Dokumentacja, audyt, rejestr ryzyk – jak ogarnąć papierową stronę KSC bez paraliżu organizacji

Wdrażanie wymagań KSC/NIS2 w wielu organizacjach zaczyna się od technologii. Firmy inwestują w EDR, backup, MFA, SOC czy monitoring bezpieczeństwa. Bardzo szybko okazuje się jednak, że nie tylko jednym z największych wyzwań jest infrastruktura techniczna, ale także dokumentacja, procesy i przygotowanie organizacji do audytu.

To właśnie „papierowa strona” – tworzona jako papier, a nie wartościowy dokument – cyberbezpieczeństwa najczęściej powoduje chaos organizacyjny, przeciążenie zespołów oraz frustrację działów IT i compliance. W praktyce wiele organizacji nie ma problemu z wdrożeniem zabezpieczeń technicznych – problemem jest udowodnienie, że działają one w sposób uporządkowany, kontrolowany i zgodny z wymaganiami ustawy KSC oraz NIS2.

Szczególnie istotne są tutaj obowiązki wynikające z:

• art. 8 ustawy KSC – dotyczącego wdrożenia Systemu Zarządzania Bezpieczeństwem Informacji (SZBI),
• art. 10 ustawy KSC – dotyczącego środków organizacyjnych i dokumentacyjnych,
• art. 15 ustawy KSC – regulującego audyty bezpieczeństwa.

Dla IT Managerów, COO, CISO i osób odpowiedzialnych za compliance oznacza to jedno: trzeba stworzyć system dokumentacyjny, który będzie realnie działał, a nie tylko „ładnie wyglądał” podczas kontroli.

Dlaczego dokumentacja w KSC jest tak ważna?

Wiele organizacji nadal traktuje dokumentację bezpieczeństwa jako formalność. Tymczasem regulatorzy coraz częściej oceniają nie tylko same zabezpieczenia, ale przede wszystkim:

• sposób zarządzania bezpieczeństwem,
• powtarzalność procesów,
• udokumentowanie działań,
• możliwość odtworzenia decyzji,
• nadzór nad ryzykiem,
• zdolność organizacji do reagowania na incydenty.

Innymi słowy: nawet dobre zabezpieczenia techniczne mogą zostać zakwestionowane, jeśli organizacja nie potrafi wykazać:

• kto odpowiada za proces,
• kiedy został wdrożony,
• jak jest monitorowany,
• kiedy był aktualizowany,
• kto zatwierdził zmiany.

Właśnie dlatego dokumentacja przestaje być dodatkiem do cyberbezpieczeństwa – staje się jego integralnym elementem.

Dokumentacja normatywna a operacyjna – kluczowa różnica

Jednym z najczęściej popełnianych błędów jest wrzucanie wszystkich dokumentów do jednego worka.

Tymczasem w praktyce należy rozróżnić dwa podstawowe typy dokumentacji:

• dokumentację normatywną,
• dokumentację operacyjną.

Czym jest dokumentacja normatywna?

Dokumentacja normatywna określa zasady funkcjonowania organizacji w obszarze cyberbezpieczeństwa.

Są to między innymi:

• polityki bezpieczeństwa,
• procedury,
• regulaminy,
• instrukcje,
• standardy bezpieczeństwa,
• polityki zarządzania dostępem,
• polityki backupu,
• polityki zarządzania incydentami.

To właśnie te dokumenty odpowiadają na pytanie:
„Jak organizacja deklaruje, że działa?”

Czym jest dokumentacja operacyjna?

Dokumentacja operacyjna pokazuje natomiast, że organizacja rzeczywiście realizuje zapisane procesy.

Obejmuje ona między innymi:

• logi,
• raporty,
• checklisty,
• rejestry incydentów,
• rejestry ryzyk,
• protokoły,
• potwierdzenia szkoleń,
• wyniki testów,
• raporty z audytów,
• protokoły przeglądów.

To odpowiedź na pytanie: Jak organizacja działała w praktyce?

I właśnie tutaj pojawia się największy problem wielu firm. Dokumenty istnieją, ale:

• nie są aktualizowane,
• nie mają właściciela,
• nie posiadają wersjonowania,
• nie wiadomo, która wersja obowiązuje,
• nie ma śladu zatwierdzenia zmian.

Podczas audytu takie braki są widoczne natychmiast.

Wersjonowanie dokumentów – detal, który decyduje o wyniku audytu

Wiele organizacji nie docenia znaczenia wersjonowania dokumentacji. Tymczasem dla audytora jest to jeden z podstawowych elementów oceny dojrzałości organizacji.

Każdy dokument bezpieczeństwa powinien posiadać:

• numer wersji,
• datę publikacji,
• właściciela dokumentu,
• osobę zatwierdzającą,
• historię zmian,
• datę kolejnego przeglądu.

Dlaczego to tak ważne?

Bo bez wersjonowania organizacja nie jest w stanie wykazać:

• które procedury obowiązywały w momencie incydentu,
• kiedy wprowadzono zmiany,
• kto podjął decyzję,
• czy dokument był aktualizowany po zmianach technologicznych lub organizacyjnych.

W praktyce brak kontroli nad dokumentacją często oznacza dla audytora brak kontroli nad bezpieczeństwem.

