A biztonság és a megfelelőség üzleti értéke

A biztonság és a megfelelőség több különböző úton teremt üzleti értéket: segíti az ügyfeleket a beszerzési döntéseikben, csökkenti az ismétlődő munkát, javítja a rezílienciát, teljesíti az alkalmazandó kötelezettségeket, és védhetőbbé teszi a vezetői döntéseket. Ha ezeket az utakat külön mérik, erősebb beruházási érv születik, mint egy gyorsabb növekedésre vonatkozó általános ígéretből.

A vezérigazgató szemszögéből nem az a kérdés, hogy a biztonság garantálhatja-e, hogy semmi sem romlik el. Nem garantálhatja. A kérdés az, hogy a szervezet védi-e azt, ami számít, teljesíti-e a vállalásait, és az üzleti méretével arányos költségen állít-e elő hiteles bizonyítékokat.

Ehhez a vezetésnek különbséget kell tennie a kötelező munka és a mérlegelésen alapuló fejlesztések, a tényleges megtakarítás és a felszabaduló kapacitás, valamint az üzleti lehetőség és a már megszerzett bevétel között.

Először válassza szét a biztonságot, a megfelelőséget és a bizonyosságot

A biztonság a rendszerek, információk és szolgáltatások releváns fenyegetésekkel szembeni védelmét jelenti. A megfelelőség az alkalmazandó jogi, szerződéses vagy keretrendszerbeli követelmények teljesítését jelenti. A bizonyosság az a bizonyíték, amely segít másoknak megítélni, hogy ezeket a vállalásokat teljesítik-e.

Ezek a tevékenységek átfedik egymást, de nem cserélhetők fel. Egy visszaállítási teszt növeli a helyreállításba vetett bizalmat. Egy dokumentált teszteredmény bizonyosságot nyújt. Hogy a teszt teljesít-e egy adott kötelezettséget, az a követelménytől, a hatókörtől és a bizonyíték minőségétől függ.

Egy ISO/IEC 27001 tanúsítvány egy meghatározott hatókörű információbiztonsági irányítási rendszerre vonatkozik, és független tanúsító szervezet állítja ki. A SOC 2 jelentés attesztációs jelentés, nem tanúsítás. Egyik sem igazolja, hogy minden termék, leányvállalat vagy adatkezelési tevékenység megfelel minden alkalmazandó jogszabálynak.

A vezetés számára ez a megkülönböztetés két költséges hibát előz meg: egy minősítés megvásárlását a mögöttes gyengeségek kijavítása nélkül, valamint hasznos kontrollok kiépítését anélkül, hogy azokat az ügyfelek vagy a felülvizsgálók számára érthetővé tennék.

Egy program jóváhagyása előtt használjon egyszerű értéktérképet:

Ezek különálló mérési kategóriák, nem öt haszon, amelyet automatikusan össze lehet adni.

Ügyfelek felé nyújtott bizonyosság: tegye átvizsgálhatóvá a bizalmat

Egy szolgáltatást értékelő vevőnek többre van szüksége egy jelvénynél. Meg kell értenie, mit csinál a szolgáltatás, milyen adatokat kezel, hol oszlanak meg a felelősségi körök, és a releváns kontrollok a gyakorlatban működnek-e.

Egy hasznos bizonyossági csomag tartalmazhat szolgáltatásleírást, egy rendelkezésre álló tanúsítvány vagy jelentés hatókörét, egy felülvizsgált biztonsági áttekintést, releváns szerződéses információkat és válaszokat az ismétlődő kérdésekre. Az érzékeny bizonyítékokhoz ellenőrzött hozzáférést kell biztosítani, ahelyett hogy válogatás nélkül közzétennék őket.

Az üzleti haszon a vevőtől függ. Az egyik érdeklődő függetlenül értékelt irányítási rendszert követelhet meg. Egy másik elfogadhatja konkrét kontrollok közvetlen bizonyítékát. Egy harmadiknak szerződéses vállalásokra, javítási tervre vagy egy kizárt szolgáltatás tisztázására lehet szüksége. Kérdezze meg, mi elégíti ki a felülvizsgálatot, mielőtt olyan dokumentumba fektetne be, amely nem kezeli a kifogást.

