Kontrollien itsearviointi ISO 27001 -auditointinäyttöä varten

Vuoden 2026 auditointihaaste ei ole kontrollien puute vaan heikko näyttö

Videopuhelu käynnistyi maanantaina kello 09.10. Sarah, nopeasti kasvavan fintech-SaaS-yhtiön tietoturvajohtaja, katsoi näytöllään kolmea kuormittunutta kasvoa: GRC-toiminnon johtajaa, tietosuojavastaavaa ja IT-toimintojen johtajaa.

Yhtiöllä oli lähestymässä ISO/IEC 27001:2022 -standardin seuranta-auditointi. Hallitus halusi NIS2-valmiuskatsauksen perjantaihin mennessä. Finanssialan asiakas oli lisännyt sopimuksen uusimiseen DORA-tyyppisiä ICT-toimittajia koskevia kysymyksiä. Tietosuojavastaava valmisteli näyttöä GDPR:n osoitusvelvollisuutta varten.

Paperilla organisaatio näytti kypsältä. Käytössä oli riskirekisteri, soveltuvuuslausunto, pääsynhallinnan menettelyt, tietoturvapoikkeamiin reagoinnin pelikirjat, varmuuskopiointipolitiikat, toimittajien huolellisuusarvioinnin lomakkeet ja koulutussuoritustiedot.

Sitten alkoi näytön katselmointi.

Käyttöoikeuskatselmoinnin taulukosta puuttui nimetty katselmoija. Haavoittuvuusskannausraportti oli ajantasainen, mutta kukaan ei pystynyt osoittamaan, oliko kriittiset havainnot korjattu, hyväksytty riskinä vai edelleen avoinna. Toimittajan huolellisuusarviointi oli olemassa, mutta se oli tehty ennen merkittävää pilviarkkitehtuurin muutosta. Varmuuskopiointitestien kuvakaappaukset olivat hautautuneet keskusteluketjuun. Poikkeamien pöytäharjoituksen muistiinpanot olivat hyödyllisiä, mutta niitä ei voitu yhdistää tekijään. Insinöörit välittivät konfiguraatioiden kuvakaappauksia ilman asiayhteyttä. Kontrollien omistajat merkitsivät neljännesvuosittaisia tarkastuksia tehdyiksi, mutta näyttö oli epäyhtenäistä ja vaikeasti uudelleenkäytettävää.

Sarah tiesi, ettei ongelma ollut kontrollien puuttuminen. Ongelma oli puolustettavan ja toistettavan näytön puute.

Tämä on vuoden 2026 kontrollien itsearvioinnin aukko.

Organisaatioilla on dokumentoituja kontrolleja, hallintanäkymiä ja joskus myös jatkuvan valvonnan työkaluja. Ne eivät kuitenkaan usein pysty osoittamaan, että kontrollien omistajat testaavat kontrolleja yhdenmukaisesti, että näyttö on kattavaa ja ajantasaista ja että poikkeukset ohjautuvat korjaaviin toimenpiteisiin, johdon katselmointiin ja viranomaisraportointiin.

Kontrollien itsearviointi eli CSA ratkaisee tämän operatiivisen aukon. Oikein toteutettuna CSA luo kurinalaisen työnkulun, jossa kontrollien omistajat testaavat säännöllisesti kontrollien suunnittelua ja toiminnan tehokkuutta, liittävät mukaan auditointikelpoiset laatukriteerit täyttävän näytön, kirjaavat poikkeukset, osoittavat korjaavat toimenpiteet ja antavat johdolle luotettavan näkymän kontrollien tilaan.

Clarysecissä CSA käsitellään siltana ISMS:n, lakisääteisten velvoitteiden ja auditointinäytön välillä. Zenith Blueprint: auditoijan 30 askeleen tiekartta sijoittaa tämän käytännön auditointi-, katselmointi- ja parantamisvaiheeseen. Vaihe 26, auditoinnin toteutus, toteaa, että näytön keräämisen tulee sisältää haastatteluja, dokumentaation katselmointia, havainnointia, otantaa ja pistokokeita:

✓ Haastattele asiaankuuluvaa henkilöstöä: pyydä prosesseista vastaavia henkilöitä selittämään, miten he täyttävät vaatimukset.
✓ Katselmoi dokumentaatio: tarkista, että asiakirjat ja tallenteet ovat olemassa ja ajantasaisia.
✓ Havainnoi käytäntöjä: tee suoraa havainnointia, jos se on mahdollista.
✓ Käytä otantaa ja pistokokeita: kaikkea ei voi tarkistaa, joten käytä otantaa.

