Poliitikate elutsükli juhtimine ISO 27001, NIS2 ja DORA nõuete täitmiseks

E-kiri saabus infoturbejuht Maria Petrova postkasti vaikse mütsatusega, mis mõjus nagu sireen. Selle oli saatnud välisaudiitor ning see sisaldas esialgset päringute loetelu ühendatud ISO/IEC 27001:2022 järelevalveauditi ja DORA valmisolekuhindamise jaoks. Esimene punkt näis lihtne:

„Palun esitage kehtiv infoturbepoliitika, selle täielik versiooniajalugu, tõendusmaterjal juhtkonna kinnituse kohta iga versiooni puhul ning kirjed selle edastamise kohta asjakohastele töötajatele viimase 24 kuu jooksul.”

Maria ettevõttel, keskmise suurusega fintech-platvormil, olid poliitikad olemas. Neid oli kümneid. Neil oli infoturbepoliitika, intsidentidele reageerimise plaan, tarnijate turbeküsimustik, riskiregister, juurdepääsukontrolli protseduur, talitluspidevuse plaan ja audititõenditega täidetud kaust. Kuid failid paiknesid laiali SharePointi saitidel, vanades Confluence’i ruumides, e-kirjalõimedes, piletite manustes ja ühisketastel, mille omanikud olid ettevõttest juba lahkunud.

Tegelik probleem sai selgeks siis, kui saabusid audiitori täpsustavad küsimused.

Kes kinnitas kehtiva intsidendiprotseduuri? Miks näitab SharePointis olev tarnijate turbepoliitika versiooni 2.1, kuid hange kasutab versiooni 1.8? Milline poliitika vastab NIS2 Article 21 riskijuhtimismeetmetele? Kus on kirje, mis näitab, et töötajaid teavitati viimasest poliitikamuudatusest? Miks anti privilegeeritud juurdepääsu erand, kes aktsepteeris jääkriski ja millal erand aegub? Kas aegunud dokumendid on operatiivsest kasutusest eemaldatud? Kui kaua säilitatakse auditiaruandeid? Kas ettevõte suudab tõendada, et poliitikate kogu vaadati pärast viimast suuremat süsteemimuudatust läbi?

Marial olid kontrollimeetmed olemas, kuid puudus kontroll kontrollimeetmete üle.

See on poliitikate elutsükli juhtimise probleem 2026. aastal. Organisatsioonid ei kuku auditites enam läbi ainult seetõttu, et tulemüürireegel on vale või varukoopiate test puudub. Nad kukuvad läbi, sest dokumenteeritud teave on killustatud, auditiks sobimatu, dubleeritud, aegunud, kontrollimata või õiguslikest kohustustest lahti seotud. ISO/IEC 27001:2022 punkti 7.5 kohaselt ei ole dokumenteeritud teave administratiivne korrashoid. See on ISMS-i töömälu. NIS2 kontekstis toetab see juhtorgani heakskiitu ja järelevalvet. DORA kontekstis muutub see IKT-riskide juhtimise raamistiku ja toimepidevuse tõendusjälje osaks. GDPR kontekstis tõendab see vastutust.

Clarysec’i vaade on lihtne: poliitikate kogu ei ole dokumendiprügila. See on juhitud tõendusmaterjali süsteem.

Miks poliitikate elutsükli juhtimine on nüüd juhatuse tasandi küsimus

Poliitikate elutsükli juhtimine on distsipliin, mis hõlmab poliitikate ja nendega seotud kirjete loomist, kinnitamist, avaldamist, edastamist, läbivaatamist, muutmist, kasutuselt kõrvaldamist, säilitamist ja tõendamist. See vastab küsimustele, mida audiitorid, regulaatorid, kliendid ja juhatused nüüd tavapäraselt esitavad:

1. Kes on iga poliitika omanik?
2. Kes selle kinnitab?
3. Milliseid õiguslikke, lepingulisi ja riskipõhiseid nõudeid see täidab?
4. Millised kontrollimeetmed ja protseduurid seda rakendavad?
5. Milline versioon on kehtiv?
6. Keda sellest teavitati, keda koolitati või kellelt nõuti kinnitust?
7. Millised erandid on sellega seotud?
8. Millised kirjed tõendavad selle toimimist?
9. Mis juhtub siis, kui see muutub aegunuks?

