Kontrolės priemonių savęs vertinimas ISO 27001 įrodymams

2026 m. audito problema yra ne trūkstamos kontrolės priemonės, o silpni įrodymai

Pirmadienį 09:10 prasidėjo vaizdo skambutis. Sarah, sparčiai augančios finansinių technologijų SaaS įmonės CISO, ekrane matė tris įsitempusius veidus: GRC vadovą, duomenų apsaugos pareigūną (DAP) ir IT operacijų vadovą.

Įmonei artėjo ISO/IEC 27001:2022 priežiūros auditas. Valdyba iki penktadienio norėjo gauti NIS2 pasirengimo apžvalgą. Finansinių paslaugų klientas prie sutarties atnaujinimo pridėjo DORA pobūdžio klausimų apie IRT tiekėjus. DAP rengė įrodymus GDPR atskaitomybei pagrįsti.

Dokumentuose organizacija atrodė brandi. Buvo rizikų registras, Taikomumo pareiškimas, prieigos kontrolės procedūros, reagavimo į incidentus planai, atsarginių kopijų politikos, tiekėjų deramo patikrinimo formos ir mokymų įrašai.

Tada prasidėjo įrodymų peržiūra.

Prieigos peržiūros skaičiuoklėje nebuvo nurodyta, kas atliko peržiūrą. Pažeidžiamumų skenavimo ataskaita buvo aktuali, tačiau niekas negalėjo įrodyti, ar kritinės išvados buvo pašalintos, priimtos kaip rizika, ar vis dar atviros. Tiekėjų deramas patikrinimas buvo atliktas, tačiau iki reikšmingo debesijos architektūros pakeitimo. Atsarginių kopijų testų ekrano kopijos buvo pasimetusios pokalbių gijoje. Incidentų stalo pratybų pastabos buvo naudingos, bet nepriskirtinos atsakingam asmeniui. Inžinieriai persiųsdavo konfigūracijų ekrano kopijas be konteksto. Kontrolės priemonių savininkai ketvirtines patikras žymėjo kaip „atlikta“, tačiau įrodymai buvo nenuoseklūs ir sunkiai pakartotinai panaudojami.

Sarah suprato, kad problema nėra kontrolės priemonių nebuvimas. Problema yra pagrįstų ir pakartojamų įrodymų nebuvimas.

Tai ir yra 2026 m. kontrolės priemonių savęs vertinimo spraga.

Organizacijos turi dokumentuotas kontrolės priemones, suvestines ir kartais nuolatinės stebėsenos priemones. Tačiau jos dažnai negali įrodyti, kad kontrolės priemonių savininkai nuosekliai testuoja kontrolės priemones, kad įrodymai yra išsamūs ir aktualūs, o išimtys pereina į korekcinius veiksmus, vadovybės peržiūrą ir pranešimą reguliuotojui.

Kontrolės priemonių savęs vertinimas, arba CSA, pašalina šią veiklos spragą. Tinkamai vykdomas CSA sukuria disciplinuotą darbo eigą, kurioje kontrolės priemonių savininkai periodiškai testuoja kontrolės priemonės projektavimo tinkamumą ir veikimo veiksmingumą, prideda audito kokybės kriterijus atitinkančius įrodymus, registruoja išimtis, priskiria korekcinius veiksmus ir vadovybei pateikia patikimą kontrolės priemonių būklės vaizdą.

Clarysec CSA laikomas jungtimi tarp ISVS, teisinių prievolių ir audito įrodymų. Zenith Blueprint: 30 žingsnių auditoriaus veiksmų planas šią discipliną priskiria audito, peržiūros ir tobulinimo etapui. 26 žingsnyje „Audito vykdymas“ nurodoma, kad įrodymų rinkimas turi apimti interviu, dokumentacijos peržiūrą, stebėjimą, imčių atranką ir atsitiktinius patikrinimus:

✓ Apklauskite susijusius darbuotojus: paprašykite už procesus atsakingų asmenų paaiškinti, kaip jie atitinka reikalavimus.
✓ Peržiūrėkite dokumentaciją: patikrinkite, ar dokumentai ir įrašai egzistuoja ir yra aktualūs.
✓ Stebėkite praktikas: jei įmanoma, atlikite tiesioginį stebėjimą.
✓ Taikykite imčių atranką ir atsitiktinius patikrinimus: visko patikrinti neįmanoma, todėl naudokite imčių atranką.