Tämän ajattelun ei pidä odottaa muodollista sisäistä tarkastusta. CSA tuo sen aikaisempaan vaiheeseen, kontrollien omistajien käsiin, jotta organisaatio voi osoittaa kuukausittain tai neljännesvuosittain, etteivät kontrollit ole vain kirjattuja vaan myös toimivia.

Miksi manuaaliset itsearvioinnit epäonnistuvat NIS2:n, DORA:n ja GDPR:n vaatimuksissa

Vanha taulukkoihin ja sähköpostiin perustuva kontrollien itsearviointimalli on rikki, koska se palkitsee valmistumisen eikä näytön laatua.

Yksi kontrollin omistaja lataa kuvakaappauksen. Toinen kirjoittaa ”vahvistettu politiikan mukaisesti”. Kolmas liittää lokien viennin ilman selitystä järjestelmästä, ajanjaksosta, katselmoijasta tai johtopäätöksestä. GRC-tiimi käyttää päiviä rakentaakseen tapahtumakulun uudelleen auditoijia, asiakkaita ja viranomaisia varten.

Tämä aiheuttaa neljä toistuvaa epäonnistumista:

• Epäyhtenäinen näyttö, jossa jokaisella omistajalla on eri käsitys hyväksyttävästä todentavasta aineistosta.
• Heikko attribuutio, jossa tiedostoista ei käy ilmi, kuka keräsi näytön, milloin ja mistä lähteestä.
• Muodollinen kuittaus ilman testausta, jossa kuormittuneet tiimit vakuuttavat kontrollin toimivan testaamatta sitä.
• Uudelleenkäytettävyyden puute, jossa ISO/IEC 27001:2022 -standardia varten kerätty näyttö ei tue helposti NIS2-, DORA- tai GDPR-vaatimuksia ilman manuaalista uudelleentulkintaa.

Nykyaikainen sääntely ei anna tälle mallille anteeksi.

NIS2 Article 20 tekee kyberturvallisuusriskien hallinnasta hallintoelimen vastuun. Johdon on hyväksyttävä toimenpiteet, valvottava toteutusta ja osallistuttava koulutukseen. Article 21 edellyttää asianmukaisia ja oikeasuhteisia teknisiä, operatiivisia ja organisatorisia toimenpiteitä, mukaan lukien riskianalyysi, poikkeamien käsittely, liiketoiminnan jatkuvuus, toimitusketjun turvallisuus, haavoittuvuuksien käsittely, vaikuttavuuden arviointi, kyberhygienia, pääsynhallinta, omaisuudenhallinta ja todennus.

Ilmaus ”vaikuttavuuden arviointi” tekee CSA:sta olennaisen. NIS2-toimija ei voi uskottavasti kertoa johdolle, että kyberturvallisuustoimenpiteet ovat tehokkaita, elleivät kontrollien omistajat testaa niitä ja dokumentoi tuloksia.

DORA on nostanut finanssialan toimijoiden vaatimustasoa 17.1.2025 alkaen. Se luo digitaalisen operatiivisen häiriönsietokyvyn järjestelmän, joka kattaa ICT-riskien hallinnan, poikkeamien ilmoittamisen, häiriönsietokyvyn testauksen, tietojen jakamisen ja ICT-kolmansien osapuolten riskit. DORA Article 5 edellyttää hallintoelimen vastuuta ICT-riskijärjestelyistä, politiikoista, rooleista, strategiasta, jatkuvuussuunnitelmista, auditointisuunnitelmista, kolmansia osapuolia koskevista politiikoista ja korjaavista toimenpiteistä. Article 6 edellyttää dokumentoitua ICT-riskienhallinnan viitekehystä, säännöllistä katselmointia, sisäistä tarkastusta muille kuin mikroyrityksille sekä kriittisten ICT-auditointihavaintojen korjaamista. Articles 24 to 26 tekevät häiriönsietokyvyn testauksesta toistuvan validointiohjelman, johon kuuluu asianmukainen riippumattomuus ja tietyille toimijoille uhkaperusteinen penetraatiotestaus.

CSA ei korvaa DORA-testausta. Se on kontrollien omistajataso, joka tekee DORA-testauksesta kestävää.

