Kontroles pasākumu pašnovērtējums ISO 27001 pierādījumu nodrošināšanai

2026. gada audita problēma nav kontroles pasākumu trūkums, bet vāji pierādījumi

Videozvans pirmdien plkst. 09.10 atdzīvojās. Sāra, strauji augoša FinTech SaaS uzņēmuma CISO, ekrānā redzēja trīs saspringtas sejas: GRC vadītāju, DPO un IT operāciju vadītāju.

Uzņēmumam tuvojās ISO/IEC 27001:2022 uzraudzības audits. Valde līdz piektdienai vēlējās saņemt instruktāžu par gatavību NIS2. Finanšu pakalpojumu klients līguma atjaunošanai bija pievienojis DORA tipa jautājumus par IKT piegādātājiem. DPO gatavoja pierādījumus GDPR pārskatatbildībai.

Uz papīra organizācija izskatījās nobriedusi. Tai bija risku reģistrs, Piemērojamības paziņojums, piekļuves kontroles procedūras, reaģēšanas uz incidentiem rokasgrāmatas, rezerves kopiju politikas, piegādātāju pienācīgas pārbaudes veidlapas un apmācību ieraksti.

Tad sākās pierādījumu pārskatīšana.

Piekļuves tiesību pārskatīšanas izklājlapā nebija norādīts konkrēts pārskatītājs. Ievainojamību skenēšanas pārskats bija aktuāls, bet neviens nevarēja pierādīt, vai kritiskie konstatējumi ir novērsti, akceptēti vai joprojām atvērti. Piegādātāju pienācīgā pārbaude bija veikta, bet tā bija notikusi pirms būtiskām izmaiņām mākoņarhitektūrā. Rezerves kopiju testu ekrānuzņēmumi bija paslēpti tērzēšanas pavedienā. Incidentu galda mācību piezīmes bija noderīgas, bet nebija attiecināmas uz konkrētu autoru. Inženieri pārsūtīja konfigurāciju ekrānuzņēmumus bez konteksta. Kontroles pasākumu īpašnieki ceturkšņa pārbaudes atzīmēja kā “pabeigtas”, bet pierādījumi bija nekonsekventi un grūti atkārtoti izmantojami.

Sāra saprata, ka problēma nav kontroles pasākumu neesamība. Problēma ir pamatotu un atkārtojamu pierādījumu trūkums.

Tā ir 2026. gada kontroles pasākumu pašnovērtējuma plaisa.

Organizācijām ir dokumentēti kontroles pasākumi, informācijas paneļi un dažkārt arī nepārtrauktas uzraudzības rīki. Taču tās bieži nespēj pierādīt, ka kontroles pasākumu īpašnieki tos testē konsekventi, ka pierādījumi ir pilnīgi un aktuāli un ka izņēmumi nonāk korektīvajās darbībās, vadības pārskatīšanā un regulatīvajā ziņošanā.

Kontroles pasākumu pašnovērtējums jeb CSA novērš šo operatīvo plaisu. Pareizi īstenots CSA veido disciplinētu darbplūsmu, kurā kontroles pasākumu īpašnieki periodiski testē kontroles pasākumu uzbūvi un darbības efektivitāti, pievieno pierādījumus, kas atbilst audita kvalitātes kritērijiem, reģistrē izņēmumus, piešķir korektīvās darbības un sniedz vadībai uzticamu pārskatu par kontroles pasākumu statusu.

Clarysec CSA tiek uztverts kā tilts starp IDPS, juridiskajiem pienākumiem un audita pierādījumiem. Zenith Blueprint: auditora 30 soļu ceļvedis šo disciplīnu iekļauj audita, pārskatīšanas un uzlabošanas posmā. 26. solī, audita izpildē, ir norādīts, ka pierādījumu vākšanai jāietver intervijas, dokumentācijas pārskatīšana, novērošana, izlases pieeja un izlases pārbaudes:

✓ Intervējiet attiecīgo personālu: lūdziet par procesiem atbildīgajām personām paskaidrot, kā tās izpilda prasības.
✓ Pārskatiet dokumentāciju: pārbaudiet, vai dokumenti un ieraksti pastāv un ir aktuāli.
✓ Novērojiet praksi: ja iespējams, veiciet tiešu novērošanu.
✓ Izmantojiet izlasi un izlases pārbaudes: nav iespējams pārbaudīt visu, tāpēc izmantojiet izlases pieeju.

