Personāla sodāmības pārbaude KSC ietvaros — kā noteikt tvērumu un izveidot atbilstošu procesu

Personāla sodāmības pārbaude KSC ietvaros nav vispārēja personāla kontroles procedūra vai formalitāte pirms audita. Tās tvērumam jāizriet no konkrēta pamata, organizācijas statusa un personas faktiskajiem pienākumiem un piekļuves tiesībām. Ja procesu sāk ar izziņu vākšanu, nevis lomu kvalificēšanu, var gan neaptvert personas, uz kurām prasība attiecas, gan nepamatoti apstrādāt datus par sodāmību. Tāpēc vispirms jānosaka, kuras personas un uz kāda pamata drīkst pārbaudīt, pēc tam jānodala atbildība par informācijas iegūšanu, rezultāta izvērtēšanu un lēmumu par piekļuvi, bet procesa ierakstos jāietver tikai atbilstības pierādīšanai nepieciešamie dati.

Jāsāk nevis ar izziņu, bet ar tvēruma noteikšanu

Lēmumu par sodāmības pārbaudi nevajadzētu sākt ar dokumentu pieprasīšanu personālam. Vispirms vadībai jāapstiprina organizācijas statuss KSC sistēmā un jānorāda konkrēta tiesību norma, no kuras izriet pienākums attiecībā uz noteiktām personām. Atsauce uz NIS2, gatavošanās auditam vai informācijas drošības pārvaldības sistēmas izveide pati par sevi nepamato visu darbinieku, sadarbības partneru un piegādātāju personāla pārbaudi.

Procesa robežas jānosaka atsevišķi katram prasību avotam. NIS2 direktīva, Polijas KSC likums tā aktuālajā redakcijā, īstenošanas noteikumi, nozares regulējums, līguma nosacījumi un iekšējie piekļuves piešķiršanas noteikumi nav līdzvērtīgi avoti. Katram no tiem jānosaka organizatoriskais, personu un laika tvērums: uz ko prasība attiecas, kādēļ tā piemērojama, no kura brīža tā ir spēkā, vai paredzēti izņēmumi un kad nepieciešama atkārtota izvērtēšana. Procedūras izstrāde pirms šādas analīzes pabeigšanas var izraisīt gan pienākumam pakļauto personu neaptveršanu, gan nepamatotu datu par sodāmību apstrādi.

Kvalificēšanas rezultātam jābūt īsam pamatojumam, ko apstiprinājis par atbilstību atbildīgais procesa īpašnieks. Dokumentā jānorāda organizācijas statuss, tiesiskais pamats, analīzes datums un izmantotā tiesību aktu redakcija, aptvertās lomas un pamatotie izņēmumi. Kategorija “IT personāls” ir pārāk vispārīga. Jānosaka, vai prasība attiecas uz administratoriem ar privileģētām tiesībām, incidentu pārvaldībā iesaistītajām personām, piegādātāja personālu un aizvietotājiem, kuri šos pienākumus veic periodiski. Jānosaka arī tiesiskās analīzes īpašnieks un tās pārskatīšanas termiņš, jo īpaši pēc regulējuma, darbības tvēruma vai piekļuves modeļa izmaiņām.

Pārbaudes robežu noteikšanai jābūt daļai no iniciatīvas “KSC likumam atbilstoša SZBI — kā noteikt tvērumu, īpašniekus un ieviešanas grafiku”. Sistēmas tvērumam, procesu atbildībai un privileģētajām lomām jāizriet no vienas un tās pašas organizācijas kartes. Tikai pēc tam var pamatoti noteikt, vai pienākums organizācijai ir piemērojams saskaņā ar aktuālo tiesisko regulējumu, kura norma ļauj iegūt informāciju par sodāmību un attiecībā uz kurām personāla kategorijām tas ir pieļaujams.