Šis požiūris neturi laukti formalaus vidaus audito. CSA perkelia jį anksčiau – į kontrolės priemonių savininkų rankas, kad organizacija kiekvieną mėnesį ar ketvirtį galėtų įrodyti, jog kontrolės priemonės ne tik aprašytos, bet ir veikia.

Kodėl rankiniai savęs vertinimai žlunga pagal NIS2, DORA ir GDPR

Senas skaičiuoklių ir el. pašto modelis kontrolės priemonių savęs vertinimui nebetinka, nes jis skatina užduoties užbaigimą, o ne įrodymų kokybę.

Vienas kontrolės priemonės savininkas įkelia ekrano kopiją. Kitas parašo „patvirtinta pagal politiką“. Trečias prideda žurnalų eksportą be sistemos, laikotarpio, peržiūrėtojo ar išvados paaiškinimo. GRC komanda kelias dienas atkuria istoriją auditoriams, klientams ir reguliuotojams.

Tai lemia keturias pasikartojančias nesėkmes:

• Nenuoseklūs įrodymai, kai kiekvienas savininkas skirtingai supranta, kas yra tinkamas įrodymas.
• Silpnas priskirtinumas, kai failai neparodo, kas, kada ir iš kurio šaltinio surinko įrodymus.
• Formalus patvirtinimas be testavimo, kai perkrautos komandos patvirtina, kad kontrolės priemonė veikia, jos netestuodamos.
• Pakartotinio naudojimo nebuvimas, kai ISO/IEC 27001:2022 surinkti įrodymai negali lengvai pagrįsti NIS2, DORA ar GDPR be rankinio interpretavimo.

Šiuolaikinis reglamentavimas tokiam modeliui nepalieka vietos.

NIS2 Article 20 kibernetinio saugumo rizikos valdymą nustato kaip valdymo organo atsakomybę. Vadovybė turi tvirtinti priemones, prižiūrėti įgyvendinimą ir dalyvauti mokymuose. Article 21 reikalauja tinkamų ir proporcingų techninių, operacinių ir organizacinių priemonių, įskaitant rizikos analizę, incidentų valdymą, veiklos tęstinumą, tiekimo grandinės saugumą, pažeidžiamumų tvarkymą, veiksmingumo vertinimą, kibernetinę higieną, prieigos kontrolę, turto valdymą ir autentifikavimą.

Būtent „veiksmingumo vertinimas“ yra vieta, kur CSA tampa būtinas. NIS2 subjektas negali patikimai teigti vadovybei, kad kibernetinio saugumo priemonės yra veiksmingos, jeigu kontrolės priemonių savininkai jų netestuoja ir nedokumentuoja rezultatų.

DORA nuo 2025 m. sausio 17 d. pakėlė kartelę finansų subjektams. Ji sukuria skaitmeninio operacinio atsparumo režimą, apimantį IRT rizikos valdymą, pranešimą apie incidentus, atsparumo testavimą, dalijimąsi informacija ir IRT trečiųjų šalių riziką. DORA Article 5 reikalauja valdymo organo atsakomybės už IRT rizikos priemones, politikas, vaidmenis, strategiją, tęstinumo planus, audito planus, trečiųjų šalių politikas ir korekcines priemones. Article 6 reikalauja dokumentuotos IRT rizikos valdymo sistemos, reguliarios peržiūros, vidaus audito ne labai mažoms įmonėms ir kritinių IRT audito išvadų šalinimo. Articles 24 to 26 atsparumo testavimą paverčia pasikartojančia validavimo programa, įskaitant tinkamą nepriklausomumą ir, tam tikriems subjektams, grėsmėmis grindžiamą įsiskverbimo testavimą.

CSA nepakeičia DORA testavimo. Tai kontrolės priemonių savininkų lygmuo, dėl kurio DORA testavimas tampa tvarus.

