Sebahodnotenie kontrolných opatrení pre dôkazy podľa ISO 27001

Problém auditov v roku 2026 nie sú chýbajúce kontrolné opatrenia, ale slabé dôkazy

Videohovor sa v pondelok o 09:10 rozsvietil. Sarah, CISO rýchlo rastúcej spoločnosti FinTech SaaS, videla na obrazovke tri vystresované tváre: vedúceho GRC, DPO a vedúceho prevádzky IT.

Spoločnosť čakal dozorový audit ISO/IEC 27001:2022. Predstavenstvo chcelo do piatka brífing o pripravenosti na NIS2. Zákazník z finančného sektora pridal do obnovy zmluvy otázky k dodávateľom IKT v štýle DORA. DPO pripravoval dôkazy pre preukázateľnú zodpovednosť podľa GDPR.

Na papieri organizácia pôsobila zrelo. Mala register rizík, vyhlásenie o uplatniteľnosti (SoA), postupy riadenia prístupu, playbooky reakcie na incidenty, politiky zálohovania, formuláre due diligence dodávateľov a záznamy o školeniach.

Potom sa začalo preskúmanie dôkazov.

Tabuľkový prehľad preskúmania prístupových práv neobsahoval menovaného preskúmavateľa. Správa zo skenu zraniteľností bola aktuálna, ale nikto nevedel preukázať, či boli kritické zistenia odstránené, akceptované alebo stále otvorené. Due diligence dodávateľa existovala, ale predchádzala významnej zmene cloudovej architektúry. Snímky obrazovky z testov zálohovania sa stratili vo vlákne chatu. Poznámky zo stolového cvičenia incidentu boli užitočné, ale neboli priraditeľné. Inžinieri preposielali snímky konfigurácií bez kontextu. Vlastníci kontrolných opatrení označovali štvrťročné kontroly ako „hotové“, ale dôkazy boli nekonzistentné a ťažko opakovane použiteľné.

Sarah vedela, že problémom nie je absencia kontrolných opatrení. Problémom je absencia obhájiteľných a opakovateľných dôkazov.

To je medzera v sebahodnotení kontrolných opatrení v roku 2026.

Organizácie majú zdokumentované kontrolné opatrenia, dashboardy a niekedy aj nástroje priebežného monitorovania. Často však nevedia preukázať, že vlastníci kontrolných opatrení ich testujú konzistentne, že dôkazy sú úplné a aktuálne a že výnimky prechádzajú do nápravných opatrení, preskúmania manažmentom a regulačného oznamovania.

Sebahodnotenie kontrolných opatrení, teda CSA, túto prevádzkovú medzeru rieši. Ak sa vykonáva správne, CSA vytvára disciplinovaný pracovný postup, v ktorom vlastníci kontrolných opatrení pravidelne testujú návrh opatrení a ich prevádzkovú účinnosť, pripájajú dôkazy spĺňajúce kritériá auditnej kvality, zaznamenávajú výnimky, prideľujú nápravné opatrenia a poskytujú manažmentu spoľahlivý pohľad na stav kontrolného prostredia.

V Clarysec sa CSA vníma ako most medzi ISMS, zákonnými povinnosťami a auditnými dôkazmi. Zenith Blueprint: 30-kroková cestovná mapa audítora zaraďuje túto disciplínu do fázy Audit, preskúmanie a zlepšovanie. Krok 26, vykonanie auditu, uvádza, že zber dôkazov má zahŕňať rozhovory, preskúmanie dokumentácie, pozorovanie, vzorkovanie a namátkové kontroly:

✓ Vykonajte rozhovory s relevantným personálom: Požiadajte osoby zodpovedné za procesy, aby vysvetlili, ako plnia požiadavky.
✓ Preskúmajte dokumentáciu: Skontrolujte, či dokumenty a záznamy existujú a sú aktuálne.
✓ Pozorujte prax: Ak je to možné, vykonajte priame pozorovanie.
✓ Vzorkujte a vykonávajte namátkové kontroly: Nie je možné skontrolovať všetko, preto použite vzorkovanie.

