Πώς να επιλέξετε το καλύτερο λογισμικό GRC

Το λογισμικό GRC πρέπει να κλιμακώνει τη μεθοδολογία σας, να συνδέει τα συμπεράσματα με αποδεικτικά στοιχεία και να αφήνει τον έλεγχο στους υπεύθυνους ανθρώπους. Η καλύτερη επιλογή είναι η πλατφόρμα που μπορεί να λειτουργήσει το πρόγραμμα συμμόρφωσής σας, όχι απλώς να εμφανίσει μια συμπληρωμένη λίστα ελέγχου.

Ένας έλεγχος πλησιάζει, αλλά οι πληροφορίες που χρειάζονται για την προετοιμασία του είναι διάσπαρτες σε όλο τον οργανισμό. Το μητρώο μέτρων ελέγχου βρίσκεται σε ένα υπολογιστικό φύλλο. Οι πολιτικές βρίσκονται στο SharePoint. Τα αποδεικτικά στοιχεία βρίσκονται σε φακέλους. Οι εργασίες αποκατάστασης παρακολουθούνται στο Jira. Οι αποφάσεις για τους κινδύνους είναι θαμμένες σε πρακτικά συσκέψεων. Το σκεπτικό της τελευταίας αξιολόγησης υπάρχει κυρίως στο μυαλό του υπεύθυνου συμμόρφωσης ή του συμβούλου.

Συχνά οι ομάδες αντιδρούν ανασυνθέτοντας τον φάκελο ελέγχου της περσινής χρονιάς, εισάγοντας άλλη μία άκαμπτη λίστα ελέγχου ή ζητώντας από ένα εργαλείο ΤΝ γενικής χρήσης να παραγάγει τεκμηρίωση από ελλιπές πλαίσιο. Και οι τρεις προσεγγίσεις μπορούν να παραγάγουν αποτέλεσμα. Καμία δεν δημιουργεί κατ’ ανάγκη ένα αξιόπιστο σύστημα συμμόρφωσης.

Η απόφαση αγοράς επομένως εκτείνεται πέρα από τον επόμενο έλεγχο. Το λογισμικό μπορεί να βοηθήσει στη διατήρηση της θεσμικής γνώσης, στον συντονισμό της εργασίας μεταξύ τμημάτων και στο να γίνουν οι αποφάσεις της διοίκησης πιο εύκολα επιθεωρήσιμες. Μπορεί επίσης να προσθέσει ένα ακόμη διοικητικό επίπεδο, αν οι υπεύθυνοι μέτρων ελέγχου το αποφεύγουν, αν οι ενοποιήσεις παραλείπουν σημαντικά συστήματα ή αν τα αποδεικτικά στοιχεία χάνουν το πλαίσιό τους κατά την εισαγωγή.

Από τη σκοπιά της ηγεσίας, το ερώτημα δεν είναι ποιος προμηθευτής έχει τον πιο ελκυστικό πίνακα ελέγχου. Είναι ποιο λειτουργικό μοντέλο αγοράζει ο οργανισμός, ποια εργασία παραμένει στους ανθρώπους του και αν τα αρχεία που προκύπτουν στηρίζουν τεκμηριωμένες αποφάσεις.

Χρησιμοποιήστε επτά ερωτήσεις για να αξιολογήσετε το προϊόν:

1. Ταιριάζει με τον τρόπο που πραγματικά γίνεται η εργασία GRC;
2. Αντικατοπτρίζει το πεδίο εφαρμογής και τη μεθοδολογία σας;
3. Συνδέει τα μέτρα ελέγχου με την υλοποίηση και τα αποδεικτικά στοιχεία;
4. Μπορεί κάθε αξιολόγηση και κάθε συμπέρασμα που παράγεται από ΤΝ να επαληθευτεί;
5. Μπορεί η εργασία να επαναχρησιμοποιηθεί με ασφάλεια μεταξύ πλαισίων;
6. Μπορεί να εκτελεί επαναλήψιμες ροές εργασίας χωρίς να αφαιρεί την ανθρώπινη λογοδοσία;
7. Είναι αρκετά ασφαλές και φορητό για ευαίσθητα δεδομένα συμμόρφωσης;

Στη συνέχεια, ελέγξτε αυτές τις απαντήσεις σε σχέση με την προσπάθεια υλοποίησης, την υποστήριξη από ειδικούς, τις ανάγκες αναφοράς και το συνολικό κόστος κτήσης.

Ορίστε τι αγοράζετε πριν συγκρίνετε προϊόντα

Το λογισμικό GRC υποστηρίζει υποχρεώσεις διακυβέρνησης, κινδύνους, μέτρα ελέγχου, αποδεικτικά στοιχεία, αξιολογήσεις, ευρήματα, αποκατάσταση και αναφορές. Ο οδηγός αυτός εστιάζει κυρίως στο GRC κυβερνοασφάλειας και στην εργασία του συστήματος διαχείρισης ασφάλειας πληροφοριών (ΣΔΑΠ).

Μια χρήσιμη βάση είναι η σχέση μεταξύ αυτών των αρχείων:

Απαίτηση → μέτρο ελέγχου → υλοποίηση → αποδεικτικό στοιχείο → αξιολόγηση → εύρημα → αποκατάσταση → απόφαση

Μια απαίτηση πρέπει να δείχνει ποια μέτρα ελέγχου την καλύπτουν. Ένα μέτρο ελέγχου πρέπει να περιγράφει την υλοποίησή του, τον υπεύθυνο, τα σχετικά περιουσιακά στοιχεία ή διαδικασίες και τα υποστηρικτικά αποδεικτικά στοιχεία. Μια αξιολόγηση πρέπει να διατηρεί τι εξετάστηκε, ποια κριτήρια εφαρμόστηκαν, το συμπέρασμα, την εναπομένουσα αβεβαιότητα και τις ενέργειες που προέκυψαν.

Το ISO/IEC 27001 αφορά ένα ΣΔΑΠ με καθορισμένο πεδίο εφαρμογής και διαχείριση κινδύνων προσαρμοσμένη στον οργανισμό. Η επιλογή λογισμικού επομένως δεν είναι απλώς αναζήτηση της μεγαλύτερης λίστας πλαισίων. Είναι αναζήτηση ενός συστήματος ικανού να αναπαραστήσει το πραγματικό σύστημα διαχείρισης.

Διαφορετικές κατηγορίες προϊόντων δίνουν έμφαση σε διαφορετικά μέρη αυτής της εργασίας:

Οι κατηγορίες αυτές αλληλεπικαλύπτονται. Μια ευρεία πλατφόρμα δεν είναι αυτομάτως καλύτερη επιλογή από μια εστιασμένη. Αποφασίστε ποιο σύστημα θα κατέχει το έγκυρο αρχείο για κάθε διαδικασία και πού θα παραμείνει απαραίτητο ένα άλλο εργαλείο.

Το λογισμικό GRC πρέπει να συνδέεται με τη διαχείριση εγγράφων, τα συστήματα αιτημάτων, τις απογραφές, τους παρόχους ταυτότητας, τις πλατφόρμες cloud και τα εργαλεία ασφάλειας. Δεν χρειάζεται να τα αντικαταστήσει όλα. Χρειάζεται να διατηρεί το πλαίσιο που συνδέει τις πληροφορίες τους με τις αποφάσεις συμμόρφωσης.

