operativne procese, vzdrževanje, nabavo, kadre, neprekinjeno poslovanje, obravnavo incidentov in upravljavski nadzor. Preozek obseg izpusti odvisnosti, pomembne za odpornost storitve. Neupravičena vključitev celotne organizacije pa poveča obseg dela in oteži razlikovanje med bistvenimi in drugotnimi ugotovitvami.

Obseg je treba oblikovati na podlagi storitev, ki jih zajema ureditev. Nato je treba prek podpornih procesov in informacij preiti do aplikacij, infrastrukture, lokacij, osebja in zunanjih izvajalcev. Sam popis naprav ne pokaže, katera sredstva so nujna za izvajanje storitve in kdo je odgovoren za povezana tveganja. Za vsako storitev je zato treba določiti lastnika, odvisne procese, ključna informacijska sredstva, sisteme, dobavitelje in dokazila o delovanju varnostnih ukrepov. Zemljevid odvisnosti mora omogočati sledenje posledicam nedostopnosti ali kršitve, ne da bi se dokumentirala razmerja, ki ne vplivajo na presojano storitev.

Praktičen pomen takšnega pristopa je očiten pri varnostnih kopijah. Te se lahko izdelujejo pravočasno, spremljajo in izvajajo skladno s postopkom, vendar brez časa obnovitve, ki ga določi lastnik operativnega procesa, ni mogoče potrditi, da tehnični ukrep ustreza poslovni potrebi. Podobno mora biti sistem, ki si ga deli več družb, vključen v obseg vsake družbe, katere regulirano storitev podpira. Pri tem je treba jasno določiti delitev odgovornosti za upravljanje, tveganja, incidente in predložitev dokazil.

Organizacijske in tehnične meje je treba potrditi na delavnici z lastniki storitev in procesov ter osebami, odgovornimi za neprekinjeno poslovanje, kibernetsko varnost in ključne dobavitelje. Obsega ni mogoče zanesljivo določiti zgolj v pogovoru s skrbnikom infrastrukture. Rezultat delavnice morajo biti seznam analiziranih storitev, podpornih sistemov, lokacij in dobaviteljev, skupnih odvisnosti ter utemeljenih izključitev. Za vsako izključitev je treba navesti podlago, vpliv na storitev in lastnika odločitve.

Takšen zemljevid je tudi izhodišče za oceno potrebnih sredstev, obravnavano v gradivu Koliko stane uvedba NIS2 in uKSC – kako pripraviti proračun za revizijo, dokumentacijo, usposabljanja in varnostne ukrepe brez dragih napak.

Pri določanju vlog, neodvisnosti presoje in obravnave ugotovitev je mogoče kot podporo uporabiti razlikovanje med notranjo in zunanjo revizijo. To ne spremeni osnovnega načela: revizija KSC ima lastno pravno podlago, merila in obseg, ki izhajajo iz obveznosti presojanega subjekta. Ne gre za običajno certifikacijsko presojo sistema vodenja, čeprav uporablja podobne metode zbiranja dokazov in ocenjevanja učinkovitosti varnostnih ukrepov.

Stroški naraščajo na stičiščih odgovornosti

Največji stroški priprav na revizijo običajno ne nastanejo tam, kjer manjka dokument, temveč na stičiščih razpršenih odgovornosti. To še posebej velja za razmerja med IT in operativnimi funkcijami, družbo in skupino, naročnikom in dobaviteljem ter lastnikom procesa in lastnikom sistema. Če nobena stran ni nedvoumno odgovorna za tveganja, incidente, neprekinjeno poslovanje in predložitev dokazil, vrzel ostane odprta kljub formalno dodeljenim vlogam.