Uz kurām personām attiecas pārbaude

Personu tvērumu nenosaka amata nosaukums vai nodarbinātības forma. Izšķirošs ir piemērojamās prasības saturs, to salīdzinot ar personas faktiskajiem pienākumiem, tiesībām un ietekmi uz pakalpojuma drošību. Kvalificējot lomu, jāņem vērā loģiskā un fiziskā piekļuve, iespēja mainīt konfigurāciju, iesaiste incidentu pārvaldībā, ietekme uz darbības nepārtrauktību, kā arī pagaidu un avārijas piekļuves tiesības. Lomas, kas nav saistītas ar aizsargājamo pakalpojumu, sistēmu, objektu vai tiesību normā noteikto tvērumu, nevajadzētu preventīvi iekļaut pārbaudē.

Galvenais lēmumu pieņemšanas instruments ir lomu matrica, kuru kopīgi uztur procesa īpašnieks, par informācijas drošību atbildīgā persona un personāla funkcija, iesaistot arī atbilstības īpašnieku. Matricai jābūt sasaistītai ar identitāšu un piekļuves tiesību pārvaldību un pienākumu nodalīšanu. Ar darbinieku sarakstu vien nepietiek. Nepieciešami arī privileģēto kontu, administratīvās, fiziskās un avārijas piekļuves reģistri, kā arī ārējo personu uzskaite, kurām ir faktiska piekļuve tvērumā iekļautajām sistēmām vai procesiem.

Piegādātāja tehniskajam administratoram var būt plašākas tiesības nekā organizācijas iekšējam vadītājam, lai gan viņš nav organizācijas darbinieks. Tādēļ kvalificēšana tikai pēc līguma veida varētu izslēgt personu, kurai ir būtiska ietekme uz drošību. Tas tomēr nenozīmē, ka ārējais administrators automātiski pakļauts tādai pašai procedūrai kā darbinieks. Datu tvērumam, prasības izpildes apliecināšanas veidam un atbildībai par izvērtējumu jāizriet no pieļaujama tiesiskā pamata vai atbilstoši sagatavota līguma. Pagaidu un avārijas piekļuve jāvērtē pēc iespējamo darbību tvēruma, nevis paredzamā izmantošanas biežuma.

Matricā jāietver darbinieki, pārvaldes institūciju locekļi, uz cita pamata piesaistītās personas, ārējie administratori, kā arī piegādātāju un apakšuzņēmēju personāls, taču tikai piemērojamās prasības robežās. Tā jāpārskata pēc piekļuves arhitektūras, pakalpojuma tvēruma, piegādātāja vai regulējuma izmaiņām. Privileģēto lomu un ārējo personu ar faktisku piekļuvi skaits nosaka procesa mērogu un ir ievaddati izmaksu plānošanai, kas aplūkota materiālā “Cik maksā NIS2 un uKSC ieviešana — kā izveidot audita, dokumentācijas, apmācību un drošības pasākumu budžetu bez dārgām kļūdām”.

Kur rodas izmaksas un riski

Lielākais risks nav saistīts ar tehnisku informācijas par sodāmību iegūšanu, bet ar pārbaudes sākšanu bez nepārprotama pamata, noteikta mērķa un ierobežota tvēruma. Uz datiem par notiesājošiem spriedumiem un pārkāpumiem attiecas īpašs apstrādes režīms. Personas parasta piekrišana vai vispārīgs noteikums personāla politikā nebūtu uzskatāms par automātisku pamatojumu šādu datu iegūšanai. Pirms pārbaudes formas izvēles jānosaka, kādu informāciju attiecīgā tiesību norma patiešām pieprasa, uz kurām personām tā attiecas un kurš atbild par rezultāta izvērtēšanu.

Izmaksas pieaug, ja organizācija no visa personāla pieprasa pilnus dokumentus, glabā to kopijas bez noteikta glabāšanas termiņa, nosūta tās pa parastu e-pastu vai piešķir piekļuvi personāla funkcijai, vadītājiem, drošības speciālistiem un auditoriem, nenodalot tiesības. Katra papildu kopija palielina resursus, kas nepieciešami datu aizsardzībai, piekļuves kontrolei, pieprasījumu apstrādei un drošai dzēšanai. Tādēļ vadībai jāuzrauga ne tikai veikto pārbaužu skaits, bet arī to personu skaits, kurām ir piekļuve dokumentiem, un faktiskais glabāšanas ilgums.

