Бизнес стойността на сигурността и съответствието

Сигурността и съответствието създават бизнес стойност по няколко различни пътя: като помагат на клиентите да вземат решения за покупка, намаляват повтарящата се работа, подобряват устойчивостта, изпълняват приложимите задължения и правят управленските решения по-защитими. Отделното измерване на тези пътища създава по-силна инвестиционна обосновка от общото обещание за по-бърз растеж.

От гледна точка на главния изпълнителен директор въпросът не е дали сигурността може да гарантира, че нищо няма да се обърка. Тя не може. Въпросът е дали организацията защитава това, което има значение, изпълнява ангажиментите си и създава достоверни доказателства на цена, съразмерна на бизнеса ѝ.

Това изисква ръководството да разграничава задължителната работа от доброволните подобрения, реалните икономии от освободения капацитет и търговските възможности от вече реализираните приходи.

Започнете с разграничаване на сигурността, съответствието и увереността

Сигурността е работата по защита на системите, информацията и услугите срещу относимите заплахи. Съответствието означава изпълнение на приложимите правни, договорни или произтичащи от рамки изисквания. Увереността са доказателствата, които помагат на някой друг да прецени дали тези ангажименти се изпълняват.

Тези дейности се припокриват, но не са взаимозаменяеми. Тест за възстановяване повишава доверието във възстановяването. Документираният резултат от теста осигурява увереност. Дали тестът изпълнява конкретно задължение, зависи от изискването, обхвата и качеството на доказателствата.

Сертификатът по ISO/IEC 27001 се отнася до система за управление на информационната сигурност с определен обхват и се издава от независим сертифициращ орган. Докладът по SOC 2 е доклад за атестация, а не сертифициране. Нито един от тях не установява, че всеки продукт, дъщерно дружество или дейност по обработване отговаря на всеки приложим закон.

За ръководството това разграничение предотвратява две скъпи грешки: купуване на удостоверение без отстраняване на основните слабости и изграждане на полезни контроли, без те да станат разбираеми за клиентите или проверяващите.

Използвайте проста карта на стойността, преди да одобрите програма:

Това са отделни категории за измерване, а не пет ползи, които да се събират автоматично.

Увереност на клиентите: направете доверието проверимо

Купувачът, който оценява дадена услуга, се нуждае от повече от значка. Той трябва да разбере какво прави услугата, какви данни обработва, как са разпределени отговорностите и дали съответните контроли функционират на практика.

Полезният пакет за увереност може да включва описание на услугата, обхвата на наличния сертификат или доклад, прегледан обзор на сигурността, съответната договорна информация и отговори на повтарящи се въпроси. Чувствителните доказателства трябва да имат контролиран достъп, вместо да се публикуват безразборно.

Търговската полза зависи от купувача. Един потенциален клиент може да изисква независимо оценена система за управление. Друг може да приеме преки доказателства за конкретни контроли. Трети може да се нуждае от договорни ангажименти, план за отстраняване или пояснение относно изключена услуга. Попитайте какво ще удовлетвори прегледа, преди да инвестирате в артефакт, който не отговаря на възражението.

Измервайте триенето, свързано със сигурността, а не целия цикъл на продажбите

Запишете кога започва прегледът на сигурността, кога е предоставен пълен отговор и кога купувачът го приема. Записвайте отделно времето за изчакване на купувача, правните преговори, одобрението на цените и оценката на продукта.

Полезните показатели включват:

• Време за предоставяне на първоначален, прегледан отговор.
• Повторни искания, причинени от непълни или остарели отговори.
• Възможности, забавени конкретно поради липсваща увереност.
• Възможности, отхвърлени поради документирано изискване за сигурност.
• Вътрешни часове, необходими за един преглед.

Сравнявайте сходни клиентски сегменти и сложност на сделките. Ако в извадката влязат по-малки купувачи, средното време за отговор може да намалее без никакво подобрение на процеса.

Сертификатът може да изпълни условие за покупка, без да гарантира приходи или да премахне по-нататъшната дължима проверка. Описвайте потенциалните сделки като „подлежащи на това изискване за увереност“, а не като „приходи, генерирани от сертифицирането“. Продажбите, съответствието на продукта с нуждите, цените и капацитетът за внедряване продължават да имат значение.

Публичните твърдения също се нуждаят от собственик. Ако маркетингът заявява, че всички клиентски данни са криптирани или че сертификатът обхваща дадена услуга, някой трябва да провери формулировката спрямо действителното внедряване и обхват. Прекалено широкото твърдение създава ангажимент, който оперативният екип може да не е в състояние да изпълни.

Оперативен капацитет: отчитайте работата, която изчезва

Работата по съответствието става скъпа, когато едни и същи доказателства се събират, тълкуват и обясняват многократно. Въпросник от клиент, вътрешен преглед и външен одит може да питат за управлението на достъпа, но всеки пристига с различна формулировка и срокове.

Споделените, прегледани записи могат да намалят дублирането. Активът за многократна употреба не е просто файл: това са доказателства, свързани с изискване, определен обхват, собственик, дата за преглед и заключение за това какво доказват.