Tento prístup nemá čakať na formálny vnútorný audit. CSA ho presúva skôr, do rúk vlastníkov kontrolných opatrení, aby organizácia vedela každý mesiac alebo štvrťrok preukázať, že opatrenia nie sú len napísané, ale aj fungujú.

Prečo manuálne sebahodnotenia zlyhávajú pri NIS2, DORA a GDPR

Starý model sebahodnotenia kontrolných opatrení založený na tabuľkách a e-mailoch je nefunkčný, pretože odmeňuje dokončenie namiesto kvality dôkazov.

Vlastník kontrolného opatrenia nahrá snímku obrazovky. Iný napíše „potvrdené podľa politiky“. Tretí priloží export logov bez vysvetlenia systému, obdobia, preskúmavateľa alebo záveru. Tím GRC potom trávi dni rekonštruovaním príbehu pre audítorov, zákazníkov a regulátorov.

Vznikajú štyri opakujúce sa zlyhania:

• Nekonzistentné dôkazy, keď má každý vlastník inú predstavu o platnom dôkaze.
• Slabá priraditeľnosť, keď súbory neukazujú, kto dôkaz získal, kedy a z akého zdroja.
• Formálne odškrtávanie bez testovania, keď preťažené tímy potvrdzujú, že kontrolné opatrenie funguje, bez jeho overenia.
• Žiadna opakovaná použiteľnosť, keď dôkazy získané pre ISO/IEC 27001:2022 nemožno bez manuálnej reinterpretácie jednoducho použiť pre NIS2, DORA alebo GDPR.

Moderná regulácia takýto model netoleruje.

NIS2 Article 20 stanovuje riadenie rizík kybernetickej bezpečnosti ako zodpovednosť riadiaceho orgánu. Manažment musí schvaľovať opatrenia, dohliadať na implementáciu a absolvovať školenia. Article 21 vyžaduje primerané a proporcionálne technické, prevádzkové a organizačné opatrenia vrátane analýzy rizík, riešenia incidentov, kontinuity činností, bezpečnosti dodávateľského reťazca, riešenia zraniteľností, posúdenia účinnosti, kybernetickej hygieny, riadenia prístupu, správy aktív a autentifikácie.

Práve pojem „posúdenie účinnosti“ robí CSA nevyhnutným. Subjekt podľa NIS2 nemôže dôveryhodne oznámiť manažmentu, že opatrenia kybernetickej bezpečnosti sú účinné, ak ich vlastníci kontrolných opatrení netestujú a nedokumentujú výsledky.

DORA od 17. januára 2025 zvýšila latku pre finančné subjekty. Zavádza režim digitálnej prevádzkovej odolnosti, ktorý pokrýva riadenie rizík IKT, nahlasovanie incidentov, testovanie odolnosti, zdieľanie informácií a riziká IKT tretích strán. DORA Article 5 vyžaduje zodpovednosť riadiaceho orgánu za nastavenie riadenia rizík IKT, politiky, roly, stratégiu, plány kontinuity, plány auditov, politiky pre tretie strany a nápravné opatrenia. Article 6 vyžaduje zdokumentovaný rámec riadenia rizík IKT, pravidelné preskúmanie, vnútorný audit pre subjekty, ktoré nie sú mikropodnikmi, a nápravu kritických auditných zistení v oblasti IKT. Articles 24 to 26 robia z testovania odolnosti opakovaný validačný program vrátane primeranej nezávislosti a pri niektorých subjektoch aj penetračného testovania vedeného hrozbami.

CSA nenahrádza testovanie podľa DORA. Je to vrstva vlastníkov kontrolných opatrení, ktorá robí testovanie podľa DORA udržateľným.

