A megfelelési projektek leggyakoribb hibája, hogy a szervezet azonnal a megoldásokba kezd. Szabályzatokat ír és eszközöket vásárol, mielőtt tisztázná, hol is áll valójában. A gap-analízis (hézagelemzés) ezt a vakfoltot szünteti meg: objektíven felméri a jelenlegi állapotot a célkövetelményekhez képest, és priorizált teendőlistát ad. Ebben a cikkben végigvesszük a módszertant lépésről lépésre.
Mi az a gap-analízis és miért az első lépés?
A gap-analízis a jelenlegi és a kívánt (megfelelő) állapot közötti különbség módszeres feltárása. Egyszerűen fogalmazva: megmutatja, hol tart ma a szervezet, és mit kell még megtennie ahhoz, hogy egy adott követelményrendszernek megfeleljen, legyen szó akár a NIS2 felkészítés, akár az ISO/IEC 27001 elvárásairól.
Azért ez az első, megkerülhetetlen lépés, mert e nélkül minden további döntés megalapozatlan. A gap-analízis nélkül a szervezet:
- nem tudja reálisan megbecsülni a megfelelés idő- és költségigényét,
- a legkockázatosabb hiányosságok helyett gyakran a könnyen láthatókat orvosolja,
- párhuzamos, felesleges munkát végez ott, ahol már megfelelő kontroll működik.
A gap-analízis tehát nem öncélú audit, hanem a teljes megfelelési projekt térképe és költségvetésének alapja.
Mit mérünk fel egy gap-analízis során?
Azt mérjük fel, hogy a meglévő kontrollok, folyamatok és bizonyítékok mennyiben fedik le a célkövetelmény-katalógus egyes pontjait. A felmérés három rétegre terjed ki:
- Irányítási réteg: szabályzatok, eljárásrendek, szerepkörök, felelősségek, vezetői elkötelezettség és kockázatkezelési keretrendszer.
- Folyamati réteg: incidenskezelés, jogosultságkezelés, beszállító-menedzsment, változáskezelés, üzletmenet-folytonosság és ezek tényleges működése.
- Technikai réteg: naplózás, titkosítás, többfaktoros hitelesítés, mentés és helyreállítás, hálózati szegmentáció és a beállítások konfigurációs valósága.
Fontos elv: nem azt nézzük, mi van leírva, hanem azt, mi működik a gyakorlatban. Egy „polcra dolgozó” szabályzat önmagában nem bizonyíték a megfelelésre.
Hogyan zajlik egy gap-analízis?
A gap-analízis hat, egymásra épülő lépésből áll. A módszertan akkor is azonos, ha a célkeret a NIS2, az ISO 27001 vagy a DORA, hiszen ilyenkor csak a követelmény-katalógus változik.
1. Hatókör és cél kijelölése
Először tisztázzuk, mire terjed ki a vizsgálat: mely szervezeti egységek, telephelyek, rendszerek és vagyonelemek tartoznak bele, és mi a cél (tanúsítás, hatósági megfelelés, érettség-növelés). A jól megválasztott hatókör kulcskérdés, mert sem túl tág, sem túl szűk nem lehet.
2. Követelmény-katalógus kiválasztása
A célhoz illesztjük a mércét. ISO 27001 esetén az A. melléklet (Annex A) kontrolljai és a szabvány fő követelményei, NIS2 esetén a kockázatkezelési intézkedéscsomag, DORA esetén az IKT-kockázatkezelési és rezilienciakövetelmények adják a referenciát.
3. Bizonyíték-gyűjtés
Az értékelés alapja a tényadat, amelyet három csatornán gyűjtünk:
- Interjúk a folyamatgazdákkal és a vezetőkkel a tényleges működésről,
- dokumentum-átvizsgálás (szabályzatok, naplók, jegyzőkönyvek, szerződések),
- technikai felmérés (konfigurációk, jogosultságok, naplózás, rendszerbeállítások).