Šādai pieejai nav jāgaida formālais iekšējais audits. CSA to pārvieto agrākā posmā — kontroles pasākumu īpašnieku rokās —, lai organizācija katru mēnesi vai ceturksni varētu pierādīt, ka kontroles pasākumi ir ne tikai aprakstīti, bet arī darbojas.

Kāpēc manuāli pašnovērtējumi nedarbojas NIS2, DORA un GDPR apstākļos

Vecais kontroles pasākumu pašnovērtējuma modelis, kas balstīts uz izklājlapām un e-pastiem, ir neefektīvs, jo tas atalgo pabeigšanu, nevis pierādījumu kvalitāti.

Viens kontroles pasākuma īpašnieks augšupielādē ekrānuzņēmumu. Cits ieraksta “apstiprināts saskaņā ar politiku”. Trešais pievieno žurnāla eksportu bez skaidrojuma par sistēmu, periodu, pārskatītāju vai secinājumu. GRC komanda vairākas dienas atjauno stāstu auditoriem, klientiem un regulatoriem.

Tas rada četras atkārtotas problēmas:

• Nekonsekventi pierādījumi, jo katram īpašniekam ir atšķirīgs priekšstats par derīgu pierādījumu.
• Vāja attiecināmība, jo datnes neparāda, kas, kad un no kura avota pierādījumus ieguvis.
• Formāla atķeksēšana bez pārbaudes, kad pārslogotas komandas apliecina kontroles pasākuma darbību, to faktiski netestējot.
• Nav atkārtotas izmantojamības, jo ISO/IEC 27001:2022 vajadzībām savāktie pierādījumi bez manuālas pārinterpretēšanas nevar viegli atbalstīt NIS2, DORA vai GDPR.

Mūsdienu regulējums šādu modeli nepieļauj.

NIS2 Article 20 nosaka, ka kiberdrošības risku pārvaldība ir vadības struktūras atbildība. Vadībai ir jāapstiprina pasākumi, jāuzrauga to ieviešana un jāseko apmācībām. Article 21 prasa atbilstošus un samērīgus tehniskus, darbības un organizatoriskus pasākumus, tostarp risku analīzi, incidentu apstrādi, darbības nepārtrauktību, piegādes ķēdes drošību, ievainojamību apstrādi, efektivitātes novērtēšanu, kiberdrošības higiēnu, piekļuves kontroli, aktīvu pārvaldību un autentifikāciju.

Frāze “efektivitātes novērtēšana” ir vieta, kur CSA kļūst būtisks. NIS2 subjekts nevar ticami informēt vadību, ka kiberdrošības pasākumi ir efektīvi, ja kontroles pasākumu īpašnieki tos netestē un nedokumentē rezultātus.

DORA kopš 2025. gada 17. janvāra ir paaugstinājusi prasību latiņu finanšu subjektiem. Tā izveido digitālās darbības noturības režīmu, kas aptver IKT risku pārvaldību, incidentu ziņošanu, noturības testēšanu, informācijas apmaiņu un IKT trešo pušu risku. DORA Article 5 prasa vadības struktūras atbildību par IKT risku pārvaldības kārtību, politikām, lomām, stratēģiju, nepārtrauktības plāniem, audita plāniem, trešo pušu politikām un korektīvajiem pasākumiem. Article 6 prasa dokumentētu IKT risku pārvaldības ietvaru, regulāru pārskatīšanu, iekšējo auditu uzņēmumiem, kas nav mikrouzņēmumi, un kritisko IKT audita konstatējumu novēršanu. Articles 24 to 26 noturības testēšanu padara par atkārtotu validācijas programmu, tostarp ar atbilstošu neatkarību un noteiktiem subjektiem — ar draudu vadītu ielaušanās testēšanu.

CSA neaizstāj DORA testēšanu. Tas ir kontroles pasākumu īpašnieka slānis, kas padara DORA testēšanu ilgtspējīgu.