GDPR sukuria susijusį atskaitomybės spaudimą. Article 5(2) reikalauja, kad duomenų valdytojai galėtų įrodyti duomenų apsaugos principų laikymąsi. Article 32 reikalauja tinkamo tvarkymo saugumo, įskaitant konfidencialumą, vientisumą, prieinamumą, atsparumą, atkūrimą ir, kai tinkama, reguliarų testavimą ar vertinimą. DAP požiūriu CSA įrodymai yra praktinis būdas parodyti, kad prieigos peržiūros, šifravimas, žurnalavimas, saugojimo terminai, tiekėjų priežiūra ir incidentų valdymas realiai veikia asmens duomenų aplinkoje.

Clarysec CSA modelis: nuo politikos iki įrodymo

Pagrįsta CSA programa prasideda nuo trijų klausimų:

1. Ar kontrolės priemonė tinkamai suprojektuota pagal riziką ir prievolę?
2. Ar kontrolės priemonė veikė vertinimo laikotarpiu?
3. Ar įrodymai yra išsamūs, aktualūs, priskirtini ir pakartotinai naudojami?

Clarysec šį modelį įtvirtina politikose, audito darbo eigoje ir kontrolės priemonių susiejime.

Informacijos saugumo politika 6.6.1 punkte nustato lūkestį:

Visos įgyvendintos kontrolės priemonės turi būti audituojamos, pagrįstos dokumentuotomis procedūromis ir saugomais veikimo įrodymais.

6.6.2 punkte papildoma:

Kontrolės priemonių savininkai turi saugoti testavimo rezultatus, žurnalus ir peržiūros įrašus periodiniams auditams pagrįsti.

Taip kontrolės priemonės iš statinių teiginių paverčiamos aktyviais, išmatuojamais procesais.

Audito ir atitikties stebėsenos politika – MVĮ nustato peržiūros discipliną:

Ši politika nustato organizacijos požiūrį į vidaus auditų, saugumo kontrolės priemonių peržiūrų ir atitikties stebėsenos vykdymą. Ji užtikrina, kad visos kontrolės priemonės, politikos, sistemos ir paslaugų teikėjai būtų reguliariai ir struktūruotai peržiūrimi.

5.2.3 punktas reikalauja struktūros:

Kiekvienas auditas turi turėti apibrėžtą taikymo sritį, tikslus, atsakingus darbuotojus ir reikalingus įrodymus.

CSA atveju ta pati logika taikoma kontrolės priemonių savininkų lygmeniu. Kiekvienas savęs vertinimas turi turėti taikymo sritį, tikslą, atsakingą asmenį, laikotarpį, įrodymus ir išvadą.

Zenith Controls: kryžminės atitikties vadovas suteikia susiejimo perspektyvą. CSA atveju svarbiausios ISO/IEC 27001:2022 Annex A kontrolės priemonių nuorodos apima 5.2 „Informacijos saugumo vaidmenys ir atsakomybės“, 5.35 „Nepriklausoma informacijos saugumo peržiūra“ ir 5.36 „Informacijos saugumo politikų, taisyklių ir standartų laikymasis“.

Kartu šios kontrolės priemonės paaiškina CSA paskirtį. Kažkas turi būti kontrolės priemonės savininkas. Organizacija turi tikrinti, ar laikomasi politikų ir standartų. Nepriklausoma peržiūra turi kritiškai įvertinti sistemą. CSA yra tarp savininkystės ir nepriklausomos peržiūros. Tai nėra vidaus auditas, bet jis parengia įrodymus, dėl kurių vidaus auditas tampa greitesnis ir patikimesnis.

Projektavimo tinkamumo testas ir veikimo veiksmingumo testas

Dažna CSA klaida – klausti kontrolės priemonių savininkų „Ar ši kontrolės priemonė veikia?“ neapibrėžus, ką reiškia „veikia“.

Kiekvienas patikimas vertinimas turi atskirti projektavimo tinkamumo testą nuo veikimo veiksmingumo testo.

Projektavimo tinkamumo testas klausia, ar kontrolės priemonė, jei būtų vykdoma kaip aprašyta, valdytų riziką arba reikalavimą. Prieigos peržiūros atveju projektavimo testas tikrina, ar procedūra apibrėžia taikymo sritį, peržiūrėtojo vaidmenį, dažnumą, apimamas sistemas, išimčių tvarkymą, įrodymų saugojimą ir eskalavimą.

