Υποχρεωτικός έλεγχος KSC: ποιοι βασικοί φορείς πρέπει να προετοιμαστούν για την πρώτη αξιολόγηση συμμόρφωσης

Ο υποχρεωτικός έλεγχος KSC δεν αρχίζει με την επιλογή ελεγκτή ή τη συγκέντρωση διαδικασιών. Προηγούνται η επιβεβαίωση του καθεστώτος της συγκεκριμένης νομικής οντότητας, ο καθορισμός των υπηρεσιών που εμπίπτουν στη ρύθμιση και η σαφής ανάθεση ευθύνης για τους κινδύνους, τα μέτρα ασφάλειας και τα τεκμήρια λειτουργίας τους. Χωρίς αυτές τις αποφάσεις, ένας οργανισμός μπορεί να κατευθύνει πόρους σε λανθασμένες προτεραιότητες, να παραβλέψει κρίσιμες εξαρτήσεις ή να προσέλθει στον έλεγχο με τεκμηρίωση που δεν ανταποκρίνεται στον πραγματικό τρόπο παροχής των υπηρεσιών. Η ετοιμότητα για την πρώτη αξιολόγηση δεν κρίνεται, επομένως, από τον αριθμό των διαδικασιών, αλλά από τη συνοχή μεταξύ νομικής υπαγωγής, επιχειρησιακού πεδίου εφαρμογής, διαχείρισης κινδύνων και καθημερινής πρακτικής.

Ποιους θα αφορά ο πρώτος έλεγχος

Η πρώτη απόφαση είναι να επιβεβαιωθεί αν η συγκεκριμένη νομική οντότητα υπάγεται στο KSC, σε ποια κατηγορία έχει ενταχθεί και ποιες απαιτήσεις ελέγχου και προθεσμίες ισχύουν για αυτήν. Η αξιολόγηση πρέπει να λαμβάνει υπόψη τον τομέα, την πραγματικά ασκούμενη δραστηριότητα, το μέγεθος του οργανισμού και τυχόν ειδικά κριτήρια που προβλέπονται από τις ισχύουσες διατάξεις. Οι βασικοί φορείς δεν πρέπει να ταυτίζονται με τους παλαιούς φορείς εκμετάλλευσης βασικών υπηρεσιών, ούτε να προσδιορίζεται το καθεστώς τους αποκλειστικά βάσει του κωδικού PKD. Ο κωδικός μπορεί να αποτελέσει ένδειξη, αλλά δεν υποκαθιστά την ανάλυση των υπηρεσιών, των αποδεκτών τους και του ρόλου του οργανισμού στον συγκεκριμένο τομέα.

Το πρώτο έγγραφο εργασίας πρέπει να είναι μια εγκεκριμένη ανάλυση υπαγωγής. Σε αυτήν πρέπει να προσδιορίζονται η δραστηριότητα που εμπίπτει στη ρύθμιση, οι οργανωτικές μονάδες που την εκτελούν, οι παρεχόμενες υπηρεσίες, τα πληροφοριακά συστήματα που τις υποστηρίζουν και η βάση της υιοθετούμενης θέσης. Την ευθύνη για τη διαδικασία συμμόρφωσης με το KSC μπορεί να αναλάβει η νομική λειτουργία, η λειτουργία συμμόρφωσης ή κυβερνοασφάλειας. Η τελική υπαγωγή, ωστόσο, πρέπει να εγκρίνεται επίσημα από το όργανο που είναι εξουσιοδοτημένο να αποφασίζει για λογαριασμό του φορέα. Σε ασαφείς περιπτώσεις είναι σκόπιμη η λήψη νομικής γνωμοδότησης, αντί να βασίζεται το πρόγραμμα προετοιμασίας σε μια μη τεκμηριωμένη παραδοχή.

