Povinný audit KSC: ktoré kľúčové subjekty sa musia pripraviť na prvé posúdenie zhody

Povinný audit KSC sa nezačína výberom audítora ani kompletizáciou smerníc. Najskôr treba potvrdiť postavenie konkrétneho subjektu, vymedziť služby podliehajúce regulácii a určiť zodpovednosť za riziká, bezpečnostné opatrenia a dôkazy o ich fungovaní. Bez týchto rozhodnutí môže organizácia investovať do nesprávnych oblastí, prehliadnuť kritické závislosti alebo vstúpiť do auditu s dokumentáciou, ktorá nezodpovedá skutočnému spôsobu poskytovania služieb. O pripravenosti na prvé posúdenie preto nerozhoduje počet smerníc, ale súlad medzi právnou kvalifikáciou, prevádzkovým rozsahom, riadením rizík a každodennou praxou.

Koho sa bude týkať prvý audit

Prvým krokom je potvrdiť, či príslušná právnická osoba podlieha KSC, do ktorej kategórie bola zaradená a aké požiadavky na audit a lehoty sa na ňu vzťahujú. Pri kvalifikácii treba zohľadniť sektor, skutočne vykonávanú činnosť, veľkosť organizácie a osobitné podmienky ustanovené aktuálnymi právnymi predpismi. Kľúčové subjekty nemožno automaticky stotožňovať s pôvodnými prevádzkovateľmi základných služieb ani určovať ich postavenie výlučne podľa kódu PKD. Kód môže byť orientačným údajom, nenahrádza však analýzu služieb, ich odberateľov a úlohy organizácie v danom sektore.

Prvým pracovným dokumentom by mala byť schválená kvalifikačná analýza. Musí identifikovať činnosti podliehajúce regulácii, organizačné útvary, ktoré ich vykonávajú, poskytované služby, informačné systémy, ktoré ich podporujú, a východiská prijatého stanoviska. Vlastníkom procesu súladu s KSC môže byť určená právna funkcia, compliance alebo kybernetická bezpečnosť. Samotnú kvalifikáciu by však mal formálne schváliť orgán oprávnený rozhodovať v mene subjektu. V nejednoznačných prípadoch je vhodné vyžiadať si právne stanovisko, namiesto toho, aby sa program prípravy zakladal na nezdokumentovanom predpoklade.

V skupine spoločností sa postavenie jednej spoločnosti automaticky nevzťahuje na ostatné. Každú právnickú osobu, jej činnosť, veľkosť a osobitné kvalifikačné podmienky treba posúdiť samostatne. Až následne sa identifikujú spoločné centrá služieb, infraštruktúra, systémy a dodávatelia. Takéto oddelenie je nevyhnutné na pridelenie zodpovednosti za riziká, určenie hraníc auditu a plánovanie toho, ako pripraviť firmu na audit druhej strany u kľúčového dodávateľa.

Konkrétne limity, výnimky, postupy identifikácie, zápisu alebo oznámenia a lehoty auditu treba overiť podľa aktuálne účinného znenia zákona o národnom systéme kybernetickej bezpečnosti a príslušných vykonávacích predpisov. Absencia úradného oznámenia by sama osebe nemala zastaviť analýzu, pokiaľ profil činnosti naznačuje možné zahrnutie do regulácie. Až potvrdené postavenie umožňuje zodpovedne stanoviť rozsah a harmonogram prvého auditu.

O výsledku rozhoduje správne vymedzený rozsah

Najzávažnejšou chybou pri príprave je stotožnenie rozsahu auditu KSC s oddelením IT. Predmetom posúdenia je spôsob riadenia bezpečnosti služieb a systémov. Hranice auditu preto musia zahŕňať aj prevádzkové procesy, údržbu, nákup, ľudské zdroje, kontinuitu činností, riadenie incidentov a dohľad vedenia. Príliš úzky rozsah vynecháva závislosti významné pre odolnosť služby. Zahrnutie celej organizácie bez vecného odôvodnenia naopak zvyšuje prácnosť a sťažuje rozlíšenie zásadných zistení od menej významných.

