Задължителен одит по KSC: кои ключови субекти трябва да се подготвят за първата оценка на съответствието

Подготовката за задължителен одит по KSC не започва с избор на одитор или събиране на процедури. Първо трябва да се потвърди статутът на конкретното юридическо лице, да се определи обхватът на услугите, попадащи под регулацията, и ясно да се разпредели отговорността за рисковете, мерките за сигурност и доказателствата за тяхното действие. Без тези решения организацията може да насочи ресурси към неподходящи области, да пропусне критични зависимости или да влезе в одита с документация, която не отразява реалния модел на предоставяне на услугите. Следователно готовността за първата оценка не се определя от броя на процедурите, а от съгласуваността между правната квалификация, оперативния обхват, управлението на риска и действителната практика.

Кои организации ще бъдат обхванати от първия одит

Първото управленско решение е да се потвърди дали съответното юридическо лице попада в приложното поле на KSC, към коя категория е отнесено и какви одитни изисквания и срокове са приложими към него. Квалификацията трябва да отчита сектора, реално извършваната дейност, размера на организацията и специалните основания, предвидени в действащата нормативна уредба. Ключовите субекти не бива да се приравняват автоматично към досегашните оператори на съществени услуги, нито статутът им да се определя единствено въз основа на кода по PKD. Кодът може да бъде ориентир, но не замества анализа на предоставяните услуги, техните получатели и ролята на организацията в съответния сектор.

Първият работен документ следва да бъде одобрен анализ на приложимостта. В него трябва да се посочат дейностите, обхванати от регулацията, организационните звена, които ги изпълняват, предоставяните услуги, поддържащите ги информационни системи и основанията за приетото становище. Отговорник за процеса по съответствие с KSC може да бъде определена правна функция, функция по съответствие или киберсигурност, но квалификацията следва да бъде официално одобрена от органа, оправомощен да взема решения от името на субекта. При нееднозначни случаи е разумно да се получи правно становище, вместо програмата за подготовка да се изгражда върху недокументирано допускане.

В рамките на корпоративна група статутът на едно дружество не се разпростира автоматично върху останалите. Всяко юридическо лице, неговата дейност, мащаб и специални основания трябва да бъдат оценени поотделно. Едва след това следва да се идентифицират общите центрове за услуги, инфраструктурата, системите и доставчиците. Това разграничение е необходимо при разпределяне на отговорността за риска, определяне на границите на одита и планиране на подготовката на организацията за одит от втора страна при ключов доставчик.

Конкретните прагове, изключения, процедури за идентифициране, вписване или уведомяване, както и одитните срокове, трябва да се проверят спрямо действащата редакция на полския Закон за националната система за киберсигурност и приложимите подзаконови актове. Липсата на официално уведомление сама по себе си не бива да отлага анализа, ако профилът на дейността показва възможност организацията да попадне под регулацията. Едва след потвърждаване на статута може отговорно да се определи обхватът и графикът на първия одит.

Обхватът определя резултата

Най-сериозната грешка при подготовката е обхватът на одита по KSC да се приравни към ИТ отдела. Предмет на оценката е начинът, по който се управлява сигурността на услугите и системите. Поради това границите на одита трябва да включват и оперативните процеси, поддръжката, снабдяването, човешките ресурси, непрекъсваемостта на дейността, управлението на инциденти и управленския надзор. Прекалено тесният обхват пропуска зависимости, съществени за устойчивостта на услугата. Необоснованото включване на цялата организация, от друга страна, увеличава натоварването и затруднява разграничаването на съществените констатации от второстепенните.

Обхватът трябва да се проектира, като се започне от услугите, попадащи под регулацията. След това връзките се проследяват през поддържащите процеси и информация до приложенията, инфраструктурата, локациите, персонала и външните страни. Единствено инвентаризацията на устройствата не показва кои ресурси са критични за предоставянето на услугата и кой носи отговорност за свързания с тях риск. За всяка услуга следва да бъдат определени собственик, зависими процеси, ключови информационни активи, системи, доставчици и доказателства за действието на мерките за сигурност. Картата на зависимостите трябва да позволява проследяване на последствията от недостъпност или нарушение, без да се документират връзки, които не влияят върху оценяваната услуга.

