Veliko podjetij misli, da URSIV preverja predvsem, ali “imajo dokumentacijo”. V praksi je to premalo. Ključno je, ali organizacija lahko pokaže sistem upravljanja, izvajanje ukrepov, dokazila, odgovornosti in dejansko pripravljenost na incident, nadzor ali presojo.
Pri nadzoru po ZInfV-1 ni dovolj, da organizacija pokaže samo politike in postopke. Ključno je, ali lahko pokaže, da so zahteve vzpostavljene, izvajane in dokazljive.
To pomeni predvsem: sistem upravljanja varovanja informacij, ukrepe za obvladovanje tveganj, prijavo pomembnih incidentov, vključitev vodstva, jasno določene odgovornosti, dokaze o izvajanju ukrepov in sposobnost hitrega prikaza dejanskega stanja.
Največja razlika v praksi: dokumentacija sama po sebi ne zadostuje. Nadzor se zelo hitro premakne na vprašanje, ali organizacija lahko pokaže sled odločitev, status ukrepov, dokaze in povezavo med zahtevami zakona in dejanskim izvajanjem.
Nadzor po ZInfV-1 je namenjen preverjanju, ali organizacija dejansko izpolnjuje svoje zakonske obveznosti, ne le tega, ali je pripravila formalne dokumente.
Nadzor je bistveno lažji za organizacijo, ki ima dokaze strukturirane in povezane z odgovornostmi, roki in statusom izvedbe.
Ne samo dokumenti, ampak tudi dokaz, da so bili pregledani, odobreni in uporabljeni v praksi.
Razvidno mora biti, katera tveganja so prepoznana, kako so obravnavana in kdo je odgovoren.
Nadzor zelo hitro pokaže, ali so ukrepi dejansko v izvajanju, zaključeni ali pa obstajajo samo kot seznam želja.
Pomembno je, da je razvidno, kdo je bil usposobljen, kdaj in za katero področje.
Če je incident nastal, mora biti razvidno, kako je bil obravnavan, prijavljen in zaključen.
Pri številnih vprašanjih je ključno, ali lahko pokažete, kdaj je vodstvo odločilo, kaj je odobrilo in kako spremlja stanje.
Praktično: če morate med nadzorom dokaze iskati po e-pošti, Excelih in mapah brez jasne strukture, ste že v slabšem položaju.
ZInfV-1 določa konkretne roke za obveščanje in priglasitev pomembnih incidentov. To je področje, kjer je neskladnost zelo hitro vidna.
ZInfV-1 ne postavlja informacijske in kibernetske varnosti zgolj v domeno IT-ja. Nadzor bo zanimalo tudi, ali vodstvo področje dejansko podpira in usmerja.
Kar vodstvo pogosto spregleda: pri nadzoru ni pomembno samo, ali “ekipa nekaj dela”, ampak ali je to tudi upravljano, odobreno, spremljano in dokazljivo.
Čeprav se posamezni primeri razlikujejo, je logika nadzora običajno precej predvidljiva.
Najprej je pomembno, ali je organizacija pravilno opredelila svoj status in obveznosti.
Nato se preveri sistem upravljanja: dokumentacija, odgovornosti, tveganja, ukrepi in procesi.
Organizacija mora pokazati, da sistem ni samo zasnovan, ampak se tudi dejansko izvaja.
Če so vrzeli ugotovljene, lahko sledi odločba z ukrepi in roki za odpravo.
Če organizacija hitro in verodostojno ukrepa, je njen položaj bistveno boljši kot pri improvizaciji.
Nadzor ne pomeni enkratnega dogodka. Pomembna je sposobnost dolgoročnega upravljanja sistema.
Dve organizaciji lahko na papirju izgledata podobno, pri nadzoru pa je razlika ogromna.
Namen ni samo “imeti dokumentacijo”, ampak doseči stanje, ki je branljivo, sledljivo in uporabno v nadzoru.
Najprej preverimo status zavezanca, kategorijo subjekta in obseg obveznosti, ki jih je treba obvladovati.
Ugotovimo, katere vrzeli imajo največji vpliv na nadzor, dokazljivost in regulatorno tveganje.
Vzpostavimo strukturo dokazil, sled odločitev, statuse ukrepov in povezavo med zahtevami in dejanskim izvajanjem.
Pomagamo pripraviti organizacijo tako, da ob vprašanju “pokažite” ne začne improvizirati, ampak zna takoj pokazati stanje.
Najlažji nadzor je tisti, na katerega ste pripravljeni še preden se začne.
Rezerviraj pregled pripravljenostiNe. Dokumentacija je pomembna, vendar sama po sebi ne zadostuje. Ključno je, ali lahko organizacija pokaže tudi dejansko izvajanje ukrepov, odgovornosti, status nalog in dokazila.
Najpogosteje gre za to, da dokumenti obstajajo, ni pa sledljivosti, kdo je kaj odobril, kaj je bilo izvedeno, kateri ukrepi tečejo in kje so pripadajoča dokazila.
Da. Nadzor ne zanima samo IT del, ampak tudi, ali vodstvo področje podpira, spremlja in zna pokazati, da je vključeno v odločanje.
Ne nujno. Zakon predvideva tudi popravljalne ukrepe in roke za odpravo nepravilnosti. Vendar je položaj organizacije bistveno boljši, če lahko že takoj pokaže urejen sistem in napredek.
Običajno so to strukturirana dokazila: odobrene politike, register tveganj, status ukrepov, dokazi o usposabljanju, dokazi o incidentih in sled odločitev vodstva.
Da. Pomagamo pri oceni statusa, gap analizi, pripravi dokazil, vzpostavitvi evidence vaulta, audit traila in pripravi organizacije na vprašanja, ki se tipično pojavijo pri nadzoru.
RegulusAi vam pomaga oceniti, kako pripravljena je organizacija na nadzor, kje so največje vrzeli in katera dokazila morate urediti najprej.
Rezerviraj pregled pripravljenostiKontakt: hello@regulusai.si · regulusai.si
REGULUS