Σε έναν όμιλο εταιρειών, το καθεστώς μίας εταιρείας δεν επεκτείνεται αυτομάτως στις υπόλοιπες. Κάθε νομική οντότητα, η δραστηριότητα, το μέγεθος και τα ειδικά κριτήρια που την αφορούν πρέπει να αξιολογούνται χωριστά. Μόνο στη συνέχεια πρέπει να εντοπίζονται τα κοινά κέντρα υπηρεσιών, οι υποδομές, τα συστήματα και οι προμηθευτές. Αυτός ο διαχωρισμός είναι απαραίτητος για την ανάθεση ευθύνης κινδύνου, τον καθορισμό των ορίων του ελέγχου και τον σχεδιασμό του τρόπου με τον οποίο θα γίνει η προετοιμασία της επιχείρησης για έλεγχο δεύτερου μέρους σε κρίσιμο προμηθευτή.

Τα αναλυτικά όρια, οι εξαιρέσεις, οι διαδικασίες ταυτοποίησης, καταχώρισης ή γνωστοποίησης και οι προθεσμίες ελέγχου πρέπει να επαληθεύονται βάσει της εκάστοτε ισχύουσας διατύπωσης του πολωνικού νόμου για το εθνικό σύστημα κυβερνοασφάλειας και των σχετικών εκτελεστικών πράξεων. Η απουσία επίσημης ειδοποίησης δεν πρέπει από μόνη της να αναστέλλει την ανάλυση, όταν το προφίλ δραστηριότητας υποδηλώνει πιθανή υπαγωγή στη ρύθμιση. Μόνο μετά την επιβεβαίωση του καθεστώτος μπορεί να καθοριστεί υπεύθυνα το πεδίο και το χρονοδιάγραμμα του πρώτου ελέγχου.

Το πεδίο εφαρμογής καθορίζει το αποτέλεσμα

Το σοβαρότερο σφάλμα προετοιμασίας είναι η ταύτιση του πεδίου του ελέγχου KSC με το τμήμα πληροφορικής. Αντικείμενο αξιολόγησης είναι ο τρόπος διαχείρισης της ασφάλειας των υπηρεσιών και των συστημάτων. Για τον λόγο αυτό, τα όρια του ελέγχου πρέπει να περιλαμβάνουν επίσης τις επιχειρησιακές διεργασίες, τη συντήρηση, τις προμήθειες, το ανθρώπινο δυναμικό, την επιχειρησιακή συνέχεια, τη διαχείριση συμβάντων και τη διοικητική εποπτεία. Ένα υπερβολικά στενό πεδίο παραβλέπει εξαρτήσεις κρίσιμες για την ανθεκτικότητα της υπηρεσίας. Αντίθετα, η αδικαιολόγητη ένταξη ολόκληρου του οργανισμού αυξάνει τον φόρτο και δυσχεραίνει τη διάκριση των ουσιωδών ευρημάτων από τα δευτερεύοντα.

Το πεδίο πρέπει να σχεδιάζεται με αφετηρία τις υπηρεσίες που εμπίπτουν στη ρύθμιση. Στη συνέχεια, η ανάλυση πρέπει να ακολουθεί τις διεργασίες και τις πληροφορίες που υποστηρίζουν τις υπηρεσίες, έως τις εφαρμογές, τις υποδομές, τις εγκαταστάσεις, το προσωπικό και τους εξωτερικούς συνεργάτες. Η απλή απογραφή εξοπλισμού δεν εξηγεί ποια περιουσιακά στοιχεία είναι απαραίτητα για την παροχή της υπηρεσίας ούτε ποιος ευθύνεται για τον σχετικό κίνδυνο. Για κάθε υπηρεσία πρέπει, επομένως, να ορίζονται ο ιδιοκτήτης της, οι εξαρτώμενες διεργασίες, τα κρίσιμα πληροφοριακά περιουσιακά στοιχεία, τα συστήματα, οι προμηθευτές και τα τεκμήρια λειτουργίας των μέτρων ασφάλειας. Ο χάρτης εξαρτήσεων πρέπει να επιτρέπει την ιχνηλάτηση των επιπτώσεων μιας διακοπής διαθεσιμότητας ή μιας παραβίασης, χωρίς να καταγράφει σχέσεις που δεν επηρεάζουν την αξιολογούμενη υπηρεσία.