ISO/IEC 27001:2022 toetab seda distsipliini punktiga 7.5 dokumenteeritud teabe kohta, punktiga 5 juhtimise kohta, punktiga 6 planeerimise ja riskikäsitluse kohta, punktiga 8 tegevuse ohje kohta ning lisa A kontrollimeetmetega, mis hõlmavad poliitikaid, kirjeid, õiguslikke nõudeid, tarnijaid, intsidente, talitluspidevust, privaatsust, logimist, seiret ja muudatuste juhtimist.

Regulatiivne surve on sama otsene.

NIS2 Article 20 nõuab, et juhtorganid kinnitaksid küberturbe riskijuhtimismeetmed, teeksid järelevalvet nende rakendamise üle ja saaksid asjakohast koolitust. Article 21 nõuab riskipõhiseid tehnilisi, operatiivseid ja organisatsioonilisi meetmeid, sealhulgas turbepoliitikaid, intsidentide käsitlemist, talitluspidevust, tarneahela turvet, turvalist arendust, tõhususe hindamist, küberhügieeni, krüptograafiat, personaliturvet, juurdepääsukontrolli, varahaldust ja autentimist. Poliitikakorpus, millel puuduvad omanikud, kinnitused ja läbivaatamise tõendusmaterjal, nõrgestab juhtkonna vastutuse tõendatavust.

DORA kohaldub alates 17. jaanuarist 2025 ning loob ühtse ELi raamistiku IKT-riskide juhtimise, intsidentidest teatamise, digitaalse operatsioonilise toimepidevuse testimise, IKT kolmandate osapoolte riski ja lepinguliste nõuete jaoks. Finantsüksuste puhul, kes on NIS2 alusel ka olulised või tähtsad üksused, käsitatakse DORA-t vastavate küberturbekohustuste sektoripõhise liidu õigusaktina. Article 5 nõuab juhtorgani vastutust IKT-riskide juhtimise raamistiku, poliitikate, vastutuste, talitluspidevuse plaanide, auditite, IKT kolmandate osapoolte poliitikate, teavituskanalite ja koolituse eest. Article 6 nõuab hästi dokumenteeritud IKT-riskide juhtimise raamistikku, mida vaadatakse mitte-mikrofinantsüksuste puhul läbi vähemalt kord aastas ning parandatakse saadud õppetundide põhjal.

GDPR lisab vastutuse nõude. Article 5 nõuab, et isikuandmeid töödeldaks seaduslikult, õiglaselt, läbipaistvalt, kindlaksmääratud eesmärkidel, minimaalsuse, täpsuse, säilitamise piirangu ja turvalisuse põhimõtteid järgides. Article 5(2) paneb vastutavale töötlejale kohustuse tõendada vastavust. See tõendamine sõltub kontrollitud kirjetest: õigusliku aluse otsustest, säilitustähtaegadest, kohaldatavatest DPIA-dest, volitatud töötlejate hoolsuskontrollist, rikkumiste kirjetest, juurdepääsuõiguste ülevaatustest, koolituslogidest ja poliitikate kinnitustest.

Ühine nimetaja on tõendusmaterjal. Audiitor ei küsi ainult seda, kas poliitika on olemas. Ta küsib selle sünnitunnistust, versiooniajalugu, kinnituste jälge, teavituskirjet, seotud protseduure ja operatiivseid kirjeid, mis tõendavad, et see toimib.

ISO/IEC 27001:2022 dokumenteeritud teabe selgroog

Kaitstava dokumentatsiooni selgroog on ISO/IEC 27001:2022 punkt 7.5 „Dokumenteeritud teave”. See nõuab, et organisatsioonid looksid, ajakohastaksid ja kontrolliksid dokumenteeritud teavet, mida ISMS vajab ja mida standard nõuab.

