W zakresie zarządzania ryzykiem związanym z ICT (tj. związanym z wykorzystaniem technologii informacyjno-komunikacyjnych) wiele organizacji skupiało się dotychczas przede wszystkim na opracowywaniu stosownych polityk i procedur. Według tego podejścia dokumentacja miała stanowić podstawowy miernik dojrzałości systemu zarządzania bezpieczeństwem informacji, a przygotowanie obszernego zestawu procedur często (błędnie) postrzegano jako synonim zgodności z wymaganiami regulacyjnymi.

Wejście w życie dyrektywy 2022/2555 w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium UE (NIS2) oraz nowelizacji ustawy z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (ustawa o KSC) powinno ostatecznie zmienić podejście do compliance. Dzisiaj nie ma wątpliwości, że samo posiadanie dokumentów nie jest wystarczające. Organ nadzoru, który będzie przeprowadzał kontrolę u podmiotu kluczowego lub ważnego, będzie oczekiwał odpowiedzi na znacznie ważniejsze pytanie: czy przyjęte środki bezpieczeństwa rzeczywiście funkcjonują w praktyce oraz czy organizacja potrafi to wykazać na podstawie obiektywnych dowodów?

To właśnie dlatego coraz głośniej należy mówić o koncepcji evidence-based compliance, czyli zgodności opartej na dowodach. W takim modelu każda deklaracja organizacji dotycząca realizacji obowiązków wynikających z NIS2 powinna znajdować potwierdzenie w konkretnych materiałach, zapisach systemowych lub wynikach wykonywanych działań.

Nie oznacza to tworzenia dokumentacji „pod kontrolę”. Wręcz przeciwnie – odpowiednio zaprojektowany system dowodów jest naturalnym efektem prawidłowo funkcjonującego systemu zarządzania bezpieczeństwem informacji. Jeżeli proces działa, powinien pozostawiać po sobie ślad. Jeżeli śladu nie ma, organ nadzoru może uznać, że proces w rzeczywistości nie funkcjonuje.

Co będzie oceniane?

Jednym z najczęściej pojawiających się błędów jest przekonanie, że kontrola będzie polegała na sprawdzeniu, czy organizacja posiada wszystkie wymagane procedury. W praktyce będzie to jedynie punkt wyjścia. Nowe przepisy koncentrują się przede wszystkim na skuteczności wdrożonych środków zarządzania ryzykiem w cyberbezpieczeństwie.

W praktyce kontrola może przypominać audyt oparty na metodzie „pokaż, jak to działa”. Samo wskazanie odpowiedniego punktu polityki bezpieczeństwa nie będzie wystarczające. Organ może poprosić o przedstawienie dowodów potwierdzających, że dana procedura została rzeczywiście zastosowana.

Czym jest dowód zgodności?

Dowód zgodności to coś więcej niż pojedynczy dokument w postaci procedury czy polityki. W praktyce dowodem może być każdy materiał pozwalający wykazać, że określony obowiązek został rzeczywiście wykonany. Oznacza to, że dokumentacja organizacyjna stanowi jedynie jeden z elementów całego systemu dowodowego. Do najczęściej spotykanych kategorii dowodów należą oczywiście udokumentowane polityki, procedury i instrukcje, ale również rejestry prowadzone przez organizację, raporty z realizacji procesów, protokoły z posiedzeń organów, wyniki audytów itd.

Co istotne, pojedynczy dowód rzadko przesądza o zgodności. Największą wartość mają wzajemnie uzupełniające się materiały pokazujące cały przebieg procesu – od identyfikacji ryzyka, przez podjęcie decyzji, aż do wdrożenia środków bezpieczeństwa i ich późniejszej weryfikacji.

Zarządzanie ryzykiem

Podstawą systemu zgodności będzie możliwość wykazania, że organizacja rzeczywiście zarządza ryzykiem w cyberbezpieczeństwie. Do najważniejszych dowodów w obszarze zarządzania ryzykiem należą m.in.: udokumentowany opis metody analizy ryzyka; aktualny rejestr ryzyk; wyniki przeprowadzonych analiz; decyzje dotyczące postępowania z ryzykiem (w tym akceptacji ryzyka); plany postępowania z ryzykiem; harmonogramy przeglądów; dokumentacja ponownych ocen ryzyka, np. po zmianach w środowisku ICT lub wystąpieniu poważnych incydentów; okresowe raporty przedstawiane zarządowi.

