Pakollinen KSC-auditointi: minkä keskeisten toimijoiden on valmistauduttava ensimmäiseen arviointiin?

Pakolliseen KSC-auditointiin valmistautuminen ei ala auditoijan valinnasta tai menettelyohjeiden kokoamisesta. Ensin on vahvistettava kyseisen oikeushenkilön asema, määritettävä sääntelyn piiriin kuuluvat palvelut sekä osoitettava vastuut riskeistä, turvatoimista ja niiden toimivuutta koskevasta näytöstä. Ilman näitä ratkaisuja organisaatio voi kohdentaa resursseja vääriin asioihin, sivuuttaa kriittisiä riippuvuuksia tai mennä auditointiin dokumentaatiolla, joka ei vastaa palvelujen todellista tuottamistapaa. Valmiutta ensimmäiseen arviointiin ei siten ratkaise menettelyohjeiden määrä, vaan oikeudellisen luokittelun, operatiivisen soveltamisalan, riskienhallinnan ja käytännön toiminnan välinen johdonmukaisuus.

Keitä ensimmäinen auditointi koskee?

Ensimmäiseksi on vahvistettava, kuuluuko kyseinen oikeushenkilö KSC:n soveltamisalaan, mihin toimijaluokkaan se on luokiteltu sekä mitä auditointivaatimuksia ja määräaikoja siihen sovelletaan. Luokittelussa on huomioitava toimiala, tosiasiallisesti harjoitettu toiminta, organisaation koko sekä voimassa olevassa sääntelyssä määritellyt erityisperusteet. Keskeisiä toimijoita ei pidä rinnastaa aiempiin keskeisten palvelujen tarjoajiin, eikä toimijan asemaa tule määrittää pelkän puolalaisen PKD-toimialakoodin perusteella. Koodi voi tukea arviointia, mutta se ei korvaa palvelujen, niiden käyttäjien ja organisaation toimialakohtaisen roolin analysointia.

Ensimmäisen työasiakirjan tulisi olla hyväksytty luokitteluanalyysi. Siinä kuvataan sääntelyn piiriin kuuluva toiminta, sitä toteuttavat organisaatioyksiköt, tuotettavat palvelut, niitä tukevat tietojärjestelmät sekä tehdyn johtopäätöksen perusteet. KSC-vaatimustenmukaisuuden koordinointi voidaan osoittaa nimetylle laki-, compliance- tai kyberturvallisuustoiminnolle. Luokittelu on kuitenkin hyväksytettävä muodollisesti toimielimellä, jolla on oikeus tehdä päätöksiä oikeushenkilön puolesta. Tulkinnanvaraisissa tilanteissa on perusteltua hankkia oikeudellinen lausunto sen sijaan, että valmisteluohjelma rakennettaisiin dokumentoimattoman oletuksen varaan.

Konsernissa yhden yhtiön asema ei automaattisesti ulotu muihin yhtiöihin. Jokainen oikeushenkilö sekä sen toiminta, koko ja erityisperusteet on arvioitava erikseen. Vasta tämän jälkeen tunnistetaan yhteiset palvelukeskukset, infrastruktuuri, järjestelmät ja toimittajat. Erottelu on välttämätön riskivastuiden määrittämiseksi, auditoinnin rajojen asettamiseksi ja sen suunnittelemiseksi, miten yritys valmistellaan keskeisen toimittajan toisen osapuolen auditointiin.

Yksityiskohtaiset kynnysarvot, poikkeukset, tunnistamis-, rekisteröinti- tai ilmoitusmenettelyt sekä auditointien määräajat on tarkistettava Puolan kansallista kyberturvallisuusjärjestelmää koskevan lain ja siihen liittyvien soveltamissäädösten kulloinkin voimassa olevasta sanamuodosta. Viranomaisilmoituksen puuttuminen ei yksinään ole peruste lykätä analyysia, jos toiminnan luonne viittaa siihen, että organisaatio saattaa kuulua sääntelyn piiriin. Ensimmäisen auditoinnin soveltamisala ja aikataulu voidaan määrittää vastuullisesti vasta, kun toimijan asema on vahvistettu.

