Nadzor ne počinje pitanjem imate li politiku kibernetičke sigurnosti. Počinje pitanjem možete li pokazati da se politika stvarno provodi. Zato je pitanje koji su dokazi za NIS2 operativno važnije od samog popisa sigurnosnih mjera. Organizacija koja dokumente izrađuje tek kada dobije zahtjev za nadzor obično otkriva praznine prekasno: nedostaju zapisi, vlasnici aktivnosti nisu definirani, a odluke uprave nisu sljedive.
NIS2 zahtijeva upravljanje rizicima i odgovornost upravljačkih tijela, dok hrvatski Zakon o kibernetičkoj sigurnosti i povezani provedbeni zahtjevi pretvaraju te obveze u konkretan domaći regulatorni okvir. Dokazi nisu samo dokumenti spremljeni u mapi. To su provjerljivi zapisi koji povezuju zahtjev, donesenu odluku, provedenu mjeru, odgovornu osobu i rezultat kontrole.
Što se smatra dokazom za NIS2?
Dokaz za NIS2 je svaki vjerodostojan i dostupan zapis kojim organizacija može pokazati da je procijenila rizik, odobrila odgovarajuću mjeru, provela je te prati njezinu djelotvornost. Njegova vrijednost nije u formalnom nazivu dokumenta, nego u sljedivosti i aktualnosti.
Primjerice, politika upravljanja pristupima pokazuje namjeru organizacije. Popis korisničkih računa, zapisi periodične revizije ovlasti, evidencija deaktivacije računa bivših zaposlenika i zapisnik o odobrenju iznimke pokazuju stvarnu provedbu. U nadzoru je upravo taj drugi skup zapisa presudan.
Dobar dokaz ima jasan izvor, datum, vlasnika, verziju i vezu s konkretnim zahtjevom ili rizikom. Mora biti zaštićen od neovlaštene izmjene, ali i dovoljno dostupan osobama koje pripremaju izvješća, internu reviziju ili odgovor regulatoru. Snimka zaslona bez datuma i konteksta može pomoći kao prilog, ali rijetko je dovoljna kao jedini dokaz.
Koji su dokazi za NIS2 po ključnim područjima?
Točan opseg ovisi o vrsti subjekta, sektoru, sustavima koje organizacija koristi i obvezama koje se na nju primjenjuju. Ipak, većina organizacija treba moći dokazati upravljanje najmanje sljedećim područjima.
- Upravljanje i odgovornost uprave: odluke uprave, imenovanja odgovornih osoba, zapisnici o razmatranju kibernetičkih rizika, odobreni planovi i praćenje njihova izvršenja.
- Procjena rizika i plan postupanja: metodologija procjene, registar rizika, procjene utjecaja, vlasnici rizika, odluke o prihvaćanju rizika i rokovi za korektivne mjere.
- Sigurnosne politike i operativne kontrole: važeće politike, radne upute, konfiguracijski standardi, zapisi o upravljanju identitetima, sigurnosnim kopijama, zakrpama i zaštiti mreže.
- Upravljanje incidentima: plan odgovora na incidente, evidencija prijavljenih događaja, klasifikacija, vremenska crta postupanja, obavijesti nadležnim tijelima kada su primjenjive te zaključci nakon incidenta.
- Kontinuitet poslovanja i oporavak: planovi kontinuiteta, rezultati testiranja oporavka, zapisi o vraćanju sigurnosnih kopija, utvrđeni nedostaci i dokazi da su otklonjeni.
- Dobavljači i lanac opskrbe: procjene dobavljača, sigurnosni uvjeti u ugovorima, upitnici, evidencija kritičnih usluga i periodične provjere ugovornih obveza.
U praksi su potrebni i dokazi o edukaciji zaposlenika, upravljanju ranjivostima, sigurnosnom nadzoru, enkripciji, upravljanju imovinom te segmentaciji sustava. Nije nužno da svaka organizacija koristi iste alate ili zadržava isti skup tehničkih zapisa. Bitno je da odabrane mjere odgovaraju njezinu riziku i da se mogu dokazati.
Dokaz politike nije dokaz provedbe
Jedna od najčešćih pogrešaka je pretpostavka da odobrena politika zatvara regulatorni zahtjev. Politika definira pravilo, ali ne dokazuje da se pravilo provodi kroz vrijeme.