GDPR pridáva súvisiaci tlak na preukázateľnú zodpovednosť. Article 5(2) vyžaduje, aby prevádzkovatelia vedeli preukázať súlad so zásadami ochrany údajov. Article 32 vyžaduje primeranú bezpečnosť spracúvania vrátane dôvernosti, integrity, dostupnosti, odolnosti, obnovy a pravidelného testovania alebo hodnotenia tam, kde je to vhodné. Pre DPO sú dôkazy z CSA praktickým spôsobom, ako preukázať, že preskúmanie prístupových práv, šifrovanie, logovanie, uchovávanie, dohľad nad dodávateľmi a riešenie incidentov skutočne fungujú vo vzťahu k osobným údajom.

Model CSA spoločnosti Clarysec: od politiky k dôkazu

Obhájiteľný program CSA začína tromi otázkami:

1. Je kontrolné opatrenie správne navrhnuté vzhľadom na riziko a povinnosť?
2. Fungovalo kontrolné opatrenie počas hodnoteného obdobia?
3. Sú dôkazy úplné, aktuálne, priraditeľné a opakovane použiteľné?

Clarysec tento model ukotvuje v politikách, auditnom pracovnom postupe a mapovaní kontrolných opatrení.

Politika informačnej bezpečnosti stanovuje očakávanie v bode 6.6.1:

Všetky implementované kontrolné opatrenia musia byť vhodné na audit, podporené zdokumentovanými postupmi a uchovávanými dôkazmi o ich prevádzke.

Bod 6.6.2 dopĺňa:

Vlastníci kontrolných opatrení musia uchovávať výsledky testov, logy a záznamy o preskúmaní na podporu pravidelných auditov.

Tým sa kontrolné opatrenia menia zo statických vyhlásení na aktívne, merateľné procesy.

Politika monitorovania auditov a súladu - SME ustanovuje disciplínu preskúmania:

Táto politika stanovuje prístup organizácie k vykonávaniu vnútorných auditov, preskúmaní bezpečnostných kontrolných opatrení a monitorovaniu súladu. Zabezpečuje, aby všetky kontrolné opatrenia, politiky, systémy a poskytovatelia služieb podliehali pravidelnému a štruktúrovanému preskúmaniu.

Bod 5.2.3 vyžaduje štruktúru:

Každý audit musí zahŕňať definovaný rozsah, ciele, zodpovedný personál a požadované dôkazy.

Pri CSA sa rovnaká logika uplatňuje na úrovni vlastníka kontrolného opatrenia. Každé sebahodnotenie má mať rozsah, cieľ, zodpovednú osobu, obdobie, dôkazy a záver.

Zenith Controls: sprievodca krížovým súladom následne poskytuje pohľad cez mapovanie. Pri CSA patria medzi najdôležitejšie referencie kontrolných opatrení prílohy A ISO/IEC 27001:2022 opatrenia 5.2, roly a zodpovednosti v oblasti informačnej bezpečnosti, 5.35, nezávislé preskúmanie informačnej bezpečnosti, a 5.36, súlad s politikami, pravidlami a normami informačnej bezpečnosti.

Spolu tieto opatrenia vytvárajú príbeh CSA. Niekto musí kontrolné opatrenie vlastniť. Organizácia musí overovať, či sa dodržiavajú politiky a normy. Nezávislé preskúmanie musí systém spochybňovať. CSA stojí medzi vlastníctvom a nezávislým preskúmaním. Nie je vnútorným auditom, ale pripravuje dôkazy, vďaka ktorým je vnútorný audit rýchlejší a spoľahlivejší.

Test návrhu verzus test prevádzkovej účinnosti

Bežnou chybou CSA je otázka vlastníkom kontrolných opatrení: „Funguje toto kontrolné opatrenie?“ bez definovania toho, čo znamená „funguje“.

Každé dôveryhodné posúdenie má odlišovať test návrhu od testu prevádzkovej účinnosti.

Test návrhu zisťuje, či by kontrolné opatrenie pri vykonaní podľa opisu riešilo dané riziko alebo požiadavku. Pri preskúmaní prístupových práv test návrhu overuje, či postup definuje rozsah, rolu preskúmavateľa, frekvenciu, zahrnuté systémy, ošetrenie výnimiek, uchovávanie dôkazov a eskaláciu.