GDPR lisää tähän osoitusvelvollisuuden paineen. Article 5(2) edellyttää, että rekisterinpitäjät pystyvät osoittamaan henkilötietojen käsittelyä koskevien periaatteiden noudattamisen. Article 32 edellyttää käsittelyn asianmukaista turvallisuutta, mukaan lukien luottamuksellisuus, eheys, saatavuus, häiriönsietokyky, palauttaminen sekä tarvittaessa säännöllinen testaus tai arviointi. Tietosuojavastaavalle CSA-näyttö on käytännöllinen tapa osoittaa, että käyttöoikeuskatselmoinnit, salaus, lokitus, säilytys, toimittajien valvonta ja poikkeamien käsittely toimivat tosiasiallisesti henkilötietojen ympärillä.

Clarysecin CSA-malli politiikasta todentavaan näyttöön

Puolustettava CSA-ohjelma alkaa kolmesta kysymyksestä:

1. Onko kontrolli suunniteltu oikein suhteessa riskiin ja velvoitteeseen?
2. Toimiko kontrolli arviointijakson aikana?
3. Onko näyttö kattavaa, ajantasaista, tekijään tai lähteeseen yhdistettävää ja uudelleenkäytettävää?

Clarysec ankkuroi mallin politiikkoihin, auditointityönkulkuun ja kontrollikartoitukseen.

Tietoturvapolitiikka asettaa odotuksen kohdassa 6.6.1:

Kaikkien toteutettujen kontrollien tulee olla auditoitavissa, niitä tulee tukea dokumentoiduilla menettelyillä ja niiden toiminnasta tulee säilyttää näyttö.

Kohta 6.6.2 lisää:

Kontrollien omistajien tulee ylläpitää testituloksia, lokeja ja katselmusten tallenteita säännöllisten auditointien tueksi.

Tämä muuttaa kontrollit staattisista lausumista aktiivisiksi, mitattaviksi prosesseiksi.

Auditointi- ja vaatimustenmukaisuuden seurantapolitiikka – pk-yritys määrittää katselmointikäytännön:

Tämä politiikka määrittää organisaation lähestymistavan sisäisten tarkastusten, tietoturvakontrollien katselmointien ja vaatimustenmukaisuuden seurannan toteuttamiseen. Se varmistaa, että kaikki kontrollit, politiikat, järjestelmät ja palveluntarjoajat ovat säännöllisen ja jäsennellyn katselmoinnin piirissä.

Kohta 5.2.3 edellyttää rakennetta:

Jokaisella auditoinnilla tulee olla määritelty soveltamisala, tavoitteet, vastuuhenkilöt ja vaadittu näyttö.

CSA:ssa sama logiikka soveltuu kontrollien omistajatasolle. Jokaisella itsearvioinnilla tulee olla soveltamisala, tavoite, vastuuhenkilö, ajanjakso, näyttö ja johtopäätös.

Zenith Controls: eri vaatimuskokonaisuudet kattava opas antaa kartoitusnäkökulman. CSA:n kannalta tärkeimpiä ISO/IEC 27001:2022 -standardin liitteen A kontrolliviittauksia ovat 5.2, tietoturvaroolit ja -vastuut, 5.35, tietoturvallisuuden riippumaton katselmointi, sekä 5.36, tietoturvapolitiikkojen, -sääntöjen ja -standardien noudattaminen.

Yhdessä nämä kontrollit kertovat CSA:n tarinan. Jonkun täytyy omistaa kontrolli. Organisaation täytyy tarkistaa, noudatetaanko politiikkoja ja standardeja. Riippumattoman katselmoinnin täytyy haastaa järjestelmää. CSA sijoittuu omistajuuden ja riippumattoman katselmoinnin väliin. Se ei ole sisäinen tarkastus, mutta se valmistelee näytön, joka tekee sisäisestä tarkastuksesta nopeampaa ja luotettavampaa.

Suunnittelun testaus verrattuna toiminnan tehokkuuden testaukseen

Yleinen CSA-virhe on kysyä kontrollien omistajilta ”toimiiko tämä kontrolli?” määrittelemättä, mitä ”toimii” tarkoittaa.

Jokaisessa uskottavassa arvioinnissa tulee erottaa suunnittelun testaus toiminnan tehokkuuden testauksesta.

Suunnittelun testaus kysyy, hallitsisiko kontrolli riskin tai vaatimuksen, jos se toteutettaisiin kuvatulla tavalla. Käyttöoikeuskatselmoinnissa suunnittelutesti tarkistaa, määrittääkö menettely soveltamisalan, katselmoijan roolin, tiheyden, katetut järjestelmät, poikkeusten käsittelyn, näytön säilytyksen ja eskaloinnin.

