Turvalisuse ja vastavuse äriline väärtus

Turvalisus ja vastavus loovad ärilist väärtust mitme erineva tee kaudu: need aitavad klientidel ostuotsuseid teha, vähendavad korduvat tööd, parandavad talitluskindlust, täidavad kohaldatavaid kohustusi ja muudavad juhtimisotsused paremini põhjendatavaks. Nende teede eraldi mõõtmine annab tugevama investeerimisargumendi kui üldine lubadus kiiremast kasvust.

Tegevjuhi vaatenurgast ei ole küsimus selles, kas turvalisus suudab tagada, et midagi ei lähe valesti. Seda ta ei suuda. Küsimus on selles, kas organisatsioon kaitseb seda, mis on oluline, täidab oma kohustusi ja loob usutavaid tõendeid kuluga, mis on tema äriga proportsionaalne.

Selleks peab juhtkond eristama kohustuslikku tööd valikulistest parendustest, tegelikku kokkuhoidu vabanenud võimekusest ning ärivõimalust juba teenitud tulust.

Alustage turvalisuse, vastavuse ja kindlustunde eristamisest

Turvalisus on töö süsteemide, teabe ja teenuste kaitsmiseks asjakohaste ohtude eest. Vastavus tähendab kohaldatavate õiguslike, lepinguliste või raamistikunõuete täitmist. Kindlustunne on tõend, mis aitab kellelgi teisel hinnata, kas neid kohustusi täidetakse.

Need tegevused kattuvad, kuid ei ole omavahel asendatavad. Taastetest suurendab usaldust taastamise vastu. Dokumenteeritud testitulemus annab kindlustunde. See, kas test täidab konkreetse kohustuse, sõltub nõudest, ulatusest ja tõendi kvaliteedist.

ISO/IEC 27001 sertifikaat käsitleb kindla ulatusega infoturbe juhtimissüsteemi ja selle väljastab sõltumatu sertifitseerimisasutus. SOC 2 aruanne on atesteerimisaruanne, mitte sertifikaat. Kumbki ei tõenda, et iga toode, tütarettevõte või töötlemistoiming vastab kõigile kohaldatavatele seadustele.

Juhtkonna jaoks hoiab see eristus ära kaks kulukat viga: tunnistuse ostmise ilma aluseks olevaid nõrkusi parandamata ning kasulike kontrollimeetmete loomise ilma, et need oleksid klientidele või ülevaatajatele arusaadavad.

Kasutage enne programmi kinnitamist lihtsat väärtuskaarti:

Need on eraldi mõõtmiskategooriad, mitte viis kasu, mida automaatselt kokku liita.

Klientide kindlustunne: muutke usaldus kontrollitavaks

Teenust hindav ostja vajab enamat kui märki. Ta peab mõistma, mida teenus teeb, milliseid andmeid see käsitleb, kus vastutus asub ja kas asjakohased kontrollimeetmed toimivad praktikas.

Kasulik kindlustundepakett võib sisaldada teenuse kirjeldust, olemasoleva sertifikaadi või aruande ulatust, ülevaadatud turvaülevaadet, asjakohast lepingulist teavet ja vastuseid korduvatele küsimustele. Tundlikele tõenditele peaks juurdepääs olema kontrollitud, selle asemel et neid valimatult avaldada.

Äriline kasu sõltub ostjast. Üks potentsiaalne klient võib nõuda sõltumatult hinnatud juhtimissüsteemi. Teine võib aktsepteerida konkreetsete kontrollimeetmete otseseid tõendeid. Kolmas võib vajada lepingulisi kohustusi, parandusplaani või selgitust välistatud teenuse kohta. Küsige, mis ülevaatuse rahuldab, enne kui investeerite artefakti, mis vastuväitele ei vasta.

Mõõtke turvalisusega seotud hõõrdumist, mitte kogu müügitsüklit

Salvestage, millal turvaülevaatus algab, millal esitatakse täielik vastus ja millal ostja selle aktsepteerib. Salvestage eraldi aeg, mis kulub ostja ootamisele, õiguslikele läbirääkimistele, hinnakinnitusele ja toote hindamisele.

Kasulikud mõõdikud on:

• Aeg esialgse ülevaadatud vastuse esitamiseni.
• Korduvad päringud, mille põhjuseks on puudulikud või aegunud vastused.
• Võimalused, mis viibisid just puuduva kindlustunde tõttu.
• Võimalused, mis lükati tagasi dokumenteeritud turvanõude tõttu.
• Ühe ülevaatuse jaoks vajalikud sisemised töötunnid.

Võrrelge sarnaseid kliendisegmente ja tehingute keerukust. Kui valimisse lisanduvad väiksemad ostjad, võib keskmine vastamisaeg väheneda ilma igasuguse protsessiparenduseta.

