Verificarea cazierului personalului în cadrul KSC – cum se stabilește domeniul de aplicare și se construiește un proces conform

Verificarea cazierului personalului în cadrul KSC nu reprezintă un control general de resurse umane și nici o formalitate premergătoare auditului. Domeniul său de aplicare trebuie să rezulte dintr-un temei concret, din statutul organizației și din atribuțiile și drepturile de acces efective ale persoanei. Dacă procesul începe cu strângerea certificatelor, în locul calificării rolurilor, organizația poate atât să omită persoane vizate de cerință, cât și să prelucreze fără justificare date privind condamnările. De aceea, primul pas este stabilirea persoanelor care pot fi verificate și a temeiului aplicabil. Ulterior trebuie separate responsabilitățile pentru obținerea informației, evaluarea rezultatului și aprobarea accesului, iar evidența finală trebuie limitată la datele necesare demonstrării conformității.

Procesul nu începe cu certificatul, ci cu stabilirea domeniului

Decizia privind verificarea cazierului nu trebuie să pornească de la solicitarea unor documente întregului personal. Mai întâi, conducerea trebuie să confirme statutul organizației în sistemul KSC și să identifice dispoziția concretă din care rezultă obligația pentru anumite persoane. Simpla invocare a NIS2, pregătirea pentru audit sau implementarea unui sistem de management al securității informației nu justifică verificarea tuturor angajaților, colaboratorilor și furnizorilor.

Limitele procesului trebuie stabilite separat pentru fiecare sursă a cerinței. Directiva NIS2, legea poloneză privind KSC în forma sa actuală, actele de punere în aplicare, reglementările sectoriale, condițiile contractuale și regulile interne de acordare a accesului nu constituie surse echivalente. Pentru fiecare trebuie stabilite domeniul organizațional, personal și temporal: cui i se aplică cerința, din ce motiv, de la ce dată, dacă există excepții și când este necesară reevaluarea. Elaborarea procedurii înainte de finalizarea acestei analize poate conduce atât la omiterea persoanelor vizate de obligație, cât și la prelucrarea nejustificată a datelor privind condamnările.

Rezultatul calificării ar trebui consemnat într-o notă succintă, aprobată de responsabilul pentru conformitate. Documentul trebuie să indice statutul entității, temeiul juridic, data și versiunea cadrului normativ analizat, rolurile incluse și excepțiile justificate. Categoria „personal IT” este prea generală. Trebuie clarificat dacă cerința îi include pe administratorii cu drepturi privilegiate, persoanele care gestionează incidente, personalul furnizorului și înlocuitorii care îndeplinesc periodic aceste atribuții. Organizația trebuie să desemneze și responsabilul pentru analiza juridică, precum și termenul de revizuire a acesteia, în special după modificarea legislației, a domeniului de activitate sau a modelului de acces.

Stabilirea limitelor verificării ar trebui integrată în inițiativa „SMSI conform cu legea KSC – cum se stabilesc domeniul, responsabilii și calendarul implementării”. Domeniul sistemului, responsabilitățile de proces și rolurile privilegiate trebuie să provină din aceeași hartă organizațională. Numai după această etapă se poate stabili în mod responsabil dacă obligația se aplică organizației potrivit cadrului juridic actual, ce dispoziție permite obținerea informațiilor despre cazier și pentru ce categorii de personal este permisă verificarea.

Cine intră în domeniul verificării

Domeniul personal nu este determinat de denumirea postului sau de forma raportului de muncă. Decisive sunt cerința aplicabilă, atribuțiile efective, drepturile de acces și influența persoanei asupra securității serviciului. Calificarea trebuie să ia în calcul accesul logic și fizic, posibilitatea modificării configurațiilor, participarea la gestionarea incidentelor, impactul asupra continuității activității și drepturile temporare sau de urgență. Rolurile care nu au legătură cu serviciul, sistemul, obiectivul sau domeniul protejat indicat de dispoziția relevantă nu trebuie incluse preventiv în verificare.

Instrumentul principal de decizie este matricea rolurilor, administrată împreună de proprietarul procesului, responsabilul pentru securitatea informației și departamentul de resurse umane, cu participarea responsabilului pentru conformitate. Matricea trebuie corelată cu managementul identităților și al drepturilor de acces, precum și cu separarea atribuțiilor. O simplă listă a angajaților nu este suficientă. Sunt necesare și evidențe ale conturilor privilegiate, ale accesului administrativ, fizic și de urgență, precum și ale persoanelor externe care au acces efectiv la sistemele sau procesele din domeniu.

