CISO kellő gondossági dokumentáció: ISO 27001 bizonyítékok 2026-ra

Hétfő reggel 08:17 van. Maria, egy gyorsan növekvő fintech SaaS-szolgáltató CISO-ja, megnyitja a vezérigazgató e-mailjét: „Szabályozó hatósági megkeresés. Péntekig bizonyíték kell arra, hogy a kiesés előtt eszkaláltuk a beszállítói kockázatot, az igazgatóság megértette a maradványkockázatot, és dokumentáltuk az incidensjelentési döntésünket.”

Hat héttel korábban egy kritikus felhőszolgáltató regionális szolgáltatásromlást szenvedett el. Ügyfélpénzek nem vesztek el. Személyes adatok kiszivárgását nem erősítették meg. Az ügyfelek azonban órákig nem fértek hozzá az irányítópultokhoz, megugrott a támogatási jegyek száma, és egy vállalati ügyfél most igazolást kér arra, hogy a társaság megfelelt a NIS2, a DORA és a GDPR Article 32 szerinti biztonsági kötelezettségeknek.

Maria tudja, hogy a csapat felelősen járt el. Figyelmeztették a vezetést a koncentrációs kockázatra. Kivételt nyitottak, amikor a tartalék régió tesztelése csúszott. Besorolták az eseményt, egyeztettek a jogi területtel, tájékoztatták az ügyfeleket, és helyesbítő intézkedéseket indítottak. 2026-ban azonban a kérdés már nem csupán az, hogy a biztonsági terület felelősen járt-e el.

A kérdés az, hogy a CISO időbélyeggel ellátott bizonyítékokkal igazolni tudja-e, hogy a kockázatokat azonosították, kommunikálták, nyomon követték, a megfelelő kockázatgazda elfogadta, és az intézkedéseket végrehajtották.

Ez az igazolás a CISO kellő gondossági dokumentációja.

CISO-k, megfelelési vezetők, auditorok és üzleti felelősök számára a kellő gondossági dokumentáció nem magánjellegű irattári bunker. Ez az a működési bizonyítékréteg, amely az ISO/IEC 27001:2022 követelményeit, a NIS2 szerinti vezetői elszámoltathatóságot, a DORA irányítását és IKT-kockázatkezelését, valamint a GDPR Article 32 szerinti adatkezelés-biztonságot koherens történetté kapcsolja össze. Megfelelő kialakítás esetén megmutatja, hogy a biztonsági vezető egyértelmű tanácsot adott, a vezetés megalapozott döntéseket hozott, és a szervezet kontrolljait nem pusztán deklarálták, hanem működtették, felülvizsgálták és fejlesztették.

Miért fontos a CISO kellő gondossága 2026-ban

A szabályozási környezet a szabályzati nyilatkozatoktól az igazolható elszámoltathatóság felé mozdult el. A homályos biztosítékok már nem elegendők. A szabályozó hatóságok, igazgatóságok, ügyfelek és biztosítók egyre gyakrabban kérnek bizonyítékot az irányítás tényleges működésére.

A NIS2 kifejezett felelősséget ró az irányító testületekre. Article 20 előírja, hogy az alapvető és fontos szervezetek irányító testületei hagyják jóvá a kiberbiztonsági kockázatkezelési intézkedéseket, felügyeljék azok végrehajtását, és vegyenek részt kiberbiztonsági képzésen. Article 21 megfelelő és arányos technikai, operatív és szervezeti intézkedéseket vár el, ideértve a kockázatelemzést, az incidenskezelést, az üzletmenet-folytonosságot, az ellátási lánc biztonságát, a biztonságos fejlesztést, az eredményesség értékelését, a kiberhigiéniát, a képzést, a kriptográfiát, a hozzáférés-szabályozást, az eszközkezelést és a hitelesítést.

Az érintett pénzügyi szervezetek esetében a DORA tovább emeli a követelményszintet. Article 5 az irányító testületet teszi végső soron felelőssé az IKT-kockázatkezelésért. Article 6 megbízható, átfogó és megfelelően dokumentált IKT-kockázatkezelési keretrendszert ír elő. A DORA ezen túlmenően megköveteli az incidensek besorolását és jelentését, a digitális működési reziliencia tesztelését, a nem mikrovállalkozások belső auditját, a helyesbítő intézkedések nyomon követését és az IKT harmadik felek irányítását. A DORA 2025. január 17-től alkalmazandó, és az érintett pénzügyi szervezetek esetében ágazatspecifikus uniós jogi aktusként kezeli az átfedő NIS2 kockázatkezelési és jelentéstételi kötelezettségeket.

A GDPR különálló, de kapcsolódó elszámoltathatósági nézőpontot ad hozzá. Article 5(2) előírja, hogy az adatkezelők felelősek legyenek az adatvédelmi alapelveknek való megfelelésért, és képesek legyenek azt igazolni. Article 32 megfelelő technikai és szervezési intézkedéseket követel meg a kockázatnak megfelelő biztonsági szint biztosítására. Az EU-ban személyes adatokat kezelő SaaS-, fintech- és irányított szolgáltatást nyújtó szervezetek esetében ez azt jelenti, hogy a bizonyítékoknak meg kell mutatniuk, hogyan értékelték és kezelték a bizalmasságot, a sértetlenséget, a rendelkezésre állást és a rezilienciát érintő kockázatokat.

