Regulatorna spremnost ne mjeri se brojem politika pohranjenih u zajedničkoj mapi ni brojem tablica koje se ažuriraju neposredno prije nadzora. Ona se vidi u odgovoru na jednostavno pitanje: može li organizacija danas dokazati da su propisane mjere uvedene, da djeluju i da su njihovi nedostaci pod kontrolom? Zato pitanje kako pratiti regulatornu spremnost nije administrativno pitanje. To je pitanje upravljačke odgovornosti, otpornosti poslovanja i sposobnosti da se pod nadzorom brzo pokažu činjenice.
Za subjekte obuhvaćene Zakonom o kibernetičkoj sigurnosti, Uredbom o kibernetičkoj sigurnosti i NIS2 obvezama, jednokratna procjena nije dovoljna. Regulator očekuje kontinuirano upravljanje rizicima, mjerama, incidentima, dokazima i odgovornostima. Organizacija koja procjenu radi samo kada se približava rok ili nadzor najčešće otkriva da ne zna koja je verzija dokumenta važeća, tko je vlasnik pojedine mjere i je li aktivnost doista provedena.
Što regulatorna spremnost stvarno znači
Regulatorna spremnost je sposobnost organizacije da u svakom trenutku pokaže usklađenost između zakonskih zahtjeva, vlastitih sigurnosnih mjera i provjerljivih dokaza. To nije tvrdnja da je sve savršeno uređeno. Zrela organizacija može imati otvorene nesukladnosti, ali mora znati njihov utjecaj, vlasnika, rok otklanjanja i preostali rizik.
U praksi, spremnost povezuje četiri razine. Prva je regulatorna obveza – primjerice zahtjev za upravljanjem rizicima, kontrolom pristupa, kontinuitetom poslovanja ili prijavom značajnih incidenata. Druga je konkretna kontrola ili mjera koju je organizacija uvela. Treća je dokaz da mjera postoji i primjenjuje se, poput zapisa konfiguracije, zapisnika, izvješća, ugovora, evidencije edukacije ili rezultata testiranja. Četvrta je upravljačka odluka: tko prihvaća rizik, tko provodi korektivnu aktivnost i kada se provjerava njezina djelotvornost.
Ako jedna od tih razina nedostaje, nastaje praznina. Politika bez dokaza ostaje namjera. Dokaz bez povezanosti s obvezom teško je objasniti nadzornom tijelu. Aktivnost bez imenovanog vlasnika često ostaje otvorena dulje nego što organizacija pretpostavlja.
Kako pratiti regulatornu spremnost kroz operativni ciklus
Najpouzdaniji pristup nije izrada još jednog statičnog registra, nego uspostava ciklusa koji se redovito ponavlja. Ciklus počinje jasnim regulatornim opsegom. Organizacija prvo mora utvrditi koje se obveze na nju primjenjuju, na koje poslovne usluge, lokacije, informacijske sustave, dobavljače i organizacijske jedinice. U reguliranim sektorima česta je pogreška procjenjivati samo IT funkciju, iako obveze zahvaćaju upravu, nabavu, ljudske potencijale, pravne poslove, kontinuitet poslovanja i ključne vanjske pružatelje usluga.
Nakon određivanja opsega, zahtjeve treba pretvoriti u provjerljiva pitanja i kontrolne točke. Formulacija mora biti dovoljno precizna da se na nju može odgovoriti dokazom, a ne dojmovima. Umjesto pitanja postoji li upravljanje pristupom, korisnije je utvrditi jesu li privilegirani pristupi formalno odobreni, periodično preispitani, evidentirani i tehnički zaštićeni.
Sljedeći korak je procjena stvarnog stanja. Vlasnici procesa dostavljaju dokaze, a odgovorna osoba za usklađenost ili sigurnost procjenjuje zadovoljava li dokaz zahtjev. Ovdje je važno razlikovati postojanje dokumenta od učinkovitosti kontrole. Primjerice, postupak upravljanja incidentima može biti odobren, ali ako tim nije proveo vježbu, kontaktne liste nisu ažurirane ili rokovi prijave nisu ugrađeni u operativni proces, stvarna spremnost ostaje ograničena.
Procjenom se otkrivaju nesukladnosti. Svaka od njih mora imati opis, vezu prema obvezi, procijenjeni rizik, vlasnika aktivnosti, rok i status. Kada je to potrebno, treba zabilježiti i privremenu kompenzacijsku mjeru. To upravi daje realnu sliku: što je zatvoreno, što kasni, što nosi najveći rizik te gdje je potrebna odluka o prioritetima ili resursima.
Ciklus završava ponovnom provjerom. Aktivnost nije dovršena kada je označena kao provedena, nego kada se provjeri je li uklonila uzrok nesukladnosti i postoji li novi dokaz njezine primjene. Upravo taj korak razlikuje evidenciju zadataka od upravljanja usklađenošću.
Dokazi trebaju biti živi, ne prikupljeni u zadnji čas
Prikupljanje dokaza neposredno prije revizije stvara dva problema. Prvo, angažira stručne ljude na hitnim administrativnim poslovima. Drugo, dokumenti se često prikupljaju bez jasnog odgovora na pitanje što dokazuju i za koji zahtjev vrijede.
