Nadzor ne zanima postoji li sigurnosna politika negdje na mrežnom disku. Zanima ga može li organizacija pokazati da se politika stvarno provodi, tko je odgovoran, kada je kontrola zadnji put provjerena i što je učinjeno kada je otkriven nedostatak. Zato pitanje koji su dokazi za cyber usklađenost nije administrativno pitanje. To je pitanje dokazive sposobnosti organizacije da upravlja kibernetičkim rizicima.
Za subjekte obuhvaćene Zakonom o kibernetičkoj sigurnosti, Uredbom o kibernetičkoj sigurnosti i NIS2 obvezama, dokaz nije samo dokument. Dokaz je provjerljivi trag koji povezuje regulatorni zahtjev, uspostavljenu kontrolu, njezinu stvarnu primjenu i odgovornu osobu. Kada taj lanac nije vidljiv, ni formalno kvalitetna dokumentacija nije dovoljna.
Dokaz nije isto što i dokument
Politika upravljanja pristupima može biti valjan početni dokaz. Međutim, sama po sebi ne potvrđuje da se korisnički računi pravodobno ukidaju, da se privilegirani pristupi redovito preispituju ili da se višefaktorska autentifikacija primjenjuje ondje gdje je propisana.
U praksi se dokazi promatraju na najmanje tri razine. Prva je dizajn kontrole: postoji li usvojena politika, procedura, odluka ili standard koji jasno uređuje očekivano ponašanje. Druga je provedba kontrole: zapisi iz sustava, zapisnici, izvješća i evidencije koji pokazuju da se aktivnost dogodila. Treća je učinkovitost kontrole: rezultati testiranja, interne provjere, nalazi revizije ili analiza incidenata koji potvrđuju da kontrola ostvaruje svoju svrhu.
Razlika je presudna. Dokument bez operativnog traga pokazuje namjeru. Operativni trag bez jasne politike može pokazati nepovezanu praksu. Organizaciji je potreban cjelovit dokazni paket.
Koji su dokazi za cyber usklađenost po područjima?
Vrsta dokaza ovisi o zahtjevu, veličini organizacije, njezinoj ulozi u lancu opskrbe i stvarnom profilu rizika. Ipak, određene kategorije pojavljuju se u gotovo svakom ozbiljnom programu usklađenosti.
Upravljanje, odgovornosti i odluke uprave
Kibernetička sigurnost mora imati vidljivo mjesto u upravljačkoj strukturi. Relevantni dokazi uključuju odluke o imenovanju odgovornih osoba, opis njihovih ovlasti, zapisnike sa sastanaka na kojima se raspravljalo o kibernetičkim rizicima te izvješća dostavljena upravi.
Posebno su vrijedni zapisi koji pokazuju da uprava ne prima samo općenite informacije, nego donosi odluke: odobrava prioritetne mjere, prihvaća preostali rizik, dodjeljuje resurse ili traži korektivne aktivnosti. Takav trag pokazuje stvarno upravljanje, a ne samo deklarativnu podršku.
Procjena rizika i plan postupanja
Procjena rizika jedna je od najčešće traženih, ali i najčešće nedovoljno povezanih evidencija. Dobar dokaz nije tablica s općenitim opisima prijetnji. Treba pokazati metodologiju, vlasnike rizika, procijenjeni utjecaj i vjerojatnost, postojeće kontrole, preostali rizik te odluku o njegovu prihvaćanju ili smanjenju.
Jednako je važan plan postupanja. Za svaki značajan nedostatak trebalo bi biti vidljivo što se radi, tko je zadužen, koji je rok i u kojem je statusu provedba. Ako je aktivnost odgođena, organizacija treba evidentirati razlog, procjenu posljedica i osobu koja je odgodila rok odobrila.
Identiteti, pristupi i imovina
Evidencije pristupa često daju najkonkretniji odgovor na pitanje provode li se sigurnosne kontrole. To mogu biti izvještaji o korisničkim računima, zapisi o odobravanju privilegiranih pristupa, potvrde periodičnih recertifikacija, evidencije ukinutih računa te konfiguracije višefaktorske autentifikacije.
Uz to, potrebno je održavati inventar informacijske imovine. On ne mora biti savršen popis svakog perifernog uređaja, ali mora omogućiti organizaciji da zna koje sustave štiti, tko je njihov vlasnik, gdje se nalaze podaci i koja je poslovna kritičnost svakog resursa. Bez toga je teško dokazati smisleno upravljanje ranjivostima, sigurnosnim kopijama i kontinuitetom poslovanja.
Upravljanje ranjivostima, promjenama i sigurnosnim kopijama
Izvješće o skeniranju ranjivosti vrijedi samo ako se može povezati s odlukom i provedbom. Dokazni lanac ovdje obično uključuje rezultate skeniranja, klasifikaciju kritičnosti, otvorene naloge za sanaciju, potvrdu primjene zakrpe i, gdje je primjenjivo, obrazloženo prihvaćanje rizika.
Kod upravljanja promjenama, korisni su zapisi o zahtjevu za promjenu, procjeni utjecaja, testiranju, odobrenju i planu povratka na prethodno stanje. Za sigurnosne kopije nije dovoljno dokazati da se kopije izrađuju. Potrebni su rezultati redovitog testiranja povrata podataka, jer tek uspješan povrat potvrđuje da je mjera upotrebljiva u incidentu.