GDPR pievieno līdzīgu pārskatatbildības spiedienu. Article 5(2) prasa pārziņiem pierādīt atbilstību datu aizsardzības principiem. Article 32 prasa atbilstošu apstrādes drošību, tostarp konfidencialitāti, integritāti, pieejamību, noturību, atjaunošanu un, ja piemērojams, regulāru testēšanu vai novērtēšanu. DPO skatījumā CSA pierādījumi ir praktisks veids, kā pierādīt, ka piekļuves tiesību pārskatīšana, šifrēšana, žurnālfiksēšana, glabāšana, piegādātāju uzraudzība un incidentu apstrāde faktiski darbojas attiecībā uz personas datiem.

Clarysec CSA modelis — no politikas līdz pierādījumam

Pamatota CSA programma sākas ar trim jautājumiem:

1. Vai kontroles pasākums ir atbilstoši izstrādāts attiecīgajam riskam un pienākumam?
2. Vai kontroles pasākums darbojās novērtēšanas periodā?
3. Vai pierādījumi ir pilnīgi, aktuāli, attiecināmi un atkārtoti izmantojami?

Clarysec šo modeli balsta politikās, audita darbplūsmā un kontroles pasākumu kartēšanā.

Informācijas drošības politika nosaka prasības 6.6.1. punktā:

Visiem ieviestajiem kontroles pasākumiem jābūt auditējamiem, pamatotiem ar dokumentētām procedūrām un saglabātiem darbības pierādījumiem.

6.6.2. punkts papildina:

Kontroles pasākumu īpašniekiem jāuztur testēšanas rezultāti, žurnāli un pārskatīšanas ieraksti periodisko auditu atbalstam.

Tas pārvērš kontroles pasākumus no statiskiem apgalvojumiem aktīvos, izmērāmos procesos.

Audita un atbilstības uzraudzības politika - SME nosaka pārskatīšanas disciplīnu:

Šī politika nosaka organizācijas pieeju iekšējo auditu, drošības kontroles pasākumu pārskatīšanas un atbilstības uzraudzības veikšanai. Tā nodrošina, ka visi kontroles pasākumi, politikas, sistēmas un pakalpojumu sniedzēji tiek regulāri un strukturēti pārskatīti.

5.2.3. punkts prasa struktūru:

Katrā auditā jāiekļauj definēta piemērošanas joma, mērķi, atbildīgais personāls un nepieciešamie pierādījumi.

CSA gadījumā tā pati loģika ir piemērojama kontroles pasākuma īpašnieka līmenī. Katram pašnovērtējumam jābūt piemērošanas jomai, mērķim, atbildīgajai personai, periodam, pierādījumiem un secinājumam.

Zenith Controls: starpatbilstības ceļvedis nodrošina kartēšanas skatījumu. CSA vajadzībām svarīgākās ISO/IEC 27001:2022 Annex A kontroles pasākumu atsauces ietver 5.2 Informācijas drošības lomas un pienākumi, 5.35 Neatkarīga informācijas drošības pārskatīšana un 5.36 Atbilstība informācijas drošības politikām, noteikumiem un standartiem.

Kopā šie kontroles pasākumi izstāsta CSA loģiku. Kādam ir jābūt kontroles pasākuma īpašniekam. Organizācijai jāpārbauda, vai tiek ievērotas politikas un standarti. Neatkarīgai pārskatīšanai ir kritiski jāizvērtē sistēma. CSA atrodas starp īpašumtiesībām un neatkarīgu pārskatīšanu. Tas nav iekšējais audits, bet tas sagatavo pierādījumus, kas iekšējo auditu padara ātrāku un uzticamāku.

Uzbūves tests pret darbības efektivitātes testu

Bieža CSA kļūda ir jautāt kontroles pasākumu īpašniekiem: “Vai šis kontroles pasākums darbojas?”, nedefinējot, ko nozīmē “darbojas”.

Katrā ticamā novērtēšanā jānodala uzbūves tests no darbības efektivitātes testa.

Uzbūves tests jautā, vai kontroles pasākums, ja tas tiktu izpildīts aprakstītajā veidā, novērstu risku vai izpildītu prasību. Piekļuves tiesību pārskatīšanas gadījumā uzbūves tests pārbauda, vai procedūra definē piemērošanas jomu, pārskatītāja lomu, biežumu, aptvertās sistēmas, izņēmumu pārvaldību, pierādījumu glabāšanu un eskalāciju.

