A következő feladat már nem egy újabb általános GAP elemzés elkészítése, hanem az auditjelentés megállapításain alapuló célzott auditkorrekció. Ennek során azonosítani kell az eltérések okait, meghatározni a szükséges intézkedéseket, priorizálni azok végrehajtását, majd megfelelő bizonyítékokkal igazolhatóvá tenni a kialakított megfelelőséget.

Az auditjelentésből kell kiindulni

Sikertelen audit után az auditjelentés válik a korrekció legfontosabb szakmai alapjává.

A dokumentumból nemcsak a szervezet összesített SZEKI-eredménye olvasható ki, hanem az is feltárható, hogy mely elemi követelmények és követelménycsoportok nem teljesültek megfelelően, milyen súlyosságú eltéréseket állapított meg az auditor, milyen vizsgálati módszer alapján született az adott megállapítás, illetve milyen bizonyíték állt vagy nem állt rendelkezésre.

A korrekció tervezése során legalább az alábbi szempontokat érdemes megvizsgálni:

• mely követelményt érinti a megállapítás;
• mit kifogásolt konkrétan az auditor;
• milyen súlyosságú az eltérés;
• mi okozta a nem megfelelő teljesülést;
• milyen korrekció szükséges;
• milyen bizonyítékkal igazolható majd a teljesítés.

Az auditori megállapítás egyszerű lezárása helyett tehát az eltérés kiváltó okát kell azonosítani és megszüntetni.

Ugyanaz a Nem megfelelt eredmény teljesen eltérő problémát takarhat

Az auditkorrekció egyik legfontosabb feladata annak meghatározása, hogy miért nem teljesült megfelelően az adott követelmény.

Egy hiányzó szabályzat vagy eljárásrend esetében a szükséges dokumentum elkészítése megfelelő korrekció lehet. Teljesen más intézkedést igényel azonban az a helyzet, amikor a szabályozás rendelkezésre áll, de a szervezet tényleges működése nem követi az abban foglaltakat.

A háttérben többféle probléma állhat:

• Dokumentációs hiányosság: a szükséges szabályzat, eljárásrend vagy nyilvántartás hiányzik vagy nem megfelelő.
• Működési hiányosság: a folyamat szabályozott, de nem vagy nem megfelelően hajtják végre.
• Technikai hiányosság: egy szükséges biztonsági kontroll hiányzik vagy nem megfelelően működik.
• Bizonyítékhiány: a kontroll működik, de végrehajtása nem megfelelően dokumentált vagy nem igazolható.
• Összetett eltérés: a dokumentációs, működési és technikai problémák együttesen jelennek meg.

A korrekció csak akkor tekinthető megfelelőnek, ha az auditor által azonosított eltérés valódi oka szűnik meg, nem pusztán annak dokumentációs tünete.

Az auditmegállapításból konkrét korrekciós feladatot kell készíteni

A részletes auditjelentés feldolgozása után az egyes megállapításokat célszerű egységes, végrehajtható korrekciós struktúrába rendezni:

A folyamat minden eleme fontos:

• a kiváltó ok meghatározása biztosítja, hogy valóban a probléma forrását kezeljük;
• az eltérés súlyossága segíti a prioritás meghatározását;
• a felelős és a határidő kijelölése végrehajtható feladattá alakítja az intézkedést;
• a teljesítési bizonyíték előzetes meghatározása pedig biztosítja, hogy a végrehajtott korrekció a következő audit során igazolható legyen.

Hogyan priorizáljuk a korrekciós feladatokat?

Egy sikertelen audit után akár jelentős számú korrekciós feladat is keletkezhet, miközben a rendelkezésre álló idő, szakértői kapacitás és költségkeret rendszerint korlátozott.

A feladatok sorrendjének meghatározását emiatt nem érdemes kizárólag arra alapozni, hogy mely intézkedéssel lehet a leggyorsabban növelni a SZEKI-értéket.

A megfelelő prioritás meghatározásakor több szempont együttes mérlegelése indokolt:

Egy kiemelt vagy kritikus eltérés kezelése például akkor is elsőbbséget élvezhet, ha egy kisebb jelentőségű intézkedéssel egyszerűbben lehetne további SZEKI-pontokat elérni.