Θεμελιώστε το επιχειρηματικό σκεπτικό και το λειτουργικό μοντέλο

Πριν από τις επιδείξεις, ετοιμάστε ένα σύντομο σημείωμα αγοράς. Ονομάστε τον εκτελεστικό χορηγό, τον υπεύθυνο του προγράμματος, τις συμμετέχουσες ομάδες, το αρχικό πεδίο εφαρμογής, τις απαιτούμενες υποχρεώσεις, τα επιθυμητά αποτελέσματα και τη διαθέσιμη ικανότητα υλοποίησης.

Κάντε τα αποτελέσματα συγκεκριμένα. Το «βελτίωση της συμμόρφωσης» είναι δύσκολο να αξιολογηθεί. Το «μείωση των επαναλαμβανόμενων αιτημάτων αποδεικτικών στοιχείων σε δύο αξιολογήσεις, διατηρώντας την έγκριση από τον υπεύθυνο» δίνει στους προμηθευτές μια ροή εργασίας προς επίδειξη.

Διαχωρίστε τις άμεσες απαιτήσεις από τις πιθανές μελλοντικές ανάγκες. Μια εταιρεία που προετοιμάζει το πρώτο της ΣΔΑΠ μπορεί να δώσει προτεραιότητα στο πεδίο εφαρμογής, στην αντιμετώπιση κινδύνων, στην επισκόπηση αποδεικτικών στοιχείων και στην ανάθεση ευθυνών. Ένας όμιλος με πολλές θυγατρικές μπορεί να χρειάζεται κοινά μέτρα ελέγχου, τοπικές εξαιρέσεις, περιορισμένους χώρους εργασίας και ενοποιημένες αναφορές. Μια συμβουλευτική εταιρεία χρειάζεται επαναχρησιμοποιήσιμες μεθόδους χωρίς ανάμειξη εμπιστευτικών πληροφοριών πελατών.

Υπάρχουν επίσης διάφοροι τρόποι στελέχωσης της εργασίας:

Καμία οδός δεν αφαιρεί την ευθύνη της διοίκησης. Η αγορά συμβουλών δεν μεταβιβάζει την αποδοχή κινδύνου και η αγορά λογισμικού δεν αποδεικνύει ότι τα μέτρα ελέγχου λειτουργούν αποτελεσματικά.

Η υιοθέτηση αξίζει συχνά να εξεταστεί πριν από την έναρξη ενός νέου προγράμματος, όταν τα αιτήματα αποδεικτικών στοιχείων γίνονται επαναλαμβανόμενα ή όταν η επέκταση εισάγει πρόσθετα πεδία εφαρμογής και υποχρεώσεις. Ωστόσο, ένας επικείμενος έλεγχος μπορεί να είναι κακή στιγμή για μια συνολική μετάπτωση. Σε αυτή την περίπτωση, σταθεροποιήστε τον υπάρχοντα φάκελο αποδεικτικών στοιχείων και δοκιμάστε πιλοτικά το νέο λειτουργικό μοντέλο παράλληλα.

1. Ταιριάζει με τον τρόπο που πραγματικά γίνεται η εργασία GRC;

Η εργασία GRC γίνεται σε συνεντεύξεις, εργαστήρια, επισκοπήσεις πολιτικών, εργασίες υλοποίησης, συναντήσεις ελέγχου και συζητήσεις της διοίκησης, όχι αποκλειστικά μέσα σε μια εφαρμογή GRC.

Η πλατφόρμα κερδίζει τη θέση της όταν αυτές οι δραστηριότητες γίνονται μια συνεκτική ροή εργασίας, χωρίς να χρειάζεται η ομάδα να αναδημιουργεί τα πάντα χειροκίνητα σε μια άλλη βάση δεδομένων. Ένα στιγμιότυπο οθόνης που εισήχθη παραμένει απλώς ένα αρχείο, εκτός αν μείνει συνδεδεμένο με το σύστημα, το μέτρο ελέγχου, την περίοδο επισκόπησης, τον υπεύθυνο και την αξιολόγηση που υποστηρίζει.

Αξιολογήστε το βάθος, την κάλυψη και τον χειρισμό αποτυχιών των ενοποιήσεων

Ξεκινήστε από την πραγματική τεχνολογική σας υποδομή. Για κάθε σημαντική πηγή, προσδιορίστε τις απαιτούμενες πληροφορίες και τη ροή εργασίας που υποστηρίζει.

Ένας σύνδεσμος ταυτότητας μπορεί να ανακτά χρήστες αλλά όχι προνομιούχους λογαριασμούς, ρυθμίσεις ταυτοποίησης ή αποδείξεις ότι ολοκληρώθηκε μια επισκόπηση πρόσβασης. Μια ενοποίηση cloud μπορεί να εξετάζει επιλεγμένους λογαριασμούς και να παραλείπει ένα άλλο παραγωγικό περιβάλλον. Μια σύνδεση με σύστημα αιτημάτων μπορεί να δημιουργεί εργασίες χωρίς να επιστρέφει την κατάσταση επίλυσής τους.

Ζητήστε από τους προμηθευτές να επιδείξουν:

• Ποιους λογαριασμούς, συστήματα και τύπους περιουσιακών στοιχείων καλύπτει ο σύνδεσμος
• Τα απαιτούμενα δικαιώματα και αν αρκεί πρόσβαση μόνο ανάγνωσης
• Τη συχνότητα συλλογής και τη χρονοσφραγίδα που βλέπουν οι αξιολογητές
• Πώς γίνονται ορατές οι αποτυχίες, τα ανακληθέντα διαπιστευτήρια και η ελλιπής συλλογή
• Αν τα αρχεία της πηγής παραμένουν αναγνωρίσιμα μετά την εισαγωγή
• Τι υποστηρίζουν τα API πέρα από τη χειροκίνητη μεταφόρτωση αρχείων
• Ποιος συντηρεί τους προσαρμοσμένους συνδέσμους όταν αλλάζουν τα API των πηγών

Επισκοπήστε πηγές ρυθμίσεων cloud, ταυτότητας, ανθρώπινου δυναμικού, τερματικών συσκευών, ανάπτυξης, περιστατικών και συνεργασίας ανάλογα με το πεδίο εφαρμογής σας. Μην υποθέτετε ότι ένα γνώριμο λογότυπο ενοποίησης αποδεικνύει ότι τα απαιτούμενα αποδεικτικά στοιχεία είναι διαθέσιμα.

Μια αποτυχημένη συλλογή δεν πρέπει να αφήνει ένα παλιό θετικό αποτέλεσμα να φαίνεται τρέχον. Ομοίως, ένα σύστημα εκτός της κάλυψης ενοποίησης πρέπει να εμφανίζεται ως κενό κάλυψης και όχι να εξαφανίζεται από τον παρονομαστή.

Δοκιμάστε την εμπειρία των περιστασιακών χρηστών

Ζητήστε από έναν υπεύθυνο μέτρου ελέγχου που δεν διαχειρίζεται την πλατφόρμα να απαντήσει σε ένα αίτημα αποδεικτικών στοιχείων, να εξηγήσει μια εξαίρεση και να υποβάλει μια ενημέρωση αποκατάστασης. Ζητήστε από έναν αξιολογητή να απορρίψει ακατάλληλα αποδεικτικά στοιχεία και να ζητήσει διευκρινίσεις.

Καταγράψτε τη βοήθεια που χρειάζονται. Αν κάθε ενέργεια απαιτεί τον διαχειριστή GRC, η πλατφόρμα μπορεί να συγκεντρώνει τα αρχεία αφήνοντας αμετάβλητη την εργασία συντονισμού. Ελέγξτε τη δρομολόγηση ειδοποιήσεων, την ανάθεση κατά τις απουσίες, την προσβασιμότητα και την πρακτική επίδραση των αδειών χρήσης στη συμμετοχή.