Veikimo veiksmingumo testas klausia, ar kontrolės priemonė faktiškai veikė laikotarpiu. Tos pačios prieigos peržiūros atveju veikimo testas tikrina, ar peržiūra įvyko, kas ją atliko, ar buvo įtrauktos visos į taikymo sritį patenkančios sistemos, ar išimtys buvo išspręstos ir ar įrašai įrodo užbaigimą.

Abu testai svarbūs. Gerai parašyta atsarginių kopijų politika yra silpna, jei nebuvo atlikti atkūrimo testai. Kas savaitę vykdomas pažeidžiamumų skenavimas yra neišsamus, jei kritinės išvados nepereina į taisomuosius veiksmus arba formalų rizikos priėmimą. Vieną kartą atlikta tiekėjo peržiūra nebėra patikima, jei tiekėjas dabar palaiko kritinį procesą ir pakeitė subtiekėjus.

Šis atskyrimas tiesiogiai palaiko ISO/IEC 27001:2022 8.1 punktą dėl veiklos planavimo ir kontrolės, 9.1 punktą dėl stebėsenos, matavimo, analizės ir vertinimo, 9.2 punktą dėl vidaus audito, 9.3 punktą dėl vadovybės peržiūros ir 10.2 punktą dėl neatitikties ir korekcinio veiksmo.

Įrodymų kokybės kriterijai 2026 m. auditams

Įrodymai nėra tinkami auditui vien todėl, kad jie egzistuoja. Įrodymai turi būti tinkami naudoti.

CSA atveju įrodymai turi būti vertinami pagal septynis kriterijus.

MVĮ politika sustiprina metaduomenų discipliną:

Metaduomenys (pvz., kas juos surinko, kada ir iš kurios sistemos) turi būti dokumentuoti.

Didesnio vientisumo tyrimams ir skaitmeniniams įrodymams Įrodymų rinkimo ir kriminalistikos politika – MVĮ yra tikslesnė:

Kiekvienas skaitmeninių įrodymų elementas turi būti užregistruotas nurodant:
5.2.1.1. Rinkėjo vardą ir pavardę
5.2.1.2. Šaltinio sistemą / įrenginį
5.2.1.3. Rinkimo laiko žymą
5.2.1.4. Saugojimo vietą
5.2.1.5. Prieigos istoriją (kas jį peržiūrėjo arba nukopijavo)

Įprastam CSA įrašui ne visada reikia kriminalistinės saugojimo grandinės tvarkymo. Tačiau kiekvienas įrodymų elementas turi būti pakankamai atsekamas, kad auditorius suprastų, kas jį parengė, kada, iš kur ir kodėl jis įrodo kontrolės priemonę.

Teisinės ir reglamentavimo atitikties politika prideda kryžminės atitikties reikalavimą, reikalaudama:

Reikalingų artefaktų arba įrašų atitikčiai įrodyti (pvz., audito žurnalų, šifravimo nustatymų, sutikimų dokumentacijos)

Tai yra pakartotinai naudojamų įrodymų esmė. Vienas šifravimo konfigūracijos eksportas gali pagrįsti ISO/IEC 27001:2022 rizikos tvarkymą, NIS2 Article 21 saugumo priemones, DORA IRT turto apsaugą ir GDPR Article 32 tvarkymo saugumą, jei įrašas yra išsamus, priskirtinas ir susietas.

Praktinė CSA darbo eiga naudojant Clarysec priemones

Kontrolės priemonės savininkas turi gebėti struktūruotai ir pakartojamai atlikti prasmingą CSA sesiją. Toliau pateiktą darbo eigą galima taikyti privilegijuotajai prieigai, atsarginių kopijų atkūrimui, tiekėjų stebėsenai, pasirengimui incidentams, pažeidžiamumų valdymui arba nepriklausomai peržiūrai.

1 žingsnis: pasirinkite kontrolės priemonę ir prievolių susiejimą

Pradėkite nuo Taikomumo pareiškimo, Rizikos tvarkymo plano ir teisinių reikalavimų registro. Pasirinkite vieną kontrolės priemonę, pavyzdžiui, privilegijuotosios prieigos prie produkcinių sistemų peržiūrą.

