Overovanie bezúhonnosti personálu v KSC – ako určiť rozsah a nastaviť súladný proces

Overovanie bezúhonnosti personálu v rámci KSC nie je plošnou personálnou kontrolou ani formalitou pred auditom. Rozsah musí vychádzať z konkrétneho právneho základu, postavenia organizácie a skutočných úloh a oprávnení danej osoby. Ak sa proces začne zhromažďovaním potvrdení namiesto kvalifikácie rolí, organizácia môže opomenúť osoby, na ktoré sa požiadavka vzťahuje, a zároveň bez právneho základu spracúvať údaje o odsúdeniach. Najprv preto treba určiť, koho a na akom základe možno preverovať, následne oddeliť zodpovednosť za získanie informácie, posúdenie výsledku a rozhodnutie o prístupe a napokon obmedziť záznamy na údaje nevyhnutné na preukázanie súladu.

Najprv rozsah, až potom potvrdenie

Rozhodnutie o overovaní bezúhonnosti by sa nemalo začínať vyžiadaním dokumentov od personálu. Vedenie musí najprv potvrdiť postavenie organizácie v systéme KSC a identifikovať konkrétne ustanovenie, z ktorého vyplýva povinnosť voči určeným osobám. Samotný odkaz na NIS2, príprava na audit alebo budovanie systému manažérstva informačnej bezpečnosti neoprávňujú organizáciu preverovať všetkých zamestnancov, spolupracovníkov a dodávateľov.

Hranice procesu treba určiť samostatne pre každý zdroj požiadavky. Smernica NIS2, poľský zákon o KSC v aktuálnom znení, vykonávacie predpisy, sektorová regulácia, zmluvné podmienky a interné pravidlá prideľovania prístupov nie sú rovnocennými zdrojmi. Pri každom z nich treba vymedziť vecný, osobný a časový rozsah: koho sa požiadavka týka, z akého dôvodu a odkedy, či pripúšťa výnimky a kedy vyžaduje opätovné posúdenie. Ak organizácia navrhne postup ešte pred dokončením tejto analýzy, môže opomenúť povinné osoby a súčasne neoprávnene spracúvať údaje o odsúdeniach.

Výstupom kvalifikácie by mal byť stručný záznam schválený vlastníkom súladu. Dokument má uvádzať postavenie subjektu, právny základ, dátum a právny stav použitý pri analýze, dotknuté roly a odôvodnené výnimky. Kategória „IT personál“ je príliš všeobecná. Treba rozhodnúť, či požiadavka zahŕňa administrátorov s privilegovanými oprávneniami, osoby riešiace incidenty, personál dodávateľa a zástupcov, ktorí tieto úlohy vykonávajú len občas. Zároveň treba určiť vlastníka právnej analýzy a termín jej ďalšieho preskúmania, najmä po zmene predpisov, rozsahu činnosti alebo modelu prístupu.

Vymedzenie rozsahu overovania by malo byť súčasťou projektu „SZBI v súlade so zákonom o KSC – ako určiť rozsah, vlastníkov a harmonogram implementácie“. Rozsah systému, procesné zodpovednosti a privilegované roly musia vychádzať z rovnakej organizačnej mapy. Až potom možno zodpovedne rozhodnúť, či sa podľa aktuálneho právneho stavu povinnosť vzťahuje na organizáciu, ktoré ustanovenie umožňuje získať informáciu o bezúhonnosti a pri ktorých kategóriách personálu je takýto postup prípustný.

Na koho sa overovanie vzťahuje

Osobný rozsah neurčuje názov pracovnej pozície ani forma zmluvného vzťahu. Rozhodujúca je konkrétna požiadavka posúdená vo väzbe na skutočné úlohy, oprávnenia a vplyv osoby na bezpečnosť služby. Kvalifikácia má zohľadňovať logický aj fyzický prístup, možnosť meniť konfiguráciu, účasť na riešení incidentov, vplyv na kontinuitu činností a dočasné či núdzové oprávnenia. Roly, ktoré nesúvisia s chránenou službou, systémom, objektom alebo rozsahom určeným v predpise, nemožno preventívne zaraďovať do preverovania.

Základným rozhodovacím nástrojom je matica rolí, ktorú spoločne spravujú vlastník procesu, osoba zodpovedná za informačnú bezpečnosť a personálne oddelenie za účasti vlastníka súladu. Matica má byť previazaná s riadením identít a prístupových oprávnení a s oddelením povinností. Zoznam zamestnancov sám osebe nestačí. Potrebné sú aj registre privilegovaných účtov, administratívnych, fyzických a núdzových prístupov a externých osôb so skutočným prístupom k systémom alebo procesom v rozsahu.