Soveltamisala ratkaisee arvioinnin onnistumisen

Vakavin valmisteluvirhe on rajata KSC-auditointi IT-osastoon. Arvioinnin kohteena on palvelujen ja järjestelmien turvallisuuden hallinta, joten auditoinnin rajojen tulee kattaa myös operatiiviset prosessit, ylläpito, hankinnat, henkilöstöhallinto, toiminnan jatkuvuus, poikkeamien käsittely ja johdon valvonta. Liian suppea rajaus jättää palvelun häiriönsietokyvyn kannalta merkittäviä riippuvuuksia tarkastelun ulkopuolelle. Koko organisaation sisällyttäminen arviointiin ilman perusteltua syytä puolestaan kasvattaa työmäärää ja vaikeuttaa olennaisten havaintojen erottamista toissijaisista asioista.

Soveltamisalan määrittely aloitetaan sääntelyn piiriin kuuluvista palveluista. Niistä edetään tukiprosessien ja tietojen kautta sovelluksiin, infrastruktuuriin, toimipaikkoihin, henkilöstöön ja ulkoisiin osapuoliin. Pelkkä laiteluettelo ei osoita, mitkä resurssit ovat palvelun tuottamisen edellytyksiä tai kuka vastaa niihin liittyvistä riskeistä. Jokaiselle palvelulle on siksi nimettävä omistaja ja tunnistettava riippuvaiset prosessit, keskeiset tietovarannot, järjestelmät, toimittajat sekä näyttö turvatoimien toiminnasta. Riippuvuuskartan avulla on voitava jäljittää käytettävyyden menetyksen tai tietoturvaloukkauksen vaikutukset ilman, että dokumentoidaan arvioitavan palvelun kannalta merkityksettömiä suhteita.

Lähestymistavan käytännön merkitys näkyy esimerkiksi varmuuskopioinnissa. Varmuuskopiot voidaan tehdä ajallaan, niiden toteutumista voidaan valvoa ja toiminta voi noudattaa menettelyohjetta. Jos operatiivisen prosessin omistaja ei kuitenkaan ole määrittänyt vaadittua palautumisaikaa, ei voida osoittaa, että tekninen turvatoimi vastaa liiketoiminnan tarvetta. Vastaavasti usean yhtiön yhteinen järjestelmä kuuluu jokaisen sellaisen yhtiön arviointialueeseen, jonka säänneltyä palvelua se tukee. Vastuunjako järjestelmän hallinnasta, riskeistä, poikkeamista ja näytön tuottamisesta on tällöin kuvattava yksiselitteisesti.

Organisatoriset ja tekniset rajat tulee vahvistaa työpajassa, johon osallistuvat palvelujen ja prosessien omistajat sekä toiminnan jatkuvuudesta, kyberturvallisuudesta ja keskeisistä toimittajista vastaavat henkilöt. Rajauksia ei pidä määrittää pelkästään infrastruktuurin ylläpitäjän haastattelun perusteella. Työpajan tuloksena tulee syntyä luettelo arvioitavista palveluista, niitä tukevista järjestelmistä, toimipaikoista ja toimittajista, yhteisistä riippuvuuksista sekä perustelluista rajauksista. Jokaiselle poisrajaukselle tarvitaan peruste, arvio vaikutuksesta palveluun ja päätöksen omistaja.

Sama kartta toimii lähtökohtana myös kustannusten arvioinnille, jota käsitellään artikkelissa Mitä NIS2:n ja uKSC:n käyttöönotto maksaa – näin laadit auditoinnin, dokumentoinnin, koulutusten ja turvatoimien budjetin ilman kalliita virheitä.