Test prevádzkovej účinnosti zisťuje, či kontrolné opatrenie počas obdobia skutočne fungovalo. Pri tom istom preskúmaní prístupových práv prevádzkový test overuje, či sa preskúmanie uskutočnilo, kto ho vykonal, či boli zahrnuté všetky systémy v rozsahu, či boli výnimky vyriešené a či záznamy preukazujú dokončenie.

Oba testy sú dôležité. Dobre napísaná politika zálohovania je slabá, ak sa nevykonali testy obnovy. Sken zraniteľností, ktorý beží týždenne, je neúplný, ak kritické zistenia neprechádzajú do nápravy alebo formálnej akceptácie rizika. Preskúmanie dodávateľa vykonané raz už nie je spoľahlivé, ak dodávateľ teraz podporuje kritický proces a zmenil subdodávateľov.

Toto rozlíšenie priamo podporuje kapitoly ISO/IEC 27001:2022 8.1 pre prevádzkové plánovanie a riadenie, 9.1 pre monitorovanie, meranie, analýzu a hodnotenie, 9.2 pre vnútorný audit, 9.3 pre preskúmanie manažmentom a 10.2 pre nezhodu a nápravné opatrenie.

Kritériá kvality dôkazov pre audity v roku 2026

Dôkaz nie je pripravený na audit len preto, že existuje. Dôkaz musí byť použiteľný.

Pri CSA sa dôkazy musia hodnotiť podľa siedmich kritérií.

Politika SME posilňuje disciplínu metadát:

Metadáta (napr. kto dôkaz získal, kedy a z ktorého systému) musia byť zdokumentované.

Pre vyššiu integritu vyšetrovaní a digitálne dôkazy je Politika zberu dôkazov a forenznej analýzy - SME presnejšia:

Každá položka digitálneho dôkazu musí byť zaevidovaná s týmito údajmi:
5.2.1.1. Meno osoby, ktorá dôkaz získala
5.2.1.2. Zdrojový systém/zariadenie
5.2.1.3. Časová pečiatka získania
5.2.1.4. Miesto uloženia
5.2.1.5. História prístupu (kto ho zobrazil alebo skopíroval)

Rutinný záznam CSA nemusí vždy vyžadovať forenzný reťazec zverenia. Každá položka dôkazu však musí byť dostatočne sledovateľná, aby audítor rozumel, kto ju vytvoril, kedy, odkiaľ a prečo preukazuje kontrolné opatrenie.

Politika právneho a regulačného súladu pridáva požiadavku krížového súladu tým, že vyžaduje:

Požadované artefakty alebo záznamy na preukázanie súladu (napr. auditné logy, nastavenia šifrovania, dokumentácia súhlasu)

To je kľúč k opakovane použiteľným dôkazom. Jeden export konfigurácie šifrovania môže podporiť ošetrenie rizík podľa ISO/IEC 27001:2022, bezpečnostné opatrenia podľa NIS2 Article 21, ochranu IKT aktív podľa DORA a bezpečnosť spracúvania podľa GDPR Article 32, ak je záznam úplný, priraditeľný a namapovaný.

Praktický pracovný postup CSA pomocou nástrojovej sady Clarysec

Vlastník kontrolného opatrenia musí vedieť vykonať zmysluplnú reláciu CSA štruktúrovaným a opakovateľným spôsobom. Nižšie uvedený pracovný postup možno uplatniť na privilegovaný prístup, obnovu zo záloh, monitorovanie dodávateľov, pripravenosť na incidenty, riadenie zraniteľností alebo nezávislé preskúmanie.

Krok 1, vyberte kontrolné opatrenie a mapovanie povinností

Začnite vyhlásením o uplatniteľnosti (SoA), plánom ošetrenia rizík a registrom zákonných povinností. Vyberte jedno kontrolné opatrenie, napríklad preskúmanie privilegovaného prístupu pre produkčné systémy.

