Έχω προετοιμάσει οργανισμούς για επιθεωρήσεις και έχω καθίσει στην άλλη πλευρά του τραπεζιού ως ο άνθρωπος που κάνει τις ερωτήσεις. Οι δύο εμπειρίες μου δίδαξαν το ίδιο πράγμα από αντίθετες κατευθύνσεις: ο επιθεωρητής δεν διαβάζει τις πολιτικές σου. Τις διάβασε το προηγούμενο βράδυ, στο ξενοδοχείο, και σχημάτισε άποψη για σένα σε δέκα λεπτά. Η ίδια η επιθεώρηση ξοδεύεται δοκιμάζοντας αν ο οργανισμός που περιγράφεται σε εκείνες τις πολιτικές υπάρχει.

Μέρος έβδομο της σειράς The Compliance Architect. Το προηγούμενο κείμενο έχτισε τα τεκμήρια. Αυτό αφορά τον άνθρωπο που τα διαβάζει: τους επιθεωρητές πιστοποίησης ISO, και όλο και περισσότερο τις εποπτικές αρχές NIS2 και DORA που χρησιμοποιούν τις ίδιες τεχνικές με περισσότερη εξουσία.

Η Πραγματική Μέθοδος του Επιθεωρητή

Μια επιθεώρηση πιστοποίησης είναι σύντομη. Ένα Στάδιο 2 για έναν μεσαίο οργανισμό είναι τρεις με πέντε ανθρωποημέρες επιθεωρητή, που καλύπτουν ενενήντα τρεις ελέγχους και δέκα παραγράφους. Κανείς δεν μπορεί να εξετάσει τα πάντα, οπότε κάθε ικανός επιθεωρητής δειγματοληπτεί, και δειγματοληπτεί με σκοπό: διαλέγει τα σημεία όπου ένα ΣΔΑΠ επί χάρτου και ένα πραγματικό αποκλίνουν.

Η μέθοδος είναι πάντα μια εκδοχή των ίδιων τριών κινήσεων. Δείξε μου το αρχείο. Όχι τη διαδικασία· το αρχείο που παράχθηκε όταν έτρεξε η διαδικασία. Δείξε μου ένα διαφορετικό. Άλλη περίοδο, άλλο σύστημα, άλλο πρόσωπο, που διαλέγει ο επιθεωρητής και όχι εσύ. Πήγαινέ με στο σύστημα. Ο επιθεωρητής κάθεται δίπλα στον διαχειριστή και βλέπει τη λίστα πρόσβασης, την κονσόλα backup, την πλατφόρμα logs στην οθόνη. Μια διαδικασία που λέει ότι η πρόσβαση επισκοπείται τριμηνιαία δοκιμάζεται ζητώντας την επισκόπηση δύο τριμήνων πριν, για σύστημα που ονομάζει ο επιθεωρητής, και μετά κοιτώντας τη ζωντανή λίστα λογαριασμών για να δει αν οι λογαριασμοί που αφαιρέθηκαν σε εκείνη την επισκόπηση έχουν πράγματι φύγει.

Όλα τα παρακάτω απορρέουν από αυτή τη μέθοδο. Η τεκμηρίωση σε πάει στο Στάδιο 2. Τα αρχεία και τα ζωντανά συστήματα σου δίνουν το πιστοποιητικό.

Τι Κοιτούν Πρώτα

Κάθε επιθεωρητής έχει μια ιδιωτική λίστα ελέγχων που προβλέπουν τους υπόλοιπους. Η δική μου, και έχω συγκρίνει σημειώσεις με αρκετούς συναδέλφους ώστε να πιστεύω ότι είναι κοινή, είναι αυτή.

