Prověřování bezúhonnosti pracovníků v KSC: jak vymezit rozsah a nastavit správný proces

Prověřování bezúhonnosti pracovníků v rámci polského systému KSC není plošnou personální kontrolou ani formalitou před auditem. Rozsah musí vycházet z konkrétního právního základu, postavení organizace a skutečných úkolů a oprávnění dané osoby. Pokud proces začne shromažďováním výpisů namísto posouzení rolí, může opomenout osoby, na které se požadavek vztahuje, a současně vést k neoprávněnému zpracování údajů o odsouzeních. Nejprve je proto nutné určit, koho lze prověřovat a na jakém základě, poté oddělit odpovědnost za získání informací, posouzení výsledku a rozhodnutí o přístupu a nakonec omezit záznamy na údaje nezbytné k doložení souladu.

Nejdříve rozsah, teprve potom doklady

Rozhodnutí o prověřování bezúhonnosti nesmí začínat požadavkem, aby pracovníci předložili příslušné doklady. Vedení musí nejprve potvrdit postavení organizace v systému KSC a určit konkrétní ustanovení, z něhož vyplývá povinnost vztahující se na vymezené osoby. Samotný odkaz na NIS2, příprava na audit nebo zavádění systému řízení bezpečnosti informací neopravňuje organizaci k plošnému prověřování všech zaměstnanců, externích spolupracovníků a dodavatelů.

Hranice procesu je nutné určit samostatně pro každý zdroj požadavku. Směrnice NIS2, polský zákon o KSC v aktuálním znění, prováděcí předpisy, odvětvová regulace, smluvní podmínky a interní pravidla pro přidělování přístupů nejsou rovnocennými zdroji. U každého z nich je třeba vymezit věcnou, osobní a časovou působnost: koho se požadavek týká, z jakého důvodu, od kdy, zda připouští výjimky a kdy vyžaduje nové posouzení. Vytvoření postupu před dokončením této analýzy může vést jak k opomenutí osob podléhajících povinnosti, tak k neoprávněnému zpracování údajů o odsouzeních.

Výstupem posouzení by měl být stručný záznam schválený vlastníkem compliance. Dokument má uvádět postavení subjektu, právní základ, datum a právní stav použitý při analýze, zahrnuté role a odůvodněné výjimky. Kategorie „IT pracovníci“ je příliš obecná. Je nutné rozhodnout, zda se požadavek vztahuje na administrátory s privilegovanými oprávněními, pracovníky řešící incidenty, personál dodavatele a zástupce, kteří tyto úkoly vykonávají pouze dočasně. Současně je třeba určit vlastníka právní analýzy a termín jejího přezkoumání, zejména po změně právních předpisů, rozsahu činnosti nebo modelu přístupů.

Vymezení hranic prověřování by mělo být součástí projektu „SZBI v souladu se zákonem o KSC – jak určit rozsah, vlastníky a harmonogram zavedení“. Rozsah systému, procesní odpovědnosti a privilegované role musí vycházet ze stejné organizační mapy. Teprve potom lze odpovědně posoudit, zda se podle aktuálního právního stavu povinnost na organizaci vztahuje, které ustanovení umožňuje získat informaci o bezúhonnosti a u kterých kategorií pracovníků je takový postup přípustný.

Na koho se prověřování vztahuje

Osobní rozsah neurčuje název pracovní pozice ani forma spolupráce. Rozhodující je obsah příslušného požadavku ve spojení se skutečnými úkoly, oprávněními a vlivem dané osoby na bezpečnost služby. Posouzení má zohlednit logický i fyzický přístup, možnost měnit konfiguraci, účast na řešení incidentů, vliv na kontinuitu činností a také dočasná a nouzová oprávnění. Role, které nesouvisejí s chráněnou službou, systémem, objektem nebo rozsahem uvedeným v právním předpisu, nemají být preventivně zahrnovány do kontroly.

Základním rozhodovacím nástrojem je matice rolí, kterou společně spravují vlastník procesu, osoba odpovědná za bezpečnost informací a personální oddělení za účasti vlastníka compliance. Matice musí být propojena s řízením identit a oprávnění a se zásadou oddělení povinností. Pouhý seznam zaměstnanců nestačí. Potřebné jsou také evidence privilegovaných účtů, administrativních, fyzických a nouzových přístupů a externích osob, které mají skutečný přístup k systémům nebo procesům v daném rozsahu.

