Kada nadzor zatraži dokaz provedene kontrole, organizaciji ne pomaže odgovor da je politika usvojena, da se sigurnost redovito razmatra ili da je odgovorna osoba sigurna kako se postupak provodi. Potrebni su datum, vlasnik aktivnosti, zapis, odobrenje, rezultat provjere i veza s konkretnim zahtjevom. Upravo je dokaziva usklađenost razlika između deklarirane namjere i sposobnosti organizacije da svoju usklađenost vjerodostojno pokaže.
Za subjekte obuhvaćene Zakonom o kibernetičkoj sigurnosti, Uredbom o kibernetičkoj sigurnosti, ZKS-om i NIS2 zahtjevima to nije administrativna pojedinost. Uprava mora imati pregled nad rizicima i mjerama, odgovorne osobe moraju moći dokazati provedbu, a organizacija mora biti spremna objasniti stanje bez višednevnog traženja datoteka kroz e-poštu, dijeljene mape i osobne arhive zaposlenika.
Što dokaziva usklađenost stvarno znači
Dokaziva usklađenost nije zbirka dokumenata spremljenih za slučaj nadzora. Ona je uređeni sustav u kojem je za svaki primjenjivi zahtjev moguće utvrditi što organizacija radi, tko je za to odgovoran, kojim je dokazom provedba potvrđena i postoji li otvorena neusklađenost.
Primjerice, politika upravljanja pristupima sama po sebi ne dokazuje da se pristupi periodično preispituju. Dokaz nastaje tek kada postoji evidentiran opseg provjere, rezultat, odluka o ukidanju ili zadržavanju prava, odgovorna osoba i datum provedbe. Isto vrijedi za sigurnosne kopije, upravljanje ranjivostima, edukaciju zaposlenika, odgovor na incidente i procjenu dobavljača.
Kvalitetan dokaz mora biti relevantan, vjerodostojan i povezan s obvezom koju potvrđuje. Previše dokaza može biti jednako problematično kao i premalo njih. Ako osoba zadužena za usklađenost mora pregledavati stotine nepovezanih priloga kako bi pronašla jednu potvrdu, proces nije pod kontrolom.
Četiri obilježja dokaza koji vrijedi pred nadzorom
Da bi dokaz imao operativnu vrijednost, treba imati jasnu vezu s kontrolom ili regulatornim zahtjevom, prepoznatljivog vlasnika, datum odnosno razdoblje na koje se odnosi te podatak o statusu provjere. Bez tih elemenata dokument može biti koristan materijal, ali nije pouzdan revizijski trag.
U praksi se najčešće kombiniraju četiri vrste zapisa:
- odobrene politike, procedure, odluke i zapisnici
- tehnički zapisi, konfiguracije, izvještaji alata i dnevnici aktivnosti
- evidencije provedenih kontrola, testiranja, edukacija i preispitivanja
- akcijski planovi, odluke o prihvaćanju rizika i dokazi zatvaranja neusklađenosti
Vrijednost nije u formatu datoteke, nego u kontekstu. Snimka zaslona može potvrditi postavku u određenom trenutku, ali za kontinuiranu kontrolu često neće biti dovoljna bez zapisa o periodičnoj provjeri i odgovornosti.
Zašto organizacije gube kontrolu nad dokazima
Većina problema ne nastaje zato što organizacija ništa ne radi. Nastaje zato što se aktivnosti ne povezuju sustavno s obvezama. IT tim vodi tehničke evidencije, pravna ili compliance funkcija čuva politike, ljudski resursi imaju zapise o edukaciji, a interna revizija radi vlastite radne papire. Svaki dio može biti kvalitetan, ali cjelina ostaje nepregledna.
Dodatni je problem promjena. Zaposlenici mijenjaju uloge, dobavljači se mijenjaju, informacijski sustavi rastu, a procjena primjenjivosti zahtjeva nije statična. Dokaz koji je prije godinu dana bio primjeren može danas biti zastario, odnositi se na ugašeni sustav ili ne pokrivati novi rizik.
Organizacije također često zamjenjuju postojanje dokumentacije sa stvarnom provedbom. Politika bez vlasnika, roka preispitivanja i pratećih zapisa je namjera. Kontrola bez dokaza je pretpostavka. Za upravu i regulatorni nadzor obje situacije stvaraju nepotreban rizik.
Dokaziva usklađenost počinje mapiranjem obveza
Prvi korak nije prikupljanje svega što organizacija posjeduje. To obično proizvodi digitalno skladište bez prioriteta. Potrebno je najprije odrediti koje su obveze primjenjive na organizaciju, kojim sustavima, poslovnim procesima i lokacijama pripadaju te koje kontrole odgovaraju na svaki zahtjev.