Η εκτίμηση κινδύνου, ιχνηλατημένη ως έναν έλεγχο. Διάλεξε έναν κίνδυνο από το μητρώο. Βρες την αντιμετώπισή του. Βρες τον έλεγχο που υλοποιεί την αντιμετώπιση στη Δήλωση Εφαρμοσιμότητας. Βρες το τεκμήριο ότι ο έλεγχος λειτούργησε. Αν οποιοσδήποτε κρίκος σε αυτή την αλυσίδα λείπει, το ΣΔΑΠ είναι διακοσμητικό, και ο επιθεωρητής το ξέρει πριν το μεσημέρι της πρώτης μέρας. Συνηθισμένη αποτυχία: μητρώο κινδύνων που παρήγαγε ένας σύμβουλος, Δήλωση Εφαρμοσιμότητας που παρήγαγε άλλος σύμβουλος, και κανένα νήμα ανάμεσά τους.

Επισκοπήσεις πρόσβασης, με αφαιρέσεις. Επισκόπηση που δεν αφαιρεί ποτέ κανέναν δεν είναι επισκόπηση. Ο επιθεωρητής θέλει να δει τη λίστα, τις αποφάσεις του επισκοπούντος, και τις αφαιρέσεις εκτελεσμένες, και μετά ελέγχει έναν αφαιρεμένο λογαριασμό απέναντι στον ζωντανό κατάλογο.

Το αρχείο περιστατικών, και το κενό του. Ένας οργανισμός διακοσίων ανθρώπων που κατέγραψε μηδέν περιστατικά ασφάλειας σε έναν χρόνο δεν είχε μηδέν περιστατικά· δεν έχει ανίχνευση ή δεν έχει κουλτούρα αναφοράς. Οι επιθεωρητές αντιμετωπίζουν το άδειο αρχείο περιστατικών ως εύρημα κατά των A.5.24 έως 5.27 και, κάτω από τη NIS2, ως κόκκινη σημαία για την υποχρέωση αναφοράς 24 ωρών. Ένα αρχείο με δεκαπέντε μικρά περιστατικά, καθένα ταξινομημένο, καθένα κλεισμένο με ένα δίδαγμα, είναι το ισχυρότερο τεκμήριο λειτουργικού ΣΔΑΠ που γνωρίζω.

Η δοκιμή αποκατάστασης. Όχι η εργασία backup· η αποκατάσταση. Ημερομηνία, σύστημα, τι αποκαταστάθηκε, πόσο πήρε, αν δούλεψε, ποιος υπέγραψε. Κάτω από το άρθρο 12 του DORA αυτό είναι ρητό. Ένας επιθεωρητής ISO που βρίσκει backups να τρέχουν και καμία αποκατάσταση να μην έχει επιχειρηθεί ποτέ θα γράψει μη συμμόρφωση και θα έχει δίκιο.

Εσωτερική επιθεώρηση και ανασκόπηση διοίκησης. Η παράγραφος 9.2 απαιτεί πρόγραμμα εσωτερικής επιθεώρησης που καλύπτει όλες τις παραγράφους και τους ελέγχους στη διάρκεια του κύκλου, από κάποιον ανεξάρτητο από τον τομέα που επιθεωρείται. Η παράγραφος 9.3 απαιτεί ανασκόπηση διοίκησης με συγκεκριμένες εισροές. Οι αποτυχίες είναι τυποποιημένες: εσωτερική επιθεώρηση που καλύπτει τους ίδιους τρεις τομείς κάθε χρόνο, ή που έγινε από τον διαχειριστή του ΣΔΑΠ πάνω στη δική του δουλειά· ανασκόπηση διοίκησης της οποίας τα πρακτικά είναι η ημερήσια διάταξη με το «συζητήθηκε» γραμμένο μετά από κάθε θέμα. Οι επιθεωρητές διαβάζουν αυτά τα πρακτικά προσεκτικά γιατί αποκαλύπτουν αν η διοίκηση είναι στο δωμάτιο ή έχει αναθέσει το ΣΔΑΠ σε ένα λογιστικό φύλλο.