2. Αντικατοπτρίζει το πεδίο εφαρμογής και τη μεθοδολογία σας;

Το GRC δεν είναι μία καθολική λίστα ελέγχου. Οργανισμοί που χρησιμοποιούν το ίδιο πρότυπο μπορεί να έχουν διαφορετικά συστήματα, κινδύνους, αρμοδιότητες, υλοποιήσεις και προσδοκίες για τα αποδεικτικά στοιχεία.

Το λογισμικό πρέπει να αναπαριστά αυτές τις διαφορές χωρίς να μετατρέπει κάθε αλλαγή σε συμβουλευτικό έργο.

Εξετάστε αν μπορεί να μοντελοποιήσει οργανωτικές μονάδες, υπηρεσίες, εφαρμογές, υποδομές, πληροφορίες, τοποθεσίες και εξωτερικούς παρόχους. Στη συνέχεια, δοκιμάστε τις σχέσεις μεταξύ τους. Μια κοινή υπηρεσία ταυτότητας μπορεί να υποστηρίζει πολλά προϊόντα· ένας πάροχος μπορεί να λειτουργεί την υποδομή ενώ ο οργανισμός σας διατηρεί την ευθύνη για τις ρυθμίσεις και την πρόσβαση.

Ο χειρισμός του πεδίου εφαρμογής έχει σημασία, γιατί ένα μέτρο ελέγχου μπορεί να είναι αποτελεσματικό σε ένα περιβάλλον και ελλιπές σε άλλο. Το «MFA υλοποιήθηκε» δεν πρέπει να αποκρύπτει ότι η δήλωση καλύπτει εταιρικούς λογαριασμούς αλλά εξαιρεί μια διαδρομή διαχείρισης του παραγωγικού περιβάλλοντος.

Χρήσιμες δυνατότητες προς αξιολόγηση:

• Προσαρμοσμένες βιβλιοθήκες μέτρων ελέγχου και περιγραφές υλοποίησης
• Αποφάσεις εφαρμοσιμότητας με αιτιολόγηση και ιστορικό επισκοπήσεων
• Κοινά, κληρονομούμενα και ειδικά ανά σύστημα μέτρα ελέγχου
• Κύριοι υπεύθυνοι, αξιολογητές και κοινές αρμοδιότητες
• Διαφορετικές μεθοδολογίες αξιολόγησης και κινδύνου
• Τοπικές εξαιρέσεις χωρίς ανεξέλεγκτη αναπαραγωγή
• Επαναχρησιμοποιήσιμα πρότυπα με απομονωμένες τις πληροφορίες κάθε πελάτη

Κρατήστε τη διαχείριση κινδύνων συνδεδεμένη με τις επιχειρηματικές αποφάσεις

Ένα μητρώο κινδύνων πρέπει να κάνει περισσότερα από το να αποδίδει χρώματα. Οι αγοραστές πρέπει να δοκιμάσουν πώς η πλατφόρμα καταγράφει το σενάριο, την επηρεαζόμενη υπηρεσία, τον επιχειρηματικό αντίκτυπο, τα υπάρχοντα μέτρα ελέγχου, το σκεπτικό της βαθμολόγησης, την αντιμετώπιση, τον υπολειπόμενο κίνδυνο, την αρχή έγκρισης και την επόμενη επισκόπηση.

Ρωτήστε πώς αλλάζουν οι βαθμολογίες όταν αλλάζει η υλοποίηση ή οι παραδοχές. Ο αυτόματος επανυπολογισμός μπορεί να είναι χρήσιμος, αλλά δεν πρέπει να αντικαθιστά σιωπηρά μια εγκεκριμένη απόφαση για κίνδυνο. Η ηγεσία πρέπει να μπορεί να διακρίνει ένα νέο τεχνικό σήμα από μια επισκοπημένη επιχειρηματική κρίση.

Δοκιμάστε μια αποδοχή κινδύνου με ημερομηνία λήξης. Το αρχείο πρέπει να δείχνει ποιος είχε την εξουσία να την αποδεχθεί, τους όρους που τη συνοδεύουν και τι συμβαίνει όταν οι όροι αυτοί παύουν να πληρούνται. Δείτε πώς να διατηρείτε ένα λειτουργικό μητρώο κινδύνων για την υποκείμενη ροή εργασίας.

Για τις συμβουλευτικές εταιρείες, επαναλάβετε τη δοκιμή πεδίου εφαρμογής σε δύο χώρους εργασίας πελατών. Μια επαναχρησιμοποιήσιμη μέθοδος δεν πρέπει να μεταφέρει τα αποδεικτικά στοιχεία, τα σχόλια ή τις εμπιστευτικές παραδοχές ενός πελάτη στην αξιολόγηση άλλου πελάτη.

3. Συνδέει τα μέτρα ελέγχου με την υλοποίηση και τα αποδεικτικά στοιχεία;

Ένα μέτρο ελέγχου που σημειώνεται ως ολοκληρωμένο δεν αποτελεί απόδειξη υλοποίησης ή αποτελεσματικότητας. Η πλατφόρμα χρειάζεται ένα επίπεδο αποδεικτικών στοιχείων που κάνει περισσότερα από την αποθήκευση συνημμένων.

Για κάθε αποδεικτικό στοιχείο, οι αξιολογητές πρέπει να μπορούν να διαπιστώσουν τι αποδεικνύει, από πού προήλθε, ποιο περιβάλλον καλύπτει και αν παραμένει κατάλληλο για την περίοδο αξιολόγησης.

Η ποιότητα των αποδεικτικών στοιχείων εξαρτάται από το πλαίσιο. Μια πολιτική μπορεί να αποδεικνύει μια εγκεκριμένη προσδοκία· δεν αποδεικνύει από μόνη της ότι οι άνθρωποι την ακολούθησαν. Μια εξαγωγή ρυθμίσεων μπορεί να αποδεικνύει μια ρύθμιση· ενδέχεται να μην αποδεικνύει ότι η ρύθμιση κάλυπτε κάθε σχετικό περιουσιακό στοιχείο καθ’ όλη την περίοδο αξιολόγησης.

Μια πρακτική επισκόπηση αποδεικτικών στοιχείων διακρίνει τον σχεδιασμό, την υλοποίηση και τη λειτουργία του μέτρου ελέγχου. Για ένα μέτρο επισκόπησης πρόσβασης, αυτό μπορεί να σημαίνει μια εγκεκριμένη διαδικασία, τον πληθυσμό λογαριασμών που επισκοπήθηκε, τις αποφάσεις των αξιολογητών και απόδειξη ότι ολοκληρώθηκαν οι απαιτούμενες αφαιρέσεις.

Επιδείξτε αντιφατικά και παρωχημένα αποδεικτικά στοιχεία

Δώστε στον προμηθευτή ένα τρέχον έγγραφο, ένα παρωχημένο έγγραφο και ένα αρχείο που αντιφάσκει εν μέρει με την περιγραφή της υλοποίησης. Χρησιμοποιήστε ανωνυμοποιημένες ή κατάλληλα εγκεκριμένες πληροφορίες.

Ζητήστε από την πλατφόρμα να υποστηρίξει μια αξιολόγηση μέτρου ελέγχου. Πρέπει να διατηρεί τις ξεχωριστές πηγές και να καθιστά ορατή την αβεβαιότητα αντί να τις συνδυάζει σιωπηρά σε μια σίγουρη δήλωση.