Proračun je treba oblikovati glede na vpliv vrzeli na storitev in tveganje, da učinkovitosti varnostnih ukrepov ne bo mogoče dokazati, ne pa glede na število manjkajočih postopkov. Ločeno je smiselno obravnavati analizo vrzeli, organizacijske ukrepe, tehnične varnostne ukrepe, preizkuse, razvoj kompetenc, upravljanje dobaviteljev in samo revizijo. Pri upravljanju sredstev pomagajo trije kazalniki:

• število kritičnih vrzeli, katerih odprava je odvisna od naložbe ali spremembe pogodbe;
• predvideni čas uvedbe varnostnih ukrepov, ki zahtevajo preizkušanje;
• delež stroškov posodobitve infrastrukture, ki ni neposredno povezan z obveznostjo skladnosti.

Najtežje je praviloma odpraviti pomanjkljivosti, ki zahtevajo tehnične spremembe, ponovno pogajanje o pogodbah, preizkuse obnovitve, ureditev privilegiranih dostopov ali prenovo procesa prijavljanja in eskalacije incidentov. Teh vrzeli ni mogoče verodostojno zapreti zgolj z odobritvijo postopka. Ponudnik storitve v oblaku lahko na primer navaja obsežne varnostne ukrepe, organizacija pa še vedno ne zna dokazati razdelitve odgovornosti, pravice do informacij o incidentu ali možnosti pridobitve dokazil za revizorja. Težava v takem primeru hkrati zajema pogodbo, nadzor dobavitelja, arhitekturo storitve in pripravljenost dokazil.

Pred revizijo je nujno odpraviti vrzeli, ki ogrožajo zmožnost izvajanja storitve, odzivanja na incidente ali dokazovanja delovanja ključnega varnostnega ukrepa. Za preostale vrzeli je mogoče sprejeti nadzorovan akcijski načrt, če določa lastnika, rok, sredstva, način omejitve tveganja do izvedbe ter odločitev o sprejetju preostalega tveganja na ustrezni ravni. Prednosti ne smejo imeti naloge, ki jih je najlažje označiti kot zaključene. Tudi odločitev med nakupom orodja in izboljšanjem procesa mora izhajati iz vzroka vrzeli, ne iz razpoložljivosti investicijskega proračuna.

Podobna disciplina pri določanju odgovornosti je pomembna tudi na področju, opisanem v gradivu Kako pripraviti ekipo na presojo kupca, kadar so zahtevani APQP, PPAP in analiza vzrokov, čeprav merila in podlaga presoje ostajajo drugačni.

Revizor bo preverjal delovanje, ne registratorja

Dokument je le začetek dokazne sledi. Revizor mora biti sposoben slediti poti od zahteve in prepoznanega tveganja do lastnika procesa, uporabljenega varnostnega ukrepa, zapisa o njegovi izvedbi, rezultata spremljanja in odziva na ugotovljeno odstopanje. Politika, postopek ali navodilo sami po sebi ne dokazujejo učinkovitosti. Potrebna so objektivna dokazila iz rednega delovanja organizacije: zahtevki, dnevniki dogodkov, odobritve, zapisniki preizkusov, rezultati pregledov, odločitve o tveganjih in zaključeni korektivni ukrepi.

Program priprav mora opredeliti način vzorčenja dejanskih primerov, ne le seznam dokumentov za predložitev. Vzorec mora med drugim vključevati dodelitev in odvzem dostopa, obravnavo ranljivosti, incident, obnovitev podatkov, sistemsko spremembo, usposabljanje zaposlenega, kvalifikacijo dobavitelja in vodstveni pregled. Za vsak vzorec je treba določiti vir zapisa, odgovorno osebo in merilo učinkovitosti.

Smiselno je primerjati število skladnih primerov, odstopanj in primerov brez dokazil. Kjer organizacija izvaja meritve, je treba vključiti tudi odzivni čas in čas zaključevanja incidentov ter rezultate preizkusov obnovitve, vaj in pregledov pravic dostopa. Obdobje hrambe dokazil mora omogočati presojo ponovljivosti procesa in vključevati dogodke, pomembne za tveganje. Ne sme biti določeno zgolj glede na datum revizije.

