Preverjanje nekaznovanosti osebja v KSC – kako določiti obseg in vzpostaviti skladen proces

Preverjanje nekaznovanosti osebja v okviru KSC ni splošna kadrovska kontrola niti formalnost pred presojo. Njegov obseg mora izhajati iz konkretne pravne podlage, statusa organizacije ter dejanskih nalog in pooblastil posamezne osebe. Če se proces začne z zbiranjem potrdil namesto z razvrstitvijo vlog, lahko organizacija spregleda osebe, za katere zahteva velja, in hkrati brez ustrezne podlage obdeluje podatke o kazenskih obsodbah. Zato je treba najprej določiti, koga in na kateri podlagi je dovoljeno preverjati, nato razmejiti odgovornosti za pridobivanje podatkov, presojo rezultata in odločitev o dostopu, nazadnje pa obseg evidenc omejiti na podatke, potrebne za dokazovanje skladnosti.

Najprej obseg, šele nato potrdilo

Odločitve o preverjanju nekaznovanosti se ne sme začeti z zahtevo, naj osebje predloži dokumente. Vodstvo mora najprej potrditi status organizacije v sistemu KSC in opredeliti konkreten predpis, iz katerega izhaja obveznost za določene osebe. Zgolj sklicevanje na NIS2, pripravo na presojo ali vzpostavljanje sistema upravljanja informacijske varnosti ne upravičuje preverjanja vseh zaposlenih, zunanjih sodelavcev in dobaviteljev.

Meje procesa je treba opredeliti posebej za vsak vir zahteve. Direktiva NIS2, poljski zakon o KSC v veljavnem besedilu, izvedbeni predpisi, sektorska ureditev, pogodbene zahteve in notranja pravila za dodeljevanje dostopa niso enakovredni viri. Za vsakega je treba določiti stvarni, osebni in časovni obseg: na koga se zahteva nanaša, zakaj in od kdaj velja, ali predvideva izjeme ter kdaj je potrebna ponovna presoja. Oblikovanje postopka pred zaključkom te analize lahko povzroči tako izpustitev oseb, za katere obveznost velja, kot neupravičeno obdelavo podatkov o kazenskih obsodbah.

Rezultat razvrstitve naj bo kratka utemeljitvena zabeležka, ki jo potrdi nosilec skladnosti. Dokument naj opredeli status subjekta, pravno podlago, datum in pravno stanje, upoštevano pri analizi, vključene vloge ter utemeljene izjeme. Kategorija »osebje IT« je preširoka. Razjasniti je treba, ali zahteva zajema administratorje s privilegiranimi pravicami, osebe za obravnavo incidentov, osebje dobaviteljev in namestnike, ki te naloge opravljajo občasno. Določiti je treba tudi nosilca pravne analize in rok za njen ponovni pregled, zlasti po spremembi predpisov, obsega dejavnosti ali modela dostopa.

Določitev meja preverjanja mora biti del projekta »SZBI, skladen z zakonom o KSC – kako določiti obseg, nosilce in časovni načrt uvedbe«. Obseg sistema, procesne odgovornosti in privilegirane vloge morajo izhajati iz iste organizacijske karte. Šele nato je mogoče odgovorno presoditi, ali glede na trenutno pravno stanje obveznost velja za organizacijo, kateri predpis dovoljuje pridobitev podatka o nekaznovanosti in za katere kategorije osebja je to dopustno.

Koga zajema preverjanje

Osebnega obsega ne določata naziv delovnega mesta ali oblika sodelovanja. Odločilna je vsebina ustrezne zahteve v povezavi z dejanskimi nalogami, pooblastili in vplivom posameznika na varnost storitve. Razvrstitev mora upoštevati logični in fizični dostop, možnost spreminjanja konfiguracije, sodelovanje pri obravnavi incidentov, vpliv na neprekinjeno poslovanje ter začasna in izredna pooblastila. Vlog, ki niso povezane z zaščiteno storitvijo, sistemom, objektom ali obsegom, določenim v predpisu, ni dopustno preventivno vključevati v preverjanje.

Osnovno odločitveno orodje je matrika vlog, ki jo skupaj vodijo nosilec procesa, odgovorna oseba za informacijsko varnost in kadrovska služba, pri tem pa sodeluje tudi nosilec skladnosti. Matrika mora biti povezana z upravljanjem identitet in pravic dostopa ter z ločevanjem dolžnosti. Sam seznam zaposlenih ne zadostuje. Potrebne so tudi evidence privilegiranih računov, administrativnih, fizičnih in izrednih dostopov ter zunanjih oseb, ki imajo dejanski dostop do sistemov ali procesov znotraj opredeljenega obsega.