Ρωτήστε επίσης τι συμβαίνει όταν αλλάζουν τα αποδεικτικά στοιχεία. Εντοπίζει το σύστημα τα επηρεαζόμενα μέτρα ελέγχου και τις αξιολογήσεις; Μπορεί ένας αξιολογητής να διατηρήσει ένα προηγούμενο συμπέρασμα ενώ ξεκινά μια νέα επισκόπηση; Η ιστορική τεκμηρίωση εξαρτάται από τη διατήρηση της βάσης της αρχικής απόφασης, όχι απλώς από την αντικατάστασή της με το σημερινό αρχείο.

4. Μπορεί κάθε αξιολόγηση και κάθε αποτέλεσμα ΤΝ να επαληθευτεί;

Η θεμελίωση (grounding) και η επαλήθευση είναι συναφείς αλλά διαφορετικές. Η θεμελίωση προσδιορίζει το υλικό που τροφοδοτεί ένα αποτέλεσμα. Η επαλήθευση επιτρέπει σε έναν αξιολογητή να επιθεωρήσει τις συγκεκριμένες πηγές και τη συλλογιστική πίσω από αυτό.

Μια απάντηση ΤΝ που περιγράφεται ως «βασισμένη σε δεδομένα της εταιρείας» δεν αρκεί, αν ο αξιολογητής δεν μπορεί να διαπιστώσει ποια αρχεία στηρίζουν κάθε ουσιώδη ισχυρισμό. Η ρέουσα γραφή μπορεί να αποκρύπτει ελλείποντα αποδεικτικά στοιχεία υλοποίησης ή μια λανθασμένη παραδοχή για το πεδίο εφαρμογής.

Ένα τεκμηριωμένο αρχείο αξιολόγησης πρέπει να δείχνει:

• Την απαίτηση και το κριτήριο αξιολόγησης
• Την υλοποίηση που εξετάστηκε και το σχετικό πεδίο εφαρμογής
• Αναφορές σε αποδεικτικά στοιχεία και υποστηρικτικά αποσπάσματα
• Ελλείπουσες, αντιφατικές ή αβέβαιες πληροφορίες
• Την πρόταση, τις αλλαγές του αξιολογητή και το εγκεκριμένο συμπέρασμα
• Την ταυτότητα του αξιολογητή και την ημερομηνία της απόφασης
• Μεταγενέστερες αλλαγές που μπορεί να απαιτούν επαναξιολόγηση

Ζητήστε από τον προμηθευτή να εξηγήσει γιατί ένα μέτρο ελέγχου βαθμολογήθηκε ως μερικώς υλοποιημένο. Στη συνέχεια ρωτήστε ποια αποδεικτικά στοιχεία ενισχύουν το συμπέρασμα, ποια το αποδυναμώνουν, ποιος το ενέκρινε και τι θα το άλλαζε.

Διαχωρίστε τη βοήθεια από την εξουσία

Η ΤΝ μπορεί να εξάγει πληροφορίες, να προτείνει αντιστοιχίσεις, να συντάσσει δηλώσεις υλοποίησης ή να προετοιμάζει μια πρόταση αξιολόγησης. Οι δραστηριότητες αυτές έχουν διαφορετικές συνέπειες από την έγκριση μιας αποδοχής κινδύνου ή την αλλαγή ενός έγκυρου αρχείου.

Θεσπίστε όρια δικαιωμάτων ανά δυνατότητα. Ποιες πηγές μπορεί να διαβάσει ένας πράκτορας; Ποια αρχεία μπορεί να αλλάξει; Μπορεί να έχει πρόσβαση σε ευαίσθητα αποδεικτικά στοιχεία; Ποιες ενέργειες απαιτούν ανθρώπινη έγκριση; Πώς μπορεί μια εσφαλμένη ενέργεια να επιθεωρηθεί και να διορθωθεί;

Δοκιμάστε μη εξουσιοδοτημένα αιτήματα καθώς και κανονικά. Μια εντολή για σύνοψη των αποδεικτικών στοιχείων άλλου πελάτη δεν πρέπει να παρακάμπτει τους περιορισμούς του χώρου εργασίας. Οδηγίες ενσωματωμένες σε ένα μεταφορτωμένο έγγραφο πρέπει να αντιμετωπίζονται ως περιεχόμενο του εγγράφου και όχι ως εξουσιοδότηση για αποκάλυψη πληροφοριών ή αλλαγή αρχείων.

Για την ηγεσία, το ζήτημα της αγοράς είναι η λογοδοσία: ο χρόνος που εξοικονομείται στη σύνταξη δεν πρέπει να γίνει χρόνος που χάνεται για να ανασυντεθεί γιατί εγκρίθηκε μια δήλωση. Περαιτέρω ερωτήσεις αξιολόγησης καλύπτονται στη διακυβέρνηση πρακτόρων ΤΝ.

5. Μπορεί η εργασία να επαναχρησιμοποιηθεί με ασφάλεια μεταξύ πλαισίων;

Η υποστήριξη πολλαπλών πλαισίων πρέπει να σημαίνει κάτι περισσότερο από την εμφάνιση λογοτύπων πλαισίων. Η ευκαιρία είναι να υλοποιηθεί ένα μέτρο ελέγχου μία φορά και να επαναχρησιμοποιηθούν κατάλληλα αποδεικτικά στοιχεία. Ο κίνδυνος είναι να αντιμετωπιστούν διακριτές απαιτήσεις ως ισοδύναμες.

Μια διαδικασία απόκρισης σε περιστατικά μπορεί να υποστηρίζει ένα ΣΔΑΠ, υποχρεώσεις προς πελάτες και κανονιστικές υποχρεώσεις. Οι πηγές αυτές μπορεί παρ’ όλα αυτά να διαφέρουν ως προς το πεδίο εφαρμογής, τους παραλήπτες των αναφορών, τις προθεσμίες, τις απαιτήσεις έγκρισης και τις προσδοκίες διασφάλισης.

Οι αξιόπιστες αντιστοιχίσεις πρέπει να διατηρούν την έκδοση του πλαισίου, την κατεύθυνση της αντιστοίχισης, τον τύπο σχέσης, τον συντάκτη ή την πηγή, την κάλυψη, τα εναπομένοντα κενά και την κατάσταση επισκόπησης. Οι σχέσεις μπορεί να είναι πολλά-προς-πολλά· μια επικάλυψη δεν αποδεικνύει πλήρη ικανοποίηση προς καμία κατεύθυνση.

Το OSCAL Control Mapping Model του NIST παρέχει έναν δομημένο τρόπο αναπαράστασης σχέσεων μεταξύ μέτρων ελέγχου και στοιχείων μέτρων ελέγχου από διαφορετικές πηγές τεκμηρίωσης, χωρίς αναπαραγωγή του αρχικού τους περιεχομένου.