Technický administrátor dodavatele může mít širší oprávnění než interní vedoucí pracovník, přestože není zaměstnancem organizace. Posuzování pouze podle typu smlouvy by proto mohlo vyloučit osobu s významným vlivem na bezpečnost. To však neznamená, že externí administrátor automaticky podléhá stejnému režimu jako zaměstnanec. Rozsah údajů, způsob potvrzení splnění požadavku a odpovědnost za vyhodnocení musí vycházet z přípustného právního základu nebo z odpovídajícím způsobem nastavené smlouvy. Dočasný a nouzový přístup je nutné posuzovat podle možného rozsahu činností, nikoli podle předpokládané četnosti jeho využití.

Matice má zahrnovat zaměstnance, členy orgánů, osoby spolupracující na jiném základě, externí administrátory a pracovníky dodavatelů a subdodavatelů, vždy však pouze v mezích příslušného požadavku. Přezkoumat ji je nutné po změně architektury oprávnění, rozsahu služby, dodavatele nebo právních předpisů. Počet privilegovaných rolí a externích osob se skutečným přístupem určuje rozsah procesu a představuje vstup pro plánování nákladů popsané v materiálu „Kolik stojí zavedení NIS2 a uKSC – jak sestavit rozpočet na audit, dokumentaci, školení a bezpečnostní opatření bez nákladných chyb“.

Kde vznikají náklady a rizika

Největší riziko nespočívá v technickém získání informace o bezúhonnosti, ale ve spuštění kontroly bez jednoznačného právního základu, vymezeného účelu a omezeného rozsahu. Údaje o odsouzeních a trestných činech podléhají zvláštnímu režimu zpracování. Běžný souhlas osoby ani obecné ustanovení personální politiky nelze automaticky považovat za oprávnění k jejich získávání. Před volbou způsobu prověření je nutné určit, jaké informace příslušný předpis skutečně požaduje, na koho se vztahuje a kdo odpovídá za posouzení výsledku.

Náklady rostou, pokud organizace požaduje úplné doklady od všech pracovníků, uchovává jejich kopie bez stanovené doby uchování, zasílá je běžným e-mailem nebo je zpřístupňuje personalistům, nadřízeným, bezpečnostnímu útvaru a auditorům bez rozdělení oprávnění. Každá další kopie zvyšuje nároky na zabezpečení údajů, řízení přístupů, vyřizování žádostí a bezpečné odstranění. Vedení by proto nemělo sledovat pouze počet provedených kontrol, ale také počet osob s přístupem k dokumentům a skutečnou dobu jejich uchovávání.

Dalším zdrojem rizika jsou chybějící kritéria pro posouzení výsledku. Informace zjištěná během kontroly nesmí vést k improvizovanému rozhodnutí vedoucího pracovníka ani k hodnocení bez vazby na požadavek platný pro danou roli. Personální oddělení může doklad získat správným způsobem, proces však zůstane vadný, pokud není stanoveno, kdo posuzuje jeho význam, na jakém základě rozhoduje o povolení přístupu a zda je nezbytné uchovat kopii. Postup má vymezovat pravidla eskalace a plán reakce v plánu kontroly – jak popsat opatření při překročení stanovených mezí procesu.

Potvrzení o provedení kontroly je nutné oddělit od uchovávání obsahu dokladu. V závislosti na příslušném právním základu a požadavku na důkaz může postačovat záznam data kontroly, rozsahu prověření, osoby oprávněné k posouzení, výsledku kvalifikace a rozhodnutí o povolení přístupu, aniž by se uchovával celý obsah výpisu. Pokud je kopie nezbytná, je třeba stanovit její příjemce, zabezpečení a termín odstranění. Takový záznam propojuje zásadu minimalizace údajů s povinností doložit soulad, místo aby právní analýzu nahrazoval shromažďováním dokumentů „pro jistotu“.

Proces od posouzení role po povolení přístupu

Proces musí začít ještě před získáním informace o bezúhonnosti. Vlastník procesu nejprve posoudí roli, uvede aktuální právní základ a stanoví požadovaný rozsah kontroly. Organizace následně informuje danou osobu o účelu, způsobu a pravidlech zpracování údajů, zvolí přípustný zdroj informací a ověří její totožnost. Další rozhodovací body zahrnují posouzení výsledku, rozhodnutí o povolení, přidělení oprávnění a vytvoření kontrolního záznamu.