Η πρακτική αξία αυτής της προσέγγισης φαίνεται στα αντίγραφα ασφαλείας. Μπορεί να εκτελούνται εγκαίρως, να παρακολουθούνται και να συμμορφώνονται με τη διαδικασία. Αν, όμως, ο ιδιοκτήτης της επιχειρησιακής διεργασίας δεν έχει καθορίσει τον απαιτούμενο χρόνο αποκατάστασης, δεν μπορεί να επιβεβαιωθεί ότι το τεχνικό μέτρο ανταποκρίνεται στην επιχειρησιακή ανάγκη. Αντίστοιχα, ένα σύστημα που χρησιμοποιείται από περισσότερες εταιρείες του ομίλου πρέπει να εντάσσεται στο πεδίο κάθε εταιρείας της οποίας υποστηρίζει ρυθμιζόμενη υπηρεσία. Παράλληλα, πρέπει να περιγράφεται με σαφήνεια η κατανομή ευθυνών για τη διαχείριση, τον κίνδυνο, τα συμβάντα και την προσκόμιση τεκμηρίων.

Τα οργανωτικά και τεχνικά όρια πρέπει να επιβεβαιώνονται σε εργαστήριο με τους ιδιοκτήτες υπηρεσιών και διεργασιών, καθώς και με τους υπευθύνους επιχειρησιακής συνέχειας, κυβερνοασφάλειας και κρίσιμων προμηθευτών. Οι αποφάσεις δεν μπορούν να βασίζονται αποκλειστικά σε συζήτηση με τον διαχειριστή υποδομών. Το αποτέλεσμα του εργαστηρίου πρέπει να περιλαμβάνει κατάλογο των υπηρεσιών που εξετάζονται, των υποστηρικτικών συστημάτων, των εγκαταστάσεων και των προμηθευτών, των κοινών εξαρτήσεων και των αιτιολογημένων εξαιρέσεων. Για κάθε εξαίρεση απαιτούνται η βάση της απόφασης, η επίδραση στην υπηρεσία και ο υπεύθυνος που την ενέκρινε.

Ο ίδιος χάρτης αποτελεί αφετηρία για την εκτίμηση των απαιτούμενων πόρων που αναλύονται στο άρθρο Πόσο κοστίζει η εφαρμογή NIS2 και uKSC – πώς διαμορφώνεται ο προϋπολογισμός ελέγχου, τεκμηρίωσης, εκπαίδευσης και μέτρων ασφάλειας χωρίς δαπανηρά λάθη.

Για τον καθορισμό ρόλων, τη διασφάλιση της ανεξαρτησίας της αξιολόγησης και τη διαχείριση των ευρημάτων μπορεί να χρησιμοποιηθεί επικουρικά η διάκριση μεταξύ εσωτερικού και εξωτερικού ελέγχου. Αυτό δεν μεταβάλλει τη βασική αρχή: ο έλεγχος KSC έχει δική του νομική βάση, κριτήρια και πεδίο, τα οποία απορρέουν από τις υποχρεώσεις του ελεγχόμενου φορέα. Δεν αποτελεί έναν συνήθη έλεγχο πιστοποίησης συστήματος διαχείρισης, ακόμη και αν χρησιμοποιεί παρόμοιες μεθόδους συλλογής τεκμηρίων και αξιολόγησης της αποτελεσματικότητας των μέτρων.

Το κόστος αυξάνεται στα σημεία διασταύρωσης ευθυνών

Το μεγαλύτερο κόστος προετοιμασίας δεν προκύπτει συνήθως από την απουσία ενός εγγράφου, αλλά από τις ασαφείς διεπαφές μεταξύ κατανεμημένων αρμοδιοτήτων. Αυτό αφορά ιδίως τη σχέση μεταξύ πληροφορικής και επιχειρησιακών λειτουργιών, εταιρείας και ομίλου, αναθέτοντος φορέα και προμηθευτή, καθώς και ιδιοκτήτη διεργασίας και ιδιοκτήτη συστήματος. Όταν κανένα μέρος δεν έχει σαφή ευθύνη για τον κίνδυνο, τα συμβάντα, την επιχειρησιακή συνέχεια και την παρουσίαση τεκμηρίων, το κενό παραμένει ανοικτό παρά την τυπική κατανομή ρόλων.

