#zgodność

Co znaczy, że firma jest zgodna

Zgodność to stan, w którym sposób pracy firmy odpowiada wymaganiom, jakie ktoś na nią nałożył, a firma potrafi to pokazać. Dwa człony są tu równie ważne. Samo robienie rzeczy dobrze nie wystarcza, jeśli nie zostało nigdzie zapisane, bo audytor nie sprawdza intencji, tylko dowody. Odwrotnie też: teczka procedur, których nikt nie stosuje, jest zgodnością wyłącznie na papierze i rozsypuje się przy pierwszym pytaniu o rzeczywistość.

Warto od razu rozdzielić zgodność od bezpieczeństwa. Bezpieczeństwo odpowiada na pytanie, czy firma wytrzyma atak. Zgodność odpowiada na pytanie, czy robi to, do czego się zobowiązała albo co nakazuje przepis. Te dwie rzeczy w dużej mierze się pokrywają, ale nie są tożsame: da się być zgodnym i podatnym, i da się być dobrze zabezpieczonym bez jednego dokumentu.

Dwa źródła wymagań

Pierwsze to przepisy. Rozporządzenie o ochronie danych osobowych dotyczy każdej firmy, która przetwarza dane ludzi, a więc praktycznie każdej. Dyrektywy dotyczące odporności podmiotów, jak NIS 2, obejmują wskazane sektory i wielkości, przy czym wymagania spływają dalej łańcuchem dostaw. Do tego dochodzą przepisy branżowe: inne w ochronie zdrowia, inne w finansach, inne przy pracy dla administracji.

Drugie źródło to umowy. Duży kontrahent, sam objęty obowiązkami, przenosi je na dostawców zapisem w umowie albo ankietą przed jej podpisaniem. To bywa źródło ostrzejsze niż przepis, bo przepis wskazuje cel, a umowa potrafi wskazać konkretny środek, konkretny termin i konkretną karę. Firma niepodlegająca żadnej dyrektywie wprost bywa więc związana wymaganiami twardszymi niż ta objęta nią bezpośrednio.

Jak wygląda dowód

Dowodem zgodności rzadko jest samo zapewnienie, że kopie zapasowe są robione. Jest nim zestaw rzeczy, które da się pokazać: opisana procedura, zapis z systemu potwierdzający, że wykonuje się ją regularnie, oraz ślad z ostatniego sprawdzenia. Przy kopiach będzie to harmonogram, raport z zadań i protokół z próbnego odtworzenia. Przy dostępach lista kont z datą ostatniego przeglądu. Przy incydentach rejestr zgłoszeń z czasem reakcji.

Trzecia warstwa to rejestr tego, co firma w ogóle ma. Bez spisu sprzętu, systemów i danych nie da się odpowiedzieć na pytanie, co jest chronione, a rejestr czynności przetwarzania jest tego formalnym odpowiednikiem po stronie danych osobowych.

Kolejność prac

Kolejność rozstrzyga o kosztach bardziej niż wybór narzędzi. Zestaw, który zamyka większość pytań z typowej ankiety, jest krótki: kopie zapasowe z testem odtworzenia, drugi składnik przy logowaniu, aktualne systemy, spis sprzętu i oprogramowania, rozdzielone uprawnienia, procedura zgłaszania incydentu i wiedza, kto ją uruchamia. To są rzeczy tanie w porównaniu z pracą wokół nich.

Audyt i certyfikat są potwierdzeniem stanu, a nie sposobem jego osiągnięcia. Zamówione jako pierwsze kończą się listą zaleceń, które i tak trzeba wykonać od podstaw, tyle że po zapłaceniu za samo ich spisanie.

Gdzie firma spotyka to po raz pierwszy

Zwykle nie w kontakcie z urzędem, tylko przy ankiecie bezpieczeństwa przysłanej przez kontrahenta, przy przetargu z wymaganiami w specyfikacji albo przy odnowieniu umowy, do której doszedł nowy załącznik. Rzadziej po incydencie, kiedy pytania zadaje ubezpieczyciel albo poszkodowany.

Na co uważać

Zakres bywa większy, niż wygląda. Wymaganie dotyczące danych osobowych obejmuje także papier w szafie i telefony pracowników, a nie tylko serwery. Wymagania z umowy potrafią sięgać podwykonawców, więc firma odpowiada za coś, czego nie robi sama.

Druga rzecz to aktualność. Dokument napisany raz i odłożony starzeje się razem z firmą: zmienia się skład zespołu, systemy i dostawcy, a procedura opisuje stan sprzed trzech lat. Coroczny przegląd kosztuje mniej niż tłumaczenie takiej rozbieżności podczas kontroli.

Trzecia to rozliczalność. Zapis mówiący, że czymś zajmuje się dział informatyczny, nie wskazuje nikogo. Wymagania działają wtedy, gdy przy każdym stoi imię i nazwisko oraz termin.

Kiedy certyfikat nie jest odpowiedzią

Firma, która potrzebuje odpowiedzieć na ankietę jednego kontrahenta, nie potrzebuje certyfikacji całego systemu zarządzania. Certyfikat ma sens, kiedy powtarza się w wymaganiach wielu klientów albo otwiera rynek, na którym bez niego nie da się startować. W pozostałych przypadkach ten sam budżet wydany na uporządkowanie kopii, dostępów i aktualizacji daje więcej odporności, a odpowiedzi na ankietę i tak trzeba udzielić samodzielnie.