Πέρα από τους πίνακες αντιστοίχισης σε υπολογιστικά φύλλα

Οι οργανισμοί σπάνια λειτουργούν με ένα μόνο πλαίσιο κυβερνοασφάλειας. Ένας πάροχος SaaS μπορεί να επιδιώκει πιστοποίηση ISO 27001, να λαμβάνει αιτήματα πελατών για έκθεση SOC 2 και να έχει υποχρεώσεις βάσει του ΓΚΠΔ για τις δραστηριότητες επεξεργασίας του. Μπορεί επίσης να εφαρμόζεται η Οδηγία NIS2, ανάλογα με τις υπηρεσίες, τον τομέα, το μέγεθος και την εθνική ενσωμάτωση. Ένας προμηθευτής του αμυντικού τομέα αντιμετωπίζει διαφορετικό συνδυασμό προτύπων και συμβατικών απαιτήσεων, αλλά συναντά το ίδιο πρόβλημα μηχανικής: αλληλεπικαλυπτόμενες απαιτήσεις που διαχειρίζονται ως ασύνδετες εργασίες.

Οι πίνακες αντιστοίχισης σε υπολογιστικά φύλλα βοηθούν στον εντοπισμό αυτής της επικάλυψης. Γίνονται λιγότερο αξιόπιστοι όταν μια γραμμή που λέει «σχετικό» ερμηνεύεται ως «ικανοποιείται» ή όταν κανείς δεν μπορεί να εξηγήσει ποιες εκδόσεις εγγράφων συγκρίθηκαν.

Ο τεχνικός στόχος δεν είναι να εξαλειφθεί η λεπτομέρεια κάθε πλαισίου. Είναι να δημιουργηθεί ένα επαναχρησιμοποιήσιμο επίπεδο αντιστοιχίσεων που τη διατηρεί: τι μπορεί να μοιραστεί, τι παραμένει ακάλυπτο, από πού προήλθε η σχέση και ποιος την επισκόπησε.

Δύο πρωτοβουλίες του NIST αντιμετωπίζουν διαφορετικά μέρη αυτού του προβλήματος: το National Online Informative References Program, γνωστό ως OLIR, και το OSCAL Control Mapping Model. Η κατανόηση των ρόλων τους βοηθά τις ομάδες να περάσουν από στατικούς πίνακες αντιστοίχισης σε συντηρήσιμη υποδομή συμμόρφωσης.

Ξεκινήστε διαχωρίζοντας απαιτήσεις, δικλίδες και τεκμήρια

Πολλά έργα αντιστοίχισης αποτυγχάνουν επειδή τοποθετούν τρία διαφορετικά αντικείμενα στην ίδια στήλη ενός υπολογιστικού φύλλου.

Μια απαίτηση περιγράφει μια υποχρέωση, προσδοκία ή επιδιωκόμενο αποτέλεσμα από ένα έγγραφο πηγής. Μια δικλίδα περιγράφει την απόκριση του οργανισμού: μια δραστηριότητα, έναν τεχνικό μηχανισμό ή μια διαδικασία διαχείρισης. Τα τεκμήρια υποστηρίζουν ένα συμπέρασμα για το αν αυτή η απόκριση υπάρχει και λειτουργεί όπως προβλέπεται.

Για παράδειγμα, πολλά πλαίσια μπορεί να αφορούν τη διαχείριση πρόσβασης. Μια δικλίδα του οργανισμού μπορεί να απαιτεί τριμηνιαίες επισκοπήσεις της προνομιακής πρόσβασης σε όλο το παραγωγικό περιβάλλον. Τα τεκμήρια μπορεί να περιλαμβάνουν την επισκοπημένη απογραφή λογαριασμών, αρχεία εγκρίσεων, αιτήματα εξαιρέσεων και απόδειξη ότι αφαιρέθηκαν ακατάλληλα δικαιώματα.

Αυτά τα αντικείμενα χρειάζονται ξεχωριστές σχέσεις:

• Οι αντιστοιχίσεις απαίτησης προς απαίτηση εντοπίζουν επικαλύψεις μεταξύ εγγράφων πηγής.
• Οι αντιστοιχίσεις απαίτησης προς δικλίδα περιγράφουν πώς ο οργανισμός ανταποκρίνεται σε μια προσδοκία.
• Οι σχέσεις δικλίδας προς σύστημα καθορίζουν πού λειτουργεί η υλοποίηση.
• Οι σχέσεις τεκμηρίων δείχνουν τι υποστηρίζει μια υλοποίηση ή ένα συμπέρασμα αξιολόγησης.

Ένας δημοσιευμένος πίνακας αντιστοίχισης βοηθά κανονικά με την πρώτη σχέση. Δεν θεμελιώνει τις άλλες τρεις.

Η διάκριση αυτή αποτρέπει επίσης ακατάλληλες συγκρίσεις μεταξύ διαφορετικών ειδών διασφάλισης. Το ISO 27001 αφορά ένα σύστημα διαχείρισης ασφάλειας πληροφοριών με καθορισμένο πεδίο. Το SOC 2 είναι έκθεση βεβαίωσης, όχι πιστοποίηση. Ο ΓΚΠΔ επιβάλλει υποχρεώσεις ανάλογα με τις δραστηριότητες επεξεργασίας και τους ρόλους του οργανισμού. Ένα πιστοποιητικό ή μια έκθεση δεν αποδεικνύει συμμόρφωση με τον κανονισμό.

Επομένως, το πεδίο πρέπει να συνοδεύει την απόφαση αντιστοίχισης. Μια επισκόπηση πρόσβασης στο παραγωγικό περιβάλλον μπορεί να υποστηρίζει μια αξιολόγηση της υπηρεσίας SaaS, χωρίς να λέει τίποτα για μια θυγατρική που εξαιρείται ή για ένα άσχετο σύστημα ανθρώπινου δυναμικού. Η παρόμοια διατύπωση δεν μπορεί να γεφυρώσει αυτό το όριο.

