Nakon procjene usklađenosti najteži dio često nije pronaći nedostatak, nego dokazati da će biti riješen na vrijeme i na način koji stvarno smanjuje rizik. Zato pitanje kako izraditi plan sanacije nije administrativna formalnost. Plan sanacije je operativni dokument kojim uprava, CISO, IT i vlasnici poslovnih procesa pretvaraju nalaze procjene, interne revizije ili nadzora u kontrolirane aktivnosti s jasnim ishodom.
Loš plan navodi općenite formulacije poput poboljšati sigurnost pristupa ili ažurirati politike. Dobar plan određuje što se mijenja, zašto je to prioritet, tko je odgovoran, koji su potrebni resursi, kada je mjera provedena i kojim se dokazom potvrđuje njezina učinkovitost. Upravo ta razlika odlučuje hoće li organizacija biti spremna za nadzor ili će samo imati dokument koji izgleda uredno.
Plan sanacije počinje nalazom, a ne mjerom
Prva pogreška nastaje kada se rješenje definira prije razumijevanja problema. Nalaz nesukladnosti mora biti dovoljno precizan da različite osobe u organizaciji jednako razumiju njegov opseg. Nije dovoljno zapisati da nedostaje upravljanje pristupima. Potrebno je utvrditi odnosi li se nedostatak na nepostojanje procedure, neprimjenu postojeće procedure, neadekvatne privilegirane račune, izostanak periodične revizije prava ili nedostatak dokaza o provedenim kontrolama.
Kod obveza povezanih sa Zakonom o kibernetičkoj sigurnosti, Uredbom o kibernetičkoj sigurnosti i NIS2 zahtjevima, svaki nalaz treba povezati s konkretnom obvezom ili kontrolom. Time se izbjegava situacija u kojoj se aktivnost zatvori zato što je dokument izrađen, iako regulatorni zahtjev ili sigurnosni rizik nisu stvarno adresirani.
Dobro definiranje nalaza uključuje opis trenutnog stanja, očekivano stanje, zahvaćene sustave ili procese te posljedicu nepostupanja. Posljedica može biti povećana vjerojatnost incidenta, nemogućnost pravodobnog prijavljivanja, neadekvatna zaštita osobnih podataka, prekid ključne usluge ili nemogućnost dokazivanja usklađenosti tijekom nadzora.
Odredite prioritet prema riziku, ne prema glasnoći problema
Ne mogu se sve nesukladnosti rješavati istim tempom. Organizacija koja pronađe desetke ili stotine nedostataka treba odrediti redoslijed na temelju rizika, a ne prema tome koji je odjel raspoloživ ili koji je problem najjednostavnije zatvoriti.
Prioritet treba uzeti u obzir vjerojatnost iskorištavanja nedostatka, mogući utjecaj na poslovanje, regulatornu težinu, dostupnost kompenzacijskih kontrola i rokove koji proizlaze iz propisa, ugovora ili naloga nadležnog tijela. Posebnu pozornost zaslužuju nedostaci koji utječu na upravljanje incidentima, kontinuitet poslovanja, zaštitu privilegiranih pristupa, upravljanje dobavljačima i sigurnost ključnih informacijskih sustava.
Praktično je koristiti razrede kritično, visoko, srednje i nisko, ali oznaka sama po sebi nije dovoljna. Uz svaki prioritet mora stajati obrazloženje. Primjerice, višefaktorska autentifikacija za udaljeni pristup može biti kritična ako se pristupa sustavima koji podržavaju ključnu uslugu. Ista mjera može imati srednji prioritet za izolirani sustav bez osjetljivih podataka, pod uvjetom da postoje druge djelotvorne kontrole.
Prioritizacija nije jednokratna odluka. Novi incident, promjena poslovnog procesa, nalaz vanjske revizije ili promjena prijetnji mogu promijeniti procjenu rizika. Plan zato mora imati vlasnika i redoviti ritam preispitivanja.
Kako izraditi plan sanacije koji se može provesti
Svaka stavka plana mora biti dovoljno konkretna da se može dodijeliti, pratiti i provjeriti. Umjesto aktivnosti implementirati bolju zaštitu pristupa, primjer je: uvesti višefaktorsku autentifikaciju za sve administrativne i udaljene pristupe, evidentirati iznimke, odobriti ih prema definiranom postupku te provesti mjesečnu kontrolu izvješća o primjeni.
Za svaku mjeru definirajte sljedeće elemente:
- opis korektivne aktivnosti i očekivani rezultat
- vlasnika aktivnosti s ovlasti za provedbu
- suradnike, ovisnosti i potrebne resurse
- rok početka, ciljani rok dovršetka i ključne međurokove
- procijenjeni rizik do provedbe mjere
- dokaz provedbe i kriterij prihvaćanja
- status, preostali rizik i osobu koja odobrava zatvaranje.
Vlasnik aktivnosti nije nužno osoba koja obavlja tehnički posao. Voditelj IT-a može biti vlasnik mjere, dok operativnu konfiguraciju provodi sistemski administrator, a usklađenost potvrđuje funkcija informacijske sigurnosti. Ta podjela mora biti vidljiva jer u suprotnom odgovornost ostaje nejasna, a rokovi se lako pomiču bez formalne odluke.
