Saugumo ir atitikties verslo vertė

Saugumas ir atitiktis kuria verslo vertę keliais skirtingais keliais: padeda klientams priimti pirkimo sprendimus, mažina pasikartojantį darbą, didina atsparumą, padeda vykdyti taikomus įpareigojimus ir daro vadovybės sprendimus labiau pagrįstus. Atskirai vertinant šiuos kelius, investicijų pagrindimas tampa stipresnis nei bendras pažadas apie spartesnį augimą.

Generalinio direktoriaus požiūriu klausimas nėra tai, ar saugumas gali garantuoti, kad niekas nenutiks. Negali. Klausimas yra tai, ar organizacija saugo tai, kas svarbu, vykdo savo įsipareigojimus ir kuria patikimus įrodymus už kainą, proporcingą jos verslui.

Tam reikia, kad vadovybė atskirtų privalomą darbą nuo pasirenkamų patobulinimų, faktines santaupas nuo atlaisvinto pajėgumo ir komercines galimybes nuo jau uždirbtų pajamų.

Pradėkite atskirdami saugumą, atitiktį ir užtikrinimą

Saugumas yra darbas, kuriuo sistemos, informacija ir paslaugos apsaugomos nuo susijusių grėsmių. Atitiktis reiškia taikomų teisinių, sutartinių ar sistemos reikalavimų vykdymą. Užtikrinimas yra įrodymai, padedantys kitam asmeniui įvertinti, ar šie įsipareigojimai vykdomi.

Šios veiklos persidengia, tačiau nėra tarpusavyje pakeičiamos. Atkūrimo testas padidina pasitikėjimą atkūrimu. Dokumentuotas testo rezultatas suteikia užtikrinimą. Ar testas atitinka konkretų įpareigojimą, priklauso nuo reikalavimo, taikymo srities ir įrodymų kokybės.

ISO/IEC 27001 sertifikatas susijęs su apibrėžtos taikymo srities informacijos saugumo valdymo sistema ir jį išduoda nepriklausoma sertifikavimo įstaiga. SOC 2 ataskaita yra atestavimo ataskaita, o ne sertifikatas. Nė vienas iš jų neįrodo, kad kiekvienas produktas, dukterinė bendrovė ar tvarkymo veikla atitinka kiekvieną taikomą teisės aktą.

Vadovybei šis skirtumas padeda išvengti dviejų brangių klaidų: įsigyti kredencialą nepašalinus esminių trūkumų ir sukurti naudingas kontroles nepadarius jų suprantamų klientams ar tikrintojams.

Prieš patvirtindami programą, pasinaudokite paprastu vertės žemėlapiu:

Tai atskiros vertinimo kategorijos, o ne penkios naudos, kurias galima automatiškai susumuoti.

Klientų užtikrinimas: padarykite pasitikėjimą patikrinamą

Paslaugą vertinančiam pirkėjui reikia daugiau nei ženklelio. Jam reikia suprasti, ką paslauga daro, kokius duomenis ji tvarko, kam tenka atsakomybė ir ar susijusios kontrolės veikia praktiškai.

Naudingame užtikrinimo pakete gali būti paslaugos aprašymas, turimo sertifikato ar ataskaitos taikymo sritis, peržiūrėta saugumo apžvalga, susijusi sutartinė informacija ir atsakymai į pasikartojančius klausimus. Prieiga prie jautrių įrodymų turėtų būti kontroliuojama, o ne jie skelbiami be atrankos.

Komercinė nauda priklauso nuo pirkėjo. Vienam potencialiam klientui gali reikėti nepriklausomai įvertintos valdymo sistemos. Kitas gali priimti tiesioginius konkrečių kontrolių įrodymus. Trečiam gali reikėti sutartinių įsipareigojimų, taisomųjų darbų plano ar paaiškinimo dėl neįtrauktos paslaugos. Prieš investuodami į artefaktą, kuris neatsako į prieštaravimą, paklauskite, kas patenkins peržiūrą.