Technický administrátor dodávateľa môže mať širšie oprávnenia ako interný vedúci pracovník, hoci nie je zamestnancom organizácie. Kvalifikácia založená iba na druhu zmluvy by preto mohla vylúčiť osobu s významným vplyvom na bezpečnosť. To však neznamená, že externý administrátor automaticky podlieha rovnakému režimu ako zamestnanec. Rozsah údajov, spôsob preukázania splnenia požiadavky a zodpovednosť za posúdenie musia vyplývať z prípustného právneho základu alebo primerane nastavenej zmluvy. Dočasný a núdzový prístup treba posudzovať podľa možného rozsahu úkonov, nie podľa predpokladanej frekvencie využívania.

Matica má zahŕňať zamestnancov, členov orgánov, osoby spolupracujúce na inom základe, externých administrátorov aj personál dodávateľov a subdodávateľov, vždy však iba v hraniciach príslušnej požiadavky. Preskúmať ju treba po zmene architektúry oprávnení, rozsahu služby, dodávateľa alebo predpisov. Počet privilegovaných rolí a externých osôb so skutočným prístupom určuje rozsah procesu a predstavuje vstup pre plánovanie nákladov opísané v materiáli „Koľko stojí implementácia NIS2 a uKSC – ako zostaviť rozpočet na audit, dokumentáciu, školenia a bezpečnostné opatrenia bez nákladných chýb“.

Kde vznikajú náklady a riziká

Najväčšie riziko nespočíva v technickom získaní informácie o bezúhonnosti, ale v spustení preverovania bez jednoznačného právneho základu, určeného účelu a obmedzeného rozsahu. Údaje o odsúdeniach a trestných činoch podliehajú osobitnému režimu spracúvania. Bežný súhlas dotknutej osoby ani všeobecná formulácia v personálnej politike by sa nemali považovať za automatické oprávnenie na ich získavanie. Pred výberom spôsobu preverenia treba určiť, aké informácie príslušný predpis skutočne vyžaduje, koho zahŕňa a kto zodpovedá za posúdenie výsledku.

Náklady rastú, keď organizácia vyžaduje úplné dokumenty od všetkých pracovníkov, uchováva ich kópie bez stanovenej lehoty, odosiela ich bežným e-mailom alebo ich bez oddelenia oprávnení sprístupňuje personalistom, nadriadeným, bezpečnostným funkciám a audítorom. Každá ďalšia kópia zvyšuje nároky na ochranu údajov, riadenie prístupu, vybavovanie žiadostí a bezpečné vymazanie. Vedenie by preto nemalo sledovať iba počet vykonaných kontrol, ale aj počet osôb s prístupom k dokumentom a skutočnú dĺžku ich uchovávania.

Ďalším zdrojom rizika je absencia kritérií na posúdenie výsledku. Informácia zistená pri preverení nesmie viesť k improvizovanému rozhodnutiu vedúceho ani k hodnoteniu oddelenému od požiadavky platnej pre konkrétnu rolu. Personálne oddelenie môže dokument získať správnym spôsobom, proces však zostane chybný, ak nie je určené, kto posudzuje jeho význam, na akom základe rozhoduje o udelení prístupu a či je uchovanie kópie nevyhnutné. Postup má určovať mechanizmus eskalácie a Plán reakcie v pláne kontroly – ako opísať opatrenia pri prekročení hraníc procesu.

Potvrdenie vykonania kontroly treba oddeliť od uchovávania obsahu dokumentu. V závislosti od príslušného právneho základu a požadovaného dôkazu môže postačovať záznam dátumu preverenia, jeho rozsahu, osoby oprávnenej na posúdenie, kvalifikačného výsledku a rozhodnutia o udelení prístupu bez zaznamenania úplného obsahu potvrdenia. Ak je kópia nevyhnutná, treba určiť jej príjemcov, bezpečnostné opatrenia a termín vymazania. Takto nastavený záznam spája minimalizáciu údajov s povinnosťou preukázať súlad a nenahrádza právnu analýzu zhromažďovaním dokumentov „pre istotu“.

Proces od kvalifikácie po udelenie prístupu

Proces sa musí začať ešte pred získaním informácie o bezúhonnosti. Vlastník procesu najskôr kvalifikuje rolu, uvedie aktuálny právny základ a vymedzí požadovaný rozsah kontroly. Organizácia potom informuje osobu o účele, postupe a pravidlách spracúvania údajov, vyberie prípustný zdroj informácií a overí jej totožnosť. Ďalšie rozhodovacie brány zahŕňajú posúdenie výsledku, rozhodnutie o udelení prístupu, pridelenie oprávnení a vytvorenie kontrolného záznamu.