Roolien, arvioinnin riippumattomuuden ja havaintojen käsittelyn suunnittelussa voidaan hyödyntää sisäisen ja ulkoisen auditoinnin välistä eroa. Perusperiaate ei kuitenkaan muutu: KSC-auditoinnilla on oma oikeusperustansa, kriteerinsä ja arvioitavan toimijan velvoitteista johdettu soveltamisalansa. Kyse ei ole tavanomaisesta johtamisjärjestelmän sertifiointiauditoinnista, vaikka näytön keräämisessä ja turvatoimien vaikuttavuuden arvioinnissa käytettäisiin samankaltaisia menetelmiä.

Kustannukset kasvavat vastuurajapinnoissa

Auditointiin valmistautumisen suurimmat kustannukset eivät yleensä synny puuttuvasta asiakirjasta, vaan hajautettujen vastuiden rajapinnoista. Tyypillisiä ovat IT:n ja operatiivisen toiminnan, yksittäisen yhtiön ja konsernin, tilaajan ja toimittajan sekä prosessinomistajan ja järjestelmäomistajan väliset rajat. Jos kukaan ei vastaa yksiselitteisesti riskeistä, poikkeamista, toiminnan jatkuvuudesta ja näytön esittämisestä, puute jää avoimeksi muodollisesta roolituksesta huolimatta.

Budjetti tulee rakentaa sen mukaan, miten puutteet vaikuttavat palveluun ja kuinka suuri riski on, ettei turvatoimien vaikuttavuutta pystytä osoittamaan. Puuttuvien menettelyohjeiden määrä ei ole tarkoituksenmukainen budjetointiperuste. Puuteanalyysi, organisatoriset toimenpiteet, tekniset turvatoimet, testaukset, osaamisen kehittäminen, toimittajahallinta ja varsinainen auditointi kannattaa budjetoida erikseen. Resurssien hallintaa tukevat erityisesti seuraavat kolme mittaria:

• investoinnista tai sopimusmuutoksesta riippuvien kriittisten puutteiden määrä;
• testausta edellyttävien turvatoimien arvioitu käyttöönottoaika;
• sellaisen infrastruktuurin uudistamisen osuus kustannuksista, joka ei johdu yksinomaan vaatimustenmukaisuusvelvoitteesta.

Vaikeimmin korjattavia ovat yleensä puutteet, jotka edellyttävät teknisiä muutoksia, sopimusten uudelleenneuvottelua, palautustestauksia, etuoikeutettujen käyttöoikeuksien hallinnan järjestämistä tai poikkeamien ilmoitus- ja eskalointiprosessin uudistamista. Niitä ei voida sulkea uskottavasti pelkällä menettelyohjeen hyväksymisellä. Pilvipalvelun toimittaja voi esimerkiksi ilmoittaa käyttävänsä kattavia turvatoimia, vaikka organisaatio ei silti pystyisi osoittamaan vastuunjakoa, oikeutta saada tietoa poikkeamista tai mahdollisuutta hankkia auditoijan tarvitsemaa näyttöä. Tällöin ongelma koskee samanaikaisesti sopimusta, toimittajavalvontaa, palveluarkkitehtuuria ja auditointinäytön saatavuutta.

Ennen auditointia on ehdottomasti suljettava puutteet, jotka vaarantavat palvelun tuottamiskyvyn, poikkeamiin reagoinnin tai keskeisen turvatoimen toimivuuden osoittamisen. Muille puutteille voidaan laatia hallittu toimenpidesuunnitelma, jos siinä määritetään omistaja, määräaika, resurssit, riskin rajoittaminen käyttöönottoon saakka sekä jäännösriskin hyväksymistä koskeva päätös asianmukaisella johtamistasolla. Helpoimmin valmiiksi merkittävät tehtävät eivät saa automaattisesti korkeinta prioriteettia. Myös työkaluhankinnan ja prosessin parantamisen välisen valinnan on perustuttava puutteen juurisyyhyn, ei investointibudjetin saatavuuteen.

