Samoprocjena kontrola za revizijske dokaze prema ISO 27001

Problem revizije u 2026. nisu nedostajuće kontrole, nego slabi dokazi

Videopoziv je započeo u ponedjeljak u 09:10. Sarah, CISO brzorastuće fintech SaaS tvrtke, gledala je tri zabrinuta lica na zaslonu: voditelja GRC-a, službenika za zaštitu podataka (DPO) i voditelja IT operacija.

Tvrtki se približavala nadzorna revizija ISO/IEC 27001:2022. Upravni odbor tražio je informaciju o spremnosti za NIS2 do petka. Klijent iz sektora financijskih usluga dodao je pitanja o IKT dobavljačima, u stilu DORA, u obnovu ugovora. DPO je pripremao dokaze za dokazivanje odgovornosti prema GDPR.

Na papiru je organizacija izgledala zrelo. Postojali su registar rizika, Izjava o primjenjivosti, postupci kontrole pristupa, operativne upute za odgovor na incidente, politike sigurnosnog kopiranja, obrasci dubinske analize dobavljača i zapisi o osposobljavanju.

Zatim je počeo pregled dokaza.

Tablica pregleda pristupa nije imala imenovanog pregledavatelja. Izvješće o skeniranju ranjivosti bilo je aktualno, ali nitko nije mogao dokazati jesu li kritični nalazi otklonjeni, prihvaćeni ili još otvoreni. Dubinska analiza dobavljača postojala je, ali je prethodila značajnoj promjeni arhitekture u oblaku. Snimke zaslona testova sigurnosnih kopija bile su zakopane u nizovima razgovora. Bilješke sa stolne vježbe incidenta bile su korisne, ali nisu bile pripisive. Inženjeri su prosljeđivali snimke zaslona konfiguracije bez konteksta. Vlasnici kontrola označavali su tromjesečne provjere kao „dovršene”, ali dokazi su bili neujednačeni i teško višekratno upotrebljivi.

Sarah je znala da problem nije nedostatak kontrola. Problem je bio nedostatak dokazivih, ponovljivih dokaza.

To je praznina samoprocjene kontrola u 2026.

Organizacije imaju dokumentirane kontrole, nadzorne ploče i ponekad alate za kontinuirano praćenje. No često ne mogu dokazati da vlasnici kontrola dosljedno testiraju kontrole, da su dokazi potpuni i ažurni te da iznimke ulaze u korektivne radnje, preispitivanje uprave i regulatorno izvješćivanje.

Samoprocjena kontrola, odnosno CSA, zatvara tu operativnu prazninu. Kada se provodi dobro, CSA uspostavlja discipliniran tijek rada u kojem vlasnici kontrola periodično testiraju dizajn kontrole i operativnu učinkovitost, prilažu dokaze koji zadovoljavaju revizijske kriterije kvalitete, evidentiraju iznimke, dodjeljuju korektivne radnje i upravi pružaju pouzdan uvid u stanje kontrola.

U Clarysecu se CSA smatra mostom između ISMS-a, pravnih obveza i revizijskih dokaza. Zenith Blueprint: plan revizora u 30 koraka smješta tu disciplinu u fazu revizije, pregleda i poboljšanja. Korak 26, provedba revizije, navodi da prikupljanje dokaza treba uključivati intervjue, pregled dokumentacije, promatranje, uzorkovanje i nasumične provjere:

✓ Intervjuirajte relevantno osoblje: zatražite od osoba odgovornih za procese da objasne kako ispunjavaju zahtjeve.
✓ Pregledajte dokumentaciju: provjerite postoje li dokumenti i zapisi te jesu li ažurni.
✓ Promatrajte prakse: ako je moguće, provedite izravno promatranje.
✓ Uzorkujte i provedite nasumične provjere: ne možete provjeriti sve, zato koristite uzorkovanje.

Takav pristup ne smije čekati formalnu internu reviziju. CSA ga pomiče uzvodno, u ruke vlasnika kontrola, kako bi organizacija svakog mjeseca ili tromjesečja mogla dokazati da kontrole nisu samo napisane, nego i djeluju.

Zašto ručne samoprocjene ne uspijevaju pod NIS2, DORA i GDPR

Stari model samoprocjene kontrola temeljen na tablicama i e-pošti ne funkcionira jer nagrađuje dovršetak umjesto kvalitete dokaza.

