Laiendage vastavustööd ilma paberimajandust paljundamata

Esimene vastavusprogramm võib toimida ühe asutaja ja ühe arvutustabeli najal. Kasv toob juurde teenuseid, asukohti, kliente, tarnijaid ja kohustusi. Surve tuleneb sellest, et seosed paljunevad kiiremini, kui meeskond suudab neid koordineerida: üks identiteediteenus toetab mitut toodet, üks tarnija mõjutab mitut äriprotsessi ja mitu kindlustandmise päringut sõltuvad samadest tõenditest.

Tegevjuhi vaatenurgast on eesmärk säilitada usaldusväärsed otsused ka siis, kui need seosed laienevad. Dokumentide lisamine on lihtne. Raskem on teada, millist teenust dokument hõlmab, kes seda kontrollis ja kas aluseks olev meede ikka veel toimib.

Laiendatav programm eraldab korduvkasutatava töö kohalikust rakendamisest, jaotab tegevusliku vastutuse ja jätab spetsialistide tähelepanu otsustele, mis vajavad asjatundlikkust. Automatiseerimine aitab siis, kui need alused on olemas. Vastasel juhul viib see ebaselged kohustused lihtsalt kiiremasse töövoogu.

Tuvastage kitsaskoht enne lahenduse ostmist

Puudub üldine töötajate arv, mille juures arvutustabelid muutuvad sobimatuks. Suhteliselt väike ettevõte, millel on reguleeritud kliendid ja mitu teenust, võib seista silmitsi suurema koordineerimistööga kui suurem ettevõte, mis tegutseb ühe stabiilse piiri sees.

Otsige selle asemel tegevuslikke signaale:

• Eri meeskonnad küsivad korduvalt samu tõendeid.
• Klientide küsimustikud katkestavad turvaarendust igal nädalal.
• Keegi ei suuda tuvastada, milliseid teenuseid lõpetatud meede tegelikult hõlmab.
• Auditiks valmistumine sõltub ühest inimesest, kes rekonstrueerib otsuseid e-kirjadest.
• Uued teenused käivitatakse enne, kui omand, tarnijad ja erandid on dokumenteeritud.
• Rutiinsed järelpärimised tõrjuvad välja riskihindamised, parandustööd või intsidentideks valmistumise.

Need signaalid eristavad töökoormust võimekusest. Meeskond võib vajada keeruka arhitektuuri hindamiseks täiendavat asjatundlikkust. Või hoopis paremat töövoogu, sest võimekad inimesed kulutavad oma aega kirjete otsimisele. Töölevõtmine, koolitus, automatiseerimine ja väline tugi lahendavad erinevaid probleeme; juhtkond peaks enne vastuse rahastamist piirangu diagnoosima.

Küsige lühikest valimit hiljutisest vastavustööst. Salvestage aeg, mis kulus konteksti hankimisele, materjali kogumisele, selle ülevaatamisele ja otsuste tegemisele. Tulemus peaks tuvastama suurima välditava koormuse, mitte lihtsalt andma tundide koguarvu.

Laiendage kohustuste registrit, mitte iga vastavusprojekti

Kasv tekitab mitut liiki nõudeid. Seadusi, kliendilepinguid, vabatahtlikke standardeid ja sisemisi kohustusi ei tohiks käsitleda omavahel asendatavatena. Ostja taotlus kindlustandmise aruande saamiseks erineb seadusest tulenevast intsidentidest teatamise kohustusest.

Pidage kohustuste registrit, milles on iga nõude käivitav äritegevus, selle jurisdiktsioon, vastutav omanik, asjakohane ulatus, ülevaatuse kuupäev ja tõlgendusallikas. Turule sisenemisel või teenuse käivitamisel tellige fokusseeritud kohaldatavuse ülevaatus, selle asemel et automaatselt lisada kõik tuttavad raamistikud.