Έλεγχοι προμηθευτών με ζωντανό παράδειγμα. Ονόμασε τον πιο κρίσιμο προμηθευτή σου. Δείξε τη συμβατική ρήτρα, την αξιολόγηση, την τελευταία επισκόπηση. Κάτω από τον DORA ο επιθεωρητής θα ζητήσει τη γραμμή αυτού του προμηθευτή στο μητρώο πληροφοριών και θα την ελέγξει απέναντι στη σύμβαση.

Διαχείριση αλλαγών, κοιτώντας μια αλλαγή. Ο επιθεωρητής ζητά τις τελευταίες τρεις αλλαγές σε σύστημα παραγωγής και τις ακολουθεί προς τα πίσω: εισιτήριο, έγκριση, δοκιμή, εγκατάσταση, σχέδιο επαναφοράς. Αν οι αλλαγές είναι σε αποθετήριο με merge requests, αυτό παίρνει πέντε λεπτά και περνά. Αν είναι στη μνήμη κάποιου, δεν περνά.

Τα Ευρήματα που Ρίχνουν Οργανισμούς

Μια μείζων μη συμμόρφωση μπλοκάρει την πιστοποίηση μέχρι να κλείσει. Από την εμπειρία μου οι μείζονες συγκεντρώνονται σε σύντομη λίστα, και καμία δεν είναι εξωτική.

  • Πεδίο που δεν ταιριάζει με την πραγματικότητα. Το πεδίο του πιστοποιητικού λέει «η παροχή υπηρεσιών λογισμικού από τα γραφεία της Αθήνας» και η μισή ομάδα μηχανικών δουλεύει από το σπίτι σε προσωπικά laptops που δεν εμφανίζονται σε κανένα μητρώο παγίων.
  • Δήλωση Εφαρμοσιμότητας με αναιτιολόγητες εξαιρέσεις. Εξαίρεση του A.8.28 ασφαλής κωδικοποίηση επειδή «δεν αναπτύσσουμε λογισμικό» ενώ τρέχει ομάδα προγραμματιστών. Οι επιθεωρητές διαβάζουν τη ΔΕ απέναντι στο οργανόγραμμα.
  • Έλεγχοι δηλωμένοι και μη λειτουργούντες. Η πολιτική απαιτεί τριμηνιαίες σαρώσεις ευπαθειών· η τελευταία σάρωση ήταν πριν δεκατέσσερις μήνες. Αυτό είναι το αρχέτυπο, και είναι ο λόγος που υπάρχει η αρχιτεκτονική τεκμηρίων του προηγούμενου κειμένου.
  • Εσωτερική επιθεώρηση μη ανεξάρτητη ή μη πλήρης. Καλύφθηκε παραπάνω· είναι μείζων επειδή η παράγραφος 9.2 είναι υποχρεωτική και δεν υπάρχει μερική πίστωση.
  • Μη προσδιορισμένες νομικές και κανονιστικές απαιτήσεις. Το A.5.31 απαιτεί να προσδιορίζεις την εφαρμοστέα νομοθεσία. Ένα ΣΔΑΠ το 2026 που δεν απαριθμεί τη NIS2, τον DORA όπου ισχύει, τον GDPR και τον CRA όπου ισχύει έχει αποτύχει σε αυτόν τον έλεγχο, και ο επιθεωρητής θα ρωτήσει πώς μπορείς να διαχειρίζεσαι κινδύνους των οποίων τις νομικές συνέπειες δεν έχεις προσδιορίσει.
  • Μη καταγεγραμμένες αλλαγές στο ΣΔΑΠ. Νέο από το 2022 (παράγραφος 6.3). Μια μετάβαση σε νέο πάροχο cloud στη μέση του κύκλου χωρίς αρχείο σχεδιασμού είναι εύρημα.