Ο προϋπολογισμός πρέπει να διαμορφώνεται με βάση την επίδραση των κενών στην υπηρεσία και τον κίνδυνο αδυναμίας απόδειξης της αποτελεσματικότητας των μέτρων, όχι βάσει του αριθμού των διαδικασιών που λείπουν. Είναι σκόπιμο να κοστολογούνται χωριστά η ανάλυση κενών, οι οργανωτικές παρεμβάσεις, τα τεχνικά μέτρα, οι δοκιμές, η ανάπτυξη ικανοτήτων, η διαχείριση προμηθευτών και ο ίδιος ο έλεγχος. Τρεις χρήσιμοι δείκτες για τη διαχείριση των πόρων είναι:

• ο αριθμός κρίσιμων κενών που εξαρτώνται από επένδυση ή τροποποίηση σύμβασης·
• ο εκτιμώμενος χρόνος εφαρμογής μέτρων που απαιτούν δοκιμές·
• το ποσοστό του κόστους εκσυγχρονισμού υποδομών που δεν συνδέεται αποκλειστικά με την υποχρέωση συμμόρφωσης.

Τα δυσκολότερα κενά είναι συνήθως εκείνα που απαιτούν τεχνικές αλλαγές, επαναδιαπραγμάτευση συμβάσεων, δοκιμές αποκατάστασης, εξορθολογισμό της προνομιακής πρόσβασης ή ανασχεδιασμό της αναφοράς και κλιμάκωσης συμβάντων. Δεν μπορούν να κλείσουν αξιόπιστα μόνο με την έγκριση μιας διαδικασίας. Για παράδειγμα, ένας πάροχος υπηρεσιών cloud μπορεί να δηλώνει εκτεταμένα μέτρα προστασίας, ενώ ο οργανισμός εξακολουθεί να μην μπορεί να αποδείξει την κατανομή ευθυνών, το δικαίωμα ενημέρωσης για συμβάντα ή τη δυνατότητα απόκτησης των τεκμηρίων που χρειάζεται ο ελεγκτής. Τότε το ζήτημα αφορά ταυτόχρονα τη σύμβαση, την εποπτεία του προμηθευτή, την αρχιτεκτονική της υπηρεσίας και την αποδεικτική ετοιμότητα.

Πριν από τον έλεγχο πρέπει οπωσδήποτε να κλείσουν τα κενά που θέτουν υπό αμφισβήτηση την ικανότητα παροχής της υπηρεσίας, απόκρισης σε συμβάντα ή απόδειξης της λειτουργίας ενός κρίσιμου μέτρου. Για τα υπόλοιπα κενά μπορεί να υιοθετηθεί ελεγχόμενο σχέδιο ενεργειών, εφόσον προσδιορίζει υπεύθυνο, προθεσμία, πόρους, τρόπο περιορισμού του κινδύνου έως την εφαρμογή και απόφαση αποδοχής του υπολειπόμενου κινδύνου στο κατάλληλο διοικητικό επίπεδο. Δεν πρέπει να προηγούνται οι εργασίες που είναι απλώς ευκολότερο να χαρακτηριστούν ολοκληρωμένες. Επίσης, η επιλογή μεταξύ αγοράς εργαλείου και βελτίωσης διεργασίας πρέπει να βασίζεται στη βασική αιτία του κενού και όχι μόνο στη διαθεσιμότητα επενδυτικού προϋπολογισμού.

Ανάλογη πειθαρχία στην κατανομή ευθυνών απαιτείται και στο πεδίο που περιγράφεται στο άρθρο Πώς προετοιμάζεται η ομάδα για έλεγχο πελάτη όταν απαιτούνται APQP, PPAP και ανάλυση βασικών αιτίων, παρότι τα κριτήρια και η βάση αξιολόγησης παραμένουν διαφορετικά.