Un administrator tehnic al furnizorului poate avea drepturi mai extinse decât un manager intern, chiar dacă nu este angajatul organizației. O calificare bazată exclusiv pe tipul contractului ar putea exclude astfel o persoană cu influență semnificativă asupra securității. Aceasta nu înseamnă însă că administratorului extern i se aplică automat același mecanism ca unui angajat. Domeniul datelor, modul de confirmare a îndeplinirii cerinței și responsabilitatea pentru evaluare trebuie să rezulte dintr-un temei juridic admisibil sau dintr-un contract redactat corespunzător. Accesul temporar și cel de urgență trebuie evaluate în funcție de amploarea posibilă a operațiunilor, nu de frecvența estimată a utilizării.

Matricea trebuie să includă angajații, membrii organelor de conducere, persoanele care colaborează în baza altor raporturi, administratorii externi și personalul furnizorilor și subcontractanților, dar numai în limitele cerinței aplicabile. Ea trebuie revizuită după modificarea arhitecturii drepturilor de acces, a domeniului serviciului, a furnizorului sau a legislației. Numărul rolurilor privilegiate și al persoanelor externe cu acces efectiv determină amploarea procesului și constituie o informație de intrare pentru planificarea resurselor descrisă în materialul „Cât costă implementarea NIS2 și uKSC – cum se construiește bugetul pentru audit, documentație, instruire și măsuri de securitate fără erori costisitoare”.

Unde apar costurile și riscurile

Riscul principal nu provine din obținerea tehnică a informației despre cazier, ci din inițierea verificării fără un temei neechivoc, un scop definit și un domeniu limitat. Datele privind condamnările penale și infracțiunile sunt supuse unui regim special de prelucrare. Consimțământul obișnuit al persoanei sau o prevedere generală din politica de resurse umane nu ar trebui considerate justificări automate pentru colectarea lor. Înainte de alegerea formei de verificare trebuie stabilit ce informații solicită efectiv dispoziția aplicabilă, ce persoane sunt vizate și cine răspunde pentru evaluarea rezultatului.

Costurile cresc atunci când organizația solicită documente complete întregului personal, păstrează copii fără o perioadă de retenție stabilită, le transmite prin e-mail obișnuit sau le pune la dispoziția departamentului de resurse umane, managerilor, funcției de securitate și auditorilor fără separarea drepturilor. Fiecare copie suplimentară mărește efortul necesar pentru protejarea datelor, controlul accesului, gestionarea solicitărilor și ștergerea în siguranță. Conducerea ar trebui să monitorizeze nu doar numărul verificărilor efectuate, ci și numărul persoanelor care au acces la documente și perioadele efective de păstrare.

O a doua sursă de risc este lipsa criteriilor de evaluare a rezultatului. O informație identificată în timpul verificării nu poate conduce la o decizie improvizată a managerului sau la o evaluare fără legătură cu cerința aplicabilă rolului respectiv. Departamentul de resurse umane poate obține corect documentul, însă procesul rămâne defectuos dacă nu s-a stabilit cine îi evaluează relevanța, pe ce bază se ia decizia de autorizare și dacă păstrarea copiei este necesară. Procedura trebuie să definească mecanismul de escaladare și planul de reacție din planul de control – cum se descriu acțiunile atunci când procesul depășește limitele.

Dovada efectuării verificării trebuie separată de păstrarea conținutului documentului. În funcție de temeiul aplicabil și de obligația de a furniza dovezi, poate fi suficientă înregistrarea datei verificării, a domeniului verificat, a persoanei autorizate să evalueze, a rezultatului calificării și a deciziei de autorizare, fără reproducerea integrală a certificatului. Dacă păstrarea unei copii este necesară, trebuie stabilite persoanele care o pot consulta, măsurile de securitate și termenul de ștergere. O astfel de evidență combină minimizarea datelor cu obligația de a demonstra conformitatea, fără a înlocui analiza juridică prin acumularea preventivă de documente.

Procesul, de la calificarea rolului până la autorizarea accesului

Procesul trebuie să înceapă înainte de obținerea informațiilor despre cazier. Mai întâi, proprietarul procesului califică rolul, indică temeiul juridic actual și definește domeniul necesar al verificării. Organizația informează apoi persoana despre scopul, mecanismul și regulile de prelucrare a datelor, selectează o sursă admisibilă de informații și îi verifică identitatea. Următoarele puncte de control sunt evaluarea rezultatului, decizia de autorizare, acordarea drepturilor și crearea înregistrării de control.