A CISO-k személyes aggodalma érthető. Ha egy kiesés vagy adatvédelmi incidens után a vezetői elszámoltathatóság, a szabályozói vizsgálat, az ügyféloldali átvilágítás és a peres kitettség egyszerre jelenik meg, önmagában a kockázati nyilvántartás nem lesz elegendő. A CISO-nak strukturált bizonyítékdokumentációra van szüksége, amely bemutatja a szakmai megítélést, az időben végrehajtott eszkalációkat, az egyértelmű ajánlásokat, a szükséges ellenvéleményeket, az elfogadott kockázatokat és a kontrollbizonyosságot.

A kellő gondossági dokumentáció nem árnyék-IBIR

Gyakori audithiba, amikor a CISO kellő gondossági dokumentációt az IBIR-től elkülönült magánarchívumként kezelik. Ez két kockázatot teremt. Először: a bizonyítékok következetlenné válnak. Másodszor: úgy tűnhet, hogy a CISO tudott a kockázatokról, de nem építette be azokat az irányításba.

A Clarysec megközelítése eltérő. A CISO kellő gondossági dokumentáció az IBIR-bizonyítékok olyan válogatott nézete, amely a vezetői elszámoltathatóság szempontjából releváns. Nem váltja ki a kockázati nyilvántartást, az alkalmazhatósági nyilatkozatot, az incidensnyilvántartást, a beszállítói nyilvántartást, az auditjelentéseket vagy a vezetőségi átvizsgálási jegyzőkönyveket. Indexeli, összekapcsolja és igazolhatóvá teszi ezeket.

A Zenith Blueprint: auditoroknak szóló 30 lépéses ütemterv adja a gyakorlati alapot. Az IBIR-alapok és vezetés szakaszban a 4. lépés hangsúlyozza, hogy az IBIR-vezető vagy biztonsági tisztviselő koordinálja a bevezetést, az auditokat és a tudatosságnövelést, és „közvetlen hozzáféréssel kell rendelkeznie a felső vezetéshez az ügyek eszkalálásához”. Azt is rögzíti, hogy a jelentős kockázatokhoz kockázatgazdákat kell kijelölni, és a szervezetnek meg kell határoznia, ki hagyja jóvá a kockázatkezelési döntéseket.

Ez a CISO kellő gondosságának első alapelve: a biztonsági vezető tanácsot ad és eszkalál, de a kockázatgazdai felelősséget és az elfogadást kifejezetten rögzíteni kell.

A Kockázatkezelés szakaszban a Zenith Blueprint 13. lépése ezt működésbe ülteti:

A kockázatkezelési döntéseket és az SoA-t a felső vezetésnek felül kell vizsgálnia és jóvá kell hagynia. Ez gyakran értekezleten történik, vagy legalább formális jóváhagyással. Gondoskodjon arról, hogy a vezetés tájékoztatást kapjon az alábbiakról:

✓ A fő kockázatok és a javasolt kezelési módok, ✓ Az elfogadásra javasolt kockázatok (ezeket formálisan el kell fogadniuk), ✓ A bevezetni tervezett kontrollok listája (az SoA kiemelt pontjai). A vezetői jóváhagyás azt mutatja, hogy a szervezet tisztában van a szükséges intézkedésekkel, és vállalja azok végrehajtását (ez egyben dokumentált auditbizonyíték is lesz).

Egy CISO számára ez az útmutatás nem csupán ISO auditra való felkészülés. Ez kellő gondossági architektúra. Ha egy magas kockázatot elfogadnak, elhalasztanak vagy alulfinanszíroznak, a dokumentációnak meg kell mutatnia a kockázatot, az ajánlást, az üzleti döntést, a jóváhagyó szerepkört, a kockázatvállalási hajlandóságra való hivatkozást és a felülvizsgálati dátumot.

Az ISO 27001:2022 a bizonyíték-előállítás motorja

Az ISO 27001 több, mint tanúsítási cél. Működési modell az irányításhoz, a kockázatkezeléshez, a bizonyossághoz és a folyamatos fejlesztéshez. A 0.1 pont kimondja, hogy az IBIR-t a szervezet folyamataiba és átfogó irányítási struktúrájába kell integrálni. Ez az integráció alakítja a rutinszerű biztonsági munkát megbízható bizonyíték-előállító rendszerré.