Darbības efektivitātes tests jautā, vai kontroles pasākums attiecīgajā periodā faktiski darbojās. Tajā pašā piekļuves tiesību pārskatīšanas piemērā darbības tests pārbauda, vai pārskatīšana notika, kas to veica, vai tika iekļautas visas piemērošanas jomā esošās sistēmas, vai izņēmumi tika atrisināti un vai ieraksti pierāda pabeigšanu.

Abi testi ir svarīgi. Labi uzrakstīta rezerves kopiju politika ir vāja, ja nav veikti atjaunošanas testi. Ievainojamību skenēšana, kas darbojas katru nedēļu, ir nepilnīga, ja kritiskie konstatējumi nenonāk ievainojamību novēršanā vai formālā riska akceptēšanā. Piegādātāja pārskatīšana, kas notikusi vienreiz, vairs nav uzticama, ja piegādātājs tagad atbalsta kritisku procesu un ir mainījis apakšuzņēmējus.

Šī atšķirība tieši atbalsta ISO/IEC 27001:2022 8.1. punktu par darbības plānošanu un kontroli, 9.1. punktu par uzraudzību, mērīšanu, analīzi un novērtēšanu, 9.2. punktu par iekšējo auditu, 9.3. punktu par vadības pārskatīšanu un 10.2. punktu par neatbilstību un korektīvo darbību.

Pierādījumu kvalitātes kritēriji 2026. gada auditiem

Pierādījumi nav auditam gatavi tikai tāpēc, ka tie pastāv. Pierādījumiem jābūt izmantojamiem.

CSA ietvaros pierādījumi jāvērtē pēc septiņiem kritērijiem.

SME politika pastiprina metadatu disciplīnu:

Metadati (piemēram, kas tos apkopoja, kad un no kuras sistēmas) ir jādokumentē.

Augstākas integritātes izmeklēšanām un digitālajiem pierādījumiem Digitālo pierādījumu iegūšanas un kriminālistikas politika - SME ir precīzāka:

Katrs digitālo pierādījumu elements jāreģistrē ar:
5.2.1.1. Pierādījumu apkopotāja vārdu
5.2.1.2. Avota sistēmu/ierīci
5.2.1.3. Iegūšanas laikspiedolu
5.2.1.4. Glabāšanas vietu
5.2.1.5. Piekļuves vēsturi (kas to skatīja vai kopēja)

Rutīnas CSA ierakstam ne vienmēr ir vajadzīga digitālās kriminālistikas pierādījumu glabāšanas ķēde. Taču katram pierādījumu elementam jābūt pietiekami izsekojamam, lai auditors saprastu, kas to sagatavoja, kad, no kurienes un kāpēc tas pierāda kontroles pasākumu.

Tiesiskās un regulatīvās atbilstības politika pievieno starpatbilstības prasību, prasot:

Nepieciešamos artefaktus vai ierakstus atbilstības pierādīšanai (piemēram, audita žurnālus, šifrēšanas iestatījumus, piekrišanas dokumentāciju)

Tas ir atkārtoti izmantojamu pierādījumu pamats. Viens šifrēšanas konfigurācijas eksports var atbalstīt ISO/IEC 27001:2022 riska apstrādi, NIS2 Article 21 drošības pasākumus, DORA IKT aktīvu aizsardzību un GDPR Article 32 apstrādes drošību, ja ieraksts ir pilnīgs, attiecināms un kartēts.

Praktiska CSA darbplūsma, izmantojot Clarysec rīkkopu

Kontroles pasākuma īpašniekam jāspēj veikt jēgpilnu CSA sesiju strukturētā un atkārtojamā veidā. Zemāk aprakstīto darbplūsmu var piemērot priviliģētajai piekļuvei, rezerves kopiju atjaunošanai, piegādātāju uzraudzībai, gatavībai incidentiem, ievainojamību pārvaldībai vai neatkarīgai pārskatīšanai.

1. solis: atlasiet kontroles pasākumu un pienākumu kartējumu

Sāciet ar Piemērojamības paziņojumu, risku apstrādes plānu un juridisko pienākumu reģistru. Izvēlieties vienu kontroles pasākumu, piemēram, priviliģētās piekļuves pārskatīšanu ražošanas sistēmām.

