Revizija rijetko zapne zato što organizacija nema sigurnosne mjere. Puno češće zapne zato što ne može brzo i vjerodostojno pokazati kako te mjere djeluju u praksi. Dobar vodič za revizijske dokaze zato ne počinje popisom dokumenata, nego pitanjem: za koju kontrolu trebamo dokazati provedbu, tko je za nju odgovoran i kako će revizor potvrditi da dokaz nije zastario?
Za subjekte obuhvaćene Zakonom o kibernetičkoj sigurnosti, Uredbom o kibernetičkoj sigurnosti i NIS2 obvezama, revizijski dokazi nisu administrativni prilog. Oni su operativni trag upravljanja rizikom, odgovornosti uprave i stvarne sposobnosti organizacije da zaštiti svoje sustave, podatke i kontinuitet poslovanja.
Što su revizijski dokazi i zašto su presudni
Revizijski dokaz je svaka vjerodostojna informacija kojom se potvrđuje da je određena obveza, kontrola ili aktivnost provedena. To može biti formalno odobrena politika, zapisnik o testiranju oporavka, izvještaj o ranjivostima, zapis iz sustava za upravljanje identitetima, evidencija edukacije zaposlenika ili odluka uprave o prihvaćanju rizika.
Međutim, dokument sam po sebi nije automatski dokaz. Politika upravljanja pristupima dokazuje da je pravilo definirano, ali ne i da se pravilo primjenjuje. Za to su potrebni dodatni tragovi: periodični pregled korisničkih prava, evidencija odobrenja, zapisi o deaktivaciji računa i rezultati kontrole privilegiranih pristupa.
Revizor pritom ne traži nužno veliku količinu materijala. Traži povezanost između zahtjeva, kontrole i provjerljivog rezultata. Organizacija koja dostavi deset nepovezanih dokumenata ostavlja slabiji dojam od organizacije koja za svaku obvezu može jasno prikazati vlasnika, postupak, dokaz provedbe i datum posljednje provjere.
Vodič za revizijske dokaze: počnite od zahtjeva, ne od mapa
Najčešća pogreška je otvoriti zajedničku mapu pod nazivom „Revizija” i u nju početi spremati sve dostupne dokumente. Takav pristup brzo stvara duplikate, zastarjele verzije i nejasnoće oko toga što pojedini dokument zapravo dokazuje.
Učinkovitiji pristup polazi od regulatornih i internih zahtjeva. Svaki zahtjev treba prevesti u konkretno pitanje koje se može provjeriti. Primjerice, obveza upravljanja incidentima može se razložiti na pitanje postoji li postupak prijave incidenta, jesu li uloge definirane, jesu li incidenti evidentirani, jesu li provedene vježbe te postoji li proces učenja iz prethodnih događaja.
Za svako od tih pitanja određuje se kontrola i dokaz koji je prati. Tako nastaje matrica sljedivosti: zahtjev je povezan s kontrolom, kontrola s vlasnikom, a vlasnik s aktualnim dokazom. Ta struktura omogućuje da se tijekom nadzora ne traže dokumenti nasumično, nego da se odmah odgovori na pitanje koje revizor postavlja.
Razlikujte dokaz dizajna od dokaza provedbe
Dokazi dizajna potvrđuju da je kontrola osmišljena i formalizirana. U tu skupinu ulaze politike, pravilnici, procedure, matrice odgovornosti i tehničke specifikacije. Oni odgovaraju na pitanje postoji li propisani način rada.
Dokazi provedbe potvrđuju da se taj način rada zaista primjenjuje. To su, primjerice, izvještaji iz sigurnosnih alata, zapisnici o sastancima, tiketi za rješavanje ranjivosti, rezultati testova, zapisi o obuci ili evidencije pregleda dobavljača. Oni odgovaraju na važnije pitanje: djeluje li kontrola u stvarnom poslovanju?
Za većinu područja potrebne su obje vrste dokaza. Organizacija može imati odlično napisanu proceduru izrade sigurnosnih kopija, ali ako nema zapisa o uspješnim kopijama i testovima vraćanja podataka, revizijska vrijednost procedure ostaje ograničena.
Kako procijeniti kvalitetu dokaza
Nisu svi dokazi jednako jaki. Snimka zaslona bez datuma i konteksta može biti korisna pomoćna informacija, ali rijetko bi trebala biti jedini dokaz važnog zahtjeva. Kvalitetan dokaz je relevantan, aktualan, cjelovit i provjerljiv.
Relevantnost znači da dokaz izravno podupire konkretnu kontrolu. Aktualnost znači da se odnosi na razdoblje koje je predmet procjene. Godinu dana star izvještaj o testiranju može pokazati da je aktivnost nekada provedena, ali ne potvrđuje trenutačnu razinu sigurnosti. Cjelovitost znači da nedostajuće stranice, neobjašnjeni izuzeci i nepotpisani zapisnici ne ostavljaju ključna pitanja otvorenima.