Szczególnie istotna będzie możliwość wykazania, że analiza ryzyka nie została wykonana jednorazowo „do szuflady”, lecz stanowi proces realizowany cyklicznie, a jej wyniki brane są pod uwagę podczas podejmowania decyzji.

Szkolenia i działania uświadamiające

Coraz większe znaczenie mają również działania związane z podnoszeniem świadomości pracowników oraz kadry zarządzającej, w tym członków organów. Dowodami na realizację obowiązków związanych z budowaniem świadomości mogą być między innymi: roczne plany szkoleń; harmonogramy; listy obecności; certyfikaty ukończenia; wyniki testów wiedzy; statystyki uczestnictwa; wyniki kontrolowanych kampanii phishingowych; działania uzupełniające wobec osób, które nie uzyskały wymaganych rezultatów.

System informacji zarządczej

Jednym z kluczowych elementów skutecznego systemu zarządzania jest regularne raportowanie do kierownictwa. Dowody na prawidłowo funkcjonujący system obiegu informacji zarządczej obejmują m.in.: cykliczne raporty dla zarządu; dashboardy bezpieczeństwa; protokoły z posiedzeń; udokumentowane decyzje zarządu poparte wynikami analizy ryzyka/przeglądów/testów; decyzje dot. postępowania z ryzykiem (w tym dot. akceptacji ryzyka); zatwierdzone plany działań naprawczych; zatwierdzona dokumentacja wewnętrzna.

Sam fakt przygotowania raportu zwykle nie jest wystarczający, należy wykazać, że raporty/sprawozdania przedstawiane organowi zarządzającemu były analizowane, a ich wyniki realnie wpływały na podejmowane decyzje.

Zarządzanie incydentami

W przypadku procesu zarządzania incydentami organ nadzoru będzie oczekiwał pełnej ścieżki dokumentacyjnej, która powinna obejmować m.in.: rejestr incydentów; zgłoszenia użytkowników; klasyfikację incydentów; analizę przyczyn wystąpienia incydentu; decyzje dotyczące eskalacji; dokumentację działań naprawczych; raporty końcowe; analizę wniosków (lessons learned); działania zapobiegawcze wdrożone po incydencie. Tak zgromadzona dokumentacja pozwala wykazać nie tylko prawidłową reakcję, ale również zdolność organizacji do uczenia się na podstawie własnych doświadczeń.

Testy bezpieczeństwa

NIS2 i ustawa o KSC wymagają regularnej weryfikacji skuteczności stosowanych środków bezpieczeństwa. Dowody na realizację obowiązków związanych z testowaniem szeroko pojętego bezpieczeństwa organizacji mogą obejmować m.in.: harmonogramy testów; raporty z testów penetracyjnych; raporty z audytów technicznych; wyniki ćwiczeń; scenariusze testów; potwierdzenia usunięcia wykrytych nieprawidłowości; ponowne testy potwierdzające skuteczność wdrożonych poprawek.

Zarządzanie podatnościami

Organ nadzoru będzie również oczekiwać wykazania, że organizacja stale monitoruje poziom bezpieczeństwa swoich systemów i jest w stanie wykrywać oraz usuwać podatności oddziałujące na stosowane przez podmiot zasoby. Przykładowe dowody, które pomogą wykazać zgodność w obszarze zarządzania podatnościami, obejmują m.in.: wyniki automatycznych skanów podatności (w tym dowody na weryfikację wyników przedstawianych przez działające w tle automaty); klasyfikację wykrytych podatności; harmonogram usuwania wykrytych podatności; potwierdzenie wdrożenia poprawek; raporty z ponownych skanów; ewentualne wyjątki zaakceptowane na podstawie wyników analizy ryzyka.

Zarządzanie dostawcami

Ustawa KSC podkreśla również wagę bezpieczeństwa łańcucha dostaw. W celu wykazania zgodności w tym obszarze należy gromadzić w szczególności: wyniki oceny dostawców; kwestionariusze bezpieczeństwa; raporty due diligence; dokumentację oceny ryzyka współpracy; raporty z monitorowania realizacji obowiązków przez dostawców. Istotna jest również treść umów z dostawcami, które powinny zawierać postanowienia pozwalające na zarządzanie ryzykiem związanym z wykorzystaniem zewnętrznych podmiotów.