Kartējiet to uz attiecīgajiem ISO/IEC 27001:2022 Annex A kontroles pasākumiem, piemēram, 5.15 Piekļuves kontrole, 5.16 Identitātes pārvaldība un 5.18 Piekļuves tiesības. Zenith Controls sasaistiet to ar 5.2 lomām un pienākumiem un 5.36 atbilstību politikām, noteikumiem un standartiem, jo pārskatīšana pierāda, ka piekļuves politika tiek ievērota.

Ja organizācija ir NIS2 darbības jomā, kartējiet pierādījumus uz Article 21 pasākumiem piekļuves kontrolei, aktīvu pārvaldībai, cilvēkresursu drošībai un autentifikācijai. Ja tā ir DORA finanšu iestāde, kartējiet tos uz IKT risku pārvaldību, aizsardzību, uzraudzību un trešo pušu prasībām, kur tas ir piemērojams. Ja tiek iesaistīti personas dati, kartējiet tos uz GDPR Article 5 integritāti un konfidencialitāti un Article 32 apstrādes drošību.

2. solis: definējiet uzbūves testu

Uzdodiet praktiskus uzbūves jautājumus:

• Vai procedūra identificē visas piemērošanas jomā esošās sistēmas?
• Vai tā aptver priviliģētos kontus, servisa kontus un ārkārtas piekļuvi?
• Vai pārskatītājs, ciktāl praktiski iespējams, ir neatkarīgs no ikdienas piekļuves piešķiršanas?
• Vai ir definēts biežums, eskalācija un izņēmumu noteikumi?
• Vai ir definēta pierādījumu glabāšana?
• Vai attiecīgajos gadījumos ir iekļauti GDPR, DORA, NIS2 vai klientam specifiski pienākumi?

Ja atbilde ir nē, reģistrējiet uzbūves izņēmumu.

3. solis: veiciet darbības efektivitātes testu

Atlasiet izlasi un testējiet faktisko darbību. Ceturkšņa priviliģētās piekļuves pārskatīšanai atlasiet pēdējo pabeigto pārskatīšanu un augsta riska lietotājus kritiskajās sistēmās. Ja vide ir maza, pārbaudiet visus priviliģētos kontus. Ja tā ir liela, izmantojiet riskā balstītu izlases pieeju ar lielāku pārklājumu administratoriem, ražošanas sistēmām, personas datu sistēmām un ārēji eksponētām platformām.

Uzņēmuma Audita un atbilstības uzraudzības politika atbalsta:

Pierādījumu vākšanu, izmantojot intervijas, apgaitas un izlases pieeju

Tā arī prasa:

Izlases pieejas, audita tvēruma un ierobežojumu dokumentēšanu

Nepietiek tikai pievienot pierādījumus. Reģistrējiet, kāpēc izlase tika izvēlēta, kādu populāciju tā pārstāv un kas tika izslēgts.

Spēcīgs izlases apraksts varētu būt šāds:

“Populācija: 42 priviliģēti ražošanas konti mākoņvides konsolē, CI/CD platformā un datubāzu administrēšanā. Izlase: visi 7 break-glass konti, visi 5 ražošanas datubāzu administratora konti un 10 nejauši atlasīti priviliģēti inženierijas konti. Periods: 2026. gada 1. ceturksnis. Izņēmumi: trešās puses pārvaldītie ugunsmūra konti, kas novērtēti piegādātāju piekļuves pārskatīšanas CSA-TPR-04 ietvaros.”

Šāds teikums auditoram sniedz populāciju, riska loģiku, periodu un ierobežojumu.

4. solis: novērtējiet pierādījumu kvalitāti

Katram pierādījumu elementam fiksējiet:

• Pierādījuma ID
• Kontroles pasākuma ID un kontroles pasākuma īpašnieku
• Novērtēšanas periodu
• Avota sistēmu
• Iegūšanas datumu
• Pierādījumu apkopotāju
• Pārskatītāju vai apstiprinātāju
• Saistīto pienākumu
• Glabāšanas vietu
• Glabāšanas periodu
• Konstatētos izņēmumus
• Ievainojamību novēršanas pieteikumu vai CAPA atsauci

Tas pārvērš CSA no subjektīvas anketas par pierādījumos balstītu kontroles pasākuma testu.

