Intézkedési és erőforrásterv

/tudastar/intezkedesi-es-eroforrasterv · Célkifejezés: intézkedési terv NIS2 · Elsődleges modul: Governance

Miért külön dokumentum

Mert a hiányosságok listája és a cselekvés két különböző dolog, és a szervezetek rendre az elsőnél állnak meg. Az auditjelentés megmondja, mi nincs rendben; az intézkedési terv azt, hogy ki, mikor és miből hozza rendbe.

A terv emellett a vezetés felé is kommunikációs eszköz: ez az a dokumentum, amelyben a biztonsági hiányosság erőforrásigénnyé fordul át, és amelyre vezetői döntés kérhető.

A négy kötelező elem

A negyedik elem hiánya a leggyakoribb, és ez az, ami miatt a tervek nem valósulnak meg. Ha egy intézkedéshez nincs pénz és munkaóra rendelve, akkor az nem terv, hanem szándéknyilatkozat — a következő auditon ugyanott lesz.

Honnan jönnek a sorok

Négy forrásból, és érdemes mindegyiket egy tervbe vezetni, nem külön listákba:

1. Kontrollértékelés — a nem megfelelő vagy részlegesen megfelelő kontrollok.
2. Kockázatértékelés — a csökkentendő kockázatokhoz rendelt védelmi intézkedések.
3. Audit — a belső és a hatósági audit megállapításai.
4. Incidens — a post mortemből származó tanulságok.

Ha ezek külön élnek, ugyanaz a feladat többször is megjelenik, vagy egyik sem kerül végrehajtásra, mert mindenki a másik listára mutat.

Rangsorolás

Három szempont: a kockázat nagysága, a ráfordítás mértéke és a függőség. A harmadikat szokták elfelejteni — néhány hiányosság más intézkedéseket blokkol, ezért akkor is előre kell hozni, ha önmagában nem tűnik súlyosnak. A hiányos eszköznyilvántartás tipikusan ilyen: nélküle szinte minden más kontroll bizonyítása akadozik.

Gyakorlati tipp: az olcsó és gyors tételeket érdemes elöl vinni. Nem azért, mert fontosabbak, hanem mert a korai eredmény megtartja a vezetői támogatást a hosszabb tételekhez.

Mit néz benne az auditor

• Van-e egyáltalán, és a megállapításokhoz köthető-e tételesen.
• Van-e minden soron nevesített felelős és konkrét határidő.
• Van-e erőforrás rendelve, és jóváhagyta-e valaki.
• Mi valósult meg belőle a legutóbbi ciklus óta.
• A csúszásokat dokumentált döntés kezelte-e.

Az utolsó pont a legárulkodóbb. A csendben lejáró határidő rosszabb, mint a nyíltan átütemezett, mert azt mutatja, hogy a tervet senki nem követi.

Ha nincs erőforrás

Ez gyakori, és van rá jó válasz. Az erőforrásigényt dokumentálni kell, a döntést pedig a vezetéshez felvinni. Ha a vezetés nemet mond, az dokumentált kockázatvállalás — kezelhető, védhető állapot. Ha a kérés el sem jut odáig, az mulasztás.

Ez egyben az IBF legfontosabb önvédelmi eszköze is: a dokumentált jelzés. A szóban maradt figyelmeztetés utólag nem történt meg.

Hogyan segít ebben a Cybersensei

A Governance modul a nem megfelelő kontrollokból automatikusan képezi az intézkedési tervet, felelőssel és határidővel, és a nyitott tételekre határidő előtt figyelmeztet, lejárat után eszkalál. Az Audit modul pedig az újramérésnél megmutatja, hogy a lezártnak jelölt tétel valóban megszűnt-e.

Gyakori kérdések

Milyen időtávra tervezzen? A rövid tételek hónapokban, a beruházásigényesek két-három évben; a lényeg, hogy az ütemezés dokumentált döntés legyen.

Ki hagyja jóvá? A szervezet vezetője vagy a kockázatok felvállalására jogosult szerepkör, mert erőforrás-következménye van.

Mi van, ha közben új hiányosság jön? Bekerül ugyanabba a tervbe, és a rangsor újraértékelendő. Párhuzamos tervek vezetése garantált kudarc.

Elég Excelben vezetni? Működhet, de a határidőfigyelés és a bizonyítékkötés kézzel nem skálázódik, és a verziók szétcsúsznak.