Näiteks käsitleb ISO 27001 kindlaksmääratud ulatusega infoturbe juhtimissüsteemi. Selle ulatus peaks kajastama hinnatavaid teenuseid ja sõltuvusi. Ühe piiri sertifikaat ei tõenda rakendamist kõikjal ettevõttes ja SOC 2 atesteerimisaruanne ei ole sertifitseerimine.

Samamoodi sõltuvad GDPR-i kohustused töötlemisest ja organisatsioonilistest rollidest. NIS2 kohaldatavus sõltub sektorist, suurusest, teenusest, kaasamisreeglitest ja riigisisesest rakendamisest. Tehnoloogia müümine finantsasutusele ei pane tarnijat automaatselt samasse olukorda kui üksust, mida DORA otseselt hõlmab, kuigi sellest võivad tuleneda lepingulised nõuded.

Ka tehisintellekti kasutuselevõtt väärib kohaldatavuse kontrolli, mis põhineb kasutusjuhul ja organisatsiooni rollil, kasutades Komisjoni ülevaadet tehisintellekti määrusest. Heakskiidetud ja heaks kiitmata tehisintellekti kasutusviiside inventuur on parem lähtepunkt kui ainult üldine poliitika.

Juhtkonna tulemus on põhjendatud kohaldatavusotsus, kus lahendamata küsimused on määratud pädevatele nõustajatele. Ei tööriist ega olemasolev sertifikaat asenda seda analüüsi.

Eraldage ühine töö kohalikust rakendamisest

Tehke kindlaks kogu organisatsioonis jagatud meetmed, näiteks keskne identiteedihaldus, poliitikate juhtimine, töötajate sisseelamine või tarnijate vastuvõtmine. Seejärel salvestage, kus rakendamine erineb.

Jagatud poliitikal võivad kahes asukohas olla erinevad tõendid. Kesksed identiteedimeetmed võivad hõlmata enamikku rakendusi, samal ajal kui omandatud ettevõte kasutab endiselt eraldi kataloogi. Ühe meeskonna heakskiidetud erand ei tohiks vaikides saada kõigi erandiks.

Kasutage kolme omavahel seotud kihti:

Määratlege ulatused sisuliste äripiiride järgi: hallatud teenus, toode, asukoht või äriprotsess. Igaüks vajab vastutavat omanikku, kes saab rakendamist kinnitada ja muudatusi eskaleerida. Olulised on ka tehnilised piirid: äriteenuse ulatus peaks tuvastama toetavad süsteemid ja teenuseosutajad, millest see sõltub.

Meetmete vastendamine muutub seejärel korduvkasutatavaks, ilma et see viitaks samaväärsusele. Üks juurdepääsuhalduse meede võib toetada mitut nõuet, kuid iga vastendus vajab põhjendust, kohaldatavat versiooni ja ulatust. Mõned nõuded vajavad ka täiendavaid protseduure või tõendeid. Eesmärk on vältida topelttäitmist, mitte kustutada kohustuste erinevusi. Raamistikeülese meetmete vastendamise lähenemisviis on kasulik, kui jagatud töö hakkab muutuma eraldi raamistikuprojektideks.

Andke tõenditele määratletud eesmärk

Keskne kaust vähendab otsimist, kuid ei selgita, mida fail tõendab. Tõendid vajavad konteksti, enne kui neid saab ohutult korduvkasutada.

Salvestage iga olulise üksuse kohta selle allikas, kogumise kuupäev, asjakohane periood, hõlmatud süsteemid või teenused, omanik, ülevaataja ja toetatav meede või nõue. Lisage järeldus: piisav, puudulik, vananenud või järeltegevust vajav. Hoidke põhjendus kirjega seotuna.

Eristage kolme küsimust:

1. Ülesehitus: kas protseduur suudab täita kavandatud nõude?
2. Rakendamine: kas see on juurutatud kogu kirjeldatud ulatuses?
3. Toimimine: kas see toimis asjakohasel perioodil?