Τι προσφέρει το OLIR: γνώση αντιστοιχίσεων με πλαίσιο

Το OLIR παρέχει έναν τυποποιημένο τρόπο με τον οποίο οι ειδικοί του αντικειμένου περιγράφουν σχέσεις μεταξύ στοιχείων εγγράφων αναφοράς και υποστηριζόμενων εστιακών εγγράφων του NIST. Τα εστιακά έγγραφα μπορεί να περιλαμβάνουν το NIST Cybersecurity Framework, το NIST SP 800-53 ή το NIST AI Risk Management Framework.

Μια πληροφοριακή αναφορά μπορεί να συνδέει μια απαίτηση του κλάδου με μια υποκατηγορία (Subcategory) του NIST CSF 2.0. Πρόκειται για ισχυρισμό σχετικά με τη σχέση αυτών των στοιχείων, όχι για τεκμήριο ότι ένας οργανισμός έχει υλοποιήσει οποιοδήποτε από αυτά.

Το πρόγραμμα προσθέτει χρήσιμο πλαίσιο γύρω από αυτούς τους ισχυρισμούς:

• Υποδείγματα και συμβάσεις για τα υποστηριζόμενα εστιακά έγγραφα
• Μεταδεδομένα που προσδιορίζουν τα αντιστοιχισμένα έγγραφα και τον οργανισμό που τα υπέβαλε
• Έναν κεντρικό δημόσιο κατάλογο
• Καταστάσεις δημοσίευσης ως προσχέδιο και ως τελική
• Μια διαδικασία δημόσιας διαβούλευσης
• Πληροφορίες για το αν ο υποβάλλων είναι ο κάτοχος ενός αντιστοιχισμένου εγγράφου ή τρίτο μέρος

Το NIST διακρίνει τρία στυλ αντιστοίχισης OLIR: εννοιολογικούς πίνακες αντιστοίχισης (concept crosswalks), αντιστοιχίσεις σχέσεων θεωρίας συνόλων (set-theory relationship mappings) και αντιστοιχίσεις υποστηρικτικών σχέσεων (supportive relationship mappings). Οι σκοποί τους διαφέρουν. Ένας εννοιολογικός πίνακας αντιστοίχισης μπορεί να βοηθήσει τους ανθρώπους να πλοηγηθούν σε συναφείς ιδέες, ενώ μια σχέση θεωρίας συνόλων μπορεί να εκφράσει έναν πιο συγκεκριμένο ισχυρισμό για το πώς επικαλύπτονται δύο στοιχεία.

Για τον σχεδιασμό της υλοποίησης, η διαφορά αυτή έχει σημασία. Η διαπίστωση «αυτά τα στοιχεία αφορούν την αντιμετώπιση περιστατικών» είναι χρήσιμη για τον εντοπισμό, αλλά δεν αρκεί για να κριθεί αν μια διαδικασία καλύπτει τις προϋποθέσεις αναφοράς, τους παραλήπτες ή τις προθεσμίες μιας άλλης απαίτησης.

Αντιμετωπίστε την κατάσταση δημοσίευσης και τη συγγραφή μιας αντιστοίχισης OLIR ως δεδομένα εισόδου για την επισκόπηση. Μια αντιστοίχιση που ανήκει στον εκδότη του εγγράφου μπορεί να προσφέρει πολύτιμη εικόνα για το επιδιωκόμενο νόημα, αλλά η συνάφειά της εξακολουθεί να εξαρτάται από τις εκδόσεις και το πεδίο που εξετάζονται. Η τελική δημοσίευση δεν πρέπει να μεταφράζεται σε εσωτερικό συμπέρασμα ότι κάθε αντιστοιχισμένη υποχρέωση ικανοποιείται.

Το παραδοτέο από την άντληση υλικού OLIR πρέπει να είναι ένα μητρώο πηγών: η αναφορά που χρησιμοποιήθηκε, η κατάστασή της, οι εκδόσεις των εγγράφων, ο συντάκτης, η ημερομηνία ανάκτησης και η προβλεπόμενη χρήση. Κρατήστε το πρωτότυπο μαζί με οποιαδήποτε κανονικοποιημένη αναπαράσταση, ώστε οι ελεγκτές να μπορούν να ανασυνθέσουν την εισαγωγή.

Τι προσφέρει το OSCAL: ένα υπολογίσιμο μοντέλο σχέσεων

Το OSCAL, η Open Security Controls Assessment Language, παρέχει μηχαναγνώσιμα μοντέλα για καταλόγους δικλίδων, προφίλ, σχέδια ασφάλειας συστημάτων, σχέδια αξιολόγησης, αποτελέσματα αξιολόγησης και συναφείς πληροφορίες συμμόρφωσης. Ο ευρύτερος σκοπός του είναι να κάνει την τεκμηρίωση ασφάλειας δομημένη και ανταλλάξιμη, αντί να εξαρτάται από τη διάταξη των εγγράφων.

Το OSCAL Control Mapping Model αναπαριστά σχέσεις μεταξύ δικλίδων και στοιχείων δικλίδων από έγγραφα πηγής. Υποστηρίζει μηχαναγνώσιμες αναπαραστάσεις σε JSON, YAML ή XML, συμπεριλαμβανομένων σχέσεων σε επίπεδο λεπτομέρειας χαμηλότερο από μια ολόκληρη δικλίδα.

Το λεξιλόγιο σχέσεων του μοντέλου περιλαμβάνει τα equal-to, equivalent-to, subset-of, superset-of, intersects-with και no-relationship. Αυτά δεν πρέπει να γίνουν εναλλάξιμες ετικέτες για το «περίπου παρόμοιο».

Η κατεύθυνση έχει σημασία. Μια πηγή που είναι υποσύνολο ενός στόχου γίνεται υπερσύνολο όταν η σύγκριση αντιστραφεί. Ένα εργαλείο εισαγωγής που εναλλάσσει τις θέσεις των εγγράφων χωρίς να προσαρμόζει τη σχέση αλλάζει το νόημα.