Rokovi također moraju biti realni. Zahtjev za sanacijom u 30 dana nema vrijednost ako mjera ovisi o nabavi, integraciji s naslijeđenim sustavom ili promjeni ugovora s dobavljačem. U takvim slučajevima plan treba predvidjeti privremenu kompenzacijsku kontrolu, kao što su ograničavanje pristupa, dodatno nadziranje, segmentacija mreže ili pojačana evidencija aktivnosti. Privremena mjera ne smije postati trajna zamjena za rješenje bez odobrenog prihvaćanja preostalog rizika.
Razdvojite korekciju, korektivnu mjeru i dokaz
Ova tri pojma često se pogrešno spajaju. Korekcija uklanja neposredni problem, primjerice deaktivira neaktivni korisnički račun. Korektivna mjera uklanja uzrok problema, primjerice uvodi automatizirani postupak periodične revizije računa i odgovornost vlasnika sustava. Dokaz pokazuje da je mjera stvarno provedena i da se primjenjuje.
Ako se zatvori samo pojedinačni račun, rizik se može brzo vratiti. Ako se napiše procedura bez zapisa o njezinoj primjeni, organizacija ne može pokazati djelotvornost kontrole. Plan sanacije mora obuhvatiti sva tri sloja, posebno kada se radi o ponavljajućim nalazima.
Dokazivost je dio mjere, a ne završni korak
Mnoge organizacije počinju prikupljati dokaze tek neposredno prije revizije ili nadzora. Tada se otkriva da zapisnici nisu potpuni, da odluke nisu odobrene ili da su dokumenti spremljeni na mjestima kojima odgovorne osobe nemaju pristup.
Za svaku aktivnost unaprijed definirajte što će biti prihvatljiv dokaz. To može biti odobrena politika, konfiguracijski zapis, izvješće o ranjivostima, zapisnik o testiranju oporavka, evidencija edukacije, ugovor s dobavljačem, zapis o reviziji pristupa ili izvješće iz sigurnosnog alata. Međutim, dokaz nije samo datoteka. Mora imati datum, vlasnika, verziju, povezanost s mjerom i dovoljno sadržaja da potvrdi ispunjenje kriterija.
Posebno je korisno razlikovati dokaz implementacije od dokaza operativne učinkovitosti. Snimka zaslona konfigurirane kontrole može potvrditi implementaciju. Periodično izvješće, uzorak zapisa ili rezultat testa pokazuje da kontrola radi tijekom vremena. Za regulatornu spremnost potrebna su oba pogleda.
Uprava mora donositi odluke o riziku
Plan sanacije nije isključivo zadatak IT odjela. Neke mjere zahtijevaju promjenu poslovnog procesa, dodatni budžet, angažman dobavljača ili privremeno prihvaćanje rizika. Takve odluke pripadaju razini upravljanja koja razumije poslovne posljedice i ima ovlast odobriti prioritete.
Redovito izvješćivanje upravi treba biti kratko, ali sadržajno: broj otvorenih kritičnih i visokih nalaza, mjere izvan roka, ključne ovisnosti, promjene preostalog rizika i odluke koje se očekuju. Preduga izvješća bez jasne odluke stvaraju privid kontrole, ali ne ubrzavaju sanaciju.
Ako se rok mora pomaknuti, promjenu treba evidentirati s razlogom, procjenom dodatnog rizika i odobrenjem. Time organizacija pokazuje upravljanje, a ne pasivno toleriranje nesukladnosti.
Automatizirajte praćenje, ali zadržite stručnu prosudbu
Ručne tablice mogu poslužiti za manji broj aktivnosti, no brzo postaju nepouzdane kada više timova radi na većem broju kontrola, dokaza i rokova. Problemi se najčešće javljaju u verzijama dokumenata, nejasnom statusu, nedostajućim odobrenjima i nemogućnosti da se brzo pokaže veza između zahtjeva, nalaza, mjere i dokaza.
Platforma za upravljanje usklađenošću može povezati samoprocjenu, nesukladnosti, aktivnosti, odgovorne osobe i revizijske dokaze u jedinstven trag. ITrevizija.hr, primjerice, koristi AI podršku za analizu dokumentacije, upravljanje dokazima i izradu plana usklađivanja, uz kontrolu pristupa, EU hosting i enkripciju na razini polja. Takav pristup smanjuje administrativni rad, ali ne zamjenjuje procjenu stručnjaka o stvarnom riziku i primjerenosti mjere.
Automatizacija je najvrjednija kada upozorava na rokove, otkriva nedostajuće dokaze, prati provedbu i priprema izvješća. Odluku o prihvatljivom preostalom riziku i dalje mora donijeti odgovorna osoba u organizaciji.
Plan sanacije vrijedi onoliko koliko je vidljivo njegovo izvršenje. Kada svaka mjera ima vlasnika, rok, kriterij prihvaćanja i dokaz, usklađenost prestaje biti projekt koji se aktivira prije nadzora i postaje redovit način upravljanja sigurnosnim rizicima.