Heakskiidetud juurdepääsupoliitika toetab ülesehitust. Süsteemi konfiguratsioon toetab rakendamist. Lõpetatud ülevaatused ja lahendatud leiud aitavad tõendada toimimist. Ainult poliitika korduvkasutamine ei suuda vastata kõigile kolmele küsimusele.

Seadke tõendite ülevaatuse intervallid vastavalt riskile, muutumise kiirusele ja kindlustandmise vajadustele. See on praktiline soovitus, mitte üldine seadusest tulenev ajakava. Stabiilne poliitika ja kiiresti muutuv privilegeeritud juurdepääsu konfiguratsioon ei peaks automaatselt jagama sama värskendamise intervalli.

Tõendite päringud peaksid täpsustama populatsiooni, perioodi, oodatava allika, vastuvõtukriteeriumid ja saaja. „Esitage juurdepääsu ülevaatuse tõendid“ kutsub esile täpsustusküsimusi. „Esitage ülevaatus, mis hõlmab kirjeldatud kvartali tootmiskeskkonna administraatoreid, sealhulgas ülevaataja heakskiit ja tuvastatud eemaldamiste lahendamine“ annab omanikule ülesande, mida ta suudab täita.

Kaitske ka hoidlat. Tõendid võivad sisaldada isikuandmeid, turvaarhitektuuri või tundlikku äriteavet. Piirake juurdepääsu ja jagage ainult seda, mida saaja vajab. Kliendile kindlustandmisel võib üle vaadatud vastusepakett olla sobivam kui sisemiste toorkirjete levitamine.

Automatiseerige korduv töö ja kaitske otsustusvõimet

Parimatel automatiseerimiskandidaatidel on stabiilne sisend, selge reegel ja määratletud erandite tee. Alustage korduvatest meeldetuletustest, tõendipäringute mallidest, omandi suunamisest ja oleku koondamisest. Kui sobivad tehnilised võimalused on olemas, võivad lähtesüsteemidest kogumine ja konfiguratsioonikontrollid käsitsi kogumist vähendada.

Ärge ajage edukat kogumist segi tõhusa meetmega. Eksport võib jätta välja tütarettevõtte, välistada teenusekontod või hõlmata vale perioodi. Keegi peab katvust valideerima ja otsustama, mida erandid tähendavad.

Rakendamise küpsedes saavad tehnilised meeskonnad lisada valitud kontrolle juurutustorudesse või taristumallidesse. See nõuab hooldatud teste, kontrollitud muudatusi ja reageeringut, kui kontroll ebaõnnestub. Tehnilise testi läbimine ei tõenda kõigi korralduslike või õiguslike nõuete täitmist.

Tehisintellekti abil koostamine ja liigitamine peaks järgima sama distsipliini: piiratud juurdepääs, nähtavad allikad ja selgesõnaline inimese heakskiit oluliste järelduste puhul. Automaatne soovitus on mustand, mitte riski aktsepteerimine.

Kasvatage võimekust, muutmata turvalisust kõigi teiseks tööks

Napid spetsialistid on kõige väärtuslikumad keeruliste hindamiste, disainivalikute ja riskiotsuste puhul. Selged tõendipäringud ja omand vähendavad aega, mille nad kulutavad konteksti rekonstrueerimisele või rutiinsete kirjete tagaajamisele.

Jaotage ülesanded inimestele, kes protsessi juba käitavad. Personaliosakond saab esitada sisseelamise ja lahkumise kirjed; IT saab näidata kontohaldust; hanked saavad hooldada tarnijate vastuvõtu teavet; teenuseomanikud saavad kinnitada kohalikku rakendamist. Turvameeskond määratleb kriteeriumid, toetab omanikke ja vaatab erandid üle, selle asemel et iga ülesannet ise täita.

Koolitus peaks olema konkreetne. Tõendi omanik peab mõistma, mida esitada ja millal eskaleerida. Teenuse omanik peab ära tundma ulatust mõjutavad muudatused. Kumbki ei pea saama iga raamistiku spetsialistiks.