A biztonsággal kapcsolatos súrlódást mérje, ne a teljes értékesítési ciklust

Rögzítse, mikor kezdődik egy biztonsági felülvizsgálat, mikor adják át a teljes választ, és mikor fogadja el a vevő. Külön rögzítse a vevőre való várakozás, a jogi tárgyalások, az árjóváhagyás és a termékértékelés idejét.

Hasznos mérőszámok:

• Az első, felülvizsgált válasz átadásáig eltelt idő.
• A hiányos vagy elavult válaszok miatti ismételt kérések.
• A kifejezetten hiányzó bizonyosság miatt késedelmet szenvedő lehetőségek.
• Egy dokumentált biztonsági követelmény miatt elutasított lehetőségek.
• Felülvizsgálatonként szükséges belső órák.

Hasonlítson össze hasonló ügyfélszegmenseket és üzleti komplexitást. Ha kisebb vevők kerülnek a mintába, az átlagos válaszidő folyamatjavulás nélkül is csökkenhet.

Egy tanúsítvány teljesíthet egy beszerzési feltételt anélkül, hogy bevételt garantálna vagy megszüntetné a további átvilágítást. Az értékesítési lehetőségeket úgy írja le, hogy „ehhez a bizonyossági követelményhez kötött”, ne úgy, hogy „a tanúsítás által generált bevétel”. Az értékesítés, a termék illeszkedése, az árazás és a bevezetési kapacitás továbbra is számít.

A nyilvános állításoknak is felelősre van szükségük. Ha a marketing azt állítja, hogy minden ügyféladat titkosított, vagy hogy egy tanúsítvány lefed egy szolgáltatást, valakinek ellenőriznie kell a megfogalmazást a tényleges megvalósítás és hatókör alapján. Egy túl tág állítás olyan kötelezettségvállalást teremt, amelyet az üzemeltető csapat esetleg nem tud teljesíteni.

Működési kapacitás: számolja meg a megszűnő munkát

A megfelelőségi munka akkor válik drágává, amikor ugyanazt a bizonyítékot újra és újra összegyűjtik, értelmezik és elmagyarázzák. Egy ügyfélkérdőív, egy belső felülvizsgálat és egy külső audit egyaránt kérdezhet a hozzáférés-kezelésről, de mindegyik más megfogalmazással és határidővel érkezik.

A közös, felülvizsgált rekordok csökkenthetik a párhuzamosságokat. Az újrafelhasználható érték nem pusztán egy fájl: hanem olyan bizonyíték, amely egy követelményhez, meghatározott hatókörhöz, felelőshöz, felülvizsgálati dátumhoz és ahhoz a következtetéshez kapcsolódik, hogy mit bizonyít.

Egy hozzáférés-felülvizsgálati rekord például több kérést is alátámaszthat, ha egyértelműen azonosítja a felülvizsgált rendszereket, a felülvizsgálót, a megállapításokat és a megtett intézkedéseket. Azt azonban nem bizonyíthatja automatikusan, hogy minden rendszerben megfelelőek a hozzáférések. Az újrafelhasználáshoz ellenőrizni kell a relevanciát és a frissességet.

Rögzítse a kiinduló állapotot négy tevékenységre: a bizonyítékok gyűjtésére, magyarázatára, felülvizsgálatára és frissítésére. A megtakarítások becslésekor vegye figyelembe a bevezetés, a képzés, az előfizetések és a folyamatos adminisztráció költségét is. Ha a gyűjtési munka egy új eszközbe kerül, miközben a felülvizsgálati felelősségi körök tisztázatlanok maradnak, a költségek csökkenés helyett csak áthelyeződhetnek.

A felszabaduló mérnöki kapacitásnak akkor is van értéke, ha a bérköltség nem csökken. A hasznot pontosan jelentse:

• További kapacitás: a meglévő munkatársak több időt fordíthatnak más munkára.
• Elkerült kiadás: egy tervezett felvételre vagy külső megbízásra már nincs szükség.
• Pénzmegtakarítás: egy kiadás ténylegesen megszűnik.