Samanlainen vastuiden hallinta on tärkeää myös aiheessa Miten tiimi valmistellaan asiakkaan auditointiin, kun vaatimuksina ovat APQP, PPAP ja juurisyyanalyysi, vaikka arvioinnin kriteerit ja perusteet ovat erilaiset.

Auditoija arvioi toimintaa, ei asiakirjakansiota

Asiakirja on vasta auditointipolun lähtökohta. Auditoijan tulee voida edetä vaatimuksesta ja tunnistetusta riskistä prosessinomistajaan, käytettyyn turvatoimeen, sen toteuttamisen vahvistavaan tallenteeseen, valvontatulokseen ja havaittuun poikkeamaan annettuun reaktioon. Politiikka, menettelyohje tai työohje ei yksin osoita vaikuttavuutta. Tarvitaan organisaation normaalissa toiminnassa syntyvää objektiivista näyttöä: palvelupyyntöjä, tapahtumalokeja, hyväksyntöjä, testipöytäkirjoja, katselmustuloksia, riskipäätöksiä ja loppuun saatettuja korjaavia toimenpiteitä.

Valmisteluohjelmassa tulee määrittää, miten todelliset tapaukset valitaan otantaan. Pelkkä esitettävien asiakirjojen luettelo ei riitä. Otannan on katettava muun muassa käyttöoikeuden myöntäminen ja poistaminen, haavoittuvuuden käsittely, poikkeama, tietojen palautus, järjestelmämuutos, työntekijän koulutus, toimittajan hyväksyntä ja johdon katselmus. Jokaiselle otokselle määritetään tallenteen lähde, vastuuhenkilö ja vaikuttavuuden arviointikriteeri.

Vaatimustenmukaisten tapausten, poikkeamien ja näyttöpuutteiden määrää kannattaa seurata rinnakkain. Jos organisaatiolla on käytössä mittareita, arviointiin tulee sisällyttää myös poikkeamiin reagointi- ja sulkemisajat sekä palautustestien, harjoitusten ja käyttöoikeuskatselmusten tulokset. Näytön säilytysajan on mahdollistettava prosessin toistettavuuden arviointi ja katettava riskin kannalta merkittävät tapahtumat. Säilytysaikaa ei tule määrittää pelkästään tulevan auditointipäivän perusteella.

Käyttöoikeuksien poistamista koskeva menettely ei ole riittävä näyttö, jos entisten työntekijöiden käyttäjätilien otanta paljastaa viiveitä, edelleen aktiivisia tilejä tai toteutusvahvistusten puuttumista. Auditoija voi verrata henkilöstötietoja, palvelunhallintajärjestelmän tikettejä, hakemistopalvelun tietoja ja toimintalokeja. Työkalujen automaattisesti tuottama näyttö on arvokasta, jos sen kattavuus, luotettava aikaleima ja yhteys yksittäiseen tapaukseen voidaan osoittaa. Riskin hyväksymistä, poikkeuslupaa, tietoturvapoikkeaman sulkemista tai toimittajan hyväksyntää koskevista päätöksistä tarvitaan puolestaan hyväksytty tallenne, josta päätösvastuu voidaan todentaa.

Sisäisen koeauditoinnin tulee jäljitellä ulkoisen auditoijan arviointiketjua kriteeristä otantaan sekä toteutuksen ja vaikuttavuuden arviointiin. Henkilöt eivät kuitenkaan saa arvioida omaa työtään. Kolmansien osapuolten valvonnan arvioinnissa hyödyllistä taustaa tarjoaa artikkeli Toimittaja-auditointi ydinenergia-alalla – mitä arvioidaan ja miten yritys valmistellaan ennen hyväksyntää. Arviointikriteerien erot on silti säilytettävä.