Susiekite ją su atitinkamomis ISO/IEC 27001:2022 Annex A kontrolės priemonėmis, tokiomis kaip 5.15 Access control, 5.16 Identity management ir 5.18 Access rights. Zenith Controls susiekite ją su 5.2 dėl vaidmenų ir atsakomybių ir 5.36 dėl politikų, taisyklių ir standartų laikymosi, nes peržiūra įrodo, kad prieigos politika yra taikoma.

Jeigu organizacijai taikoma NIS2, susiekite įrodymus su Article 21 priemonėmis dėl prieigos kontrolės, turto valdymo, žmogiškųjų išteklių saugumo ir autentifikavimo. Jeigu tai DORA finansų subjektas, susiekite juos su IRT rizikos valdysena, apsauga, stebėsena ir trečiųjų šalių reikalavimais, kai aktualu. Jeigu tvarkomi asmens duomenys, susiekite juos su GDPR Article 5 vientisumu ir konfidencialumu bei Article 32 tvarkymo saugumu.

2 žingsnis: apibrėžkite projektavimo tinkamumo testą

Užduokite praktinius projektavimo klausimus:

• Ar procedūra identifikuoja visas į taikymo sritį patenkančias sistemas?
• Ar ji apima privilegijuotas paskyras, paslaugų paskyras ir avarinę prieigą?
• Ar peržiūrėtojas, kai praktiškai įmanoma, yra nepriklausomas nuo kasdienio prieigos suteikimo?
• Ar apibrėžtas dažnumas, eskalavimas ir išimčių taisyklės?
• Ar apibrėžtas įrodymų saugojimas?
• Ar įtrauktos GDPR, DORA, NIS2 arba konkrečiam klientui taikomos prievolės, kai aktualu?

Jeigu atsakymas yra neigiamas, registruokite projektavimo išimtį.

3 žingsnis: atlikite veikimo veiksmingumo testą

Pasirinkite imtį ir patikrinkite faktinį veikimą. Ketvirtinės privilegijuotosios prieigos peržiūros atveju atrinkite paskutinę užbaigtą peržiūrą ir didelės rizikos naudotojus kritinėse sistemose. Jei aplinka maža, testuokite visas privilegijuotas paskyras. Jei ji didelė, taikykite rizika grindžiamą imčių atranką, didesnę aprėptį skirdami administratoriams, produkcinėms sistemoms, asmens duomenų sistemoms ir išorėje pasiekiamoms platformoms.

Įmonės Audito ir atitikties stebėsenos politika palaiko:

Įrodymų rinkimą per interviu, procesų peržiūras ir imčių atranką

Ji taip pat reikalauja:

Imčių atrankos strategijos, audito taikymo srities ir apribojimų dokumentavimo

Neapsiribokite įrodymų pridėjimu. Užregistruokite, kodėl pasirinkta ši imtis, kokią visumą ji reprezentuoja ir kas buvo neįtraukta.

Stiprus imties aprašas galėtų būti toks:

„Visuma: 42 privilegijuotos produkcinės paskyros debesijos konsolėje, CI/CD platformoje ir duomenų bazių administravime. Imtis: visos 7 „break glass“ paskyros, visos 5 produkcinių duomenų bazių administratorių paskyros ir 10 atsitiktinai atrinktų privilegijuotų inžinerijos paskyrų. Laikotarpis: 2026 m. I ketv. Išimtys: trečiosios šalies valdomos ugniasienių paskyros vertintos pagal tiekėjų prieigos peržiūrą CSA-TPR-04.“

Šis sakinys auditoriui pateikia visumą, rizikos logiką, laikotarpį ir apribojimą.

4 žingsnis: įvertinkite įrodymų kokybę

Kiekvienam įrodymų elementui užfiksuokite:

• Įrodymo ID
• Kontrolės priemonės ID ir kontrolės priemonės savininką
• Vertinimo laikotarpį
• Šaltinio sistemą
• Surinkimo datą
• Rinkėją
• Peržiūrėtoją arba tvirtintoją
• Susietą prievolę
• Saugojimo vietą
• Saugojimo laikotarpį
• Nustatytas išimtis
• Taisomųjų veiksmų užklausą arba CAPA nuorodą

Tai paverčia CSA iš subjektyvaus klausimyno į įrodymais grindžiamą kontrolės priemonės testą.