Jedan vlasnik kontrole učita snimku zaslona. Drugi napiše „potvrđeno u skladu s politikom”. Treći priloži izvoz dnevničkih zapisa bez objašnjenja sustava, razdoblja, pregledavatelja ili zaključka. GRC tim danima ponovno sastavlja priču za revizore, klijente i regulatore.

To stvara četiri ponavljajuća neuspjeha:

• Neujednačeni dokazi, pri čemu svaki vlasnik ima drugačiju predodžbu o valjanom dokazu.
• Slaba pripisivost, pri čemu datoteke ne pokazuju tko je prikupio dokaze, kada i iz kojeg izvora.
• Formalno potvrđivanje bez stvarne provjere, pri čemu preopterećeni timovi potvrđuju da kontrola djeluje bez testiranja.
• Nema višekratne upotrebljivosti, pri čemu dokazi prikupljeni za ISO/IEC 27001:2022 ne mogu jednostavno podržati NIS2, DORA ili GDPR bez ručnog ponovnog tumačenja.

Suvremena regulativa nema razumijevanja za takav model.

NIS2 Article 20 čini upravljanje rizicima kibernetičke sigurnosti odgovornošću upravljačkog tijela. Uprava mora odobravati mjere, nadzirati implementaciju i pratiti osposobljavanje. Article 21 zahtijeva odgovarajuće i razmjerne tehničke, operativne i organizacijske mjere, uključujući analizu rizika, postupanje s incidentima, neprekidnost poslovanja, sigurnost opskrbnog lanca, postupanje s ranjivostima, procjenu učinkovitosti, kibernetičku higijenu, kontrolu pristupa, upravljanje imovinom i autentifikaciju.

Izraz „procjena učinkovitosti” mjesto je na kojem CSA postaje ključan. Subjekt obuhvaćen NIS2 ne može vjerodostojno reći upravi da su mjere kibernetičke sigurnosti učinkovite ako ih vlasnici kontrola ne testiraju i ne dokumentiraju rezultate.

DORA je od 17. siječnja 2025. podigla prag za financijske subjekte. Uspostavlja režim digitalne operativne otpornosti koji obuhvaća upravljanje IKT rizicima, prijavljivanje incidenata, testiranje otpornosti, razmjenu informacija i rizik trećih strana u području IKT-a. DORA Article 5 zahtijeva odgovornost upravljačkog tijela za aranžmane upravljanja IKT rizicima, politike, uloge, strategiju, planove neprekidnosti, planove revizije, politike trećih strana i korektivne mjere. Article 6 zahtijeva dokumentiran okvir upravljanja IKT rizicima, redoviti pregled, internu reviziju za subjekte koji nisu mikropoduzeća i otklanjanje kritičnih nalaza IKT revizije. Articles 24 to 26 čine testiranje otpornosti ponavljajućim programom provjere, uključujući odgovarajuću neovisnost i, za određene subjekte, penetracijsko testiranje vođeno prijetnjama.

CSA nije zamjena za testiranje prema DORA. To je sloj vlasnika kontrola koji testiranje prema DORA čini održivim.

GDPR dodaje povezani pritisak dokazivanja odgovornosti. Article 5(2) zahtijeva od voditelja obrade da dokažu usklađenost s načelima zaštite podataka. Article 32 zahtijeva odgovarajuću sigurnost obrade, uključujući povjerljivost, cjelovitost, dostupnost, otpornost, vraćanje podataka te redovito testiranje ili vrednovanje gdje je primjenjivo. Za DPO-a su dokazi iz CSA praktičan način dokazivanja da pregledi pristupa, šifriranje, zapisivanje događaja, zadržavanje, nadzor dobavljača i postupanje s incidentima stvarno djeluju u kontekstu osobnih podataka.

Clarysec CSA model, od politike do dokaza

Dokaziv program CSA počinje s tri pitanja:

1. Je li kontrola pravilno dizajnirana za rizik i obvezu?
2. Je li kontrola djelovala tijekom razdoblja procjene?
3. Jesu li dokazi potpuni, ažurni, pripisivi i višekratno upotrebljivi?

Clarysec taj model utemeljuje u politikama, tijeku rada revizije i mapiranju kontrola.