Nykyinen johtamisjärjestelmä voi tarjota valmiit menettelyt dokumenttien hallintaan, sisäisiin auditointeihin, korjaaviin toimenpiteisiin ja johdon katselmuksiin. Näitä kannattaa hyödyntää rinnakkaisen hallintamallin rakentamisen sijasta. Olemassa oleva sertifikaatti ei kuitenkaan korvaa KSC:n asianmukaisten kriteerien täyttymisen osoittamista. Arvioinnin kannalta ratkaisevaa on, toimivatko turvatoimet määritellyssä soveltamisalassa ja pystyykö organisaatio esittämään niiden käytöstä johdonmukaista ja luotettavaa näyttöä.

Toimittajat kuuluvat arviointialueeseen

Järjestelmän ylläpidon, tietojenkäsittelyn tai turvallisuusvalvonnan ulkoistaminen ei siirrä keskeisen toimijan vastuuta palveluntuottajalle. Toimittaja voi toteuttaa turvatoimia ja käsitellä poikkeamia, mutta organisaation on edelleen ymmärrettävä palveluun liittyvät riskit, asetettava vaatimukset ja osoitettava valvonnan vaikuttavuus. Auditointiin valmistautumisen tulee siksi kattaa myös ulkoiset palvelut, joista toiminnan jatkuvuus, tietojen luottamuksellisuus tai järjestelmien käytettävyys riippuu.

Arvioinnin syvyys tulee suhteuttaa toimittajan kriittisyyteen. Olennaisia tekijöitä ovat häiriön vaikutus palveluun, toimittajan pääsy tietoihin ja järjestelmiin, toimittajan korvattavuus, alihankkijoiden käyttö, tietojenkäsittelyn sijainti sekä todellinen mahdollisuus saada arviointinäyttöä. Vaikutukseltaan vähäisiä toimittajia voidaan arvioida kyselyllä ja dokumenttikatselmuksella. Strategisten kumppanien kohdalla voivat olla perusteltuja haastattelut, jatkuvuustestit, operatiivisten tallenteiden analysointi tai toisen osapuolen auditointi.

Jos toimittaja ei hyväksy auditointioikeutta, organisaation tulee määrittää korvaava näyttö, arvioida jäännösriski ja päättää, edellyttääkö se lisäturvatoimia, sopimuksen uudelleenneuvottelua tai irtautumissuunnitelmaa. Toimittajan oma vakuutus tai sertifikaatti voi olla riittämätön, jos se ei kata kyseistä palvelua, toimipaikkaa tai operatiivista soveltamisalaa.

Tyypillinen puute syntyy, kun sopimuksessa määritetään palvelun saatavuustaso mutta ei poikkeamasta ilmoittamisen määräaikaa, juurisyyanalyysiin osallistumisen periaatteita tai oikeutta todentaa toimittajan toteuttamat toimenpiteet. Kyse ei ole pelkästä muodollisesta puutteesta. Ilman tällaisia ehtoja organisaatio ei välttämättä saa ajoissa tapahtuman vaikutusten arviointiin, päätöksentekoon ja johdonmukaisen tapahtumaketjun esittämiseen tarvittavia tietoja. Sopimuspuutetta ei voida korjata pelkällä sisäisellä menettelyohjeella.

Sopimusten ja tietoturvaliitteiden katselmuksessa tulee käsitellä tietojen suojaamisvelvoitteet, poikkeamailmoitukset, toiminnan jatkuvuus, alihankinta, yhteistyön päättäminen, tietojen palauttaminen tai poistaminen, näytön saatavuus sekä todentamisen periaatteet. Valmistelun edistymistä voidaan mitata kriittisten toimittajien määrällä, ajantasaisen riskiarvion ja valvontanäytön kattamien kumppanien osuudella, täydennystä edellyttävien sopimusten määrällä sekä niiden palvelujen määrällä, joilta puuttuu vahvistettu jatkuvuus- tai irtautumissuunnitelma. Perusteellisempaa todentamismenetelmää käsitellään artikkelissa Miten yritys valmistellaan keskeisen toimittajan toisen osapuolen auditointiin?