Az ISO 27001:2022 azon alapvető pontjai, amelyek táplálják a CISO kellő gondossági dokumentációt:

• 4.1–4.2 pontok: a környezet és az érdekelt felek, amelyek dokumentálják a jogi, szabályozási, szerződéses és érdekelt felek által támasztott kötelezettségeket.
• 4.3 pont: az IBIR alkalmazási területe, amely meghatározza az érintett szolgáltatásokat, helyszíneket, rendszereket és határokat.
• 5.1 pont: vezetés és elkötelezettség, amely megköveteli, hogy a felső vezetés támogassa az IBIR-t, és biztosítsa a tervezett eredmények elérését.
• 5.3 pont: szervezeti szerepkörök, felelősségek és hatáskörök, amely támogatja az egyértelmű kockázatgazdai felelősséget és eszkalációs útvonalakat.
• 6.1.2 és 6.1.3 pontok: információbiztonsági kockázatértékelés és kockázatkezelés, amelyek következetes kockázati kritériumokat, kockázatgazdai jóváhagyást, kezelési terveket, maradványkockázat-elfogadást és alkalmazhatósági nyilatkozatot követelnek meg.
• 8.1 pont: működéstervezés és -szabályozás, amely megköveteli, hogy a szervezet megtervezze, bevezesse és kontrollálja az IBIR-követelmények teljesítéséhez szükséges folyamatokat.
• 9.2 és 9.3 pontok: belső audit és vezetőségi átvizsgálás, amelyek független bizonyosságot és vezetői felügyeleti bizonyítékokat hoznak létre.
• 10.1 pont: folyamatos fejlesztés, valamint 10.2 pont: nemmegfelelőség és helyesbítő intézkedés, amelyek az utánkövetést mutatják.

Ez a rendszerszintű megközelítés biztosítja, hogy a Maria vezérigazgatója által kért bizonyítékokat ne pánikhelyzetben kelljen létrehozni. Már léteznek, ha az IBIR-t úgy alakították ki, hogy döntési szintű nyilvántartásokat hozzon létre és őrizzen meg.

Mi tartozik a CISO kellő gondossági dokumentációba

Egy jó kellő gondossági dokumentáció hét kérdésre ad választ, amelyeket egy auditor, szabályozó hatóság, igazgatósági tag vagy ügyfél tehet fel egy fennakadás után:

1. Mit tudott a CISO?
2. Mikor szerzett róla tudomást?
3. Milyen tanácsot adott?
4. Ki volt a kockázatgazda?
5. Mit hagyott jóvá, utasított el, halasztott el vagy fogadott el a vezetés?
6. Hogyan tesztelték vagy monitorozták a kontrollokat?
7. Mi változott incidensek, auditok, beszállítói figyelmeztetések vagy kivételek után?

Az alábbi struktúra alkalmazható SaaS-szolgáltatók, fintech vállalatok, irányított szolgáltatást nyújtó szolgáltatók, irányított biztonsági szolgáltatást nyújtó szolgáltatók, digitális infrastruktúra-üzemeltetők és szabályozott ügyfeleket támogató technológiai beszállítók esetében.

Ez a dokumentáció különösen fontos olyan NIS2 ágazatokban, mint a felhőszolgáltatások, adatközpontok, tartalomszolgáltató hálózatok, irányított szolgáltatást nyújtó szolgáltatók, irányított biztonsági szolgáltatást nyújtó szolgáltatók, nyilvános kommunikációs szolgáltatók és bizonyos pénzügyi infrastruktúra-szervezetek. A NIS2 alkalmazási területe az ágazattól, a szervezettípustól és a mérettől függ, miközben a tagállamoknak listákat kell létrehozniuk az alapvető és fontos szervezetekről. Még a közvetlen hatályon kívüli szervezetek is szembesülhetnek a hatály alá tartozó ügyfelektől érkező szerződéses továbbadott követelményekkel.

DORA esetében a dokumentációnak meg kell különböztetnie, hogy a szervezet szabályozott pénzügyi szervezet, IKT harmadik fél szolgáltató, vagy különböző kapcsolatokban mindkettő. A pénzügyi szervezeteknek fenn kell tartaniuk az irányítást, az IKT-kockázatkezelést, az incidensjelentést, a rezilienciatesztelést és a harmadik felek kockázataira vonatkozó kontrollokat. Az IKT-szolgáltatóktól egyre gyakrabban kérnek majd bizonyítékokat, auditálási jogokat, incidenskezelési támogatást, tesztelést és kilépési tervezést.

A Clarysec szabályzati gerince az igazolható nyilvántartásokhoz

A kellő gondossági dokumentáció értéke a nyilvántartások minőségén áll vagy bukik. A Clarysec szabályzatai úgy készültek, hogy ez a nyilvántartási nyomvonal a normál üzleti működés része legyen, ne pedig szabályozói megkeresésre adott vészreakció.

KKV-k esetében a [P02S] Irányítási szerepkörök és felelősségek szabályzata – KKV 5.5 pontja kimondja:

Minden jelentős biztonsági döntést, kivételt és eszkalációt rögzíteni kell, és visszakövethetővé kell tenni.

Nagyvállalatok esetében a [P02] Irányítási szerepkörök és felelősségek szabályzata 6.5 pontja kimondja:

Minden eszkalációt naplózni és nyomon követni kell, a megoldás vagy a formális elfogadás bizonyítékával együtt.

Ezek a pontok együtt meghatározzák a bizonyítékkal szembeni elvárást. Egy lényeges sérülékenység, beszállítói függőség, kontrollkésedelem vagy ismétlődő kivétel nem maradhat pusztán csevegőüzenetekben vagy emlékezetben. Rögzíteni, hozzárendelni, nyomon követni és megoldással vagy formális elfogadással le kell zárni.