Το μοντέλο μπορεί να διακρίνει βάσεις αντιστοίχισης όπως η συντακτική ομοιότητα, το σημασιολογικό περιεχόμενο και το λειτουργικό αποτέλεσμα. Δύο διατυπώσεις μπορεί να μοιράζονται ορολογία αλλά να απαιτούν διαφορετικές ενέργειες· διατυπώσεις με διαφορετική διατύπωση μπορεί να εξυπηρετούν παρόμοια λειτουργία ασφάλειας.

Μπορεί επίσης να αναπαραστήσει υποστηρικτικό πλαίσιο σχετικά με την προέλευση, τα υπεύθυνα μέρη, την κατάσταση, τον βαθμό βεβαιότητας, την κάλυψη, τα κενά και τις μεθόδους αντιστοίχισης. Ορισμένες λειτουργικές πληροφορίες μπορεί να ανήκουν στο περιβάλλον σύστημα επισκόπησης και όχι σε ένα συγκεκριμένο πεδίο του σχήματος. Ακολουθήστε την τεκμηρίωση του μοντέλου από το NIST για την αναπαράσταση που υλοποιείτε και καθηλώστε την έκδοση του μοντέλου ή του σχήματος που χρησιμοποιούν τα εργαλεία σας.

Μηχαναγνώσιμο δεν σημαίνει αυτόματα σωστό. Η επικύρωση σχήματος μπορεί να ελέγξει τη δομή και τις επιτρεπόμενες τιμές. Δεν μπορεί να διαπιστώσει αν η ερμηνεία δύο απαιτήσεων από έναν αναλυτή είναι ορθή.

Το OLIR και το OSCAL λύνουν διαφορετικά προβλήματα

Το OLIR είναι ένα πρόγραμμα, μια διαδικασία δημοσίευσης, ένας κατάλογος και μια πηγή ισχυρισμών αντιστοίχισης. Το OSCAL παρέχει μια τεχνική αναπαράσταση για την αποθήκευση, την ανταλλαγή και την επεξεργασία σχέσεων.

Επομένως, ένας οργανισμός μπορεί να χρησιμοποιεί το OLIR ως μία εξωτερική πηγή αντιστοιχίσεων και το OSCAL ως την κανονική εσωτερική του αναπαράσταση. Άλλες πηγές μπορεί να περιλαμβάνουν πίνακες αντιστοίχισης από τους εκδότες, κανονιστική ανάλυση, απαιτήσεις πελατών και εσωτερικά επισκοπημένες αντιστοιχίσεις ειδικών.

Το πεδίο του OSCAL είναι ευρύτερο από τη δομή υποβολών του OLIR, που είναι προσανατολισμένη στο NIST. Κατάλληλοι κατάλογοι ή προφίλ μπορούν να αναπαραστήσουν άμεσες σχέσεις, όπως IT-Grundschutz προς ISO 27001, Οδηγία NIS2 προς μια εσωτερική βιβλιοθήκη δικλίδων ή μια απαίτηση πελάτη προς μια δικλίδα του οργανισμού. Τέτοιες σχέσεις δεν πληρούν απαραίτητα τις προϋποθέσεις για υποβολή στο OLIR.

Μια πρακτική αρχιτεκτονική μοιάζει κάπως έτσι:

External and internal mapping sources
                 ↓
Source preservation and import
                 ↓
Document, version, and identifier resolution
                 ↓
Normalized mapping collections
                 ↓
Technical validation and expert review
                 ↓
Controls, implementations, evidence, and assessments
                 ↓
Gap analysis and change-impact work

Κρατήστε τους ισχυρισμούς των πηγών χωριστά από τις εσωτερικές αποφάσεις υιοθέτησης. Ένας εξωτερικός εκδότης μπορεί να ισχυρίζεται ισοδυναμία, ενώ ένας εσωτερικός ελεγκτής καταλήγει ότι μόνο μερική επαναχρησιμοποίηση είναι κατάλληλη για το πεδίο του οργανισμού. Διατηρήστε και τις δύο εγγραφές αντί να ξαναγράφετε σιωπηρά την εξωτερική αντιστοίχιση.

Δομήστε τη διαδικασία αντιστοίχισης γύρω από ρητές αποφάσεις

Επιλύστε την εφαρμοσιμότητα πριν συγκρίνετε διατυπώσεις

Ξεκινήστε με ένα μητρώο υποχρεώσεων και στόχων διασφάλισης. Για κάθε πηγή, καταγράψτε την εφαρμοστέα έκδοση, τον ρόλο του οργανισμού, τις επηρεαζόμενες υπηρεσίες, το γεωγραφικό πλαίσιο, το όριο της αξιολόγησης και τον λόγο συμπερίληψης.

Έτσι αποτρέπεται να εκληφθεί μια προσδοκία πελάτη ως νόμιμη υποχρέωση. Ένας πελάτης που υπάγεται στην Οδηγία NIS2 μπορεί να επιβάλλει απαιτήσεις για την εφοδιαστική αλυσίδα χωρίς να καθιστά τον προμηθευτή του άμεσα υπόχρεο βάσει της οδηγίας. Η εφαρμοσιμότητα της Οδηγίας NIS2 απαιτεί δική της ανάλυση βάσει της σχετικής εθνικής νομοθεσίας.

Ομοίως, μην προσθέτετε κάθε κατηγορία του SOC 2 απλώς επειδή υπάρχει. Καταγράψτε το επιδιωκόμενο πεδίο της ανάθεσης. Για το ISO 27001, διατηρήστε τις απαιτήσεις του συστήματος διαχείρισης, την αντιμετώπιση κινδύνων και τις αποφάσεις της Δήλωσης Εφαρμοσιμότητας αντί να περιορίζετε το πρότυπο σε μια λίστα ελέγχου του Παραρτήματος Α.

