Nesukladnost nije samo stavka u revizijskom izvješću. Ona može značiti neprovedenu sigurnosnu mjeru, nedostatan dokaz, nejasno dodijeljenu odgovornost ili rizik koji uprava ne vidi na vrijeme. Zato vodič za upravljanje nesukladnostima mora odgovoriti na operativno pitanje: kako nalaz pretvoriti u provjerivu aktivnost koja stvarno smanjuje rizik i zatvara regulatornu obvezu?
Za organizacije obuhvaćene Zakonom o kibernetičkoj sigurnosti, Uredbom o kibernetičkoj sigurnosti i NIS2 zahtjevima, upravljanje nesukladnostima nije jednokratna priprema za nadzor. To je kontinuirani proces koji povezuje samoprocjenu, procjenu rizika, dokumentaciju, vlasnike aktivnosti i revizijske dokaze. Kada je taj lanac prekinut, organizacija može imati politike na papiru, ali ne i dokazivu usklađenost.
Što je nesukladnost i zašto nastaje
Nesukladnost je odstupanje između zahtijevanog i stvarnog stanja. Zahtjev može proizlaziti iz zakona, podzakonskog akta, ugovorne obveze, internog pravilnika, sigurnosnog standarda ili odluke uprave. Stvarno stanje utvrđuje se kroz procjenu, internu ili eksternu reviziju, nadzor, testiranje kontrola ili analizu prikupljenih dokaza.
Primjerice, politika upravljanja incidentima može postojati i biti formalno odobrena, ali ako organizacija nema evidentirane vježbe, zapise o postupanju ili jasno definiran komunikacijski lanac, dokaz provedbe nije potpun. To nije administrativna sitnica. U slučaju incidenta ili nadzora, nedostatak dokaza može biti jednako problematičan kao i nepostojanje same politike.
Najčešći uzroci nisu tehničke prirode. Nesukladnosti često nastaju zato što vlasništvo nad kontrolom nije jasno određeno, aktivnosti se vode u nepovezanim tablicama, dokumenti se ne ažuriraju nakon promjene sustava ili se zatvaranje nalaza prihvaća bez neovisne provjere. U reguliranim sektorima dodatni je problem razlika između formalno dodijeljene odgovornosti i stvarne operativne ovlasti osobe koja aktivnost mora provesti.
Vodič za upravljanje nesukladnostima kroz šest koraka
Učinkovit postupak mora biti dovoljno jednostavan da ga timovi redovito koriste, ali i dovoljno discipliniran da izdrži regulatorni nadzor. Sljedećih šest koraka čine osnovu procesa koji je moguće pratiti, mjeriti i dokazati.
1. Evidentirajte nalaz bez gubitka konteksta
Svaka nesukladnost treba imati jedinstvenu evidenciju. Ona mora sadržavati izvor nalaza, povezani zahtjev, opis stvarnog stanja, pogođene sustave ili poslovne procese, dostupne dokaze, datum utvrđivanja i osobu koja je nalaz evidentirala.
Opis mora biti precizan. Izjava poput „nedostaje dokumentacija” nije dovoljna jer ne govori koja dokumentacija nedostaje, prema kojem zahtjevu ni zašto je važna. Kvalitetnije je evidentirati da za kritični sustav nisu dostupni zapisi o periodičnom preispitivanju pristupnih prava, uz navođenje primjenjivog internog pravila i opsega pregleda.
Dobar zapis štedi vrijeme svim kasnijim sudionicima procesa. Vlasnik aktivnosti ne mora ponovno tražiti kontekst, uprava dobiva jasniju sliku izloženosti, a revizor može pratiti logiku od zahtjeva do dokaza o zatvaranju.
2. Razdvojite simptom od uzroka
Nalaz pokazuje što nije u redu, ali ne nužno i zašto se problem pojavio. Ako se nesukladnost zatvori samo dopunom dokumenta, a proces koji je doveo do propusta ostane isti, vrlo je vjerojatno da će se nalaz ponoviti.
Analiza uzroka treba biti razmjerna riziku. Za manji nedostatak može biti dovoljno utvrditi da nije postojao kalendar periodičnog pregleda. Za značajan nedostatak u upravljanju pristupima, sigurnosnim kopijama ili odgovorom na incidente treba ispitati odgovornosti, tijek odobravanja, tehničke postavke, edukaciju i kontrolne točke.
Ponekad uzrok nije manjak znanja, nego sukob prioriteta. Tim zna što treba učiniti, ali nema odobren budžet, pristup sustavu ili podršku vlasnika procesa. Takav nalaz nije moguće riješiti zadatkom dodijeljenim osobi bez ovlasti. Potrebna je odluka na odgovarajućoj upravljačkoj razini.
3. Procijenite rizik i odredite prioritet
Nisu sve nesukladnosti jednake. Organizacija mora razlikovati nalaz koji stvara neposrednu izloženost kritičnoj usluzi od nalaza koji prvenstveno smanjuje kvalitetu dokumentacije. Prioritet se određuje kombinacijom utjecaja, vjerojatnosti iskorištavanja ili nastanka štete, regulatorne važnosti, opsega zahvaćenih procesa i postojanja kompenzacijskih kontrola.
Kritična nesukladnost, primjerice nepostojanje učinkovitog upravljanja privilegiranim računima, zahtijeva hitne privremene mjere i kratak rok trajnog otklanjanja. Kod manjeg nedostatka u evidenciji edukacije može biti prihvatljiv duži rok, pod uvjetom da je kontrola u praksi provedena i da se dokaz može pouzdano rekonstruirati.