Tehnični administrator dobavitelja ima lahko širša pooblastila kot notranji vodja, čeprav ni zaposlen v organizaciji. Razvrstitev zgolj po vrsti pogodbe bi zato lahko izključila osebo s pomembnim vplivom na varnost. To pa ne pomeni, da za zunanjega administratorja samodejno velja enak postopek kot za zaposlenega. Obseg podatkov, način dokazovanja izpolnitve zahteve in odgovornost za presojo morajo izhajati iz dopustne pravne podlage ali ustrezno oblikovane pogodbe. Začasni in izredni dostop je treba presojati glede na možen obseg dejanj, ne glede na pričakovano pogostost njegove uporabe.

Matrika mora vključevati zaposlene, člane organov, osebe, ki sodelujejo na drugih podlagah, zunanje administratorje ter osebje dobaviteljev in podizvajalcev, vendar izključno v mejah ustrezne zahteve. Pregledati jo je treba po spremembi arhitekture pravic dostopa, obsega storitve, dobavitelja ali predpisov. Število privilegiranih vlog in zunanjih oseb z dejanskim dostopom določa obseg procesa ter je vhodni podatek za načrtovanje virov, opisano v gradivu »Koliko stane uvedba NIS2 in uKSC – kako pripraviti proračun za presojo, dokumentacijo, usposabljanja in zaščitne ukrepe brez dragih napak«.

Kje nastajajo stroški in tveganja

Največje tveganje ni povezano s tehnično pridobitvijo podatka o nekaznovanosti, temveč z začetkom preverjanja brez nedvoumne podlage, določenega namena in omejenega obsega. Za podatke o kazenskih obsodbah in prekrških velja poseben režim obdelave. Običajne privolitve posameznika ali splošne določbe kadrovske politike ni primerno obravnavati kot samodejno utemeljitev za njihovo pridobivanje. Pred izbiro načina preverjanja je treba določiti, katere podatke dejansko zahteva ustrezni predpis, za koga velja in kdo je odgovoren za presojo rezultata.

Stroški se povečajo, kadar organizacija od vsega osebja zahteva celotne dokumente, njihove kopije hrani brez določenega roka, jih pošilja po navadni elektronski pošti ali jih brez razmejitve pooblastil daje na voljo kadrovski službi, vodjem, funkciji informacijske varnosti in presojevalcem. Vsaka dodatna kopija poveča obseg zaščite podatkov, nadzora dostopa, obravnave zahtev in varnega brisanja. Vodstvo zato ne bi smelo spremljati le števila opravljenih preverjanj, temveč tudi število oseb z dostopom do dokumentov in dejanska obdobja njihove hrambe.

Drugi vir tveganja je odsotnost meril za presojo rezultata. Podatek, ugotovljen pri preverjanju, ne sme voditi do improvizirane odločitve vodje ali do presoje, ki ni povezana z zahtevami zadevne vloge. Kadrovska služba lahko dokument pridobi pravilno, proces pa bo kljub temu pomanjkljiv, če ni določeno, kdo presoja njegov pomen, na kateri podlagi odloča o odobritvi dostopa in ali je hramba kopije nujna. Postopek mora določati način eskalacije in načrt odziva v načrtu nadzora – kako opredeliti ukrepe, ko proces preseže določene meje.

Dokazilo o izvedenem preverjanju je treba ločiti od hrambe vsebine dokumenta. Glede na ustrezno podlago in dokazne zahteve lahko zadostuje zapis datuma preverjanja, njegovega obsega, osebe, pooblaščene za presojo, kvalifikacijskega rezultata in odločitve o odobritvi dostopa, brez shranjevanja celotne vsebine potrdila. Če je kopija potrebna, je treba določiti njene prejemnike, zaščitne ukrepe in rok izbrisa. Tak zapis povezuje načelo najmanjšega obsega podatkov z obveznostjo dokazovanja skladnosti, namesto da bi pravno analizo nadomestil z zbiranjem dokumentov »za vsak primer«.

Proces od razvrstitve do odobritve dostopa

Proces se mora začeti še pred pridobivanjem podatkov o nekaznovanosti. Nosilec procesa najprej razvrsti vlogo, navede veljavno pravno podlago in določi zahtevani obseg preverjanja. Nato organizacija posameznika obvesti o namenu, postopku in pravilih obdelave podatkov, izbere dopusten vir informacij ter preveri njegovo identiteto. Naslednje kontrolne točke so presoja rezultata, odločitev o odobritvi, dodelitev pravic in vzpostavitev kontrolnega zapisa.