A kockázatelfogadás ugyanilyen fegyelmet igényel. A [P06S] Kockázatkezelési szabályzat – KKV 5.1.2 pontja előírja:

Minden kockázati bejegyzésnek tartalmaznia kell: leírás, valószínűség, hatás, pontszám, tulajdonos és kezelési terv.

Ugyanez a KKV-szabályzat a 7.2.1 pontban hozzáteszi:

A magas vagy közepes kockázat kezelésének elfogadásáról vagy elhalasztásáról szóló minden döntést dokumentálni kell a kockázati nyilvántartásban. Ennek a dokumentációnak tartalmaznia kell:

Nagyobb szervezetek esetében a [P06] Kockázatkezelési szabályzat 6.3.4 pontja kimondja:

A kezelés nélkül elfogadott kockázatokat írásban indokolni kell, össze kell kapcsolni a szervezet kockázatvállalási hajlandóságával, és megfelelő szinten jóvá kell hagyni.

NIS2 vagy DORA környezetben ez azért lényeges, mert az irányító testületektől elvárt, hogy jóváhagyják, felügyeljék és megértsék a kiberbiztonsági és IKT-kockázati döntéseket. GDPR Article 32 környezetben ez segít igazolni, hogy a biztonsági intézkedéseket dokumentált, kockázatalapú folyamat keretében választották ki, halasztották el vagy módosították.

Az incidensekkel kapcsolatos bizonyítékoknak ugyanilyen strukturáltnak kell lenniük. A [P30S] Incidenskezelési szabályzat – KKV előírja:

Minden incidensvizsgálatot, megállapítást és helyesbítő intézkedést az ügyvezető által fenntartott incidensnyilvántartásban kell rögzíteni.

A [P30] Incidenskezelési szabályzat előírja:

Minden incidenst rögzíteni kell a Biztonsági Incidenskezelő Rendszerben (SIMS), többek között az alábbiakkal:

Ezek a pontok támogatják a NIS2 szakaszos jelentéstételét és a DORA IKT-incidensirányítását. A NIS2 jelentős incidensek esetén 24 órán belüli korai figyelmeztetést, 72 órán belüli értesítést és az incidensbejelentést követő egy hónapon belül zárójelentést ír elő. A DORA formális IKT-incidenskezelést, súlyosság és érintett szolgáltatási kritikusság szerinti besorolást, felső vezetés felé történő eszkalációt, az irányító testület tájékoztatását, szükség esetén ügyfélkommunikációt és a súlyos IKT-val kapcsolatos incidensek szakaszos jelentését követeli meg.

Az auditbizonyítékoknak is sértetlennek kell lenniük. A [P33S] Audit- és megfelelésmonitorozási szabályzat – KKV kimondja:

A metaadatokat (pl. ki gyűjtötte, mikor és melyik rendszerből) dokumentálni kell.

A [P33] Audit- és megfelelésmonitorozási szabályzat kimondja:

Minden audittevékenységet dokumentálni kell, és meg kell őrizni az IBIR dokumentumtárban.

Végül a [P01] Információbiztonsági szabályzat gyakorlati helyet ad a vezetői jelentéstételnek. A 4.2.4 pont kimondja:

Jelenti az IBIR állapotát, az incidenseket, az auditeredményeket és a mutatókat a felső vezetésnek.

Ez a pont támogatja azt a kellő gondossági elvet, hogy az incidensállapotnak, a mutatóknak, az auditeredményeknek és a megoldatlan kockázatoknak olyan formában kell eljutniuk a felső vezetéshez, amely támogatja a felügyeletet.

A Zenith Controls mint keresztmegfelelési iránytű

A Clarysec Zenith Controls: keresztmegfelelési útmutatója segít a CISO-knak összekapcsolni az ISO/IEC 27002:2022 kontrolljait a szélesebb megfelelési elvárásokkal. Ez nem külön kontrollkeretrendszer. A Clarysec keresztmegfelelési útmutatója annak megértéséhez, hogy az ISO/IEC 27001:2022 A melléklet és az ISO/IEC 27002:2022 kontrolljai hogyan támogatnak más kötelezettségeket, auditokat és bizonyítékkéréseket.

A CISO kellő gondossági dokumentáció szempontjából három kontrollterület központi jelentőségű.

Az ISO/IEC 27002:2022 5.4 kontroll, Vezetői felelősségek, megelőző irányítási kontroll, amely a bizalmasságot, a sértetlenséget és a rendelkezésre állást támogatja. A Zenith Controls az Identify fogalomkörbe helyezi, ahol az irányítás a működési képesség, az irányítás és az ökoszisztéma pedig biztonsági kontrollterület. A gyakorlati üzenet egyértelmű: a vezetői elszámoltathatóság nem jelképes. Kijelölt szerepköröket, erőforrásokat, szabályzati irányítást, felügyeletet és utánkövetést igényel.

A Zenith Controls az 5.4 kontrollt közvetlenül összekapcsolja az 5.2 Információbiztonsági szerepkörök és felelősségek, az 5.1 Információbiztonsági szabályzatok, az 5.35 Az információbiztonság független felülvizsgálata, az 5.36 Megfelelés az információbiztonsági szabályzatoknak, szabályoknak és szabványoknak, valamint az 5.8 Információbiztonság a projektmenedzsmentben kontrollokkal. Az a kellő gondossági dokumentáció, amely tartalmaz eszkalációkat, de nem tartalmaz bizonyítékot szerepkör-hozzárendelésre, szabályzat-jóváhagyásra, független felülvizsgálatra vagy projektintegrációra, hiányosnak fog tűnni.