Ugyanazokat az órákat ne számolja mindhárom kategóriában. Az automatizálás megtérüléséről szóló útmutatónk konkrét számítást ad az üzleti eset e működési részéhez.

Rezíliencia: olyan eredményeket finanszírozzon, amelyek az üzlet számára számítanak

Egy szervezetnek lehet rendezett dokumentációja, és mégis képtelen lehet helyreállítani egy kritikus szolgáltatást. A rezílienciába történő beruházásnak ezért az üzleti függőségekkel kell kezdődnie, nem a megírt szabályzatok számával.

Azonosítsa azokat a szolgáltatásokat, amelyek kiesése megakadályozná a teljesítést, érzékeny információkat tenne hozzáférhetővé, vagy aláásná a szerződéses vállalásokat. Kérdezze meg, mely rendszerektől, beszállítóktól, emberektől és adatoktól függenek ezek a szolgáltatások. Ezután értékelje, mit igényelne ténylegesen a helyreállítás.

A vezetésnek olyan bizonyítékokat kell kapnia, mint a visszaállítási tesztek eredményei, az incidensgyakorlatok megállapításai, a nyitott hozzáférési problémák és a javítások eredményei. Egy sikeres mentésről szóló üzenet nem egyenértékű egy sikeres visszaállítással. Egy incidenskezelési terv nem egyenértékű azzal, hogy a csapat tudja, ki engedélyezhet vészhelyzeti intézkedést.

Hasznos vezetői kérdések:

• Teljesítette-e a teszt az ehhez a szolgáltatáshoz egyeztetett helyreállítási célt?
• Melyik függőség akadályozta meg a helyreállítást vagy lassította a gyakorlatot?
• Ki felel a korrekciós intézkedésért, és mikor tesztelik újra?
• Milyen kitettség marad fenn, amíg az intézkedés nyitott?

Kerülje, hogy feltételezett, elkerült incidenseket realizált megtakarításként mutasson be. A forgatókönyv-elemzés támogathatja a beruházási döntéseket, de a valószínűségre, időtartamra és hatásra vonatkozó feltételezéseknek kifejezettnek kell maradniuk. Használjon tartományokat, és jelölje meg a bizonytalanságot, ahelyett hogy egy meg nem történt incidenshez pontos pénzügyi megtérülést rendelne.

Egy incidensmentes időszak nem igazolja, hogy a kontrollok működnek. Fordítva: a gyengeségek azonosítása egy gyakorlat során hasznos bizonyíték, ha a megállapítások befejezett fejlesztésekhez vezetnek.

Jogi és szerződéses kötelezettségek: először az alkalmazhatóságot állapítsa meg

Bizonyos kiadások azért szükségesek, mert a szervezetre alkalmazandó kötelezettség vonatkozik, nem azért, mert rövid távon pozitív megtérülést hoznak. A vezetésnek ettől még hatékony megvalósításra kell törekednie, de a kötelező munkát nem lehet pusztán azért elvetni, mert üzleti haszna nehezen számszerűsíthető.

Kezdjen dokumentált alkalmazhatósági értékeléssel, amely kiterjed a jogi személyekre, a helyszínekre, a szolgáltatásokra, az adatkezelésre, az ügyfélszerződésekre és a releváns ágazati szabályokra. Jelöljön ki elszámoltatható felelőst, és ahol az értelmezés bizonytalan, kérjen jogi vagy szakértői tanácsot.

A GDPR szerint a kötelezettségek az adatkezelési tevékenységektől és a szervezeti szerepköröktől függenek. A 28. cikk az adatkezelő és az adatfeldolgozó közötti szerződésekre vonatkozó követelményeket határozza meg, míg a 32. cikk a kockázatnak megfelelő biztonságot írja elő. Egy tanúsítvány nem helyettesíti ezeket az értékeléseket, és egy adatfeldolgozási megállapodás sem rendez minden nemzetközi adattovábbítási kérdést.

A NIS2 irányelv, amelyet nemzeti jogszabályok ültetnek át. Az alkalmazhatóság az ágazattól, a mérettől, a szolgáltatásoktól és a bevonási szabályoktól függ. A 20–23. cikk a vezetői felügyelettel, a kockázatkezelési intézkedésekkel és a jelentős incidensek bejelentésével foglalkozik. A vezetőknek a vonatkozó nemzeti átültetést kell ellenőrizniük, ahelyett hogy egy uniós szintű összefoglalót teljes működési utasításként kezelnének.