Ο ελεγκτής θα αξιολογήσει τη λειτουργία, όχι το αρχείο διαδικασιών

Ένα έγγραφο είναι μόνο η αφετηρία της διαδρομής τεκμηρίωσης. Ο ελεγκτής πρέπει να μπορεί να μεταβεί από την απαίτηση και τον αναγνωρισμένο κίνδυνο στον ιδιοκτήτη της διεργασίας, στο εφαρμοζόμενο μέτρο, στην καταγραφή που επιβεβαιώνει την εκτέλεσή του, στο αποτέλεσμα παρακολούθησης και στην αντίδραση σε τυχόν απόκλιση. Μια πολιτική, διαδικασία ή οδηγία δεν αποδεικνύει από μόνη της αποτελεσματικότητα. Απαιτούνται αντικειμενικά τεκμήρια από την κανονική λειτουργία του οργανισμού: αιτήματα, αρχεία συμβάντων, εγκρίσεις, πρακτικά δοκιμών, αποτελέσματα ανασκοπήσεων, αποφάσεις για κινδύνους και ολοκληρωμένες διορθωτικές ενέργειες.

Το πρόγραμμα προετοιμασίας πρέπει να καθορίζει τον τρόπο δειγματοληψίας πραγματικών περιπτώσεων και όχι μόνο έναν κατάλογο εγγράφων προς επίδειξη. Το δείγμα πρέπει να καλύπτει, μεταξύ άλλων, τη χορήγηση και ανάκληση πρόσβασης, τη διαχείριση ευπαθειών, ένα συμβάν, την αποκατάσταση δεδομένων, μια αλλαγή συστήματος, την εκπαίδευση εργαζομένου, την αξιολόγηση προμηθευτή και τη διοικητική ανασκόπηση. Για κάθε δείγμα πρέπει να προσδιορίζονται η πηγή της καταγραφής, ο υπεύθυνος και το κριτήριο αποτελεσματικότητας.

Είναι χρήσιμο να συγκρίνονται ο αριθμός των συμμορφούμενων περιπτώσεων, των αποκλίσεων και των περιπτώσεων χωρίς επαρκή τεκμήρια. Όπου ο οργανισμός πραγματοποιεί μετρήσεις, πρέπει να λαμβάνονται υπόψη ο χρόνος απόκρισης και κλεισίματος συμβάντων, καθώς και τα αποτελέσματα δοκιμών αποκατάστασης, ασκήσεων και ανασκοπήσεων δικαιωμάτων πρόσβασης. Η περίοδος διατήρησης των τεκμηρίων πρέπει να επιτρέπει την αξιολόγηση της επαναληψιμότητας της διεργασίας και να καλύπτει γεγονότα σημαντικά για τον κίνδυνο. Δεν πρέπει να καθορίζεται αποκλειστικά με βάση την ημερομηνία του ελέγχου.

Η διαδικασία ανάκλησης δικαιωμάτων δεν αποτελεί επαρκές τεκμήριο, αν ένα δείγμα λογαριασμών πρώην εργαζομένων αποκαλύψει καθυστερήσεις, λογαριασμούς που παραμένουν ενεργοί ή απουσία επιβεβαίωσης εκτέλεσης. Ο ελεγκτής μπορεί να συγκρίνει στοιχεία ανθρώπινου δυναμικού, αιτήματα στο σύστημα υποστήριξης, εγγραφές καταλόγου και αρχεία δραστηριότητας. Τα τεκμήρια που παράγονται αυτοματοποιημένα από εργαλεία έχουν αξία εφόσον μπορεί να αποδειχθεί η πληρότητά τους, η αξιόπιστη χρονική σήμανση και η σύνδεσή τους με συγκεκριμένη περίπτωση. Οι αποφάσεις αποδοχής κινδύνου, εξαίρεσης, κλεισίματος συμβάντος ή έγκρισης προμηθευτή απαιτούν εγκεκριμένη καταγραφή με σαφώς προσδιορίσιμη ευθύνη.