Ako politika propisuje višefaktorsku autentifikaciju, organizacija treba moći pokazati gdje je ona uključena, koji su sustavi obuhvaćeni, postoje li odobrene iznimke i kako se iznimke redovito preispituju. Ako propisuje redovito upravljanje zakrpama, očekivani dokazi uključuju izvještaje alata, evidenciju kašnjenja, procjenu izloženosti i odluke za kritične ranjivosti koje nisu otklonjene u zadanom roku.
Drugim riječima, regulatorna spremnost nastaje kada se normativni dokument poveže s tehničkim i poslovnim tragom provedbe.
Kako organizirati dokaze bez administrativnog kaosa
Organizacije često već imaju većinu potrebnih podataka, ali su raspršeni između sustava za upravljanje tiketima, direktorija, alata za nadzor, e-pošte, zajedničkih diskova i osobnih mapa. Problem tada nije samo nedostatak dokaza, nego nemogućnost da se brzo dokaže njihova relevantnost.
Prvi korak je izraditi registar zahtjeva i za svaki zahtjev odrediti vlasnika kontrole, vrstu očekivanog dokaza, lokaciju zapisa, učestalost prikupljanja i datum sljedeće provjere. Vlasnik ne mora biti osoba iz informatičkog odjela. Za upravljačke odluke to može biti član uprave, za dobavljače nabava ili pravna služba, a za kontinuitet poslovanja poslovni vlasnik procesa.
Nakon toga treba povezati svaki dokaz s konkretnom kontrolom i statusom usklađenosti. Ako dokaz nedostaje, nije dovoljno označiti stavku kao neusklađenu. Potrebno je otvoriti aktivnost s odgovornom osobom, realnim rokom, procijenjenim rizikom i načinom provjere završetka. Tako se procjena usklađenosti pretvara u upravljiv plan rada, a ne u jednokratni izvještaj.
ITrevizija.hr može objediniti taj proces kroz AI vođenu procjenu, upravljanje dokazima, analizu dokumentacije i praćenje neusklađenosti. Vrijednost takvog pristupa nije samo u bržem prikupljanju priloga, nego u jasnoj vezi između regulatornog zahtjeva, dokaza, procjene stanja i aktivnosti za otklanjanje nedostatka.
Koliko dugo treba čuvati dokaze?
Ne postoji jedno univerzalno razdoblje koje odgovara svim vrstama zapisa. Rokovi ovise o primjenjivim propisima, ugovornim obvezama, internim pravilima, važnosti sustava i mogućnosti da je dokaz potreban nakon incidenta ili nadzora.
Operativni zapisi, poput dnevnika događaja, imaju tehnička ograničenja pohrane i velik volumen. S druge strane, zapisnici uprave, procjene rizika, odluke o prihvaćanju rizika i izvještaji o incidentima često trebaju dulje zadržavanje jer dokazuju upravljačku odgovornost i povijest odlučivanja. Razumno pravilo je definirati politiku zadržavanja po kategorijama dokaza, obrazložiti je rizikom i dosljedno je provoditi.
Pri tome treba uskladiti zahtjeve sigurnosti s pravilima zaštite osobnih podataka. Dnevnici i evidencije ne smiju postati nekontrolirano spremište osobnih podataka. Pristup mora biti ograničen, podaci enkriptirani, a razdoblja čuvanja opravdana. Sigurnost dokaza jednako je važna kao i njihovo postojanje.
Spremnost se provjerava kontinuirano, ne na dan nadzora
Najbolji test kvalitete dokaza je jednostavan: može li organizacija za nekoliko minuta pokazati trenutačno stanje odabrane kontrole, njezina vlasnika, posljednju provjeru, povezani rizik i otvorene aktivnosti? Ako odgovor zahtijeva višednevno pretraživanje e-pošte i pozivanje više odjela, proces nije dovoljno zreo.
Kontinuirana spremnost ne znači beskonačno administriranje. Ona znači da se dokazi prikupljaju ondje gdje nastaju, redovito provjeravaju i povezuju s obvezama koje trebaju dokazati. Za neke kontrole to će biti automatski izvještaj svaki mjesec, a za druge kvartalni zapisnik ili godišnje testiranje. Učestalost treba slijediti rizik, promjene u sustavima i kritičnost usluge.
Kada su dokazi strukturirani, ažurni i vezani uz odgovorne osobe, NIS2 usklađenost prestaje biti projekt koji se aktivira pod pritiskom. Postaje mjerljiv način upravljanja sigurnošću, rizicima i odgovornošću organizacije.