Практическото значение на този подход се вижда ясно при резервните копия. Те могат да се създават навреме, да се наблюдават и да отговарят на процедурата, но ако собственикът на оперативния процес не е определил необходимото време за възстановяване, не може да се потвърди, че техническата мярка съответства на бизнес потребността. По същия начин система, използвана съвместно от няколко дружества, трябва да попадне в обхвата на всяко дружество, чиято регулирана услуга поддържа. Необходимо е обаче ясно да се опише разпределението на отговорностите за администрацията, риска, инцидентите и представянето на доказателства.

Организационните и техническите граници следва да бъдат потвърдени в работна среща със собствениците на услуги и процеси, както и с отговорните лица за непрекъсваемостта на дейността, киберсигурността и ключовите доставчици. Обхватът не може да се определя само след разговор с администратора на инфраструктурата. Резултатът от работната среща трябва да включва списък на анализираните услуги, поддържащите ги системи, локации и доставчици, споделените зависимости и обоснованите изключения. За всяко изключение трябва да бъдат посочени основанието, въздействието върху услугата и собственикът на решението.

Тази карта е и отправна точка за оценяване на ресурсите, разгледани в материала Колко струва внедряването на NIS2 и uKSC – как да се изгради бюджет за одит, документация, обучения и мерки за сигурност без скъпоструващи грешки.

При определяне на ролите, независимостта на оценката и начина на обработване на констатациите може допълнително да се използва разграничението между вътрешен и външен одит. Това не променя основния принцип: одитът по KSC има собствено правно основание, критерии и обхват, произтичащи от задълженията на оценявания субект. Той не е обикновен сертификационен одит на система за управление, дори когато използва сходни методи за събиране на доказателства и оценяване на ефективността на мерките за сигурност.

Разходите нарастват там, където отговорностите се пресичат

Най-големите разходи за подготовка обикновено не възникват там, където липсва документ, а в зоните на разпокъсана отговорност. Това важи особено за взаимодействието между ИТ и оперативните звена, дружеството и корпоративната група, възложителя и доставчика, както и собственика на процеса и собственика на системата. Ако никоя страна не носи еднозначна отговорност за риска, инцидентите, непрекъсваемостта на дейността и представянето на доказателства, несъответствието остава открито въпреки формалното разпределение на ролите.

Бюджетът трябва да се изгради според въздействието на пропуските върху услугата и риска организацията да не може да докаже ефективността на мерките за сигурност, а не според броя на липсващите процедури. Добра практика е отделно да се планират анализът на пропуските, организационните дейности, техническите мерки, изпитванията, развитието на компетентности, управлението на доставчиците и самият одит. Три показателя подпомагат управлението на ресурсите:

• брой критични пропуски, зависещи от инвестиция или промяна на договор;
• очакван срок за внедряване на мерки, които изискват изпитване;
• дял на разходите за модернизация на инфраструктурата, които не произтичат пряко от задължението за съответствие.

Най-трудни за отстраняване обикновено са пропуските, които изискват технически промени, предоговаряне на договори, тестове за възстановяване, систематизиране на привилегирания достъп или преработване на процеса за докладване и ескалиране на инциденти. Те не могат да бъдат надеждно закрити само чрез одобряване на процедура. Например доставчик на облачна услуга може да декларира комплексни мерки за сигурност, докато организацията все още не е в състояние да докаже разпределението на отговорностите, правото си да получава информация за инциденти или възможността да осигури необходимите за одитора доказателства. В такъв случай проблемът засяга едновременно договора, надзора върху доставчика, архитектурата на услугата и готовността за доказване.

Преди одита задължително трябва да бъдат закрити пропуските, които поставят под съмнение способността за предоставяне на услугата, реагиране при инциденти или доказване на действието на ключова мярка за сигурност. За останалите пропуски може да се приеме контролиран план за действие, ако в него са определени собственик, срок, ресурси, начин за ограничаване на риска до внедряването и решение за приемане на остатъчния риск на подходящото управленско ниво. Приоритет не бива да получават задачите, които най-лесно могат да бъдат отбелязани като изпълнени. Изборът между закупуване на инструмент и подобряване на процеса също трябва да произтича от първопричината за пропуска, а не от наличието на инвестиционен бюджет.