Pri každej činnosti treba určiť zodpovednú osobu, požadované vstupy, termín a postup v prípade chýbajúceho dokumentu, nedodržania lehoty alebo výsledku, ktorý si vyžaduje vysvetlenie. Formálne preverenie totiž nie je totožné s prevádzkovým rozhodnutím. Personálne oddelenie môže informovať pracovníka, prevziať dokument a potvrdiť úplnosť údajov, nemalo by však samostatne rozhodovať o prístupe k systému alebo infraštruktúre.

Konečné rozhodnutie by malo patriť určenej biznisovej role, spravidla vlastníkovi systému alebo osobe zodpovednej za danú prevádzkovú oblasť, za účasti bezpečnostnej funkcie. Ak je výsledok nejednoznačný alebo existujú pochybnosti o prípustnom rozsahu spracúvania údajov, prípad treba postúpiť právnej funkcii alebo osobe zodpovednej za ochranu údajov. Takéto rozdelenie zodpovedností zabraňuje automatickému udeleniu prístupu po predložení dokumentu aj svojvoľnému výkladu zo strany nadriadeného.

Rozhodovacie kritériá treba schváliť ešte pred prvým problematickým prípadom. Postup má určovať, kto posudzuje nejednoznačnosť, aké informácie možno zohľadniť, či je prípustné obmedziť rozsah prístupu a ako zaznamenať odôvodnenie bez sprístupnenia obsahu širšiemu okruhu osôb. Novoprijatá osoba môže napríklad absolvovať školenia a organizačné úkony, no do prijatia rozhodnutia by nemala dostať privilegovaný účet ani prístup do chráneného prostredia. Ak je dočasný prístup vôbec prípustný, vyžaduje samostatné schválenie, obmedzený rozsah, termín skončenia platnosti a dohľad. Nesmie slúžiť na obchádzanie kontroly.

Negatívny variant si vyžaduje vopred pripravený plán reakcie: pozastavenie oprávnení, eskaláciu určeným rozhodovacím osobám, zabezpečenie zastupovania, posúdenie vplyvu na kontinuitu činností a kontrolované uzavretie prípadu. Logika má byť rovnaká ako pri pláne reakcie: definovaná udalosť aktivuje pridelenú reakciu, zodpovednosť a záznam. Pri prijímaní pracovníkov a zmene roly môže byť vhodným referenčným materiálom Ako pripraviť onboarding nového inžiniera kvality alebo splnomocnenca ISO, najmä v oblasti rozhodovacích brán a potvrdzovania zodpovedností.

Kontrolný záznam má umožňovať spätne vysledovať kvalifikáciu roly, základ a rozsah preverenia, dátum potvrdenia totožnosti, zdroj informácie, hodnotiacu osobu, rozhodnutie, dátum pridelenia oprávnení a prípadnú eskaláciu. Zároveň treba určiť udalosti vedúce k opätovnému posúdeniu, najmä zmenu roly alebo rozsahu prístupu, a postup odobratia oprávnení pri odchode pracovníka. Účinnosť procesu najlepšie ukazuje čas od kvalifikácie po rozhodnutie, počet prístupov pridelených pred dokončením požadovanej kontroly a počet eskalácií spôsobených chýbajúcim dokumentom alebo nejednoznačným výsledkom.

Dokumentácia a opätovné overovanie

Dokumentácia procesu má umožniť rekonštrukciu dôvodov a dôsledkov rozhodnutia, nie vytvárať archív informácií o bezúhonnosti. Záznam má vysvetľovať, prečo daná rola podliehala prevereniu, kedy sa vykonalo, kto vo veci rozhodol a aký bol prevádzkový výsledok: udelenie, obmedzenie alebo odmietnutie prístupu. Automaticky z toho nevyplýva potreba uchovávať kópiu zdrojového dokumentu. Rozhodnutie o uchovaní kópie treba oddeliť od uchovávania metadát a založiť ho na aktuálnom právnom základe, účele spracúvania a zásade obmedzenia uchovávania.

Ucelený súbor záznamov by mali tvoriť:

• matica rolí spolu s odôvodnením rozsahu;
• register vykonaných kontrol;
• poverenia na spracúvanie údajov a pravidlá prístupu;
• schválené lehoty uchovávania;
• eskalačný protokol;
• dôkazy o splnení povinností dodávateľmi.

Tieto prvky potrebujú spoločného vlastníka, riadenie verzií a prepojenie s riadením dokumentácie systému manažérstva informačnej bezpečnosti. Ak sú rozptýlené medzi personálnym oddelením, bezpečnosťou a nákupom, preukazovanie úplnosti procesu je podstatne náročnejšie. V úložisku treba uchovávať vzory, systémové rozhodnutia a históriu zmien pravidiel, zatiaľ čo údaje o jednotlivých prípadoch majú byť prístupné výlučne oprávneným osobám. Užitočným organizačným východiskom je materiál Ako vybudovať interné úložisko znalostí o kvalite, aby sa nestrácali skúsenosti tímu.