5 žingsnis: registruokite išimtis ir korekcinius veiksmus

Jeigu dvi privilegijuotos paskyros neturi dokumentuoto verslo pagrindimo, neslėpkite problemos pastabose. Sukurkite išvadą, priskirkite rizikos lygį, apibrėžkite veiksmą, paskirkite savininką ir suderinkite tikslinę datą.

MVĮ politika reikalauja:

Visos audito išvados turi būti dokumentuotos nurodant rizikos lygius ir siūlomus veiksmus.

Tada taikykite Zenith Blueprint 27 žingsnį „Audito išvados“. Blueprint rekomenduoja kategorijas: reikšminga neatitiktis, mažareikšmė neatitiktis arba pastaba, po jų atliekant pagrindinės priežasties analizę. Jeigu paslaugų paskyros buvo praleistos todėl, kad tapatybių apskaita jų neapima, pagrindinė priežastis nėra „peržiūrėtojo klaida“. Tai neišsami prieigos apskaita arba neaiški procedūros taikymo sritis.

6 žingsnis: uždarykite per CAPA ir patikrinkite veiksmingumą

Zenith Blueprint 29 žingsnis rekomenduoja naudoti CAPA žurnalą su problemos aprašymu, pagrindine priežastimi, korekciniu veiksmu, atsakingu savininku, tiksline data ir būsena. Jame taip pat pabrėžiama, kad po užbaigimo reikia patikrinti veiksmingumą.

Jeigu korekcinis veiksmas yra „atnaujinti prieigos peržiūros procedūrą, kad ji apimtų paslaugų paskyras“, patikrinimo metodas turi būti praktinis: peržiūrėti kitą prieigos ciklą ir patvirtinti, kad paslaugų paskyros įtrauktos, išimtys išspręstos, o įrodymai saugomi.

Taip CSA tampa nuolatiniu tobulinimu, o ne atitikties imitacija.

Kryžminės atitikties susiejimas be keturių atskirų kontrolės programų

Didžiausias efektyvumo laimėjimas yra „testuokite vieną kartą, susiekite su daugeliu“.

Atskirų testavimo procesų kūrimas ISO/IEC 27001:2022, NIS2, DORA ir GDPR tikslams sukuria dubliuotus įrodymus, nenuoseklius atsakymus ir pervargusius kontrolės priemonių savininkus. Geresnis požiūris – naudoti ISO/IEC 27001:2022 kaip valdymo sistemą, CSA kaip testavimo darbo eigą ir Zenith Controls kaip kryžminės atitikties vadovą.

NIST Cybersecurity Framework 2.0 yra naudingas kaip integracijos lygmuo. Jo GOVERN funkcija apima teisinius, reglamentavimo ir sutartinius reikalavimus, rizikos apetitą, vadovybės atskaitomybę, politikų valdyseną ir priežiūrą. Jo organizaciniai profiliai padeda organizacijoms apibrėžti esamus ir tikslinius kibernetinio saugumo rezultatus, analizuoti spragas ir paversti jas prioritetizuotais veiksmų planais.

COBIT 2019 ir ISACA pobūdžio patikinimo mąstymas suteikia dar vieną naudingą perspektyvą. Jie akcentuoja valdysenos tikslus, proceso pajėgumą, atskaitomybę, rodiklius ir vadovybės priežiūrą. COBIT orientuotas peržiūrėtojas klaus, ar procesas yra apibrėžtas, matuojamas ir tobulinamas, o ne tik ar egzistuoja artefaktas.

Kaip skirtingi auditoriai vertins jūsų CSA įrodymus

Tas pats CSA įrašas bus interpretuojamas skirtingai, priklausomai nuo auditoriaus patirties. Įrodymų kūrimas atsižvelgiant į šias perspektyvas padaro programą atsparesnę.

Nepriklausomos peržiūros atveju ISO/IEC 27001:2022 auditorius ieškos vidaus audito programos pagal 9.2 punktą, vadovybės peržiūros įvesčių pagal 9.3 punktą ir korekcinio veiksmo pagal 10.2 punktą. DORA peržiūrėtojas ieškos rizika grindžiamo testavimo, nepriklausomumo, taisomųjų veiksmų ir vadovybės priežiūros. NIS2 reguliuotojas sutelks dėmesį į tai, ar vadovybė gali įrodyti kibernetinio saugumo priemonių veiksmingumą. GDPR peržiūrėtojas klaus, ar įrodymai rodo tinkamas technines ir organizacines priemones realioms tvarkymo veikloms.