Provjerljivost je posebno važna u kibernetičkoj sigurnosti. Dokaz mora imati jasan izvor, datum, vlasnika i po mogućnosti mogućnost neovisne potvrde. Izvoz iz sustava, zapis u službenom alatu ili odobreni zapisnik obično imaju veću težinu od ručno sastavljene tablice bez izvora podataka.
Treba voditi računa i o osjetljivosti materijala. Revizijski dokaz može sadržavati konfiguracije sustava, osobne podatke, nalaze ranjivosti ili poslovno osjetljive informacije. Stoga pristup dokazima treba ograničiti prema ulozi, a osjetljive podatke zaštititi enkripcijom i odgovarajućim pravilima čuvanja. Revizijska spremnost ne smije postati novi sigurnosni rizik.
Odredite vlasništvo i rok valjanosti
Dokazi propadaju kada su „svačija” odgovornost. Za svaku kontrolu mora postojati imenovani vlasnik koji razumije što se dokazuje, gdje se dokaz nalazi i kada ga treba obnoviti. Vlasnik ne mora osobno izrađivati svaki dokument, ali mora biti odgovoran za njegovu potpunost i pravodobnost.
Rok valjanosti ovisi o prirodi kontrole. Evidencija godišnje edukacije ima drugačiji ciklus od dnevnih zapisa nadzora sigurnosnih događaja. Procjena dobavljača može se obnavljati godišnje ili nakon značajne promjene ugovora, dok se dokaz upravljanja promjenama prikuplja kontinuirano.
Praktično je uz svaki dokaz evidentirati datum nastanka, razdoblje na koje se odnosi, datum sljedeće provjere i status. Time se izbjegava situacija u kojoj se neposredno prije nadzora otkrije da je ključni dokument istekao ili da nitko ne zna može li se još smatrati važećim.
Neusklađenost nije isto što i nedostatak dokumenta
Nedostatak dokaza može upućivati na neusklađenost, ali nije uvijek isto što i nepostojanje kontrole. Ponekad se aktivnost provodi, no nije evidentirana na način koji je revizijski dokaziv. To je i dalje problem, jer organizacija ne može pouzdano dokazati vlastito postupanje, ali korektivna mjera može biti drugačija od potpune izgradnje nove kontrole.
S druge strane, dokument koji postoji bez stvarne provedbe predstavlja ozbiljniji rizik. Uprava tada može imati formalni osjećaj pokrivenosti, dok operativni rizik ostaje otvoren. Procjena treba razlikovati ova dva slučaja kako bi plan usklađivanja bio realan, prioritetan i mjerljiv.
Uspostavite kontinuirani proces, a ne projekt pred nadzor
Prikupljanje dokaza jednom godišnje stvara pritisak, povećava mogućnost pogreške i troši vrijeme stručnjaka koji bi se trebali baviti stvarnim sigurnosnim rizicima. Kontinuirani model omogućuje da se dokazi prikupljaju uz redovne procese: nakon odobrene promjene, nakon provedene vježbe, nakon pregleda pristupa ili nakon zatvaranja sigurnosnog incidenta.
Takav model zahtijeva centralno mjesto za upravljanje dokazima, jasne uloge i pregled statusa po zahtjevima. Korisno je automatski upozoravati na dokaze kojima istječe valjanost, otvorene neusklađenosti i aktivnosti koje kasne. Ručno održavane tablice mogu poslužiti manjim organizacijama s ograničenim opsegom, ali postaju teško održive kada je više lokacija, sustava, vlasnika i regulatornih obveza.
Platforma poput ITrevizija.hr može povezati zahtjeve, dokaze, procjene i korektivne aktivnosti u jedinstven proces. AI analiza pritom može pomoći prepoznati pokriva li dostavljeni dokument doista traženi zahtjev, označiti nedostajuće elemente i ubrzati pripremu izvješća. Konačnu odgovornost ipak zadržavaju imenovani vlasnici kontrola i uprava, osobito kod procjene prihvatljivosti rizika.
Što revizijska mapa treba omogućiti u praksi
Dobra struktura ne mora biti komplicirana, ali mora omogućiti brzo snalaženje. Revizor ili interni tim trebaju za svaki zahtjev moći vidjeti opis kontrole, odgovornu osobu, povezane dokaze, status usklađenosti, uočene nedostatke i plan korektivnih aktivnosti.
Posebno je vrijedno zadržati povijest izmjena. Ako se politika promijeni, važno je znati kada je nova verzija odobrena, što se promijenilo i jesu li povezane kontrole prilagođene. Ako je kontrola privremeno izuzeta, odluka treba imati obrazloženje, odobrenje i rok ponovne procjene.
Najbolji revizijski dokaz nije onaj koji izgleda najformalnije, nego onaj koji bez dodatnog tumačenja pokazuje da organizacija upravlja obvezama, rizicima i odstupanjima. Kada su zahtjev, kontrola, vlasnik i dokaz trajno povezani, nadzor prestaje biti hitna potraga za datotekama i postaje provjera procesa koji već djeluje.