Например запис от преглед на достъпа може да подкрепи няколко искания, ако ясно посочва прегледаните системи, проверяващия, констатациите и предприетите действия. Той не може автоматично да докаже, че всяка система има подходящ достъп. Повторната употреба изисква проверка на относимостта и актуалността.

Определете изходна база за четири дейности: събиране на доказателства, обясняването им, прегледа им и актуализирането им. След това включете разходите за внедряване, обучение, абонаменти и текуща администрация, когато оценявате икономиите. Преместването на работата по събиране в нов инструмент, докато отговорностите за прегледа остават неясни, може да прехвърли разходите, вместо да ги намали.

Освободеният инженерен капацитет има стойност дори когато разходите за заплати не намаляват. Докладвайте ползата точно:

• Допълнителен капацитет: съществуващите служители могат да отделят повече време за друга работа.
• Избегнати разходи: планирано назначение или външен ангажимент вече не е необходим.
• Парични икономии: даден разход действително изчезва.

Не отчитайте и трите за едни и същи часове. Нашето ръководство за възвръщаемостта на автоматизацията предлага конкретно изчисление за тази оперативна част от бизнес обосновката.

Устойчивост: финансирайте резултатите, които имат значение за бизнеса

Една организация може да има подредена документация и въпреки това да не е в състояние да възстанови критична услуга. Затова инвестициите в устойчивост трябва да започват от бизнес зависимостите, а не от броя на написаните политики.

Идентифицирайте услугите, чието прекъсване би попречило на доставката, би разкрило чувствителна информация или би подкопало договорни ангажименти. Попитайте от кои системи, доставчици, хора и данни зависят тези услуги. След това преценете какво реално би изисквало възстановяването.

Ръководството трябва да получава доказателства като резултати от тестове за възстановяване, констатации от упражнения за инциденти, нерешени проблеми с достъпа и резултати от отстраняването. Съобщение за успешно архивиране не е равностойно на успешно възстановяване. План за инциденти не е равностойно на това екипът да знае кой може да разреши спешни действия.

Полезните управленски въпроси включват:

• Постигнал ли е тестът целта за възстановяване, договорена за тази услуга?
• Коя зависимост е попречила на възстановяването или е забавила упражнението?
• Кой е собственик на коригиращото действие и кога то ще бъде тествано отново?
• Каква експозиция остава, докато действието е отворено?

Избягвайте представянето на хипотетични избегнати инциденти като реализирани икономии. Анализът на сценарии може да подкрепи инвестиционните решения, но допусканията за вероятността, продължителността и въздействието трябва да остават изрични. Използвайте диапазони и посочвайте несигурността, вместо да приписвате точна парична възвръщаемост на инцидент, който не се е случил.

Период без инциденти не доказва, че контролите работят. И обратното, идентифицирането на слабости по време на упражнение е полезно доказателство, когато тези констатации водят до завършени подобрения.

Правни и договорни задължения: първо установете приложимостта

Някои разходи са необходими, защото организацията има приложимо задължение, а не защото носят положителна краткосрочна възвръщаемост. Ръководството все пак трябва да търси ефективно внедряване, но задължителната работа не може да бъде отхвърлена само защото търговската ѝ полза е трудно измерима.

Започнете с документирана оценка на приложимостта, обхващаща юридическите лица, местоположенията, услугите, обработването на данни, договорите с клиенти и съответните секторни правила. Определете отговорен собственик и потърсете правен или специализиран съвет, когато тълкуването е несигурно.

Съгласно ОРЗД задълженията зависят от дейностите по обработване и ролите на организацията. Член 28 определя изисквания към договорите между администратор и обработващ, а член 32 изисква сигурност, съответстваща на риска. Сертификатът не замества тези оценки, а договорът за обработване не решава всеки въпрос, свързан с международните предавания.

NIS2 е директива, която се прилага чрез националното право. Приложимостта зависи от сектора, размера, услугите и правилата за включване. Членове 20–23 уреждат надзора от страна на ръководството, мерките за управление на риска и докладването на значителни инциденти. Ръководителите трябва да проверят съответното национално транспониране, вместо да третират обобщение на ниво ЕС като пълна оперативна инструкция.

DORA обхваща предимно определени финансови субекти. Доставчиците на ИКТ услуги може да имат задължения към клиенти и по договори, а определените критични доставчици са обект на отделен режим на надзор. Не всеки стартъп, който доставя софтуер на банка, е пряко обвързан с всяко задължение по DORA.

Поддържайте регистър на задълженията, който посочва източника, обосновката за приложимост, собственика, доказателствата за внедряване и следващия повод за преглед. Когато контролите обслужват няколко изисквания, използвайте повторно внедряването и доказателствата, когато е уместно; не приемайте, че сходната формулировка прави правните задължения равностойни.

Инвеститори и партньори: намалете несигурността преди дължимата проверка

Инвеститорите, купувачите на дружества и стратегическите партньори може да проверяват сигурността и защитата на данните, защото слабостите могат да засегнат непрекъснатостта на услугите, задълженията, разходите за отстраняване и плановете за интеграция. Дълбочината на този преглед варира според сделката и бизнеса; тя не се определя само от етапа на финансиране.