Toiminnan tehokkuuden testaus kysyy, toimiko kontrolli tosiasiallisesti ajanjakson aikana. Samassa käyttöoikeuskatselmoinnissa toiminnan testi tarkistaa, toteutuiko katselmointi, kuka sen teki, sisältyivätkö kaikki soveltamisalaan kuuluvat järjestelmät, ratkaistiinko poikkeukset ja osoittavatko tallenteet valmistumisen.

Molemmilla testeillä on merkitystä. Hyvin kirjoitettu varmuuskopiointipolitiikka on heikko, jos palautustestejä ei ole tehty. Viikoittain ajettava haavoittuvuusskannaus on puutteellinen, jos kriittiset havainnot eivät johda korjaukseen tai muodolliseen riskin hyväksyntään. Kerran tehty toimittajakatselmointi ei ole enää luotettava, jos toimittaja tukee nyt kriittistä prosessia ja on vaihtanut alihankkijoita.

Tämä erottelu tukee suoraan ISO/IEC 27001:2022 -standardin kohtia 8.1 operatiivisesta suunnittelusta ja ohjauksesta, 9.1 seurannasta, mittauksesta, analysoinnista ja arvioinnista, 9.2 sisäisestä tarkastuksesta, 9.3 johdon katselmoinnista ja 10.2 poikkeamista ja korjaavista toimenpiteistä.

Näytön laatukriteerit vuoden 2026 auditointeihin

Näyttö ei ole auditointikelpoista vain siksi, että se on olemassa. Näytön on oltava käyttökelpoista.

CSA:ssa näyttöä tulee arvioida seitsemän kriteerin perusteella.

Pk-yrityksen politiikka vahvistaa metatietojen kurinalaisuutta:

Metatiedot (esimerkiksi kuka keräsi näytön, milloin ja mistä järjestelmästä) on dokumentoitava.

Korkeamman eheyden tutkimuksia ja digitaalista todistusaineistoa varten Todisteiden keräämisen ja forensiikan politiikka – pk-yritys on täsmällisempi:

Jokainen digitaalisen todistusaineiston kohde on kirjattava lokiin seuraavin tiedoin:
5.2.1.1. Kerääjän nimi
5.2.1.2. Lähdejärjestelmä/-laite
5.2.1.3. Keräyksen aikaleima
5.2.1.4. Säilytyspaikka
5.2.1.5. Käyttöhistoria (kuka tarkasteli tai kopioi sitä)

Rutiininomainen CSA-tallenne ei aina tarvitse forensista hallussapitoketjua. Jokaisen näytön kohteen tulee kuitenkin olla niin jäljitettävissä, että auditoija ymmärtää, kuka sen tuotti, milloin, mistä ja miksi se osoittaa kontrollin toiminnan.

Laki- ja sääntelyvaatimusten noudattamisen politiikka lisää eri vaatimuskokonaisuuksia koskevan vaatimuksen edellyttämällä:

Tarvittavat artefaktit tai tallenteet vaatimustenmukaisuuden osoittamiseksi (esimerkiksi auditointilokit, salausasetukset, suostumusdokumentaatio)

Tämä on uudelleenkäytettävän näytön ydin. Yksi salausmäärityksen vienti voi tukea ISO/IEC 27001:2022 -standardin riskien käsittelyä, NIS2 Article 21 -turvatoimenpiteitä, DORA:n ICT-omaisuuserien suojausta ja GDPR Article 32 -käsittelyn turvallisuutta, jos tallenne on kattava, yhdistettävissä tekijään tai lähteeseen ja kartoitettu.

Käytännön CSA-työnkulku Clarysecin työkalustolla

Kontrollin omistajan tulee pystyä suorittamaan merkityksellinen CSA-istunto jäsennellysti ja toistettavasti. Alla olevaa työnkulkua voidaan soveltaa etuoikeutettuun pääsyyn, varmuuskopioiden palautukseen, toimittajien seurantaan, poikkeamavalmiuteen, haavoittuvuuksien hallintaan tai riippumattomaan katselmointiin.

Vaihe 1, valitse kontrolli ja velvoitekartoitus

Aloita soveltuvuuslausunnosta, riskienkäsittelysuunnitelmasta ja lakisääteisten velvoitteiden rekisteristä. Valitse yksi kontrolli, esimerkiksi tuotantojärjestelmien etuoikeutettujen käyttöoikeuksien katselmointi.

