Revizijski dokaz često nije samo dokument koji potvrđuje ispunjenje kontrole. Može sadržavati zapise o incidentima, ranjivostima, korisničkim računima, konfiguracijama, ugovorima, procjenama rizika ili osobnim podacima. Zato pitanje kako zaštititi revizijske dokaze enkripcijom nije isključivo tehničko pitanje IT odjela, nego dio upravljanja regulatornim, operativnim i reputacijskim rizikom.
Za organizacije obuhvaćene Zakonom o kibernetičkoj sigurnosti, ZKS-om i NIS2 obvezama nije dovoljno dokaz pohraniti na zajednički disk ili ga poslati e-poštom. Potrebno je moći dokazati tko mu je pristupio, je li izmijenjen, gdje se nalazi, koliko dugo se čuva i ostaje li zaštićen ako dođe do krađe uređaja, pogrešne dodjele ovlasti ili kompromitacije korisničkog računa. Enkripcija je ključan dio tog odgovora, ali samo ako je provedena zajedno s kontrolom pristupa i upravljanjem ključevima.
Zašto su revizijski dokazi posebno osjetljivi
U redovitom poslovanju pojedinačni dokument može djelovati bezazleno. Međutim, skup revizijskih dokaza daje vrlo preciznu sliku sigurnosnog stanja organizacije: koje sustave koristi, koje kontrole nedostaju, gdje su utvrđene neusklađenosti i tko je odgovoran za njihovo uklanjanje. U pogrešnim rukama takve informacije mogu olakšati napad ili uzrokovati ozbiljnu povredu povjerljivosti.
Rizik dodatno raste tijekom nadzora i internih revizija. Dokazi se tada prikupljaju iz različitih izvora, kopiraju u radne mape, razmjenjuju s vanjskim suradnicima i povezuju s izvješćima. Svako dodatno spremište, preuzimanje ili privremena kopija povećava površinu napada.
Enkripcija smanjuje posljedice neovlaštenog pristupa tako što podatak čini nečitljivim bez odgovarajućeg ključa. No ona ne sprječava ovlaštenog korisnika da dokument pogrešno podijeli niti zamjenjuje klasifikaciju podataka. Njezina je stvarna vrijednost najveća kada je ugrađena u jasno definiran proces upravljanja dokazima.
Kako zaštititi revizijske dokaze enkripcijom na svim razinama
Učinkovita zaštita ne temelji se na jednoj postavci. Potrebno je pokriti podatke dok miruju, dok se prenose i dok se obrađuju u poslovnom sustavu.
Enkripcija podataka u pohrani
Dokazi pohranjeni u sustavu za upravljanje usklađenošću, datotečnom spremištu, bazi podataka, sigurnosnim kopijama ili na prijenosnom računalu trebaju biti šifrirani u mirovanju. U praksi se najčešće primjenjuje AES-256 ili druga suvremena, provjerena enkripcija koju podržava odabrana platforma i organizacijska politika sigurnosti.
Važno je razlikovati enkripciju cijelog diska od zaštite pojedinačnih podataka. Enkripcija diska štiti uređaj u slučaju krađe ili gubitka, ali ne mora ograničiti korisnika koji je već prijavljen u sustav. Za posebno osjetljiva polja, poput nalaza procjene rizika, identiteta prijavitelja incidenta ili podataka o ranjivostima, korisna je enkripcija na razini polja. Ona smanjuje broj osoba i komponenti koje mogu vidjeti sadržaj u čitljivom obliku.
Enkripcija prijenosa i kontrola dijeljenja
Dokaz nije zaštićen samo zato što je šifriran u repozitoriju. Zaštita mora vrijediti i tijekom prijenosa između korisničkog preglednika, aplikacije, integriranih sustava i usluge za pohranu. To podrazumijeva uporabu suvremenih TLS protokola, ispravno upravljanje certifikatima i zabranu nesigurnih kanala razmjene.
Poseban oprez potreban je pri suradnji s vanjskim revizorima i savjetnicima. Umjesto slanja privitaka e-poštom, sigurnije je koristiti kontrolirani prostor u kojem se pristup dodjeljuje određenoj osobi, za određeno razdoblje i samo potrebnim dokumentima. Pravo pregleda često je primjerenije od prava preuzimanja. Ako je preuzimanje nužno, organizacija treba znati koja je verzija preuzeta, kada i od koga.
Enkripcija tijekom obrade
Podaci su najizloženiji kada se otvore, analiziraju ili izvoze u izvješće. Potpuna enkripcija tijekom obrade nije uvijek izvediva za svaku aplikaciju, ali se rizik može značajno smanjiti segmentacijom ovlasti, izoliranim radnim okruženjima i minimiziranjem podataka koje pojedini korisnik vidi.
Primjerice, osoba zadužena za prikupljanje dokaza može vidjeti status dostave i metapodatke dokumenta, dok pristup punom sadržaju ima samo vlasnik kontrole ili ovlašteni revizor. Takav pristup smanjuje nepotrebnu izloženost bez usporavanja procesa usklađivanja.
Upravljanje ključevima je važnije od samog algoritma
Enkripcija je pouzdana onoliko koliko je pouzdano upravljanje kriptografskim ključevima. Ako se ključ nalazi u istoj mapi, istoj bazi ili pod istim administratorskim računom kao i šifrirani dokumenti, zaštita može biti samo prividna.