Rozsah treba navrhovať od služieb podliehajúcich regulácii. Následne je potrebné prejsť cez podporné procesy a informácie až k aplikáciám, infraštruktúre, lokalitám, personálu a externým subjektom. Samotný inventár zariadení nevysvetľuje, ktoré aktíva sú podmienkou poskytovania služby ani kto zodpovedá za súvisiace riziká. Pri každej službe preto treba určiť vlastníka, závislé procesy, kľúčové informačné aktíva, systémy, dodávateľov a dôkazy o fungovaní bezpečnostných opatrení. Mapa závislostí musí umožňovať sledovať následky nedostupnosti alebo narušenia bez zbytočného dokumentovania vzťahov, ktoré na posudzovanú službu nemajú vplyv.

Praktický význam tohto prístupu je zrejmý pri zálohovaní. Zálohy sa môžu vykonávať načas, monitorovať a spĺňať interný postup. Ak však vlastník prevádzkového procesu neurčil požadovaný čas obnovy, nemožno potvrdiť, že technické opatrenie zodpovedá potrebám organizácie. Rovnako musí byť systém zdieľaný viacerými spoločnosťami zahrnutý do rozsahu každej z nich, ak podporuje jej regulovanú službu. Zároveň treba jednoznačne opísať rozdelenie zodpovedností za správu, riziká, incidenty a predkladanie dôkazov.

Organizačné a technické hranice treba potvrdiť počas workshopu s vlastníkmi služieb a procesov a s osobami zodpovednými za kontinuitu činností, kybernetickú bezpečnosť a kľúčových dodávateľov. Vymedzenie rozsahu nemôže vzniknúť iba na základe rozhovoru so správcom infraštruktúry. Výstupom workshopu má byť zoznam posudzovaných služieb, podporných systémov, lokalít a dodávateľov, zdieľaných závislostí a odôvodnených výnimiek. Každá výnimka musí mať uvedený dôvod, vplyv na službu a vlastníka rozhodnutia.

Takáto mapa je zároveň východiskom na odhad nákladov rozpracovaný v materiáli Koľko stojí implementácia NIS2 a uKSC – ako zostaviť rozpočet auditu, dokumentácie, školení a bezpečnostných opatrení bez nákladných chýb.

Pri určovaní rolí, nezávislosti posúdenia a spôsobu riešenia zistení možno podporne využiť rozlíšenie medzi interným a externým auditom. Základný princíp sa tým nemení: audit KSC má vlastný právny základ, kritériá a rozsah vyplývajúci z povinností posudzovaného subjektu. Nejde o bežný certifikačný audit systému manažérstva, hoci využíva podobné metódy zhromažďovania dôkazov a hodnotenia účinnosti opatrení.

Náklady rastú na rozhraní zodpovedností

Najvyššie náklady na prípravu auditu zvyčajne nevznikajú tam, kde chýba dokument, ale na rozhraní rozdelených zodpovedností. Týka sa to najmä vzťahov medzi IT a prevádzkou, spoločnosťou a skupinou, objednávateľom a dodávateľom alebo vlastníkom procesu a vlastníkom systému. Ak žiadna zo strán jednoznačne nezodpovedá za riziká, incidenty, kontinuitu činností a predkladanie dôkazov, medzera zostáva otvorená aj napriek formálnemu prideleniu rolí.

Rozpočet treba zostavovať podľa vplyvu nedostatkov na službu a rizika, že nebude možné preukázať účinnosť opatrení, nie podľa počtu chýbajúcich smerníc. Samostatne je vhodné plánovať analýzu nedostatkov, organizačné práce, technické opatrenia, testovanie, rozvoj kompetencií, riadenie dodávateľov a samotný audit. Pri riadení nákladov pomáhajú tri ukazovatele:

• počet kritických nedostatkov závislých od investície alebo zmeny zmluvy;
• predpokladaný čas zavedenia opatrení, ktoré si vyžadujú testovanie;
• podiel nákladov na modernizáciu infraštruktúry, ktoré nesúvisia priamo so samotnou povinnosťou dosiahnuť súlad.