Pro každou činnost je nutné určit odpovědnou osobu, požadované vstupy, termín a postup při nepředložení dokumentu, překročení lhůty nebo výsledku vyžadujícím objasnění. Formální kontrola totiž není totožná s provozním rozhodnutím. Personální oddělení může pracovníka informovat, převzít doklad a potvrdit úplnost údajů, nemělo by však samostatně rozhodovat o přístupu k systému nebo infrastruktuře.

Konečné rozhodnutí má náležet určené obchodní nebo provozní roli, nejčastěji vlastníkovi systému nebo osobě odpovědné za danou provozní oblast, za účasti bezpečnostní funkce. Pokud je výsledek nejednoznačný nebo existují pochybnosti o přípustném rozsahu zpracování údajů, musí být případ předán právní funkci nebo osobě odpovědné za ochranu osobních údajů. Takové rozdělení odpovědností zabraňuje jak automatickému udělení přístupu po předložení dokladu, tak svévolnému výkladu ze strany nadřízeného.

Rozhodovací kritéria je nutné schválit ještě před prvním problematickým případem. Postup má určit, kdo posuzuje nejednoznačnosti, jaké informace lze zohlednit, zda je přípustné omezit rozsah přístupu a jak zaznamenat odůvodnění bez zpřístupnění obsahu širšímu okruhu osob. Nově přijatý pracovník může například absolvovat školení a organizační úkony, ale do vydání rozhodnutí by neměl získat privilegovaný účet ani přístup do chráněného prostředí. Dočasný přístup, pokud je vůbec povolen, vyžaduje samostatný souhlas, omezený rozsah, dobu platnosti a dohled. Nesmí sloužit k obcházení kontroly.

Negativní varianta vyžaduje předem stanovený plán reakce: pozastavení oprávnění, eskalaci určeným rozhodovacím osobám, zajištění zastupitelnosti, posouzení dopadů na kontinuitu činností a řízené uzavření případu. Logika má být stejná jako u plánu reakce: definovaná událost spouští přiřazenou reakci, odpovědnost a záznam. Při nástupu do zaměstnání a změně role může jako užitečné východisko posloužit materiál Jak připravit onboarding nového inženýra kvality nebo zmocněnce pro ISO, zejména v oblasti rozhodovacích bodů a potvrzování odpovědností.

Kontrolní záznam musí umožnit zpětně doložit posouzení role, právní základ a rozsah kontroly, datum ověření totožnosti, zdroj informací, posuzující osobu, rozhodnutí, datum udělení oprávnění a případnou eskalaci. Současně je třeba stanovit události vyvolávající nové posouzení, zejména změnu role nebo rozsahu přístupu, a postup pro odebrání oprávnění při odchodu pracovníka. Účinnost procesu nejlépe ukazuje doba od posouzení role do vydání rozhodnutí, počet přístupů udělených před dokončením požadované kontroly a počet eskalací způsobených chybějícím dokladem nebo nejednoznačným výsledkem.

Dokumentace a opakované prověřování

Dokumentace procesu má umožnit rekonstruovat důvody a důsledky rozhodnutí, nikoli vytvářet archiv informací o bezúhonnosti. Záznam musí vysvětlovat, proč daná role podléhala prověření, kdy bylo provedeno, kdo případ rozhodl a jaký byl provozní výsledek: udělení, omezení nebo odmítnutí přístupu. To automaticky neznamená nutnost uchovávat kopii zdrojového dokumentu. Rozhodnutí o uchování kopie je nutné oddělit od uchovávání metadat a založit na aktuálním právním základě, účelu zpracování a zásadě omezení doby uložení.

Ucelený soubor záznamů by měl tvořit:

• matice rolí včetně odůvodnění rozsahu;
• evidence provedených kontrol;
• pověření ke zpracování a pravidla přístupu;
• schválené doby uchovávání;
• protokol eskalace;
• důkazy o splnění povinností dodavateli.