Ο εσωτερικός δοκιμαστικός έλεγχος πρέπει να αναπαράγει τη λογική αξιολόγησης του εξωτερικού ελεγκτή: από το κριτήριο και το δείγμα έως την αξιολόγηση εφαρμογής και αποτελεσματικότητας. Δεν πρέπει, όμως, να διενεργείται από πρόσωπα που αξιολογούν τη δική τους εργασία. Για τον έλεγχο της εποπτείας τρίτων μερών, χρήσιμο πλαίσιο προσφέρει το άρθρο Έλεγχος προμηθευτή στην πυρηνική ενέργεια – τι εξετάζεται και πώς προετοιμάζεται μια επιχείρηση πριν από την αξιολόγηση, με σαφή διατήρηση της διάκρισης μεταξύ των αντίστοιχων κριτηρίων.

Ένα υφιστάμενο σύστημα διαχείρισης μπορεί να παρέχει μηχανισμούς ελέγχου τεκμηριωμένων πληροφοριών, εσωτερικών επιθεωρήσεων, διορθωτικών ενεργειών και ανασκοπήσεων από τη διοίκηση. Είναι προτιμότερο να αξιοποιηθούν αυτοί οι μηχανισμοί αντί να δημιουργηθεί παράλληλη ροή εργασιών. Ένα υφιστάμενο πιστοποιητικό, ωστόσο, δεν υποκαθιστά την απόδειξη συμμόρφωσης με τα κατάλληλα κριτήρια KSC. Το αποτέλεσμα εξαρτάται από το αν τα μέτρα λειτουργούν εντός του καθορισμένου πεδίου και αν ο οργανισμός μπορεί να παρουσιάσει συνεπή και αξιόπιστα τεκμήρια εφαρμογής τους.

Οι προμηθευτές εντάσσονται στο πεδίο

Η ανάθεση της συντήρησης συστημάτων, της επεξεργασίας δεδομένων ή της παρακολούθησης ασφάλειας δεν μεταφέρει την ευθύνη του βασικού φορέα στον ανάδοχο. Ο προμηθευτής μπορεί να εφαρμόζει μέτρα και να διαχειρίζεται συμβάντα, αλλά ο οργανισμός εξακολουθεί να οφείλει να κατανοεί τον σχετικό κίνδυνο, να καθορίζει απαιτήσεις και να αποδεικνύει αποτελεσματική εποπτεία. Η προετοιμασία για τον έλεγχο πρέπει, επομένως, να περιλαμβάνει και τις εξωτερικές υπηρεσίες από τις οποίες εξαρτώνται η επιχειρησιακή συνέχεια, η εμπιστευτικότητα των πληροφοριών ή η διαθεσιμότητα των συστημάτων.

Το βάθος της αξιολόγησης πρέπει να εξαρτάται από την κρισιμότητα του προμηθευτή. Σημασία έχουν η επίδραση μιας αστοχίας στην υπηρεσία, η έκταση της πρόσβασης σε πληροφορίες και συστήματα, η δυνατότητα αντικατάστασης του αναδόχου, η συμμετοχή υπεργολάβων, ο τόπος επεξεργασίας και η πραγματική δυνατότητα απόκτησης τεκμηρίων. Προμηθευτές περιορισμένης επίδρασης μπορούν να αξιολογούνται μέσω ερωτηματολογίου και ανασκόπησης εγγράφων. Για στρατηγικούς συνεργάτες μπορεί να δικαιολογούνται συνεντεύξεις, δοκιμές επιχειρησιακής συνέχειας, ανάλυση επιχειρησιακών καταγραφών ή έλεγχος δεύτερου μέρους.

Αν ένας προμηθευτής αρνείται δικαίωμα ελέγχου, ο οργανισμός πρέπει να καθορίσει εναλλακτικά τεκμήρια, να αξιολογήσει τον υπολειπόμενο κίνδυνο και να αποφασίσει αν απαιτούνται πρόσθετα μέτρα, επαναδιαπραγμάτευση της σύμβασης ή σχέδιο εξόδου. Μια απλή δήλωση του προμηθευτή ή το πιστοποιητικό που διαθέτει μπορεί να μην επαρκεί, όταν δεν καλύπτει τη συγκεκριμένη υπηρεσία, εγκατάσταση ή επιχειρησιακό πεδίο.