Politika informacijske sigurnosti postavlja očekivanje u točki 6.6.1:

Sve implementirane kontrole moraju biti provjerljive u reviziji, potkrijepljene dokumentiranim postupcima i zadržanim dokazima o radu.

Točka 6.6.2 dodaje:

Vlasnici kontrola moraju održavati rezultate testiranja, dnevničke zapise i zapise pregleda radi potpore periodičnim revizijama.

Time se kontrole pretvaraju iz statičnih izjava u aktivne, mjerljive procese.

Politika praćenja revizije i usklađenosti za MSP uspostavlja disciplinu pregleda:

Ova politika utvrđuje pristup organizacije provedbi internih revizija, pregledima sigurnosnih kontrola i praćenju usklađenosti. Osigurava da su sve kontrole, politike, sustavi i pružatelji usluga predmet redovitog i strukturiranog pregleda.

Točka 5.2.3 zahtijeva strukturu:

Svaka revizija mora uključivati definiran opseg, ciljeve, odgovorno osoblje i potrebne dokaze.

Za CSA ista se logika primjenjuje na razini vlasnika kontrole. Svaka samoprocjena mora imati opseg, cilj, odgovornu osobu, razdoblje, dokaze i zaključak.

Zenith Controls: vodič za međusobnu usklađenost zatim daje perspektivu mapiranja. Za CSA najvažnije reference na kontrole iz Priloga A ISO/IEC 27001:2022 uključuju 5.2, uloge i odgovornosti u informacijskoj sigurnosti, 5.35, neovisni pregled informacijske sigurnosti, i 5.36, usklađenost s politikama, pravilima i standardima za informacijsku sigurnost.

Zajedno te kontrole čine priču o CSA. Netko mora biti vlasnik kontrole. Organizacija mora provjeriti poštuju li se politike i standardi. Neovisni pregled mora preispitati sustav. CSA se nalazi između vlasništva i neovisnog pregleda. Nije interna revizija, ali priprema dokaze koji internu reviziju čine bržom i pouzdanijom.

Test dizajna u odnosu na test operativne učinkovitosti

Česta pogreška u CSA jest postaviti vlasnicima kontrola pitanje: „Djeluje li ova kontrola?” bez definiranja što „djeluje” znači.

Svaka vjerodostojna procjena mora razdvojiti test dizajna od testa operativne učinkovitosti.

Test dizajna provjerava bi li kontrola, ako se provodi kako je opisano, odgovorila na rizik ili zahtjev. Za pregled pristupa test dizajna provjerava definira li postupak opseg, ulogu pregledavatelja, učestalost, obuhvaćene sustave, postupanje s iznimkama, zadržavanje dokaza i eskalaciju.

Test operativne učinkovitosti provjerava je li kontrola stvarno djelovala tijekom razdoblja. Za isti pregled pristupa operativni test provjerava je li pregled proveden, tko ga je proveo, jesu li uključeni svi sustavi u opsegu, jesu li iznimke riješene i dokazuju li zapisi dovršetak.

Oba testa su važna. Dobro napisana politika sigurnosnog kopiranja slaba je ako nisu provedeni testovi vraćanja podataka. Skeniranje ranjivosti koje se izvodi tjedno nepotpuno je ako kritični nalazi ne ulaze u otklanjanje ili formalno prihvaćanje rizika. Pregled dobavljača proveden jednom više nije pouzdan ako dobavljač sada podržava kritični proces i promijenio je podizvršitelje.

Ta razlika izravno podržava točke ISO/IEC 27001:2022 8.1 za operativno planiranje i kontrolu, 9.1 za praćenje, mjerenje, analizu i vrednovanje, 9.2 za internu reviziju, 9.3 za preispitivanje uprave i 10.2 za nesukladnost i korektivnu radnju.

Kriteriji kvalitete dokaza za revizije u 2026.

Dokaz nije spreman za reviziju samo zato što postoji. Dokaz mora biti upotrebljiv.

Za CSA dokazi se trebaju procjenjivati prema sedam kriterija.

Politika za MSP pojačava disciplinu metapodataka:

Metapodaci (npr. tko ih je prikupio, kada i iz kojeg sustava) moraju biti dokumentirani.