Το αποτέλεσμα είναι ένας πίνακας πεδίου που δείχνει στους ελεγκτές ποιες αντιστοιχίσεις θα μπορούσαν να είναι σχετικές πριν αφιερώσουν χρόνο στην ερμηνεία τους.

Κανονικοποιήστε τα έγγραφα χωρίς να χάσετε τη δομή τους

Επιλύστε κάθε εισαγόμενο αναγνωριστικό έναντι της σωστής έκδοσης του εγγράφου. Διατηρήστε την ιεραρχία των ρητρών, τα αναγνωριστικά δικλίδων, τα αναγνωριστικά διατυπώσεων όπου υπάρχουν και την αρχική θέση της αναφοράς.

Ένα χρήσιμο εσωτερικό κλειδί συνδυάζει την ταυτότητα του εγγράφου, την έκδοση και το αναγνωριστικό του στοιχείου. Μια ετικέτα εμφάνισης από μόνη της δεν είναι ασφαλής: πανομοιότυποι αριθμοί δικλίδων μπορεί να έχουν διαφορετικό νόημα σε διαφορετικές εκδόσεις ή δημοσιεύσεις.

Διασπάστε τις σύνθετες απαιτήσεις σε στοιχεία που μπορούν να επισκοπηθούν, όπου χρειάζεται. Αν μία παράγραφος απαιτεί πολιτική, ανατεθειμένες αρμοδιότητες, δοκιμές και αναφορά, μια ενιαία αντιστοίχιση ολόκληρης της παραγράφου μπορεί να κρύψει τρεις ακάλυπτες προσδοκίες. Διατηρήστε τη σχέση με το γονικό στοιχείο, ώστε οι χρήστες να μπορούν να ανασυνθέσουν το πλαίσιο της πηγής.

Σεβαστείτε τους όρους δημοσίευσης και αδειοδότησης όταν αποθηκεύετε κείμενο πηγής. Όπου η αποθήκευση του πλήρους κειμένου δεν είναι κατάλληλη, διατηρήστε τα επιτρεπόμενα αναγνωριστικά, τις αναφορές και τις πρωτότυπες αναλυτικές σημειώσεις.

Δημιουργήστε υποψήφιους και, στη συνέχεια, επισκοπήστε τους ισχυρισμούς

Η δημιουργία υποψηφίων μπορεί να αξιοποιεί υπάρχοντες πίνακες αντιστοίχισης, κοινή ορολογία, στόχους ασφάλειας ή ανάλυση με υποβοήθηση από ΤΝ. Το αποτέλεσμά της πρέπει να είναι μια ουρά επισκόπησης, όχι μια εγκεκριμένη συλλογή αντιστοιχίσεων.

Για κάθε ισχυρισμό με συνέπειες, οι ελεγκτές πρέπει να εξετάζουν τα πραγματικά στοιχεία και να καταγράφουν:

• Τύπο και κατεύθυνση της σχέσης
• Βάση της σύγκρισης
• Παραδοχές και περιορισμούς πεδίου
• Κοινές προσδοκίες και ακάλυπτες διαφορές
• Προέλευση της πηγής και μέθοδο αντιστοίχισης
• Ελεγκτή, απόφαση και ημερομηνία επισκόπησης

Ο βαθμός βεβαιότητας είναι χρήσιμος για την ιεράρχηση της επισκόπησης, αλλά δεν είναι ποσοστό κάλυψης. Ένας ελεγκτής μπορεί να είναι απολύτως βέβαιος ότι δύο απαιτήσεις επικαλύπτονται μόνο μερικώς. Κρατήστε τη βεβαιότητα για τον ισχυρισμό χωριστά από την κατάσταση υλοποίησης και την επάρκεια των τεκμηρίων.

Η απόρριψη ενός υποψηφίου είναι επίσης πολύτιμη. Η διατήρηση μιας τεκμηριωμένης απόφασης no-relationship βοηθά ώστε μελλοντικές εισαγωγές ή αυτοματοποιημένες προτάσεις να μην παρουσιάζουν ξανά και ξανά την ίδια παραπλανητική αντιστοιχία.

Επικυρώστε τόσο τη δομή όσο και το νόημα

Εκτελέστε τεχνικούς ελέγχους πριν από την έγκριση: μη επιλυμένες αναφορές, εκδόσεις που λείπουν, μη έγκυρες τιμές σχέσεων, διπλότυπα και απροσδόκητες αντιστροφές κατεύθυνσης πρέπει να είναι όλα ορατά.

Στη συνέχεια, διενεργήστε σημασιολογική επισκόπηση. Ρωτήστε αν η σχέση διατηρεί τον φορέα, την απαιτούμενη ενέργεια, το προστατευόμενο αντικείμενο, τον χρονισμό, τις προϋποθέσεις και το αναμενόμενο αποτέλεσμα. Για νομικές απαιτήσεις, εμπλέξτε κάποιον με τα προσόντα να αξιολογήσει την υποχρέωση αντί να βασίζεστε αποκλειστικά στην ομοιότητα στο πεδίο της ασφάλειας.

Χρησιμοποιήστε καταστάσεις ροής εργασιών όπως προτεινόμενη, υπό επισκόπηση, εγκεκριμένη για συγκεκριμένη χρήση, απορριφθείσα και αντικατασταθείσα. Πρόκειται για πρακτικές λειτουργικές συστάσεις, όχι για καθολικές νόμιμες απαιτήσεις. Μια έγκριση πρέπει να ορίζει τι επιτρέπει: εντοπισμό, σχεδιασμό, επαναχρησιμοποίηση τεκμηρίων ή υποστήριξη ενός συμπεράσματος αξιολόγησης.