Ζητήστε από τον προμηθευτή να αντιστοιχίσει μια υλοποιημένη διαδικασία σε δύο πλαίσια και μία κανονιστική υποχρέωση. Το χρήσιμο αποτέλεσμα είναι τόσο η επαναχρησιμοποιήσιμη εργασία όσο και η εναπομένουσα διαφορά: ποια πρόσθετη υλοποίηση, ποια αποδεικτικά στοιχεία ή ποια απόφαση χρειάζεται;

Εφαρμόστε διαφορετική δοκιμή σε κάθε υποχρέωση

Για λογισμικό ISO 27001, εξετάστε το πεδίο εφαρμογής, την εκτίμηση και αντιμετώπιση κινδύνων, τη Δήλωση Εφαρμοσιμότητας, τον εσωτερικό έλεγχο, την ανασκόπηση από τη διοίκηση και τη βελτίωση. Πρόκειται για διακριτές δραστηριότητες. Οι ρήτρες 4–10 του προτύπου περιέχουν τις απαιτήσεις του ΣΔΑΠ· το Παράρτημα A περιέχει 93 μέτρα ελέγχου των οποίων η εφαρμοσιμότητα βασίζεται στον κίνδυνο. Μια λίστα ελέγχου μέτρων δεν είναι ολόκληρο το ΣΔΑΠ. Την πιστοποίηση τη διενεργεί ανεξάρτητος φορέας πιστοποίησης, όχι ο ISO ή ο πάροχος του λογισμικού.

Για λογισμικό NIS2, διαπιστώστε την εφαρμοσιμότητα βάσει του σχετικού εθνικού νόμου ενσωμάτωσης πριν αξιολογήσετε την κάλυψη. Τα άρθρα 20–23 της οδηγίας αφορούν την εποπτεία από τη διοίκηση, τα μέτρα διαχείρισης κινδύνων και την αναφορά σημαντικών περιστατικών. Αξιολογήστε αρχεία έγκρισης και εκπαίδευσης της διοίκησης, την ασφάλεια των προμηθευτών, τις επισκοπήσεις αποτελεσματικότητας και τις αρμοδιότητες αναφοράς, όχι μόνο αντιστοιχίσεις άρθρων.

Σε επίπεδο οδηγίας της ΕΕ, η αναφορά περιλαμβάνει έγκαιρη προειδοποίηση εντός 24 ωρών, κοινοποίηση εντός 72 ωρών και, κατά κανόνα, τελική έκθεση εντός ενός μηνός από την κοινοποίηση. Οι προθεσμίες των 24 και 72 ωρών εκκινούν από τη στιγμή που λαμβάνεται γνώση ενός σημαντικού περιστατικού· και οι δύο υποβολές απαιτούνται χωρίς αδικαιολόγητη καθυστέρηση. Οι εθνικοί και τομεακοί κανόνες πρέπει να ελέγχονται. Δοκιμάστε μια ροή εργασίας με καταγεγραμμένη τη γνώση του περιστατικού, εξουσιοδοτημένο πρόσωπο αναφοράς και αναπληρωτή, στοιχεία παραληπτών, αποφάσεις αναφοράς και απόδειξη υποβολής. Η NIS2 δεν δημιουργεί γενική πιστοποίηση εταιρειών ή λογισμικού.

Για λογισμικό SOC 2 και ελέγχων, διακρίνετε μια έκθεση βεβαίωσης (attestation) από μια πιστοποίηση. Δοκιμάστε περιόδους αποδεικτικών στοιχείων, αιτήματα ελεγκτών, υποστήριξη δειγματοληψίας, ευρήματα και περιορισμένη εξωτερική πρόσβαση. Μια επιτυχής δοκιμή της πλατφόρμας δεν είναι το συμπέρασμα ενός ελεγκτή.

Για συναφείς ανάγκες, δοκιμάστε την πραγματική εξειδικευμένη ροή εργασίας. Η εργασία για την ιδιωτικότητα μπορεί να απαιτεί αρχεία δραστηριοτήτων επεξεργασίας, επισκοπήσεις συμβάσεων και χειρισμό αιτημάτων. Η διακυβέρνηση ΤΝ μπορεί να απαιτεί απογραφές περιπτώσεων χρήσης και αξιολογήσεις ανά ρόλο· το ISO 42001 και το προαιρετικό NIST AI RMF δεν εξασφαλίζουν αυτομάτως συμμόρφωση με την Πράξη για την ΤΝ. Για ανάγκες του χρηματοπιστωτικού τομέα, ερμηνεύστε τον DORA ανάλογα με τον ρόλο του οργανισμού αντί να αναπαράγετε κάθε μέτρο ελέγχου της NIS2.

6. Μπορεί να εκτελεί επαναλήψιμη εργασία και να δείχνει ουσιαστικά αποτελέσματα;

Οι επαναλήψιμες ροές εργασίας μετατρέπουν το λογισμικό GRC σε λειτουργική υποδομή. Πρέπει να ορίζουν εισόδους, αρμοδιότητες, βήματα, σημεία επισκόπησης, εξόδους και όρια έγκρισης, διατηρώντας το ιστορικό κάθε εκτέλεσης.

Δοκιμάστε μια πλήρη επισκόπηση μέτρου ελέγχου: συλλέξτε τις σχετικές πληροφορίες, εντοπίστε κενά, ετοιμάστε μια πρόταση, δρομολογήστε την για επισκόπηση, καταγράψτε την απόφαση και ενημερώστε τη σχετική αποκατάσταση. Η ομάδα πρέπει να βλέπει τι έκανε ο αυτοματισμός, τι άλλαξε ο αξιολογητής και τι εγκρίθηκε.

Διακρίνετε τη συλλογή, τη δοκιμή και την παρακολούθηση

Η επαναλαμβανόμενη συλλογή δεδομένων ρυθμίσεων δεν ισοδυναμεί με δοκιμή ενός μέτρου ελέγχου. Η επαναλαμβανόμενη δοκιμή ενός μέτρου ελέγχου δεν ισοδυναμεί με ανίχνευση και απόκριση σε περιστατικά ασφάλειας.

Ρωτήστε τι ακριβώς αξιολογεί κάθε αυτοματοποιημένη δοκιμή, πόσο συχνά εκτελείται, ποια περιουσιακά στοιχεία εξαιρεί και τι συμβαίνει όταν αποτυγχάνει. Οι τεχνικές ρυθμίσεις μπορεί να επιτρέπουν συχνούς ελέγχους· τα διοικητικά μέτρα ελέγχου μπορεί να απαιτούν προγραμματισμένη ανθρώπινη επισκόπηση. Μια λογική συχνότητα ακολουθεί τον κίνδυνο και το μέτρο ελέγχου, όχι μια καθολική προτίμηση για ωριαίες δοκιμές.

Για την αποκατάσταση, δοκιμάστε την ανάθεση ευθύνης, τη σοβαρότητα, τις προθεσμίες, την κλιμάκωση, τις εξαιρέσεις και την επικύρωση κλεισίματος. Η επίλυση ενός αιτήματος δεν πρέπει να αποδεικνύει αυτομάτως ότι το υποκείμενο μέτρο ελέγχου είναι αποτελεσματικό. Μπορεί να εξακολουθεί να χρειάζεται επαναληπτική δοκιμή ή απόφαση αξιολογητή.

Οι ροές εργασίας για τους προμηθευτές αξίζουν τον ίδιο έλεγχο. Αναζητήστε ένα μητρώο με εξαρτήσεις υπηρεσιών, κρισιμότητα, σκεπτικό αξιολόγησης, ευρήματα, υπευθύνους και ημερομηνίες επισκόπησης. Ένας φάκελος με ερωτηματολόγια δεν είναι μια συνεχής διαδικασία διαχείρισης κινδύνων προμηθευτών.