Za istrage s višim zahtjevima cjelovitosti i digitalne dokaze, Politika prikupljanja dokaza i forenzike za MSP preciznija je:

Svaka stavka digitalnog dokaza mora biti evidentirana sa sljedećim:
5.2.1.1. ime prikupljatelja
5.2.1.2. izvorni sustav/uređaj
5.2.1.3. vremenska oznaka prikupljanja
5.2.1.4. lokacija pohrane
5.2.1.5. povijest pristupa (tko ga je pregledao ili kopirao)

Rutinski CSA zapis ne zahtijeva uvijek forenzički lanac nadzora. No svaka stavka dokaza mora biti dovoljno sljediva da revizor može razumjeti tko ju je izradio, kada, odakle i zašto dokazuje kontrolu.

Politika pravne i regulatorne usklađenosti dodaje zahtjev međusobne usklađenosti tražeći:

Potrebne artefakte ili zapise za dokazivanje usklađenosti (npr. revizijski logovi, postavke šifriranja, dokumentacija o privoli)

To je ključ za višekratno upotrebljive dokaze. Jedan izvoz konfiguracije šifriranja može podržati obradu rizika prema ISO/IEC 27001:2022, sigurnosne mjere prema NIS2 Article 21, zaštitu IKT imovine prema DORA i sigurnost obrade prema GDPR Article 32, ako je zapis potpun, pripisiv i mapiran.

Praktičan CSA tijek rada korištenjem Clarysec alata

Vlasnik kontrole mora moći provesti smislen CSA u strukturiranom i ponovljivom obliku. Tijek rada u nastavku može se primijeniti na pristup s povišenim ovlastima, oporavak iz sigurnosnih kopija, praćenje dobavljača, spremnost za incidente, upravljanje ranjivostima ili neovisni pregled.

Korak 1, odaberite kontrolu i mapiranje obveza

Počnite od Izjave o primjenjivosti, plana obrade rizika i registra pravnih obveza. Odaberite jednu kontrolu, primjerice pregled pristupa s povišenim ovlastima za produkcijske sustave.

Mapirajte je na relevantne kontrole iz Priloga A ISO/IEC 27001:2022, kao što su 5.15 kontrola pristupa, 5.16 upravljanje identitetom i 5.18 prava pristupa. U Zenith Controls povežite je s 5.2 za uloge i odgovornosti te s 5.36 za usklađenost s politikama, pravilima i standardima, jer pregled dokazuje da se politika pristupa poštuje.

Ako organizacija podliježe NIS2, mapirajte dokaze na mjere iz Article 21 za kontrolu pristupa, upravljanje imovinom, sigurnost ljudskih resursa i autentifikaciju. Ako je riječ o financijskom subjektu prema DORA, mapirajte ih na upravljanje IKT rizicima, zaštitu, praćenje i zahtjeve za treće strane gdje je relevantno. Ako su uključeni osobni podaci, mapirajte ih na cjelovitost i povjerljivost prema GDPR Article 5 te sigurnost obrade prema Article 32.

Korak 2, definirajte test dizajna

Postavite praktična pitanja o dizajnu:

• Identificira li postupak sve sustave u opsegu?
• Obuhvaća li povlaštene račune, servisne račune i hitni pristup?
• Je li pregledavatelj, gdje je praktično, neovisan od svakodnevne dodjele pristupa?
• Jesu li definirani učestalost, eskalacija i pravila za iznimke?
• Je li definirano zadržavanje dokaza?
• Jesu li uključene obveze iz GDPR, DORA, NIS2 ili posebne obveze prema klijentima, gdje je relevantno?

Ako je odgovor ne, evidentirajte iznimku u dizajnu.

Korak 3, provedite test operativne učinkovitosti

Odaberite uzorak i testirajte stvarni rad. Za tromjesečni pregled pristupa s povišenim ovlastima uzorkujte najnoviji dovršeni pregled i korisnike visokog rizika u kritičnim sustavima. Ako je okruženje malo, testirajte sve povlaštene račune. Ako je veliko, primijenite uzorkovanje utemeljeno na riziku s većom pokrivenošću za administratore, produkcijske sustave, sustave s osobnim podacima i platforme izložene prema van.

