ZKS samoprovjera nije obrazac koji treba što prije ispuniti, nego provjera može li organizacija dokazati da upravlja stvarnim kibernetičkim rizicima. Pitanje kako provesti ZKS samoprovjeru zato treba postaviti operativno: tko je odgovoran za pojedinu mjeru, koji dokaz postoji, koliko je dokaz aktualan i što se događa kada kontrola ne funkcionira kako je predviđeno.
Za upravu je rezultat samoprovjere pregled regulatorne izloženosti i prioriteta ulaganja. Za CISO-a, IT menadžera ili voditelja usklađenosti to je radna mapa koja povezuje zakonske obveze, sigurnosne kontrole, vlasnike aktivnosti i rokove. Dobro provedena samoprovjera smanjuje neizvjesnost prije nadzora, ali i otkriva rizike koje organizacija treba riješiti bez obzira na regulatorni rok.
Što ZKS samoprovjera treba dokazati
Cilj nije samo potvrditi postojanje politika, procedura ili tehničkih rješenja. Samoprovjera treba pokazati da je sustav upravljanja kibernetičkom sigurnošću uspostavljen, da se mjere provode u praksi te da organizacija može predočiti vjerodostojne, ažurne i povezane dokaze.
To uključuje upravljanje rizicima, sigurnost informacijskih sustava i mreža, upravljanje incidentima, kontinuitet poslovanja, kontrolu pristupa, sigurnost dobavljačkog lanca, edukaciju zaposlenika i nadzor provedbe mjera. Točan opseg ovisi o ulozi organizacije, njezinoj veličini, sektoru, kritičnosti usluga i sustavima koji podržavaju te usluge. Zato preuzimanje tuđe kontrolne liste bez prilagodbe vlastitom okruženju stvara privid usklađenosti, a ne dokazivu usklađenost.
Posebnu pozornost zahtijeva razlika između dokumentirane i operativne kontrole. Politika upravljanja pristupima bez zapisa o periodičnim pregledima ovlasti nije potpuni dokaz. Plan odgovora na incident bez evidentirane vježbe i jasnog postupanja jednako je teško obraniti pred nadzorom. Dokument je početak, a ne završetak kontrole.
Kako provesti ZKS samoprovjeru u šest koraka
1. Odredite obuhvat i odgovorne osobe
Prije procjenjivanja odredite koje su poslovne usluge, lokacije, informacijski sustavi, podaci i vanjski pružatelji obuhvaćeni. U praksi su najvažnije usluge čiji bi prekid, kompromitacija ili gubitak integriteta mogao značajno utjecati na korisnike, poslovanje ili sigurnost opskrbe.
Zatim imenujte vlasnika za svako područje. IT može dostaviti konfiguracije, zapise nadzora i tehničke kontrole, ali ne može sam potvrditi poslovni kontinuitet, upravljanje dobavljačima ili odluke uprave. Uključite barem funkcije informacijske sigurnosti, IT-a, pravnih i usklađenosnih poslova, upravljanja rizicima, nabave, ljudskih resursa te vlasnike ključnih poslovnih procesa.
Bez jasnog vlasništva samoprovjera često završi nizom nepotpunih odgovora i velikim brojem otvorenih pitanja. Svaka obveza mora imati odgovornu osobu, a svaka otvorena stavka mora imati rok i osobu koja je ovlaštena zatvoriti je.
2. Prevedite obveze u provjerljive kontrole
Zakonski zahtjev treba pretvoriti u konkretno pitanje na koje se može odgovoriti dokazom. Umjesto općenitog pitanja postoji li upravljanje rizicima, provjerite postoji li metodologija procjene rizika, zadnja procjena, odobrenje nadležnih osoba, registar rizika, plan tretiranja i dokaz periodičnog preispitivanja.
Takav pristup uklanja dvosmislenost. Također razdvaja tri stanja koja se često pogrešno tretiraju jednako: kontrola postoji i učinkovita je, kontrola postoji ali nije dosljedno provedena, te kontrola ne postoji. Drugo stanje je posebno važno jer najčešće otkriva operativni problem, primjerice zakrpe se primjenjuju, ali nema pouzdanog izvještaja o pokrivenosti ili eskalaciji iznimki.
Kontrole grupirajte po područjima kako bi procjena ostala pregledna. Najčešće se provjeravaju upravljanje i odgovornost uprave, procjena rizika, upravljanje imovinom, identiteti i pristupi, upravljanje ranjivostima, sigurnosne kopije, nadzor i evidentiranje događaja, odgovor na incidente, kontinuitet te sigurnost dobavljača.
3. Prikupite dokaze prije davanja ocjene
Ocjena bez dokaza je mišljenje. Dokaz može biti odobrena politika, zapisnik uprave, izvod iz registra rizika, izvještaj o ranjivostima, evidencija edukacije, zapis o testiranju oporavka, ugovorna odredba s dobavljačem ili zapis sigurnosnog sustava. Vrsta dokaza mora odgovarati kontroli koju potvrđuje.