Pentru fiecare activitate trebuie precizate responsabilul, datele de intrare necesare, termenul și modul de acțiune în cazul lipsei documentului, al depășirii termenului sau al unui rezultat care necesită clarificări. Verificarea formală nu este echivalentă cu decizia operațională. Departamentul de resurse umane poate informa angajatul, poate primi documentul și poate confirma caracterul complet al datelor, dar nu ar trebui să decidă singur asupra accesului la sistem sau infrastructură.

Decizia finală trebuie atribuită unui rol operațional desemnat, de regulă proprietarului sistemului sau persoanei responsabile pentru domeniul operațional respectiv, cu participarea funcției de securitate. Dacă rezultatul este neclar sau există îndoieli privind domeniul permis al prelucrării datelor, cazul trebuie transmis funcției juridice ori celei responsabile pentru protecția datelor. Această separare a responsabilităților previne atât acordarea automată a accesului după prezentarea documentului, cât și interpretarea discreționară de către superior.

Criteriile de decizie trebuie aprobate înainte de apariția primului caz problematic. Procedura trebuie să precizeze cine evaluează neclaritățile, ce informații pot fi luate în considerare, dacă este permisă limitarea accesului și cum se documentează justificarea fără a divulga conținutul unui grup mai larg de destinatari. De exemplu, o persoană nou-angajată poate finaliza instruirile și activitățile organizatorice, dar nu ar trebui să primească un cont privilegiat sau acces la mediul protejat până la adoptarea deciziei. Accesul temporar, dacă este permis, necesită o aprobare separată, un domeniu limitat, o dată de expirare și supraveghere. Acesta nu poate fi folosit pentru eludarea verificării.

Scenariul negativ necesită un plan de reacție stabilit dinainte: suspendarea drepturilor, escaladarea către decidenții desemnați, asigurarea unui înlocuitor, evaluarea efectelor asupra continuității activității și închiderea controlată a cazului. Logica trebuie să fie aceeași ca într-un plan de reacție: un eveniment definit declanșează o reacție, o responsabilitate și o înregistrare prestabilite. Pentru recrutare și schimbarea rolului, un reper util este materialul Cum se pregătește procesul de onboarding pentru un nou inginer de calitate sau reprezentant ISO, în special în ceea ce privește punctele de decizie și confirmarea responsabilităților.

Înregistrarea de control trebuie să permită reconstituirea calificării rolului, a temeiului și domeniului verificării, a datei confirmării identității, a sursei informației, a persoanei care a efectuat evaluarea, a deciziei, a datei acordării drepturilor și a eventualei escaladări. Trebuie definite și evenimentele care impun reevaluarea, în special schimbarea rolului sau a domeniului de acces, precum și mecanismul de retragere a drepturilor la plecarea angajatului. Eficacitatea procesului este reflectată în principal de intervalul dintre calificare și decizie, de numărul accesurilor acordate înainte de finalizarea verificării obligatorii și de numărul escaladărilor cauzate de lipsa documentului sau de un rezultat neclar.

Documentarea și reverificarea

Documentația procesului trebuie să permită reconstituirea motivelor și efectelor deciziei, nu să creeze o arhivă de informații despre cazier. Înregistrarea trebuie să explice de ce rolul respectiv a fost supus verificării, când a avut loc aceasta, cine a soluționat cazul și care a fost efectul operațional: acordarea, limitarea sau refuzul accesului. Aceasta nu implică automat păstrarea unei copii a documentului-sursă. Decizia de păstrare a copiei trebuie separată de retenția metadatelor și fundamentată pe temeiul juridic actual, scopul prelucrării și principiul limitării stocării.

Un set coerent de înregistrări trebuie să includă:

• matricea rolurilor, împreună cu justificarea domeniului;
• registrul verificărilor efectuate;
• autorizările pentru prelucrare și regulile de acces;
• perioadele de păstrare aprobate;
• protocolul de escaladare;
• dovezile îndeplinirii obligațiilor de către furnizori.

