Nadzor ne počinje danom kada stigne službeni zahtjev za dokumentacijom. Počinje mnogo ranije – u trenutku kada organizacija mora dokazati da su njezine sigurnosne mjere stvarno provedene, da se redovito provjeravaju i da uprava zna gdje postoje rizici. AI upravljanje može taj inače spor i fragmentiran posao pretvoriti u kontroliran proces u kojem su obveze, dokazi, odgovorne osobe i rokovi povezani na jednom mjestu.
Za subjekte obuhvaćene Zakonom o kibernetičkoj sigurnosti, Uredbom o kibernetičkoj sigurnosti i NIS2 zahtjevima nije dovoljno imati politike spremljene u mapama ili sigurnosne kontrole koje poznaje samo IT tim. Potrebna je dokaziva usklađenost: jasna veza između regulatornog zahtjeva, interne kontrole, prikupljenog dokaza, procjene stanja i aktivnosti za otklanjanje utvrđenog nedostatka.
Što AI upravljanje znači u praksi
AI upravljanje u kontekstu usklađenosti nije prepuštanje regulatornih odluka algoritmu. Odgovornost za sigurnost, procjenu rizika i odluke ostaje na upravi i imenovanim odgovornim osobama. Uloga umjetne inteligencije jest ubrzati obradu velikog broja dokumenata i podataka, prepoznati relevantne informacije, ukazati na praznine te pomoći stručnjacima da odluke donose na temelju cjelovitije slike.
U tipičnoj organizaciji revizijski dokazi nalaze se u pravilnicima, zapisnicima, izvještajima iz sigurnosnih alata, ugovorima s dobavljačima, evidencijama edukacija, zapisima o incidentima i e-porukama. Njihovo ručno prikupljanje za svaku procjenu ili nadzor troši stotine radnih sati. Još je veći problem što isti dokaz često služi za više zahtjeva, ali nije označen, povezan niti lako dostupan osobi koja ga treba provjeriti.
Dobro postavljeno AI upravljanje dokumentaciju ne promatra kao pasivnu arhivu. Ono analizira sadržaj dokaza, povezuje ga s relevantnim obvezama i upozorava kada dokaz nedostaje, kada mu je istekao rok valjanosti ili kada ne potvrđuje u potpunosti traženu kontrolu. To skraćuje administrativni dio posla, ali ne zamjenjuje stručnu validaciju. Upravo je ta kombinacija automatizacije i odgovornog nadzora ključna za regulirana okruženja.
Od obveze do dokaza: proces koji se može pratiti
Korisna platforma za upravljanje usklađenošću mora prvo prevesti propise u razumljive, operativne zahtjeve. Općenita obveza upravljanja rizicima tada postaje niz konkretnih pitanja: postoji li odobrena metodologija procjene rizika, tko je odgovoran za njezinu provedbu, koliko se često ažurira i gdje se nalaze dokazi da je postupak zaista izvršen?
Nakon početne samoprocjene slijedi evidentiranje stvarnog stanja. Organizacija ne dobiva vrijednost ako sustav samo označi odgovor s da ili ne. Potrebno je vidjeti stupanj ispunjenosti pojedinog zahtjeva, povezane dokaze, preostali rizik i obrazloženje procjene. Kada je procjena potkrijepljena dokumentacijom, ona postaje upotrebljiva i za internu reviziju, i za upravu, i za eventualni regulatorni nadzor.
Sljedeći korak je upravljanje neusklađenostima. Ako, primjerice, organizacija ima postupak upravljanja incidentima, ali nema dokaz o redovitom testiranju tog postupka, problem treba evidentirati kao konkretnu neusklađenost. Ona mora imati vlasnika, prioritet, rok, potrebnu aktivnost i status provedbe. Bez toga procjena ostaje statični dokument koji brzo zastarijeva.
AI može pomoći predložiti koje dokaze treba zatražiti, sažeti ključne dijelove opsežne dokumentacije i identificirati sadržaj koji upućuje na djelomičnu provedbu kontrole. Ipak, kvaliteta rezultata ovisi o kvaliteti ulaznih podataka, pravilno postavljenoj metodologiji i stručnom pregledu. AI neće ispraviti nejasnu odgovornost, zastarjele politike ili proces koji se u praksi ne provodi.
Zašto pregled nad dokazima mijenja kvalitetu usklađenosti
Dokaz nije isto što i dokument. Politika informacijske sigurnosti može dokazivati da je uprava odobrila određeni pristup, ali ne dokazuje sama po sebi da se pristup primjenjuje. Za to mogu biti potrebni zapisi o edukaciji, rezultati testiranja, zapisi promjena, izvještaji o nadzoru ili zapisnici upravljačkih tijela.