Namapujte ho na relevantné opatrenia prílohy A ISO/IEC 27001:2022, napríklad 5.15 Riadenie prístupu, 5.16 Správa identít a 5.18 Prístupové práva. V Zenith Controls ho prepojte s 5.2 pre roly a zodpovednosti a s 5.36 pre súlad s politikami, pravidlami a normami, pretože preskúmanie preukazuje, že sa prístupová politika dodržiava.

Ak organizácia spadá pod NIS2, namapujte dôkazy na opatrenia podľa Article 21 pre riadenie prístupu, správu aktív, bezpečnosť ľudských zdrojov a autentifikáciu. Ak ide o finančný subjekt podľa DORA, namapujte ich na riadenie rizík IKT, ochranu, monitorovanie a požiadavky na tretie strany tam, kde je to relevantné. Ak sú zapojené osobné údaje, namapujte ich na integritu a dôvernosť podľa GDPR Article 5 a bezpečnosť spracúvania podľa Article 32.

Krok 2, definujte test návrhu

Položte praktické otázky k návrhu:

• Identifikuje postup všetky systémy v rozsahu?
• Zahŕňa privilegované účty, servisné účty a núdzový prístup?
• Je preskúmavateľ podľa možností nezávislý od každodenného zriaďovania prístupov?
• Sú definované pravidlá frekvencie, eskalácie a výnimiek?
• Je definované uchovávanie dôkazov?
• Sú zahrnuté GDPR, DORA, NIS2 alebo zákaznícky špecifické povinnosti tam, kde je to relevantné?

Ak je odpoveď nie, zaznamenajte výnimku v návrhu.

Krok 3, vykonajte test prevádzkovej účinnosti

Vyberte vzorku a otestujte skutočné fungovanie. Pri štvrťročnom preskúmaní privilegovaného prístupu vyberte vzorku z posledného dokončeného preskúmania a používateľov s vysokým rizikom naprieč kritickými systémami. Ak je prostredie malé, otestujte všetky privilegované účty. Ak je veľké, použite vzorkovanie založené na riziku s vyšším pokrytím pre administrátorov, produkčné systémy, systémy s osobnými údajmi a externe vystavené platformy.

Podniková Politika monitorovania auditov a súladu podporuje:

Zber dôkazov prostredníctvom rozhovorov, priebežného overenia postupov a vzorkovania

Vyžaduje tiež:

Dokumentáciu stratégie vzorkovania, rozsahu auditu a obmedzení

Dôkazy nestačí len priložiť. Zaznamenajte, prečo bola vzorka vybraná, akú populáciu reprezentuje a čo bolo vylúčené.

Silné vyhlásenie o vzorke môže znieť:

„Populácia: 42 privilegovaných produkčných účtov v cloudovej konzole, CI/CD platforme a správe databáz. Vzorka: všetkých 7 účtov „break glass“, všetkých 5 účtov administrátorov produkčných databáz a 10 náhodne vybraných privilegovaných účtov inžinierov. Obdobie: Q1 2026. Výnimky z rozsahu: účty firewallov spravované treťou stranou posúdené v rámci preskúmania prístupu dodávateľov CSA-TPR-04.“

Táto veta dáva audítorovi populáciu, rizikovú logiku, obdobie a obmedzenie.

Krok 4, vyhodnoťte kvalitu dôkazov

Pri každej položke dôkazu zachyťte:

• ID dôkazu
• ID kontrolného opatrenia a vlastníka kontrolného opatrenia
• Hodnotené obdobie
• Zdrojový systém
• Dátum zberu
• Osobu, ktorá dôkaz získala
• Preskúmavateľa alebo schvaľovateľa
• Prepojenú povinnosť
• Miesto uloženia
• Obdobie uchovávania
• Zistené výnimky
• Ticket nápravy alebo referenciu CAPA

Tým sa CSA mení zo subjektívneho dotazníka na test kontrolného opatrenia založený na dôkazoch.

