Ko stambiems pirkėjams reikia be saugumo ženklelio

Užtikrinimo dokumentas gali pradėti pirkimo pokalbį. Kitas klausimas yra, ar jis apibūdina paslaugą, kurią pirkėjas iš tikrųjų naudos, ir rizikas, kurias pirkėjui reikia valdyti.

Generaliniam direktoriui tai yra komercinis ir valdymo klausimas, o ne vien audito klausimas. Stambūs klientai sprendžia, ar patikėti informaciją, veiklos priklausomybes ir sutartinius įsipareigojimus kitai įmonei. Sertifikatas ar ataskaita sumažina dalį neapibrėžtumo, tačiau šio sprendimo už juos nepriima.

Tiekėjo užduotis yra pateikti nuoseklų savo saugumo aprašymą: kas apimta, kas buvo išbandyta, kas lieka neišspręsta ir kas yra atsakingas. Pirkėjo užduotis yra šiuos įrodymus paversti dokumentuotu sprendimu dėl siūlomų santykių.

Pradėkite nuo pirkimo, o ne nuo ženklelio

Prieš prašydami dokumentų, apibrėžkite poveikį. Kokią informaciją gaus tiekėjas? Ar jis gali pasiekti gamybines sistemas? Ar jo veiklos sutrikimas nutrauktų esminį procesą? Ar jis apdoros operacijas, talpins darbo krūvius ar tiesiog teiks mažo poveikio vidinį įrankį?

Šie klausimai lemia peržiūros gilumą. Praktiškai rekomenduojama išsamius techninius patikslinimus palikti tiekėjams, kurių prieiga, duomenų jautrumas ar veiklos svarba to reikalauja. Visuotinis klausimynas gali iššvaistyti laiką ir praleisti reikšmingiausią priklausomybę.

Užfiksuokite trumpą paslaugos profilį, kuriame būtų:

• Sutartį sudarantis subjektas, produktas, diegimo modelis ir numatytas naudojimas.
• Duomenų kategorijos, privilegijuota prieiga ir reikšmingos integracijos.
• Kompromitavimo ar veiklos sutrikimo poveikis verslui.
• Kritiniai subrangovai ir klientų atsakomybės.
• Asmuo, įgaliotas patvirtinti liekamąją riziką.

Šis profilis tampa atskaitos tašku kiekvienam užtikrinimo teiginiui. Be jo peržiūrėtojai gali patvirtinti tikrą dokumentą, kuris susijęs su netinkama paslauga.

Perskaitykite dokumento ribas

ISO 27001: supraskite valdymo sistemos apimtį

ISO/IEC 27001 susijęs su informacijos saugumo valdymo sistema (ISMS). Sertifikavimą atlieka nepriklausoma sertifikavimo įstaiga, o ne ISO. Jis suteikia užtikrinimą dėl apibrėžtos valdymo sistemos apimties; tai nėra garantija, kad kiekvienas produktas, dukterinė įmonė ar vieta yra saugūs.

Patikrinkite sertifikate nurodytą juridinį asmenį, apimties aprašymą, standarto leidimą, sertifikato numerį, galiojimo datas ir jį išdavusią įstaigą. Patikrinkite taikomą akreditaciją ir, kur įmanoma, sertifikato būseną per sertifikavimo įstaigą ar jos registrą. Paklauskite apie dabartinę priežiūros auditų būseną, o ne manykite, kad atspausdinta galiojimo pabaigos data išsprendžia visus klausimus.

Apimtis gali apibūdinti veiklas, o ne išvardyti atskiras programas. Paprašykite tiekėjo paaiškinti, kaip perkama paslauga, ją valdančios komandos ir palaikanti infrastruktūra patenka į šias ribas. Nenurodytas produkto pavadinimas automatiškai nereiškia, kad produktas neįtrauktas, tačiau nepaaiškinto ryšio nepakanka.

Taikomumo pareiškimas arba tinkama jo santrauka suteikia papildomo konteksto: kurios A priedo kontrolės priemonės taikomos, kodėl jos taikomos ir kodėl kitos neįtrauktos. A priedas grindžiamas rizika, o ne reikalavimu kiekvieną kontrolės priemonę įgyvendinti vienodai. Apimtis, taikomumo pareiškimas, rizikos tvarkymas, vidaus auditas ir vadovybės peržiūra tarnauja skirtingiems tikslams; vienas dokumentas negali pakeisti jų visų.

„Suderinta su ISO 27001“ yra kitoks teiginys nei nepriklausomas sertifikavimas. Savarankiška deklaracija gali apibūdinti naudingą darbą, tačiau pirkėjai neturėtų jos laikyti lygiaverčiu užtikrinimu.

