Nadzor ne provjerava samo postoji li pravilnik o kibernetičkoj sigurnosti. Provjerava može li organizacija dokazati da se propisane mjere stvarno primjenjuju, tko ih provodi, kada su zadnji put provjerene i što se dogodilo kada je utvrđena slabost. Zato su revizijski dokazi za NIS2 operativna imovina, a ne mapa dokumenata pripremljena neposredno prije nadzora.
Za upravu, CISO-a i voditelja usklađenosti ključno pitanje nije „imamo li dokumentaciju?”, nego „možemo li u kratkom roku pokazati pouzdan, potpun i ažuran trag provedbe?”. Razlika između ta dva pitanja često odlučuje hoće li priprema za nadzor biti kontroliran proces ili višednevno traženje datoteka, poruka i potvrda po različitim sustavima.
Što su revizijski dokazi za NIS2 u praksi
Revizijski dokaz je provjerljiv zapis koji potvrđuje da je određena sigurnosna mjera definirana, provedena i praćena. Dokument sam po sebi nije uvijek dovoljan. Politika upravljanja pristupima, primjerice, pokazuje namjeru i postavljena pravila. Zapis o periodičnoj reviziji korisničkih ovlasti, odobrenja vlasnika sustava i izvještaj o uklonjenim nepotrebnim računima pokazuju stvarnu provedbu.
NIS2 i hrvatski okvir kibernetičke sigurnosti traže upravljanje rizicima i sposobnost reagiranja, a ne formalno ispunjavanje popisa. Dokazi zato moraju pratiti cijeli životni ciklus mjere: odluku, implementaciju, redovitu kontrolu, utvrđene nedostatke i korektivne aktivnosti. Ako nedostaje jedna od tih karika, procjenitelj može s razlogom zaključiti da je kontrola djelomična ili neprovjerena.
Dobar dokaz ima jasan odnos prema obvezi ili kontrolnoj mjeri, vlasnika, datum ili razdoblje valjanosti te vidljiv izvor. Mora biti razumljiv i osobi koja nije sudjelovala u njegovu nastanku. Snimka zaslona bez konteksta, nedatirana tablica ili dokument bez odobrenja mogu biti korisni kao dopuna, ali rijetko nose istu težinu kao strukturiran i sljediv zapis.
Od politike do dokaza: gdje organizacije najčešće zapnu
Najčešća pogreška je pretpostavka da se usklađenost može dokazati politikama, procedurama i ugovorima. Ti dokumenti jesu nužni, ali dokazuju prije svega da je organizacija propisala kako želi raditi. Nadzor će tražiti i trag da se tako doista radi.
Kod upravljanja incidentima to može uključivati evidenciju prijavljenih incidenata, klasifikaciju, vremensku crtu postupanja, odluke kriznog tima, provedene obavijesti, analizu uzroka i praćenje korektivnih mjera. Ako organizacija nije imala značajan incident, dokaz mogu biti rezultati vježbe, testiranja postupka i zapisi o edukaciji uključenih osoba. Izostanak incidenata nije automatski dokaz sposobnosti reagiranja.
Kod kontinuiteta poslovanja i oporavka treba razlikovati postojanje plana od potvrde da plan funkcionira. Revizijski trag mogu činiti zapisnici s testiranja oporavka, rezultati vraćanja sigurnosne kopije, dokumentirana odstupanja od ciljnih vremena oporavka i plan otklanjanja pronađenih nedostataka.
Upravljanje dobavljačima također zahtijeva više od potpisanog ugovora. Relevantni dokazi uključuju procjenu rizika dobavljača, sigurnosne zahtjeve ugrađene u ugovorni odnos, zapis o periodičnoj provjeri te odluke o prihvaćanju preostalog rizika. Razina detalja ovisi o kritičnosti usluge i vrsti podataka kojima dobavljač pristupa.
Dokazi moraju biti povezani s mjerama, rizicima i odgovornostima
Dokazi bez konteksta stvaraju privid reda, ali ne daju upravljačku vrijednost. Organizacija treba moći pokazati vezu između regulatornog zahtjeva, interne mjere, procijenjenog rizika, odgovorne osobe i konkretnog dokaza. Takva sljedivost omogućuje brzo odgovaranje na pitanja koja se u nadzoru redovito pojavljuju: koja mjera smanjuje određeni rizik, kako znate da djeluje i što poduzimate kada ne djeluje dovoljno dobro?
Praktično, svaka mjera treba imati vlasnika. Vlasnik ne mora osobno izrađivati svaki dokaz, ali mora potvrditi njegovu relevantnost, cjelovitost i aktualnost. U velikim sustavima to znači razdvojiti odgovornost za tehničku provedbu, poslovnu kontrolu i formalno odobrenje. Bez te podjele dokazi često ostanu kod pojedinaca, u osobnim mapama ili alatima kojima tim za usklađenost nema pristup.
Korisno je definirati i rok preispitivanja. Evidencija edukacije može se ažurirati kvartalno, zapis o testiranju sigurnosne kopije mjesečno, a procjena dobavljača prema ugovorenoj dinamici ili promjeni rizika. Jedinstveni godišnji rok za sve dokaze obično nije dobar pristup jer kontrole nemaju istu operativnu učestalost.
