Fără să am nici o idee despre cum vor arăta normele de audit pentru NIS2, fac un exercițiu/exemplu. (ca de obicei, fără pretenții de completitudine). Cum lucrează deci auditorul (sau cum ar trebui…..) astfel încît munca să fie ”audit” și nu altceva.

Pentru că CyFun folosește o separare pentru „Scor documentație” și ”Scor implementare”, putem spune că aceasta corespunde aproximativ cu ToD (Test of Design) respectiv ToE (Test of Effectiveness).

Controalele care trebuie revizuite (Notă: controlul corespunde unui obiectiv, iar auditorul va avea obiective de evaluare):

GV.OC-01.1

Misiunea organizației trebuie stabilită, comunicată și trebuie să constituie baza pentru managementul riscului de securitate cibernetică sau a informației.

1. Documentația (Test of Design – controlul este bine conceput și își atinge obiectivul?)

• Examinează: există documentul de misiune și strategie, aprobat de conducere.
• Examinează: harta proceselor, identifică procesele critice și proprietarii lor.
• Examinează: este stabilită legătura documentată dintre misiune și cerințele de securitate și protecția datelor (BIA, clasificarea informațiilor).
• Examinează: frecvența de revizuire este definită.
• Intervievează: conducerea, CISO și DPO confirmă cum a fost construit procesul.
• Walkthrough: un proces critic este revizuit/urmărit de la definire pînă la cerințele de securitate care rezultă din el.

2. Implementarea (Test of Operating Effectiveness – controlul funcționează în timp?)

• Examinează: dovezi că revizuirile au avut loc la frecvența stabilită pe perioada auditată (procese-verbale, istoricul versiunilor).
• Examinează pe eșantion: deciziile de risc și evaluările de risc recente trimit efectiv la misiune și la procesele critice.
• Intervievează: proprietarii de procese cunosc misiunea și informațiile critice pe care le gestionează, ceea ce arată că documentul este comunicat și aplicat, nu doar existent.
• Verificare: modificările de business (procese noi, reorganizări) au declanșat actualizarea documentației.

3. Maturitate (punctaj 1–5, separat pentru documentație și implementare)

Țintă: contribuie la media categoriei GV.OC, care trebuie să fie cel puțin 3.

Stadiu	Scor documentație	Scor implementare
1 – Inițial	Misiunea nu este scrisă sau nu este aprobată de conducere.	Misiunea nu este folosită în deciziile de risc.
2 – Repetabil	Documentul este aprobat, dar nu a fost revizuit în ultimii 2 ani.	Misiunea este invocată ocazional, informal, fără legătură cu analiza de risc.
3 – Definit	Documentul este aprobat și actualizat. Legătura cu procesele critice și cu cerințele de securitate este documentată. Excepțiile sînt aprobate și reprezintă sub 5%.	Revizuirea are loc la frecvența stabilită și există dovezi. Majoritatea evaluărilor de risc trimit la misiune. Excepțiile sînt sub 10%.
4 – Gestionat	Ca la 3, cu excepții sub 3%.	Toate evaluările de risc trimit la misiune. Indicatori precum procentul de procese critice cu BIA actualizat sînt raportați conducerii și au o țintă minimă. Excepțiile sînt sub 5%.
5 – Optimizare	Ca la 3, cu excepții sub 0,5%.	Ca la 4, iar ținta indicatorilor crește anual. Excepțiile sînt sub 1%.

4. Probe de audit

Pentru documentație:

• Documentul de misiune și strategie, cu aprobarea conducerii (decizie sau semnătură, cu dată) și cu istoricul versiunilor.
• Harta proceselor și BIA, cu procesele critice și proprietarii lor.
• Procedura care stabilește frecvența de revizuire.
• Notele din interviurile cu conducerea, CISO și DPO.
• Documentarea walkthrough-ului făcut pe un proces critic.

Pentru implementare:

• Procesele-verbale ale ședințelor de revizuire din perioada auditată.
• Evaluările de risc recente din eșantion, cu trimiterile la misiune și la procesele critice marcate de auditor.
• Notele din interviurile cu proprietarii de procese.
• Dovezile actualizării documentației după schimbări de business (o versiune nouă, datată după reorganizare).

Mențiune: examinarea documentului de misiune este ToD, dar examinarea proceselor-verbale de revizuire din ultimii 2 ani este ToE. La fel, interviul susține și designul, și funcționarea. Fiind un control la nivel de organizație, nu de sistem IT/business, „testarea controlului” înseamnă verificarea procesului, nu tehnicisme…

PR.AA-01.1

Identitățile și datele de acces ale utilizatorilor, serviciilor și echipamentelor autorizate trebuie gestionate.

