Pasirengimas privalomam KSC auditui prasideda ne nuo auditoriaus pasirinkimo ar procedūrų rinkinio rengimo. Pirmiausia reikia patvirtinti konkretaus juridinio asmens statusą, nustatyti reguliuojamų paslaugų apimtį ir aiškiai paskirstyti atsakomybę už rizikas, saugumo priemones bei jų veiksmingumo įrodymus. Nepriėmusi šių sprendimų, organizacija gali nukreipti išteklius ne į tas sritis, neįvertinti kritinių priklausomybių arba pradėti auditą turėdama dokumentus, kurie neatspindi faktinio paslaugų teikimo modelio. Todėl pasirengimą pirmajam vertinimui lemia ne procedūrų skaičius, o teisinio statuso, veiklos apimties, rizikų valdymo ir realios praktikos suderinamumas.
Kam bus taikomas pirmasis auditas
Pirmasis sprendimas – patvirtinti, ar konkretus juridinis asmuo patenka į KSC taikymo sritį, kuriai kategorijai jis priskiriamas ir kokie audito reikalavimai bei terminai jam taikomi. Vertinant statusą būtina atsižvelgti į sektorių, faktiškai vykdomą veiklą, organizacijos dydį ir galiojančiuose teisės aktuose nustatytas specialiąsias sąlygas. Esminių subjektų nereikėtų automatiškai tapatinti su ankstesniais esminių paslaugų operatoriais, o jų statuso nustatyti vien pagal PKD kodą. Kodas gali būti orientyras, tačiau nepakeičia paslaugų, jų gavėjų ir organizacijos vaidmens konkrečiame sektoriuje analizės.
Pirmasis darbinis dokumentas turėtų būti patvirtinta kvalifikavimo analizė. Joje reikia nurodyti į reguliavimo sritį patenkančią veiklą, ją vykdančius organizacinius vienetus, teikiamas paslaugas, jas palaikančias informacines sistemas ir priimtos pozicijos pagrindą. KSC atitikties proceso savininku gali būti paskirta teisės, atitikties arba kibernetinio saugumo funkcija, tačiau kvalifikavimą turėtų formaliai patvirtinti organas, turintis teisę priimti sprendimus subjekto vardu. Neaiškiais atvejais tikslinga gauti teisinę išvadą, o ne grįsti pasirengimo programą dokumentais nepagrįsta prielaida.
| Vertinimo kriterijus | Darbinis įrodymas | Atsakomybė už patvirtinimą |
|---|---|---|
| Sektorius ir veiklos pobūdis | Paslaugų aprašymas, sutartys, leidimai ir veiklos modelis | Teisės arba atitikties funkcija kartu su veiklos savininku |
| Subjekto dydis | Reikalaujamu pjūviu pateikti darbuotojų ir finansiniai duomenys | Finansų ir personalo funkcijos |
| Specialiosios sąlygos | Sprendimai, registrų duomenys, paslaugų apimtis ir subjekto reikšmingumas | Teisės arba atitikties funkcija |
| Organizacinė ir techninė apimtis | Padalinių, paslaugų, sistemų ir priklausomybių nuo tiekėjų žemėlapis | Procesų savininkai ir kibernetinio saugumo funkcija |
Įmonių grupėje vienos bendrovės statusas automatiškai neapima kitų grupės įmonių. Kiekvienas juridinis asmuo, jo veikla, mastas ir specialiosios sąlygos turi būti įvertinti atskirai. Tik po to identifikuojami bendri paslaugų centrai, infrastruktūra, sistemos ir tiekėjai. Toks atskyrimas būtinas paskirstant atsakomybę už rizikas, nustatant audito ribas ir planuojant, kaip parengti įmonę antrosios šalies auditui pas pagrindinį tiekėją.
Konkrečias ribines vertes, išimtis, identifikavimo, registravimo ar pranešimo procedūras ir audito terminus būtina tikrinti pagal tuo metu galiojančią Nacionalinės kibernetinio saugumo sistemos įstatymo redakciją bei susijusius įgyvendinamuosius teisės aktus. Oficialaus pranešimo nebuvimas savaime neturėtų stabdyti analizės, jeigu veiklos pobūdis rodo, kad organizacijai reguliavimas gali būti taikomas. Tik patvirtinus statusą galima atsakingai nustatyti pirmojo audito apimtį ir grafiką.