Za vsako aktivnost je treba določiti odgovorno osebo, zahtevane vhodne podatke, rok ter način ravnanja ob manjkajočem dokumentu, zamudi ali rezultatu, ki zahteva dodatno pojasnilo. Formalno preverjanje namreč ni enako operativni odločitvi. Kadrovska služba lahko osebo obvesti, prevzame dokument in potrdi popolnost podatkov, vendar ne bi smela samostojno odločati o dostopu do sistema ali infrastrukture.

Končno odločitev mora sprejeti imenovana poslovna vloga, praviloma lastnik sistema ali oseba, odgovorna za zadevno operativno področje, ob sodelovanju funkcije informacijske varnosti. Če je rezultat nejasen ali obstajajo dvomi o dopustnem obsegu obdelave podatkov, je treba zadevo predložiti pravni funkciji ali funkciji varstva osebnih podatkov. Takšna razmejitev odgovornosti preprečuje tako samodejno dodelitev dostopa po predložitvi dokumenta kot samovoljno razlago nadrejenega.

Merila za odločanje morajo biti potrjena pred prvim spornim primerom. Postopek naj določa, kdo presoja nejasnosti, katere podatke je dovoljeno upoštevati, ali je mogoče omejiti obseg dostopa in kako zapisati utemeljitev brez razkrivanja vsebine širšemu krogu prejemnikov. Novo zaposlena oseba lahko na primer opravi usposabljanja in organizacijske aktivnosti, vendar do odločitve ne sme prejeti privilegiranega računa ali dostopa do zaščitenega okolja. Začasni dostop, če je sploh dopusten, zahteva ločeno odobritev, omejen obseg, datum poteka in nadzor. Ne sme se uporabljati za obhod preverjanja.

Negativen izid zahteva vnaprej določen načrt odziva: zadržanje pravic, eskalacijo imenovanim odločevalcem, določitev nadomeščanja, presojo vpliva na neprekinjeno poslovanje in nadzorovano zaključitev primera. Logika mora biti enaka kot pri načrtu odziva: opredeljen dogodek sproži dodeljeni odziv, odgovornost in zapis. Pri zaposlovanju in spremembi vloge je uporabna referenca gradivo Kako pripraviti proces uvajanja novega inženirja kakovosti ali predstavnika za ISO, zlasti glede odločitvenih kontrolnih točk in potrjevanja odgovornosti.

Kontrolni zapis mora omogočati rekonstrukcijo razvrstitve vloge, podlage in obsega preverjanja, datuma potrditve identitete, vira podatkov, osebe, ki je opravila presojo, odločitve, datuma dodelitve pravic ter morebitne eskalacije. Določiti je treba tudi dogodke, ki sprožijo ponovno presojo, zlasti spremembo vloge ali obsega dostopa, ter postopek odvzema pravic ob odhodu zaposlenega. Učinkovitost procesa najbolje pokažejo čas od razvrstitve do odločitve, število dostopov, dodeljenih pred zaključkom zahtevanega preverjanja, in število eskalacij zaradi manjkajočega dokumenta ali nejasnega rezultata.

Dokumentacija in ponovno preverjanje

Dokumentacija procesa mora omogočati rekonstrukcijo razlogov in posledic odločitve, ne pa ustvarjati arhiva podatkov o nekaznovanosti. Zapis mora pojasniti, zakaj je bila določena vloga vključena v preverjanje, kdaj je bilo preverjanje izvedeno, kdo je odločil in kakšen je bil operativni rezultat: dodelitev, omejitev ali zavrnitev dostopa. To ne pomeni, da je treba samodejno hraniti kopijo izvornega dokumenta. Odločitev o hrambi kopije je treba ločiti od hrambe metapodatkov ter jo utemeljiti z veljavno pravno podlago, namenom obdelave in načelom omejitve hrambe.

Usklajen nabor zapisov naj vključuje:

• matriko vlog z utemeljitvijo obsega;
• register izvedenih preverjanj;
• pooblastila za obdelavo in pravila dostopa;
• potrjene roke hrambe;
• protokol eskalacije;
• dokazila, da so dobavitelji izpolnili svoje obveznosti.

Ti elementi potrebujejo skupnega nosilca, nadzor različic in povezavo z upravljanjem dokumentacije SZBI. Če so razpršeni med kadrovsko službo, informacijsko varnostjo in nabavo, je težje dokazati popolnost procesa. V repozitoriju je treba hraniti predloge, sistemske odločitve in zgodovino sprememb pravil, podatki o posameznih primerih pa morajo biti dostopni samo pooblaščenim osebam. Koristna organizacijska referenca je gradivo Kako vzpostaviti notranji repozitorij znanja o kakovosti, da se izkušnje ekipe ne izgubijo.