Tyto prvky vyžadují společného vlastníka, řízení verzí a vazbu na správu dokumentace SZBI. Jejich roztříštění mezi personální oddělení, bezpečnost a nákup komplikuje doložení úplnosti procesu. V úložišti je vhodné spravovat šablony, systémová rozhodnutí a historii změn pravidel, zatímco individuální údaje mají být dostupné pouze oprávněným osobám. Užitečným organizačním vodítkem je materiál Jak vybudovat interní úložiště znalostí o kvalitě, aby se neztrácely zkušenosti týmu.

Záznam může obsahovat datum posouzení role, kontroly a rozhodnutí, označení použitého právního základu, datum udělení přístupu a plánovaného přezkoumání. Pokud postačuje potvrzení o provedení kontroly a jejím provozním výsledku, nemá být kopie výpisu uchovávána „pro jistotu“. Mechanismus odstranění musí zahrnovat také přílohy zpráv, pracovní adresáře a prostředí dodavatelů. Účinnost řízení lze hodnotit podle podílu rolí s aktuálním odůvodněním zahrnutí do procesu a podle počtu záznamů uchovávaných po uplynutí schválené doby.

Termíny opakovaného prověřování nemají být stanovovány podle svévolně zvoleného kalendáře. Četnost může vyplývat z platného předpisu, charakteru role, smluvních podmínek nebo zdokumentovaného posouzení rizik. Bez ohledu na pravidelný přezkum musí postup uvádět spouštěcí události, zejména změnu pozice, rozšíření oprávnění, návrat do role po přerušení nebo významnou změnu právních či smluvních požadavků. Aktuálnost informací nemusí znamenat pravidelné získávání úplného dokumentu. Proces má stanovit legální a přiměřený způsob potvrzení stavu, pokaždé v souladu s aktuálním právním základem a rozsahem údajů, které organizace smí zpracovávat.

Test připravenosti před auditem

Posouzení připravenosti nemá začínat ověřením, zda existuje postup, ale rekonstrukcí skutečných případů. Vzorek by měl zahrnovat alespoň zaměstnance v roli podléhající prověření, osobu po změně role, externího administrátora a případ nouzového přístupu. U každého případu má auditor sledovat celý řetězec od aktuálního právního základu a posouzení role přes získání informace a rozhodnutí o povolení až po skutečně aktivní oprávnění.

Minimální test zahrnuje porovnání seznamu rolí s evidencí přístupů a ověření úplnosti rozhodnutí, včasnosti kontrol, omezení přístupu k záznamům a správnosti jejich uchovávání. Součástí má být také simulace chybějícího dokumentu, nejednoznačného výsledku nebo prodlení při kontrole. Organizace musí prokázat, že dokáže pozastavit přístup, spustit eskalaci a určit osobu oprávněnou k rozhodnutí. Četnost interního auditu SZBI a prahová hodnota pro eskalaci mají odpovídat riziku a požadavkům vyplývajícím z aktuálně platného právního základu, nikoli pouze harmonogramu auditů.

Typické systémové neshody vznikají na rozhraní procesů. Patří mezi ně chybějící doložený právní základ, nesoulad mezi seznamem pracovních pozic a skutečnými oprávněními, opomenutí subdodavatelů, udělení přístupu před dokončením kontroly, nestanovená doba uchovávání nebo chybějící zdokumentovaný postup eskalace. Správný personální záznam nestačí, pokud externímu administrátorovi zůstal aktivní účet po změně rozsahu smlouvy nebo získal rozšířená oprávnění bez nového posouzení.

Vedení má dostávat souhrnné informace, nikoli obsah údajů o odsouzeních. Užitečné ukazatele zahrnují podíl aktivních přístupů vyžadujících kontrolu, pro které existuje platné rozhodnutí, počet přístupů udělených před dokončením prověření, včasnost přezkumů a počet neshod podle jejich systémové příčiny. Ukazatele musí podporovat rozhodování o zdrojích, nápravných opatřeních a eskalaci v souladu s přístupem popsaným v materiálu Jak nastavit procesní KPI pro vedení, aby systém kvality nekončil u tabulek.

Připravenost na audit znamená schopnost prokázat nejen existenci postupu, ale také přiměřenost jeho rozsahu, konzistentnost rozhodování a účinnost procesu. Výsledky testu mají být předloženy v rámci interního auditu SZBI a přezkoumání systému managementu spolu s určením vlastníka opatření, termínu odstranění nedostatku a posouzením dopadu na aktivní přístupy.