Audito rezultatą lemia tinkamai nustatyta apimtis
Viena rimčiausių pasirengimo klaidų – KSC audito apimtį sutapatinti su IT padaliniu. Vertinama, kaip valdomas paslaugų ir sistemų saugumas, todėl audito ribos turi apimti ir veiklos procesus, priežiūrą, pirkimus, personalo valdymą, veiklos tęstinumą, incidentų valdymą bei vadovybės vykdomą priežiūrą. Per siaura apimtis neparodo paslaugos atsparumui svarbių priklausomybių. Tačiau nepagrįstai įtraukus visą organizaciją didėja darbų apimtis ir tampa sunkiau atskirti reikšmingus nustatymus nuo antraeilių.
Apimtis turi būti formuojama pradedant nuo reguliuojamų paslaugų. Toliau reikia nustatyti jas palaikančius procesus ir informaciją, o tada – programas, infrastruktūrą, vietas, darbuotojus ir išorės šalis. Vien įrangos inventorizacija neparodo, kurie ištekliai būtini paslaugai teikti ir kas atsako už su jais susijusią riziką. Todėl kiekvienai paslaugai reikia paskirti savininką ir nurodyti priklausomus procesus, svarbiausią informacinį turtą, sistemas, tiekėjus bei saugumo priemonių veikimo įrodymus. Priklausomybių žemėlapis turi leisti atsekti nepasiekiamumo ar saugumo pažeidimo pasekmes, tačiau nereikia dokumentuoti ryšių, neturinčių įtakos vertinamai paslaugai.
Praktinę šio požiūrio reikšmę gerai parodo atsarginės kopijos. Jos gali būti kuriamos laiku, stebimos ir valdomos pagal procedūrą, tačiau jeigu veiklos proceso savininkas nėra nustatęs reikalaujamo atkūrimo laiko, negalima patvirtinti, kad techninė priemonė atitinka verslo poreikį. Panašiai kelių bendrovių naudojama sistema turi būti įtraukta į kiekvienos bendrovės, kurios reguliuojamą paslaugą ji palaiko, vertinimo apimtį. Kartu būtina aiškiai aprašyti atsakomybės pasidalijimą dėl administravimo, rizikos, incidentų ir įrodymų pateikimo.
Organizacines ir technines ribas reikėtų patvirtinti per praktinį seminarą, kuriame dalyvautų paslaugų bei procesų savininkai, taip pat už veiklos tęstinumą, kibernetinį saugumą ir pagrindinius tiekėjus atsakingi asmenys. Ribų negalima nustatyti vien pagal pokalbį su infrastruktūros administratoriumi. Seminaro rezultatai turėtų apimti analizuojamų paslaugų, jas palaikančių sistemų, vietų ir tiekėjų sąrašą, bendras priklausomybes bei pagrįstas išimtis. Kiekvienai išimčiai reikia nurodyti pagrindą, poveikį paslaugai ir sprendimo savininką.
Toks žemėlapis taip pat yra atspirties taškas vertinant sąnaudas, aptariamas medžiagoje Kiek kainuoja NIS2 ir uKSC įgyvendinimas – kaip be brangiai kainuojančių klaidų sudaryti audito, dokumentų, mokymų ir saugumo priemonių biudžetą.
Nustatant vaidmenis, vertinimo nepriklausomumą ir veiksmus pagal audito nustatymus galima papildomai remtis vidaus ir išorės audito skirtumais. Tačiau pagrindinis principas nesikeičia: KSC auditas turi atskirą teisinį pagrindą, kriterijus ir apimtį, kylančius iš vertinamam subjektui taikomų pareigų. Tai nėra įprastas vadybos sistemos sertifikavimo auditas, net jeigu taikomi panašūs įrodymų rinkimo ir saugumo priemonių veiksmingumo vertinimo metodai.
Sąnaudos didėja atsakomybių sandūroje
Didžiausios pasirengimo auditui sąnaudos dažniausiai atsiranda ne ten, kur trūksta dokumento, o ten, kur susikerta išskaidytos atsakomybės. Tai ypač aktualu IT ir veiklos, bendrovės ir įmonių grupės, užsakovo ir tiekėjo, taip pat proceso ir sistemos savininkų santykiuose. Jeigu nė viena šalis aiškiai neatsako už riziką, incidentus, veiklos tęstinumą ir įrodymų pateikimą, spraga lieka atvira net ir formaliai paskirsčius vaidmenis.