Vertinkite su saugumu susijusią trintį, o ne visą pardavimo ciklą

Užfiksuokite, kada prasideda saugumo peržiūra, kada pateikiamas išsamus atsakymas ir kada pirkėjas jį priima. Atskirai užfiksuokite laiką, praleistą laukiant pirkėjo, teisines derybas, kainodaros patvirtinimą ir produkto vertinimą.

Naudingi rodikliai:

• Laikas iki pirminio, peržiūrėto atsakymo pateikimo.
• Pakartotiniai prašymai dėl neišsamių ar pasenusių atsakymų.
• Galimybės, atidėtos būtent dėl trūkstamo užtikrinimo.
• Galimybės, atmestos dėl dokumentuoto saugumo reikalavimo.
• Vienai peržiūrai reikalingos vidinės valandos.

Lyginkite panašius klientų segmentus ir sandorių sudėtingumą. Jei į imtį patenka mažesni pirkėjai, vidutinis atsakymo laikas gali sumažėti be jokio proceso patobulinimo.

Sertifikatas gali patenkinti pirkimo sąlygą, negarantuodamas pajamų ir nepanaikindamas tolesnio patikrinimo. Pardavimų srautą apibūdinkite kaip „kuriam taikomas šis užtikrinimo reikalavimas“, o ne kaip „sertifikavimo sugeneruotas pajamas“. Pardavimai, produkto tinkamumas, kainodara ir įgyvendinimo pajėgumai vis tiek yra svarbūs.

Viešiems teiginiams taip pat reikia atsakingo asmens. Jei rinkodara teigia, kad visi kliento duomenys yra užšifruoti arba kad sertifikatas apima paslaugą, kažkas turi patikrinti formuluotę pagal faktinį įgyvendinimą ir taikymo sritį. Pernelyg platus teiginys sukuria įsipareigojimą, kurio veiklos komanda gali nesugebėti įvykdyti.

Veiklos pajėgumai: skaičiuokite darbą, kuris išnyksta

Atitikties darbas tampa brangus, kai tie patys įrodymai renkami, aiškinami ir paaiškinami pakartotinai. Kliento klausimynas, vidaus peržiūra ir išorės auditas gali klausti apie prieigos valdymą, tačiau kiekvienas jų pateikiamas skirtingomis formuluotėmis ir su skirtingais terminais.

Bendri, peržiūrėti įrašai gali sumažinti dubliavimą. Pakartotinai naudojamas turtas nėra vien failas: tai įrodymai, susieti su reikalavimu, apibrėžta taikymo sritimi, atsakingu asmeniu, peržiūros data ir išvada apie tai, ką jie įrodo.

Pavyzdžiui, prieigos peržiūros įrašas gali pagrįsti kelis prašymus, jei jame aiškiai nurodytos peržiūrėtos sistemos, tikrintojas, išvados ir atlikti veiksmai. Jis negali automatiškai įrodyti, kad kiekvienoje sistemoje prieiga yra tinkama. Pakartotiniam naudojimui reikia patikrinti tinkamumą ir aktualumą.

Nustatykite atskaitos tašką keturioms veikloms: įrodymų rinkimui, jų paaiškinimui, peržiūrai ir atnaujinimui. Tada, vertindami santaupas, įtraukite įgyvendinimo, mokymų, prenumeratų ir nuolatinio administravimo išlaidas. Perkėlus rinkimo darbą į naują įrankį, bet palikus neaiškią peržiūros atsakomybę, išlaidos gali būti perkeltos, o ne sumažintos.

Atlaisvinti inžinerijos pajėgumai turi vertę net tada, kai darbo užmokesčio fondas nesumažėja. Naudą nurodykite tiksliai:

• Papildomi pajėgumai: esami darbuotojai gali skirti daugiau laiko kitam darbui.
• Išvengtos išlaidos: suplanuoto darbuotojo įdarbinimo ar išorės užsakymo nebereikia.
• Pinigų santaupos: išlaidos iš tikrųjų išnyksta.

Tų pačių valandų neskaičiuokite visomis trimis kategorijomis. Mūsų automatizavimo investicijų grąžos vadove pateikiamas konkretus šios verslo atvejo veiklos dalies skaičiavimas.