Prioritet ne smije biti određen samo rokom koji je predložio izvršitelj. Uprava, CISO, voditelj usklađenosti ili odgovarajuće upravljačko tijelo moraju imati pregled otvorenih nalaza i prihvaćenih rizika. Prihvaćanje rizika treba biti svjesna, vremenski ograničena i dokumentirana odluka, a ne neformalno odgađanje aktivnosti.
4. Izradite plan korektivnih mjera koji se može provesti
Akcijski plan nije popis želja. Za svaku mjeru potrebno je definirati vlasnika, rok, potrebne resurse, očekivani rezultat i dokaz koji će potvrditi provedbu. Ako mjera zahtijeva više timova, odredite jednu osobu odgovornu za koordinaciju, čak i kada pojedine zadatke izvršavaju IT, pravna služba, ljudski potencijali i vanjski partneri.
Mjera „uspostaviti upravljanje ranjivostima” preširoka je za praćenje. Operativniji plan obuhvaća inventar sustava, pravila skeniranja, klasifikaciju nalaza, rokove za otklanjanje prema kritičnosti, iznimke, izvještavanje i provjeru provedbe. Tek tada se može utvrditi je li kontrola stvarno uspostavljena.
Pritom treba razlikovati korekciju od korektivne mjere. Korekcija rješava trenutačni problem, primjerice dopunjuje nedostajući zapis. Korektivna mjera uklanja uzrok, primjerice uvodi automatizirani podsjetnik, obvezni tijek odobravanja i periodičnu kontrolu potpunosti zapisa. Organizaciji su često potrebne obje razine.
5. Upravljajte dokazima tijekom provedbe, ne na kraju
Prikupljanje dokaza neposredno prije nadzora stvara nepotreban pritisak i povećava rizik od nedosljednosti. Dokazi trebaju nastajati kao prirodni dio provedbe aktivnosti: odobreni zapisnik, konfiguracijski izvod, rezultat testiranja, evidencija edukacije, izvješće o pregledu ili zapis o izvršenoj kontroli.
Važno je da je dokaz povezan s konkretnim zahtjevom i nesukladnošću. Samo spremanje velikog broja dokumenata u zajedničku mapu ne omogućuje preglednost. Osoba koja provjerava zatvaranje mora brzo vidjeti što dokaz potvrđuje, kada je nastao, tko ga je odobrio i odnosi li se na cijeli definirani opseg.
Platforme za upravljanje usklađenošću mogu znatno smanjiti administrativni teret kada povezuju zahtjeve, nalaze, aktivnosti i dokaze u jedinstven zapis. ITrevizija.hr pritom koristi AI podršku za upravljanje i analizu dokaza te praćenje nesukladnosti, dok organizacija zadržava kontrolu nad odlukama, pristupima i osjetljivim podacima.
6. Provjerite učinkovitost prije zatvaranja
Nesukladnost ne treba zatvoriti zato što je rok istekao ili zato što je vlasnik označio zadatak dovršenim. Zatvaranje zahtijeva provjeru da je mjera provedena, da je dokaz vjerodostojan i da je uzrok riješen u prihvatljivoj mjeri.
Provjera može biti pregled dokumentacije, ponovljeno testiranje kontrole, uzorkovanje zapisa ili razgovor s vlasnikom procesa. Kod tehničkih kontrola često je potrebna kombinacija konfiguracijskog dokaza i testa koji pokazuje stvarno ponašanje sustava. Politika bez provedbe nije dovoljna, ali ni tehničko rješenje bez definiranog procesa i odgovornosti nije dugoročno stabilno.
Ako mjera nije potpuno učinkovita, nalaz se ne mora nužno vratiti na početak. Može se otvoriti povezana nesukladnost, produžiti plan uz formalno odobrenje ili uvesti privremena kompenzacijska kontrola. Bitno je da status odražava stvarnost, a ne administrativnu želju da se broj otvorenih stavki smanji.
Pokazatelji koje uprava treba pratiti
Uprava ne treba operativno upravljati svakim pojedinačnim nalazom, ali mora imati pouzdan pregled trendova i izloženosti. Korisni pokazatelji uključuju broj otvorenih nesukladnosti prema kritičnosti, udio aktivnosti izvan roka, prosječno vrijeme otklanjanja, ponovljene nalaze te udio nalaza s provjerenim dokazom o zatvaranju.
Sami brojevi ipak nisu dovoljni. Pad broja otvorenih nesukladnosti može izgledati pozitivno, ali ne govori mnogo ako se kritični nalazi zatvaraju bez testiranja učinkovitosti. S druge strane, privremeni rast broja nalaza nakon kvalitetnije samoprocjene može biti znak veće zrelosti i transparentnosti, a ne pogoršanja sigurnosti.
Posebnu pozornost treba posvetiti starim nalazima koji se stalno odgađaju. Oni najčešće otkrivaju strukturni problem – nedostatak resursa, nejasnu odgovornost, zastarjelu arhitekturu ili rizik koji uprava nije formalno odlučila prihvatiti. Takve stavke zaslužuju upravljačku odluku, ne još jedan podsjetnik.
Od evidencije do stalne spremnosti
Upravljanje nesukladnostima postaje vrijedno tek kada organizacija iz svakog nalaza uči. Ponavljajući nedostaci trebaju utjecati na plan edukacije, procjenu rizika, razvoj internih kontrola i prioritete ulaganja u sigurnost. Tako se proces pomiče od reaktivnog zatvaranja stavki prema upravljanju uzrocima koji stvaraju regulatornu i operativnu izloženost.
Najbolji trenutak za uređivanje tog procesa nije neposredno prije nadzora. To je trenutak kada još imate vremena povezati odgovornosti, dokaze i mjere u sustav koji upravi daje stvarnu sliku stanja, a timovima jasan put do provedive usklađenosti.