Zato AI upravljanje dokazima treba omogućiti razlikovanje vrste dokaza, izvora, datuma, vlasništva i povezanosti s pojedinim zahtjevima. Kada ista evidencija podržava više kontrola, ne bi je trebalo učitavati i provjeravati iznova za svaku od njih. Centralno upravljanje smanjuje dupliciranje rada te istodobno pruža bolju sljedivost.
Takav pristup posebno je vrijedan u organizacijama sa složenim dobavljačkim lancem. Ugovori, procjene dobavljača, sigurnosni upitnici i potvrde o provedbi mjera često su raspoređeni između nabave, pravne službe, IT-a i poslovnih odjela. Ako se dokazi ne mogu brzo pronaći i procijeniti, upravljanje rizikom trećih strana svodi se na pretpostavke.
Uloga uprave: pregled koji vodi odluci
Uprava ne mora pregledavati svaki dokument, ali mora imati pouzdanu sliku stanja. To uključuje odgovor na nekoliko poslovno važnih pitanja: koje su najveće otvorene neusklađenosti, tko je odgovoran za njihovo otklanjanje, jesu li rokovi realni i koji rizici ostaju prihvatljivi nakon provedenih mjera.
Automatizirano izvješćivanje ima smisla kada izravno odgovara na ta pitanja. Izvješće koje samo nabraja stotine kontrola rijetko pomaže donošenju odluka. Korisnije je prikazati trend usklađenosti, kritične praznine, napredak plana aktivnosti i dokaze koji podupiru ocjenu. Razina detalja ovisi o primatelju: operativnom timu trebaju zadaci, a upravi sažet prikaz rizika i odluka koje zahtijevaju njezino odobrenje.
Kontinuirana spremnost za nadzor ne znači da se svaka promjena mora tretirati kao krizni projekt. Znači da se nakon promjene sustava, dobavljača, organizacijske strukture ili procjene rizika provjerava utječe li ona na postojeće kontrole i dokaze. Sustav koji evidentira vlasnike, rokove i promjene omogućuje da se taj posao obavlja postupno, umjesto pod pritiskom neposredno prije nadzora.
Sigurnost podataka nije sporedna značajka
Primjena AI-a u upravljanju usklađenošću otvara opravdano pitanje: gdje završavaju osjetljivi dokumenti i tko im može pristupiti? Dokumentacija o sigurnosnoj arhitekturi, incidentima, ranjivostima i ugovorima ne smije se tretirati kao običan sadržaj za javne AI servise.
Prije odabira rješenja treba provjeriti mjesto hostinga, način obrade podataka, model upravljanja pristupima, enkripciju na razini polja, evidenciju aktivnosti te mogućnost zadržavanja kontrole nad podacima. Za zahtjevnije subjekte bitna može biti i on-premise implementacija. Nema jedinstvenog odgovora za svaku organizaciju: odluka ovisi o klasifikaciji podataka, sektorskim pravilima, ugovornim obvezama i vlastitoj procjeni rizika.
ITrevizija.hr pristupa ovom problemu kroz EU hosting, interne AI modele, zaštitu osjetljivih podataka i strukturirano upravljanje dokazima, ne zahtijevajući dugotrajan projekt konfiguracije klasičnog GRC sustava. Time se regulatorni zahtjevi pretvaraju u operativan plan rada, uz vidljiv napredak i jasnu odgovornost za svaku aktivnost.
Kada AI upravljanje donosi najveću vrijednost
Najveći učinak vidljiv je ondje gdje su regulatorne obveze brojne, dokazi raspršeni, a odgovornost podijeljena među više timova. Zdravstvene ustanove, financijske institucije, energetika, telekomunikacije, farmacija i drugi subjekti od posebne važnosti istodobno moraju upravljati sigurnošću, privatnošću, dobavljačima i kontinuitetom poslovanja. Ručni rad u tablicama može poslužiti na početku, ali brzo postaje rizičan kada se povećaju broj zahtjeva, korisnika i promjena.
S druge strane, automatizacija nema smisla ako organizacija nema osnovno definirane odgovornosti. Prije uvođenja platforme treba odrediti vlasnike kontrola, način odobravanja procjena i pravila za rad s dokazima. To ne mora biti višemjesečna transformacija, ali mora biti dovoljno jasno da sustav odražava stvarni način rada, a ne idealizirani proces na papiru.
Najbolji prvi korak nije prikupljanje svega što organizacija ikada ima. Započnite s obvezama koje stvaraju najveći regulatorni i poslovni rizik, procijenite trenutačno stanje, povežite ključne dokaze i otvorite aktivnosti za najvažnije praznine. Kada je proces vidljiv i mjerljiv, usklađenost prestaje biti godišnja administrativna vježba te postaje dio svakodnevnog upravljanja sigurnošću.