SOC 2: skaitykite ataskaitą, o ne logotipą

SOC 2 yra patvirtinimo ataskaita, o ne produkto sertifikatas. Peržiūrėkite sistemos aprašymą, pasirinktas patikimumo paslaugų kategorijas (Trust Services Categories), auditoriaus nuomonę, vertinimo datą ar laikotarpį, išimtis ir tai, kaip traktuojamos subpaslaugų organizacijos.

1 tipas apima kontrolės priemonių projektavimą tam tikrą dieną. 2 tipas papildomai apima veikimo veiksmingumą per tam tikrą laikotarpį. Nė vienas negarantuoja, kad incidentai negali įvykti ar kad apimta kiekviena kliento konfigūracija.

Saugumas įtraukiamas į SOC 2 užsakymus; prieinamumas, apdorojimo vientisumas, konfidencialumas ir privatumas priklauso nuo užsakymo apimties. Į saugumą orientuota ataskaita automatiškai neatsako į pirkėjo klausimus apie operacijų tikslumą ar paslaugų tęstinumą.

Perskaitykite, kaip traktuojami debesijos paslaugų teikėjai ir kitos subpaslaugų organizacijos. Taikant išskyrimo (carve-out) metodą, atitinkamos jų kontrolės priemonės neįtraukiamos į tiekėjo auditoriaus testavimą. Tai savaime nėra nepriimtina, tačiau reikia suprasti priklausomybę ir jai prieinamą užtikrinimą.

Jei ataskaitos laikotarpis baigėsi prieš didelę migraciją ar įsigijimą, paklauskite, kas pasikeitė. Vadovybės atnaujinimas arba tarpinis laiškas (bridge letter) gali paaiškinti tarpinį laikotarpį, tačiau tai nėra nauja nepriklausomo auditoriaus nuomonė.

Susiekite radinius su savo faktiniu poveikiu

Ataskaitoje nurodyta išimtis yra analizės pradžios taškas, o ne automatinis atmetimas. Prieigos peržiūros gedimas, paveikęs gamybinės aplinkos administratorius, turi kitokias pasekmes nei pavėluota izoliuoto vidinio įrankio peržiūra.

Paklauskite, kurios sistemos ir tapatybės buvo paveiktos, kiek laiko ta būklė egzistavo, ar buvo atskleista klientų informacija ir kokios kompensuojamosios kontrolės priemonės veikė. Tada paprašykite trūkumų šalinimo būsenos ir problemai proporcingų įrodymų.

Atskirkite auditoriaus testo išimtį nuo neigiamos ar sąlyginės nuomonės. Skaitykite nuomonę ir išsamius rezultatus kartu, o ne priskirkite kiekvieną nuokrypį tai pačiai problemai.

Papildomoms naudotojo subjekto kontrolės priemonėms reikia vienodo dėmesio. Jei ataskaitoje daroma prielaida, kad klientai konfigūruoja tapatybių federaciją, pašalina išėjusius naudotojus ar peržiūri administratorių prieigą, šios užduotys tampa jūsų įgyvendinimo atsakomybės dalimi. Jas paskirstykite prieš paleidimą; kitaip užtikrinimas gali priklausyti nuo kontrolės priemonių, kurių niekas neįgyvendino.

Sprendimo įraše turėtų būti nurodytas poveikis, peržiūrėti įrodymai, neišspręsti klausimai, reikalingi veiksmai ir patvirtinimo įgaliojimai. Pirkimų būsena „saugumas patvirtintas“ yra per menka, kad paaiškintų vėlesnį sprendimą.

Paklauskite, kaip saugumas veikia tarp vertinimų

Stambiems pirkėjams reikia įrodymų, kad saugumas tęsiasi ir pasibaigus audito laikotarpiui. Stipriausi atsakymai susieja teiginį su veikiančiu procesu, naujausiu artefaktu ir atsakingu asmeniu.

Testavimas turėtų paaiškinti aprėptį ir apribojimus

Pažeidžiamumų skenavimas ir skverbties testas atsako į skirtingus klausimus. Skenavimas gali nustatyti žinomus trūkumus visuose ištekliuose; skverbties testavimas tiria, ar trūkumus galima išnaudoti apibrėžtoje apimtyje. Nė vienas nesuteikia visiško užtikrinimo.

Naudingoje testavimo santraukoje nurodomas vertintojas, data, aplinka, metodika, išimtys, radiniai ir šalinimo būsena. Kelių nuomininkų paslaugos atveju pirkėjai pagrįstai gali paklausti, ar buvo tirta nuomininkų izoliacija ir autorizavimo keliai, o ne vien ar buvo testuotas viešas prisijungimo puslapis.

