Revizijski nalaz bez vlasnika mjere, roka i provjerljivog dokaza nije plan poboljšanja, nego samo popis problema. Dobar primjer akcijskog plana nakon audita pretvara svaku utvrđenu neusklađenost u upravljivu aktivnost: određuje poslovni rizik, odgovornu osobu, potrebne resurse, rok provedbe i kriterij po kojem se potvrđuje zatvaranje nalaza.
Za ključne i važne subjekte obuhvaćene Zakonom o kibernetičkoj sigurnosti (ZKS, NN 14/2024), akcijski plan mora biti povezan s obvezama iz Zakona, Uredbe o kibernetičkoj sigurnosti (NN 135/2024) i stvarnim stanjem organizacije. Nije dovoljno prepisati preporuku revizora. Uprava i imenovani nositelji moraju moći pokazati da su rizik procijenili, mjeru odobrili, proveli i provjerili njezinu djelotvornost.
Što akcijski plan mora sadržavati
Akcijski plan nakon interne revizije, samoprocjene ili neovisne provjere usklađenosti služi upravljanju neusklađenostima. Njegova osnovna zadaća nije samo dokazati da organizacija radi na problemu, nego omogućiti donošenje odluka o prioritetima i resursima.
Svaki zapis u planu treba započeti jasnim opisom nalaza. Umjesto općenite formulacije poput „nedovoljna sigurnost pristupa”, potrebno je navesti što nedostaje i na što se nalaz odnosi: primjerice, „nije uspostavljen dokumentiran postupak periodične revizije privilegiranih korisničkih računa u sustavu za upravljanje poslovnim procesima”. Takav opis povezuje nalaz s konkretnim sustavom, postupkom i dokazom.
Uz opis se navodi relevantni regulatorni zahtjev ili interna politika, procjena rizika te mjera otklanjanja. Procjena prioriteta treba uzeti u obzir utjecaj na kontinuitet usluga, povjerljivost, cjelovitost i dostupnost podataka, ali i ovisnosti o dobavljačima ili drugim projektima. Rok bez procjene rizika često dovodi do toga da se lakši administrativni zadaci zatvore prije mjera koje stvarno smanjuju izloženost organizacije.
Primjer akcijskog plana nakon audita
Sljedeći primjer prikazuje pojednostavljen oblik plana za nalaz povezan s upravljanjem pristupima. Organizacija ga treba prilagoditi svojoj kategorizaciji rizika, organizacijskoj strukturi i opsegu primjenjivih zahtjeva.
| Element plana | Primjer zapisa | |—|—| | Oznaka nalaza | AC-2026-07 | | Utvrđena neusklađenost | Ne postoji potpuni dokaz da se privilegirani pristupi pregledavaju u unaprijed određenim intervalima. | | Povezani zahtjev | Obveza upravljanja rizicima i primjene odgovarajućih mjera upravljanja pristupom, prema primjenjivim zahtjevima ZKS-a, Uredbe i internim pravilima. | | Rizik | Neovlašten ili nepotrebno zadržan privilegirani pristup može povećati posljedice sigurnosnog incidenta. | | Korektivna mjera | Donijeti postupak pregleda privilegiranih pristupa, definirati vlasnike aplikacija, provesti početni pregled i uspostaviti evidenciju odobrenja. | | Vlasnik mjere | Voditelj informacijske sigurnosti, uz izvršnu odgovornost voditelja IT-a i vlasnika aplikacija. | | Rok | 90 dana, uz mjesečno izvješćivanje o napretku. | | Potrebni dokazi | Odobreni postupak, popis privilegiranih računa, zapisnici pregleda, odluke o ukidanju ili zadržavanju pristupa i evidencija provedbe. | | Kriterij zatvaranja | Pregled je proveden za sustave u opsegu, odstupanja su riješena ili prihvaćena kroz formalnu odluku o riziku, a kontrola ima definiran sljedeći ciklus provjere. | | Status | Otvoreno, u tijeku, blokirano, provedeno ili zatvoreno nakon provjere. |
Tablica pokazuje važnu razliku između aktivnosti i rezultata. „Poslati podsjetnik vlasnicima aplikacija” aktivnost je, ali nije korektivna mjera. Mjera je uspostavljena i dokaziva kontrola koja osigurava da se pregled pristupa može ponoviti prema definiranom postupku.
Kako odrediti prioritet i realan rok
Nalazi se ne zatvaraju redoslijedom kojim su zapisani u izvješću. Prvo se rješavaju oni koji mogu imati najveći učinak na obvezne usluge, ključne procese ili sposobnost organizacije da otkrije, odgovori na incident i oporavi se od njega. Prioritet mora biti obrazložen, posebno kada se rok za nalaz višeg rizika produljuje.