Δοκιμάστε τις εισαγωγές και εξαγωγές ως συνιστώσες μηχανικής

Πριν εισαγάγετε κανονικοποιημένες αντιστοιχίσεις στις αναφορές, δημιουργήστε ένα μικρό σύνολο δεδομένων δοκιμών παλινδρόμησης με σκόπιμα δύσκολες περιπτώσεις: μια αντεστραμμένη σχέση υποσυνόλου, ένα μη επιλυμένο αναγνωριστικό διατύπωσης, δύο αντικρουόμενους ισχυρισμούς πηγών και μια αντιστοίχιση σε έκδοση που έχει αντικατασταθεί. Ορίστε το αναμενόμενο αποτέλεσμα για κάθε περίπτωση. Μια εισαγωγή πρέπει να θέτει σε καραντίνα τις ασαφείς εγγραφές αντί να επιλέγει σιωπηρά το έγγραφο που φαίνεται νεότερο ή να απορρίπτει τον αντικρουόμενο ισχυρισμό.

Δοκιμάστε επίσης τις επαναλαμβανόμενες εισαγωγές. Η εισαγωγή της ίδιας συλλογής δύο φορές δεν πρέπει να δημιουργεί διπλή εργασία ή να αντικαθιστά μια εσωτερική έγκριση. Χρησιμοποιήστε σταθερές ταυτότητες και διατηρήστε ιστορικό αναθεωρήσεων, ώστε ένας μεταβληθείς εξωτερικός ισχυρισμός να γίνεται γεγονός επισκόπησης και όχι αόρατη αντικατάσταση.

Για την ανταλλαγή, δοκιμάστε μια πλήρη διαδρομή μετ' επιστροφής: εξαγάγετε ένα εγκεκριμένο δείγμα, εισαγάγετέ το σε ένα καθαρό δοκιμαστικό περιβάλλον και συγκρίνετε αναγνωριστικά, κατεύθυνση, αιτιολόγηση και προέλευση. Αν τα μεταδεδομένα της ροής εργασιών δεν μπορούν να μεταφερθούν στην επιλεγμένη αναπαράσταση, τεκμηριώστε τη συνοδευτική μορφή και τους περιορισμούς της. Διαφορετικά, μια τεχνικά έγκυρη εξαγωγή μπορεί να χάσει ακριβώς το πλαίσιο που έκανε την αντιστοίχιση αξιόπιστη.

Πρόκειται για πρακτικές δικλίδες μηχανικής. Κάνουν την αυτοματοποίηση προβλέψιμη χωρίς να προσποιούνται ότι οι δοκιμές λογισμικού μπορούν να επικυρώσουν την υποκείμενη νομική ερμηνεία ή την ερμηνεία ασφάλειας.

Δημιουργήστε κοινές δικλίδες χωρίς να ισοπεδώνετε τα πλαίσια

Μόλις κατανοηθούν οι σχέσεις μεταξύ απαιτήσεων, ορίστε μια κοινή βιβλιοθήκη δικλίδων γύρω από πραγματικές λειτουργικές δραστηριότητες. Τομείς όπως η ταυτότητα, η διαχείριση ευπαθειών, η αντιμετώπιση περιστατικών, η διασφάλιση προμηθευτών και η ανάκαμψη είναι χρήσιμα σημεία εκκίνησης.

Κάθε δικλίδα χρειάζεται έναν υπόλογο υπεύθυνο και μια περιγραφή υλοποίησης που μπορεί να εκτελέσει ένας άλλος μηχανικός. Η φράση «η πρόσβαση επισκοπείται τακτικά» είναι υπερβολικά αόριστη. Προσδιορίστε τα καλυπτόμενα συστήματα και τύπους λογαριασμών, τον ελεγκτή, τη συχνότητα, τα κριτήρια απόφασης, τη διαδικασία εξαιρέσεων και τα τεκμήρια που παράγονται.

Μην υποθέτετε ότι η «αυστηρότερη απαίτηση» ικανοποιεί αυτόματα όλες τις υπόλοιπες. Οι απαιτήσεις μπορεί να είναι ασύγκριτες: η μεγαλύτερη διατήρηση αρχείων καταγραφής μπορεί να βοηθά έναν στόχο διασφάλισης, δημιουργώντας ταυτόχρονα ερωτήματα ιδιωτικότητας ως προς την αναγκαιότητα και την πρόσβαση. Η υψηλότερη συχνότητα επισκόπησης δεν μπορεί να αντικαταστήσει μια νομική αξιολόγηση που λείπει.

Χρησιμοποιήστε μια κοινή βάση συν ρητές προσθήκες:

Σύμφωνα με τον ΓΚΠΔ, η ασφάλεια της επεξεργασίας βασίζεται στον κίνδυνο. Οι κοινές δικλίδες ασφάλειας μπορεί να υποστηρίζουν το άρθρο 32, αλλά η νομική βάση, η διαφάνεια, τα αρχεία επεξεργασίας, τα δικαιώματα των υποκειμένων, οι ΕΑΠΔ όπου απαιτούνται και οι διεθνείς διαβιβάσεις χρειάζονται δική τους αξιολόγηση. Μια απογραφή πόρων μπορεί να τροφοδοτεί ένα αρχείο δραστηριοτήτων επεξεργασίας χωρίς να αντικαθιστά τις πληροφορίες για τους σκοπούς, τις κατηγορίες δεδομένων, τους αποδέκτες και τη διατήρηση.

Ομοίως, το ISO 27001 περιλαμβάνει εργασία συστήματος διαχείρισης που δεν μπορεί να συναχθεί μόνο από λειτουργικές δικλίδες. Το πεδίο, η αντιμετώπιση κινδύνων, η Δήλωση Εφαρμοσιμότητας, ο εσωτερικός έλεγχος και η ανασκόπηση από τη διοίκηση είναι διακριτά παραδοτέα.

Επαναχρησιμοποιήστε τεκμήρια μέσω του πλαισίου αξιολόγησης

Ένα κεντρικό αποθετήριο μειώνει τις επαναλήψεις μόνο αν οι ελεγκτές κατανοούν τι αποδεικνύει κάθε τεκμήριο.