Kartoita se asiaankuuluviin ISO/IEC 27001:2022 -standardin liitteen A kontrolleihin, kuten 5.15 Pääsynhallinta, 5.16 Identiteetinhallinta ja 5.18 Käyttöoikeudet. Liitä se Zenith Controlsissa kohtaan 5.2 rooleista ja vastuista sekä kohtaan 5.36 politiikkojen, sääntöjen ja standardien noudattamisesta, koska katselmointi osoittaa, että pääsynhallintapolitiikkaa noudatetaan.

Jos organisaatio kuuluu NIS2:n piiriin, kartoita näyttö Article 21 -toimenpiteisiin, jotka koskevat pääsynhallintaa, omaisuudenhallintaa, henkilöstöturvallisuutta ja todennusta. Jos kyseessä on DORA:n alainen finanssialan toimija, kartoita se asiaankuuluvin osin ICT-riskien hallinnointiin, suojaamiseen, seurantaan ja kolmansia osapuolia koskeviin vaatimuksiin. Jos mukana on henkilötietoja, kartoita se GDPR Article 5 -kohdan eheyteen ja luottamuksellisuuteen sekä Article 32 -käsittelyn turvallisuuteen.

Vaihe 2, määritä suunnittelun testaus

Esitä käytännön suunnittelukysymyksiä:

• Tunnistaako menettely kaikki soveltamisalaan kuuluvat järjestelmät?
• Kattaako se etuoikeutetut tilit, palvelutilit ja hätäkäytön?
• Onko katselmoija käytännön mahdollisuuksien mukaan riippumaton päivittäisestä käyttöoikeuksien myöntämisestä?
• Onko tiheys, eskalointi ja poikkeussäännöt määritelty?
• Onko näytön säilytys määritelty?
• Sisältyvätkö GDPR-, DORA-, NIS2- tai asiakaskohtaiset velvoitteet mukaan silloin, kun ne ovat asiaankuuluvia?

Jos vastaus on ei, kirjaa suunnittelupoikkeus.

Vaihe 3, suorita toiminnan tehokkuuden testaus

Valitse otos ja testaa todellista toimintaa. Neljännesvuosittaisessa etuoikeutettujen käyttöoikeuksien katselmoinnissa otokseen valitaan viimeisin valmistunut katselmointi ja korkean riskin käyttäjiä kriittisissä järjestelmissä. Jos ympäristö on pieni, testaa kaikki etuoikeutetut tilit. Jos ympäristö on suuri, käytä riskiperusteista otantaa, jossa ylläpitäjien, tuotantojärjestelmien, henkilötietojärjestelmien ja ulkoisesti altistuvien alustojen kattavuus on suurempi.

Yritystason Auditointi- ja vaatimustenmukaisuuden seurantapolitiikka tukee:

Näytön keräämistä haastattelujen, tarkastuskierrosten ja otannan avulla

Se edellyttää myös:

Otannan strategian, auditoinnin soveltamisalan ja rajoitusten dokumentointia

Älä vain liitä näyttöä. Kirjaa, miksi otos valittiin, mitä perusjoukkoa se edustaa ja mitä jätettiin pois.

Vahva otantakuvaus voisi kuulua näin:

”Perusjoukko: 42 etuoikeutettua tuotantotiliä pilvikonsolissa, CI/CD-alustalla ja tietokantojen hallinnassa. Otos: kaikki 7 hätäkäyttötiliä, kaikki 5 tuotantotietokannan ylläpitäjätiliä ja 10 satunnaisesti valittua etuoikeutettua kehittäjätiliä. Ajanjakso: Q1 2026. Rajaukset: kolmannen osapuolen hallinnoimat palomuuritilit, jotka arvioitiin toimittajan käyttöoikeuskatselmoinnin CSA-TPR-04 yhteydessä.”

Tämä lause antaa auditoijalle perusjoukon, riskilogiikan, ajanjakson ja rajauksen.

Vaihe 4, arvioi näytön laatu

Kirjaa jokaisesta näytön kohteesta:

• Näytön ID
• Kontrollin ID ja kontrollin omistaja
• Arviointijakso
• Lähdejärjestelmä
• Keräyspäivä
• Kerääjä
• Katselmoija tai hyväksyjä
• Linkitetty velvoite
• Säilytyspaikka
• Säilytysaika
• Havaitut poikkeukset
• Korjaustiketti tai CAPA-viite

Tämä muuttaa CSA:n subjektiivisesta kyselylomakkeesta näyttöön perustuvaksi kontrollitestiksi.