Tikslas nėra perrašyti įrodymus kiekvienai auditorijai. Tikslas – surinkti juos vieną kartą su pakankamu kontekstu, kad jie tenkintų kelias perspektyvas.

Vadovybei skirtos ataskaitos, kurios skatina veiksmus, o ne triukšmą

CSA rezultatai neturi likti kontrolės priemonių savininkų skaičiuoklėse. Jie turi patekti į vadovybės peržiūrą.

28 žingsnyje „Vadovybės peržiūra“ Zenith Blueprint rekomenduoja įvestis apie vidinių ir išorinių klausimų pokyčius, suinteresuotųjų šalių reikalavimų pokyčius, ISVS veikimą, audito rezultatus, stebėseną ir matavimą, incidentus, neatitiktis, tobulinimo galimybes ir išteklių poreikius.

Būtent ten ir turi būti CSA.

Naudingame CSA vadovybės valdymo skydelyje turėtų būti:

• Kontrolės priemonių aprėptis pagal sritį ir kritinį procesą.
• Laiku testuotų kontrolės priemonių procentas.
• Įrodymų kokybės balas pagal kontrolės priemonių savininką.
• Atviros išimtys pagal rizikos lygį.
• Vėluojantys korekciniai veiksmai.
• Pasikartojančios išvados ir pagrindinės priežastys.
• Didelės rizikos susiejimai su NIS2, DORA, GDPR ir klientų prievolėmis.
• Su tiekėjais susijusios kontrolės priemonių išimtys.
• Incidentų, atsarginių kopijų ir atsparumo testavimo išvados.
• Išteklių klausimai, kuriems reikalingi vadovybės sprendimai.

Vadovybei nereikia kiekvienos ekrano kopijos. Jai reikia žinoti, ar kontrolės priemonių aplinka yra patikima, kur rizika didėja, ar prievolės padengtos ir kur būtini sprendimai.

Tai palaiko NIS2 Article 20 vadovybės atskaitomybę ir DORA Article 5 valdymo organo priežiūrą. GDPR atveju tai padeda duomenų valdytojui parodyti, kad atskaitomybė nėra vienkartinis dokumentas, o gyvas valdysenos procesas.

Dažnos CSA klaidos ir kaip jų išvengti

Pirmoji klaida – tik klausimynu grindžiamas CSA. Atsakymas „taip“ arba „ne“ be įrodymų suteikia komfortą, bet ne patikinimą. Kiekvienas reikšmingas teiginys turi būti pagrįstas įrodymais.

Antroji klaida – įrodymai be kontrolės priemonės konteksto. Žurnalų eksportas yra beprasmis, jei jis nesusietas su kontrolės priemonės tikslu, laikotarpiu, šaltiniu, savininku ir išvada.

Trečioji klaida – silpna išimčių disciplina. Jei išvados neturi rizikos lygių, savininkų, tikslinių datų ir patikrinimo metodų, CSA tampa saugojimo pratimu. Zenith Blueprint 29 žingsnis to išvengia susiedamas neatitiktis su pagrindine priežastimi, korekciniu veiksmu, savininku, tiksline data ir veiksmingumo patikrinimu.

Ketvirtoji klaida – išorėje teikiamų paslaugų ignoravimas. ISO/IEC 27001:2022 reikalauja kontroliuoti išorėje teikiamus procesus, produktus ar paslaugas, aktualius ISVS. NIS2 apima tiekimo grandinės saugumą. DORA reikalauja IRT trečiųjų šalių rizikos valdymo, registrų, deramo patikrinimo, sutartinių apsaugos priemonių, koncentracijos rizikos vertinimo, audito teisių ir pasitraukimo planų. NIST CSF 2.0 GV.SC rezultatai panašiai apima tiekėjų vaidmenis, deramą patikrinimą, sutartis, stebėseną, incidentų planavimą ir nutraukimą. CSA turi apimti tiekėjų įrodymus, o ne tik vidinius IT įrodymus.