Ένα συνηθισμένο κενό προκύπτει όταν η σύμβαση καθορίζει τη διαθεσιμότητα της υπηρεσίας, αλλά δεν ορίζει προθεσμία ενημέρωσης για συμβάν, κανόνες συνεργασίας κατά την ανάλυση αιτιών ή δικαίωμα επαλήθευσης των ενεργειών του προμηθευτή. Αυτό δεν αποτελεί απλώς τυπική έλλειψη. Χωρίς τέτοιους όρους, ο οργανισμός μπορεί να μη λάβει εγκαίρως τα δεδομένα που χρειάζεται για να αξιολογήσει τις επιπτώσεις, να λάβει αποφάσεις και να παρουσιάσει στον ελεγκτή μια συνεπή ακολουθία απόκρισης. Ένα συμβατικό κενό δεν διορθώνεται μόνο με εσωτερική διαδικασία.

Η ανασκόπηση συμβάσεων και παραρτημάτων ασφάλειας πρέπει να καλύπτει τις υποχρεώσεις προστασίας πληροφοριών, την αναφορά συμβάντων, την επιχειρησιακή συνέχεια, την υπεργολαβία, τη λήξη της συνεργασίας, την επιστροφή ή διαγραφή δεδομένων, την πρόσβαση σε τεκμήρια και τους κανόνες επαλήθευσης. Η πρόοδος της προετοιμασίας μπορεί να μετράται με τον αριθμό των κρίσιμων προμηθευτών, το ποσοστό συνεργατών με επικαιροποιημένη αξιολόγηση κινδύνου και τεκμήρια εποπτείας, τον αριθμό συμβάσεων που απαιτούν συμπλήρωση και τις υπηρεσίες χωρίς επιβεβαιωμένο σχέδιο συνέχειας ή εξόδου. Η μεθοδολογία της εις βάθος επαλήθευσης αναπτύσσεται στο άρθρο «Πώς προετοιμάζεται μια επιχείρηση για έλεγχο δεύτερου μέρους σε κρίσιμο προμηθευτή;».

Σχέδιο έως την πρώτη αξιολόγηση

Το πρόγραμμα προετοιμασίας πρέπει να ακολουθεί καθορισμένη σειρά: επιβεβαίωση του καθεστώτος του φορέα και των κατάλληλων νομικών κριτηρίων, οριοθέτηση του περιβάλλοντος που θα αξιολογηθεί, ανάθεση ευθυνών, ανάλυση κινδύνων και κενών και, στη συνέχεια, έγκριση σχεδίου διορθωτικών ενεργειών. Ο δοκιμαστικός έλεγχος έχει νόημα μόνο αφού εφαρμοστούν οι ενέργειες και συγκεντρωθούν καταγραφές από τη λειτουργία τους. Τα αποτελέσματά του πρέπει να οδηγούν στην εξάλειψη των αιτίων των μη συμμορφώσεων και όχι μόνο των συμπτωμάτων τους, καθώς και σε τελική ανασκόπηση ετοιμότητας από τη διοίκηση.

Το χρονοδιάγραμμα καταρτίζεται αντίστροφα από την προθεσμία που προκύπτει από τις εκάστοτε ισχύουσες διατάξεις ή από επίσημη απόφαση που αφορά τον συγκεκριμένο φορέα. Δεν υπάρχει μία ενιαία ασφαλής ημερομηνία έναρξης για όλους τους οργανισμούς. Εξαρτάται από το νομικό καθεστώς, το τεχνικό πεδίο, την ωριμότητα των μέτρων, τον αριθμό εξωτερικών εξαρτήσεων και τον χρόνο που απαιτείται για τη δημιουργία καταγραφών οι οποίες αποδεικνύουν τη λειτουργία. Η διοίκηση πρέπει να εγκρίνει τις προτεραιότητες με βάση τη σημασία των κινδύνων και τις αλληλεξαρτήσεις των εργασιών, όχι με βάση το πόσο εύκολα μπορούν να κλείσουν οι ενέργειες του χρονοδιαγράμματος.