Vaihe 5, kirjaa poikkeukset ja korjaavat toimenpiteet

Jos kahdelta etuoikeutetulta tililtä puuttuu dokumentoitu liiketoimintaperuste, älä piilota asiaa muistiinpanoihin. Luo havainto, määritä riskiluokitus, määritä toimenpide, nimeä omistaja ja sovi tavoitepäivä.

Pk-yrityksen politiikka edellyttää:

Kaikki auditointihavainnot on dokumentoitava riskiluokituksin ja ehdotetuin toimenpitein.

Sovella sitten Zenith Blueprintin vaihetta 27, auditointihavainnot. Blueprint suosittelee luokkia merkittävä poikkeama, vähäinen poikkeama tai huomio, joita seuraa juurisyyanalyysi. Jos palvelutilit jäivät huomaamatta, koska identiteetti-inventaario ei sisällä niitä, juurisyy ei ole ”katselmoijan virhe”. Se on puutteellinen käyttöoikeusinventaario tai epäselvä menettelyn soveltamisala.

Vaihe 6, sulje CAPA-prosessissa ja varmista tehokkuus

Zenith Blueprintin vaihe 29 suosittelee CAPA-lokin käyttöä, jossa on ongelman kuvaus, juurisyy, korjaava toimenpide, vastuullinen omistaja, tavoitepäivä ja tila. Se korostaa myös tehokkuuden varmistamista valmistumisen jälkeen.

Jos korjaava toimenpide on ”päivitä käyttöoikeuskatselmoinnin menettely kattamaan palvelutilit”, varmennusmenetelmän tulee olla käytännöllinen: katselmoi seuraava käyttöoikeuskierros ja vahvista, että palvelutilit sisältyvät mukaan, poikkeukset ratkaistaan ja näyttö säilytetään.

Näin CSA:sta tulee jatkuvaa parantamista eikä vaatimustenmukaisuusteatteria.

Eri vaatimuskokonaisuudet kattava kartoitus ilman neljää erillistä kontrolliohjelmaa

Suurin tehokkuushyöty on ”testaa kerran, kartoita moneen”.

Erillisten testausprosessien rakentaminen ISO/IEC 27001:2022-, NIS2-, DORA- ja GDPR-vaatimuksille luo päällekkäistä näyttöä, epäyhtenäisiä vastauksia ja uupuneita kontrollien omistajia. Parempi lähestymistapa on käyttää ISO/IEC 27001:2022 -standardia hallintajärjestelmänä, CSA:ta testauksen työnkulkuna ja Zenith Controlsia eri vaatimuskokonaisuudet kattavana oppaana.

NIST Cybersecurity Framework 2.0 on hyödyllinen integraatiokerros. Sen GOVERN-toiminto käsittelee lakisääteisiä, sääntelyperusteisia ja sopimusperusteisia vaatimuksia, riskinottohalukkuutta, johdon vastuuvelvollisuutta, politiikkojen hallinnointia ja valvontaa. Sen organisaatioprofiilit auttavat organisaatioita määrittämään nykyiset ja tavoitellut kyberturvallisuustulokset, analysoimaan aukot ja muuttamaan ne priorisoiduiksi toimintasuunnitelmiksi.

COBIT 2019 ja ISACA-tyylinen varmentamisajattelu tuovat toisen hyödyllisen näkökulman. Ne painottavat hallinnointitavoitteita, prosessikyvykkyyttä, osoitusvelvollisuutta, mittareita ja johdon valvontaa. COBIT-suuntautunut katselmoija kysyy, onko prosessi määritelty, mitattu ja parannettu, ei vain sitä, onko artefakti olemassa.

Miten eri auditoijat tarkastelevat CSA-näyttöäsi

Samaa CSA-tallennetta tulkitaan eri tavoin auditoijan taustan mukaan. Näytön suunnittelu näitä näkökulmia varten tekee ohjelmasta kestävämmän.

Riippumattomassa katselmoinnissa ISO/IEC 27001:2022 -auditoija etsii sisäisen tarkastuksen ohjelmaa kohdan 9.2 mukaisesti, johdon katselmoinnin syötteitä kohdan 9.3 mukaisesti ja korjaavia toimenpiteitä kohdan 10.2 mukaisesti. DORA-katselmoija etsii riskiperusteista testausta, riippumattomuutta, korjaamista ja johdon valvontaa. NIS2-viranomainen keskittyy siihen, pystyykö johto osoittamaan kyberturvallisuustoimenpiteiden vaikuttavuuden. GDPR-katselmoija kysyy, osoittaako näyttö asianmukaiset tekniset ja organisatoriset toimenpiteet todellisten käsittelytoimien ympärillä.