Krok 5, zaznamenajte výnimky a nápravné opatrenia

Ak pri dvoch privilegovaných účtoch chýba zdokumentované obchodné odôvodnenie, neschovávajte problém do poznámok. Vytvorte zistenie, priraďte hodnotenie rizika, definujte opatrenie, stanovte vlastníka a dohodnite cieľový dátum.

Politika SME vyžaduje:

Všetky auditné zistenia musia byť zdokumentované s hodnoteniami rizika a navrhovanými opatreniami.

Potom použite Zenith Blueprint krok 27, auditné zistenia. Blueprint odporúča kategórie významná nezhoda, menej významná nezhoda alebo pozorovanie, po ktorých nasleduje analýza koreňovej príčiny. Ak boli servisné účty vynechané preto, že evidencia identít ich nezahŕňa, koreňovou príčinou nie je „chyba preskúmavateľa“. Je ňou neúplná evidencia prístupov alebo nejasný rozsah postupu.

Krok 6, uzavrite cez CAPA a overte účinnosť

Zenith Blueprint krok 29 odporúča používať log CAPA s opisom problému, koreňovou príčinou, nápravným opatrením, zodpovedným vlastníkom, cieľovým dátumom a stavom. Zároveň zdôrazňuje overenie účinnosti po dokončení.

Ak je nápravné opatrenie „aktualizovať postup preskúmania prístupových práv tak, aby zahŕňal servisné účty“, metóda overenia má byť praktická: preskúmať ďalší cyklus prístupov a potvrdiť, že servisné účty sú zahrnuté, výnimky sú vyriešené a dôkazy sú uchované.

Takto sa CSA stáva neustálym zlepšovaním, nie divadlom súladu.

Mapovanie krížového súladu bez štyroch samostatných programov kontrolných opatrení

Najväčším prínosom efektívnosti je „testovať raz, mapovať viackrát“.

Budovanie samostatných testovacích procesov pre ISO/IEC 27001:2022, NIS2, DORA a GDPR vytvára duplicitné dôkazy, nekonzistentné odpovede a vyčerpaných vlastníkov kontrolných opatrení. Lepší prístup je používať ISO/IEC 27001:2022 ako systém riadenia, CSA ako testovací pracovný postup a Zenith Controls ako sprievodcu krížovým súladom.

NIST Cybersecurity Framework 2.0 je užitočný ako integračná vrstva. Jeho funkcia GOVERN rieši zákonné, regulačné a zmluvné požiadavky, apetít na riziko, zodpovednosť vedenia, správu politík a dohľad. Jeho organizačné profily pomáhajú organizáciám definovať aktuálne a cieľové výsledky kybernetickej bezpečnosti, analyzovať medzery a premeniť ich na prioritizované akčné plány.

COBIT 2019 a uisťovací prístup v štýle ISACA pridávajú ďalší užitočný pohľad. Zameriavajú sa na ciele správy a riadenia, schopnosť procesu, zodpovednosť za konanie, metriky a dohľad manažmentu. Preskúmavateľ orientovaný na COBIT sa bude pýtať, či je proces definovaný, meraný a zlepšovaný, nielen či existuje artefakt.

Ako rôzni audítori preveria vaše dôkazy CSA

Ten istý záznam CSA bude interpretovaný odlišne podľa zázemia audítora. Navrhovanie dôkazov pre tieto pohľady robí program odolnejším.

Pri nezávislom preskúmaní bude audítor ISO/IEC 27001:2022 hľadať program vnútorného auditu podľa kapitoly 9.2, vstupy preskúmania manažmentom podľa kapitoly 9.3 a nápravné opatrenie podľa kapitoly 10.2. Preskúmavateľ DORA bude hľadať testovanie založené na riziku, nezávislosť, nápravu a dohľad manažmentu. Regulátor NIS2 sa zameria na to, či manažment vie preukázať účinnosť opatrení kybernetickej bezpečnosti. Preskúmavateľ GDPR sa bude pýtať, či dôkazy ukazujú primerané technické a organizačné opatrenia pri reálnych spracovateľských činnostiach.