A DORA elsősorban meghatározott pénzügyi szervezetekre vonatkozik. Az IKT-beszállítókra ügyfél- és szerződéses kötelezettségek vonatkozhatnak, míg a kijelölt kritikus szolgáltatókra külön felügyeleti rendszer vonatkozik. Nem minden, bankoknak szoftvert szállító startup tartozik közvetlenül minden DORA-kötelezettség hatálya alá.

Vezessen kötelezettségnyilvántartást, amely azonosítja a forrást, az alkalmazhatóság indoklását, a felelőst, a megvalósítási bizonyítékokat és a következő felülvizsgálatot kiváltó eseményt. Ha a kontrollok több követelményt is szolgálnak, ahol indokolt, használja fel újra a megvalósítást és a bizonyítékokat; de ne feltételezze, hogy a hasonló megfogalmazás egyenértékűvé teszi a jogi kötelezettségeket.

Befektetők és partnerek: csökkentse a bizonytalanságot az átvilágítás előtt

A befektetők, felvásárlók és stratégiai partnerek azért vizsgálhatják a biztonságot és az adatvédelmet, mert a gyengeségek befolyásolhatják a szolgáltatás folytonosságát, a felelősséget, a javítási költségeket és az integrációs terveket. A felülvizsgálat mélysége tranzakciónként és üzletenként eltér; nem pusztán a finanszírozási szakasz határozza meg.

Készítsen behatárolt átvilágítási csomagot: szervezeti és szolgáltatási hatókör, rendelkezésre álló értékelési eredmények, jelentős kockázatok, nyitott megállapítások, incidenstörténet, releváns beszállítói függőségek és tervezett kiadások. Az érzékeny anyagokra alkalmazzon megfelelő hozzáférési korlátozásokat.

Az érték az üzlet világosabb bemutatása, nem garantált értéknövekedés. Egy ismert gyengeség hiteles felelőssel és finanszírozott kezelési tervvel könnyebben értékelhető, mint egy magabiztos állítás, amelynek ellentmondanak a hiányzó bizonyítékok.

A vezetésnek pontosan kell feltárnia a lényeges korlátokat. Egy meghatározott hatókörű tanúsítvány nem terjed ki automatikusan egy felvásárolt vállalatra, és egy megállapításokat tartalmazó jelentést nem szabad a biztonság feltétel nélküli bizonyítékaként bemutatni.

A beruházásokat döntések köré válassza, ne minősítések katalógusa alapján

Gyakorlati ajánlás, hogy a finanszírozási javaslatot három rétegre bontsa:

1. Kötelező vállalások: alkalmazandó kötelezettségek és szerződéses ígéretek, amelyeket meg kell valósítani.
2. Lényeges kockázatok kezelése: kritikus szolgáltatásokhoz és hiteles hibaforgatókönyvekhez kötött fejlesztések.
3. Üzleti és működési fejlesztések: bizonyossági képességek és munkafolyamat-változtatások mérhető haszonnal.

Minden javaslatnál adja meg a hatókört, a felelőst, a költséget, a függőséget, a várt eredményt és a felülvizsgálatkor szükséges bizonyítékokat. Vegye bele az elhalasztás következményeit is. Egy tanúsítási projekt függhet a működő kontrolloktól és a belső felülvizsgálattól; egy ügyfél által szabott határidő nem pótolhatja a kontrollműködés hiányzó előzményeit.

A korábbi kezdés lehetővé teheti a rendezett javítást és bizonyítékgyűjtést. Ez nem jelenti azt, hogy minden fiatal vállalatnak minden keretrendszerre szüksége van. A tényleges kötelezettségek, a szolgáltatási kockázatok és a célügyfelek alapján priorizáljon.

Ne jutalmazza a csapatokat kizárólag a megállapítások gyors lezárásáért. Egy elfogadott kockázat lehet jogos, de meg kell nevezni, ki fogadta el, mi az üzleti indoklás, milyen kompenzáló intézkedések vannak, és mikor jár le vagy kell újragondolni a döntést.