Zapis lahko vsebuje datum razvrstitve vloge, preverjanja in odločitve, oznako uporabljene podlage ter datum dodelitve dostopa in načrtovanega pregleda. Če zadostujeta potrditev izvedbe preverjanja in njegov operativni rezultat, kopije potrdila ni primerno hraniti »za vsak primer«. Mehanizem brisanja mora zajemati tudi priponke elektronskih sporočil, delovne mape in vire dobaviteljev. Učinkovitost nadzora je smiselno ocenjevati z deležem vlog, za katere obstaja aktualna utemeljitev vključitve v proces, ter s številom zapisov, hranjenih po poteku potrjenega roka.

Rokov za ponovno preverjanje ni primerno določati po poljubnem koledarju. Pogostost lahko izhaja iz veljavnega predpisa, narave vloge, pogodbenih pogojev ali dokumentirane ocene tveganja. Ne glede na periodični pregled mora postopek opredeliti dogodke, ki sprožijo presojo, zlasti spremembo delovnega mesta, razširitev pravic, vrnitev v vlogo po prekinitvi ali bistveno spremembo pravnih oziroma pogodbenih zahtev. Aktualnost podatkov ne pomeni nujno periodičnega pridobivanja celotnega dokumenta. Proces mora predvideti zakonit in sorazmeren način potrjevanja stanja, ki je vsakokrat skladen z veljavno pravno podlago in obsegom podatkov, ki jih sme organizacija obdelovati.

Preizkus pripravljenosti pred presojo

Presoje pripravljenosti ni primerno začeti z vprašanjem, ali postopek obstaja, temveč z rekonstrukcijo dejanskih primerov. Vzorec naj vključuje najmanj zaposlenega na delovnem mestu, za katerega je preverjanje potrebno, osebo po spremembi vloge, zunanjega administratorja in primer izrednega dostopa. Pri vsakem primeru mora presojevalec slediti zaporedju od veljavne pravne podlage in razvrstitve vloge prek pridobitve podatkov ter odločitve o odobritvi do dejansko aktivnih pravic.

Minimalni preizkus vključuje primerjavo seznama vlog z evidenco dostopov ter preverjanje popolnosti odločitev, pravočasnosti kontrol, omejitve dostopa do zapisov in pravilnosti njihove hrambe. Simulirati je treba tudi manjkajoč dokument, nejasen rezultat ali zamudo pri preverjanju. Organizacija mora dokazati, da zna zadržati dostop, sprožiti eskalacijo in določiti osebo, pooblaščeno za odločitev. Pogostost notranje presoje SZBI in prag eskalacije morata ustrezati tveganju ter zahtevam, ki izhajajo iz trenutno veljavne podlage, ne zgolj koledarju presoj.

Značilne sistemske neskladnosti nastajajo na stikih med procesi. Mednje sodijo nedokazana podlaga, neskladje med seznamom delovnih mest in dejanskimi pravicami, izpustitev podizvajalcev, dodelitev dostopa pred zaključkom preverjanja, nedoločen rok hrambe ali odsotnost dokumentiranega načina eskalacije. Pravilen kadrovski zapis ne zadostuje, če je zunanjemu administratorju po spremembi pogodbenega obsega ostal aktiven račun ali so bile njegove pravice razširjene brez ponovne razvrstitve.

Vodstvo mora prejemati zbirne informacije, ne vsebine podatkov o kazenskih obsodbah. Koristni kazalniki so: delež aktivnih dostopov, za katere je potrebno preverjanje in obstaja veljavna odločitev, število dostopov, dodeljenih pred zaključkom preverjanja, pravočasnost pregledov ter število neskladnosti po sistemskem vzroku. Kazalniki morajo podpirati odločitve o virih, popravkih in eskalacijah, skladno s pristopom, opisanim v gradivu Kako oblikovati procesne KPI za vodstvo, da se sistem kakovosti ne konča pri preglednicah.

Pripravljenost na presojo pomeni sposobnost dokazati ne le obstoj postopka, temveč tudi sorazmernost njegovega obsega, doslednost odločitev in učinkovitost izvajanja. Rezultate preizkusa je treba vključiti v notranjo presojo SZBI in vodstveni pregled ter jim določiti nosilca ukrepa, rok za odpravo vrzeli in oceno vpliva na aktivne dostope.