Biudžetas turėtų būti planuojamas pagal spragų poveikį paslaugai ir riziką, kad nepavyks įrodyti saugumo priemonių veiksmingumo, o ne pagal trūkstamų procedūrų skaičių. Atskirai verta numatyti lėšas spragų analizei, organizaciniams darbams, techninėms priemonėms, bandymams, kompetencijų plėtrai, tiekėjų valdymui ir pačiam auditui. Sąnaudas padeda valdyti trys rodikliai:
- kritinių spragų, kurioms pašalinti būtinos investicijos arba sutarties pakeitimas, skaičius;
- numatomas saugumo priemonių, kurias būtina išbandyti, diegimo laikas;
- infrastruktūros modernizavimo sąnaudų, nesusijusių vien su atitikties pareiga, dalis.
Sunkiausiai pašalinamos spragos paprastai susijusios su techniniais pakeitimais, sutarčių persvarstymu, atkūrimo bandymais, privilegijuotosios prieigos sutvarkymu arba incidentų registravimo ir eskalavimo proceso pertvarka. Jų negalima patikimai pašalinti vien patvirtinus procedūrą. Pavyzdžiui, debesijos paslaugų teikėjas gali deklaruoti išplėtotas saugumo priemones, tačiau organizacija vis tiek gali nesugebėti įrodyti atsakomybės pasidalijimo, teisės gauti informaciją apie incidentą ar galimybės gauti auditoriui reikalingus įrodymus. Tokiu atveju problema vienu metu apima sutartį, tiekėjo priežiūrą, paslaugos architektūrą ir pasirengimą pateikti įrodymus.
Iki audito būtina pašalinti spragas, kurios kelia abejonių dėl gebėjimo teikti paslaugą, reaguoti į incidentus arba įrodyti pagrindinės saugumo priemonės veikimą. Kitoms spragoms galima taikyti kontroliuojamą veiksmų planą, jeigu jame nustatytas savininkas, terminas, ištekliai, rizikos mažinimo iki įgyvendinimo būdas ir tinkamo valdymo lygmens sprendimas dėl liekamosios rizikos priėmimo. Pirmenybė neturėtų būti teikiama užduotims vien todėl, kad jas lengviausia pažymėti kaip atliktas. Sprendimas pirkti priemonę ar tobulinti procesą taip pat turi būti grindžiamas spragos priežastimi, o ne investicinio biudžeto prieinamumu.
Panaši atsakomybės disciplina svarbi ir srityje, aprašytoje straipsnyje Kaip parengti komandą kliento auditui, kai reikalaujama APQP, PPAP ir priežasčių analizės, nors vertinimo kriterijai ir pagrindas yra skirtingi.
Auditorius vertins veikimą, o ne dokumentų segtuvą
Dokumentas yra tik įrodymų sekos pradžia. Auditorius turi galėti pereiti nuo reikalavimo ir nustatytos rizikos prie proceso savininko, taikomos saugumo priemonės, jos įgyvendinimą patvirtinančio įrašo, stebėsenos rezultato ir reakcijos į nustatytą nukrypimą. Vien politika, procedūra ar instrukcija veiksmingumo neįrodo. Reikalingi objektyvūs įrodymai, gaunami organizacijai įprastai vykdant veiklą: užklausos, įvykių žurnalai, patvirtinimai, bandymų protokolai, peržiūrų rezultatai, su rizika susiję sprendimai ir užbaigti korekciniai veiksmai.
Pasirengimo programoje turi būti nustatyta, kaip bus atrenkamos realių atvejų imtys, o ne tik sudarytas auditui pateikiamų dokumentų sąrašas. Imtis turėtų apimti bent prieigos suteikimą ir panaikinimą, pažeidžiamumo valdymą, incidentą, duomenų atkūrimą, sistemos pakeitimą, darbuotojo mokymą, tiekėjo kvalifikavimą ir vadovybinę vertinamąją analizę. Kiekvienai imčiai reikia nustatyti įrašo šaltinį, atsakingą asmenį ir veiksmingumo kriterijų.
Verta lyginti reikalavimus atitinkančių atvejų, nukrypimų ir įrodymų trūkumo skaičių. Jeigu organizacija atlieka matavimus, taip pat reikėtų vertinti reagavimo į incidentus bei jų užbaigimo laiką, atkūrimo bandymų, pratybų ir prieigos teisių peržiūrų rezultatus. Įrodymų saugojimo laikotarpis turi leisti įvertinti proceso pasikartojamumą ir apimti rizikos požiūriu reikšmingus įvykius. Jo nereikėtų nustatyti vien pagal audito datą.