Atsparumas: finansuokite verslui svarbius rezultatus

Organizacija gali turėti tvarkingą dokumentaciją ir vis tiek negalėti atkurti kritinės paslaugos. Todėl investicijos į atsparumą turėtų prasidėti nuo verslo priklausomybių, o ne nuo parašytų politikų skaičiaus.

Nustatykite paslaugas, kurių sutrikimas sutrukdytų teikti paslaugas, atskleistų jautrią informaciją ar pakenktų sutartiniams įsipareigojimams. Paklauskite, nuo kokių sistemų, tiekėjų, žmonių ir duomenų šios paslaugos priklauso. Tada įvertinkite, ko iš tikrųjų reikėtų atkūrimui.

Vadovybė turėtų gauti tokius įrodymus kaip atkūrimo testų rezultatai, incidentų pratybų išvados, neišspręsti prieigos klausimai ir taisomųjų darbų rezultatai. Pranešimas apie sėkmingą atsarginę kopiją nėra lygiavertis sėkmingam atkūrimui. Incidentų planas nėra lygiavertis tam, kad komanda žinotų, kas gali leisti imtis skubių veiksmų.

Naudingi vadovybės klausimai:

• Ar testas pasiekė šiai paslaugai suderintą atkūrimo tikslą?
• Kuri priklausomybė sutrukdė atkūrimui ar sulėtino pratybas?
• Kas atsakingas už taisomąjį veiksmą ir kada jis bus testuojamas pakartotinai?
• Koks pažeidžiamumas lieka, kol veiksmas neužbaigtas?

Venkite pateikti hipotetinius išvengtus incidentus kaip realizuotas santaupas. Scenarijų analizė gali padėti priimti investicinius sprendimus, tačiau prielaidos dėl tikimybės, trukmės ir poveikio turėtų likti aiškios. Naudokite intervalus ir nurodykite neapibrėžtumą, o ne priskirkite tikslią piniginę grąžą incidentui, kuris neįvyko.

Laikotarpis be incidentų neįrodo, kad kontrolės veikia. Ir atvirkščiai, pratybų metu nustatyti trūkumai yra naudingi įrodymai, kai šios išvados lemia užbaigtus patobulinimus.

Teisiniai ir sutartiniai įpareigojimai: pirmiausia nustatykite taikymą

Kai kurios išlaidos būtinos todėl, kad organizacijai taikoma pareiga, o ne todėl, kad jos duoda teigiamą trumpalaikę investicijų grąžą. Vadovybė vis tiek turėtų siekti veiksmingo įgyvendinimo, tačiau privalomo darbo negalima atmesti vien todėl, kad jo komercinę naudą sunku įvertinti kiekybiškai.

Pradėkite nuo dokumentuoto taikymo vertinimo, apimančio juridinius asmenis, buveines, paslaugas, duomenų tvarkymą, sutartis su klientais ir atitinkamas sektorines taisykles. Paskirkite atsakingą asmenį ir, kai aiškinimas neaiškus, kreipkitės į teisininkus ar specialistus.

Pagal BDAR pareigos priklauso nuo tvarkymo veiklos ir organizacijos vaidmenų. 28 straipsnis nustato reikalavimus duomenų valdytojo ir duomenų tvarkytojo sutartims, o 32 straipsnis reikalauja rizikai tinkamo saugumo. Sertifikatas šių vertinimų nepakeičia, o duomenų tvarkymo sutartis neišsprendžia kiekvieno tarptautinio perdavimo klausimo.

NIS2 yra direktyva, įgyvendinama nacionaline teise. Jos taikymas priklauso nuo sektoriaus, dydžio, paslaugų ir įtraukimo taisyklių. 20–23 straipsniai reglamentuoja vadovybės priežiūrą, rizikos valdymo priemones ir pranešimą apie reikšmingus incidentus. Vadovai turėtų patikrinti atitinkamą nacionalinį įgyvendinimą, o ne laikyti ES lygmens santrauką išsamiu veiklos nurodymu.