Učinkovit sustav dokazivanja zato svakom dokazu pridružuje vlasnika, datum nastanka, verziju, rok preispitivanja i vezu s relevantnim kontrolama. Dokazima koji se redovito mijenjaju, poput izvještaja o zakrpama, pregleda korisničkih prava ili rezultata sigurnosnih testiranja, treba odrediti učestalost osvježavanja. Dokazi koji zastarijevaju trebaju automatski otvoriti zadatak, a ne ostati neprimijećeni do sljedećeg nadzora.
Posebnu pažnju zaslužuju dokazi dobavljača. Usluge u oblaku, vanjsko održavanje, razvoj aplikacija i upravljane sigurnosne usluge mogu biti ključni za ispunjavanje regulatornih obveza. Međutim, certifikat dobavljača nije automatski dokaz da je rizik za vašu organizaciju upravljan. Potrebno je provjeriti ugovorne obveze, razinu usluge, prava na reviziju, postupke prijave incidenata, lokaciju i zaštitu podataka te plan kontinuiteta.
Pokazatelji koje uprava može razumjeti
Uprava ne treba pregledavati stotine pojedinačnih kontrola, ali mora dobiti pregled koji omogućuje odluke. Dobar izvještaj o regulatornoj spremnosti pokazuje trend, prioritete i odgovornost, a ne samo ukupni postotak usklađenosti.
Korisni pokazatelji uključuju:
- udio zahtjeva s valjanim i aktualnim dokazima
- broj otvorenih nesukladnosti prema razini rizika i poslovnom području
- udio korektivnih aktivnosti završenih u roku
- prosječno vrijeme zatvaranja visokorizičnih nesukladnosti
- kontrole čiji dokazi uskoro istječu ili čekaju provjeru
Postotak usklađenosti bez konteksta može zavarati. Organizacija može imati visoku ukupnu ocjenu, ali i jednu kritičnu prazninu u upravljanju identitetima, oporavku od incidenta ili nadzoru dobavljača. Zato izvještavanje mora omogućiti spuštanje s upravljačke slike na pojedinu obvezu, dokaz i otvorenu aktivnost.
Učestalost praćenja ovisi o riziku
Ne postoji jedna pravilna dinamika za sve kontrole. Pregled sigurnosne politike može biti godišnji, dok provjera privilegiranih računa, zapisnika nadzora ili ranjivosti zahtijeva znatno češći ritam. Kritične usluge i sustavi s osjetljivim podacima zaslužuju kraće cikluse provjere od pomoćnih sustava.
Događaji također trebaju pokrenuti izvanrednu procjenu. To uključuje značajan incident, promjenu ključnog dobavljača, uvođenje nove digitalne usluge, veću reorganizaciju, akviziciju ili izmjenu regulatornih zahtjeva. Godišnji kalendar ostaje koristan, ali ne smije postati izgovor za ignoriranje promjena između dva formalna pregleda.
Gdje ručno praćenje najčešće puca
Tablice, zajedničke mape i e-pošta mogu poslužiti u početnoj fazi, osobito kod manjeg broja zahtjeva. Problem nastaje kada više vlasnika dostavlja dokaze, kada se isti dokaz odnosi na više kontrola ili kada treba pratiti rokove, verzije i procjene rizika. Tada se informacija duplicira, statusi se razlikuju, a odgovornost se razvodnjava.
Klasični GRC sustavi mogu pokriti složene potrebe velikih grupa, ali njihova implementacija često zahtijeva dugotrajno modeliranje procesa, konfiguraciju i specijalizirano održavanje. Za organizaciju kojoj treba brz i provjerljiv put do usklađenosti, presudno je odabrati rješenje koje je već strukturirano prema relevantnim obvezama i ne pretvara regulatorni projekt u višemjesečni informatički projekt.
Platforma ITrevizija.hr pristupa tom problemu kroz AI vođenu samoprocjenu, upravljanje dokazima, analizu dokumentacije, evidenciju nesukladnosti i plan provedbe aktivnosti. Vrijednost takvog pristupa nije samo u automatiziranom izvješćivanju. Ona je u tome što se regulatorna obveza, dokaz, procjena i korektivna aktivnost vode na jednom mjestu, uz kontrolu pristupa, enkripciju na razini polja i EU hosting. Za zahtjevnije subjekte važna je i mogućnost on-premise implementacije.
Od procjene do trajne upravljačke discipline
Regulatorna spremnost nije projekt koji se zatvara slanjem izvješća. Ona postaje trajna upravljačka disciplina kada se promjene u poslovanju, tehnologiji i prijetnjama odmah odražavaju na procjenu rizika, dokaze i plan aktivnosti.
Počnite s jasnim opsegom i realnom početnom procjenom, bez uljepšavanja stanja. Zatim dodijelite vlasnike, utvrdite rokove i uvedite ritam upravljačkog pregleda. Kada svaki zahtjev ima dokaz, svaki nedostatak ima odgovornu osobu, a svaka važna odluka ostavlja trag, nadzor prestaje biti krizni događaj i postaje provjera procesa kojim organizacija već upravlja.