Politika praćenja revizije i usklađenosti za poduzeća podržava:

Prikupljanje dokaza putem intervjua, obilazaka i uzorkovanja

Također zahtijeva:

Dokumentiranje strategije uzorkovanja, opsega revizije i ograničenja

Nemojte samo priložiti dokaze. Zabilježite zašto je uzorak odabran, koju populaciju predstavlja i što je isključeno.

Snažna izjava o uzorku mogla bi glasiti:

„Populacija: 42 povlaštena produkcijska računa kroz konzolu u oblaku, CI/CD platformu i administraciju baza podataka. Uzorak: svih 7 hitnih računa, svih 5 računa administratora produkcijskih baza podataka i 10 nasumično odabranih povlaštenih inženjerskih računa. Razdoblje: prvo tromjesečje 2026. Isključenja: računi vatrozida kojima upravlja treća strana procijenjeni su u okviru pregleda pristupa dobavljača CSA-TPR-04.”

Ta rečenica revizoru daje populaciju, logiku rizika, razdoblje i ograničenje.

Korak 4, procijenite kvalitetu dokaza

Za svaku stavku dokaza zabilježite:

• ID dokaza
• ID kontrole i vlasnika kontrole
• Razdoblje procjene
• Izvorni sustav
• Datum prikupljanja
• Prikupljatelja
• Pregledavatelja ili odobravatelja
• Povezanu obvezu
• Lokaciju pohrane
• Razdoblje zadržavanja
• Utvrđene iznimke
• Prijavu za otklanjanje ili CAPA referencu

Time se CSA iz subjektivnog upitnika pretvara u test kontrole utemeljen na dokazima.

Korak 5, evidentirajte iznimke i korektivne radnje

Ako dva povlaštena računa nemaju dokumentirano poslovno opravdanje, nemojte sakriti problem u bilješkama. Izradite nalaz, dodijelite ocjenu rizika, definirajte radnju, odredite vlasnika i usuglasite ciljni datum.

Politika za MSP zahtijeva:

Svi nalazi revizije moraju biti dokumentirani s ocjenama rizika i predloženim radnjama.

Zatim primijenite Zenith Blueprint korak 27, nalazi revizije. Blueprint preporučuje kategorije veća nesukladnost, manja nesukladnost ili opažanje, nakon čega slijedi analiza temeljnog uzroka. Ako su servisni računi propušteni zato što ih popis identiteta ne uključuje, temeljni uzrok nije „pogreška pregledavatelja”. To je nepotpun popis pristupa ili nejasan opseg postupka.

Korak 6, zatvorite kroz CAPA i provjerite učinkovitost

Zenith Blueprint korak 29 preporučuje korištenje CAPA dnevnika s opisom problema, temeljnim uzrokom, korektivnom radnjom, odgovornim vlasnikom, ciljnim datumom i statusom. Također naglašava provjeru učinkovitosti nakon dovršetka.

Ako je korektivna radnja „ažurirati postupak pregleda pristupa tako da uključuje servisne račune”, metoda provjere mora biti praktična: pregledati sljedeći ciklus pristupa i potvrditi da su servisni računi uključeni, iznimke riješene i dokazi zadržani.

Tako CSA postaje kontinuirano poboljšavanje, a ne formalna vježba usklađenosti.

Mapiranje međusobne usklađenosti bez četiri zasebna programa kontrola

Najveći dobitak u učinkovitosti je „testiraj jednom, mapiraj na više zahtjeva”.

Izgradnja zasebnih procesa testiranja za ISO/IEC 27001:2022, NIS2, DORA i GDPR stvara duplicirane dokaze, neujednačene odgovore i iscrpljene vlasnike kontrola. Bolji pristup jest koristiti ISO/IEC 27001:2022 kao sustav upravljanja, CSA kao tijek rada testiranja, a Zenith Controls kao vodič za međusobnu usklađenost.

NIST Cybersecurity Framework 2.0 koristan je kao integracijski sloj. Njegova funkcija GOVERN obrađuje pravne, regulatorne i ugovorne zahtjeve, apetit za rizik, odgovornost vodstva, upravljanje politikama i nadzor. Njegovi organizacijski profili pomažu organizacijama definirati trenutačne i ciljne ishode kibernetičke sigurnosti, analizirati praznine i pretvoriti ih u prioritizirane akcijske planove.