Αξιολογήστε τις αναφορές για τρία ακροατήρια

Οι μηχανικοί χρειάζονται αξιοποιήσιμες αποτυχίες και ανατεθειμένη εργασία. Οι αξιολογητές GRC χρειάζονται κάλυψη, τρέχοντα αποδεικτικά στοιχεία, ανοιχτά ερωτήματα και κατάσταση αξιολογήσεων. Η διοίκηση χρειάζεται ουσιώδεις κινδύνους, καθυστερημένες αντιμετωπίσεις, εξαρτήσεις και αποφάσεις που απαιτούν εξουσία.

Ζητήστε να ανιχνεύσετε μια σύνοψη για τη διοίκηση πίσω στα υποκείμενα αρχεία. Τα ποσοστά πρέπει να γνωστοποιούν τον παρονομαστή και τις εξαιρέσεις τους. Το «όλες οι συνδεδεμένες δοκιμές επιτυχείς» δεν πρέπει να παρουσιάζεται ως «όλες οι υποχρεώσεις ικανοποιούνται».

Χρήσιμοι δείκτες για τη διοίκηση είναι τα αποδεικτικά στοιχεία που αναμένουν επισκόπηση, οι καθυστερημένες ενέργειες υψηλού αντικτύπου, οι ληγμένες αποδοχές κινδύνου, τα επαναλαμβανόμενα ευρήματα και οι αλλαγές στην κάλυψη. Οι αναφορές πρέπει να διακρίνουν τις τρέχουσες πληροφορίες από τα παρωχημένα ή μη αξιολογημένα αρχεία. Δείτε τους δείκτες ΣΔΑΠ για επιλογές μέτρησης πέρα από την ολοκλήρωση λιστών ελέγχου.

7. Είναι αρκετά ασφαλές και φορητό για ευαίσθητα δεδομένα;

Μια πλατφόρμα GRC μπορεί να αποκαλύπτει αρχιτεκτονική, γνωστές αδυναμίες, εξαρτήσεις από προμηθευτές, διαδικασίες περιστατικών και αποφάσεις της διοίκησης. Αξιολογήστε την ασφάλειά της πριν μεταφορτώσετε πραγματικά αποδεικτικά στοιχεία.

Ζητήστε αποδεικτικά στοιχεία για την απομόνωση μισθωτών και πελατών, την κρυπτογράφηση κατά τη μεταφορά και σε κατάσταση ηρεμίας, τα μέτρα ελέγχου πρόσβασης, τη διαχειριστική πρόσβαση, την καταγραφή, την απόκριση σε περιστατικά, τα αντίγραφα ασφαλείας και την ανάκτηση, τη διατήρηση και τη διαγραφή. Όπου συζητείται κρυπτογράφηση, ρωτήστε για την κυριότητα των κλειδιών, τον κύκλο ζωής, την ανάκτηση και τον διαχωρισμό, όχι μόνο αν η κρυπτογράφηση είναι ενεργοποιημένη.

Διαχωρίστε τη συνήθη ανάγνωση, την ανάγνωση ευαίσθητων δεδομένων, την εγγραφή, την έγκριση και τη διαχείριση. Δοκιμάστε την πρόσβαση εξωτερικών αξιολογητών και τη λήξη της. Για τις συμβουλευτικές εταιρείες, επαληθεύστε ότι η κοινή μεθοδολογία δεν εκθέτει αρχεία συγκεκριμένων πελατών μέσω αναζήτησης, πλαισίου ΤΝ, εξαγωγών ή ειδοποιήσεων.

Για την επεξεργασία μέσω ΤΝ, διαπιστώστε ποιοι πάροχοι και υποεκτελούντες λαμβάνουν πληροφορίες, για ποιον λόγο, ποια διατήρηση εφαρμόζεται και αν οι πληροφορίες των πελατών χρησιμοποιούνται για εκπαίδευση. Ζητήστε συμβατική σαφήνεια αντί να βασίζεστε σε μια γενική δήλωση απορρήτου.

Η τοποθεσία φιλοξενίας έχει σημασία, αλλά δεν αποδεικνύει από μόνη της κυριαρχία ή συμμόρφωση με τον ΓΚΠΔ. Λάβετε υπόψη τις ρυθμίσεις πρόσβασης, τους ρόλους επεξεργασίας, τις συμβάσεις, τους υποεκτελούντες και τις σχετικές εκτιμήσεις διαβιβάσεων.

Επισκοπήστε το πεδίο εφαρμογής και την περίοδο των αποδεικτικών στοιχείων διασφάλισης του προμηθευτή. Ένα πιστοποιητικό ή μια έκθεση μπορεί να εξαιρεί την υπηρεσία, τη λειτουργία ή τη ρύθμιση επεξεργασίας που σκοπεύετε να χρησιμοποιήσετε. Το άρθρο πώς να αξιολογήσετε τη διασφάλιση ασφάλειας εξηγεί αυτή την επισκόπηση.

Δοκιμάστε την έξοδο πριν υπογράψετε

Ζητήστε ένα δείγμα εξαγωγής που να περιέχει μέτρα ελέγχου, υλοποιήσεις, αντιστοιχίσεις, κινδύνους, αναφορές σε αποδεικτικά στοιχεία, αξιολογήσεις, αποφάσεις και σχέσεις. Ελέγξτε αν τα συνημμένα και το ιστορικό παραμένουν αξιοποιήσιμα εκτός της πλατφόρμας.

Τα μοντέλα OSCAL του NIST υποστηρίζουν μηχαναγνώσιμες πληροφορίες για μέτρα ελέγχου, υλοποίηση, αξιολόγηση, αποτελέσματα και αποκατάσταση. Το δομημένο XML, JSON ή YAML μπορεί να βελτιώσει τη φορητότητα, αλλά το όνομα ενός μορφότυπου από μόνο του δεν αποδεικνύει πλήρη εξαγωγή. Ελέγξτε ποια μοντέλα, σχέσεις και επεκτάσεις περιλαμβάνονται.

Συμφωνήστε τη διαθεσιμότητα εξαγωγής, τη βοήθεια στη μετάπτωση, την πρόσβαση μετά τη λήξη της σύμβασης και τις διαδικασίες διαγραφής. Τα τελικά PDF και τα επίπεδα υπολογιστικά φύλλα μπορεί να διατηρούν την παρουσίαση ενώ χάνουν το λειτουργικό μοντέλο.

Συγκρίνετε την υποστήριξη και το συνολικό κόστος κτήσης

Διαχωρίστε την τεχνική υποστήριξη, τη βοήθεια στην υλοποίηση, τις επαγγελματικές συμβουλευτικές υπηρεσίες και την ανεξάρτητη διασφάλιση. Λύνουν διαφορετικά προβλήματα.

Ρωτήστε ποιος θα απαντήσει σε ένα ερώτημα ερμηνείας, ποια εμπειρία έχει, αν ο ίδιος σύμβουλος παραμένει εμπλεκόμενος και για πόσο διάστημα περιλαμβάνεται η υπηρεσία. Διευκρινίστε τις δεσμεύσεις απόκρισης, την κάλυψη ζωνών ώρας, την κλιμάκωση κατά τη διάρκεια ενός ελέγχου και ποιος εκτελεί την εργασία όταν η υλοποίηση καθυστερεί.