Pri prikupljanju provjerite tri jednostavna kriterija: relevantnost, aktualnost i sljedivost. Relevantan dokaz izravno potvrđuje zahtjev. Aktualan dokaz pokazuje sadašnje stanje, a ne praksu od prije nekoliko godina. Sljediv dokaz ima jasan izvor, vlasnika i datum te ga je moguće brzo pronaći pri internom ili regulatornom pregledu.
Nije svaka kontrola jednako dokumentacijski zahtjevna. Za tehničku mjeru može biti potreban konfiguracijski izvod i zapis redovitog pregleda. Za upravljačku mjeru obično će biti potrebni politika, odluka, zapis provedbe i dokaz nadzora. Ako je dokaz pohranjen u osobnom sandučiću ili na lokalnom disku bez kontrole verzija, organizacija ga u stvarnosti ne može pouzdano koristiti.
4. Ocijenite stanje realno, a ne optimistično
Za svaku kontrolu zabilježite status, obrazloženje, dokaz, vlasnika i posljedicu nedostatka. Korisna podjela je usklađeno, djelomično usklađeno, neusklađeno i nije primjenjivo. Status nije primjenjivo treba koristiti oprezno i uvijek uz jasno obrazloženje temeljeno na stvarnom obuhvatu poslovanja.
Djelomična usklađenost nije neuspjeh. Ona je precizan signal gdje treba djelovati. Primjerice, organizacija može imati višefaktorsku autentifikaciju za administrativne račune, ali ne i za udaljeni pristup svih zaposlenika. Tada je potrebno zabilježiti opseg pokrivenosti, preostali rizik, privremene kompenzacijske mjere i plan dovršetka.
Procjenu ne treba prepustiti samo osobi koja upravlja kontrolom. Neovisni pregled, bilo unutar organizacije ili uz stručnu podršku, smanjuje rizik samopotvrđivanja. Vlasnik procesa poznaje detalje, ali može podcijeniti praznine koje su vidljive tek kada se zahtjev usporedi s dokazom.
5. Prioritizirajte neusklađenosti prema riziku
Popis od pedeset nedostataka nije plan. Svaku neusklađenost procijenite prema utjecaju na ključne usluge, vjerojatnosti iskorištavanja, regulatornoj važnosti, postojećim kompenzacijskim mjerama i složenosti provedbe. Nedostatak segmentacije mreže i kašnjenje u ažuriranju manje važne procedure nemaju istu težinu, iako su obje stavke formalno otvorene.
Akcijski plan mora sadržavati konkretnu aktivnost, vlasnika, rok, potrebne resurse, očekivani dokaz zatvaranja i status provedbe. Rokovi trebaju biti ambiciozni, ali izvedivi. Ako je za provedbu potrebna nabava, promjena arhitekture ili ugovaranje dobavljača, to treba priznati i upravljati prijelaznim rizikom, a ne upisati nerealni datum.
Uprava treba dobiti sažet prikaz preostalog rizika i odluka koje zahtijevaju njezino odobrenje. To može uključivati ulaganja u nadzor, dodatne kapacitete za odgovor na incidente, testiranje oporavka ili izmjene odnosa s kritičnim dobavljačima.
6. Uspostavite kontinuirano praćenje
Samoprovjera je najkorisnija kada postane ciklus, a ne projekt pokrenut neposredno prije roka. Dokazi zastarijevaju, zaposlenici mijenjaju uloge, sustavi se uvode ili gase, a prijetnje i dobavljači se mijenjaju. Zato svaka kontrola treba imati ritam pregleda koji odgovara njezinoj važnosti i promjenama u okruženju.
Praktično rješenje je centralizirati zahtjeve, dokaze, otvorene neusklađenosti i planove aktivnosti na jednom mjestu. Platforme poput ITrevizija.hr mogu strukturirati samoprocjenu, koristiti AI za analizu dostavljene dokumentacije, povezati dokaze s obvezama i automatizirati izvještavanje. Time se administrativni rad smanjuje, ali odgovornost za točnost procjene i dalje ostaje u organizaciji.
Najčešće pogreške koje usporavaju samoprovjeru
Prva pogreška je krenuti od dokumenata umjesto od obuhvata i rizika. Tada se prikuplja velik broj datoteka koje nisu povezane s konkretnim zahtjevima. Druga je procjenjivati samo postojanje kontrole, bez provjere njezine redovitosti i učinkovitosti. Treća je izrada akcijskog plana bez vlasnika i bez dokaza da je aktivnost zaista zatvorena.
Problem nastaje i kada se sigurnost promatra isključivo kao IT tema. Upravljanje incidentima, kontinuitet, obveze dobavljača i odgovornost uprave prelaze granice IT odjela. Organizacija koja to prepozna rano brže prikuplja kvalitetne odgovore i izbjegava naknadna usuglašavanja.
Najbolji trenutak za početak nije neposredno prije regulatornog nadzora, nego onda kada još postoji prostor za popravke, testiranje i upravljačke odluke. Kvalitetno provedena samoprovjera daje organizaciji više od statusa usklađenosti: daje joj dokaziv pregled rizika, jasan redoslijed aktivnosti i sigurniju osnovu za svakodnevno poslovanje.