Cieľom nie je prepisovať dôkazy pre každé publikum. Cieľom je získať ich raz s dostatočným kontextom, aby vyhoveli viacerým pohľadom.

Reporting pre manažment, ktorý vytvára opatrenia, nie šum

Výsledky CSA nemajú zostať v tabuľkách vlastníkov kontrolných opatrení. Majú vstupovať do preskúmania manažmentom.

V kroku 28, preskúmanie manažmentom, Zenith Blueprint odporúča vstupy o zmenách interných a externých otázok, zmenách požiadaviek zainteresovaných strán, výkonnosti ISMS, výsledkoch auditov, monitorovaní a meraní, incidentoch, nezhodách, príležitostiach na zlepšenie a potrebách zdrojov.

Presne tam CSA patrí.

Užitočný prehľad CSA pre vrcholový manažment má obsahovať:

• Pokrytie kontrolných opatrení podľa domény a kritického procesu.
• Percento kontrolných opatrení otestovaných podľa harmonogramu.
• Skóre kvality dôkazov podľa vlastníka kontrolného opatrenia.
• Otvorené výnimky podľa hodnotenia rizika.
• Omeškané nápravné opatrenia.
• Opakované zistenia a koreňové príčiny.
• Mapovania vysokého rizika pre NIS2, DORA, GDPR a zákaznícke povinnosti.
• Výnimky kontrolných opatrení súvisiace s dodávateľmi.
• Zistenia z testovania incidentov, zálohovania a odolnosti.
• Rozhodnutia o zdrojoch potrebné od manažmentu.

Manažment nepotrebuje každú snímku obrazovky. Potrebuje vedieť, či je kontrolné prostredie spoľahlivé, kde sa riziko zvyšuje, či sú povinnosti pokryté a kde sú potrebné rozhodnutia.

To podporuje zodpovednosť manažmentu podľa NIS2 Article 20 a dohľad riadiaceho orgánu podľa DORA Article 5. Pri GDPR pomáha prevádzkovateľovi preukázať, že preukázateľná zodpovednosť nie je jednorazový dokument, ale živý proces správy a riadenia.

Bežné úskalia CSA a ako sa im vyhnúť

Prvým úskalím je CSA založené iba na dotazníku. Odpoveď áno alebo nie bez dôkazov prináša pocit istoty, nie uistenie. Každé významné tvrdenie musí byť podložené dôkazmi.

Druhým úskalím sú dôkazy bez kontextu kontrolného opatrenia. Export logov je bezvýznamný, ak nie je viazaný na cieľ kontrolného opatrenia, obdobie, zdroj, vlastníka a záver.

Tretím úskalím je slabá disciplína výnimiek. Ak zistenia nemajú hodnotenie rizika, vlastníkov, cieľové dátumy a metódy overenia, CSA sa stáva iba cvičením v ukladaní súborov. Zenith Blueprint krok 29 tomu predchádza tým, že prepája nezhody s koreňovou príčinou, nápravným opatrením, vlastníkom, cieľovým dátumom a overením účinnosti.

Štvrtým úskalím je ignorovanie externe poskytovaných služieb. ISO/IEC 27001:2022 vyžaduje kontrolu nad externe poskytovanými procesmi, produktmi alebo službami relevantnými pre ISMS. NIS2 zahŕňa bezpečnosť dodávateľského reťazca. DORA vyžaduje riadenie rizík IKT tretích strán, registre, due diligence, zmluvné ochranné opatrenia, posúdenie rizika koncentrácie, práva na audit a plány ukončenia. Výsledky NIST CSF 2.0 GV.SC podobne pokrývajú roly dodávateľov, due diligence, zmluvy, monitorovanie, plánovanie incidentov a ukončenie. CSA musí zahŕňať dôkazy dodávateľov, nielen interné IT dôkazy.