Praktikas saab seda mõista dokumenteeritud teabe jagamisena kolmeks kihiks:

Clarysec’i Zenith Blueprint: audiitori 30-sammuline teekaart käsitleb seda selgelt ISMS-i vundamendi ja juhtimise etapis, sammus 6: dokumenteeritud teabe ja ISMS-i kogu loomine. See selgitab, et punkt 7.5 hõlmab dokumentatsiooni üldiselt, selle loomist ja ajakohastamist ning dokumenteeritud teabe ohjet.

Zenith Blueprint muudab selle praktiliseks rakendusjuhiseks:

„Dokumentidel peab olema nõuetekohane identifitseerimine (pealkiri, vajaduse korral dokumendinumber või kordumatu identifikaator, autor), sobiv vorming … ning piisavuse läbivaatamine ja kinnitamine enne kasutamist.”

See annab ka operatiivse reegli, mille paljud organisatsioonid kahe silma vahele jätavad:

„Tagage, et hõlpsasti leitav oleks ainult kehtiv versioon (arhiivige aegunud versioonid või märkige need selgelt asendatuks).”

Just siin lagunevad paljud ISMS-i rakendused vaikselt. Poliitika võis kunagi olla kinnitatud, kuid kui vanad versioonid on endiselt kättesaadavad, töötajad kasutavad aegunud protseduure või audiitorid ei suuda muudatusi jälgida, ei ole dokument sisuliselt enam kontrolli all.

Zenith Blueprint soovitab luua „ISMS-i dokumentatsioonikogu”, mis sisaldab kaustu poliitikate ja protseduuride, riskihindamise ja SoA, koolitusandmete, auditi ja läbivaatuse, intsidendikirjete, varade ja registri ning lisa A kontrollimeetmete kogu jaoks. Samuti märgitakse, et hoidla peab olema „kättesaadav, kuid turvaline”, nii et poliitikad on töötajatele loetavad, kuid konfidentsiaalsed kaustad, nagu riskihindamised ja intsidendikirjed, on piiratud juurdepääsuga.

See ei ole pelgalt failide korrastamise mudel. See on juhtimisarhitektuur.

Clarysec’i poliitikate elutsükli mudel

Clarysec struktureerib ISO 27001 poliitikate elutsükli juhtimise suletud tsüklina: nõue, omanik, dokument, kinnitus, avaldamine, teavitamine, tõendusmaterjal, läbivaatamine, muudatus, säilitamine ja kasutuselt kõrvaldamine. See tsükkel väldib klassikalist auditiriski, kus ettevõttel on dokumendid olemas, kuid ta ei suuda tõendada volitust, ajakohasust ega kontrolli.

See elutsükkel on tugevam kui ühekordne kinnitus, sest see seob dokumendid kontrollimeetmete, omanike ja tõendusmaterjaliga. See toetab ka ristvastavust. Üks intsidentidele reageerimise poliitika võib olla seotud ISO/IEC 27001:2022 lisa A intsidendikontrollidega, NIS2 Article 23 teavitamisvalmidusega, DORA intsidendi klassifitseerimise ja teavitamise protsessidega, GDPR isikuandmetega seotud rikkumiste käsitlemisega, NIST CSF 2.0 Respond tulemitega ja COBIT 2019 juhtimisootustega.

Mida Clarysec’i poliitikad nõuavad läbivaatamise, versioonihalduse ja tõendusmaterjali kohta

Clarysec’i poliitikate kogu on kavandatud nii, et poliitikate elutsükli nõuded ei jääks tõlgendamise küsimuseks.

VKE-de jaoks määrab Infoturbepoliitika-sme - VKE selge läbivaatamise käivitaja:

„Tegevjuht (GM) peab selle poliitika läbi vaatama vähemalt kord aastas, et tagada jätkuv vastavus ISO/IEC 27001 sertifitseerimisnõuetele, regulatiivsetele muudatustele (näiteks GDPR, NIS2 ja DORA) ning muutuvatele ärivajadustele.”