5. solis: reģistrējiet izņēmumus un korektīvās darbības

Ja diviem priviliģētiem kontiem trūkst dokumentēta biznesa pamatojuma, neslēpiet problēmu piezīmēs. Izveidojiet konstatējumu, piešķiriet riska vērtējumu, definējiet darbību, norādiet īpašnieku un vienojieties par mērķa datumu.

SME politika prasa:

Visi audita konstatējumi jādokumentē ar riska vērtējumiem un ierosinātajām darbībām.

Pēc tam piemērojiet Zenith Blueprint 27. soli — audita konstatējumi. Blueprint iesaka būtiskas neatbilstības, maznozīmīgas neatbilstības vai novērojuma kategorijas, kam seko pamatcēloņa analīze. Ja servisa konti tika palaisti garām tāpēc, ka identitāšu uzskaite tos neietver, pamatcēlonis nav “pārskatītāja kļūda”. Tas ir nepilnīgs piekļuves reģistrs vai neskaidrs procedūras tvērums.

6. solis: slēdziet ar CAPA un pārbaudiet efektivitāti

Zenith Blueprint 29. solis iesaka izmantot CAPA žurnālu ar problēmas aprakstu, pamatcēloni, korektīvo darbību, atbildīgo īpašnieku, mērķa datumu un statusu. Tajā arī uzsvērta efektivitātes pārbaude pēc pabeigšanas.

Ja korektīvā darbība ir “atjaunināt piekļuves tiesību pārskatīšanas procedūru, lai iekļautu servisa kontus”, verifikācijas metodei jābūt praktiskai: pārskatiet nākamo piekļuves ciklu un apstipriniet, ka servisa konti ir iekļauti, izņēmumi ir atrisināti un pierādījumi ir saglabāti.

Tādējādi CSA kļūst par nepārtrauktu uzlabošanu, nevis atbilstības teātri.

Starpatbilstības kartēšana bez četrām atsevišķām kontroles programmām

Lielākais efektivitātes ieguvums ir “testēt vienreiz, kartēt daudziem mērķiem”.

Atsevišķu testēšanas procesu veidošana ISO/IEC 27001:2022, NIS2, DORA un GDPR vajadzībām rada dublētus pierādījumus, nekonsekventas atbildes un pārslogotus kontroles pasākumu īpašniekus. Labāka pieeja ir izmantot ISO/IEC 27001:2022 kā pārvaldības sistēmu, CSA kā testēšanas darbplūsmu un Zenith Controls kā starpatbilstības ceļvedi.

NIST Cybersecurity Framework 2.0 ir noderīgs kā integrācijas slānis. Tā GOVERN funkcija aptver juridiskās, regulatīvās un līgumiskās prasības, riska apetīti, vadības pārskatatbildību, politiku pārvaldību un pārraudzību. Tās organizācijas profili palīdz organizācijām definēt pašreizējos un mērķa kiberdrošības rezultātus, analizēt trūkumus un pārvērst tos prioritizētos rīcības plānos.

COBIT 2019 un ISACA tipa apliecinājuma pieeja pievieno vēl vienu noderīgu skatījumu. Tie koncentrējas uz pārvaldības mērķiem, procesu spēju, pārskatatbildību, metrikām un vadības pārraudzību. COBIT orientēts pārskatītājs jautās, vai process ir definēts, mērīts un uzlabots, nevis tikai vai pastāv artefakts.

Kā dažādi auditori vērtēs jūsu CSA pierādījumus

Viens un tas pats CSA ieraksts tiks interpretēts atšķirīgi atkarībā no auditora pieredzes. Pierādījumu veidošana šiem skatījumiem padara programmu noturīgāku.

Neatkarīgas pārskatīšanas gadījumā ISO/IEC 27001:2022 auditors meklēs iekšējā audita programmu saskaņā ar 9.2. punktu, vadības pārskatīšanas ievades saskaņā ar 9.3. punktu un korektīvo darbību saskaņā ar 10.2. punktu. DORA pārskatītājs meklēs riskā balstītu testēšanu, neatkarību, ievainojamību novēršanu un vadības pārraudzību. NIS2 regulators koncentrēsies uz to, vai vadība var pierādīt kiberdrošības pasākumu efektivitāti. GDPR pārskatītājs jautās, vai pierādījumi parāda atbilstošus tehniskos un organizatoriskos pasākumus reālās apstrādes darbībās.