Ως πρακτική σύσταση, καταγράψτε τον υπεύθυνο του τεκμηρίου, την ημερομηνία συλλογής, την καλυπτόμενη περίοδο, τα επηρεαζόμενα συστήματα, την πηγή, την έκδοση, τους περιορισμούς πρόσβασης και το συμπέρασμα που υποστηρίζει. Κρατήστε το υποκείμενο τεκμήριο χωριστά από τη διαπίστωση της αξιολόγησης.

Μια τριμηνιαία εξαγωγή επισκόπησης πρόσβασης μπορεί να δείχνει ποια δικαιώματα υπήρχαν σε μια ημερομηνία. Το αρχείο έγκρισης δείχνει ποιος τα επισκόπησε. Τα αιτήματα αποκατάστασης δείχνουν αν αφαιρέθηκε η ακατάλληλη πρόσβαση. Κανένα από αυτά τα τεκμήρια από μόνο του δεν καταδεικνύει απαραίτητα ολόκληρη τη δικλίδα.

Ο χρόνος επηρεάζει επίσης την επαναχρησιμοποίηση. Μια ανάθεση SOC 2 Type II εξετάζει τη λειτουργία σε μια περίοδο, ενώ ένα τεκμήριο συγκεκριμένης χρονικής στιγμής καλύπτει στενότερο διάστημα. Κατά τον σχεδιασμό της συλλογής, διακρίνετε τη συχνότητα της δικλίδας, την περίοδο αξιολόγησης και την επικαιρότητα του τεκμηρίου. Ένα πρόσφατο στιγμιότυπο οθόνης δεν ανασυνθέτει μήνες αρχείων εκτέλεσης που λείπουν.

Το πεδίο της αξιολόγησης έχει εξίσου σημασία. Επιβεβαιώστε ότι τα τεκμήρια καλύπτουν τη σχετική υπηρεσία, τον πληθυσμό, το περιβάλλον και την παραλλαγή της δικλίδας. Διαχωρίστε τα δικαιώματα που διαχειρίζεται ο πελάτης από τη διοικητική πρόσβαση που διαχειρίζεται ο πάροχος αντί να αντιμετωπίζετε μία εξαγωγή ως τεκμήριο και για τα δύο.

Τα τεκμήρια μπορεί να περιέχουν ευαίσθητες πληροφορίες ή δεδομένα προσωπικού χαρακτήρα. Εφαρμόστε κατάλληλους ελέγχους πρόσβασης, ελαχιστοποιήστε το περιττό περιεχόμενο και ορίστε συνειδητά τη διατήρηση. Η επαναχρησιμοποίηση ενός τεκμηρίου δεν σημαίνει διανομή του πρωτοτύπου χωρίς περιορισμούς σε κάθε ελεγκτή.

Το παραδοτέο είναι ένα σχέδιο τεκμηρίων για κάθε κοινή δικλίδα: τι συλλέγεται, πότε, από πού, από ποιον και ποια ερωτήματα αξιολόγησης μπορεί να υποστηρίξει.

Συντονίστε αυτό το σχέδιο με ένα κοινό ημερολόγιο διασφάλισης. Προγραμματίστε μαζί τις σχετικές συνεντεύξεις με υπευθύνους και τους ελέγχους τεκμηρίων όπου τα πεδία τους ευθυγραμμίζονται, διατηρώντας χωριστά συμπεράσματα αξιολόγησης. Συμφωνήστε τις προσδοκίες για τα τεκμήρια με τους σχετικούς αξιολογητές πριν βασιστείτε στην επαναχρησιμοποίηση. Μια κοινή διαδικασία συλλογής μπορεί να υποστηρίζει πολλές αναθέσεις, αλλά δεν μπορεί να υποχρεώσει κάθε αξιολογητή να αποδεχθεί το ίδιο δείγμα ή να εξαλείψει πρόσθετες δοκιμές. Για περιοδικές δικλίδες, προγραμματίστε τη συλλογή τη στιγμή της εκτέλεσης αντί να περιμένετε να πλησιάσει ο έλεγχος.

Παράδειγμα: μία διαδικασία περιστατικών, πολλές αποφάσεις αναφοράς

Ας εξετάσουμε έναν ενδεικτικό οργανισμό SaaS με 45 εργαζομένους. Ας υποθέσουμε ότι η παραγωγική του υπηρεσία εμπίπτει στο πεδίο ενός ΣΔΑΠ κατά ISO 27001, ότι προετοιμάζεται για μια ανάθεση SOC 2 Security και ότι επεξεργάζεται δεδομένα προσωπικού χαρακτήρα τόσο ως υπεύθυνος επεξεργασίας όσο και ως εκτελών την επεξεργασία σε διαφορετικές δραστηριότητες. Ας υποθέσουμε επίσης ότι μια αξιολόγηση εφαρμοσιμότητας έχει διαπιστώσει υποχρεώσεις βάσει της Οδηγίας NIS2 σύμφωνα με τη σχετική εθνική ενσωμάτωση.

Αυτές είναι παραδοχές του σεναρίου, όχι ισχυρισμοί για τη συνήθη στελέχωση, τη νομική εφαρμοσιμότητα ή την προσπάθεια του έργου.

Ο οργανισμός εισάγει υποψήφιες αντιστοιχίσεις γύρω από τη διαχείριση περιστατικών και ορίζει μια κοινή δικλίδα, την IR-01: τα αναφερόμενα συμβάντα ασφάλειας υποβάλλονται σε διαλογή, ανατίθενται σε υπεύθυνο περιστατικού, διερευνώνται, περιορίζονται και τεκμηριώνονται έως το κλείσιμο.

Η δικλίδα αυτή είναι χρήσιμη σε όλο το πρόγραμμα, αλλά η επισκόπηση των αντιστοιχίσεων εντοπίζει αρκετά διακριτά στοιχεία:

Η ομάδα επομένως αντιστοιχίζει συγκεκριμένα στοιχεία της διαδικασίας περιστατικών αντί να ισχυρίζεται ότι η IR-01 ικανοποιεί πλήρως κάθε σχετική υποχρέωση.