Incidenti, vježbe i kontinuitet poslovanja
Organizacija koja nikada nije imala incident i dalje mora moći dokazati spremnost. To uključuje plan odgovora na incidente, evidenciju kontakata, klasifikaciju incidenata, postupke eskalacije i zapise o provedenim vježbama.
Vježba ne mora uvijek biti tehnički složena simulacija. Stolna vježba s odgovornim osobama može biti vrlo koristan dokaz ako jasno prikazuje scenarij, sudionike, odluke, utvrđene nedostatke i aktivnosti nakon vježbe. Vrijednost nije u formalnosti dokumenta, nego u tome pokazuje li organizacija da je naučila nešto što je zatim unaprijedila.
Ljudi, dobavljači i zaštita podataka
Evidencije edukacije zaposlenika trebaju sadržavati ciljnu skupinu, sadržaj, datum provedbe i potvrdu sudjelovanja. Kod kritičnih uloga korisno je evidentirati dodatne obuke, primjerice za administratore, članove tima za odgovor na incidente ili vlasnike sustava.
Dobavljački rizik zahtijeva više od potpisanog ugovora. Dokazi mogu obuhvatiti sigurnosne upitnike, procjene kritičnosti dobavljača, ugovorne sigurnosne obveze, evidenciju provjera i planove postupanja ako dobavljač ne ispunjava dogovorene zahtjeve. Kada dobavljač obrađuje osjetljive podatke ili podržava kritičnu uslugu, dubina provjere mora biti veća.
Kako izgraditi dokazni lanac koji je spreman za nadzor
Najveća pogreška je prikupljati dokaze tek kada se približi nadzor, interna revizija ili zahtjev uprave. Tada se najčešće pronalaze zastarjele verzije dokumenata, nedostajući zapisi i aktivnosti za koje nitko više ne zna tko je bio odgovoran.
Učinkovitiji pristup počinje mapiranjem obveza na kontrole. Svaki zahtjev treba imati dodijeljenu kontrolu, vlasnika kontrole, učestalost provedbe i očekivanu vrstu dokaza. Primjerice, zahtjev za periodičnim preispitivanjem pristupa treba povezati s konkretnom aktivnošću, odgovornom osobom i izvještajem koji nastaje nakon svakog ciklusa provjere.
Nakon toga treba definirati kriterije kvalitete dokaza. Dokaz mora biti datiran, povezan s konkretnom kontrolom, dovoljno čitljiv za neovisnog pregledavatelja i zaštićen od neovlaštenih izmjena. Snimka zaslona bez izvora, datuma i konteksta često nije dovoljno uvjerljiva. Izvoz iz sustava, potvrđeni zapisnik ili automatizirano izvješće obično imaju veću dokaznu snagu.
Važno je i upravljati verzijama. Ako je politika izmijenjena, treba biti jasno koja je verzija bila važeća u određenom razdoblju i tko ju je odobrio. Ako je kontrola promijenjena zbog novog rizika ili incidenta, taj razlog treba ostati zabilježen.
Automatizacija smanjuje administraciju, ali ne preuzima odgovornost
AI i automatizirano upravljanje dokazima mogu bitno skratiti vrijeme potrebno za prikupljanje, klasifikaciju i analizu dokumentacije. Mogu prepoznati nedostajuće priloge, povezati dokaz s odgovarajućim zahtjevom, upozoriti na zastarjele evidencije i pomoći u izradi izvješća za upravu ili nadležna tijela.
Ipak, automatizacija ne može sama odlučiti je li rizik prihvatljiv za organizaciju niti može zamijeniti odgovornost vlasnika kontrole. Najbolji rezultat nastaje kada tehnologija ukloni ručni rad, a stručne osobe zadrže nadzor nad procjenom, odlukama i iznimkama.
Platforma poput ITrevizija.hr omogućuje organizaciji da dokaze, nesukladnosti, akcijske planove i status provedbe vodi u jedinstvenom kontroliranom okruženju. Time se izbjegava fragmentacija između mapa, poruka e-pošte, tablica i pojedinačnih alata, uz bolju sljedivost za nadzor i internu reviziju.
Kada dokaz nije dovoljan
Dokaz može postojati, a da ipak ne potvrđuje usklađenost. To se događa kada je zastario, kada ne obuhvaća cijeli relevantni opseg ili kada nema poveznicu s obvezom koju bi trebao potvrditi. Primjer je godišnja edukacija provedena samo za uredske zaposlenike, dok administratori i vanjski suradnici s pristupom kritičnim sustavima nisu obuhvaćeni.
Također, nije svaki zahtjev potrebno dokazivati istom količinom dokumentacije. Organizacija s manjim tehnološkim opsegom ne treba stvarati složen dokazni aparat samo radi forme. No mora moći jasno objasniti zašto je određena kontrola primjenjiva, djelomično primjenjiva ili nije primjenjiva te kojim je rizikom ta odluka potkrijepljena.
Prava vrijednost dokaza nastaje kada oni prestanu biti arhiva za nadzor. Ako upravi omogućuju donošenje odluka, vlasnicima sustava otkrivaju otvorene rizike, a timovima jasno pokazuju sljedeću aktivnost, usklađenost postaje operativna disciplina – ne projekt koji se pokreće tek pod pritiskom.