See nõuab ka dokumenteeritud muudatuskirjeid:

„Kõik poliitika läbivaatamised ja muudatused tuleb ametlikult dokumenteerida, märkides selgelt kuupäeva, muudatuste olemuse ja GM-i kinnituse.”

Samuti säilitab see ajaloolise jälgitavuse:

„Poliitikaversioonide ajaloolist kirjet tuleb turvaliselt säilitada, et auditite käigus tõendada poliitika arengut ja vastavust.”

Need kolm klauslit lahendavad levinud VKE probleemi. Organisatsioonil ei pruugi olla suurt juhtimisüksust, kuid tal on siiski vaja tõendada läbivaatamist, kinnitamist ja versiooniajalugu.

VKE Juhtimisrollide ja vastutuste poliitika-sme - VKE lisab juhtimisotsuste jälgitavuse nõude:

„Kõik olulised turbeotsused, erandid ja eskaleerimised tuleb registreerida ja teha jälgitavaks.”

See klausel on poliitikaerandite puhul kriitiline. Ajutine kõrvalekalle MFA-st, viibiv tarnija läbivaatus või erakorraline muudatus logide säilitamises ei tohi eksisteerida ainult e-kirjalõimedes. See peab olema seotud asjakohase poliitika, kontrollimeetme, riskiomaniku, jääkriski otsuse ja aegumiskuupäevaga.

Tõendusmaterjali tsentraliseerimise kohta sätestab VKE Auditi ja vastavuse seire poliitika-sme - VKE:

„Kogu tõendusmaterjal tuleb salvestada tsentraliseeritud auditikausta.”

Ettevõttekeskkondades nõuab Clarysec’i Infoturbepoliitika, et poliitikad oleksid:

„versioonihaldusega kajastatud ja dokumenteeritud”

ning:

„edastatud kõigile mõjutatud osapooltele ametlike sidekanalite kaudu”

Ettevõtte Juhtimisrollide ja vastutuste poliitika hõlmab mõistet:

„poliitika omanik ja kinnitaja”

Ettevõtte Auditi ja vastavuse seire poliitika lisab säilitamise ootused:

„Aruandeid tuleb säilitada vähemalt kuus aastat (või kauem, kui õiguslikult nõutav), turvaliselt hoiustada ning hallata versioonihalduse all vastavalt dokumentide ja kirjete haldamise poliitikale (P6).”

Lõpuks seob ettevõtte Õigusnormidele vastavuse poliitika õiguslikud kohustused ISMS-iga:

„Kõik õiguslikud ja regulatiivsed kohustused tuleb infoturbe juhtimissüsteemis (ISMS) seostada konkreetsete poliitikate, kontrollimeetmete ja omanikega.”

See nõue on sild poliitikate elutsükli juhtimise ning NIS2, DORA ja GDPR tõendusmaterjali vahel. Ilma kohustuste vastenduseta võivad ettevõttel dokumendid olemas olla, kuid ta ei saa näidata, et need dokumendid täidavad konkreetseid õiguslikke, lepingulisi või riskipõhiseid nõudeid.

Kontrollimeetmete kolmnurk: poliitikad, kirjed ja tööprotseduurid

Clarysec’i Zenith Controls: ristvastavuse juhend annab selle teema jaoks ristvastavuse kompassi. ISO/IEC 27002:2022 kontrollimeetme 5.1 „Infoturbe poliitikad” puhul määratleb Zenith Controls selle ennetava kontrollimeetmena, mis toetab konfidentsiaalsust, terviklust ja käideldavust, on kooskõlas juhtimise ja küberturbe tuvastamise kontseptsioonidega ning seotud juhtimise ja poliitikahalduse operatiivsete võimekustega.