Οι ελάσσονες μη συμμορφώσεις είναι πολυπληθέστερες και πιο συγχωρητέες: πολιτική με καθυστερημένη επισκόπηση, αρχείο εκπαίδευσης που λείπει για έναν νεοπροσληφθέντα, μητρώο παγίων με παρωχημένες εγγραφές. Μετράνε κυρίως αθροιστικά· μια ντουζίνα ελάσσονες σε έναν τομέα λένε στον επιθεωρητή ότι ο τομέας είναι αδιαχείριστος, και η δωδέκατη μπορεί να γραφτεί ως μείζων.

Οι Εποπτικές Αρχές Δεν Είναι Επιθεωρητές Πιστοποίησης

Τα καθεστώτα NIS2 και DORA έφεραν ένα νέο είδος εξεταστή, και οι οργανισμοί που έχουν συναντήσει μόνο επιθεωρητές ISO τον παρερμηνεύουν.

Ένας επιθεωρητής πιστοποίησης δουλεύει για φορέα που πληρώνεις και δεσμεύεται από πρότυπο που ορίζει ακριβώς τι μπορεί να αξιολογήσει. Μια εποπτική αρχή δουλεύει για το κράτος, έχει θεσμικές εξουσίες να απαιτεί πληροφορίες, να διατάζει ελέγχους με δικό σου κόστος, να επιβάλλει πρόστιμα και, για βασικές οντότητες κατά NIS2, να αναστέλλει προσωρινά διοικητικά στελέχη. Η δειγματοληψία της δεν οριοθετείται από τις παραγράφους ενός προτύπου· οριοθετείται από την ανησυχία της, και η ανησυχία της πυροδοτείται συνήθως από περιστατικό, καταγγελία, τομεακή άσκηση ή αποτυχία ομοειδούς οργανισμού.

Αυτό που ψάχνει επικαλύπτεται με τη λίστα ISO αλλά σταθμίζεται διαφορετικά. Οι εποπτικές αρχές νοιάζονται δυσανάλογα για: αν τα σημαντικά ή μείζονα περιστατικά αναφέρθηκαν εγκαίρως και πλήρως (μπορούν να το ελέγξουν απέναντι στα δικά τους αρχεία)· αν το διοικητικό όργανο ενέκρινε τα μέτρα και εκπαιδεύτηκε, με ονόματα και ημερομηνίες· αν το μητρώο πληροφοριών (DORA) ή η εγγραφή (NIS2) ταιριάζει με την πραγματικότητα· και αν οι έλεγχοι που θα είχαν αποτρέψει το περιστατικό που τους έφερε στην πόρτα σου λειτουργούσαν. Δικαιούνται επίσης, σε αντίθεση με τους επιθεωρητές ISO, να συμπεράνουν ότι το πρόγραμμά σου είναι ανεπαρκές ακόμη κι αν κάθε έγγραφο υπάρχει, γιατί το κριτήριό τους είναι το αποτέλεσμα, όχι η συμμόρφωση.

Προετοιμάσου για τις εποπτικές αρχές όπως περιέγραψε το κείμενο για τη NIS2: ένα πακέτο διακυβέρνησης που μπορεί να παραδοθεί μέσα σε μια μέρα, αρχείο περιστατικών που συμφωνεί με ό,τι ανέφερες, και μητρώο που ταιριάζει με τις συμβάσεις σου. Αν αυτά τα τρία είναι εντάξει, η πρώτη εντύπωση της εποπτικής αρχής είναι ότι είσαι από τους οργανωμένους, και η προσοχή της κινείται αλλού.

Πώς να Προετοιμαστείς, Ρεαλιστικά

Τρεις μήνες πριν την επιθεώρηση είναι λάθος στιγμή να χτίσεις ελέγχους. Είναι η σωστή στιγμή να κάνεις τέσσερα πράγματα.