Kidolgozott példa: egy behatárolt üzleti eset

Vegyünk egy szemléltető szoftvercéget, amely az ügyfélfelülvizsgálati és az ismétlődő bizonyítékkezelési munkafolyamatait fejleszti. Az alábbi számok feltételezések, nem piaci viszonyszámok vagy Secani-ígéretek.

Éves kiinduló állapota 60 ügyfélfelülvizsgálat, egyenként nyolc belső órával, valamint 12 belső bizonyítékkezelési ciklus, egyenként 20 órával: összesen 720 óra.

A javasolt munkafolyamat felülvizsgált válaszokat, összekapcsolt bizonyítékokat, megnevezett felelősöket és ütemezett frissítéseket használ. A vállalat feltételezi, hogy az ügyfélfelülvizsgálatok egyenként négy órára, a belső ciklusok pedig egyenként tíz órára csökkennek: 360 óra, beleértve a bizonyítékok rutinszerű karbantartását.

Óránként 80 € feltételezett teljes munkaerőköltséggel számolva a felszabaduló 360 óra évi 28 800 € kapacitásértéket jelent. Tegyük fel, hogy 12 000 € ismétlődő külső költség és 10 000 € egyszeri bevezetési költség merül fel. Az első évre modellezett gazdasági haszon így 6800 €. A későbbi évek eltérnének, és a munkateher változásai érvényteleníthetik a feltételezéseket.

Ez nem automatikusan pénzmegtakarítás. A bérek változatlanok maradnak, hacsak egy kiadás ténylegesen meg nem szűnik. A pénzügynek azt is ellenőriznie kell, hogy a bevezetési munka és a folyamatos adminisztráció egyszer szerepel-e, ahelyett hogy kimaradna vagy kétszer számolnák.

Üzleti oldalon a vállalat rögzíti, mely lehetőségek igényelnek jobb bizonyosságot, de azok teljes szerződéses értékét nem adja hozzá a működési megtérüléshez. A rezíliencia terén külön követi a visszaállítási eredményeket és a késedelmes javításokat, ahelyett hogy spekulatív, elkerült veszteségekből származó megtakarításokat rendelne hozzájuk.

Egy kezdeti felülvizsgálati időszak után a vezetés összeveti a tényleges órákat a feltételezésekkel. Ha a válaszok előkészítése javul, de a vevők továbbra is egy hiányzó műszaki kontrollra várnak, a következő döntés erről a kontrollról szól, nem a kérdőívek további automatizálásáról.

Alakítsa az üzleti esetet elszámoltatható munkafolyamattá

Kezdjen egy ügyfélfelülvizsgálati munkafolyamattal és egy ismétlődő belső folyamattal. Rögzítse a kiinduló állapotot, határozzon meg egy behatárolt fejlesztést, nevezzen meg felelőst és felülvizsgálót, és jelöljön ki felülvizsgálati időszakot. A vezetői jelentésekben tartsa külön az üzleti, a működési és a biztonsági eredményeket.

A Secani ezt a megközelítést azzal támogatja, hogy egy IBIR-munkaterületen összekapcsolja a követelményeket, bizonyítékokat, felelősöket, feladatokat és felülvizsgálati döntéseket. Egy csapat kezdhet egyetlen szolgáltatással, modellezheti annak rendszereit és függőségeit, a meglévő bizonyítékokat a releváns követelményekhez kapcsolhatja, és a hiányosságokat kiosztott munkává alakíthatja. Az MI által támogatott javaslatok emberi felülvizsgálatra szánt tervezetek maradnak, a források és a jóváhagyások pedig nyomon követhetők.

A következő vezetői lépés egy célzott felülvizsgálat: melyik beszerzési feltétel nem teljesül még, melyik ismétlődő munka csökkenthető, és melyik lényeges kockázathoz nem született döntés? A munkát ezekhez a kérdésekhez kötve hagyja jóvá, majd vizsgálja meg az előrehaladás bizonyítékait. Így a biztonság és a megfelelőség irányított üzleti beruházássá válik, nem pedig egy differenciálatlan költségvetési sorrá.