See on oluline, sest poliitikate juhtimine ei ole ainult vastavusartefakt. See on ennetav. Selgelt omatud ja edastatud juurdepääsukontrolli poliitika vähendab loata juurdepääsu riski enne intsidentide tekkimist. Nõuetekohaselt kinnitatud tarnijapoliitika ennetab juhitamata allhankeriski. Kontrollitud intsidendiprotseduur parandab reageerimise järjepidevust enne esimese regulatiivse teavitustähtaja käivitumist.

Zenith Controls toob esile ka ISO/IEC 27002:2022 kontrollimeetme 5.33 „Kirjete kaitse” ennetava kontrollimeetmena, mis on kooskõlas õigus- ja vastavusvaldkonna, varahalduse ning teabekaitsega. See on audititõendite keskmes. Zenith Blueprint laiendab sama kontseptsiooni etapis „Kontrollimeetmed praktikas”, sammus 23:

„Kirjed ei ole üksnes varasemate otsuste jäänukid. Need on tõendusmaterjal vastavuse, tegevuse ja vastutuse kohta.”

See jätkub:

„Kirjed on nõuetekohaselt kaitstud kaotsimineku, loata juurdepääsu, rikkumise ja enneaegse hävitamise eest”

Asjakohane on ka ISO/IEC 27002:2022 kontrollimeede 5.37 „Dokumenteeritud tööprotseduurid”. Zenith Controls liigitab selle ennetavaks ja korrigeerivaks kontrollimeetmeks, mis toetab kaitset ja taastet. DORA ja NIS2 puhul on dokumenteeritud tööprotseduurid viis, kuidas poliitika muutub korratavaks tegevuseks: intsidendi esmane hindamine, varukoopiate taastamine, tarnija kaasamine, haavatavuste käsitlemine, turvaline arendus, muudatuste juhtimine, tõendite kogumine ja kriisikommunikatsioon.

Koos moodustavad 5.1, 5.33 ja 5.37 poliitikate elutsükli kontrollimeetmete kolmnurga:

Küps ISMS vajab kõiki kolme. Poliitikad ilma kirjeteta on deklaratsioonid. Kirjed ilma protseduurideta on ebaühtlased. Protseduurid ilma poliitikasuuniseta muutuvad kohalike harjumuste, mitte juhitud kontrollimeetmete kogumiks.

Ristvastavuse vastendus ISO 27001, NIS2, DORA, GDPR, NIST ja COBIT jaoks

Poliitikate eraldi haldamine ISO 27001, NIS2, DORA ja GDPR jaoks tekitab dubleerimist, vastuolusid ja tõendusmaterjali väsimust. Parem mudel on säilitada üks kontrollitud ISMS-i kogu koos vastendusmetaandmetega. See võimaldab ühel tõendusmaterjali korpusel rahuldada mitme kindlustandva sihtrühma vajadusi.

NIST CSF 2.0 on eriti kasulik kommunikatsioonikihina. Selle GOVERN-funktsioon eeldab, et õiguslikud, regulatiivsed ja lepingulised kohustused on mõistetud, riskijuhtimise eesmärgid ja vastutused on määratletud, poliitikad on kehtestatud ja ajakohastatud ning tulemusi hinnatakse. Selle organisatsiooniprofiili meetod annab ka praktilise protsessi: määratleda profiili ulatus, koguda sisendid, nagu poliitikad, riskiprioriteedid ja nõuded, luua praegused ja sihtprofiilid, analüüsida lünki ning rakendada prioriseeritud tegevuskava.

See haakub tihedalt Clarysec’i lähenemisega: ehitada üks tõendusmaterjaliga toetatud tegevusmudel ja seejärel vastendada see NIS2, DORA, GDPR, NIST ja COBIT suunas, selle asemel et hoida eraldi vastavussilosid.

Ühenädalane sprint poliitika tõendusmaterjali kontrollipaketi loomiseks

Täielik poliitikate juhtimise ümberkujundamine võtab aega, kuid fokuseeritud ühenädalane sprint võib tuua lüngad nähtavale ja luua kaitstava vundamendi.