Nei ISO 27001, nei SOC 2 nėra visuotinio teisiškai privalomo skverbties testo. Testavimo poreikiai priklauso nuo rizikų, pasirinktų kontrolės priemonių ir klientų reikalavimų. Vadovai turėtų finansuoti paslaugai tinkamą testavimą, o ne pirkti dokumentą vien tam, kad patenkintų klausimyną.

Trūkumų šalinimas turėtų būti atsekamas

Svarbiems radiniams nurodykite aptikimo datą, sunkumo pagrindimą, atsakingą asmenį, tikslinę datą, izoliavimo ir užbaigimo įrodymus. Paaiškinkite terminų pratęsimus ir priimtą riziką. Vien uždaryta užduotis neįrodo, kad trūkumas ištaisytas; pakartotinis testavimas ar kitas tinkamas patvirtinimas sustiprina teiginį.

Nelaikykite sunkumo etikečių visu sprendimu. Pasiekiamumas iš interneto, išnaudojamumas, paveikta informacija ir kompensuojamosios apsaugos priemonės gali pakeisti prioritetą. Pirkėjams reikia pakankamai konteksto, kad suprastų šį samprotavimą.

Atskaitomybė turi pasiekti sprendimus priimantį asmenį

Bendra saugumo pašto dėžutė naudinga užklausoms priimti, tačiau ji nepakeičia atskaitingo savininko. Įvardykite saugumo vadovą, atitinkamos paslaugos savininką ir eskalavimo vadovybei kelią. Užtikrinimą aptariantis asmuo turėtų gebėti paaiškinti sprendimus arba įtraukti į pokalbį atsakingą specialistą.

Vadovybė lieka atsakinga už trūkumų šalinimo finansavimą ir reikšmingų liekamųjų rizikų patvirtinimą. Konsultantas gali patarti; nei konsultantas, nei programinės įrangos prenumerata šios atsakomybės nepanaikina.

Parenkite konkrečiai paslaugai skirtą užtikrinimo paketą

Tiekėjai turėtų palaikyti nuoseklų paketą, o ne kiekvienam sandoriui rinkti prieštaringus atsakymus. Įtraukite galiojantį sertifikatą ar ataskaitą, apimties paaiškinimą, architektūros kontekstą, atitinkamas testavimo santraukas, incidentų kontaktus, klientų įgyvendinimo atsakomybes ir patvirtintus atsakymus į dažnus klausimus.

Kiekvienam elementui paskirkite atsakingą asmenį ir peržiūros datą. Peržiūrėkite ne tik pagal nustatytą periodiškumą, bet ir po esminių pokyčių: naujas prieglobos modelis, svarbus subrangovas ar reikšmingas incidentas gali padaryti kitaip aktualų atsakymą klaidinantį.

Jautrią techninę informaciją dalinkitės per tinkamą prieigos procesą. Taikant pakopinį metodą, pirmiausia galima pateikti bendrą apžvalgą, vėliau, laikantis konfidencialumo sąlygų, ribotos prieigos ataskaitas, o prireikus surengti specialistų konsultacijas. Pašalinkite prisijungimo duomenis, nesusijusių klientų informaciją ir nereikalingas išnaudojimo detales, neslėpdami radinių ar apribojimų.

Neužbaigtas radinys su aiškiu atsakingu asmeniu ir tvarkymo planu yra informatyvesnis nei nepaaiškinta užbaigimo būsena. Atsisakymas skelbti visą ataskaitą savaime nėra silpno saugumo įrodymas; tačiau atsisakymas pasiūlyti bet kokį prasmingą užtikrinimo kelią reikalauja tolesnio aiškinimosi.

Užtikrinimas taip pat nepakeičia teisinės analizės. Pagal BDAR duomenų valdytojo ir duomenų tvarkytojo sutartims bei rizika grindžiamoms saugumo pareigoms reikia atskiro vertinimo. SOC 2 ataskaita ar ISO 27001 sertifikatas neįrodo atitikties BDAR ar NIS2.

Pavyzdys: klientų aptarnavimo platformos patvirtinimas

Panagrinėkime iliustracinę stambią įmonę, perkančią SaaS klientų aptarnavimo platformą. Tarkime, joje bus saugoma susirašinėjimas su klientais ir paskyrų identifikatoriai, bet ne mokėjimo kortelių duomenys. Kliento administratoriai prieigą valdys per federaciją, o veiklos sutrikimas atidėtų klientų aptarnavimą, bet nesustabdytų pagrindinių operacijų.