Mērķis nav pārrakstīt pierādījumus katrai auditorijai. Mērķis ir tos savākt vienreiz ar pietiekamu kontekstu, lai apmierinātu vairākus skatījumus.

Vadības ziņošana, kas rada rīcību, nevis troksni

CSA rezultāti nedrīkst palikt kontroles pasākumu īpašnieku izklājlapās. Tiem jānonāk vadības pārskatīšanā.

28. solī, vadības pārskatīšana, Zenith Blueprint iesaka ievades par izmaiņām iekšējos un ārējos jautājumos, izmaiņām ieinteresēto pušu prasībās, IDPS veiktspēju, audita rezultātiem, uzraudzību un mērīšanu, incidentiem, neatbilstībām, uzlabošanas iespējām un resursu vajadzībām.

Tieši tur pieder CSA.

Vadītājiem noderīgā CSA informācijas panelī jāiekļauj:

• Kontroles pasākumu pārklājums pa jomām un kritiskajiem procesiem.
• To kontroles pasākumu procentuālā daļa, kas testēti pēc grafika.
• Pierādījumu kvalitātes vērtējums pa kontroles pasākumu īpašniekiem.
• Atvērtie izņēmumi pēc riska vērtējuma.
• Nokavētās korektīvās darbības.
• Atkārtoti konstatējumi un pamatcēloņi.
• Augsta riska kartējumi NIS2, DORA, GDPR un klientu pienākumiem.
• Ar piegādātājiem saistīti kontroles pasākumu izņēmumi.
• Incidentu, rezerves kopiju un noturības testēšanas konstatējumi.
• Vadībai nepieciešamie resursu lēmumi.

Vadībai nav vajadzīgs katrs ekrānuzņēmums. Tai jāzina, vai kontroles vide ir uzticama, kur risks pieaug, vai pienākumi ir aptverti un kur nepieciešami lēmumi.

Tas atbalsta NIS2 Article 20 vadības pārskatatbildību un DORA Article 5 vadības struktūras pārraudzību. GDPR gadījumā tas palīdz pārzinim pierādīt, ka pārskatatbildība nav vienreizējs dokuments, bet dzīvs pārvaldības process.

Biežākās CSA kļūdas un kā no tām izvairīties

Pirmā kļūda ir tikai anketās balstīts CSA. Jā vai nē atbilde bez pierādījumiem rada komforta sajūtu, nevis pārliecību. Katram būtiskam apgalvojumam jābūt pamatotam ar pierādījumiem.

Otrā kļūda ir pierādījumi bez kontroles pasākuma konteksta. Žurnāla eksports ir bezjēdzīgs, ja tas nav sasaistīts ar kontroles pasākuma mērķi, periodu, avotu, īpašnieku un secinājumu.

Trešā kļūda ir vāja izņēmumu disciplīna. Ja konstatējumiem nav riska vērtējumu, īpašnieku, mērķa datumu un verifikācijas metožu, CSA kļūst par glabāšanas vingrinājumu. Zenith Blueprint 29. solis to novērš, sasaistot neatbilstības ar pamatcēloni, korektīvo darbību, īpašnieku, mērķa datumu un efektivitātes verifikāciju.

Ceturtā kļūda ir ārēji nodrošinātu pakalpojumu ignorēšana. ISO/IEC 27001:2022 prasa kontroli pār ārēji nodrošinātiem procesiem, produktiem vai pakalpojumiem, kas ir būtiski IDPS. NIS2 ietver piegādes ķēdes drošību. DORA prasa IKT trešo pušu risku pārvaldību, reģistrus, pienācīgu pārbaudi, līgumiskos drošības pasākumus, koncentrācijas riska novērtēšanu, audita tiesības un izstāšanās plānus. NIST CSF 2.0 GV.SC rezultāti līdzīgi aptver piegādātāju lomas, pienācīgu pārbaudi, līgumus, uzraudzību, incidentu plānošanu un izbeigšanu. CSA jāiekļauj piegādātāju pierādījumi, ne tikai iekšējie IT pierādījumi.