1. päev: looge dokumendiregister

Alustage arvutustabelist, GRC-süsteemist või struktureeritud SharePointi loendist. Dokumendiregister on indeks, mis võimaldab audiitoritel tõendusmaterjali korpuses liikuda.

Ärge tehke seda liiga keeruliseks. Kui register näitab usaldusväärselt omanikku, kinnitajat, versiooni, läbivaatamise kuupäeva, vastendust ja tõendusmaterjali asukohta, lahendab see juba paljud auditi käigus ilmnevad tõendusmaterjali leidmise probleemid.

2. päev: looge hoidla

Järgige Zenith Blueprint sammu 6 struktuuri: poliitikad ja protseduurid, riskihindamine ja SoA, koolitus- ja teadlikkuskirjed, audit ja läbivaatamine, intsidendikirjed, varad ja register ning kontrollimeetmete kogu.

Rakendage juurdepääsureeglid. Poliitikad võivad olla kõigile töötajatele loetavad. Riskihindamise kirjed peaksid olema piiratud ISMS-i meeskonnale ja juhtkonnale. Intsidendikirjed peaksid olema kättesaadavad teadmisvajaduse alusel. Tarnijalepingud peaksid piirduma hanke-, õigus-, finants- ja turbefunktsiooniga. Aegunud dokumendid ei tohiks olla igapäevaseks kasutamiseks kättesaadavad, kuid need tuleb auditijälje jaoks säilitada.

3. päev: standardiseerige päised ja muudatuste logid

Iga poliitika peaks sisaldama dokumendi nime, omanikku, kinnitajat, versiooni, jõustumiskuupäeva, järgmise läbivaatamise kuupäeva, klassifikatsiooni, seotud kontrollimeetmeid, seotud õiguslikke kohustusi ja muudatuste ajalugu.

See toetab ISO/IEC 27001:2022 dokumenteeritud teabe ohjet, NIS2 juhtkonna järelevalvet, DORA läbivaatamise ootusi ja GDPR vastutust.

4. päev: siduge erandid poliitikatega

Looge erandiregister, mis sisaldab erandi ID-d, mõjutatud poliitikat, mõjutatud kontrollimeedet, ärilist põhjendust, kompenseerivaid kontrollimeetmeid, riskiomanikku, kinnitust, aegumiskuupäeva ja läbivaatamise staatust.

Näiteks ei toeta pärandsüsteem 60 päeva jooksul MFA-d. Erand seotakse juurdepääsukontrolli poliitika, varade registri, riskiregistri ja parandusmeetmete plaaniga. Riskiomanik kinnitab jääkriski ning erand aegub automaatselt, kui seda ei pikendata. See rakendab Clarysec’i VKE juhtimisnõuet, mille kohaselt olulised otsused, erandid ja eskaleerimised tuleb registreerida ja teha jälgitavaks.

5. päev: looge auditi tõendusmaterjali pakett

Looge iga tipp-poliitika jaoks tõendusmaterjali alamkaust, mis sisaldab kinnitatud kehtivat versiooni, eelmist versiooni ja muudatuste logi, kinnituse tõendusmaterjali, teavitamise tõendusmaterjali, koolitus- või kinnituskirjet, seotud protseduuri, seotud operatiivkirjet, erandeid, viimase läbivaatamise kirjet, järgmise läbivaatamise kuupäeva ning vastendust õiguslike kohustuste ja kontrollimeetmetega.

Intsidentidele reageerimise puhul lisage lauaõppuste kirjed, intsidendi klassifitseerimise kriteeriumid, kontaktloendid, intsidendijärgse ülevaatuse mallid ja teavitamisotsuste kirjed. See toetab NIS2 Article 23 etapiviisilist teavitamisvalmidust, DORA intsidendi klassifitseerimist ja GDPR rikkumistega seotud vastutust.