Tarkoitus ei ole kirjoittaa näyttöä uudelleen jokaista yleisöä varten. Tarkoitus on kerätä se kerran riittävällä asiayhteydellä, jotta se täyttää useiden näkökulmien tarpeet.

Johdon raportointi, joka synnyttää toimintaa eikä melua

CSA-tulosten ei tule jäädä kontrollien omistajien taulukoihin. Niiden tulee siirtyä johdon katselmointiin.

Vaiheessa 28, johdon katselmointi, Zenith Blueprint suosittelee syötteitä sisäisten ja ulkoisten tekijöiden muutoksista, sidosryhmien vaatimusten muutoksista, ISMS:n suorituskyvystä, auditointituloksista, seurannasta ja mittauksesta, poikkeamista, poikkeavuuksista, parantamismahdollisuuksista ja resurssitarpeista.

Juuri sinne CSA kuuluu.

Hyödyllisen johdon CSA-mittariston tulisi sisältää:

• Kontrollien kattavuus osa-alueittain ja kriittisittäin prosesseittain.
• Ajallaan testattujen kontrollien prosenttiosuus.
• Näytön laatupisteet kontrollin omistajittain.
• Avoimet poikkeukset riskiluokituksen mukaan.
• Myöhässä olevat korjaavat toimenpiteet.
• Toistuvat havainnot ja juurisyyt.
• Korkean riskin kartoitukset NIS2-, DORA-, GDPR- ja asiakasvelvoitteisiin.
• Toimittajiin liittyvät kontrollipoikkeukset.
• Poikkeama-, varmuuskopiointi- ja häiriönsietokykytestauksen havainnot.
• Johdolta tarvittavat resurssipäätökset.

Johto ei tarvitse jokaista kuvakaappausta. Sen täytyy tietää, onko kontrolliympäristö luotettava, missä riski kasvaa, kattavatko kontrollit velvoitteet ja missä päätöksiä tarvitaan.

Tämä tukee NIS2 Article 20 -johdon vastuuvelvollisuutta ja DORA Article 5 -hallintoelimen valvontaa. GDPR:n osalta se auttaa rekisterinpitäjää osoittamaan, ettei osoitusvelvollisuus ole kertaluonteinen asiakirja vaan elävä hallinnointiprosessi.

Yleiset CSA-sudenkuopat ja niiden välttäminen

Ensimmäinen sudenkuoppa on pelkkään kyselyyn perustuva CSA. Kyllä- tai ei-vastaus ilman näyttöä tuottaa mukavuutta, ei varmuutta. Jokaisen olennaisen väitteen tulee perustua näyttöön.

Toinen sudenkuoppa on näyttö ilman kontrollikontekstia. Lokien vienti on merkityksetön, ellei sitä sidota kontrollitavoitteeseen, ajanjaksoon, lähteeseen, omistajaan ja johtopäätökseen.

Kolmas sudenkuoppa on heikko poikkeuskurinalaisuus. Jos havainnoilla ei ole riskiluokitusta, omistajaa, tavoitepäivää ja varmennusmenetelmää, CSA muuttuu säilytysharjoitukseksi. Zenith Blueprintin vaihe 29 estää tämän yhdistämällä poikkeamat juurisyyhyn, korjaavaan toimenpiteeseen, omistajaan, tavoitepäivään ja tehokkuuden varmennukseen.

Neljäs sudenkuoppa on ulkoisesti tuotettujen palvelujen sivuuttaminen. ISO/IEC 27001:2022 edellyttää ISMS:n kannalta merkityksellisten ulkoisesti tuotettujen prosessien, tuotteiden tai palvelujen hallintaa. NIS2 sisältää toimitusketjun turvallisuuden. DORA edellyttää ICT-kolmansien osapuolten riskienhallintaa, rekistereitä, huolellisuusarviointia, sopimusperusteisia suojatoimia, keskittymäriskin arviointia, auditointioikeuksia ja irtautumissuunnitelmia. NIST CSF 2.0 GV.SC -tulokset kattavat vastaavasti toimittajaroolit, huolellisuusarvioinnin, sopimukset, seurannan, poikkeamasuunnittelun ja sopimussuhteen päättämisen. CSA:n on sisällettävä toimittajanäyttöä, ei vain sisäistä IT-näyttöä.