Tiekėjas pateikia galiojantį ISO 27001 sertifikatą ir SOC 2 2 tipo ataskaitą. Peržiūra nustato, kad sertifikatas apima paslaugos teikimą. SOC 2 ataskaita apima saugumą ir prieinamumą, tačiau jos debesijos paslaugų teikėjui taikomas išskyrimo metodas. Viena išimtis susijusi su pavėluotu darbuotojo prieigos prie gamybinės aplinkos panaikinimu.

Pirkėjas pateikia keturis tikslinius papildomus prašymus: prieigos panaikinimo laiko juostą, ištaisyto darbo santykių pabaigos proceso įrodymus, debesijos priklausomybės užtikrinimo kelią ir siūlomai paslaugai aktualius atkūrimo testų rezultatus. Jis taip pat paskiria savo federacijos sąranką ir administratorių peržiūras vidiniam atsakingam asmeniui.

Tarkime, prieigos problema išspręsta ir patvirtinta, tačiau atkūrimo įrodymai nepagrindžia pirkėjo pageidaujamo atkūrimo tikslo. Tada verslo savininkas gali nuspręsti priimti ilgesnį veiklos sutrikimą, įdiegti įgyvendinamą atsarginį sprendimą arba atmesti paslaugą. Pirkimų skyrius suderintą tęstinumo įsipareigojimą įtraukia į sutartį ir suplanuoja pakartotinį vertinimą.

Rezultatas yra sąlyginis, pagrįstas patvirtinimas, o ne teiginys, kad tiekėjas yra be rizikos. Sertifikatas padeda sukurti pasitikėjimą, o papildomi prašymai atsako į faktinio pirkimo klausimus.

Tokį patį kruopštumą taikykite pirkdami atitikties paslaugas

Paslaugų teikėjai, padedantys jums pasirengti užtikrinimui, turėtų paaiškinti, ką apima jų pasiūlymas: programinę įrangą, diegimo konsultacijas, įrodymų peržiūrą, audito koordinavimą ar jų derinį. Paprašykite įvardytų atsakomybių ir plano, kuris atskiria jūsų darbą nuo jų darbo.

Garantuotą audito rezultatą laikykite įspėjamuoju ženklu: paslaugų teikėjas nekontroliuoja nepriklausomo vertintojo. Labai trumpus terminus taip pat reikia paaiškinti. Brandi organizacija su nusistovėjusiomis kontrolės priemonėmis susiduria su kitokiu darbu nei ta, kuri pradeda neturėdama atsakingų asmenų, rizikos vertinimo ar veiklos įrodymų; sąžiningo visuotinio pasirengimo laikotarpio nėra.

Paklauskite, kaip planas apima apimtį, rizikos tvarkymą, vidaus auditą, vadovybės peržiūrą ir nuolatinę priežiūrą. Šablonai gali paspartinti dokumentavimą, tačiau negali įrodyti, kad procesas vyko. Anksčiau trūkę įrodymai turėtų tapti spraga su tvarkymo planu, o ne atkurta istorija.

Vadovybė pagalbą turėtų vertinti pagal tai, ar ji daro atsakomybes ir sprendimus aiškesnius, o ne pagal tai, kaip užtikrintai ji žada ženklelį.

Palengvinkite kitą užtikrinimo peržiūrą

Pasirinkite vieną svarbią paslaugą ir suderinkite jos išorinius teiginius su faktine apimtimi, įrodymais ir neišspręstomis rizikomis. Neatitikimams paskirkite atsakingus asmenis, patvirtinkite klientams skirtas formuluotes ir nustatykite peržiūros ritmą. Tai praktinis atspirties taškas tiek paketą rengiantiems tiekėjams, tiek sprendimą dokumentuojantiems pirkėjams.

Secani palaiko šį darbo procesą modeliuodama paslaugas ir priklausomybes, susiedama įrodymus su reikalavimais ir kontrolės priemonėmis bei paversdama spragas užduotimis su atsakingais asmenimis. Komandos gali išsaugoti nuorodas į šaltinius, komentarus, patvirtinimus ir laiko žymas, susijusias su peržiūros sprendimais; DI padedami pasiūlymai lieka juodraštiniu darbu, kol juos peržiūri žmogus. Pasinaudokite mūsų GRC programinės įrangos vadovu, kad įvertintumėte, ar jūsų įrankiai palaiko tą patį požiūrį.

Vadovybės tikslas yra pagrįstas paslaugos aprašymas: aiškios ribos, įrodymais pagrįsti atsakymai ir aiški atsakomybė už tai, ką dar reikia nuveikti.