Nadzór nad dokumentacją – czego oczekują audytorzy?

Audytorzy coraz częściej sprawdzają nie tylko istnienie dokumentów, ale również cały proces ich nadzorowania.

W praktyce oznacza to konieczność posiadania:

• procesu zatwierdzania dokumentów,
• procesu wycofywania nieaktualnych wersji,
• harmonogramu przeglądów,
• kontroli dostępu do dokumentacji,
• centralnego repozytorium dokumentów.

Organizacja musi być w stanie odpowiedzieć:

• kto może zmieniać dokumenty,
• kto je zatwierdza,
• gdzie są przechowywane,
• jak długo są archiwizowane,
• kto ma do nich dostęp.

Protokół zniszczenia wycofanej dokumentacji — mały szczegół, duże znaczenie

Jednym z najbardziej niedocenianych elementów jest sposób wycofywania nieaktualnych dokumentów.

W wielu organizacjach stare wersje:

• pozostają na dyskach sieciowych,
• są wysyłane mailem,
• funkcjonują równolegle z aktualnymi procedurami,
• trafiają do prywatnych folderów pracowników.

Dla audytora oznacza to ogromne ryzyko operacyjne.

Dlatego coraz częściej wymaga się:

• formalnego wycofania dokumentów,
• archiwizacji poprzednich wersji,
• prowadzenia rejestru zmian,
• protokołów zniszczenia wycofanej dokumentacji.

To właśnie taki „drobny szczegół” może przesądzić o ocenie dojrzałości procesu bezpieczeństwa.

Audyt KSC – czego firmy obawiają się najbardziej?

Największy problem nie polega zwykle na samym audycie. Problemem jest brak uporządkowania procesów przed audytem.

Najczęstsze problemy to:

• rozproszona dokumentacja,
• brak odpowiedzialności,
• chaos wersji,
• brak śladów zatwierdzeń,
• niespójność między praktyką a procedurami,
• brak dowodów realizacji działań.

W praktyce organizacje często wdrażają zabezpieczenia techniczne szybciej niż są w stanie uporządkować dokumentację.

Jak nie sparaliżować organizacji dokumentacją?

Największym błędem jest próba stworzenia wszystkiego jednocześnie.

Organizacje bardzo często produkują dziesiątki dokumentów, których później nikt:

• nie czyta,
• nie aktualizuje,
• nie stosuje.

Dokumentacja bezpieczeństwa powinna być:

• praktyczna,
• krótka,
• zrozumiała,
• przypisana do właścicieli,
• zintegrowana z realnymi procesami.

Celem nie jest stworzenie „segregatora pod audyt”. Celem jest stworzenie systemu zarządzania bezpieczeństwem, który rzeczywiście działa.

Od czego zacząć? Praktyczne podejście

Najlepszym rozwiązaniem jest rozpoczęcie od uporządkowania podstawowych elementów.

Krok 1. Inwentaryzacja istniejącej dokumentacji

Sprawdź:

• jakie dokumenty już istnieją,
• które są aktualne,
• kto jest właścicielem,
• czego brakuje.

Krok 2. Ustalenie struktury dokumentów

Podziel dokumentację na:

• polityki,
• procedury,
• instrukcje,
• rejestry,
• dokumentację operacyjną.

Krok 3. Wdrożenie wersjonowania

Każdy dokument powinien posiadać:

• numer wersji,
• datę,
• właściciela,
• historię zmian.

Krok 4. Ustalenie harmonogramu przeglądów

Dokumentacja bezpieczeństwa musi być regularnie aktualizowana.

Krok 5. Przygotowanie organizacji do audytu

Audyt zaczyna się dużo wcześniej niż przyjście audytora.

Podsumowanie

KSC/NIS2 sprawiają, że cyberbezpieczeństwo przestaje być wyłącznie domeną technologii. Coraz większe znaczenie mają dokumentacja, nadzór nad procesami oraz zdolność organizacji do wykazania, że bezpieczeństwo jest zarządzane w sposób systemowy.

Największym błędem jest traktowanie dokumentacji jako projektu „na kontrolę”. Dobrze przygotowany system dokumentacyjny powinien wspierać organizację operacyjnie, ograniczać chaos i ułatwiać zarządzanie ryzykiem.

Bo w praktyce audyt bardzo rzadko przegrywa się przez brak jednego dokumentu. Najczęściej przegrywa się go przez brak spójności, nadzoru i kontroli nad procesem.

Zaufaj ekspertom IT

Mamy bogate doświadczenie w realizacji kompleksowych rozwiązań do ochrony danych i zapobiegania wyciekom informacji dla firm różnej wielkości. Nasze rozwiązania są dostosowane do indywidualnych potrzeb klientów, tak, abyś mógł skupić się na kluczowych aspektach prowadzenia biznesu.

Chcesz dowiedzieć się więcej?

Skontaktuj się z nami, a przygotujemy dla Ciebie szczegółową ofertę przygotowaną indywidualnie do Twojej firmy: KONTAKT

Odwiedź nas także na: Facebook
Polecamy: Acronis Cyber Protect – kompleksowa ochrona danych i zabezpieczenie przed cyberzagrożeniami. Dlaczego warto wdrożyć go z Direct IT?