Väline tugi võib katta tegelikke võimekuse puudujääke: piiritletud õiguslik tõlgendus, sõltumatu testimine, arhitektuuri ülevaatus või ajutine juurutusprojekt. Määrake tulemused, juurdepääsupiirangud, üleandmise ootused ja sisemine otsuste omanik. Täitmise sisseostmine ei kaota vajadust organisatsioonilise vastutuse järele. Kohaldamisalasse kuuluvate üksuste puhul käsitleb NIS2 artikkel 20 konkreetselt juhtkonna heakskiitu ja järelevalvet küberturvalisuse riskijuhtimismeetmete üle.

Ise ehitamise või ostmise otsused peaksid hõlmama hooldust, mitte ainult arendust. Kohandatud tööriistad nõuavad kedagi, kes hooldab õigusi, vastendusi, tõendivorminguid, teste ja lähtesüsteemide muudatusi. Hinnake kommertsvõimalusi samade nõuete alusel, sealhulgas eksporditavust ja ülevaatuse jälgitavust. Kasutage hindamisel esinduslikku töövoogu, selle asemel et hinnata ainult armatuurlauda; vaadake kuidas valida GRC-tarkvara.

Muutke laienemine korratavaks: illustreeriv näide

Oletame, et hüpoteetiline tarkvaraettevõte käitab üht keskse identiteedihaldusega toodet ja toob omandamise kaudu sisse teise toote. Omandatud meeskond kasutab eraldi identiteedisüsteemi ja täiendavat majutusteenuse osutajat. Need on illustreerivad eeldused, mitte Secani kliendijuhtum.

Jagatud eesmärk on endiselt juurdepääsu õigeaegne eemaldamine. Ettevõte saab korduvkasutada oma keskset poliitikat, meetme kirjeldust ja ülevaatuskriteeriume. Ta ei saa kasutada esimese toote kontode eemaldamise tõendeid omandatud keskkonna tõendina.

Uue teenuse omanik dokumenteerib rakendused, administraatorid, tarnijad, käideldavad andmed ja sõltuvused. IT salvestab, millised kontod järgivad keskset lahkumisprotsessi ja millised vajavad kohalikku tegevust. Turvalisus vaatab puudujäägi üle; juhtkond otsustab, kas rahastada kohest integreerimist või kiita heaks piiritletud ajutine lahendus.

Sisseelamispakett sisaldab:

• Teenuse ulatust ja sõltuvuste inventuuri.
• Üle vaadatud kohaldatavuse ja riski hindamist.
• Määratud jagatud meetmeid ja dokumenteeritud kohalikke rakendusi.
• Esialgseid tõendeid, kus puuduvad üksused on muudetud omanikuga ülesanneteks.
• Erandit, mis salvestab mõjutatud süsteemid, kompenseerivad meetmed, heakskiitja, aegumise ja parandamise omaniku.

Kuni integreerimise lõpetamiseni täidab omandatud meeskonna omanik heakskiidetud kohalikku protseduuri ja säilitab selle tõendid. Keskne aruandlus näitab mõlemat rakendust eraldi. Erand kehtib ainult nimetatud süsteemidele ja aegub, kui seda selgesõnaliselt uuesti ei kaaluta.

Integreerimise toimumisel kinnitavad ülevaatajad kontode katvuse, ajakohastavad sõltuvused, asendavad vananenud tõendid ja sulgevad erandi alles pärast rakendamise kontrollimist. See on korratav laienemine: meetodit korduvkasutatakse, samal ajal kui iga teenuse tegelikud faktid vaadatakse üle.

Juurutage etappide kaupa selgete vastuvõtukriteeriumidega

Vältige kogu ettevõtet hõlmavat migreerimist enne, kui olete testinud, kas tegevusmudel toimib. Valige üks esinduslik ulatus, millel on jagatud meede, kohalik erinevus ja kättesaadavad omanikud.

Esmalt koondage praegune seis. Tehke kindlaks autoriteetsed poliitikad, eemaldage vananenud duplikaadid, nimetage omanikud ja siduge olemasolevad tõendid meetmetega. Vastuvõtukriteerium on lihtne: teine ülevaataja mõistab ulatust ja otsust ilma algset autorit intervjueerimata.