Sertifikaat võib täita ostutingimuse, tagamata tulu või kõrvaldamata edasist hoolsuskontrolli. Kirjeldage müügitoru kui „sellele kindlustundenõudele alluvat“, mitte kui „sertifitseerimisest saadud tulu“. Müük, toote sobivus, hinnakujundus ja juurutusvõimekus on endiselt olulised.

Ka avalikel väidetel peab olema omanik. Kui turundus väidab, et kõik kliendiandmed on krüpteeritud või et sertifikaat hõlmab teenust, peab keegi kontrollima sõnastust tegeliku rakenduse ja ulatuse alusel. Liiga lai väide loob kohustuse, mida tegevusmeeskond ei pruugi suuta toetada.

Tegevusvõimekus: lugege kokku töö, mis kaob

Vastavustöö muutub kulukaks, kui samu tõendeid kogutakse, tõlgendatakse ja selgitatakse korduvalt. Kliendi küsimustik, sisemine ülevaatus ja väline audit võivad kõik küsida juurdepääsuhalduse kohta, kuid igaüks saabub erineva sõnastuse ja tähtajaga.

Ühised, ülevaadatud kirjed võivad dubleerimist vähendada. Taaskasutatav vara ei ole pelgalt fail: see on tõend, mis on seotud nõude, määratletud ulatuse, omaniku, ülevaatuse kuupäeva ja järeldusega selle kohta, mida see tõendab.

Näiteks juurdepääsu ülevaatuse kirje võib toetada mitut päringut, kui see tuvastab selgelt ülevaadatud süsteemid, ülevaataja, leiud ja võetud meetmed. See ei saa automaatselt tõendada, et igal süsteemil on asjakohane juurdepääs. Taaskasutamine eeldab asjakohasuse ja värskuse kontrollimist.

Kehtestage lähtetase nelja tegevuse lõikes: tõendite kogumine, selgitamine, ülevaatamine ja ajakohastamine. Seejärel arvestage kokkuhoiu hindamisel juurutamise, koolituse, tellimuste ja jooksva halduse kulu. Kogumistöö viimine uude tööriista, jättes ülevaatuse vastutuse ebaselgeks, võib kulusid pigem nihutada kui vähendada.

Vabanenud inseneride võimekusel on väärtus ka siis, kui palgafond ei vähene. Esitage kasu täpselt:

• Lisavõimekus: olemasolevad töötajad saavad kulutada rohkem aega muule tööle.
• Välditud kulu: kavandatud töölevõtmist või välist teenust ei ole enam vaja.
• Rahaline kokkuhoid: kulu kaob tegelikult.

Ärge arvestage samade tundide puhul kõiki kolme. Meie automatiseerimise tasuvuse juhend annab äriargumendi selle tegevusliku osa jaoks konkreetse arvutuse.

Talitluskindlus: rahastage ärile olulisi tulemusi

Organisatsioonil võib olla korras dokumentatsioon ja ta ei pruugi siiski suuta kriitilist teenust taastada. Seetõttu peaks talitluskindlusse investeerimine algama ärisõltuvustest, mitte kirjutatud poliitikate arvust.

Tuvastage teenused, mille katkemine takistaks tarnimist, paljastaks tundlikku teavet või õõnestaks lepingulisi kohustusi. Küsige, millistest süsteemidest, tarnijatest, inimestest ja andmetest need teenused sõltuvad. Seejärel hinnake, mida taastamine tegelikult nõuaks.

Juhtkond peaks saama tõendeid, nagu taastetestide tulemused, intsidendiõppuste leiud, lahendamata juurdepääsuprobleemid ja parandustööde tulemused. Varundamise eduteade ei ole samaväärne eduka taastamisega. Intsidendikava ei ole samaväärne sellega, et meeskond teab, kes saab erakorralised meetmed heaks kiita.

Kasulikud juhtimisküsimused on:

• Kas test saavutas selle teenuse jaoks kokkulepitud taasteeesmärgi?
• Milline sõltuvus takistas taastamist või aeglustas õppust?
• Kellele kuulub parandusmeede ja millal seda uuesti testitakse?
• Milline risk jääb alles, kuni meede on avatud?

Vältige hüpoteetiliste välditud intsidentide esitamist realiseerunud kokkuhoiuna. Stsenaariumianalüüs võib investeerimisotsuseid toetada, kuid eeldused tõenäosuse, kestuse ja mõju kohta peaksid jääma selgesõnaliseks. Kasutage vahemikke ja tuvastage ebakindlus, selle asemel et omistada täpset rahalist tasuvust intsidendile, mida ei juhtunud.