6. päev: testige leitavust

Paluge siseaudiitoril või vastavusjuhil leida tõendusmaterjal kolme küsimuse kohta:

1. Tõendage, et infoturbepoliitika kinnitati, edastati ja vaadati läbi.
2. Tõendage, et tarnijate turbekohustused on vastendatud DORA ja NIS2 nõuetega.
3. Tõendage, et GDPR vastutuse tõendusmaterjal on säilitatud ja kaitstud.

Kui iga küsimuse kohta tõendusmaterjali leidmine võtab üle 30 minuti, vajab hoidla parandamist.

7. päev: esitage juhtkonnale

Võtke poliitikate elutsükli staatus kokku juhtkonna läbivaatamisel:

• kehtivad, tähtaja ületanud või 90 päeva jooksul läbivaatamisele kuuluvad poliitikad;
• avatud ja aegunud erandid;
• lüngad tõendusmaterjalis;
• regulatiivse vastenduse uuendused;
• auditileiud;
• parandusmeetmed;
• ressursivajadused.

See sulgeb tsükli ISO/IEC 27001:2022 juhtimisootuste, NIS2 juhatuse vastutuse ja DORA juhtorgani järelevalvega.

Kuidas audiitorid teie poliitikate elutsüklit hindavad

Eri audiitorid vaatavad sama tõendusmaterjali eri vaatenurkadest.

ISO/IEC 27001:2022 audiitor alustab dokumenteeritud teabe ohjest. Ta kontrollib, kas nõutavad dokumendid on olemas, kas need on enne kasutamist kinnitatud, kas versioonid on kontrolli all, kas dokumendid on vajalikus kohas kättesaadavad, kas konfidentsiaalsed kirjed on kaitstud ning kas aegunud dokumentide tahtmatu kasutamine on välistatud. Ta seob poliitikate elutsükli juhtimise, riskikäsitluse, tegevuse ohje, siseauditi ja juhtkonna läbivaatamisega.

DORA-le keskenduv hindaja lähtub toimepidevusest. Ta uurib, kas IKT-riskide juhtimise raamistik on hästi dokumenteeritud, juhtkonna poolt kinnitatud, kohaldatavatel juhtudel vähemalt kord aastas läbi vaadatud, regulaarselt auditeeritud, saadud õppetundide põhjal täiustatud ning seotud intsidentidest teatamise, testimise, kolmandate osapoolte riski, talitluspidevuse ja taastamisega.

NIS2 regulaator soovib näha katkematut tõendusmaterjali ahelat riskide tuvastamisest küberturbe riskijuhtimismeetmeteni, sealt juhtorgani kinnituse, rakendamise ja seireni. Iga katkestus selles ahelas võib näida hoolsuskohustuse rikkumisena.

GDPR audiitor või privaatsuse ülevaataja küsib, kas isikuandmete juhtimise kirjed tõendavad vastutust: töötlemise eesmärgid, õiguslik alus, säilitamine, tehnilised ja korralduslikud meetmed, volitatud töötlejate kontrollid, rikkumiste kirjed ja poliitika järgimise tõendusmaterjal.

COBIT 2019 või ISACA-stiilis audiitor keskendub juhtimissüsteemi komponentidele: protsessid, organisatsioonilised struktuurid, teabevood, poliitikad, rollid, kultuur, oskused ja teenused. Ta küsib, kas omaniklus on määratletud, kas juhtkond jälgib toimivust, kas erandid eskaleeritakse ning kas tõendusmaterjal toetab kontrollimeetmete toimimist ja juhtkonna järelevalvet.

Sama kontrollitud tõendusmaterjali hoidla saab neid kõiki rahuldada, kuid ainult siis, kui dokumendid on vastendatud, ajakohased, kaitstud ja jälgitavad.