Για τις παραβιάσεις δεδομένων προσωπικού χαρακτήρα, το άρθρο 33 του ΓΚΠΔ διακρίνει ρόλους. Ο εκτελών την επεξεργασία ενημερώνει τον υπεύθυνο επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση. Ο υπεύθυνος επεξεργασίας αξιολογεί τη γνωστοποίηση στην εποπτική αρχή χωρίς αδικαιολόγητη καθυστέρηση και, ει δυνατόν, εντός 72 ωρών από τη στιγμή που αποκτά γνώση, εκτός αν η παραβίαση δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Ο υψηλός κίνδυνος μπορεί να απαιτεί ανακοίνωση στα υποκείμενα των δεδομένων βάσει του άρθρου 34, με την επιφύλαξη των εξαιρέσεών του.

Για τα σημαντικά περιστατικά βάσει του άρθρου 23 της Οδηγίας NIS2, η ενωσιακή δομή αναφοράς περιλαμβάνει έγκαιρη προειδοποίηση εντός 24 ωρών, κοινοποίηση εντός 72 ωρών και, κατά κανόνα, τελική έκθεση εντός ενός μήνα από την κοινοποίηση. Ο οργανισμός ελέγχει τους εφαρμοστέους εθνικούς και τομεακούς κανόνες αντί να αντιμετωπίζει αυτή τη σύνοψη ως την πλήρη διαδικασία αναφοράς του.

Κατά συνέπεια, η εγγραφή του περιστατικού περιέχει χωριστές αξιολογήσεις εναυσμάτων και χρονοσημάνσεις απόκτησης γνώσης. Όπου εφαρμόζονται περισσότερες υποχρεώσεις, οι προθεσμίες τους τρέχουν παράλληλα. Η εργασία περιορισμού με προσανατολισμό στο ISO δεν αναβάλλει μια νομική απόφαση αναφοράς.

Το πακέτο τεκμηρίων περιλαμβάνει το ιστορικό του αιτήματος, το αρχείο αποφάσεων, τις εγκρίσεις επικοινωνιών, τα αρχεία υποβολής όπου έγινε γνωστοποίηση και την αιτιολόγηση όπου η γνωστοποίηση δεν απαιτήθηκε. Μια άσκηση επί χάρτου δοκιμάζει τη λογική διακλάδωσης με συμμετέχοντες από την ασφάλεια, το νομικό τμήμα, τις λειτουργίες υπηρεσιών και τις επικοινωνίες.

Το αποτέλεσμα της αντιστοίχισης είναι σαφές: επαναχρησιμοποίηση του μηχανισμού απόκρισης, διατήρηση των διακριτών υποχρεώσεων αναφοράς και αξιολόγηση τόσο της υλοποίησης όσο και των τεκμηρίων. Τα κενά που απομένουν γίνονται εργασίες με υπευθύνους, για παράδειγμα μια μη δοκιμασμένη διαδρομή επικοινωνίας με την αρμόδια αρχή ή ελλιπείς οδηγίες κλιμάκωσης από τον εκτελούντα προς τον υπεύθυνο επεξεργασίας.

Κάντε την εκτίμηση επιπτώσεων αλλαγών ροή εργασιών πρώτης γραμμής

Μια βιβλιοθήκη αντιστοιχίσεων γίνεται αναξιόπιστη αν καταγράφει μόνο τα ονόματα των πλαισίων που χρησιμοποιήθηκαν κατά την αρχική εγκατάσταση.

Όταν αλλάζει μια πηγή, συγκρίνετε περισσότερα από τα αναγνωριστικά. Οι απαιτήσεις μπορεί να διασπαστούν, να συγχωνευθούν, να μετονομαστούν, να επεκταθούν ή να μετακινηθούν χωρίς εμφανή ένδειξη στην αρίθμηση. Δημιουργήστε μια εγγραφή αλλαγών σε επίπεδο εγγράφου και προσδιορίστε κάθε αντιστοίχιση που συνδέεται με στοιχεία που άλλαξαν.

Μια πρακτική σειρά ενημέρωσης είναι:

1. Διατηρήστε την προηγούμενη έκδοση και το εγκεκριμένο σύνολο αντιστοιχίσεων.
2. Εισαγάγετε τη νέα έκδοση με διακριτά αναγνωριστικά και μεταδεδομένα έκδοσης.
3. Προσδιορίστε τα στοιχεία που άλλαξαν και τις επηρεαζόμενες σχέσεις.
4. Επισημάνετε τις επηρεαζόμενες αποφάσεις υιοθέτησης για επισκόπηση.
5. Αξιολογήστε εκ νέου τις δικλίδες, τα σχέδια τεκμηρίων και τις προσθήκες ανά πλαίσιο.
6. Εγκρίνετε τις αναθεωρημένες αποφάσεις και διατηρήστε το ιστορικό που αντικαταστάθηκε.

Οι λειτουργικές αλλαγές πρέπει να ενεργοποιούν την ίδια διαδικασία. Η προσθήκη ενός παρόχου νέφους, η αλλαγή της αρχιτεκτονικής ταυτοτήτων ή η ένταξη μιας υπηρεσίας στο πεδίο μπορεί να ακυρώσει την επαναχρησιμοποίηση τεκμηρίων ακόμη κι αν το πλαίσιο δεν έχει αλλάξει.

Οι παράγωγες αντιστοιχίσεις απαιτούν ιδιαίτερη προσοχή. Το OLIR μπορεί να παράγει Derived Relationship Mappings συγκρίνοντας πώς δύο έγγραφα αναφοράς σχετίζονται με ένα κοινό εστιακό έγγραφο. Το NIST τις περιγράφει ως μη δεσμευτικά σημεία εκκίνησης, όχι ως επαληθευμένους άμεσους πίνακες αντιστοίχισης. Αν το A σχετίζεται με το C και το B σχετίζεται με το C, αυτό δεν αποδεικνύει ότι τα A και B είναι ισοδύναμα.