Otrs riska avots ir rezultāta izvērtēšanas kritēriju trūkums. Pārbaudes gaitā atklātā informācija nedrīkst novest pie improvizēta vadītāja lēmuma vai vērtējuma, kas nav saistīts ar konkrētajai lomai piemērojamo prasību. Personāla funkcija var korekti iegūt dokumentu, taču process joprojām būs nepilnīgs, ja nav noteikts, kurš vērtē tā nozīmi, uz kāda pamata pieņem lēmumu par pielaišanu un vai kopijas saglabāšana ir nepieciešama. Procedūrā jānosaka eskalācijas kārtība un reaģēšanas plāns kontroles plānā — kā aprakstīt rīcību, ja process pārsniedz noteiktās robežas.

Pārbaudes veikšanas apliecinājums jānodala no dokumenta satura glabāšanas. Atkarībā no piemērojamā pamata un pierādīšanas pienākuma var pietikt ar pārbaudes datuma, pārbaudes tvēruma, vērtēt pilnvarotās personas, kvalifikācijas rezultāta un lēmuma par pielaišanu reģistrēšanu, nesaglabājot pilnu izziņas saturu. Ja kopija ir nepieciešama, jānosaka tās saņēmēji, aizsardzības pasākumi un dzēšanas termiņš. Šāda pieeja apvieno datu minimizēšanu ar pienākumu pierādīt atbilstību, nevis aizstāj tiesisko analīzi ar dokumentu vākšanu “katram gadījumam”.

Process no lomas kvalificēšanas līdz piekļuves piešķiršanai

Process jāsāk pirms informācijas par sodāmību iegūšanas. Vispirms procesa īpašnieks kvalificē lomu, norāda aktuālo tiesisko pamatu un nosaka nepieciešamo pārbaudes tvērumu. Pēc tam organizācija informē personu par datu apstrādes mērķi, kārtību un noteikumiem, izvēlas pieļaujamu informācijas avotu un pārbauda personas identitāti. Nākamie kontroles vārti ietver rezultāta izvērtēšanu, lēmumu par pielaišanu, tiesību piešķiršanu un kontroles ieraksta izveidi.

Katrai darbībai jānorāda atbildīgā persona, nepieciešamie ievaddati, termiņš un rīcība gadījumā, ja dokuments nav iesniegts, termiņš ir pārsniegts vai rezultāts prasa papildu skaidrojumu. Formāla pārbaude nav tas pats, kas operatīvs lēmums. Personāla funkcija var informēt darbinieku, saņemt dokumentu un apstiprināt datu pilnīgumu, taču tai nevajadzētu patstāvīgi lemt par piekļuvi sistēmai vai infrastruktūrai.

Galīgajam lēmumam jābūt piešķirtas uzņēmējdarbības lomas kompetencē — parasti tas ir sistēmas īpašnieks vai par attiecīgo operatīvo jomu atbildīgā persona, iesaistot drošības funkciju. Ja rezultāts nav viennozīmīgs vai rodas šaubas par pieļaujamo datu apstrādes tvērumu, jautājums jānodod juridiskajai vai datu aizsardzības funkcijai. Šāds atbildības sadalījums novērš gan automātisku piekļuves piešķiršanu pēc dokumenta uzrādīšanas, gan vadītāja patvaļīgu interpretāciju.

Lēmumu kritēriji jāapstiprina pirms pirmā problemātiskā gadījuma. Procedūrā jānosaka, kurš izvērtē neskaidrības, kādu informāciju drīkst ņemt vērā, vai ir pieļaujama piekļuves tvēruma ierobežošana un kā reģistrēt pamatojumu, neatklājot dokumenta saturu plašākam saņēmēju lokam. Piemēram, jaunpieņemta persona var pabeigt apmācības un organizatoriskās darbības, taču līdz lēmuma pieņemšanai tai nevajadzētu saņemt privileģētu kontu vai piekļuvi aizsargātajai videi. Pagaidu piekļuvei, ja tā vispār ir pieļaujama, nepieciešams atsevišķs apstiprinājums, ierobežots tvērums, beigu termiņš un uzraudzība. To nedrīkst izmantot, lai apietu kontroli.