Seejärel standardiseerige korduvad päringud ja ülevaatused. Määratlege lõpetamise kriteeriumid, eskaleerimisteed ja erandite heakskiitmine. Testige tegelikku tõendite tsüklit ja lahendage ebaselged üleandmised enne automatiseerimise lisamist.

Seejärel automatiseerige kõige korduvamad sammud. Kontrollige, kas automatiseerimine vähendab kogu tööd, sealhulgas parandamist ja ülevaatust. Ebaõnnestunud kogumisest peaks saama nähtav töö, mitte vana rohelise oleku vaikne säilitamine.

Lõpuks laiendage mustrit täiendavatele teenustele ja kohustustele. Leppige kokku, mis käivitab ülevaatuse: omandamised, uued turud, suured süsteemid, tarnijamuudatused ja intsidendid. Lisage asjakohasel juhul oluline tehisintellekti kasutus. Iga käivitaja vajab teed programmi, enne kui muudatus muutub nähtamatuks tegevusajalooks.

Jälgige nii koordineerimist kui ka lõpetamist

Kõrge ülesannete lõpetamise määr võib eksisteerida koos vananenud tõendite ja üle vaatamata riskidega. Juhtkonna aruandlus peaks näitama, kus kindlus nõrgeneb, mitte ainult seda, kui palju tegevust toimus.

Jälgige vananenud tõendeid, omanikuta meetmeid, hilinenud otsuseid, korduvaid päringuid sama materjali järele ja aegumas erandeid. Kasvavad arvud võivad viidata struktuursele probleemile ka siis, kui enamik ülesandeid on märgitud lõpetatuks.

Sobitage mõõdikud küsitava küsimusega. Esialgse koondamise ajal mõõtke puuduvat omandit ja tõendipäringute täitmise aega. Mitme teenuse puhul mõõtke kohaliku rakendamise puudujääke ja panustavate osakondade kulutatud aega. Laiemas mastaabis jälgige kindlustandmisega seotud müügiviivitusi, teenuste sisseelamise aega ja korduvaid leide.

Määratlege iga mõõdik ja võrrelge sarnaseid ulatusi. Kiiremad küsimustike vastused ei ole edasiminek, kui vastused muutuvad ebatäpseks. Vähem salvestatud erandeid ei ole edasiminek, kui meeskonnad lõpetavad nendest teatamise. Vaadake suundumusi üle koos esinduslike kirjetega.

Juhtkonna ülevaatus peaks lõppema otsustega: rahastada parandamist, kohandada tähtaega, määrata omanik või kaaluda uuesti riski aktsepteerimist. Keskne aruandlus võib muutuda keerukamaks, ilma et kohalikud kohustused hajuksid.

Alustage ühest jagatud meetmest

Secanis saab kasvav meeskond alustada ühest fokusseeritud ulatusest, modelleerida selle süsteemid ja teenuseosutajad, määrata omanikud ja ülevaatajad ning siduda tõendid nõuete, meetmete ja otsustega. Selle tööruumi ja õiguste mudel toetab juhitud koostööd organisatsioonide, tööruumide ja ulatuste ümber. Tehisintellekti abil tehtud soovitused jäävad inimese ülevaatuse alla ning allikad ja heakskiidud jäävad jälgitavaks.

Praktiline järgmine samm on valida üks meede, mida kaks meeskonda praegu eraldi dokumenteerivad. Kirjutage jagatud eesmärk, tehke kindlaks mõlemad kohalikud rakendused, siduge nende tõendid ja nimetage otsuste omanikud. Viige enne laiendamist läbi üks ülevaatustsükkel. See harjutus näitab, kas organisatsioonil on korratav tegevusmudel, ja annab juhtkonnale konkreetse aluse otsustamaks, mida järgmisena standardiseerida, automatiseerida või ressurssidega toetada.