Az 5.35 kontroll, Az információbiztonság független felülvizsgálata, szintén központi jelentőségű. A Zenith Controls megelőző és helyesbítő jellegűként írja le, amely az információbiztonsági bizonyossághoz kapcsolódik. Összekapcsolódik az 5.36 megfelelés monitorozásával, az 5.4 vezetői felelősségekkel, az 5.27 információbiztonsági incidensekből való tanulással, az 5.33 nyilvántartások védelmével, valamint olyan technikai bizonyítékokkal, mint a 8.15 naplózás és a 8.16 monitorozási tevékenységek. Kellő gondossági szempontból a független felülvizsgálat igazolja, hogy a vezetés nem kizárólag a biztonsági csapat önigazolására támaszkodott.

Az 5.36 kontroll, Megfelelés az információbiztonsági szabályzatoknak, szabályoknak és szabványoknak, biztosítja a betartatási réteget. A Zenith Controls összeköti ezt a szabályzatokkal, a fegyelmi eljárással, a független felülvizsgálattal, a szerepkörökkel, az eseményértékeléssel, a naplózással, a monitorozással, a nyilvántartások védelmével és a különleges érdekcsoportokkal való kapcsolattartással. Egy CISO számára ez azt jelenti, hogy a dokumentációnak nemcsak azt kell megmutatnia, hogy létezik szabályzat. A szabályzatok betartásának monitorozását, a nemmegfelelés jelentését és a helyesbítő intézkedéseket is igazolnia kell.

Keresztmegfelelési leképezés: egy bizonyítékdokumentáció, több nézőpont

A leghatékonyabb kellő gondossági dokumentáció ugyanazokat a bizonyítékokat több kötelezettséghez rendeli hozzá. Ez elkerüli a párhuzamos megfelelési programokat, és csökkenti az ellentmondó narratívák kockázatát.

A NIST CSF 2.0 azért hasznos, mert közös nyelvet ad az irányításhoz, az ellátási lánc kockázatához, az operatív rezilienciához, az incidenskezeléshez és a helyreállításhoz. GOVERN funkciója lefedi a szervezeti környezetet, a jogi és szabályozási kötelezettségeket, a kockázatvállalási hajlandóságot, a szerepköröket, a szabályzatot és a felügyeletet. A CSF Profiles módszer támogatja az aktuális állapot értékelését, a célállapot meghatározását, a hiányelemzést és a priorizált intézkedéstervezést. Ez természetesen illeszkedik a Clarysec kellő gondossági megközelítéséhez: a dokumentáció hatókörének meghatározása, bizonyítékok gyűjtése, kötelezettségek leképezése, hiányosságok azonosítása, intézkedések bevezetése és folyamatos frissítés.

Gyakorlati kockázateszkalációs csomag

Vegyünk egy SaaS-szolgáltatót, amelynek hitelesítési szolgáltatása egyetlen felhőalapú identitásszolgáltatótól függ. A CISO magas hatású rendelkezésre állási és hozzáférés-szabályozási kockázatot azonosít: ha az identitásszolgáltatónál súlyos kiesés következik be, az ügyfelek nem tudnak bejelentkezni, az emelt jogosultságú hozzáférési munkafolyamatok késhetnek, és az incidensreagálás akadályozottá válhat.

Egy igazolható kockázateszkalációs csomagnak öt részből kell állnia.

Először létre kell hozni a kockázati bejegyzést. Használja a Kockázatkezelési szabályzat – KKV követelményét, amely szerint minden kockázati bejegyzésnek tartalmaznia kell a leírást, valószínűséget, hatást, pontszámot, tulajdonost és kezelési tervet. A bejegyzésnek azonosítania kell az érintett eszközöket és szolgáltatásokat, ideértve az ügyfélportált, az adminisztrációs konzolt, a támogatási eszközöket és a vészhelyzeti hozzáférési folyamatot. Rögzítenie kell a CIA-hatást, a valószínűséget, a hatást, a kockázati pontszámot, a kockázatgazdát, a javasolt kezelést, a maradványkockázatot, a tervezett határidőt és a költségvetést.

Másodszor össze kell kapcsolni a kezelést az alkalmazhatósági nyilatkozattal. Releváns kontroll lehet a beszállítói biztonság, a felhőszolgáltatás-kezelés, az identitás- és hozzáférés-kezelés, az emelt jogosultságú hozzáférés, a monitorozás, az incidens-tervezés, az üzletmenet-folytonossági felkészültség, a biztonsági mentés és a naplózás. Ez követi a Zenith Blueprint 13. lépését, ahol a kockázatkezelési döntéseket és az SoA-t a felső vezetés felülvizsgálja és jóváhagyja.