Nakon toga za svaku kontrolu treba definirati očekivani dokaz i učestalost njegove obnove. Za upravljanje incidentima to mogu biti plan, evidencija vježbe i zapisi o stvarnim incidentima. Za upravljanje rizicima to mogu biti metodologija, aktualni registar rizika, odluke vlasnika rizika i status mjera. Za upravljanje dobavljačima to mogu biti procjene, ugovorne sigurnosne obveze i periodična preispitivanja.
Takvo mapiranje omogućuje dvije važne stvari. Prvo, odmah pokazuje gdje dokaz nedostaje. Drugo, sprječava da se isti dokument koristi kao općenita potvrda za niz zahtjeva koje zapravo ne pokriva u dovoljnoj mjeri.
Vlasništvo je važnije od same pohrane
Centralizirana pohrana dokaza korisna je samo ako postoji jasno vlasništvo. Svaka kontrola treba imati osobu ili funkciju koja razumije što se dokazuje, kada se dokaz obnavlja i tko provjerava njegovu primjerenost. Vlasnik ne mora osobno izvršiti svaku aktivnost, ali mora moći upravljati njezinim statusom.
Kod većih organizacija odgovornost je često raspodijeljena između CISO-a, IT operacija, vlasnika procesa, pravne funkcije, zaštite podataka i interne revizije. To je normalno. Problem nastaje kada nitko nema objedinjeni pogled na to jesu li dokazi potpuni i jesu li otvorene neusklađenosti dobile vlasnika, rok i plan sanacije.
Od godišnjeg projekta do kontinuirane spremnosti
Priprema za nadzor jednom godišnje može kratkoročno proizvesti uredan paket dokumenata, ali ne rješava osnovni problem. Između dvije provjere organizacija može promijeniti procese, tehnologiju ili razinu rizika, a prethodno stanje prestaje biti pouzdan pokazatelj stvarne usklađenosti.
Kontinuirana spremnost znači da se dokazi prikupljaju i provjeravaju tijekom redovnog rada. Kada se provede pregled privilegiranih računa, rezultat se evidentira tada. Kada se zatvori ranjivost visokog prioriteta, zapis se povezuje s nalazom i odgovornom aktivnošću. Kada uprava prihvati rezidualni rizik, odluka ostaje vidljiva uz rok ponovnog preispitivanja.
Ovaj pristup smanjuje stres pred nadzorom, ali njegova glavna korist nije brže sastavljanje izvješća. Riječ je o boljem upravljanju. Uprava dobiva pregled stvarnog stanja, voditelji procesa vide gdje kasne mjere, a stručni timovi manje vremena troše na dokazivanje već obavljenog posla.
Gdje AI donosi korist, a gdje je potreban stručni sud
AI može znatno ubrzati klasifikaciju dokaza, izdvajanje relevantnih dijelova dokumentacije, prepoznavanje praznina i pripremu izvješća. Posebno je koristan kada organizacija raspolaže velikim brojem politika, tehničkih zapisa i izvještaja različite kvalitete. Umjesto ručnog pregleda svake datoteke, tim može brže dobiti prijedlog povezanosti dokaza i zahtjeva.
Međutim, AI ne preuzima odgovornost za regulatornu interpretaciju ni za odluke uprave. Može signalizirati da zapis o testiranju postoji, ali ne može samostalno odlučiti je li opseg testiranja primjeren kritičnosti sustava ili je li prihvaćanje rizika poslovno opravdano. Zato najbolji rezultat daje spoj automatizacije i stručne validacije.
Platforma ITrevizija.hr taj princip primjenjuje kroz AI upravljanje i analizu dokaza, procjenu usklađenosti, vođenje neusklađenosti i automatizirano izvješćivanje. Cilj nije stvoriti još jedan složen GRC projekt, nego povezati regulatorne zahtjeve s konkretnim dokazima, aktivnostima i statusima koje odgovorne osobe mogu odmah koristiti.
Sigurnost samih dokaza nije sporedno pitanje
Dokazi o usklađenosti često sadrže osjetljive podatke: arhitekture sustava, rezultate ranjivosti, zapise o incidentima, podatke o korisničkim pristupima ili ugovorne informacije. Njihova centralizacija povećava preglednost, ali traži i strogu kontrolu pristupa.
Prije odabira alata organizacija treba provjeriti gdje se podaci obrađuju, kako su zaštićeni, tko im može pristupiti i može li se pristup ograničiti prema ulozi ili pojedinom polju podataka. EU hosting, enkripcija na razini polja, kontrola pristupa i mogućnost on-premise implementacije mogu biti presudni za subjekte s višim sigurnosnim zahtjevima. Rješenje koje pomaže dokazati usklađenost ne smije istodobno stvarati novi rizik za povjerljivost.
Najbolji trenutak za uspostavu dokazivog sustava nije neposredno prije nadzora. Počnite s najvažnijim obvezama, odredite vlasnike i definirajte minimalni skup dokaza koji potvrđuje stvarnu provedbu. Kad je trag rada uredan, nadzor postaje provjera upravljanog procesa, a ne potraga za dokumentima.