Koje kategorije dokaza treba pripremiti
Opseg ovisi o veličini organizacije, sektoru, kritičnosti usluga i stvarno utvrđenim rizicima. Ipak, za većinu subjekata obuhvaćenih obvezama kibernetičke sigurnosti potrebno je sustavno pokriti najmanje sljedeće kategorije:
- upravljačke odluke, politike, odgovornosti, procjene rizika i zapise o nadzoru uprave
- tehničke kontrole, uključujući upravljanje identitetima, zakrpama, zapisima aktivnosti, zaštitom mreže i sigurnosnim kopijama
- operativne postupke za incidente, ranjivosti, kontinuitet poslovanja, oporavak i upravljanje promjenama
- dokaze o ljudskom faktoru, poput edukacija, simulacija, potvrda o upoznatosti s pravilima i dodijeljenih odgovornosti
- zapise o upravljanju dobavljačima, ugovornim sigurnosnim zahtjevima, procjenama i praćenju odstupanja.
Ne treba svaku aktivnost dokazivati istom vrstom zapisa. Za neke kontrole najbolji je automatizirani izvještaj iz sigurnosnog alata, za druge zapisnik odgovorne osobe ili rezultat neovisne provjere. Važno je da dokaz odgovara tvrdnji koju organizacija želi potvrditi.
Kako procijeniti kvalitetu dokaza prije nadzora
Prije prikupljanja dodatne dokumentacije vrijedi provesti kratku, ali discipliniranu provjeru postojećeg stanja. Za svaki dokaz postavite četiri pitanja: potvrđuje li stvarnu provedbu, je li vezan uz konkretnu mjeru, može li se provjeriti njegov izvor i je li dovoljno nov da odražava trenutačno stanje?
Posebnu pozornost treba posvetiti dokazima koji su nastali ručno. Ručno vođene evidencije nisu problem ako imaju kontrolu verzija, jasnog autora i odobrenje. Problem nastaje kada se tablice kopiraju iz godine u godinu, a nitko ne može potvrditi jesu li podaci provjereni. Automatizirani izvori mogu smanjiti taj rizik, ali ni oni nisu dovoljni ako se izvještaji ne pregledavaju i ne pretvaraju u odluke ili aktivnosti.
Dokaz treba sadržavati i priču o odstupanju. Savršeno stanje bez ijedne otvorene nesukladnosti ponekad je manje uvjerljivo od organizacije koja jasno pokazuje slabost, procjenjuje njezin utjecaj, dodjeljuje odgovornu osobu i prati rok otklanjanja. Upravo takav pristup pokazuje zrelost upravljanja rizikom.
Sigurno upravljanje dokazima nije administrativni detalj
Revizijski repozitorij često sadrži osjetljive informacije: mrežne dijagrame, rezultate skeniranja ranjivosti, konfiguracijske zapise, popise privilegiranih računa i dokumentaciju o incidentima. Njegova dostupnost mora biti pažljivo upravljana. Preširoke ovlasti, dijeljenje datoteka e-poštom i lokalne kopije povećavaju sigurnosni rizik baš u procesu kojim organizacija želi dokazati svoju sigurnost.
Dobar sustav upravljanja dokazima treba omogućiti kontrolu pristupa po ulogama, sljedivost promjena, zaštitu podataka i jednostavno povezivanje dokaza s obvezama i aktivnostima. Za organizacije s posebnim zahtjevima privatnosti važni su EU hosting, enkripcija podataka i jasna kontrola nad mjestom obrade dokumentacije. Tehnička sigurnost spremišta i regulatorna preglednost trebaju biti dio istog procesa.
Platforma ITrevizija.hr omogućuje strukturirano upravljanje revizijskim dokazima, AI analizu dokumentacije, evidentiranje neusklađenosti i praćenje plana usklađivanja. Vrijednost nije samo u bržem spremanju datoteka, nego u tome da svaki dokaz dobije regulatorni kontekst, vlasnika i status. Time se priprema za nadzor pretvara u kontinuirani radni tok, a ne projekt koji počinje tek nakon najave provjere.
Kontinuirana spremnost smanjuje trošak i rizik
Prikupljanje dokaza jednom godišnje gotovo uvijek otkriva isti problem: dio odgovora ovisi o sjećanju zaposlenika, sustavi su se promijenili, a dokumenti više ne odgovaraju stvarnosti. Kontinuirano evidentiranje smanjuje administrativni pritisak, ali još važnije, omogućuje ranije otkrivanje kontrole koja ne radi kako je zamišljeno.
To ne znači da svaka organizacija mora voditi jednak broj zapisa ili uvoditi složen GRC projekt. Razmjer procesa treba pratiti razmjer rizika. Manji tim može postići visoku razinu preglednosti s jednostavnijom strukturom, pod uvjetom da su odgovornosti jasne, dokazi sljedivi, a korektivne aktivnosti stvarno provedene. Veliki i distribuirani sustavi trebat će detaljnije automatizacije i strože tokove odobravanja.
Počnite s mjerama koje nose najveći rizik za kontinuitet usluga, povjerljivost podataka i sposobnost odgovora na incident. Za svaku od njih odredite što bi uvjerljiv dokaz izgledao danas, tko ga održava i kada ga treba ponovno provjeriti. Kada organizacija može odgovoriti na ta tri pitanja bez traženja po mapama, nadzor više nije izvanredni događaj, nego provjera rada koji je već pod kontrolom.