GRC i Zgodność

System klasy GRC to narzędzie, w którym organizacja trzyma w jednym miejscu rejestr ryzyk, wymagania regulacyjne, polityki, zadania naprawcze i dowody ich wykonania. Nazwa łączy trzy warstwy: ład organizacyjny opisuje role i decyzje, zarządzanie ryzykiem odpowiada za identyfikację i ocenę zagrożeń, a zgodność przypisuje wymagania do konkretnych zabezpieczeń. Wartość bierze się z powiązań między nimi, bo jedno zabezpieczenie zamyka wtedy kilka wymagań naraz.

Poza dokumentacją projekt obejmuje pracę, która sprawia, że system zaczyna działać: inwentaryzację aktywów i procesów, warsztaty analizy ryzyka z właścicielami, przypisanie odpowiedzialności i uzupełnienie brakujących zabezpieczeń. Konsultant uczy osoby, które będą prowadzić rejestry i przeglądy, a potem przeprowadza audyt wewnętrzny, żeby wyłapać niezgodności przed jednostką certyfikującą. Część zakresu zostaje po stronie kupującego, bo dowodów nie da się kupić.

Do audytu certyfikacyjnego można podejść dopiero wtedy, gdy system zdążył wytworzyć dowody: wykonane przeglądy, obsłużone incydenty i audyt wewnętrzny. Napisanie dokumentacji idzie szybko, a o kalendarzu decyduje czekanie na te zapisy. Reszta zależy od wielkości zakresu, liczby lokalizacji i tego, ile czasu właściciele procesów naprawdę dostaną na wywiady i poprawki. Sam audyt certyfikacyjny ma dwa etapy, przegląd dokumentacji i ocenę na miejscu.

Obowiązki z NIS2 dotyczą środków zarządzania ryzykiem i obsługi incydentów, a nie posiadania konkretnego certyfikatu. ISO 27001 bywa najwygodniejszą drogą do wykazania tych środków, bo daje gotową strukturę i dowody, ale pozostaje wyborem, nie nakazem. Szczegóły wynikają z dyrektywy i z krajowych przepisów wdrażających, a te bywają zmieniane, więc stan prawny sprawdź na dzień podpisania umowy.

W firmie na kilkanaście osób system prowadzi zwykle jedna osoba łącząca tę rolę z inną pracą, a rejestr ryzyk pozostaje krótki. Ograniczeniem staje się wtedy niezależność, bo autor procedury nie powinien oceniać jej w audycie wewnętrznym, więc tę rolę trzeba kupić albo powierzyć komuś spoza obszaru. W dużej organizacji dokumentów jest więcej, ale trudniejsze okazuje się uzgodnienie właścicieli procesów między działami.

Najwięcej czasu oszczędza wskazanie jednej osoby decyzyjnej, która ustali zakres i rozstrzygnie spory między działami. Zbierz to, co już istnieje: spis systemów i danych, listę dostawców z umowami, dotychczasowe polityki i zapisy z incydentów, nawet niekompletne. Zarezerwuj w kalendarzach właścicieli procesów czas na wywiady, bo od nich zależy tempo prac. Ustal także cel projektu, bo on przesądza o zakresie.

Wynik analizy luki służy do podjęcia trzech decyzji: co wchodzi w zakres systemu, co naprawiacie własnymi siłami, a co kupujecie na zewnątrz. Braki uszereguj według ryzyka i według tego, czy blokują audyt, bo część zamyka się uzasadnieniem w deklaracji stosowania, a część wymaga wdrożenia zabezpieczenia. Każdej pozycji przypisz właściciela i termin, inaczej lista wróci w tym samym kształcie.

Najprostszy sprawdzian to pytanie, czy dowody powstają same, bez akcji ratunkowej tuż przed audytem. Działający system widać po przeglądach ryzyka wykonanych w terminie, po zadaniach naprawczych z właścicielem i datą zamknięcia oraz po incydentach rejestrowanych i zamykanych zgodnie z procedurą. Dobrym testem jest też ankieta kontrahenta wypełniona z istniejącej dokumentacji, bez zbierania materiałów po całej firmie.

Odpowiedzialność za zgodność zostaje po stronie organizacji i jej kierownictwa, bo adresatem przepisów jest podmiot, a nie doradca. Konsultant odpowiada wobec Ciebie za jakość swojej pracy na zasadach z umowy, dlatego zapisz w niej, co dzieje się przy niezgodnościach z audytu i kto ponosi koszt ich zamknięcia. Jednostka certyfikująca odpowiada za własną ocenę i musi pozostać niezależna.

Przy małym budżecie najwięcej daje zawężenie zakresu do procesów i systemów, które faktycznie obsługują usługę albo dane objęte wymaganiem. Kup analizę luki i analizę ryzyka, dokumentację napisz wewnętrznie na podstawie tych ustaleń, a u doradcy zamów jej przegląd i poprawki. Jeśli certyfikatu nie zażąda żaden kontrahent ani przepis, system można prowadzić bez certyfikacji i oszczędzić opłatę jednostki.