  1. Τρέξε τη μέθοδο του επιθεωρητή στον εαυτό σου. Διάλεξε δέκα ελέγχους τυχαία. Για καθέναν, παρουσίασε το αρχείο, ένα δεύτερο αρχείο από διαφορετική περίοδο, και πήγαινε στο σύστημα. Όπου δεν μπορείς, βρήκες το εύρημα πριν τον επιθεωρητή.
  2. Συμφώνησε την αλυσίδα. Μητρώο κινδύνων προς αντιμετώπιση προς ΔΕ προς τεκμήριο, για κάθε κίνδυνο πάνω από το όριο αποδοχής σου. Διόρθωσε τα σπασμένα νήματα.
  3. Διάβασε τα δικά σου πρακτικά. Ανασκόπηση διοίκησης και εκθέσεις εσωτερικής επιθεώρησης, όπως θα τα διάβαζε ένας ξένος. Αν δεν δείχνουν αποφάσεις, πόρους και παρακολούθηση, ξαναγράψε τα επόμενα, και κάνε τη συνεδρίαση που τα παράγει.
  4. Ενημέρωσε τους ανθρώπους που θα ερωτηθούν. Όχι για να τους δώσεις σενάριο, που οι επιθεωρητές ανιχνεύουν αμέσως, αλλά ώστε ο διαχειριστής να ξέρει πού είναι το αρχείο δοκιμής αποκατάστασης και ο υπεύθυνος HR να ξέρει πού ζουν οι λίστες ένταξης. Οι πιο επιζήμιες στιγμές στις επιθεωρήσεις είναι οι σιωπές όσο κάποιος ψάχνει σε κοινόχρηστο δίσκο.

Και ένα πράγμα να μην κάνεις: μην παραγάγεις έναν χρόνο τεκμηρίων τον τελευταίο μήνα. Οι επισκοπήσεις πρόσβασης με παλιά ημερομηνία και οι φρεσκοδημιουργημένες δοκιμές αποκατάστασης έχουν μια υφή που οι επιθεωρητές αναγνωρίζουν. Έξι μήνες ειλικρινών αρχείων με ένα κενό που εξηγείς είναι πολύ ισχυρότεροι από δώδεκα μήνες αρχείων που μοιάζουν όλα ίδια.

Την Ημέρα

Απάντησε στην ερώτηση που έγινε. Δείξε το αρχείο, όχι τη διαδικασία, εκτός αν η διαδικασία είναι αυτό που ζητήθηκε. Αν ένας έλεγχος δεν λειτουργεί, πες το και πες τι κάνεις γι' αυτό· ένας επιθεωρητής που βρίσκει ειλικρίνεια δειγματοληπτεί λιγότερο, και ένας που βρίσκει υπεκφυγή δειγματοληπτεί μέχρι να βρει αυτό που απέφευγες. Διαφώνησε όταν έχεις δίκιο, με την παράγραφο στο χέρι· οι επιθεωρητές δεν είναι αλάθητοι και μια καλά τεκμηριωμένη ένσταση γίνεται σεβαστή. Κράτα σημειώσεις για κάθε αίτημα και κάθε απάντηση, γιατί η έκθεση θα φτάσει εβδομάδες αργότερα και η μνήμη σου για το τι δείχθηκε θα έχει ξεθωριάσει.

Κλείσιμο

Οι επιθεωρητές ψάχνουν τον οργανισμό πίσω από τα έγγραφα. Τον βρίσκουν ζητώντας αρχεία που διάλεξαν, από περιόδους που διάλεξαν, και κοιτώντας συστήματα με τα δικά τους μάτια. Όλα σε αυτή τη σειρά ως τώρα, το ενιαίο σύνολο ελέγχων, το αποθετήριο τεκμηρίων, η διαδικασία περιστατικών με τέσσερις εξόδους, υπάρχουν για να κάνουν αυτόν τον οργανισμό πραγματικό και ορατό. Το τελευταίο κείμενο πάει ένα βήμα νωρίτερα: πώς σχεδιάζεις συστήματα ώστε τα τεκμήρια να υπάρχουν επειδή η αρχιτεκτονική τα παράγει, και όχι επειδή κάποιος θυμήθηκε να τα συλλέξει.