Negatīvam iznākumam nepieciešams iepriekš noteikts reaģēšanas plāns: tiesību apturēšana, eskalācija norādītajiem lēmumu pieņēmējiem, aizvietošanas organizēšana, ietekmes uz darbības nepārtrauktību izvērtēšana un kontrolēta lietas slēgšana. Loģikai jābūt tādai pašai kā reaģēšanas plānā: noteikts notikums aktivizē iepriekš piešķirtu rīcību, atbildību un ierakstu. Pieņemot darbā vai mainot lomu, noderīgs atskaites punkts ir materiāls Kā sagatavot darbā ievadīšanas procesu jaunam kvalitātes inženierim vai ISO pārstāvim, jo īpaši attiecībā uz lēmumu vārtiem un atbildības apstiprināšanu.

Kontroles ierakstam jāļauj izsekot lomas kvalificēšanai, pārbaudes pamatam un tvērumam, identitātes apstiprināšanas datumam, informācijas avotam, vērtētājam, lēmumam, tiesību piešķiršanas datumam un iespējamai eskalācijai. Jānosaka arī notikumi, kas izraisa atkārtotu izvērtēšanu, jo īpaši lomas vai piekļuves tvēruma maiņa, kā arī tiesību atņemšanas kārtība, personai pārtraucot darba attiecības. Procesa efektivitāti vislabāk raksturo laiks no lomas kvalificēšanas līdz lēmumam, pirms obligātās pārbaudes pabeigšanas piešķirto piekļuves tiesību skaits un tādu eskalāciju skaits, ko izraisījis dokumenta trūkums vai neskaidrs rezultāts.

Dokumentācija un atkārtota pārbaude

Procesa dokumentācijai jāļauj izsekot lēmuma pamatojumam un sekām, nevis jāveido informācijas par sodāmību arhīvs. Ierakstam jāizskaidro, kādēļ konkrētajai lomai bija nepieciešama pārbaude, kad tā veikta, kurš pieņēma lēmumu un kāds bija operatīvais iznākums: piekļuves piešķiršana, ierobežošana vai atteikums. Tas automātiski nenozīmē nepieciešamību glabāt avota dokumenta kopiju. Lēmums par kopijas saglabāšanu jānodala no metadatu glabāšanas un jābalsta uz aktuālo tiesisko pamatu, apstrādes mērķi un glabāšanas ierobežojuma principu.

Saskaņotam ierakstu kopumam jāietver:

• lomu matrica ar tvēruma pamatojumu;
• veikto pārbaužu reģistrs;
• pilnvarojumi datu apstrādei un piekļuves noteikumi;
• apstiprināti glabāšanas termiņi;
• eskalācijas protokols;
• pierādījumi par piegādātāju pienākumu izpildi.

Šiem elementiem nepieciešams kopīgs īpašnieks, versiju kontrole un sasaiste ar SZBI dokumentētās informācijas pārvaldību. To izkliedēšana starp personāla, drošības un iepirkumu funkcijām apgrūtina procesa pilnīguma pierādīšanu. Repozitorijā jāuztur veidnes, sistēmas līmeņa lēmumi un noteikumu izmaiņu vēsture, savukārt individuālie dati jāpadara pieejami tikai pilnvarotām personām. Organizatoriski noderīgs atskaites punkts ir materiāls Kā izveidot iekšēju kvalitātes zināšanu repozitoriju, lai nezaudētu komandas pieredzi.

Ierakstā var ietvert lomas kvalificēšanas, pārbaudes un lēmuma datumus, izmantotā pamata identifikatoru, kā arī piekļuves piešķiršanas un plānotās pārskatīšanas datumu. Ja pietiek ar pārbaudes veikšanas un tās operatīvā iznākuma apliecinājumu, izziņas kopiju nevajadzētu glabāt “katram gadījumam”. Dzēšanas mehānismam jāaptver arī e-pasta pielikumi, darba katalogi un piegādātāju resursi. Uzraudzības efektivitāti ieteicams vērtēt pēc to lomu īpatsvara, kurām ir aktuāls pamatojums iekļaušanai procesā, un pēc ierakstu skaita, kuri tiek glabāti ilgāk par apstiprināto termiņu.