Χρησιμοποιήστε τις παράγωγες σχέσεις για να ιεραρχήσετε τη διερεύνηση. Μη μεταδίδετε συμπεράσματα συμμόρφωσης μέσω ενός γράφου απλώς επειδή υπάρχει μια διαδρομή.

Δοκιμάστε πιλοτικά το επίπεδο αντιστοιχίσεων πριν μεταφέρετε τα πάντα

Επιλέξτε μια αντιπροσωπευτική υπηρεσία και μερικές περιοχές δικλίδων με ουσιαστική επικάλυψη αλλά και εμφανείς διαφορές. Οι επισκοπήσεις πρόσβασης, η διαχείριση προμηθευτών και η αντιμετώπιση περιστατικών είναι χρήσιμοι υποψήφιοι, επειδή αναδεικνύουν ζητήματα πεδίου, ευθύνης, τεκμηρίων και νομικής ερμηνείας.

Το πιλοτικό πρέπει να παράγει ένα οριοθετημένο σύνολο παραδοτέων που μπορούν να ελεγχθούν:

• Ένα μητρώο εφαρμοσιμότητας και πεδίου
• Έγγραφα πηγής με εκδόσεις ή επιτρεπόμενες αναφορές σε πηγές
• Επισκοπημένους ισχυρισμούς αντιστοίχισης με προέλευση και αιτιολόγηση
• Κοινές δικλίδες με υπευθύνους και διαδικασίες λειτουργίας
• Προσθήκες ανά πλαίσιο και εργασίες για ανεπίλυτα κενά
• Σχέδια τεκμηρίων και δείγματα αποφάσεων αξιολόγησης
• Μια δοκιμασμένη διαδικασία ενημέρωσης

Αξιολογήστε το πιλοτικό με βάση το αν ένας άλλος ελεγκτής μπορεί να αναπαραγάγει τα συμπεράσματά του. Μπορεί να εξηγήσει γιατί εγκρίθηκε μια σχέση, να εντοπίσει τη σχετική πηγή, να προσδιορίσει τις ακάλυπτες προσδοκίες και να δει ποια συστήματα καλύπτουν τα τεκμήρια;

Συνήθη λάθη είναι η αντιστοίχιση ολόκληρων τομέων δικλίδων ως ισοδύναμων, η απόκρυψη εξαιρέσεων σε σχόλια, οι κοινές δικλίδες χωρίς κύριο υπεύθυνο και η σύγχυση της διαθεσιμότητας τεκμηρίων με την αποτελεσματική λειτουργία. Ένα ακόμη είναι η δημιουργία μιας μεγάλης βιβλιοθήκης αντιστοιχίσεων πριν δοκιμαστεί αν υποστηρίζει μια πραγματική αξιολόγηση.

Στη Secani, μια τεκμηριωμένη ροή εργασιών για αρχή είναι να μοντελοποιήσετε την αντιπροσωπευτική υπηρεσία και τα υποστηρικτικά αντικείμενα-στόχους της, να ορίσετε υπευθύνους και ελεγκτές και να συνδέσετε τα υπάρχοντα τεκμήρια με απαιτήσεις, δικλίδες και αποφάσεις. Το υλικό που λείπει και τα ανεπίλυτα ερωτήματα γίνονται εργασίες. Οι προτάσεις με υποβοήθηση από ΤΝ παραμένουν προσχέδια έως ότου ένας άνθρωπος ελέγξει τις πηγές και εγκρίνει την απόφαση με ιχνηλάσιμη εγγραφή. Η προσέγγιση της Secani με διασυνδεδεμένα τεκμήρια και επισκόπηση κρατά τις αποφάσεις αντιστοίχισης συνδεδεμένες με τις πηγές, τους υπευθύνους και το πλαίσιο υλοποίησής τους.

Για ένα συγκεκριμένο ζεύγος πλαισίων, δείτε το άρθρο NIS2 και ISO 27001.

Ερωτήματα που μετρούν πριν από την υλοποίηση

Μπορούμε να κρατήσουμε τα υπολογιστικά φύλλα κατά τη διάρκεια του πιλοτικού;

Ναι. Ένα υπολογιστικό φύλλο μπορεί να αποτελεί διεπαφή επισκόπησης αν διατηρεί εκδόσεις, κατεύθυνση, αιτιολόγηση, πεδίο και προέλευση. Ο περιορισμός δεν είναι το ίδιο το πλέγμα, αλλά η αδύναμη επικύρωση, τα ασύνδετα τεκμήρια και η δύσκολη διαχείριση αλλαγών. Ορίστε το μοντέλο δεδομένων πριν επιλέξετε τη διεπαφή.

Πρέπει η ΤΝ να εγκρίνει αντιστοιχίσεις υψηλής βεβαιότητας;

Όχι. Η βεβαιότητα σε μια παραγόμενη πρόταση δεν είναι απόφαση επισκόπησης υπό λογοδοσία. Χρησιμοποιήστε την ΤΝ για να αναδείξετε υποψήφιους και διαφορές και, στη συνέχεια, απαιτήστε ανθρώπινη έγκριση για αντιστοιχίσεις και συμπεράσματα τεκμηρίων με συνέπειες.

Ποιο είναι το επόμενο βήμα;

Πάρτε μία γραμμή από έναν υπάρχοντα πίνακα αντιστοίχισης και ανασυνθέστε το σκεπτικό της. Προσδιορίστε και τις δύο εκδόσεις πηγών, διαβάστε τα αντιστοιχισμένα στοιχεία, διατυπώστε τη σχέση και την κατεύθυνση, τεκμηριώστε τη διαφορά που μένει ακάλυπτη και συνδέστε την με μια πραγματική δικλίδα και ένα πακέτο τεκμηρίων. Αν η εγγραφή αντέξει σε ανεξάρτητη επισκόπηση, επαναλάβετε τη μέθοδο σε όλο το πιλοτικό. Αυτή είναι η βάση μιας επαναχρησιμοποιήσιμης υποδομής συμμόρφωσης.