Hasonlóan fontos szempont a megvalósítás időigénye. Egy külső szolgáltatót, beszerzést vagy komolyabb technikai fejlesztést igénylő intézkedést célszerű már a korrekciós folyamat elején elindítani.

A teljesítési bizonyítékot már a korrekció tervezésekor meg kell határozni

A NIS2 audit egyik fontos tapasztalata, hogy a ténylegesen működő kontroll sem feltétlenül elegendő, ha annak végrehajtása nem bizonyítható.

A korrekciós intézkedés meghatározásával egyidejűleg ezért azt is célszerű rögzíteni, milyen bizonyítékkal igazolható majd annak teljesítése.

Ha például a jogosultságok rendszeres felülvizsgálata hiányzott, nem elegendő a folyamat bevezetése: szükség van a végrehajtás megfelelő dokumentálására is. Hasonló megközelítés indokolt a helyreállítási tesztek, sérülékenységvizsgálatok, képzések, kockázatértékelések vagy rendszeres biztonsági felülvizsgálatok esetében.

Az auditkorrekció eredménye így nem egyszerűen egy elvégzett feladat, hanem működő és auditálható kontroll.

A cél nem pusztán a 71 SZEKI-pont elérése

A megfelelési küszöbhöz közeli eredmény esetében különösen kézenfekvőnek tűnhet, hogy a szervezet kizárólag a hiányzó néhány SZEKI-pont megszerzésére koncentráljon.

A megfelelőség azonban nem pusztán matematikai küszöbérték.

Amennyiben az auditor kiemelt vagy kritikus eltérést azonosított egy jelentős információbiztonsági területen, annak kezelése akkor is prioritást érdemelhet, ha egy másik, kisebb jelentőségű intézkedéssel gyorsabban lehetne növelni az összesített eredményt.

A NIS2 megfelelés ráadásul nem ér véget a sikeres audittal. A kialakított kontrollokat működtetni, rendszeresen végrehajtani, felülvizsgálni és dokumentálni, valamint a szervezeti és technológiai változásokhoz igazítani szükséges.

A korrekció nem kizárólag az IT feladata

Az auditmegállapítások kijavítása rendszerint több szervezeti terület együttműködését igényli.

A technikai intézkedések mellett szükség lehet HR-, beszerzési, jogi, üzemeltetési vagy vezetői feladatokra, valamint külső IT-szolgáltatók, rendszerfejlesztők és más beszállítók közreműködésére is.

A vezetői támogatás és az információbiztonsági felelős (IBF) koordinációs szerepe emiatt a korrekció során is meghatározó. A felelősök és határidők kijelölése, a feladatok nyomon követése, valamint a teljesítési bizonyítékok folyamatos összegyűjtése nélkül még egy szakmailag megfelelő intézkedési terv végrehajtása is könnyen elakadhat.

A Nem megfelelt eredménytől a megfelelőségig

A sikertelen auditot követő folyamat nem a teljes NIS2 felkészítés újrakezdéséről szól, hanem az auditor által feltárt konkrét hiányosságok célzott és bizonyítható megszüntetéséről.

A jól felépített auditkorrekció során az auditjelentés megállapításaiból végrehajtható intézkedési terv készül, a feladatok a kockázatok és az audit eredményére gyakorolt hatásuk alapján kerülnek priorizálásra, a végrehajtás pedig már eleve úgy történik, hogy annak eredménye megfelelő auditbizonyítékokkal igazolható legyen.

Auditkorrekció – a feltárt hiányosságoktól a megfelelőségig

A Régens auditkorrekciós szolgáltatása nem egy újabb általános NIS2 felkészítéssel kezdődik, hanem a már elkészült auditjelentésből indul ki.

Szakértőink feldolgozzák az auditor megállapításait, feltárják az eltérések okait, értékelik azok súlyosságát és megfelelőségre gyakorolt hatását, majd meghatározzák és priorizálják a szükséges dokumentációs, szervezeti és technikai korrekciókat.

A cél olyan megfelelőségi állapot kialakítása, amelyben a végrehajtott intézkedések ténylegesen működnek, megfelelően dokumentáltak, és teljesítésük a következő audit során megfelelő bizonyítékokkal is igazolható.