Μια εργασία που χαρακτηρίζεται ολοκληρωμένη επειδή δημοσιεύτηκε η σχετική διαδικασία παραμένει στην πραγματικότητα ανοικτή, έως ότου η διαδικασία εφαρμοστεί, ελεγχθεί σε αντιπροσωπευτικό δείγμα και επιβεβαιωθεί με καταγραφή. Το ίδιο ισχύει για τα τεχνικά μέτρα, τη διαχείριση συμβάντων, τα σχέδια συνέχειας και την εποπτεία προμηθευτών. Η ετοιμότητα για έλεγχο απαιτεί τεκμήρια ολόκληρου του κύκλου λειτουργίας: απόφαση, εκτέλεση, έλεγχο αποτελέσματος και αντίδραση σε διαπιστωμένη απόκλιση. Όταν το κενό αφορά τους όρους συνεργασίας με εξωτερικό φορέα, χρήσιμο πλαίσιο προσφέρει το άρθρο Έλεγχος προμηθευτή πριν από την υπογραφή σύμβασης – πώς περιορίζεται ο κίνδυνος ποιότητας και έγκαιρης παράδοσης.

Η αναφορά προς τη διοίκηση δεν πρέπει να περιορίζεται στο ποσοστό υλοποίησης του σχεδίου. Η διοικητική πληροφόρηση πρέπει να περιλαμβάνει:

• τον αριθμό των κενών ανά επίπεδο σοβαρότητας, μαζί με τον υπεύθυνο και την προθεσμία κλεισίματος·
• το ποσοστό των μέτρων που επιβεβαιώνονται με καταγραφές·
• τους ανοικτούς κινδύνους που έχουν γίνει αποδεκτοί από το κατάλληλο επίπεδο διοίκησης·
• τα εμπόδια, όπως απουσία υπευθύνου, μη εφαρμοσμένο μέτρο, μη δοκιμασμένο σχέδιο, μη συμφωνημένη σύμβαση ή κενό χωρίς αξιόπιστο τεκμήριο κλεισίματος.

Η επιλογή του φορέα που θα διενεργήσει τον έλεγχο πρέπει να αρχίσει αρκετά νωρίς, αλλά αφού επαληθευτούν οι ισχύουσες απαιτήσεις του KSC για τον ανάδοχο και την τεκμηρίωση των αποτελεσμάτων. Η τιμή δεν μπορεί να αποτελεί το μοναδικό κριτήριο. Πρέπει να αξιολογούνται οι απαιτούμενες εξουσιοδοτήσεις, η ανεξαρτησία, η τομεακή επάρκεια, η μεθοδολογία και η ικανότητα ελέγχου του πραγματικού τεχνικού περιβάλλοντος. Η συμφωνία με τον ανάδοχο δεν υποκαθιστά τον δοκιμαστικό έλεγχο ούτε την ανασκόπηση από τη διοίκηση. Κλείνει μόνο το οργανωτικό μέρος της προετοιμασίας για την επίσημη αξιολόγηση.

Ο πρώτος έλεγχος KSC πρέπει να αντιμετωπίζεται ως αξιολόγηση της ικανότητας του οργανισμού να διαχειρίζεται την ασφάλεια των υπηρεσιών και όχι ως εφάπαξ ανασκόπηση τεκμηρίωσης. Ένας φορέας είναι έτοιμος μόνο όταν μπορεί να αιτιολογήσει το καθεστώς και το πεδίο του, να κατονομάσει τους ιδιοκτήτες κινδύνων, να αποδείξει τη λειτουργία των μέτρων και να παρουσιάσει αξιόπιστα τεκμήρια εποπτείας των διεργασιών και των προμηθευτών.