Harmadszor el kell készíteni a CISO tanácsadó feljegyzését. A feljegyzésnek választ kell adnia arra, mi romolhat el, mely szabályozott szolgáltatásokat vagy ügyfélvállalásokat érinthet, milyen NIS2, DORA és GDPR következményei vannak, milyen kezelés javasolt, mekkora a költség és az időigény, valamint milyen maradványkockázat marad fenn, ha a vezetés halaszt.

Negyedszer rögzíteni kell a vezetői döntést. Ha a vezetés jóváhagyja a kezelést, meg kell őrizni az aláírt döntést, a költségvetési jóváhagyást és a bevezetési tervet. Ha a vezetés halaszt, a nagyvállalati Kockázatkezelési szabályzat írásos indokolást ír elő, amely kapcsolódik a kockázatvállalási hajlandósághoz, és megfelelő szintű jóváhagyást igényel. A dokumentációnak külön artefaktumként kell bemutatnia a CISO ajánlását és a vezetői döntést.

Ötödször bizonyossági bizonyítékokat kell hozzáadni. Ide tartoznak a vészhelyzeti hozzáférési fiók teszteredményei, a beszállítói incidenskommunikációs terv, a szerződés-felülvizsgálat, az SLA-bizonyítékok, a monitorozási riasztási tesztek, az asztali gyakorlat jegyzetei, a helyesbítő intézkedések és a belső audit megállapításai. A Zenith Blueprint 23. lépésében a Clarysec azt javasolja, hogy az incidenskezelési képességeket egy közelmúltbeli esemény kiválasztásával vagy asztali gyakorlat végrehajtásával kell ellenőrizni, rögzítve és naplózva a döntéseket, szerepköröket és kommunikációkat, frissítve a tervet a levont tanulságokkal, és megerősítve a forenzikus bizonyítékok megőrzési eljárásait. Pontosan ezt a bizonyítékot kell megőriznie a dokumentációnak.

Incidensdöntések: a jelentéstételi döntések indokainak igazolása

Kiberesemény után a leginkább vitatott kérdés gyakran nem a technikai idővonal. Hanem a jelentéstételi döntés.

Jelentős volt-e a NIS2 szerint? Súlyos volt-e a DORA szerint? Személyesadat-sértés volt-e a GDPR szerint? Értesítették-e az ügyfeleket vagy az érintetteket? Ki döntött? Milyen tények alapján?

A CISO kellő gondossági dokumentációnak minden lényeges eseményhez tartalmaznia kell incidensdöntési bejegyzést, akkor is, ha a végső döntés az, hogy „nem bejelentésköteles”. Ennek a bejegyzésnek tartalmaznia kell:

• A tudomásszerzés dátuma és időpontja.
• Az esemény összefoglalása és az érintett rendszerek.
• Kezdeti súlyosság és üzleti hatás.
• Ismert vagy feltételezett rosszindulatú ok.
• Határokon átnyúló hatásra utaló jelek.
• Személyesadat-értékelés.
• Ügyfél- vagy szolgáltatás-igénybevevői hatás.
• DORA szerinti súlyos incidens kritériumelemzés, ha alkalmazandó.
• NIS2 szerinti jelentős incidens kritériumelemzés, ha alkalmazandó.
• Jogi, DPO, megfelelési és vezetői résztvevők.
• Döntés, indokolás és jóváhagyás.
• Utánkövetési kiváltó tényezők, ha a tények változnak.

A NIS2 a jelentős incidenseket súlyos működési zavar, pénzügyi veszteség vagy más személyeknek okozott jelentős vagyoni vagy nem vagyoni kár alapján határozza meg. A DORA megköveteli, hogy a pénzügyi szervezetek rögzítsék az IKT-val kapcsolatos incidenseket és a jelentős kiberfenyegetéseket, az incidenseket olyan kritériumok alapján sorolják be, mint az érintett ügyfelek, a kiesési idő, a földrajzi kiterjedés, az adatvesztés, a kritikusság és a gazdasági hatás, valamint a súlyos incidenseket eszkalálják a felső vezetéshez, miközben tájékoztatják az irányító testületet.

A kellő gondossági dokumentációnak meg kell őriznie mind a döntési ponton ismert tényeket, mind az intézkedés vagy a be nem jelentés indokolását. Ha a tények később megváltoznak, a dokumentációnak meg kell mutatnia az újraértékelést.

A beszállítói figyelmeztetések mutatják meg igazán a gondosságot

Az ellátási lánccal kapcsolatos bizonyítékok a CISO dokumentáció egyik legfontosabb részévé válnak. A NIS2 Article 21 megköveteli az ellátási lánc biztonságát, és elvárja, hogy a szervezetek figyelembe vegyék a beszállító-specifikus sérülékenységeket, a termékminőséget, a kiberbiztonsági gyakorlatokat és a biztonságos fejlesztési eljárásokat. A preambulum szerinti iránymutatás ösztönzi, hogy a közvetlen beszállítókkal és szolgáltatókkal kötött szerződések tartalmazzanak kiberbiztonsági kockázatkezelési intézkedéseket.