Подобна дисциплина при разпределяне на отговорностите е важна и в областта, представена в материала Как да подготвим екипа за клиентски одит, когато се изискват APQP, PPAP и анализ на причините, макар критериите и основанието за оценяване да са различни.

Одиторът ще оцени действието на системата, а не папките с документи

Документът е само началото на доказателствената следа. Одиторът трябва да може да проследи връзката от изискването и идентифицирания риск до собственика на процеса, приложената мярка, записа за нейното изпълнение, резултата от наблюдението и реакцията при установено отклонение. Политиката, процедурата или инструкцията сами по себе си не доказват ефективност. Необходими са обективни доказателства от нормалната работа на организацията: заявки, журнали на събитията, одобрения, протоколи от изпитвания, резултати от прегледи, решения относно риска и приключени коригиращи действия.

Програмата за подготовка трябва да определя начина за подбор на извадки от реални случаи, а не само списък на документите, които ще бъдат представени. Извадката следва да включва, наред с друго, предоставяне и отнемане на достъп, управление на уязвимости, инцидент, възстановяване на данни, системна промяна, обучение на служител, квалификация на доставчик и управленски преглед. За всяка извадка трябва да се определи източникът на записа, отговорното лице и критерият за ефективност.

Полезно е да се съпоставят броят на съответстващите случаи, отклоненията и случаите без достатъчно доказателства. Когато организацията извършва измервания, следва да се включат и времето за реакция и приключване на инциденти, както и резултатите от тестове за възстановяване, учения и прегледи на правата за достъп. Срокът за съхранение на доказателствата трябва да позволява оценка на повторяемостта на процеса и да обхваща събитията, съществени за риска. Той не бива да се определя единствено спрямо датата на одита.

Процедурата за отнемане на права няма да бъде достатъчно доказателство, ако извадката от акаунти на бивши служители разкрие закъснения, все още активни акаунти или липса на потвърждение за изпълнение. Одиторът може да съпостави данни от човешките ресурси, заявки в системата за обслужване, записи в директорията и регистри на активността. Автоматично генерираните от инструментите доказателства имат стойност, ако могат да бъдат потвърдени тяхната пълнота, надеждната времева маркировка и връзката им с конкретния случай. Решенията за приемане на риск, допускане на изключение, приключване на инцидент или квалификация на доставчик изискват одобрен запис с проследима отговорност.

Вътрешната одитна извадка трябва да възпроизвежда логиката на външния одитор: от критерия, през извадката, до оценката на внедряването и ефективността. Одитът обаче не трябва да се извършва от лица, които оценяват собствената си работа. При проверка на надзора върху трети страни полезен контекст предоставя материалът Одит на доставчик в ядрената енергетика – какво се проверява и как да се подготви организацията преди квалификация, като се запази разграничението между критериите за оценяване.

Съществуваща система за управление може да осигурява механизми за контрол на документираната информация, вътрешни одити, коригиращи действия и прегледи от ръководството. Тези механизми следва да се използват, вместо да се изгражда паралелен работен поток. Наличният сертификат обаче не замества доказването на съответствие с приложимите критерии на KSC. Резултатът зависи от това дали мерките действат в определения обхват и дали организацията може да представи последователни и надеждни доказателства за тяхното прилагане.

Доставчиците също попадат в обхвата

Възлагането на поддръжката на система, обработването на данни или наблюдението на сигурността на външен изпълнител не прехвърля отговорността на ключовия субект към доставчика. Доставчикът може да прилага мерки и да обработва инциденти, но организацията продължава да носи отговорност да разбира риска, свързан с услугата, да определя изискванията и да доказва ефективен надзор. Поради това подготовката за одита трябва да включва и външните услуги, от които зависят непрекъсваемостта на дейността, поверителността на информацията или наличността на системите.

Дълбочината на оценката трябва да зависи от критичността на доставчика. От значение са въздействието на евентуален отказ върху услугата, обхватът на достъп до информация и системи, възможността за замяна на изпълнителя, участието на подизпълнители, местоположението на обработването и реалната възможност за получаване на доказателства. Доставчиците с ограничено въздействие могат да бъдат оценявани чрез въпросник и преглед на документи. При стратегически партньори могат да бъдат обосновани интервюта, тестове за непрекъсваемост, анализ на оперативни записи или одит от втора страна.