Piatym úskalím je vnímanie GDPR ako právnej prílohy. Ak sa v systéme spracúvajú osobné údaje, CSA má testovať, či bezpečnostné kontrolné opatrenia podporujú integritu, dôvernosť, dostupnosť, uchovávanie, obmedzenie prístupu a pripravenosť na porušenie ochrany osobných údajov.

Kontrolný zoznam vlastníka kontrolného opatrenia pre rok 2026

Pred odoslaním výsledku CSA musí každý vlastník kontrolného opatrenia vedieť potvrdiť nasledovné:

• Poznám cieľ kontrolného opatrenia a prepojené riziká.
• Viem, ktoré povinnosti podľa ISO/IEC 27001:2022, NIS2, DORA, GDPR alebo zmlúv kontrolné opatrenie podporuje.
• Samostatne som otestoval návrh a prevádzkovú účinnosť.
• Zdokumentoval som populáciu a metódu vzorkovania.
• Priložil som dôkazy, ktoré sú úplné, aktuálne, priraditeľné, autentické, relevantné, uchovávané a opakovane použiteľné.
• Zaznamenal som metadáta o tom, kto dôkazy získal, kedy a z ktorého systému.
• Zdokumentoval som výnimky s hodnotením rizika a navrhovanými opatreniami.
• Identifikoval som koreňovú príčinu významných výnimiek.
• Vytvoril alebo aktualizoval som záznamy CAPA s vlastníkom, termínom splnenia a metódou overenia.
• Eskaloval som významné otázky na preskúmanie manažmentom.

Ak vlastník kontrolného opatrenia nedokáže tento kontrolný zoznam dokončiť, nejde len o slabinu CSA. Môže ísť o slabinu monitorovania ISMS, medzeru v posúdení účinnosti podľa NIS2, problém správy a riadenia rizík IKT podľa DORA alebo slabinu preukázateľnej zodpovednosti podľa GDPR.

Urobte z CSA súčasť svojho prevádzkového modelu uistenia

Sebahodnotenie kontrolných opatrení nenahrádza vnútorný audit, penetračné testovanie, testovanie odolnosti podľa DORA ani právne preskúmanie podľa GDPR. Je to prevádzková vrstva, ktorá robí všetky tieto činnosti spoľahlivejšími.

V roku 2026 nebudú audity s menším narušením zvládať organizácie s najväčším počtom politík. Budú to organizácie, ktorých vlastníci kontrolných opatrení vedia kvalitnými dôkazmi preukázať, že opatrenia sú navrhnuté, fungujú, sú monitorované, opravované a reportované.

Clarysec pomáha organizáciám budovať túto schopnosť pomocou Zenith Blueprint, šablón politík, ako sú Politika informačnej bezpečnosti, Politika monitorovania auditov a súladu, Politika monitorovania auditov a súladu - SME, Politika zberu dôkazov a forenznej analýzy - SME, Politika právneho a regulačného súladu, a krížového mapovania súladu v Zenith Controls.

Ak sú vaše kontrolné opatrenia ISO/IEC 27001:2022 zdokumentované, ale dôkazy sú rozptýlené, nekonzistentné alebo nie sú opakovane použiteľné pre NIS2, DORA a GDPR, začnite tento týždeň jednou vysokorizikovou doménou. Vykonajte CSA pre privilegovaný prístup, bezpečnosť dodávateľov, pripravenosť na incidenty, nápravu zraniteľností alebo obnovu zo záloh. Otestujte návrh, otestujte prevádzkovú účinnosť, ohodnoťte kvalitu dôkazov, zalogujte výnimky a zapojte výsledok do preskúmania manažmentom.

Ste pripravení premeniť sebahodnotenie kontrolných opatrení na uistenie pripravené na audit? Stiahnite si Zenith Blueprint, preskúmajte Zenith Controls alebo požiadajte o posúdenie pripravenosti dôkazov Clarysec, aby ste zistili, kde vaše dôkazy ku kontrolným opatreniam obstoja a kde sa musia zlepšiť.