Postopek odvzema pravic ne bo zadostno dokazilo, če vzorec računov nekdanjih zaposlenih pokaže zamude, še vedno aktivne račune ali manjkajočo potrditev izvedbe. Revizor lahko primerja kadrovske podatke, zahtevke v servisnem sistemu, zapise imenika in dnevnike dejavnosti. Dokazila, ki jih samodejno ustvarjajo orodja, so uporabna, če je mogoče dokazati njihovo celovitost, zanesljivo časovno oznako in povezavo s konkretnim primerom. Odločitve o sprejetju tveganja, odstopanju, zaključku incidenta ali kvalifikaciji dobavitelja pa zahtevajo odobren zapis z jasno sledljivo odgovornostjo.

Notranja revizijska simulacija mora poustvariti potek zunanje presoje: od merila prek vzorca do ocene uvedbe in učinkovitosti. Ne smejo pa je izvajati osebe, ki presojajo lastno delo. Pri preverjanju nadzora tretjih oseb je uporaben kontekst gradiva Revizija dobavitelja v jedrski energetiki – kaj se preverja in kako pripraviti podjetje pred kvalifikacijo, ob upoštevanju ločenih meril presoje.

Obstoječi sistem vodenja lahko že zagotavlja mehanizme za obvladovanje dokumentacije, notranje presoje, korektivne ukrepe in vodstvene preglede. Smiselno jih je uporabiti, namesto da se vzpostavlja vzporeden sistem. Obstoječi certifikat pa ne nadomesti dokazovanja skladnosti z ustreznimi merili KSC. Odločilno je, ali varnostni ukrepi delujejo v opredeljenem obsegu ter ali lahko organizacija predloži skladna in verodostojna dokazila o njihovem izvajanju.

Dobavitelji so del obsega

Zunanje izvajanje vzdrževanja sistema, obdelave podatkov ali spremljanja varnosti ne prenese odgovornosti ključnega subjekta na izvajalca. Dobavitelj lahko izvaja varnostne ukrepe in obravnava incidente, organizacija pa mora še vedno razumeti tveganja, povezana s storitvijo, določiti zahteve in dokazati učinkovit nadzor. Priprava na revizijo mora zato zajeti tudi zunanje storitve, od katerih so odvisni neprekinjeno poslovanje, zaupnost informacij ali razpoložljivost sistemov.

Globino presoje je treba prilagoditi kritičnosti dobavitelja. Pomembni so vpliv izpada na storitev, obseg dostopa do informacij in sistemov, možnost zamenjave izvajalca, vključevanje podizvajalcev, lokacija obdelave ter dejanska možnost pridobivanja dokazil. Dobavitelje z omejenim vplivom je mogoče oceniti z vprašalnikom in pregledom dokumentacije. Pri strateških partnerjih so lahko upravičeni razgovori, preizkusi neprekinjenega poslovanja, analiza operativnih zapisov ali revizija druge strani.

Če dobavitelj ne dovoli revizije, mora organizacija določiti nadomestna dokazila, oceniti preostalo tveganje in odločiti, ali so potrebni dodatni varnostni ukrepi, ponovna pogajanja o pogodbi ali izhodni načrt. Izjava dobavitelja ali njegov certifikat morda ne zadoščata, če ne zajemata ustrezne storitve, lokacije ali operativnega obsega.

Tipična vrzel nastane, kadar pogodba določa razpoložljivost storitve, ne določa pa roka za obveščanje o incidentu, pravil sodelovanja pri analizi vzrokov ali pravice do preverjanja dobaviteljevih ukrepov. To ni zgolj formalna pomanjkljivost. Brez takšnih določil organizacija morda ne bo pravočasno prejela podatkov, potrebnih za oceno posledic dogodka, sprejetje odločitev in predstavitev skladnega poteka odziva revizorju. Pogodbene vrzeli ni mogoče odpraviti samo z notranjim postopkom.