Najťažšie sa odstraňujú nedostatky, ktoré vyžadujú technické zmeny, opätovné prerokovanie zmlúv, testy obnovy, usporiadanie privilegovaných prístupov alebo prestavbu procesu hlásenia a eskalácie incidentov. Nemožno ich dôveryhodne uzavrieť samotným schválením postupu. Poskytovateľ cloudovej služby môže napríklad deklarovať rozsiahle zabezpečenie, zatiaľ čo organizácia nevie preukázať rozdelenie zodpovedností, právo na informácie o incidente ani možnosť získať dôkazy potrebné pre audítora. Problém sa potom súčasne týka zmluvy, dohľadu nad dodávateľom, architektúry služby a pripravenosti dôkazov.

Pred auditom treba bezpodmienečne odstrániť nedostatky, ktoré spochybňujú schopnosť poskytovať službu, reagovať na incidenty alebo preukázať fungovanie kľúčového opatrenia. Pri ostatných nedostatkoch možno prijať riadený plán opatrení, ak určuje vlastníka, termín, zdroje, spôsob obmedzenia rizika do zavedenia riešenia a rozhodnutie o akceptovaní reziduálneho rizika na príslušnej úrovni. Prioritu nemajú dostať úlohy, ktoré možno najjednoduchšie označiť ako dokončené. Aj rozhodnutie medzi nákupom nástroja a zlepšením procesu musí vychádzať z príčiny nedostatku, nie z dostupnosti investičného rozpočtu.

Podobná disciplína pri určovaní zodpovedností je dôležitá aj v oblasti opísanej v článku Ako pripraviť tím na audit zákazníka, keď sa vyžadujú APQP, PPAP a analýza príčin, hoci kritériá a základ posúdenia zostávajú odlišné.

Audítor preverí fungovanie, nie obsah šanónov

Dokument je iba začiatkom dôkaznej stopy. Audítor musí vedieť prejsť od požiadavky a identifikovaného rizika k vlastníkovi procesu, zavedenému opatreniu, záznamu o jeho vykonaní, výsledku monitorovania a reakcii na zistenú odchýlku. Samotná politika, smernica alebo pracovný postup nepreukazujú účinnosť. Potrebné sú objektívne dôkazy z bežného fungovania organizácie: hlásenia, protokoly udalostí, schválenia, záznamy o testoch, výsledky preskúmaní, rozhodnutia o rizikách a uzavreté nápravné opatrenia.

Program prípravy má určovať spôsob výberu vzoriek skutočných prípadov, nielen zoznam dokumentov na predloženie. Vzorka by mala zahŕňať okrem iného pridelenie a odobratie prístupu, riešenie zraniteľnosti, incident, obnovu údajov, systémovú zmenu, školenie zamestnanca, kvalifikáciu dodávateľa a preskúmanie vedením. Pri každej vzorke treba určiť zdroj záznamu, zodpovednú osobu a kritérium účinnosti.

Je vhodné porovnávať počet vyhovujúcich prípadov, odchýlok a prípadov bez dostatočných dôkazov. Ak organizácia vykonáva merania, treba zohľadniť aj čas reakcie a uzavretia incidentov a výsledky testov obnovy, cvičení a preskúmaní oprávnení. Lehota uchovávania dôkazov má umožniť posúdenie opakovateľnosti procesu a zahŕňať udalosti významné z hľadiska rizika. Nemá sa určovať iba podľa termínu auditu.