COBIT 2019 i ISACA pristup uvjerenju dodaju još jednu korisnu perspektivu. Usredotočuju se na ciljeve upravljanja, sposobnost procesa, odgovornost, metrike i nadzor uprave. Pregledavatelj orijentiran na COBIT pitat će je li proces definiran, mjeren i poboljšavan, a ne samo postoji li artefakt.

Kako će različiti revizori preispitivati vaše CSA dokaze

Isti CSA zapis tumačit će se različito ovisno o pozadini revizora. Dizajniranje dokaza za te perspektive čini program otpornijim.

Za neovisni pregled revizor ISO/IEC 27001:2022 tražit će program interne revizije prema točki 9.2, ulaze za preispitivanje uprave prema točki 9.3 i korektivnu radnju prema točki 10.2. Pregledavatelj DORA tražit će testiranje utemeljeno na riziku, neovisnost, otklanjanje i nadzor uprave. Regulator za NIS2 usredotočit će se na to može li uprava dokazati učinkovitost mjera kibernetičke sigurnosti. Pregledavatelj GDPR pitat će pokazuju li dokazi odgovarajuće tehničke i organizacijske mjere oko stvarnih aktivnosti obrade.

Poanta nije prepisivati dokaze za svaku publiku. Poanta je prikupiti ih jednom, s dovoljno konteksta da zadovolje više perspektiva.

Izvješćivanje upravi koje pokreće radnje, a ne stvara šum

Rezultati CSA ne smiju ostati u tablicama vlasnika kontrola. Moraju ući u preispitivanje uprave.

U koraku 28, preispitivanje uprave, Zenith Blueprint preporučuje ulaze o promjenama unutarnjih i vanjskih pitanja, promjenama zahtjeva zainteresiranih strana, učinkovitosti ISMS-a, rezultatima revizija, praćenju i mjerenju, incidentima, nesukladnostima, prilikama za poboljšanje i potrebama za resursima.

Upravo tamo CSA pripada.

Korisna CSA nadzorna ploča za izvršno rukovodstvo treba uključivati:

• Obuhvat kontrola po domeni i kritičnom procesu.
• Postotak kontrola testiranih prema rasporedu.
• Ocjenu kvalitete dokaza po vlasniku kontrole.
• Otvorene iznimke prema ocjeni rizika.
• Zakašnjele korektivne radnje.
• Ponavljajuće nalaze i temeljne uzroke.
• Mapiranja visokog rizika za NIS2, DORA, GDPR i obveze prema klijentima.
• Iznimke kontrola povezane s dobavljačima.
• Nalaze testiranja incidenata, sigurnosnih kopija i otpornosti.
• Odluke o resursima koje se traže od uprave.

Upravi ne treba svaka snimka zaslona. Mora znati je li kontrolno okruženje pouzdano, gdje rizik raste, jesu li obveze pokrivene i gdje su potrebne odluke.

To podržava odgovornost uprave prema NIS2 Article 20 i nadzor upravljačkog tijela prema DORA Article 5. Za GDPR pomaže voditelju obrade dokazati da odgovornost nije jednokratni dokument, nego živi proces upravljanja.

Česte zamke CSA i kako ih izbjeći

Prva zamka je CSA koji se svodi samo na upitnik. Odgovor da ili ne bez dokaza stvara osjećaj sigurnosti, ali ne i uvjerenje. Svaka značajna tvrdnja mora biti potkrijepljena dokazima.

Druga zamka su dokazi bez konteksta kontrole. Izvoz dnevničkih zapisa besmislen je ako nije vezan uz cilj kontrole, razdoblje, izvor, vlasnika i zaključak.

Treća zamka je slaba disciplina iznimki. Ako nalazi nemaju ocjene rizika, vlasnike, ciljne datume i metode provjere, CSA postaje vježba pohrane. Zenith Blueprint korak 29 to sprječava povezivanjem nesukladnosti s temeljnim uzrokom, korektivnom radnjom, vlasnikom, ciljnim datumom i provjerom učinkovitosti.