DORA visų pirma taikomas nurodytiems finansų subjektams. IRT tiekėjams gali kilti klientų ir sutartiniai įpareigojimai, o paskirtiems svarbiausiems paslaugų teikėjams taikomas atskiras priežiūros režimas. Ne kiekvienam bankui programinę įrangą tiekiančiam startuoliui tiesiogiai taikomas kiekvienas DORA įpareigojimas.

Tvarkykite įpareigojimų registrą, kuriame nurodytas šaltinis, taikymo pagrindimas, atsakingas asmuo, įgyvendinimo įrodymai ir kita peržiūros paskata. Kai kontrolės tarnauja keliems reikalavimams, įgyvendinimą ir įrodymus naudokite pakartotinai ten, kur tinkama; neprisiimkite, kad panaši formuluotė padaro teisines pareigas lygiavertes.

Investuotojai ir partneriai: sumažinkite neapibrėžtumą prieš patikrinimą

Investuotojai, įsigyjantys asmenys ir strateginiai partneriai gali nagrinėti saugumą ir privatumą, nes trūkumai gali paveikti paslaugų tęstinumą, įsipareigojimus, taisymo išlaidas ir integracijos planus. Tokios peržiūros gylis skiriasi priklausomai nuo sandorio ir verslo; jo nenulemia vien finansavimo etapas.

Parenkite apibrėžtą patikrinimo paketą: organizacijos ir paslaugų taikymo sritį, turimus vertinimų rezultatus, reikšmingas rizikas, neišspręstas išvadas, incidentų istoriją, svarbias tiekėjų priklausomybes ir planuojamas išlaidas. Jautrioms medžiagoms taikykite tinkamus prieigos apribojimus.

Vertė yra aiškesnis verslo paaiškinimas, o ne garantuotas vertės padidėjimas. Žinomą trūkumą su patikimu atsakingu asmeniu ir finansuotu rizikos valdymo planu įvertinti lengviau nei užtikrintą teiginį, kurį paneigia trūkstami įrodymai.

Vadovybė turėtų tiksliai atskleisti reikšmingus apribojimus. Apibrėžtos taikymo srities sertifikatas automatiškai neapima įsigytos bendrovės, o ataskaita su išvadomis neturėtų būti pateikiama kaip besąlygiškas saugumo įrodymas.

Rinkitės investicijas pagal sprendimus, o ne pagal kredencialų katalogą

Praktinė rekomendacija yra finansavimo pasiūlymą padalyti į tris lygmenis:

1. Privalomi įsipareigojimai: taikomi įpareigojimai ir sutartiniai pažadai, kuriuos reikia įgyvendinti.
2. Reikšmingų rizikų valdymas: patobulinimai, susiję su kritinėmis paslaugomis ir patikimais sutrikimų scenarijais.
3. Komerciniai ir veiklos patobulinimai: užtikrinimo gebėjimai ir darbo procesų pakeitimai su išmatuojama nauda.

Kiekvienam pasiūlymui nurodykite taikymo sritį, atsakingą asmenį, išlaidas, priklausomybę, laukiamą rezultatą ir peržiūrai reikalingus įrodymus. Įtraukite atidėjimo pasekmes. Sertifikavimo projektas gali priklausyti nuo veikiančių kontrolių ir vidaus peržiūros; kliento terminas negali sukurti trūkstamos kontrolių veikimo istorijos.

Anksčiau pradėjus galima tvarkingai atlikti taisomuosius darbus ir surinkti įrodymus. Tai nereiškia, kad kiekvienai jaunai įmonei reikia kiekvienos sistemos. Prioritetus nustatykite pagal faktinius įpareigojimus, paslaugų rizikas ir tikslinius klientus.

Neapdovanokite komandų vien už greitą išvadų uždarymą. Priimta rizika gali būti teisėta, tačiau turėtų būti nurodyta, kas ją priėmė, koks verslo pagrindimas, kokios kompensuojamosios priemonės taikomos ir kada sprendimas nustoja galioti arba turi būti persvarstytas.