Levinud poliitika elutsükli puudused, mis tuleb enne audiitori saabumist kõrvaldada

Enamik poliitikate elutsükli puudusi on põhilised juhtimisnõrkused, mis korduvad eri keskkondades:

• Poliitikad on olemas, kuid neil puudub nimeline omanik.
• Kinnitajad on ebaselged, aegunud või riski jaoks liiga madala tasemega.
• Poliitikad on kinnitatud, kuid neid ei ole edastatud.
• Läbivaatamise kuupäevad jäävad eskaleerimiseta ületatuks.
• Aegunud versioonid jäävad ühiskaustades kättesaadavaks.
• Protseduurid on poliitikatega vastuolus.
• Erandid kinnitatakse mitteametlikult e-posti teel.
• Õiguslikud kohustused on vastendatud raamistikega, kuid mitte tegelike kontrollimeetmete või omanikega.
• Audititõendid paiknevad isiklikel ketastel, piletihaldussüsteemides ja vestlussõnumites.
• Säilitustähtajad on määratlemata või rakendatakse neid ebaühtlaselt.
• Kirjeid säilitatakse, kuid need ei ole kaitstud loata muutmise eest.
• Tarnijapoliitikad ei ole seotud lepinguregistrite, hoolsuskontrolli ega väljumisplaanidega.
• Intsidendiprotseduurid ei ole kooskõlas NIS2, DORA või GDPR teavitamisotsuste punktidega.

Need probleemid tekitavad auditites hõõrdumist, sest need õõnestavad usaldust. Kui audiitor ei saa poliitikakorpust usaldada, uurib ta kontrollimeetmete toimimist sügavamalt.

Maria parandusplaan ei olnud kirjutada järjekordne poliitika. See oli luua üks tõeallikas. Ta määras ühe ametliku ISMS-i dokumentatsioonikogu, migreeris kehtivad poliitikad sinna, arhiveeris kontrollimata asukohad, standardiseeris omaniku ja kinnitaja väljad, lõi kinnitamise töövood, vastendas poliitikad NIS2 ja DORA kohustustega ning andis audiitoritele kirjutuskaitstud juurdepääsu struktureeritud tõendusmaterjalile. Ärevuse allikast sai kontrolli tõendus.

Clarysec’i edasine tee

Poliitikate elutsükli juhtimine ei ole bürokraatlik lisakoormus. See on tegevusdistsipliin, mis teeb ISO 27001 dokumenteeritud teabe, NIS2 juhtkonna vastutuse, DORA IKT-riskide juhtimise ja GDPR vastutuse kaitstavaks.

Kasutage Zenith Blueprint: audiitori 30-sammuline teekaart, et ehitada ISMS-i kogu õiges etapis ja järjekorras, eriti samm 6 dokumenteeritud teabe ja samm 22 poliitikate juhtimise jaoks. Kasutage Clarysec’i VKE ja ettevõtte poliitikaid, et määratleda läbivaatamise, kinnitamise, versioonihalduse, teavitamise, jälgitavuse, tõendusmaterjali tsentraliseerimise ja säilitamise nõuded. Kasutage Zenith Controls: ristvastavuse juhend, et vastendada ISO/IEC 27002:2022 kontrollimeetmed, nagu 5.1, 5.33 ja 5.37, ristvastavuse ootuste, kontrollimeetmete atribuutide ja auditi vaatenurkadega.

Enne uue tööriista ostmist või järgmise poliitika kirjutamist vastake ühele küsimusele:

Kas saate tõendada, et iga oluline poliitika on omanikuga seotud, kinnitatud, ajakohane, edastatud, vastendatud, tõendusmaterjaliga kaetud, läbi vaadatud, kaitstud ja korrektselt kasutuselt kõrvaldatud?

Kui vastus on veel eitav, saab Clarysec aidata teil luua tõendusmaterjaliks valmis ISMS-i kogu, poliitikate elutsükli töövoo ja ristvastavuse vastenduse, mida audiitorid, juhatused ja kliendid 2026. aastal ootavad. Laadige alla Zenith Blueprint, tutvuge Clarysec’i VKE ja ettevõtte poliitikapakettidega või broneerige valmisoleku hindamine, et muuta oma poliitikate kogu kaitstavaks vastavusvaraks.