Когато доставчик отказва право на одит, организацията трябва да определи заместващи доказателства, да оцени остатъчния риск и да реши дали са необходими допълнителни мерки, предоговаряне на договора или план за изход. Декларацията на доставчика или притежаваният от него сертификат може да се окажат недостатъчни, ако не обхващат конкретната услуга, локация или оперативен обхват.

Типичен пропуск възниква, когато договорът определя наличността на услугата, но не посочва срок за предоставяне на информация за инцидент, правила за сътрудничество при анализа на причините или право за проверка на действията на доставчика. Това не е само формален недостатък. Без такива клаузи организацията може да не получи навреме данните, необходими за оценка на последствията, вземане на решение и представяне пред одитора на последователна картина на реакцията. Договорен пропуск не може да бъде компенсиран само с вътрешна процедура.

Прегледът на договорите и приложенията за сигурност трябва да обхваща задълженията за защита на информацията, докладването на инциденти, непрекъсваемостта на дейността, подизпълнителите, прекратяването на отношенията, връщането или изтриването на данни, достъпа до доказателства и правилата за проверка. Напредъкът на подготовката може да се измерва чрез броя на критичните доставчици, дела на партньорите с актуална оценка на риска и доказателства за надзор, броя на договорите, които трябва да бъдат допълнени, както и услугите без потвърден план за непрекъсваемост или изход. Методиката за задълбочена проверка е развита в материала „Как да подготвим организацията за одит от втора страна при ключов доставчик?“

План за подготовка до първата оценка

Подготвителната програма трябва да следва ясна последователност: потвърждаване на статута на субекта и приложимите правни критерии, определяне на границите на оценяваната среда, разпределяне на отговорностите, анализ на риска и пропуските и одобряване на план за коригиращи действия. Пробен одит е обоснован едва след внедряването на действията и натрупването на записи от тяхното функциониране. Резултатите от него трябва да доведат до отстраняване на причините за несъответствията, а не само на симптомите им, както и до заключителен преглед на готовността от ръководството.

Графикът се планира назад от срока, произтичащ от действащата нормативна уредба или от официално решение, приложимо към конкретния субект. Няма един универсален и безопасен срок за започване на подготовката за всички организации. Той зависи от правния статут, техническия обхват, зрелостта на мерките, броя на външните зависимости и времето, необходимо за натрупване на записи, потвърждаващи действието на процесите. Ръководството трябва да одобри приоритетите според значимостта на рисковете и зависимостите между задачите, а не според това колко лесно дадена позиция може да бъде закрита в графика.

Задача, отбелязана като изпълнена след публикуване на процедура, в действителност остава открита, докато процедурата не бъде приложена, проверена върху представителна извадка и потвърдена със запис. Това се отнася и за техническите мерки, управлението на инциденти, плановете за непрекъсваемост и надзора върху доставчиците. Одитната готовност изисква доказателства за целия цикъл: решение, изпълнение, проверка на резултата и реакция при установено отклонение. Ако пропускът засяга условията за работа с външна страна, полезен контекст предоставя материалът Одит на доставчик преди подписване на договор – как да се ограничи рискът за качеството и сроковете.

Докладването към ръководството не трябва да се ограничава до процент на изпълнение на плана. Управленската информация следва да включва:

• брой пропуски по степен на значимост, със собственик и срок за закриване;
• дял на мерките, потвърдени със записи;
• открити рискове, приети от подходящото управленско ниво;
• пречки като липса на собственик, невнедрена мярка, неизпитан план, неуточнен договор или пропуск без надеждно доказателство за закриване.

Изборът на изпълнител на одита е добре да започне достатъчно рано, но след проверка на актуалните изисквания на KSC към одитора и документирането на резултатите. Цената не може да бъде единственият критерий. Следва да се оценят изискваните правомощия, независимостта, секторната компетентност, методиката и способността за проверка на реалната техническа среда. Договарянето с изпълнител не замества пробния одит или прегледа от ръководството. То приключва единствено организационната част от подготовката за формалната оценка.

Първият одит по KSC трябва да се разглежда като проверка на способността на организацията да управлява сигурността на услугите, а не като еднократен преглед на документацията. Субектът е готов едва когато може да обоснове своя статут и обхват, да посочи собствениците на риска, да докаже действието на мерките и да представи надеждни доказателства за надзор върху процесите и доставчиците.