Intsidentideta periood ei tõenda, et kontrollimeetmed toimivad. Vastupidi, nõrkuste tuvastamine õppuse käigus on kasulik tõend, kui need leiud viivad lõpuleviidud parendusteni.

Õiguslikud ja lepingulised kohustused: tehke esmalt kindlaks kohaldatavus

Mõni kulu on vajalik, sest organisatsioonil on kohaldatav kohustus, mitte sellepärast, et see annaks lühiajaliselt positiivse tasuvuse. Juhtkond peaks siiski püüdlema tõhusa rakendamise poole, kuid kohustuslikku tööd ei saa kõrvale heita lihtsalt seetõttu, et selle ärilist kasu on raske mõõta.

Alustage dokumenteeritud kohaldatavuse hinnangust, mis hõlmab juriidilisi isikuid, asukohti, teenuseid, andmetöötlust, kliendilepinguid ja asjakohaseid sektorireegleid. Määrake vastutav omanik ja hankige õigus- või erialast nõu, kui tõlgendus on ebakindel.

GDPR-i kohaselt sõltuvad kohustused töötlemistoimingutest ja organisatsiooni rollidest. Artikkel 28 kehtestab nõuded vastutava ja volitatud töötleja vahelistele lepingutele, artikkel 32 aga nõuab riskile vastavat turvalisust. Sertifikaat ei asenda neid hinnanguid ja isikuandmete töötlemise leping ei lahenda iga rahvusvahelise edastamise küsimust.

NIS2 on direktiiv, mida rakendatakse riigisisese õiguse kaudu. Kohaldatavus sõltub sektorist, suurusest, teenustest ja hõlmamisreeglitest. Artiklid 20–23 käsitlevad juhtkonna järelevalvet, riskijuhtimismeetmeid ja olulistest intsidentidest teavitamist. Juhid peaksid kontrollima asjakohast riigisisest rakendamist, selle asemel et käsitleda ELi tasandi kokkuvõtet oma täieliku tegevusjuhisena.

DORA hõlmab peamiselt kindlaksmääratud finantsüksusi. IKT-tarnijatel võivad olla kliendi- ja lepingulised kohustused, samal ajal kui määratud kriitilistele teenuseosutajatele kehtib eraldi järelevalvekord. Mitte iga idufirma, kes tarnib pangale tarkvara, ei ole otseselt kõigi DORA kohustuste subjekt.

Pidage kohustuste registrit, mis tuvastab allika, kohaldatavuse põhjenduse, omaniku, rakendamise tõendid ja järgmise ülevaatuse käivitaja. Kui kontrollimeetmed teenivad mitut nõuet, taaskasutage rakendust ja tõendeid seal, kus see on asjakohane; ärge eeldage, et sarnane sõnastus muudab õiguslikud kohustused samaväärseks.

Investorid ja partnerid: vähendage ebakindlust enne hoolsuskontrolli

Investorid, omandajad ja strateegilised partnerid võivad uurida turvalisust ja privaatsust, sest nõrkused võivad mõjutada teenuse järjepidevust, vastutust, parandamise kulusid ja integratsiooniplaane. Selle ülevaatuse sügavus erineb tehingu ja äri lõikes; seda ei määra ainuüksi rahastamisetapp.

Valmistage ette piiritletud hoolsuskontrolli pakett: organisatsiooni ja teenuste ulatus, olemasolevad hindamistulemused, olulised riskid, lahendamata leiud, intsidentide ajalugu, asjakohased tarnijasõltuvused ja kavandatud kulud. Andke tundlikele materjalidele asjakohased juurdepääsupiirangud.

Väärtus seisneb äri selgemas selgituses, mitte garanteeritud väärtuse kasvus. Teadaolevat nõrkust, millel on usutav omanik ja rahastatud käsitlusplaan, on lihtsam hinnata kui enesekindlat väidet, mida puuduvad tõendid ümber lükkavad.

Juhtkond peaks olulised piirangud täpselt avalikustama. Kindla ulatusega sertifikaat ei hõlma omandatud ettevõtet automaatselt ja leidudega aruannet ei tohiks esitada tingimusteta turvalisuse tõendina.

Valige investeeringud otsuste, mitte tunnistuste kataloogi järgi

Praktiline soovitus on jagada rahastamisettepanek kolmeks kihiks:

1. Nõutavad kohustused: kohaldatavad kohustused ja lepingulised lubadused, mis vajavad rakendamist.
2. Oluliste riskide käsitlemine: parendused, mis on seotud kriitiliste teenuste ja usutavate tõrkestsenaariumidega.
3. Ärilised ja tegevuslikud parendused: kindlustunde võimekused ja töövoo muudatused, millel on mõõdetav kasu.