4. Megfelelési szint értékelése kontrollonként
Minden kontrollt egységes skálán pontozunk a begyűjtött bizonyítékok alapján. Ez teszi a gap-analízist objektívvé és ismételhetővé:
| Megfelelési szint | Jelentés | Tipikus jellemző |
|---|---|---|
| Nincs | A kontroll hiányzik | nincs szabályzat, folyamat vagy eszköz |
| Részleges | Kezdeti, hiányos | van elv, de nem rendszeres vagy nem dokumentált |
| Nagyrészt | Működik, kis hézagokkal | bevezetett, de nem teljes körű vagy nem tesztelt |
| Teljes | Megfelel és bizonyítható | dokumentált, működő, igazolható kontroll |
5. Hiányosságok priorizálása
A feltárt gap-eket nem érkezési sorrendben, hanem kockázat és ráfordítás szerint rendezzük (lásd a következő szakaszt).
6. Akcióterv és ütemterv
Végül minden hiányossághoz konkrét teendő, felelős, becsült ráfordítás és határidő társul. Ez az ütemterv lesz a megfelelési projekt vezérfonala.
Hogyan priorizáljuk a hiányosságokat?
A gap-eket két tengely mentén súlyozzuk: mekkora kockázatot jelent a hiányosság, és mekkora ráfordítást igényel a megszüntetése. A kettő metszéspontja adja a sorrendet.
| Alacsony ráfordítás | Magas ráfordítás | |
|---|---|---|
| Magas kockázat | 1. Azonnal, gyors győzelemként | 2. Tervezett, kiemelt projekt |
| Alacsony kockázat | 3. Ütemezetten, ráérősen | 4. Mérlegelendő / elhalasztható |
A logika egyszerű. A magas kockázatú, alacsony ráfordítású tételek a „gyors győzelmek”: ezekkel kezdünk, mert kis befektetéssel nagy kockázatcsökkenést hoznak. A magas kockázatú, de erőforrás-igényes feladatok dedikált projektet kapnak. Az alacsony kockázatú tételek várhatnak, vagy üzleti döntés alapján akár el is maradhatnak.
A gap-analízis igazi értéke nem a hibalista, hanem a sorrend: megmutatja, hogy a korlátos erőforrásokat hová tegye, hogy a legtöbb kockázatot a legkevesebb ráfordítással csökkentse.
Mi a gap-analízis kimenete?
A kimenet egy döntéstámogató dokumentumcsomag, amelyből a vezetőség azonnal cselekedni tud. Tipikusan a következőket tartalmazza:
- Megfelelési pillanatkép: kontrollonkénti értékelés és összesített érettségi szint,
- Priorizált gap-lista: kockázat–ráfordítás mátrix szerint rendezve,
- Akció- és ütemterv: felelősökkel, becsült ráfordítással, határidőkkel,
- Vezetői összefoglaló: a fő kockázatokról és a következő lépésekről.
Ez a kimenet adja a projekt költségkeretét és menetrendjét. A NIS2 esetében külön hasznos, mert a súlyos incidensek bejelentésére szigorú, lépcsőzetes határidők vonatkoznak (24 óra korai figyelmeztetés, 72 óra incidensbejelentés, 1 hónap záró jelentés). A felelősök és folyamatok hiánya itt azonnal látható gapként jelentkezik.
Mekkora a tét, ha kihagyjuk a felmérést?
A megalapozatlanul indított megfelelési projekt drágább és kockázatosabb. A NIS2 esetében a mulasztás nem elméleti: a bírság felső határa az alapvető szolgáltatóknál elérheti a 10 millió eurót vagy az éves árbevétel 2%-át (a kettő közül a magasabbat), és a felső vezetés személyesen is felelősségre vonható. Egy objektív gap-analízis pontosan megmutatja, mekkora a kitettség, és mit kell tenni a csökkentéséhez. Erről bővebben a NIS2 visszaszámlálás cikkben írtunk.
Hogyan segít a zemITis?
A Zemitis Advisory Kft. tanácsadói CISA, CISM, valamint ISO 27001 és ISO 42001 Lead Auditor minősítéssel végzik a gap-analízist, objektív, ismételhető módszertannal, négy-szem-elv alapú minőségbiztosítással. A felméréstől a priorizált akciótervig végigvisszük a folyamatot, és igény esetén a teljes megfelelést is támogatjuk akár kiszervezett IBF szolgáltatás formájában. Kezdje a NIS2 felkészítés vagy az ISO/IEC 27001 oldalon, ahol díjmentes konzultáción átbeszéljük a következő lépéseket.