Korisna je podjela na kritične, visoke, srednje i niske nalaze, ali sama oznaka nije dovoljna. Za svaki nalaz treba zabilježiti zašto je tako ocijenjen. Nedostatak sigurnosnih kopija nije jednak u svakom okruženju: prioritet ovisi o tome obuhvaća li nalaz podatke i sustave potrebne za pružanje ključne usluge, postoji li alternativni način oporavka i jesu li testovi oporavka uspješni.
Rok mora biti izvediv, ali ne smije skrivati neaktivnost. Ako provedba ovisi o nabavi, vanjskom pružatelju usluge ili većem tehnološkom projektu, plan treba podijeliti na međukorake. Primjerice, privremena kompenzacijska mjera može biti pojačani ručni nadzor pristupa do uvođenja centraliziranog rješenja. Takva mjera smanjuje rizik, ali ne smije se pogrešno prikazati kao trajno zatvaranje osnovnog nalaza.
Odgovornost uprave, vlasnika rizika i izvršitelja
Akcijski plan mora razlikovati vlasnika rizika od izvršitelja zadatka. Vlasnik rizika odgovara za prihvatljivost preostalog rizika i za to da je mjera primjerena poslovnom procesu. Izvršitelj provodi konkretne aktivnosti, poput izrade procedure, konfiguriranja kontrole ili prikupljanja evidencije. CISO, funkcija usklađenosti ili interna revizija mogu pratiti napredak, ali ne bi trebali sami preuzeti operativnu odgovornost vlasnika procesa.
Uprava ima posebnu ulogu kod nalaza koji zahtijevaju promjenu prioriteta, proračuna ili prihvaćanje preostalog rizika. Prihvaćanje rizika mora biti formalna, vremenski ograničena odluka s obrazloženjem i kompenzacijskim mjerama. Ono nije zamjena za korektivni plan kada propis ili interni zahtjev traži provedbu određene kontrole.
Dokazi koji zatvaraju nalaz
Najčešća pogreška je zatvaranje nalaza na temelju dokumenta koji postoji, ali nije primijenjen. Politika bez odobrenja, zapisnik bez potpisanog zaključka ili snimka zaslona bez konteksta mogu biti korisni prilozi, ali rijetko sami dokazuju djelotvornost mjere.
Za svaku mjeru treba odrediti minimalni skup dokaza. Kod upravljanja incidentima to mogu biti odobreni postupak, popis uloga, evidencija vježbe i zapis o naučenim lekcijama. Kod upravljanja dobavljačima to mogu biti procjena dobavljača, ugovorne sigurnosne obveze, evidencija nadzora i odluke o odstupanjima. Kod kontinuiteta poslovanja ključni su rezultati testiranja, a ne samo postojanje plana oporavka.
Neovisna provjera zatvaranja nalaza dodatno povećava vjerodostojnost. Osoba koja provjerava treba potvrditi da je mjera provedena, da dokaz odgovara opisu nalaza i da preostali rizik odgovara odluci organizacije. Ako se nalaz samo administrativno označi zatvorenim, isti se nedostatak često ponovno pojavi pri sljedećoj procjeni.
Automatizacija praćenja bez gubitka upravljačke kontrole
Kod većeg broja zahtjeva i dokaza ručne proračunske tablice brzo postaju nepregledne. Problem nije samo u verzijama dokumenata, nego i u gubitku veze između zakonskog zahtjeva, nalaza, rizika, mjere i dokaza o provedbi.
ITrevizija.hr može pomoći organizacijama da samoprocjenu, analizu dokumentacije i utvrđene nedostatke povežu s planom daljnjeg postupanja prema hrvatskom ZKS/NIS2 okviru. Platforma omogućuje evidentiranje mjera, vlasnika, rokova, rizika i pripadajućih dokaza te praćenje statusa kroz jedan strukturirani zapis. AI analiza može ubrzati pregled dokumentacije i prepoznavanje praznina, ali odluke o primjenjivosti zahtjeva, prioritetu i prihvaćanju rizika ostaju odgovornost organizacije i njezinih ovlaštenih osoba.
Pri odabiru alata treba provjeriti upravljanje pristupima, zaštitu povjerljivih revizijskih dokaza, mjesto pohrane podataka, enkripciju i mogućnost izvoza zapisa za potrebe nadzora ili interne revizije. Automatizacija ima vrijednost kada poboljšava sljedivost odluka, a ne kada samo proizvodi više administracije.
Prije odobravanja plana provjerite tri pitanja
Prvo, može li se iz svakog nalaza jasno vidjeti koji se zahtjev, proces ili rizik rješava? Drugo, postoji li jedna imenovana odgovorna osoba koja može izvijestiti o napretku i preprekama? Treće, može li neovisna osoba na temelju priloženih dokaza zaključiti da mjera stvarno djeluje?
Ako je odgovor na bilo koje pitanje negativan, plan još nije spreman za zatvaranje revizijskog ciklusa. Najkorisniji akcijski plan nije onaj s najviše zatvorenih stavki, nego onaj koji upravi daje pouzdanu sliku preostalog rizika i vodi organizaciju prema dokazivoj, održivoj usklađenosti.