Suunnitelma ensimmäiseen arviointiin saakka

Valmisteluohjelma tulee toteuttaa hallitussa järjestyksessä: vahvista toimijan asema ja sovellettavat oikeudelliset kriteerit, rajaa arvioitava ympäristö, määritä vastuut, toteuta riski- ja puuteanalyysi sekä hyväksy korjaussuunnitelma. Koeauditointi on perusteltu vasta, kun toimenpiteet on otettu käyttöön ja niiden toiminnasta on kertynyt tallenteita. Tulosten tulee johtaa poikkeamien juurisyiden, ei pelkästään oireiden, poistamiseen sekä johdon suorittamaan lopulliseen valmiuskatselmukseen.

Aikataulu laaditaan taaksepäin voimassa olevasta sääntelystä tai kyseistä toimijaa koskevasta muodollisesta ratkaisusta johdetusta määräajasta. Kaikille organisaatioille sopivaa yhtä turvallista aloitusajankohtaa ei ole. Tarvittava valmisteluaika riippuu oikeudellisesta asemasta, teknisen ympäristön laajuudesta, turvatoimien kypsyydestä, ulkoisten riippuvuuksien määrästä sekä siitä, kuinka kauan toiminnan osoittavien tallenteiden kerryttäminen kestää. Johdon tulee hyväksyä prioriteetit riskien merkityksen ja tehtävien keskinäisten riippuvuuksien perusteella, ei sen mukaan, mitkä aikataulurivit on helpointa sulkea.

Menettelyohjeen julkaisemisen jälkeen valmiiksi merkitty tehtävä on tosiasiassa yhä avoin, kunnes menettely on otettu käyttöön, testattu edustavalla otannalla ja vahvistettu tallenteilla. Sama koskee teknisiä turvatoimia, poikkeamien käsittelyä, jatkuvuussuunnitelmia ja toimittajavalvontaa. Auditointivalmius edellyttää näyttöä koko toimintasyklistä: päätöksestä, toteutuksesta, tuloksen valvonnasta ja havaittuun poikkeamaan reagoinnista. Jos puute koskee ulkoisen osapuolen kanssa sovittuja yhteistyöehtoja, hyödyllistä taustaa tarjoaa Toimittaja-auditointi ennen sopimuksen allekirjoittamista – näin vähennät laatu- ja toimitusaikariskiä.

Johdolle raportointia ei tule rajata suunnitelman toteutumisprosenttiin. Johdon raportoinnissa on esitettävä:

• puutteiden määrä vakavuusluokittain sekä omistajat ja sulkemisen määräajat;
• tallenteilla vahvistettujen turvatoimien osuus;
• asianmukaisella johtamistasolla hyväksytyt avoimet riskit;
• esteet, kuten puuttuva omistaja, käyttöön ottamaton turvatoimi, testaamaton suunnitelma, neuvottelematon sopimus tai puute, jonka sulkemisesta ei ole luotettavaa näyttöä.

Auditoinnin toteuttajan valinta kannattaa aloittaa riittävän aikaisin, mutta vasta sen jälkeen, kun KSC:n ajantasaiset vaatimukset toteuttajalle ja tulosten dokumentoinnille on tarkistettu. Hinta ei saa olla ainoa valintaperuste. Arvioinnissa on huomioitava vaaditut valtuudet, riippumattomuus, toimialaosaaminen, menetelmät ja kyky tutkia todellista teknistä ympäristöä. Auditointitoimittajan valinta ei korvaa koeauditointia eikä johdon katselmusta. Se saattaa valmiiksi ainoastaan muodolliseen arviointiin valmistautumisen organisatorisen osuuden.

Ensimmäinen KSC-auditointi on nähtävä arviointina organisaation kyvystä hallita palvelujensa turvallisuutta, ei kertaluonteisena dokumentaatiokatselmuksena. Toimija on valmis vasta, kun se pystyy perustelemaan asemansa ja soveltamisalansa, nimeämään riskien omistajat, osoittamaan turvatoimien toimivuuden sekä esittämään luotettavaa näyttöä prosessien ja toimittajien valvonnasta.