Märkige iga ettepaneku puhul ulatus, omanik, kulu, sõltuvus, oodatav tulemus ja ülevaatusel vajalikud tõendid. Lisage edasilükkamise tagajärjed. Sertifitseerimisprojekt võib sõltuda toimivatest kontrollimeetmetest ja sisemisest ülevaatusest; kliendi tähtaeg ei saa luua puuduvat kontrollimeetmete toimimise ajalugu.

Varasem alustamine võimaldab korrapärast parandamist ja tõendite kogumist. See ei tähenda, et iga noor ettevõte vajab iga raamistikku. Seadke prioriteedid tegelike kohustuste, teenuseriskide ja sihtklientide järgi.

Ärge premeerige meeskondi ainult leidude kiire sulgemise eest. Aktsepteeritud risk võib olla õigustatud, kuid see peaks tuvastama, kes selle aktsepteeris, ärilise põhjenduse, kõik kompenseerivad meetmed ning millal otsus aegub või tuleb uuesti läbi vaadata.

Läbitöötatud näide: piiritletud äriargument

Vaatleme illustratiivset tarkvaraettevõtet, mis parandab klientide ülevaatuste ja korduvate tõendite töövooge. Allpool toodud arvud on eeldused, mitte turu võrdlusnäitajad ega Secani lubadused.

Selle aastane lähtetase on 60 kliendiülevaatust, igaüks kaheksa sisemist töötundi, pluss 12 sisemist tõendite tsüklit, igaüks 20 tundi: kokku 720 tundi.

Kavandatud töövoog kasutab ülevaadatud vastuseid, seotud tõendeid, nimelisi omanikke ja ajastatud uuendusi. Ettevõte eeldab, et kliendiülevaatused vähenevad nelja tunnini ja sisemised tsüklid kümne tunnini: 360 tundi, sealhulgas tavapärane tõendite hooldus.

Eeldatava täiskuluga tööjõukulu 80 € tunnis juures esindavad vabanenud 360 tundi 28 800 € aastast võimekuse väärtust. Oletame 12 000 € korduvaid väliskulusid ja 10 000 € ühekordseid juurutuskulusid. Esimese aasta modelleeritud majanduslik kasu on seega 6800 €. Hilisematel aastatel oleks see erinev ja töökoormuse muutused võivad eeldused kehtetuks muuta.

See ei ole automaatselt rahaline kokkuhoid. Palgad jäävad samaks, kui mõni kulu tegelikult ära ei kao. Finantsosakond peaks samuti kontrollima, et juurutustöö ja jooksev haldus oleksid arvesse võetud ühe korra, mitte välja jäetud ega topelt arvestatud.

Äriliselt salvestab ettevõte, millised võimalused nõuavad paremat kindlustunnet, kuid ei lisa nende täielikku lepinguväärtust tegevuslikule tasuvusele. Talitluskindluse puhul jälgib ta taastamise tulemusi ja tähtaja ületanud parandustöid eraldi, selle asemel et omistada spekulatiivset välditud kahju kokkuhoidu.

Pärast esialgset ülevaatusperioodi võrdleb juhtkond tegelikke tunde eeldustega. Kui vastuste ettevalmistamine paraneb, kuid ostjad ootavad endiselt puuduvat tehnilist kontrollimeedet, puudutab järgmine otsus seda kontrollimeedet – mitte küsimustike edasist automatiseerimist.

Muutke argument vastutusega töövooks

Alustage ühest kliendiülevaatuse töövoost ja ühest korduvast sisemisest protsessist. Salvestage lähtetase, määratlege piiritletud parendus, nimetage omanik ja ülevaataja ning määrake ülevaatusperiood. Hoidke ärilised, tegevuslikud ja turvatulemused juhtimisaruandluses lahus.

Secani toetab seda lähenemist, ühendades ISMS-i tööruumis nõuded, tõendid, omanikud, ülesanded ja ülevaatusotsused. Meeskond saab alustada ühest teenusest, modelleerida selle süsteemid ja sõltuvused, siduda olemasolevad tõendid asjakohaste nõuetega ja muuta lüngad määratud tööks. Tehisintellekti abil tehtud ettepanekud jäävad inimese ülevaatust ootavaks mustandiks, mille allikad ja kinnitused on jälgitavad.

Juhtkonna järgmine samm on keskendunud ülevaatus: milline ostutingimus on lahendamata, millist korduvat tööd saab vähendada ja millisel olulisel riskil puudub otsus? Kinnitage töö nende küsimuste alusel ja seejärel kontrollige edenemise tõendeid. See muudab turvalisuse ja vastavuse juhitud äriinvesteeringuks, mitte eristamata eelarvereaks.