Atkārtotas pārbaudes termiņus nevajadzētu noteikt pēc patvaļīga kalendāra. Biežums var izrietēt no piemērojamās tiesību normas, lomas rakstura, līguma nosacījumiem vai dokumentēta riska izvērtējuma. Neatkarīgi no periodiskās pārskatīšanas procedūrā jānorāda notikumi, kas izraisa jaunu izvērtējumu, jo īpaši amata maiņa, tiesību paplašināšana, atgriešanās lomā pēc pārtraukuma vai būtiskas tiesisko vai līgumisko prasību izmaiņas. Informācijas aktualitāte ne vienmēr nozīmē regulāru pilna dokumenta atkārtotu iegūšanu. Procesā jāparedz tiesisks un samērīgs stāvokļa apstiprināšanas veids, kas katrā gadījumā atbilst aktuālajam tiesiskajam pamatam un organizācijai atļautajam datu tvērumam.

Gatavības pārbaude pirms audita

Gatavības novērtēšana jāsāk nevis ar jautājumu, vai procedūra pastāv, bet ar faktisko gadījumu izsekošanu. Izlasē jāiekļauj vismaz darbinieks, kura lomai nepieciešama pārbaude, persona pēc lomas maiņas, ārējais administrators un avārijas piekļuves gadījums. Katram gadījumam auditoram jāizseko ķēde no aktuālā tiesiskā pamata un lomas kvalificēšanas, informācijas iegūšanas un lēmuma par pielaišanu līdz faktiski aktīvajām piekļuves tiesībām.

Minimālajā testā jāiekļauj lomu saraksta salīdzināšana ar piekļuves uzskaiti, lēmumu pilnīguma, pārbaužu savlaicīguma, ierakstu piekļuves ierobežojumu un glabāšanas pareizības pārbaude. Jāsimulē arī dokumenta neesamība, neskaidrs rezultāts vai pārbaudes kavējums. Organizācijai jāspēj pierādīt, ka tā var apturēt piekļuvi, sākt eskalāciju un norādīt personu, kura pilnvarota pieņemt lēmumu. SZBI iekšējā audita biežumam un eskalācijas slieksnim jāatbilst riskam un prasībām, kas izriet no attiecīgajā brīdī spēkā esošā pamata, nevis tikai auditu kalendāram.

Tipiskas sistēmiskas neatbilstības rodas procesu saskares punktos. Tās ir, piemēram, pierādāma pamata trūkums, neatbilstība starp amatu sarakstu un faktiskajām tiesībām, apakšuzņēmēju neiekļaušana, piekļuves piešķiršana pirms pārbaudes pabeigšanas, nenoteikts glabāšanas termiņš vai dokumentētas eskalācijas kārtības trūkums. Korekts personāla ieraksts nav pietiekams, ja ārējā administratora konts pēc līguma tvēruma maiņas joprojām ir aktīvs vai viņa tiesības paplašinātas bez atkārtotas kvalificēšanas.

Vadībai jāsaņem apkopota informācija, nevis dati par konkrētu personu sodāmību. Noderīgi rādītāji ir to aktīvo piekļuves tiesību īpatsvars, kurām nepieciešama pārbaude un ir spēkā esošs lēmums, pirms pārbaudes pabeigšanas piešķirto piekļuves tiesību skaits, pārskatīšanas savlaicīgums un neatbilstību skaits pēc sistēmiskā cēloņa. Rādītājiem jāveicina lēmumi par resursiem, korekcijām un eskalāciju saskaņā ar pieeju, kas aprakstīta materiālā Kā izveidot procesu KPI vadībai, lai kvalitātes sistēma neaprobežotos ar tabulām.

Gatavība auditam nozīmē spēju pierādīt ne tikai procedūras esamību, bet arī tās tvēruma samērīgumu, lēmumu konsekvenci un procesa efektivitāti. Testa rezultāti jāiekļauj SZBI iekšējā auditā un vadības pārskatā, norādot darbības īpašnieku, trūkuma novēršanas termiņu un ietekmes uz aktīvajām piekļuves tiesībām novērtējumu.