Vaatimustenmukaisuus uudelleen määriteltynä

Vaatimustenmukaisuus tarvitsee uuden käyttöjärjestelmän

Vaatimustenmukaisuudesta on tullut liian tärkeää hallittavaksi hajallaan olevilla taulukoilla, staattisilla asiakirjoilla ja loputtomilla näyttökansioilla. Tietoturva- ja vaatimustenmukaisuustiimien odotetaan osoittavan luotettavuutta, hallitsevan riskejä, vakuuttavan auditoijat, vastaavan asiakkaille ja pysyvän muuttuvan sääntelyn tahdissa.

Monet niiden käyttämistä työkaluista on kuitenkin rakennettu hitaampaan maailmaan: manuaalisiin tarkistuslistoihin, irrallaan olevaan näyttöön, määräaikaisiin auditointeihin ja järjestelmiin, joita vain pieni asiantuntijajoukko osaa käyttää. Tuloksena on kivulias vaihtokauppa. Taulukot ovat joustavia mutta vaikeasti hallittavia. Asiakirjat ovat tuttuja mutta vaikeita pitää ajan tasalla. Perinteiset GRC-ohjelmistokokonaisuudet ovat tehokkaita, mutta usein hitaita ottaa käyttöön, kalliita ylläpitää ja irrallaan nykyaikaisten tiimien päivittäisestä työstä.

Secani rakentaa tekoälypohjaista vaatimustenmukaisuuden työtilaa tiimeille, jotka tarvitsevat yhtä aikaa rakennetta, nopeutta ja luottamusta. Viitekehykset, hallintakeinot, näyttö, riskit, tehtävät, omistajat ja raportit on kytketty toisiinsa alusta alkaen. Tekoäly auttaa tiimejä ymmärtämään, mitä puuttuu, mitä on katettu ja mitä on katselmoitava. Jokainen tuotettu tulos on jäljitettävissä lähteeseensä.

Vaatimustenmukaisuuden pitäisi mukautua organisaatioosi

Jokainen organisaatio on erilainen. Sen järjestelmät, riskit, vastuut, toimittajat, suojattavat kohteet, politiikat ja näyttö ovat ainutlaatuisia. Silti useimmat vaatimustenmukaisuustyökalut pakottavat tiimit jäykkiin rakenteisiin. Ne odottavat liiketoiminnan mukautuvan ohjelmistoon sen sijaan, että ohjelmisto heijastaisi sitä, miten organisaatio todellisuudessa toimii.

Secani lähtee päinvastaisesta oletuksesta. Vaatimustenmukaisuusjärjestelmänne pitäisi vastata sitä, miten organisaationne toimii. Vaatimusten pitäisi olla kytkettyinä hallintakeinoihin. Hallintakeinojen pitäisi olla kytkettyinä näyttöön. Näytön pitäisi olla kytkettynä omistajiin, suojattaviin kohteisiin, riskeihin ja päätöksiin. Raportteja ei pitäisi koota käsin tyhjästä joka kerta. Niiden pitäisi syntyä jäsennellystä, katselmoidusta ja jatkuvasti päivittyvästä totuuden lähteestä.

• Käsittele vaatimuksia toisiinsa kytkettyinä objekteina, ei irrallisina riveinä
• Kytke hallintakeinot näyttöön, riskeihin ja katselmoinnin tilaan
• Tuota raportit katselmoidusta tiedosta kopioimisen ja liittämisen sijaan

Tekoäly kuuluu työnkulkuun, ei päälle liimatuksi chatbotiksi

Tekoäly vaatimustenmukaisuustyössä ei voi tarkoittaa pelkästään sitä, että chatbotia pyydetään tiivistämään politiikka. Vaatimustenmukaisuustyö edellyttää kontekstia, jäljitettävyyttä, katselmointia, käyttöoikeuksia, versiointia ja vastuuta. Hyödyllisen tekoälyjärjestelmän on ymmärrettävä viitekehys, asiakirjat, näyttö, puutteet ja hyväksyntäprosessi.

Siksi Secani on suunniteltu tekoälypohjaiseksi vaatimustenmukaisuuden työtilaksi eikä kehotekentäksi. Tekoäly tukee työtä siellä, missä se tapahtuu: poimii olennaiset tiedot näytöstä, kohdistaa ne vaatimuksiin, tunnistaa puuttuvat hallintakeinot, luonnostelee dokumentaatiota ja ehdottaa seuraavia askelia.