Prieigos teisių panaikinimo procedūra nebus pakankamas įrodymas, jeigu buvusių darbuotojų paskyrų imtyje nustatoma vėlavimų, vis dar aktyvių paskyrų arba nėra pavedimo įvykdymo patvirtinimo. Auditorius gali palyginti personalo duomenis, aptarnavimo sistemoje registruotas užklausas, katalogų įrašus ir veiklos žurnalus. Automatiškai sistemų generuojami įrodymai yra vertingi, jeigu galima įrodyti jų išsamumą, patikimą laiko žymą ir sąsają su konkrečiu atveju. Sprendimams dėl rizikos priėmimo, išimties, incidento užbaigimo ar tiekėjo kvalifikavimo reikalingas patvirtintas įrašas, leidžiantis nustatyti atsakingą asmenį.
Vidaus audito imtis turėtų atkartoti išorės auditoriaus vertinimo eigą: nuo kriterijaus ir imties iki įgyvendinimo bei veiksmingumo įvertinimo. Tačiau darbuotojai negali vertinti savo pačių darbo. Vertinant trečiųjų šalių priežiūrą, naudingu kontekstu gali būti Tiekėjo auditas branduolinės energetikos sektoriuje – kas vertinama ir kaip parengti įmonę prieš kvalifikavimą, išlaikant atskirus vertinimo kriterijus.
Esama vadybos sistema gali suteikti dokumentų valdymo, vidaus auditų, korekcinių veiksmų ir vadovybinės vertinamosios analizės mechanizmus. Juos verta panaudoti, užuot kūrus lygiagrečią valdymo sistemą. Tačiau turimas sertifikatas nepakeičia pareigos įrodyti atitiktį konkretiems KSC kriterijams. Rezultatą lemia tai, ar saugumo priemonės veikia nustatytoje apimtyje ir ar organizacija gali pateikti nuoseklius bei patikimus jų taikymo įrodymus.
Tiekėjai taip pat patenka į vertinimo apimtį
Sistemos priežiūros, duomenų tvarkymo ar saugumo stebėsenos perdavimas išorės vykdytojui neperkelia esminio subjekto atsakomybės tiekėjui. Tiekėjas gali įgyvendinti saugumo priemones ir valdyti incidentus, tačiau organizacija vis tiek turi suprasti su paslauga susijusią riziką, nustatyti reikalavimus ir įrodyti veiksmingą priežiūrą. Todėl rengiantis auditui reikia įtraukti ir išorės paslaugas, nuo kurių priklauso veiklos tęstinumas, informacijos konfidencialumas ar sistemų prieinamumas.
Vertinimo išsamumas turėtų priklausyti nuo tiekėjo kritiškumo. Svarbu įvertinti gedimo poveikį paslaugai, prieigos prie informacijos ir sistemų apimtį, galimybę pakeisti tiekėją, subtiekėjų dalyvavimą, duomenų tvarkymo vietą ir realias galimybes gauti įrodymus. Ribotą poveikį turinčius tiekėjus galima vertinti naudojant klausimyną ir dokumentų peržiūrą. Strateginių partnerių atveju gali būti pagrįsti interviu, veiklos tęstinumo bandymai, veiklos įrašų analizė arba antrosios šalies auditas.
Jeigu tiekėjas nesuteikia audito teisės, organizacija turi nustatyti alternatyvius įrodymus, įvertinti liekamąją riziką ir nuspręsti, ar reikia papildomų saugumo priemonių, persvarstyti sutartį arba parengti pasitraukimo planą. Vien tiekėjo pareiškimo ar jo turimo sertifikato gali nepakakti, jeigu jis neapima konkrečios paslaugos, vietos arba faktinės veiklos apimties.
Tipinė spraga atsiranda tuomet, kai sutartyje apibrėžiamas paslaugos prieinamumas, tačiau nenustatomas informacijos apie incidentą pateikimo terminas, bendradarbiavimo atliekant priežasčių analizę principai ar teisė tikrinti tiekėjo veiksmus. Tai nėra vien formalus trūkumas. Be tokių nuostatų organizacija gali laiku negauti duomenų, reikalingų įvykio pasekmėms įvertinti, sprendimams priimti ir nuosekliai reagavimo eigai auditoriui pagrįsti. Sutarties spragos negalima pašalinti vien vidaus procedūra.