Četvrta zamka je zanemarivanje usluga koje pružaju vanjske strane. ISO/IEC 27001:2022 zahtijeva kontrolu nad eksterno pruženim procesima, proizvodima ili uslugama relevantnima za ISMS. NIS2 uključuje sigurnost opskrbnog lanca. DORA zahtijeva upravljanje rizikom trećih strana u području IKT-a, registre, dubinsku analizu dobavljača, ugovorne zaštitne mjere, procjenu rizika koncentracije, prava na reviziju i izlazne planove. Ishodi NIST CSF 2.0 GV.SC slično obuhvaćaju uloge dobavljača, dubinsku analizu, ugovore, praćenje, planiranje incidenata i prestanak. CSA mora uključivati dokaze dobavljača, a ne samo interne IT dokaze.

Peta zamka je tretiranje GDPR-a kao pravnog priloga. Ako se osobni podaci obrađuju u sustavu, CSA treba testirati podržavaju li sigurnosne kontrole cjelovitost, povjerljivost, dostupnost, zadržavanje, ograničenje pristupa i spremnost za povredu.

Kontrolni popis vlasnika kontrole za 2026.

Prije podnošenja rezultata CSA svaki vlasnik kontrole mora moći potvrditi sljedeće:

• Poznajem cilj kontrole i povezane rizike.
• Znam koje obveze iz ISO/IEC 27001:2022, NIS2, DORA, GDPR ili ugovora kontrola podržava.
• Zasebno sam testirao dizajn i operativnu učinkovitost.
• Dokumentirao sam populaciju i metodu uzorkovanja.
• Priložio sam dokaze koji su potpuni, ažurni, pripisivi, autentični, relevantni, zadržani i višekratno upotrebljivi.
• Evidentirao sam metapodatke o tome tko je prikupio dokaze, kada i iz kojeg sustava.
• Dokumentirao sam iznimke s ocjenom rizika i predloženim radnjama.
• Identificirao sam temeljni uzrok značajnih iznimki.
• Izradio sam ili ažurirao CAPA zapise s vlasnikom, rokom i metodom provjere.
• Eskalirao sam značajna pitanja za preispitivanje uprave.

Ako vlasnik kontrole ne može dovršiti ovaj kontrolni popis, problem nije samo slabost CSA. To može biti slabost praćenja ISMS-a, praznina u procjeni učinkovitosti prema NIS2, problem upravljanja IKT rizicima prema DORA ili slabost dokazivanja odgovornosti prema GDPR.

Učinite CSA dijelom svojeg operativnog modela pružanja uvjerenja

Samoprocjena kontrola nije zamjena za internu reviziju, penetracijsko testiranje, testiranje otpornosti prema DORA ili pravni pregled prema GDPR. Ona je operativni sloj koji sve njih čini pouzdanijima.

U 2026. organizacije koje prolaze revizije uz manje poremećaja neće biti one s najviše politika. Bit će to one čiji vlasnici kontrola mogu kvalitetnim dokazima dokazati da su kontrole dizajnirane, da djeluju, da se prate, ispravljaju i o njima izvješćuje.

Clarysec pomaže organizacijama izgraditi tu sposobnost korištenjem Zenith Blueprint, predložaka politika kao što su Politika informacijske sigurnosti, Politika praćenja revizije i usklađenosti, Politika praćenja revizije i usklađenosti za MSP, Politika prikupljanja dokaza i forenzike za MSP, Politika pravne i regulatorne usklađenosti te snage mapiranja međusobne usklađenosti u Zenith Controls.

Ako su vaše kontrole ISO/IEC 27001:2022 dokumentirane, ali su dokazi raspršeni, neujednačeni ili nisu višekratno upotrebljivi za NIS2, DORA i GDPR, počnite ovaj tjedan s jednom domenom visokog rizika. Provedite CSA za pristup s povišenim ovlastima, sigurnost dobavljača, spremnost za incidente, otklanjanje ranjivosti ili oporavak iz sigurnosnih kopija. Testirajte dizajn, testirajte operativnu učinkovitost, ocijenite kvalitetu dokaza, evidentirajte iznimke i unesite rezultat u preispitivanje uprave.

Spremni ste pretvoriti samoprocjenu kontrola u uvjerenje spremno za reviziju? Preuzmite Zenith Blueprint, istražite Zenith Controls ili zatražite Clarysec procjenu spremnosti dokaza kako biste vidjeli gdje će vaši dokazi o kontrolama izdržati provjeru, a gdje ih treba poboljšati.