Ce arată un document aprobat?
O procedură aprobată stabilește regula internă pentru un anumit domeniu. Identifică versiunea, persoana autorizată să aprobe, data aprobării și data de la care documentul se aplică. Aceste date pot fi diferite. Păstrează și aprobarea, astfel încât decizia să poată fi urmărită.
Documentul nu demonstrează singur că oamenii l-au primit, că au aplicat regula sau că măsura a funcționat. De exemplu, aprobarea procedurii de retragere a accesului nu arată că un anumit cont a fost dezactivat. Pentru asta ai nevoie de probe din cazul verificat.
Cum deosebești comunicarea, aplicarea și eficacitatea?
Comunicarea arată că informația a ajuns la destinatarii relevanți. Intervenția arată ce s-a făcut: un cont dezactivat, o configurație schimbată, o verificare executată. Eficacitatea privește rezultatul: accesul care trebuia retras mai este posibil? Ce aplicații au fost verificate și ce excepții au rămas?
În domeniul datelor personale, GDPR leagă responsabilitatea operatorului de aplicarea măsurilor și de posibilitatea de a demonstra respectarea regulamentului. Art. 32 alin. (1) lit. (d) include, după caz, testarea și evaluarea periodică a eficacității măsurilor de securitate. O simplă listă de politici nu răspunde acestor întrebări. GDPR, art. 24 și art. 32.
Cum verifici retragerea accesului, într-un caz concret?
Pornește de la regula aplicabilă și de la solicitarea care declanșează intervenția. Confirmă persoana sau rolul vizat, aplicațiile din domeniu, responsabilul și termenul. După modificare, păstrează referința la intervenție și rezultatul verificării. Notează cine a verificat, data și limitele verificării.
Un mesaj „rezolvat” nu arată automat ce sisteme au fost acoperite. Dacă au fost verificate trei aplicații din cinci, scrie acest lucru și urmărește celelalte două. Modelul de mai jos separă probele utile la fiecare pas. Pentru alocarea sarcinilor, folosește modelul de responsabilități RACI.
Ce faci cu versiunile vechi și cu documentele în lucru?
Pentru perioada analizată, identifică versiunea aplicabilă atunci. Nu folosi automat ultima ediție ca și cum ar fi fost valabilă și înainte de aprobare. Marchează materialele în lucru și versiunile retrase, păstrează istoricul necesar și limitează accesul potrivit rolurilor.
Pentru un sistem de management conform ISO/IEC 27001, clauzele 7.5.2 și 7.5.3 tratează identificarea, revizuirea, aprobarea și controlul informațiilor documentate; clauza 8.1 privește și desfășurarea proceselor conform planificării. Organizarea documentelor și executarea proceselor se verifică distinct. SR EN ISO/IEC 27001:2023, clauzele 7.5.2, 7.5.3 și 8.1.
Câte date trebuie să conțină o dovadă?
Păstrează informația necesară pentru întrebarea verificată: sursa, data, domeniul, metoda, rezultatul și excepțiile relevante. Nu introduce parole ori chei de acces în dosar. În copiile pregătite pentru transmitere, elimină datele personale care nu sunt necesare, fără să pierzi contextul care face proba inteligibilă.
Dacă probele conțin date personale, se aplică și principiile privind minimizarea, durata păstrării și securitatea. „Păstrăm tot pentru audit” nu justifică singur o arhivare nelimitată. Stabilește scopul, accesul, perioada de păstrare și eventualele obligații de conservare pentru situația concretă. GDPR, art. 5 alin. (1) lit. (c), (e), (f) și art. 32.
Ce înseamnă că o activitate este închisă?
Închiderea internă ar trebui să aibă un rezultat și o verificare identificabile. Compară ce s-a cerut cu ceea ce s-a făcut, consemnează excepțiile și stabilește când revii. Nu schimba starea în „finalizat” doar fiindcă a fost încărcat un fișier.
În materia NIS2, pentru entitățile aflate în domeniul OUG nr. 155/2024, sunt prevăzute politici și proceduri de evaluare a eficacității măsurilor. Tabelul nostru este o recomandare de lucru, nu formatul impus de act. OUG nr. 155/2024, art. 13 lit. (b). Vezi cum se leagă documentele și dovezile în Cremene și cum pregătești materialele pentru audit.