A DORA a pénzügyi szervezetek számára előíróbb. Az IKT harmadik fél kockázatnak az IKT-kockázati keretrendszer részét kell képeznie. A szervezeteknek nyilvántartást kell vezetniük a szerződéses megállapodásokról, szerződéskötés előtti kellő gondosságot kell végezniük, értékelniük kell a koncentrációs kockázatot, figyelembe kell venniük az alvállalkozói láncokat és harmadik országbeli függőségeket, auditálási és hozzáférési jogokat kell beépíteniük, meg kell határozniuk az incidenssegítséget, tesztelniük kell a kilépési stratégiákat, és fenn kell tartaniuk a megszüntetési jogokat.

A CISO számára a beszállítói figyelmeztetéseket a beszállító hibája előtt kell dokumentálni. A dokumentációnak tartalmaznia kell:

• Kritikus beszállítói leltár és szolgáltatásleképezés.
• Beszállítói kockázati besorolás és indokolás.
• Biztonsági kérdőívek és bizonyíték-felülvizsgálatok.
• Szerződéses hiányelemzés, amely lefedi az auditálási jogokat, az incidensértesítést, az adatok helyét, az alvállalkozásba adást és a kilépést.
• Koncentrációs kockázat értékelése.
• A beszállítót érintő ismert sérülékenységek vagy nyilvános tájékoztatók.
• A CISO ajánlásai a jogi terület, a beszerzés és a vezetés számára.
• Elfogadott hiányosságok és kompenzáló kontrollok.
• Kilépési stratégia tesztbizonyítékai kritikus beszállítók esetében.

Ez szorosan illeszkedik a NIST CSF 2.0 GV.SC kategóriához, amely az ellátási lánc kockázatkezelési stratégiáját, a beszállítói szerepköröket, a kritikusság szerinti priorizálást, a szerződéses követelményeket, a kellő gondosságot, a folyamatos nyomon követést, az incidens-tervezést és a kapcsolat megszűnésével kapcsolatos tevékenységeket fedi le.

Hogyan olvassák az auditorok és szabályozók a dokumentációt

A különböző felülvizsgálók ugyanazt a bizonyítékot eltérő nézőpontból közelítik meg. Az erős kellő gondossági dokumentáció előre kezeli ezeket a nézőpontokat.

Egy ISO 27001 auditor kiemelt figyelmet fordít a kockázatértékelési és kockázatkezelési folyamatot alátámasztó dokumentált információkra. A 6.1.2 és 6.1.3 pontok kockázatelfogadási kritériumokat, következetes értékeléseket, kockázatgazdákat, kockázati szinteket, priorizálást, kezelési terveket, SoA-összehasonlítást és maradványkockázat-elfogadást követelnek meg. A 8.1–8.3 pontok operatív kontrollt, tervezett kockázat-újraértékelést vagy jelentős változások utáni újraértékelést, valamint az eredmények megőrzését írják elő.

Egy NIS2 hatóság vagy ügyféloldali értékelő a vezetői elszámoltathatóságot és az arányosságot vizsgálja. Azt kérdezi majd, hogy az intézkedések megfelelőek voltak-e a kockázati kitettség, a méret, a valószínűség, a súlyosság, a társadalmi vagy gazdasági hatás, a technika állása és az alkalmazandó szabványok alapján.

Egy DORA-fókuszú felülvizsgáló az irányítás visszakövethetőségét keresi. Meghatározta-e az irányító testület az IKT-kockázattűrést? Jóváhagyta-e a folytonossági és reagálási terveket? Eszkalálták-e a súlyos incidenseket? Kockázatalapú volt-e a rezilienciatesztelés, és követték-e helyesbítő intézkedések? Kezelték-e az IKT harmadik fél szerződéseket és koncentrációs kockázatokat?

Egy GDPR hatóság az elszámoltathatóságra és az adatkezelés biztonságára összpontosít. Azt vizsgálja, hogy a személyes adatokat osztályozták-e, az adatkezelési szerepköröket értették-e, a megfelelő technikai és szervezési intézkedéseket bevezették-e, és az adatsértési döntések bizonyítékokon alapultak-e.

Mutatók, amelyek védik a szervezetet és a CISO-t

A mutatók nem díszítőelemek. A kellő gondossági dokumentációban azt mutatják meg, hogy a CISO elegendő láthatóságot adott-e a vezetésnek a cselekvéshez.

Hasznos mutatók:

• Elfogadott, lejárt vagy gazda nélküli magas és közepes kockázatok.
• SLA-n kívüli kritikus sérülékenységek.
• Kivételek életkor, szervezeti egység és jóváhagyó szerepkör szerint.
• Beszállítói kockázatok kritikusság és megoldatlan szerződéses hiányosságok szerint.
• Incidensek észleléséig, megválaszolásáig és helyreállításáig eltelt átlagos idő.
• Bejelentéskötelességi értékelések elvégzése az előírt döntési időablakokon belül.
• Biztonsági mentési és helyreállítási tesztek sikerességi arányai.
• Hozzáférés-felülvizsgálatok teljesítése és emelt jogosultságú hozzáférési kivételek.
• Belső audit megállapítások súlyosság szerint és lejárt helyesbítő intézkedések.
• Biztonságtudatossági képzés teljesítése a vezetés és a munkatársak körében.