Kopie zapasowe i ciągłość działania

Większość podmiotów, które w jakikolwiek sposób wdrożyły dokumentację dot. cyberbezpieczeństwa, z pewnością posiada postanowienia procedur dot. wykonywania kopii zapasowych. Sama procedura nie stanowi jednak jeszcze dowodu skuteczności przyjętych środków. W celu wykazania praktycznej realizacji obowiązków należy gromadzić m.in.: logi dot. wykonywania kopii zapasowych; raporty związane ze skutecznym wykonaniem kopii zapasowych; wyniki testów odtworzeniowych; harmonogramy wykonywania kopii.

Same kopie zapasowe nie stanowią przy tym pełnego procesu zarządzania ciągłością działania. Organizacje powinny również przyjąć (a także regularnie testować) plany zachowania ciągłości działania (BCP – business continuity plan), plany reagowania i przywracania sprawności, w tym tzw. Disaster Recovery Plan (DRP), ocenić wewnętrzne procesy i zasoby pod kątem istotności, ustalić minimalny akceptowalny czas przerwy w działaniu i określić, jakie środki organizacja może podjąć w celu zapewnienia ciągłości funkcjonowania co najmniej kluczowych dla jej działalności obszarów.

Monitorowanie i wykrywanie zagrożeń

W zakresie monitorowania i wykrywania zagrożeń, poza formalnie przyjętymi procedurami, należy dokumentować m.in.: logi systemowe; raporty z systemów (np. SIEM); alerty bezpieczeństwa; statystyki monitorowania; działania analityków SOC (jeżeli SOC zostało wdrożone w organizacji); raporty z obsługi alertów; czas reakcji na wykryte zdarzenia.

Takie udokumentowanie pomaga udowodnić, że monitorowanie stanowi aktywny proces, a nie jedynie funkcję uruchomioną w narzędziu.

Audyty, przeglądy i dalsze doskonalenie

Każdy system zarządzania bezpieczeństwem informacji powinien podlegać regularnej ocenie. Dowodami na realizację obowiązków związanych z audytami, przeglądami i dalszym doskonaleniem będą między innymi: raporty z audytów wewnętrznych; wyniki przeglądów kierownictwa; plany działań korygujących; status realizacji zaleceń; ponowne oceny skuteczności wdrożonych usprawnień.

To właśnie m.in. wyżej wskazane materiały pozwalają wykazać, że system zarządzania bezpieczeństwem informacji rozwija się wraz ze zmieniającym się poziomem ryzyka.

Zmiana podejścia

W realiach NIS2 i ustawy KSC organizacje powinny odejść od myślenia o zgodności jako zbiorze dokumentów przechowywanych w segregatorach czy repozytorium plików. Ważniejsza jest zdolność wykazania, że przyjęte rozwiązania rzeczywiście funkcjonują, są stosowane w praktyce oraz podlegają bieżącej ocenie i doskonaleniu.

Największą wartość dowodową mają materiały powstające naturalnie w toku realizacji procesów: rejestry, logi, raporty, wyniki testów, zgłoszenia, protokoły, dashboardy czy decyzje kierownictwa. To one tworzą spójny obraz organizacji, która nie tylko opracowała wymagane procedury, lecz także faktycznie zarządza ryzykiem w cyberbezpieczeństwie.

W praktyce warto już dziś przeprowadzić przegląd poszczególnych obowiązków wynikających z NIS2 i ustawy o KSC oraz odpowiedzieć na proste pytanie: gdyby organ nadzoru poprosił o wykazanie realizacji konkretnego obowiązku, jakie obiektywne dowody moglibyśmy przedstawić? Odpowiedź na to pytanie często pozwala szybciej zidentyfikować rzeczywiste luki w systemie zarządzania bezpieczeństwem informacji niż kolejny „pusty” przegląd samej dokumentacji.

autorzy:

Tomasz Kamiński, adwokat i wspólnik w Krzysztof Rożko i Wspólnicy Kancelaria Prawna

Daniel Niwiński, prawnik, ekspert ds. cyberbezpieczeństwa w Kancelarii Krzysztof Rożko i Wspólnicy