Penktoji klaida – GDPR traktavimas kaip teisinio priedo. Jei sistemoje tvarkomi asmens duomenys, CSA turi testuoti, ar saugumo kontrolės priemonės palaiko vientisumą, konfidencialumą, prieinamumą, saugojimo terminus, prieigos ribojimą ir pasirengimą pažeidimams.

2026 m. kontrolės priemonės savininko kontrolinis sąrašas

Prieš pateikdamas CSA rezultatą, kiekvienas kontrolės priemonės savininkas turi gebėti patvirtinti šiuos dalykus:

• Žinau kontrolės priemonės tikslą ir susietas rizikas.
• Žinau, kurias ISO/IEC 27001:2022, NIS2, DORA, GDPR arba sutartines prievoles palaiko kontrolės priemonė.
• Atskirai testavau projektavimo tinkamumą ir veikimo veiksmingumą.
• Dokumentavau visumą ir imčių atrankos metodą.
• Pridėjau įrodymus, kurie yra išsamūs, aktualūs, priskirtini, autentiški, reikšmingi, saugomi ir pakartotinai naudojami.
• Užregistravau metaduomenis apie tai, kas, kada ir iš kurios sistemos surinko įrodymus.
• Dokumentavau išimtis, nurodydamas rizikos lygį ir siūlomus veiksmus.
• Nustatiau reikšmingų išimčių pagrindinę priežastį.
• Sukūriau arba atnaujinau CAPA įrašus su savininku, įvykdymo terminu ir patikrinimo metodu.
• Reikšmingus klausimus perdaviau vadovybės peržiūrai.

Jeigu kontrolės priemonės savininkas negali užbaigti šio kontrolinio sąrašo, problema nėra tik CSA silpnumas. Tai gali būti ISVS stebėsenos trūkumas, NIS2 veiksmingumo vertinimo spraga, DORA IRT rizikos valdysenos problema arba GDPR atskaitomybės silpnumas.

Įtraukite CSA į savo patikinimo veiklos modelį

Kontrolės priemonių savęs vertinimas nepakeičia vidaus audito, įsiskverbimo testavimo, DORA atsparumo testavimo ar GDPR teisinės peržiūros. Tai veiklos lygmuo, dėl kurio visi šie procesai tampa patikimesni.

2026 m. auditą su mažesniais trikdžiais išlaikys ne tos organizacijos, kurios turi daugiausia politikų. Tai bus organizacijos, kurių kontrolės priemonių savininkai gali kokybiškais įrodymais pagrįsti, kad kontrolės priemonės yra suprojektuotos, veikia, yra stebimos, koreguojamos ir apie jas teikiamos ataskaitos.

Clarysec padeda organizacijoms sukurti šį gebėjimą naudojant Zenith Blueprint, politikų šablonus, tokius kaip Informacijos saugumo politika, Audito ir atitikties stebėsenos politika, Audito ir atitikties stebėsenos politika – MVĮ, Įrodymų rinkimo ir kriminalistikos politika – MVĮ, Teisinės ir reglamentavimo atitikties politika ir Zenith Controls kryžminės atitikties susiejimo galimybes.

Jeigu jūsų ISO/IEC 27001:2022 kontrolės priemonės yra dokumentuotos, bet įrodymai išskaidyti, nenuoseklūs arba nėra pakartotinai naudojami NIS2, DORA ir GDPR tikslams, šią savaitę pradėkite nuo vienos didelės rizikos srities. Atlikite CSA privilegijuotajai prieigai, tiekėjų saugumui, pasirengimui incidentams, pažeidžiamumų šalinimui arba atsarginių kopijų atkūrimui. Testuokite projektavimo tinkamumą, testuokite veikimo veiksmingumą, įvertinkite įrodymų kokybę, registruokite išimtis ir perduokite rezultatą vadovybės peržiūrai.

Pasirengę kontrolės priemonių savęs vertinimą paversti auditui tinkamu patikinimu? Atsisiųskite Zenith Blueprint, susipažinkite su Zenith Controls arba paprašykite Clarysec įrodymų pasirengimo vertinimo, kad pamatytumėte, kur jūsų kontrolės priemonių įrodymai bus pakankamai tvirti ir kur juos reikia pagerinti.