Pregled pogodb in varnostnih prilog mora zajemati obveznosti glede varovanja informacij, prijavljanja incidentov, neprekinjenega poslovanja, podizvajanja, zaključka sodelovanja, vračila ali izbrisa podatkov, dostopa do dokazil in načinov preverjanja. Napredek priprav je smiselno meriti s številom kritičnih dobaviteljev, deležem partnerjev z aktualno oceno tveganja in dokazili o nadzoru, številom pogodb, ki zahtevajo dopolnitev, ter številom storitev brez potrjenega načrta neprekinjenega poslovanja ali izhoda. Metodologijo poglobljenega preverjanja podrobneje obravnava gradivo Kako podjetje pripraviti na revizijo druge strani pri ključnem dobavitelju?

Načrt do prve presoje

Program priprav je treba izvajati v določenem zaporedju: potrditi status subjekta in ustrezna pravna merila, določiti meje presojanega okolja, dodeliti odgovornosti, izvesti analizo tveganj in vrzeli ter nato odobriti načrt ukrepov. Poskusna revizija je smiselna šele po izvedbi ukrepov in zbiranju zapisov o njihovem delovanju. Njeni rezultati morajo voditi v odpravo vzrokov neskladnosti, ne le njihovih posledic, ter v končni pregled pripravljenosti s strani vodstva.

Časovni načrt se izdela vzvratno od roka, določenega z veljavnimi predpisi ali formalno odločitvijo za konkretni subjekt. Enoten varen rok za začetek priprav za vse organizacije ne obstaja. Odvisen je od pravnega statusa, tehničnega obsega, zrelosti varnostnih ukrepov, števila zunanjih odvisnosti in časa, potrebnega za pridobitev zapisov, ki dokazujejo delovanje. Vodstvo mora prednostne naloge potrditi glede na pomembnost tveganj in medsebojne odvisnosti nalog, ne glede na to, kako preprosto jih je zaključiti v časovnem načrtu.

Naloga, ki je po objavi postopka označena kot končana, v resnici ostaja odprta, dokler postopek ni uveden, preverjen na reprezentativnem vzorcu in potrjen z zapisom. Enako velja za tehnične varnostne ukrepe, obravnavo incidentov, načrte neprekinjenega poslovanja in nadzor dobaviteljev. Revizijska pripravljenost zahteva dokazila o celotnem ciklu delovanja: odločitvi, izvedbi, preverjanju rezultata in odzivu na ugotovljeno odstopanje. Če se pomanjkljivost nanaša na pogoje sodelovanja z zunanjim subjektom, je uporaben kontekst gradiva Revizija dobavitelja pred podpisom pogodbe – kako omejiti tveganja za kakovost in pravočasnost dobav.

Poročanje vodstvu ne sme biti omejeno na odstotek izvedbe načrta. Vodstvene informacije morajo vključevati:

• število vrzeli glede na njihovo pomembnost, skupaj z lastnikom in rokom odprave;
• delež varnostnih ukrepov, potrjenih z zapisi;
• odprta tveganja, ki jih je sprejela ustrezna raven vodstva;
• ovire, kot so manjkajoči lastnik, neuveden varnostni ukrep, nepreizkušen načrt, neusklajena pogodba ali vrzel brez verodostojnega dokazila o odpravi.

Izbor izvajalca revizije je smiselno začeti dovolj zgodaj, vendar šele po preverjanju aktualnih zahtev KSC glede izvajalca in dokumentiranja rezultatov. Cena ne sme biti edino merilo. Preveriti je treba zahtevana pooblastila, neodvisnost, sektorske kompetence, metodologijo in sposobnost presoje dejanskega tehničnega okolja. Izbor izvajalca ne nadomesti poskusne revizije ali vodstvenega pregleda. Z njim se zaključi le organizacijski del priprav na formalno presojo.

Prvo revizijo KSC je treba obravnavati kot preverjanje sposobnosti organizacije za upravljanje varnosti storitev, ne kot enkratni pregled dokumentacije. Subjekt je pripravljen šele, ko zna utemeljiti svoj status in obseg, določiti lastnike tveganj, dokazati delovanje varnostnih ukrepov ter predložiti verodostojna dokazila o nadzoru procesov in dobaviteljev.