Aceste elemente necesită un responsabil comun, control al versiunilor și corelare cu managementul documentației SMSI. Dispersarea lor între resurse umane, securitate și achiziții îngreunează demonstrarea caracterului complet al procesului. În depozitul de documente trebuie păstrate modelele, deciziile la nivel de sistem și istoricul modificării regulilor, iar datele individuale trebuie puse exclusiv la dispoziția persoanelor autorizate. Un reper organizațional util este Cum se construiește un depozit intern de cunoștințe privind calitatea pentru a păstra experiența echipei.

Înregistrarea poate cuprinde data calificării rolului, a verificării și a deciziei, identificarea temeiului aplicat, data acordării accesului și data revizuirii planificate. Dacă sunt suficiente confirmarea efectuării verificării și rezultatul său operațional, copia certificatului nu trebuie păstrată „pentru orice eventualitate”. Mecanismul de ștergere trebuie să includă și fișierele atașate mesajelor, directoarele de lucru și resursele furnizorilor. Eficacitatea controlului poate fi evaluată prin procentul rolurilor care au o justificare actualizată pentru includerea în proces și numărul înregistrărilor păstrate după expirarea perioadei aprobate.

Termenele reverificării nu trebuie stabilite după un calendar arbitrar. Frecvența poate rezulta din dispoziția aplicabilă, natura rolului, condițiile contractuale sau o evaluare documentată a riscurilor. Independent de revizuirea periodică, procedura trebuie să indice evenimentele care declanșează evaluarea, în special schimbarea postului, extinderea drepturilor, revenirea în rol după o întrerupere sau modificarea semnificativă a cerințelor juridice ori contractuale. Menținerea actualității informațiilor nu presupune neapărat obținerea periodică a documentului integral. Procesul trebuie să prevadă un mod legal și proporțional de confirmare a situației, de fiecare dată în acord cu temeiul juridic actual și cu domeniul datelor pe care organizația le poate prelucra.

Testul de pregătire pentru audit

Evaluarea pregătirii nu trebuie să înceapă prin verificarea existenței procedurii, ci prin reconstituirea unor cazuri reale. Eșantionul trebuie să includă cel puțin un angajat încadrat într-un rol supus verificării, o persoană al cărei rol s-a schimbat, un administrator extern și un caz de acces de urgență. Pentru fiecare caz, auditorul trebuie să urmărească traseul de la temeiul juridic actual și calificarea rolului până la obținerea informației, decizia de autorizare și drepturile efectiv active.

Testul minim include compararea listei rolurilor cu evidența accesului și verificarea caracterului complet al deciziilor, a efectuării la timp a controalelor, a limitării accesului la înregistrări și a respectării regulilor de păstrare. De asemenea, trebuie simulate lipsa documentului, un rezultat neclar sau întârzierea verificării. Organizația trebuie să demonstreze că poate suspenda accesul, activa escaladarea și identifica persoana autorizată să decidă. Frecvența auditului intern al SMSI și pragul de escaladare trebuie să corespundă riscului și cerințelor care decurg din temeiul aflat în vigoare, nu doar calendarului auditurilor.

Neconformitățile sistemice tipice apar la interfața dintre procese. Printre acestea se numără lipsa unui temei demonstrat, diferențele dintre lista posturilor și drepturile efective, omiterea subcontractanților, acordarea accesului înainte de finalizarea verificării, absența unei perioade definite de păstrare sau lipsa unui mecanism documentat de escaladare. O înregistrare corectă în dosarul de personal nu este suficientă dacă un administrator extern și-a păstrat contul activ după modificarea domeniului contractual sau și-a extins drepturile fără o nouă calificare.

Conducerea trebuie să primească informații agregate, nu conținutul datelor privind condamnările. Sunt utili indicatori precum procentul accesurilor active care necesită verificare și pentru care există o decizie actuală, numărul accesurilor acordate înainte de finalizarea verificării, respectarea termenelor de revizuire și numărul neconformităților grupate după cauza sistemică. Indicatorii trebuie să susțină decizii privind resursele, corecțiile și escaladarea, conform abordării descrise în materialul Cum se definesc KPI de proces pentru conducere, astfel încât sistemul calității să nu se limiteze la tabele.

Pregătirea pentru audit înseamnă capacitatea de a demonstra nu doar existența procedurii, ci și proporționalitatea domeniului, coerența deciziilor și eficacitatea aplicării. Rezultatele testului trebuie incluse în auditul intern al SMSI și în analiza efectuată de management, împreună cu responsabilul acțiunii, termenul de eliminare a deficienței și evaluarea impactului asupra accesurilor active.