Αν περιλαμβάνονται υπηρεσίες δοκιμών ή ελέγχου, εξετάστε τις ξεχωριστά. Μια σάρωση ευπαθειών και μια δοκιμή διείσδυσης παρέχουν διαφορετικά αποδεικτικά στοιχεία. Ούτε το ISO 27001 ούτε το SOC 2 επιβάλλουν μία καθολική απαίτηση δοκιμής διείσδυσης σε κάθε οργανισμό· το πεδίο εφαρμογής, ο κίνδυνος, τα επιλεγμένα μέτρα ελέγχου και οι προσδοκίες των πελατών έχουν σημασία. Επιβεβαιώστε το πεδίο της δοκιμής, τη μεθοδολογία, την υποστήριξη αποκατάστασης και τους όρους επαναληπτικής δοκιμής.

Όπου προτείνεται ελεγκτής ή φορέας πιστοποίησης, διαπιστώστε την πραγματική ανεξαρτησία, την ελευθερία επιλογής και τις εμπορικές ρυθμίσεις. Η ετοιμότητα στο λογισμικό δεν είναι γνώμη διασφάλισης και η διασφάλιση δεν ικανοποιεί αυτομάτως την επισκόπηση ασφάλειας κάθε πελάτη.

Δημιουργήστε ένα μοντέλο κόστους που να καλύπτει:

• Συνδρομή, ενότητες, τύπους χρηστών, οντότητες και πλαίσια
• Υλοποίηση, μετάπτωση και συντήρηση ενοποιήσεων
• Εσωτερική διαχείριση και προσπάθεια των υπευθύνων μέτρων ελέγχου
• Συμβουλευτικές υπηρεσίες, δοκιμές, επαναληπτικές δοκιμές και ανεξάρτητους ελέγχους
• Χρήση ΤΝ, αποθήκευση, όρια API και άλλες χρεώσεις κατανάλωσης
• Ανανέωση, αναμενόμενη ανάπτυξη και τελική έξοδο

Ζητήστε τιμολόγηση για το σημερινό πεδίο εφαρμογής και για ένα ρεαλιστικό μελλοντικό πεδίο. Τεκμηριώστε τι προκαλεί αυξήσεις και ποιες λειτουργίες εξαιρούνται. Μια χαμηλότερη συνδρομή μπορεί να είναι συνολικά ακριβότερη, αν απαιτεί σημαντική συμφωνία δεδομένων και χειροκίνητη επισκόπηση.

Εκτελέστε έναν αντιπροσωπευτικό πιλότο, όχι μια γενική επίδειξη

Χρησιμοποιήστε τον ίδιο ανωνυμοποιημένο φάκελο αποδεικτικών στοιχείων και τα ίδια κριτήρια αποδοχής για κάθε προμηθευτή της τελικής λίστας. Συμπεριλάβετε έναν υπεύθυνο μέτρου ελέγχου, έναν αξιολογητή, έναν τεχνικό διαχειριστή και έναν ενδιαφερόμενο από τις προμήθειες.

Μια πρακτική κάρτα βαθμολόγησης μπορεί να σταθμίζει την προσαρμογή σε ροές εργασίας και μεθοδολογία με 25%, τα αποδεικτικά στοιχεία και την επαλήθευση με 20%, την ασφάλεια και τη φορητότητα με 20%, την κάλυψη ενοποιήσεων με 15%, τη χρηστικότητα και τις αναφορές με 10% και την υποστήριξη και το συνολικό κόστος με 10%. Οι σταθμίσεις αυτές είναι σύσταση, όχι καθολικός τύπος· συμφωνήστε τις πριν από τις επιδείξεις.

Βαθμολογήστε τις αποδεδειγμένες δυνατότητες χωριστά από τις υποσχέσεις παραμετροποίησης και τα στοιχεία του οδικού χάρτη. Μια αποτυχία στην ασφάλεια ή στην απομόνωση πρέπει να αποτελεί κριτήριο αποκλεισμού στην αγορά και όχι κάτι που μπορεί να αντισταθμίσει ένας ελκυστικός πίνακας ελέγχου.

Παράδειγμα: επισκόπηση πρόσβασης σε δύο πεδία εφαρμογής

Ενδεικτικές παραδοχές: Μια εταιρεία λογισμικού 180 ατόμων λειτουργεί δύο υπηρεσίες, διατηρεί ΣΔΑΠ και λαμβάνει επαναλαμβανόμενα αιτήματα διασφάλισης από πελάτες. Ο πιλότος της καλύπτει την επισκόπηση προνομιούχας πρόσβασης σε μία παραγωγική υπηρεσία. Όλα τα αποδεικτικά στοιχεία είναι ανωνυμοποιημένα.

Ο φάκελος περιέχει μια εγκεκριμένη διαδικασία, μια εξαγωγή ταυτοτήτων, ένα ολοκληρωμένο αρχείο επισκόπησης, μια παρωχημένη λίστα λογαριασμών και ένα αίτημα που δείχνει ότι μία απαιτούμενη αφαίρεση παραμένει ανοιχτή.

Ζητήστε από κάθε προμηθευτή να προσδιορίσει το σχετικό πεδίο εφαρμογής και τον υπεύθυνο, να συνδέσει τα αποδεικτικά στοιχεία με την υλοποίηση, να διακρίνει τα τρέχοντα από τα παρωχημένα αρχεία και να ετοιμάσει μια αξιολόγηση που μπορεί να επισκοπηθεί. Η ανεκτέλεστη αφαίρεση πρέπει να παραμένει ορατή. Η επαναχρησιμοποίηση αυτών των αποδεικτικών στοιχείων για άλλο πλαίσιο πρέπει να διατηρεί το πεδίο εφαρμογής και την περίοδο επισκόπησής τους.

Στη συνέχεια, εισαγάγετε μια δεύτερη υπηρεσία που χρησιμοποιεί διαφορετικό σύστημα ταυτότητας. Τα αρχικά θετικά αποδεικτικά στοιχεία δεν πρέπει να αποδεικνύουν αυτομάτως κάλυψη εκεί. Τέλος, αντικαταστήστε την εξαγωγή με μια νεότερη που περιέχει έναν ανεξήγητο προνομιούχο λογαριασμό. Ρωτήστε ποια εγκεκριμένα συμπεράσματα χρειάζονται επισκόπηση και αν η προηγούμενη απόφαση παραμένει ανασυνθέσιμη.

Τα απαιτούμενα παραδοτέα του πιλότου είναι ένα αρχείο μέτρου ελέγχου με καθορισμένο πεδίο εφαρμογής, ένα ευρετήριο αποδεικτικών στοιχείων, μια επισκοπημένη αξιολόγηση, ανατεθειμένη αποκατάσταση, αντιστοίχιση με ορατά κενά, σύνοψη για τη διοίκηση, αποτελέσματα δοκιμών δικαιωμάτων και αξιοποιήσιμη εξαγωγή.

Για μια ενδεικτική σύγκριση κόστους, υποθέστε ότι η τρέχουσα διαδικασία καταναλώνει 30 ώρες προσωπικού μηνιαίως με πλήρες κόστος σχεδιασμού 60 € ανά ώρα: 21.600 € ετησίως. Ας υποθέσουμε ότι ο πιλότος υποδεικνύει 12 ώρες μηνιαίως μετά την υιοθέτηση: 8.640 € ετησίως. Η μοντελοποιημένη διαφορά δυναμικότητας είναι 12.960 €, πριν από το κόστος συνδρομής, υλοποίησης και ενοποιήσεων. Δεν είναι υποσχόμενη εξοικονόμηση ούτε κατ’ ανάγκη αποδέσμευση μετρητών· δείχνει ποιες παραδοχές πρέπει να επικυρώσει η απόφαση αγοράς.