Postup odoberania oprávnení nebude dostatočným dôkazom, ak vzorka účtov bývalých zamestnancov odhalí oneskorenia, stále aktívne účty alebo chýbajúce potvrdenie o vykonaní požiadavky. Audítor môže porovnať personálne údaje, požiadavky v servisnom systéme, záznamy adresárovej služby a protokoly aktivity. Automaticky generované dôkazy majú hodnotu, ak možno preukázať ich úplnosť, dôveryhodnú časovú značku a väzbu na konkrétny prípad. Rozhodnutia o akceptovaní rizika, výnimke, uzavretí incidentu alebo kvalifikácii dodávateľa si vyžadujú schválený záznam s jednoznačne určiteľnou zodpovednosťou.

Interná auditná vzorka by mala kopírovať postup externého audítora: od kritéria cez vzorku až po posúdenie zavedenia a účinnosti. Posúdenie však nemôžu vykonávať osoby, ktoré hodnotia vlastnú prácu. Pri preverovaní dohľadu nad tretími stranami môže byť užitočným kontextom článok Audit dodávateľa v jadrovej energetike – čo sa preveruje a ako pripraviť firmu pred kvalifikáciou, pri zachovaní odlišnosti kritérií posúdenia.

Existujúci systém manažérstva môže poskytovať mechanizmy riadenia dokumentácie, interných auditov, nápravných opatrení a preskúmania manažmentom. Je vhodné ich využiť namiesto budovania paralelného obehu. Existujúci certifikát však nenahrádza preukázanie súladu s príslušnými kritériami KSC. O výsledku rozhoduje to, či opatrenia fungujú vo vymedzenom rozsahu a či organizácia dokáže predložiť konzistentné a dôveryhodné dôkazy o ich uplatňovaní.

Do rozsahu vstupujú aj dodávatelia

Outsourcing údržby systému, spracúvania údajov alebo monitorovania bezpečnosti neprenáša zodpovednosť kľúčového subjektu na dodávateľa. Dodávateľ môže realizovať opatrenia a riešiť incidenty, organizácia však musí naďalej rozumieť rizikám súvisiacim so službou, stanoviť požiadavky a preukázať účinný dohľad. Príprava na audit preto musí zahŕňať aj externé služby, od ktorých závisí kontinuita činností, dôvernosť informácií alebo dostupnosť systémov.

Hĺbku hodnotenia treba prispôsobiť kritickosti dodávateľa. Rozhodujúci je vplyv výpadku na službu, rozsah prístupu k informáciám a systémom, možnosť nahradiť dodávateľa, zapojenie subdodávateľov, miesto spracúvania a reálna možnosť získať dôkazy. Dodávateľov s obmedzeným vplyvom možno hodnotiť dotazníkom a preskúmaním dokumentácie. Pri strategických partneroch môžu byť odôvodnené rozhovory, testy kontinuity, analýza prevádzkových záznamov alebo audit druhej strany.

Ak dodávateľ odmieta právo na audit, organizácia musí stanoviť náhradné dôkazy, vyhodnotiť reziduálne riziko a rozhodnúť, či sú potrebné dodatočné opatrenia, opätovné prerokovanie zmluvy alebo plán ukončenia spolupráce. Samotné vyhlásenie dodávateľa alebo jeho certifikát nemusí byť dostatočný, ak sa nevzťahuje na príslušnú službu, lokalitu alebo prevádzkový rozsah.

Typický nedostatok vzniká vtedy, keď zmluva určuje dostupnosť služby, ale nestanovuje lehotu na poskytnutie informácií o incidente, pravidlá spolupráce pri analýze príčin ani právo overovať opatrenia dodávateľa. Nejde iba o formálny nedostatok. Bez týchto ustanovení nemusí organizácia včas získať údaje potrebné na posúdenie následkov udalosti, prijatie rozhodnutia a predloženie uceleného priebehu reakcie audítorovi. Zmluvnú medzeru nemožno odstrániť iba internou smernicou.