Záznam môže obsahovať dátum kvalifikácie roly, preverenia a rozhodnutia, označenie použitého právneho základu, dátum pridelenia prístupu a plánovaného preskúmania. Ak postačuje potvrdenie vykonania kontroly a jej prevádzkového výsledku, kópiu potvrdenia netreba uchovávať „pre istotu“. Mechanizmus vymazania musí zahŕňať aj prílohy správ, pracovné priečinky a zdroje dodávateľov. Účinnosť dohľadu možno posudzovať podľa podielu rolí s aktuálnym odôvodnením zaradenia do procesu a počtu záznamov uchovávaných po uplynutí schválenej lehoty.

Termíny opätovného preverenia nemožno určovať podľa svojvoľne zvoleného kalendára. Frekvencia môže vyplývať z platného predpisu, charakteru roly, zmluvných podmienok alebo zdokumentovaného posúdenia rizika. Bez ohľadu na periodické preskúmanie má postup určovať udalosti spúšťajúce nové posúdenie, najmä zmenu pracovnej pozície, rozšírenie oprávnení, návrat do roly po prerušení alebo významnú zmenu právnych či zmluvných požiadaviek. Aktuálnosť informácie nemusí znamenať pravidelné získavanie úplného dokumentu. Proces má zabezpečiť zákonný a primeraný spôsob potvrdenia stavu, ktorý bude vždy zodpovedať aktuálnemu právnemu základu a rozsahu údajov, ktoré organizácia smie spracúvať.

Test pripravenosti pred auditom

Posudzovanie pripravenosti by sa nemalo začínať kontrolou existencie postupu, ale rekonštrukciou skutočných prípadov. Vzorka má zahŕňať minimálne zamestnanca v role podliehajúcej prevereniu, osobu po zmene roly, externého administrátora a prípad núdzového prístupu. Pri každom prípade by mal audítor sledovať celý reťazec od aktuálneho právneho základu a kvalifikácie roly cez získanie informácie a rozhodnutie o prístupe až po skutočne aktívne oprávnenia.

Minimálny test zahŕňa porovnanie zoznamu rolí s evidenciou prístupov, kontrolu úplnosti rozhodnutí, včasnosti preverenia, obmedzenia prístupu k záznamom a správnosti ich uchovávania. Treba tiež simulovať chýbajúci dokument, nejednoznačný výsledok alebo oneskorenie preverenia. Organizácia má preukázať, že dokáže pozastaviť prístup, aktivovať eskaláciu a určiť osobu oprávnenú rozhodnúť. Frekvencia interného auditu systému manažérstva informačnej bezpečnosti a prah eskalácie majú zodpovedať riziku a požiadavkám vyplývajúcim z aktuálne platného základu, nie iba harmonogramu auditov.

Typické systémové nezhody vznikajú na rozhraní procesov. Patrí medzi ne nepreukázaný právny základ, nesúlad medzi zoznamom pracovných pozícií a skutočnými oprávneniami, opomenutie subdodávateľov, udelenie prístupu pred dokončením kontroly, neurčená lehota uchovávania alebo chýbajúci zdokumentovaný eskalačný postup. Správny personálny záznam nestačí, ak externý administrátor po zmene rozsahu zmluvy naďalej používa aktívny účet alebo získal širšie oprávnenia bez opätovnej kvalifikácie.

Vedenie by malo dostávať agregované informácie, nie obsah údajov o odsúdeniach. Užitočnými ukazovateľmi sú podiel aktívnych prístupov vyžadujúcich kontrolu, pri ktorých existuje aktuálne rozhodnutie, počet prístupov pridelených pred dokončením preverenia, včasnosť preskúmaní a počet nezhôd podľa systémovej príčiny. Ukazovatele majú podporovať rozhodovanie o zdrojoch, nápravných opatreniach a eskalácii v súlade s prístupom opísaným v materiáli Ako nastaviť procesné KPI pre vedenie, aby sa systém kvality nekončil pri tabuľkách.

Pripravenosť na audit znamená schopnosť preukázať nielen existenciu postupu, ale aj primeranosť jeho rozsahu, konzistentnosť rozhodovania a účinnosť fungovania. Výsledky testu majú byť vstupom do interného auditu systému manažérstva informačnej bezpečnosti a preskúmania manažmentom spolu s určením vlastníka opatrenia, termínu odstránenia nedostatku a posúdením vplyvu na aktívne prístupy.