Κάντε την υλοποίηση μέρος της απόφασης αγοράς

Πριν υπογράψετε, ορίστε έναν εσωτερικό υπεύθυνο και συμφωνήστε το πρώτο όριο υλοποίησης. Αποφύγετε την εισαγωγή κάθε ιστορικού αρχείου χωρίς να αποφασίσετε τι παραμένει τρέχον, έγκυρο ή άξιο διατήρησης.

Ξεκινήστε με μία υπηρεσία ή διαδικασία, ονομασμένους υπευθύνους και αξιολογητές, αντιπροσωπευτικά μέτρα ελέγχου και σύντομο κύκλο επισκόπησης αποδεικτικών στοιχείων. Χαρτογραφήστε νωρίς τις εξαρτήσεις και τους εξωτερικούς παρόχους. Μεταφέρετε τα αρχεία που χρειάζονται για τη λειτουργία αυτού του πεδίου εφαρμογής, διατηρήστε το απαιτούμενο ιστορικό και συμφωνήστε το εισαγόμενο μοντέλο με το μητρώο της πηγής.

Εκπαιδεύστε τους χρήστες ανά ρόλο: οι υπεύθυνοι υποβάλλουν και εξηγούν αποδεικτικά στοιχεία, οι αξιολογητές τα αξιολογούν, οι διαχειριστές συντηρούν την πρόσβαση και τη δομή και τα ηγετικά στελέχη εγκρίνουν αποφάσεις εντός της εξουσίας τους. Ορίστε πώς θα αντιμετωπίζονται οι αλλαγές στο πεδίο εφαρμογής, τα παρωχημένα αποδεικτικά στοιχεία, οι καθυστερημένες ενέργειες και οι αποτυχίες πηγών.

Μετά τον πρώτο κύκλο επισκόπησης, συγκρίνετε τα αποτελέσματα με το σημείωμα αγοράς. Μετρήστε την προσπάθεια των αξιολογητών, την επικαιρότητα των αποδεικτικών στοιχείων, τα επαναλαμβανόμενα αιτήματα, την ανεπίλυτη ανάθεση ευθυνών και την υιοθέτηση εκτός της ομάδας GRC. Επεκταθείτε μόνο αφού η ροή εργασίας γίνει κατανοητή και επαναλήψιμη. Οι ενημερώσεις προϊόντος και οι αλλαγές πλαισίων πρέπει να υποβάλλονται σε επισκόπηση επιπτώσεων αντί να αλλάζουν σιωπηρά εγκεκριμένα αρχεία.

Το Secani είναι χτισμένο γύρω από τη διασυνδεδεμένη εργασία συμμόρφωσης στην κυβερνοασφάλεια. Η τεκμηριωμένη αρχική ροή εργασίας του χρησιμοποιεί μια εστιασμένη οργανωτική μονάδα, διαδικασία, προϊόν ή διαχειριζόμενη υπηρεσία. Οι ομάδες μοντελοποιούν αντικείμενα-στόχους και εξαρτήσεις, συνδέουν πολιτικές, εξαγωγές και στιγμιότυπα οθόνης με τις απαιτήσεις ή τα μέτρα ελέγχου που υποστηρίζουν και μετατρέπουν τα ελλείποντα αποδεικτικά στοιχεία ή την ασαφή ανάθεση ευθυνών σε εργασίες. Οι προτάσεις της ΤΝ παραμένουν προσχέδια: οι αξιολογητές επιθεωρούν τις πηγές, προσαρμόζουν τη διατύπωση και εγκρίνουν ανιχνεύσιμες αποφάσεις. Η τεκμηρίωση και η καθοδήγηση για τα δικαιώματα παρέχουν το αρχικό πλαίσιο. Χρησιμοποιήστε τον δημόσιο οδικό χάρτη μαζί με μια πρακτική επίδειξη για να σχεδιάσετε πώς η ομάδα σας θα υιοθετεί πρόσθετες ροές εργασίας καθώς εξελίσσεται το προϊόν. Αξιολογήστε τις αποδεδειγμένες δυνατότητες σε σχέση με τα κριτήρια αποδοχής του πιλότου και καταγράψτε χωριστά την προγραμματισμένη εργασία.

Συχνές ερωτήσεις

Μπορεί το λογισμικό GRC να κάνει έναν οργανισμό συμμορφούμενο;

Όχι. Μπορεί να δομήσει απαιτήσεις, να συντονίσει την υλοποίηση, να διατηρήσει αποδεικτικά στοιχεία και να υποστηρίξει την αξιολόγηση. Οι άνθρωποι εξακολουθούν να λειτουργούν τα μέτρα ελέγχου, να ερμηνεύουν τις υποχρεώσεις, να αποδέχονται κινδύνους και να επισκοπούν τα συμπεράσματα. Οι αποφάσεις πιστοποίησης ή βεβαίωσης ανήκουν στον αρμόδιο ανεξάρτητο πάροχο διασφάλισης.

Πρέπει να αγοράσουμε μια ευρύτερη πλατφόρμα για πιθανές μελλοντικές υποχρεώσεις;

Αξιολογήστε τις αξιόπιστες μελλοντικές ανάγκες, αλλά αποφύγετε να πληρώνετε για εικαζόμενο εύρος. Ρωτήστε πώς θα προστεθεί ένα άλλο πεδίο εφαρμογής ή πλαίσιο χρησιμοποιώντας το υπάρχον μοντέλο σας. Μια αποδεδειγμένη διαδρομή επέκτασης είναι πιο χρήσιμη από έναν μεγάλο κατάλογο αχρησιμοποίητων ενοτήτων.

Αντικαθιστά το GRC εγγενώς βασισμένο στην ΤΝ έναν σύμβουλο ή έναν επαγγελματία συμμόρφωσης;

Όχι. Ένα σύστημα σχεδιασμένο ειδικά για τον σκοπό μπορεί να διατηρεί μόνιμο πλαίσιο που σέβεται τα δικαιώματα και να κάνει τις μεθόδους των ειδικών επαναχρησιμοποιήσιμες. Πρέπει να μειώνει τη μηχανική εργασία διατηρώντας την ευθύνη για τις αμφίσημες ερμηνείες, τις αποφάσεις πεδίου εφαρμογής, τις κρίσεις επάρκειας και τις εγκρίσεις.

Τι γίνεται αν κανένα προϊόν δεν καλύπτει ολόκληρη την υποδομή μας;

Προσδιορίστε ρητά τα μη καλυπτόμενα συστήματα και συμφωνήστε μια ελεγχόμενη χειροκίνητη διαδικασία ή διαδικασία προσαρμοσμένης ενοποίησης. Αναθέστε την ευθύνη, τη συχνότητα επισκόπησης και το κόστος συντήρησης. Ο μερικός αυτοματισμός είναι λειτουργικός όταν το όριο κάλυψης παραμένει ορατό.

Τι πρέπει να κάνουμε στη συνέχεια;

Ετοιμάστε ένα σημείωμα αγοράς μίας σελίδας και έναν αντιπροσωπευτικό φάκελο αποδεικτικών στοιχείων. Ζητήστε από τους προμηθευτές της τελικής λίστας να οδηγήσουν αυτόν τον φάκελο από την απαίτηση έως το επισκοπημένο συμπέρασμα και, στη συνέχεια, να αλλάξουν ένα σημαντικό αρχείο πηγής. Αξιολογήστε την επηρεαζόμενη εργασία, την προσπάθεια των αξιολογητών, τη λογοδοσία και την εξαγωγή, όχι μόνο το αρχικό αποτέλεσμα.