Preskúmanie zmlúv a bezpečnostných dodatkov má zahŕňať povinnosti pri ochrane informácií, oznamovanie incidentov, kontinuitu činností, subdodávateľov, ukončenie spolupráce, vrátenie alebo vymazanie údajov, prístup k dôkazom a pravidlá overovania. Pokrok prípravy je vhodné merať počtom kritických dodávateľov, podielom partnerov s aktuálnym hodnotením rizík a dôkazmi o dohľade, počtom zmlúv vyžadujúcich doplnenie a počtom služieb bez potvrdeného plánu kontinuity alebo ukončenia. Metodiku dôkladného overovania rozvíja materiál Ako pripraviť firmu na audit druhej strany u kľúčového dodávateľa?

Plán prípravy na prvé posúdenie

Program prípravy treba realizovať v stanovenej postupnosti: potvrdiť postavenie subjektu a príslušné právne kritériá, vymedziť hranice posudzovaného prostredia, prideliť zodpovednosti, vykonať analýzu rizík a nedostatkov a následne schváliť nápravný plán. Cvičný audit má opodstatnenie až po zavedení opatrení a zhromaždení záznamov o ich fungovaní. Jeho výsledky musia viesť k odstráneniu príčin nezhôd, nie iba ich prejavov, a k záverečnému preskúmaniu pripravenosti vedením.

Harmonogram sa zostavuje spätne od lehoty vyplývajúcej z aktuálne účinných právnych predpisov alebo formálneho rozhodnutia týkajúceho sa konkrétneho subjektu. Neexistuje jeden bezpečný termín začatia prác vhodný pre všetky organizácie. Závisí od právneho postavenia, technického rozsahu, vyspelosti bezpečnostných opatrení, počtu externých závislostí a času potrebného na získanie záznamov preukazujúcich fungovanie. Vedenie má schvaľovať priority podľa významnosti rizika a väzieb medzi úlohami, nie podľa toho, ako ľahko sa dajú položky harmonogramu uzatvoriť.

Úloha označená ako splnená po zverejnení smernice zostáva v skutočnosti otvorená dovtedy, kým sa smernica nezavedie, neoverí na reprezentatívnej vzorke a nepotvrdí záznamom. Platí to aj pre technické opatrenia, riadenie incidentov, plány kontinuity a dohľad nad dodávateľmi. Pripravenosť na audit vyžaduje dôkaz o úplnom cykle: rozhodnutí, realizácii, kontrole výsledku a reakcii na zistenú odchýlku. Ak sa nedostatok týka podmienok spolupráce s externým subjektom, užitočným kontextom je článok Audit dodávateľa pred podpisom zmluvy – ako obmedziť riziká kvality a dodacích termínov.

Reportovanie vedeniu sa nemá obmedzovať na percento splnenia plánu. Manažérske informácie majú uvádzať:

• počet nedostatkov podľa závažnosti vrátane vlastníka a termínu uzavretia;
• podiel opatrení potvrdených záznamami;
• otvorené riziká akceptované príslušnou úrovňou vedenia;
• prekážky, napríklad chýbajúceho vlastníka, nezavedené opatrenie, neotestovaný plán, nedohodnutú zmluvu alebo nedostatok bez dôveryhodného dôkazu o uzavretí.

Výber subjektu, ktorý audit vykoná, je vhodné začať s dostatočným predstihom, ale až po overení aktuálnych požiadaviek KSC na vykonávateľa a dokumentovanie výsledkov. Cena nemôže byť jediným kritériom. Treba posúdiť požadované oprávnenia, nezávislosť, sektorové kompetencie, metodiku a schopnosť preveriť reálne technické prostredie. Dohoda s vykonávateľom nenahrádza cvičný audit ani preskúmanie vedením. Uzatvára iba organizačnú časť prípravy na formálne posúdenie.

Prvý audit KSC treba chápať ako preverenie schopnosti organizácie riadiť bezpečnosť služieb, nie ako jednorazovú kontrolu dokumentácie. Subjekt je pripravený až vtedy, keď dokáže odôvodniť svoje postavenie a rozsah, určiť vlastníkov rizík, preukázať fungovanie opatrení a predložiť dôveryhodné dôkazy o dohľade nad procesmi a dodávateľmi.