Išnagrinėtas pavyzdys: apibrėžtas verslo atvejis

Panagrinėkime iliustracinę programinės įrangos įmonę, tobulinančią klientų peržiūrų ir pasikartojančių įrodymų darbo procesus. Toliau pateikti skaičiai yra prielaidos, o ne rinkos etalonai ar „Secani“ pažadai.

Jos metinis atskaitos taškas yra 60 klientų peržiūrų po aštuonias vidines valandas, taip pat 12 vidinių įrodymų ciklų po 20 valandų: iš viso 720 valandų.

Siūlomame darbo procese naudojami peržiūrėti atsakymai, susieti įrodymai, įvardyti atsakingi asmenys ir suplanuoti atnaujinimai. Įmonė daro prielaidą, kad klientų peržiūros sutrumpėja iki keturių valandų, o vidiniai ciklai iki dešimties valandų: 360 valandų, įskaitant įprastinę įrodymų priežiūrą.

Taikant prielaidą, kad visos darbo sąnaudos yra 80 € per valandą, atlaisvintos 360 valandų atitinka 28 800 € metinę pajėgumų vertę. Tarkime, kad pasikartojančios išorės išlaidos yra 12 000 €, o vienkartinės įgyvendinimo išlaidos 10 000 €. Todėl pirmųjų metų sumodeliuota ekonominė nauda yra 6 800 €. Vėlesniais metais ji skirtųsi, o darbo krūvio pokyčiai gali paneigti prielaidas.

Tai savaime nėra pinigų santaupos. Atlyginimai lieka nepakitę, nebent išlaidos iš tikrųjų panaikinamos. Finansų skyrius taip pat turėtų patikrinti, ar įgyvendinimo darbo sąnaudos ir nuolatinis administravimas įtraukti vieną kartą, o ne praleisti ar įskaičiuoti dukart.

Komerciniu požiūriu įmonė užfiksuoja, kurioms galimybėms reikia geresnio užtikrinimo, tačiau jų visų sutarčių verčių nepriskiria veiklos grąžai. Atsparumo srityje ji atskirai seka atkūrimo rezultatus ir vėluojančius taisomuosius darbus, o ne priskiria spekuliatyvias išvengtų nuostolių santaupas.

Po pradinio peržiūros laikotarpio vadovybė palygina faktines valandas su prielaidomis. Jei atsakymų rengimas pagerėja, bet pirkėjai vis dar laukia trūkstamos techninės kontrolės, kitas sprendimas susijęs su ta kontrole, o ne su tolesniu klausimynų automatizavimu.

Paverskite atvejį darbo procesu su aiškia atsakomybe

Pradėkite nuo vieno klientų peržiūrų darbo proceso ir vieno pasikartojančio vidinio proceso. Užfiksuokite atskaitos tašką, apibrėžkite ribotą patobulinimą, įvardykite atsakingą asmenį ir tikrintoją bei nustatykite peržiūros laikotarpį. Vadovybės ataskaitose komercinius, veiklos ir saugumo rezultatus laikykite atskirai.

„Secani“ palaiko šį požiūrį, ISMS darbo erdvėje susiedama reikalavimus, įrodymus, atsakingus asmenis, užduotis ir peržiūros sprendimus. Komanda gali pradėti nuo vienos paslaugos, sumodeliuoti jos sistemas ir priklausomybes, pridėti esamus įrodymus prie atitinkamų reikalavimų ir paversti spragas priskirtu darbu. DI padedami pasiūlymai lieka juodraščiu, kurį peržiūri žmogus, o šaltiniai ir patvirtinimai išlieka atsekami.

Kitas vadovybės žingsnis yra tikslinė peržiūra: kuri pirkimo sąlyga neišspręsta, kurį pasikartojantį darbą galima sumažinti ir kuriai reikšmingai rizikai trūksta sprendimo? Patvirtinkite darbą pagal šiuos klausimus, tada patikrinkite pažangos įrodymus. Taip saugumas ir atitiktis tampa valdoma verslo investicija, o ne neišskirta biudžeto eilute.