Viides sudenkuoppa on GDPR:n käsittely pelkkänä oikeudellisena liitteenä. Jos järjestelmässä käsitellään henkilötietoja, CSA:n tulee testata, tukevatko tietoturvakontrollit eheyttä, luottamuksellisuutta, saatavuutta, säilytystä, pääsyn rajoittamista ja loukkausvalmiutta.

Vuoden 2026 tarkistuslista kontrollin omistajalle

Ennen CSA-tuloksen toimittamista jokaisen kontrollin omistajan tulee pystyä vahvistamaan seuraavat asiat:

• Tunnen kontrollin tavoitteen ja siihen liittyvät riskit.
• Tiedän, mitä ISO/IEC 27001:2022-, NIS2-, DORA-, GDPR- tai sopimusvelvoitteita kontrolli tukee.
• Testasin suunnittelun ja toiminnan tehokkuuden erikseen.
• Dokumentoin perusjoukon ja otantamenetelmän.
• Liitin mukaan näytön, joka on kattavaa, ajantasaista, tekijään tai lähteeseen yhdistettävää, aitoa, olennaista, säilytettyä ja uudelleenkäytettävää.
• Kirjasin metatiedot siitä, kuka keräsi näytön, milloin ja mistä järjestelmästä.
• Dokumentoin poikkeukset riskiluokituksin ja ehdotetuin toimenpitein.
• Tunnistin olennaisten poikkeusten juurisyyn.
• Loin tai päivitin CAPA-tallenteet, joissa on omistaja, määräpäivä ja varmennusmenetelmä.
• Eskaloin olennaiset asiat johdon katselmointiin.

Jos kontrollin omistaja ei pysty täyttämään tätä tarkistuslistaa, kyse ei ole vain CSA-heikkoudesta. Kyse voi olla ISMS:n seurannan heikkoudesta, NIS2:n vaikuttavuuden arvioinnin aukosta, DORA:n ICT-riskien hallinnointiongelmasta tai GDPR:n osoitusvelvollisuuden heikkoudesta.

Tee CSA:sta osa varmentamisen toimintamallia

Kontrollien itsearviointi ei korvaa sisäistä tarkastusta, penetraatiotestausta, DORA:n häiriönsietokyvyn testausta tai GDPR:n oikeudellista tarkastelua. Se on operatiivinen kerros, joka tekee niistä kaikista luotettavampia.

Vuonna 2026 auditoinneista vähäisemmällä häiriöllä selviävät organisaatiot eivät ole niitä, joilla on eniten politiikkoja. Ne ovat niitä, joiden kontrollien omistajat pystyvät laadukkaalla näytöllä osoittamaan, että kontrollit on suunniteltu, ne toimivat, niitä valvotaan, niiden puutteet korjataan ja niistä raportoidaan.

Clarysec auttaa organisaatioita rakentamaan tämän kyvykkyyden Zenith Blueprintin, politiikkamallien, kuten Tietoturvapolitiikan, Auditointi- ja vaatimustenmukaisuuden seurantapolitiikan, Auditointi- ja vaatimustenmukaisuuden seurantapolitiikan – pk-yritys, Todisteiden keräämisen ja forensiikan politiikan – pk-yritys, Laki- ja sääntelyvaatimusten noudattamisen politiikan sekä Zenith Controlsin eri vaatimuskokonaisuudet kattavan kartoitusvoiman avulla.

Jos ISO/IEC 27001:2022 -kontrollisi on dokumentoitu, mutta näyttö on hajallaan, epäyhtenäistä tai sitä ei voi käyttää uudelleen NIS2-, DORA- ja GDPR-vaatimuksiin, aloita tällä viikolla yhdestä korkean riskin osa-alueesta. Tee CSA etuoikeutetusta pääsystä, toimittajaturvallisuudesta, poikkeamavalmiudesta, haavoittuvuuksien korjaamisesta tai varmuuskopioiden palautuksesta. Testaa suunnittelu, testaa toiminnan tehokkuus, pisteytä näytön laatu, kirjaa poikkeukset ja syötä tulos johdon katselmointiin.

Haluatko muuttaa kontrollien itsearvioinnin auditointikelpoiseksi varmuudeksi? Lataa Zenith Blueprint, tutustu Zenith Controlsiin tai pyydä Clarysecin näytön valmiusarviointi nähdäksesi, missä kontrollinäyttösi kestää tarkastelun ja missä sitä on parannettava.