Ezek a mutatók támogatják az ISO 27001 vezetői jelentéstételt, a NIS2 képzést és felügyeletet, a DORA IKT-kockázati jelentéstételt és a GDPR elszámoltathatóságot. A CISO-t is védik azzal, hogy megmutatják, láthatóak voltak-e a vezetés számára az erőforrás-korlátok, a megoldatlan kivételek vagy az ismétlődő kontrollhibák.

A kellő gondossági dokumentációnak havi vagy negyedéves pillanatképeket kell megőriznie. Ne írja felül a régi irányítópultokat bizonyítékmegőrzés nélkül. Ha a vezetés látott egy piros mutatót, és halasztotta a kezelést, ez a döntés a dokumentációba tartozik.

Auditra kész eszközkészletből CISO bizonyítékdokumentáció

Az Audit, felülvizsgálat és fejlesztés szakaszban a Zenith Blueprint 30. lépése auditra kész eszközkészlet összeállítását javasolja:

Gyűjtse össze az összes kulcsfontosságú IBIR-dokumentumot és nyilvántartást egyetlen adattárba vagy mappába. Ez megkönnyíti a tanúsítási audit során, hogy gyorsan elő lehessen keresni bármit, amit az auditor kér.

Az ellenőrzőlista tartalmazza az IBIR alkalmazási területéről szóló nyilatkozatot, a szabályzatokat, a kockázatértékelési jelentést, a kockázati nyilvántartást, a kockázatkezelési tervet, az alkalmazhatósági nyilatkozatot, az eszköznyilvántartást, a képzési nyilvántartásokat, az operatív nyilvántartásokat, például az incidensnaplókat és hozzáférési kérelmeket, a belső auditjelentéseket, a vezetőségi átvizsgálási jegyzőkönyveket, a helyesbítő intézkedéseket és a megfelelési kötelezettségek nyilvántartásait.

A CISO kellő gondossági dokumentáció ennek az eszközkészletnek egy specializált rétege. Nem kell mindent duplikálnia. Azokat a bizonyítékokat kell indexelnie, amelyek leginkább kapcsolódnak a szakmai megítéléshez és a vezetői elszámoltathatósághoz.

Gyakorlati mappastruktúra:

• 00 Olvass el és bizonyítékindex.
• 01 Szerepkör, hatáskör és jelentési vonal.
• 02 Megfelelési kötelezettségek és hatály.
• 03 Vezetői jelentések és tanácsok.
• 04 Kockázatelfogadások és kivételek.
• 05 Incidensdöntések és kommunikációk.
• 06 Beszállítói figyelmeztetések és szerződéses kockázatok.
• 07 Kontrollbizonyosság és független felülvizsgálatok.
• 08 Mutatók és megoldatlan ügyek.
• 09 Vezetőségi átvizsgálás és CAPA utánkövetés.
• 10 Jogi zárolás, bizonyítékok sértetlensége és metaadatok.

Minden bejegyzéshez tartozzon gazda, dátum, forrásrendszer, kapcsolódó kockázatazonosító, kapcsolódó kontroll, döntési státusz és megőrzési követelmény. Ez valósítja meg a Clarysec bizonyítékelvét az Audit- és megfelelésmonitorozási szabályzat – KKV alapján: a metaadatok számítanak.

Kezdje el a következő incidens előtt

A CISO kellő gondossági dokumentáció akkor a legértékesebb, ha már a kiesés, adatvédelmi incidens, audit vagy szabályozói megkeresés előtt létezik. Kezdje három intézkedéssel ezen a héten.

Először hozzon létre CISO kellő gondossági bizonyítékindexet, és rendelje hozzá az ISO 27001 kockázati nyilvántartáshoz, SoA-hoz, incidensnyilvántartáshoz, beszállítói nyilvántartáshoz és vezetőségi átvizsgálási csomaghoz.

Másodszor vizsgálja felül az utolsó három magas vagy közepes kockázatot. Erősítse meg, hogy mindegyiknek van gazdája, kezelési terve, maradványkockázati döntése, kockázatvállalási hajlandóságra való hivatkozása és jóváhagyási bizonyítéka. Ha nincs, nyissa újra az irányítási bejegyzést.

Harmadszor tartson 90 perces asztali gyakorlatot beszállítói kiesés vagy feltételezett adatvédelmi incidens témájában. Használja a Zenith Blueprint 23. lépését a döntések, szerepkörök, kommunikációk és levont tanulságok rögzítésére, majd helyezze el a bizonyítékokat az incidensdöntési részben.

A Clarysec segít ennek gyors működésbe ültetésében. 30 lépéses bevezetési módszerünk, szabályzatcsomagunk és a Zenith Controls keresztmegfelelési leképezése igazolható, auditra való felkészültséget biztosító struktúrát ad az ISO 27001 bizonyítékokhoz, a NIS2 vezetői elszámoltathatóságához, a DORA irányításához és a GDPR Article 32 szerinti biztonsági elszámoltathatósághoz.

Ha magabiztosan szeretné felépíteni CISO kellő gondossági dokumentációját, kezdje a Zenith Blueprint használatával, hangolja össze irányítási és kockázati nyilvántartásait a Clarysec szabályzataival, és használja a Zenith Controls útmutatót keresztmegfelelési iránytűként.