Peržiūrint sutartis ir saugumo priedus reikėtų įvertinti informacijos apsaugos įsipareigojimus, pranešimą apie incidentus, veiklos tęstinumą, subtiekėjų pasitelkimą, bendradarbiavimo užbaigimą, duomenų grąžinimą ar ištrynimą, prieigą prie įrodymų ir tikrinimo principus. Pasirengimo pažangą verta matuoti kritinių tiekėjų skaičiumi, partnerių, turinčių aktualų rizikos vertinimą ir priežiūros įrodymus, dalimi, keistinų sutarčių skaičiumi ir paslaugomis, kurioms nėra patvirtinto tęstinumo ar pasitraukimo plano. Išsamesnio vertinimo metodika aptariama medžiagoje „Kaip parengti įmonę antrosios šalies auditui pas pagrindinį tiekėją?“
Pasirengimo pirmajam vertinimui planas
Pasirengimo programa turi būti vykdoma nuosekliai: patvirtinamas subjekto statusas ir taikomi teisiniai kriterijai, nustatomos vertinamos aplinkos ribos, paskirstoma atsakomybė, atliekama rizikų ir spragų analizė, o tada tvirtinamas trūkumų šalinimo planas. Bandomasis auditas tikslingas tik įgyvendinus veiksmus ir sukaupus jų veikimą patvirtinančius įrašus. Jo rezultatai turi padėti pašalinti neatitikčių priežastis, o ne vien jų požymius, ir tapti pagrindu galutinei vadovybės atliekamai pasirengimo peržiūrai.
Grafikas sudaromas atgaline tvarka nuo termino, nustatyto tuo metu galiojančiuose teisės aktuose arba oficialiame sprendime dėl konkretaus subjekto. Vieno visoms organizacijoms saugaus darbų pradžios termino nėra. Jis priklauso nuo teisinio statuso, techninės apimties, saugumo priemonių brandos, išorinių priklausomybių skaičiaus ir laiko, reikalingo priemonių veikimą patvirtinantiems įrašams sukaupti. Vadovybė prioritetus turėtų tvirtinti pagal rizikų reikšmingumą ir užduočių tarpusavio priklausomybes, o ne pagal tai, kurias grafiko pozicijas lengviausia užbaigti.
Paskelbus procedūrą užduotis dar negali būti laikoma atlikta. Ji lieka atvira, kol procedūra neįgyvendinta, nepatikrinta pagal reprezentatyvią imtį ir nepatvirtinta įrašais. Tas pats taikoma techninėms saugumo priemonėms, incidentų valdymui, tęstinumo planams ir tiekėjų priežiūrai. Pasirengimui auditui reikia viso veikimo ciklo įrodymų: sprendimo, įgyvendinimo, rezultato kontrolės ir reakcijos į nustatytą nukrypimą. Jei trūkumas susijęs su bendradarbiavimo su išorės šalimi sąlygomis, naudingas kontekstas pateikiamas straipsnyje Tiekėjo auditas prieš pasirašant sutartį – kaip sumažinti kokybės ir terminų riziką.
Vadovybei teikiama ataskaita neturėtų apsiriboti plano įgyvendinimo procentu. Valdymo informacijoje turi būti nurodyta:
- spragų skaičius pagal reikšmingumą, jų savininkai ir pašalinimo terminai;
- saugumo priemonių, kurių veikimas patvirtintas įrašais, dalis;
- atviros rizikos, kurias priėmė tinkamo lygmens vadovai;
- kliūtys, pavyzdžiui, nepaskirtas savininkas, neįdiegta priemonė, neišbandytas planas, nesuderinta sutartis arba spraga, kurios pašalinimas nepatvirtintas patikimu įrodymu.
Auditą atliksiančio subjekto atranką verta pradėti pakankamai anksti, tačiau prieš tai reikia patikrinti aktualius KSC reikalavimus vykdytojui ir rezultatų dokumentavimui. Kaina negali būti vienintelis kriterijus. Būtina įvertinti reikalaujamas teises, nepriklausomumą, sektoriaus kompetenciją, metodiką ir gebėjimą vertinti faktinę techninę aplinką. Susitarimas su vykdytoju nepakeičia bandomojo audito ar vadovybės peržiūros – jis užbaigia tik organizacinę pasirengimo formaliam vertinimui dalį.
Pirmasis KSC auditas turėtų būti vertinamas kaip organizacijos gebėjimo valdyti paslaugų saugumą patikrinimas, o ne vienkartinė dokumentų peržiūra. Subjektas pasirengęs tik tada, kai gali pagrįsti savo statusą ir apimtį, nurodyti rizikų savininkus, įrodyti saugumo priemonių veikimą ir pateikti patikimus procesų bei tiekėjų priežiūros įrodymus.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