Подгответе ограничен пакет за дължимата проверка: обхват на организацията и услугите, налични резултати от оценки, значими рискове, неотстранени констатации, история на инцидентите, съответни зависимости от доставчици и планирани разходи. Осигурете подходящи ограничения на достъпа до чувствителните материали.

Стойността е в по-ясното обяснение на бизнеса, а не в гарантирано увеличение на оценката. Известна слабост с достоверен собственик и финансиран план за третиране е по-лесна за оценка от уверено твърдение, опровергано от липсващи доказателства.

Ръководството трябва да оповестява съществените ограничения точно. Сертификат с определен обхват не обхваща автоматично придобито дружество, а доклад с констатации не бива да се представя като безусловно доказателство за сигурност.

Избирайте инвестиции около решенията, а не по каталог от удостоверения

Практическа препоръка е предложението за финансиране да се раздели на три нива:

1. Задължителни ангажименти: приложими задължения и договорни обещания, които трябва да бъдат изпълнени.
2. Третиране на съществени рискове: подобрения, свързани с критичните услуги и достоверни сценарии на отказ.
3. Търговски и оперативни подобрения: възможности за увереност и промени в процесите с измерими ползи.

За всяко предложение посочете обхвата, собственика, разходите, зависимостите, очаквания резултат и доказателствата, необходими при прегледа. Включете последиците от отлагането му. Проект за сертифициране може да зависи от действащи контроли и вътрешен преглед; краен срок от клиент не може да създаде липсваща история на функциониране на контролите.

По-ранното начало може да позволи подредено отстраняване и събиране на доказателства. Това не означава, че всяка млада компания се нуждае от всяка рамка. Приоритизирайте според действителните задължения, рисковете за услугите и целевите клиенти.

Не възнаграждавайте екипите само за бързото закриване на констатации. Приетият риск може да е легитимен, но трябва да посочва кой го е приел, бизнес обосновката, евентуалните компенсиращи мерки и кога решението изтича или трябва да бъде преразгледано.

Практически пример: ограничена бизнес обосновка

Да разгледаме илюстративна софтуерна компания, която подобрява процесите за прегледи от клиенти и повтарящите се процеси за доказателства. Цифрите по-долу са допускания, а не пазарни ориентири или обещания на Secani.

Годишната ѝ изходна база е 60 прегледа от клиенти по осем вътрешни часа всеки, плюс 12 вътрешни цикъла за доказателства по 20 часа всеки: общо 720 часа.

Предложеният процес използва прегледани отговори, свързани доказателства, посочени собственици и планирани актуализации. Компанията приема, че прегледите от клиенти намаляват до четири часа всеки, а вътрешните цикли до десет часа всеки: 360 часа, включително рутинната поддръжка на доказателствата.

При предполагаема пълна цена на труда от 80 € на час освободените 360 часа представляват 28 800 € годишна стойност на капацитета. Да приемем 12 000 € повтарящи се външни разходи и 10 000 € еднократни разходи за внедряване. Следователно моделираната икономическа полза за първата година е 6800 €. Следващите години биха били различни, а промените в натоварването биха могли да обезсилят допусканията.

Това не е автоматично парична икономия. Заплатите остават непроменени, освен ако даден разход не бъде действително премахнат. Финансовият отдел трябва също да провери дали трудът по внедряването и текущата администрация са включени веднъж, вместо да са пропуснати или отчетени двукратно.

В търговски план компанията записва кои възможности изискват подобрена увереност, но не добавя пълната стойност на договорите им към оперативната възвръщаемост. По отношение на устойчивостта тя проследява отделно резултатите от възстановяването и просроченото отстраняване, вместо да приписва спекулативни икономии от избегнати загуби.

След първоначален период на преглед ръководството сравнява действителните часове с допусканията. Ако подготовката на отговорите се подобри, но купувачите все още чакат липсващ технически контрол, следващото решение е за този контрол, а не за още автоматизация на въпросниците.

Превърнете обосновката в процес с ясна отговорност

Започнете с един процес за прегледи от клиенти и един повтарящ се вътрешен процес. Запишете изходната база, определете ограничено подобрение, посочете собственик и проверяващ и определете период за преглед. Дръжте търговските, оперативните и свързаните със сигурността резултати отделно в управленските отчети.

Secani подкрепя този подход, като свързва изисквания, доказателства, собственици, задачи и решения от прегледи в работно пространство за ISMS. Екипът може да започне с една услуга, да моделира нейните системи и зависимости, да свърже съществуващите доказателства със съответните изисквания и да превърне пропуските във възложена работа. Предложенията с помощта на ИИ остават чернови за човешки преглед, като източниците и одобренията остават проследими.

Следващата стъпка за ръководството е фокусиран преглед: кое условие за покупка е нерешено, коя повтаряща се работа може да бъде намалена и за кой съществен риск липсва решение? Одобрявайте работа спрямо тези въпроси, след което проверявайте доказателствата за напредък. Така сигурността и съответствието се превръщат в управлявана бизнес инвестиция, а не в недиференциран бюджетен ред.