Ključeve treba čuvati odvojeno od podataka, uz strogo ograničen pristup i evidentiranje svake administrativne radnje. Za osjetljive sustave primjereno je koristiti namjenski servis za upravljanje ključevima ili hardverski sigurnosni modul. Odabir ovisi o veličini organizacije, klasifikaciji dokaza, regulatornim obvezama i arhitekturi sustava, ali temeljna pravila ostaju ista.
Ključevi se trebaju redovito rotirati, a postupak opoziva mora biti unaprijed definiran. Kada zaposlenik promijeni ulogu, napusti organizaciju ili se posumnja na kompromitaciju računa, nije dovoljno samo deaktivirati korisnički pristup. Potrebno je provjeriti postoje li aktivne poveznice, izvezeni dokumenti, dijeljeni pristupi i ključevi koji zahtijevaju zamjenu.
Jednako je važno planirati oporavak. Gubitak ključa može podatke učiniti trajno nedostupnima, što je problem ako su dokazi potrebni za regulatorni nadzor, sudski postupak ili dokazivanje provedene kontrole. Postupak sigurnosne pohrane ključeva mora zato biti zaštićen, testiran i dostupan samo prema načelu podijeljene odgovornosti.
Enkripcija bez kontrole pristupa nije dovoljna
Najčešća pogreška jest pretpostavka da enkripcija sama rješava povjerljivost. U stvarnosti, najveći broj incidenata povezan je s pogrešno dodijeljenim ovlastima, kompromitiranim vjerodajnicama i nekontroliranim dijeljenjem, a ne s probijanjem suvremenog kriptografskog algoritma.
Pristup revizijskim dokazima treba temeljiti na načelu najmanjih ovlasti. Korisnik dobiva samo onaj opseg prava koji mu je potreban za njegov zadatak i samo dok mu je potreban. Višefaktorska autentifikacija treba biti obvezna za administratore, vlasnike kontrola i sve korisnike koji mogu pregledavati ili izvoziti osjetljive dokaze.
Uz to, sustav mora voditi neizmjenjiv zapis aktivnosti. Dnevnik treba pokazati tko je prenio dokaz, tko ga je otvorio, izmijenio, označio prihvaćenim, izvezao ili podijelio. Takvi zapisi ne služe samo istrazi nakon incidenta. Oni stvaraju trag dokazivosti koji internom ili vanjskom revizoru pokazuje da organizacija upravlja informacijama disciplinirano i kontrolirano.
Sačuvajte integritet dokaza, ne samo tajnost
Enkripcija prvenstveno štiti povjerljivost, ali revizijski dokaz mora zadržati i integritet. Revizor mora moći vjerovati da dokument nije naknadno izmijenjen bez evidentiranja i da je povezan s pravom kontrolom, razdobljem i odgovornom osobom.
Tu pomažu kriptografski sažeci, vremenske oznake, kontrola verzija i digitalno potpisivanje kada je primjereno. Sažetak dokumenta omogućuje provjeru je li sadržaj promijenjen, dok kontrola verzija pokazuje što se promijenilo, tko je promjenu napravio i je li prethodna verzija sačuvana. Za kritične dokaze, poput odobrenja uprave ili potvrda o provedbi ključnih mjera, digitalni potpis može dodatno ojačati vjerodostojnost.
Ne treba, međutim, svaku datoteku tretirati jednako. Za radne bilješke s niskom razinom osjetljivosti dovoljne mogu biti standardne kontrole repozitorija. Za zapise o sigurnosnim incidentima, procjene kritičnih rizika ili dokumentaciju koja sadržava osobne podatke potreban je stroži režim enkripcije, pristupa i zadržavanja.
Operativni model koji je moguće održavati
Dobra praksa počinje popisom vrsta dokaza i njihovom klasifikacijom. Organizacija zatim za svaku kategoriju određuje vlasnika, dopuštene korisnike, rok čuvanja, mjesto pohrane, obveznu razinu enkripcije i postupak dijeljenja. Time se enkripcija iz tehničke funkcije pretvara u upravljivu poslovnu kontrolu.
Sljedeći korak je uklanjanje nekontroliranih kanala. Lokalni diskovi, privatne mape, nezaštićeni privitci i kopije na osobnim uređajima stvaraju rupe koje ni najbolja centralna platforma ne može u potpunosti zatvoriti. Dokazi trebaju imati jedno vjerodostojno mjesto pohrane, jasnu verziju i vidljiv status.
Na kraju, kontrole treba redovito testirati. Provjerite može li osoba koja je promijenila radno mjesto i dalje otvoriti stare dokaze, jesu li sigurnosne kopije šifrirane, može li se dokaz vratiti bez gubitka ključa te ostavlja li izvoz dokumenta odgovarajući trag. Test koji pokaže nedostatak prije nadzora ili incidenta znatno je jeftiniji od naknadnog objašnjavanja zašto osjetljivi dokaz nije bio zaštićen.
Platforme poput ITrevizija.hr mogu objediniti upravljanje dokazima, evidenciju pristupa, AI analizu dokumentacije i praćenje neusklađenosti, uz EU hosting i enkripciju na razini polja. Time se smanjuje potreba za ručnim prikupljanjem i umnožavanjem datoteka, a uprava dobiva jasniji pregled stvarne razine usklađenosti.
Najbolji trenutak za provjeru zaštite revizijskih dokaza nije dan kada stigne zahtjev nadzornog tijela. To je trenutak kada organizacija još može jednostavno utvrditi gdje su joj dokazi, tko ih vidi i može li u svakom trenutku dokazati da su ostali povjerljivi, cjeloviti i dostupni.