1. Documentația (Test of Design – controlul este bine conceput și își atinge obiectivul?)

• Examinează: politica și procedura de control al accesului există, sînt aprobate de conducere și sînt revizuite periodic.
• Examinează: tipurile de conturi permise și interzise sînt definite: individuale, partajate, de serviciu, guest, privilegiate.
• Examinează: responsabilii de conturi sînt desemnați, iar fluxul de aprobare stabilește cine aprobă crearea conturilor.
• Examinează: identitățile echipamentelor și ale serviciilor sînt gestionate, nu doar cele ale utilizatorilor.
• Examinează: procesul IAM este integrat cu procesul HR de angajare, transfer și plecare, iar termenele de notificare sînt definite.
• Examinează: frecvența recertificării drepturilor de acces este definită.
• Intervievează: administratorii IAM/AD și HR confirmă cum a fost construit procesul.
• Walkthrough: un cont este urmărit pe tot ciclul de viață: cerere-aprobare-creare-modificare-dezactivare.

2. Implementarea (Test of Operating Effectiveness – controlul funcționează în timp?)

• Testează: lista plecărilor din HR pe perioada auditată este comparată cu conturile active din AD/IAM. Nici un cont al unui fost angajat nu rămîne activ peste termenul stabilit.
• Examinează pe eșantion (de exemplu 25 de conturi noi): există o cerere aprobată înainte de crearea contului.
• Examinează: dovezi pentru ultimele 2 cicluri de recertificare, inclusiv că drepturile marcate „de eliminat” au fost efectiv eliminate.
• Examinează: conturile de serviciu și de echipament au un proprietar desemnat.
• Testează: la conturile partajate, parola a fost schimbată după plecarea unui membru din grup.
• Intervievează: proprietarii aplicațiilor critice confirmă că participă efectiv la recertificare.

3. Maturitate (punctaj 1–5, separat pentru documentație și implementare)

Țintă: Măsură cheie, deci este nevoie de cel puțin 3 la ambele scoruri.

Stadiu	Scor documentație	Scor implementare
1 – Inițial	Nu există o procedură de gestionare a conturilor aprobată.	Conturile se creează și se șterg după cum consideră fiecare administrator.
2 – Repetabil	Procedura este aprobată, dar nu a fost revizuită în ultimii 2 ani.	Proces informal: conturile se creează pe bază de e-mail, iar dezactivarea depinde de cine își amintește.
3 – Definit	Procedura este aprobată și actualizată. Tipurile de conturi, aprobatorii și termenele sînt definite. Excepțiile (de exemplu conturile de serviciu) sînt aprobate și reprezintă sub 5%.	Fluxul formal este aplicat și există dovezi pentru majoritatea conturilor. La comparația HR-AD, sub 10% dintre conturi sînt neconforme.
4 – Gestionat	Ca la 3, cu excepții sub 3%.	Există dovezi pentru toate conturile. Indicatori precum timpul de dezactivare, conturile orfane și procentul recertificat sînt raportați și au ținte. Excepțiile sînt sub 5%.
5 – Optimizare	Ca la 3, cu excepții sub 0,5%.	Ca la 4, iar țintele se îmbunătățesc continuu, de exemplu dezactivarea scade de la 24h la 4h. Excepțiile sînt sub 1%.

4. Probe de audit

Pentru documentație:

• Politica și procedura de control al accesului, aprobate și cu dată de revizuire.
• Lista tipurilor de conturi permise și interzise și lista responsabililor de conturi.
• Descrierea fluxului de aprobare și a integrării cu procesul HR, cu termenele de notificare.
• Notele din interviurile cu administratorii IAM/AD și cu HR.
• Documentarea walkthrough-ului pe un cont, cu tichetul de cerere, aprobarea, crearea și dezactivarea.

Pentru implementare:

• Lista plecărilor din HR pe perioada auditată, extrasă din sistemul HR, cu verificarea că este completă (de exemplu prin comparație cu statul de plată).
• Exportul conturilor din AD/IAM, cu stare, data creării, data dezactivării și last logon, extras în prezența auditorului.
• Foaia de comparație HR-AD întocmită de auditor, cu excepțiile marcate.
• Tichetele de cerere și aprobare pentru eșantionul de conturi noi (data aprobării comparată cu data creării contului).
• Rapoartele de recertificare semnate și dovada că drepturile marcate „de eliminat” au fost eliminate.
• Inventarul conturilor de serviciu și de echipament, cu proprietarul fiecăruia.
• Jurnalele de schimbare a parolelor la conturile partajate.

De ce este aceasta modalitata de lucru corectă? Pentru că așa impune ITAF. Tot de aici știm și ce condiții trebuie să îndeplinească probele:

• Suficiente: eșantionul acoperă toată perioada auditată, nu doar ultima lună.
• Relevante: fiecare probă se leagă de o cerință anume. De exemplu, o politică de parole nu dovedește existența MFA.
• Fiabile:
  • auditorul obține lista completă (populația) direct sau asistă la extragerea ei, ca să nu primească o listă „curățată”;
  • verifică faptul că lista este completă, de exemplu numărul de plecări din HR față de statul de plată;
  • probele sînt datate și aparțin perioadei auditate.

Și aceastea sînt doar douā din cele 218 cerințe Cyfun de la nivel ESENȚIAL…..