Ihmiset pysyvät ohjaksissa. Jokainen väite voidaan katselmoida. Jokaista lähdettä voidaan tarkastella. Jokainen päätös voidaan hyväksyä, hylätä tai sitä voidaan tarkentaa. Tavoitteena ei ole korvata vaatimustenmukaisuuden asiantuntijoita. Tavoitteena on antaa heille vipuvartta.

Luottamus syntyy lähteistä

Vaatimustenmukaisuus hajoaa, kun näyttö menettää asiayhteytensä. Kuvakaappaus kansiossa. Politiikka levyasemalla. Hallintakeinon kuvaus Excelissä. Raportti kopioituna Word-asiakirjaan. Vaatimus, jota eri tiimit tulkitsevat eri tavoin.

Ajan myötä kukaan ei tiedä, mikä on ajantasaista, mikä on hyväksytty ja mihin auditoija voi todella luottaa. Secani pitää näytön kytkettynä: asiakirjat, otteet, vastaavuudet, tuotetut ehdotukset, katselmointipäätökset ja raportit pysyvät linkitettyinä alkuperäisiin lähteisiinsä.

• Kytke jokainen toteamus sen taustalla olevaan lähteeseen
• Pidä tekoälyn ehdotukset erillään hyväksytyistä vaatimustenmukaisuustietueista
• Tallenna katselmointipäätökset ja muutokset auditoitavalla tavalla

Luottamusta ei synny sanomalla, että jokin on tekoälyn tuottamaa. Luottamus syntyy osoittamalla, mistä jokainen vastaus on peräisin.

Vaatimustenmukaisuuden pitäisi muuttua jatkuvaksi

Useimmat tiimit tekevät vaatimustenmukaisuustyötä ryöpsähdyksinä. Ennen auditointia. Ennen sijoittajien due diligence -selvitystä. Ennen kuin suuryritysasiakas pyytää dokumentaatiota. Juuri ennen kuin valvova viranomainen odottaa näyttöä. Tämä rytmi aiheuttaa stressiä, päällekkäistä työtä ja epävarmuutta.

Parempi suunta on jatkuva valmius. Tiimien pitäisi aina tietää, mitkä vaatimukset on katettu, mikä näyttö puuttuu, minkä omistajien on toimittava ja mitkä asiakirjat ovat valmiita katselmoitaviksi. Vaatimustenmukaisuus siirtyy määräaikaisesta dokumentoinnista jatkuvaan toimintatilaan.

• Pidä avoimet puutteet näkyvissä ajan mittaan
• Kytke tehtävät, omistajat ja hyväksynnät suoraan vaatimuksiin
• Käsittele auditointivalmiutta jatkuvana tilana, ei projektivaiheena

Rakennettu suvereeniin tekoälypohjaiseen vaatimustenmukaisuuteen

Kyberturvallisuuden vaatimustenmukaisuus tarvitsee nopeutta, mutta se ei voi luopua hallinnasta. Secani on suunniteltu työnkulkujen ympärille, joissa on ihmisen tekemä hyväksyntä, lähteisiin perustuvat tulokset, auditointilokit, roolipohjainen pääsynhallinta, lähteiden jäljitettävyys ja selkeä ero tekoälyn ehdotusten ja hyväksyttyjen vaatimustenmukaisuustietueiden välillä.

Eurooppalaisille ja saksalaisille organisaatioille tämä tarkoittaa myös selkeää suvereniteetin suuntaa: EU:hun ja Saksaan keskittyvää hostingia, arkaluonteisten vaatimustenmukaisuustietojen selitettävissä olevaa käsittelyä ja tuotepäätöksiä, jotka rakentavat luottamuksen sisään alusta alkaen.

Kyberturvallisuuden vaatimustenmukaisuudessa luottamus ei ole sivuvaikutus. Luottamus on tuote.

Tulevaisuus on jäsennelty, selitettävissä oleva ja tekoälypohjainen

Vaatimustenmukaisuus on siirtymässä asiakirjoista dataan. Manuaalisesta tulkinnasta koneluettaviin vaatimuksiin. Hajallaan olevasta näytöstä toisiinsa kytkettyihin järjestelmiin. Auditointiin valmistautumisesta jatkuvaan varmuuteen. Tekoälykokeiluista tekoälypohjaisiin työnkulkuihin.

Secani rakentaa työtilaa tätä tulevaisuutta varten: totuuden lähdettä vaatimustenmukaisuudelle, toimintajärjestelmää tietoturvatiimeille ja luottamuksen järjestelmää organisaatioille, joiden on osoitettava olevansa valmiita.