Piektā kļūda ir GDPR uztveršana kā juridisks pielikums. Ja sistēmā tiek apstrādāti personas dati, CSA jāpārbauda, vai drošības kontroles pasākumi atbalsta integritāti, konfidencialitāti, pieejamību, glabāšanu, piekļuves ierobežošanu un gatavību pārkāpumiem.

2026. gada kontroles pasākuma īpašnieka kontrolsaraksts

Pirms CSA rezultāta iesniegšanas katram kontroles pasākuma īpašniekam jāspēj apstiprināt:

• Es zinu kontroles pasākuma mērķi un saistītos riskus.
• Es zinu, kurus ISO/IEC 27001:2022, NIS2, DORA, GDPR vai līgumiskos pienākumus kontroles pasākums atbalsta.
• Es atsevišķi testēju uzbūvi un darbības efektivitāti.
• Es dokumentēju populāciju un izlases metodi.
• Es pievienoju pierādījumus, kas ir pilnīgi, aktuāli, attiecināmi, autentiski, atbilstoši, saglabāti un atkārtoti izmantojami.
• Es reģistrēju metadatus par to, kas, kad un no kuras sistēmas ieguva pierādījumus.
• Es dokumentēju izņēmumus ar riska vērtējumu un ierosinātajām darbībām.
• Es identificēju būtisko izņēmumu pamatcēloni.
• Es izveidoju vai atjaunināju CAPA ierakstus ar īpašnieku, termiņu un verifikācijas metodi.
• Es eskalēju būtiskus jautājumus vadības pārskatīšanai.

Ja kontroles pasākuma īpašnieks nevar aizpildīt šo kontrolsarakstu, problēma nav tikai CSA vājums. Tā var būt IDPS uzraudzības vājā vieta, NIS2 efektivitātes novērtēšanas plaisa, DORA IKT risku pārvaldības problēma vai GDPR pārskatatbildības vājums.

Iekļaujiet CSA savā apliecinājuma darbības modelī

Kontroles pasākumu pašnovērtējums neaizstāj iekšējo auditu, ielaušanās testēšanu, DORA noturības testēšanu vai GDPR juridisko pārskatīšanu. Tas ir operatīvais slānis, kas tos visus padara uzticamākus.

2026. gadā organizācijas, kas auditus izies ar mazākiem traucējumiem, nebūs tās, kurām ir visvairāk politiku. Tās būs organizācijas, kuru kontroles pasākumu īpašnieki ar kvalitatīviem pierādījumiem var pierādīt, ka kontroles pasākumi ir izstrādāti, darbojas, tiek uzraudzīti, koriģēti un ziņoti.

Clarysec palīdz organizācijām izveidot šo spēju, izmantojot Zenith Blueprint, politiku veidnes, piemēram, Informācijas drošības politika, Audita un atbilstības uzraudzības politika, Audita un atbilstības uzraudzības politika - SME, Digitālo pierādījumu iegūšanas un kriminālistikas politika - SME, Tiesiskās un regulatīvās atbilstības politika un Zenith Controls starpatbilstības kartēšanas jaudu.

Ja jūsu ISO/IEC 27001:2022 kontroles pasākumi ir dokumentēti, bet pierādījumi ir izkaisīti, nekonsekventi vai nav atkārtoti izmantojami NIS2, DORA un GDPR vajadzībām, šonedēļ sāciet ar vienu augsta riska jomu. Veiciet CSA priviliģētajai piekļuvei, piegādātāju drošībai, gatavībai incidentiem, ievainojamību novēršanai vai rezerves kopiju atjaunošanai. Testējiet uzbūvi, testējiet darbības efektivitāti, novērtējiet pierādījumu kvalitāti, reģistrējiet izņēmumus un ievadiet rezultātu vadības pārskatīšanā.

Vai esat gatavi pārvērst kontroles pasākumu pašnovērtējumu par auditam gatavu apliecinājumu? Lejupielādējiet Zenith Blueprint, izpētiet Zenith Controls vai pieprasiet Clarysec pierādījumu gatavības novērtējumu, lai redzētu, kur jūsu kontroles pasākumu pierādījumi izturēs pārbaudi un kur tie jāuzlabo.