GRC spragos: pirmenybę teikite pasekmei, slypinčiai už išvados

Dvi kontrolės priemonės gali atrodyti neužbaigtos, nors joms reikia visiškai skirtingų veiksmų. Viena neturi naujausių įrodymų; kita įgyvendinta, bet praktikoje neveikia. Naudingas spragų vertinimas išsaugo šį skirtumą, užuot pavertęs kiekvieną išvadą ta pačia taisymo užduotimi.

Vadovybei pagrindinis klausimas nėra tai, kiek spragų lieka atvirų. Svarbu, kurios verslo pasekmės tebėra galimos, ką organizacija apie jas žino ir kas turi įgaliojimus nuspręsti, kas bus toliau. Audito terminas yra svarbus, tačiau jis neturėtų tapti vienintele priežastimi, dėl kurios išvadai skiriamas dėmesys.

Praktinis tikslas yra pagrįsta grandinė: nustatyti faktai, paveiktas reikalavimas ir kontrolės priemonė, verslo rizika, sprendimas dėl rizikos tvarkymo ir patikrintas užbaigimas. Tokia grandinė padaro biudžeto diskusijas konkretesnes ir neleidžia tvarkingai atitikties suvestinei paslėpti neišspręstų veiklos problemų.

Nustatykite, ko iš tikrųjų trūksta

Pradėkite atskirdami dokumentavimo, įgyvendinimo, veiksmingumo ir taikymo klausimus. Šios kategorijos apibūdina skirtingas problemas ir reikalauja skirtingų įrodymų.

Trūkstamas prieigos peržiūros eksportas reiškia, kad teiginį reikia ištirti. Patvirtintas buvęs darbuotojas su aktyvia prieiga rodo įgyvendinimo problemą. Užbaigta peržiūra, kuri nuolat patvirtina netinkamas privilegijas, rodo veiksmingumo problemą. Automatiškai nepaverskite kiekvieno trūkstamo dokumento įrodyta saugumo nesėkme, bet ir nelaikykite jo nekenksmingu formalumu.

Kiekvienoje išvadoje turėtų būti užfiksuotas reikalavimas, paveikta paslauga ar sistema, stebėjimo data, nustatyti faktai, šaltinis ir neapibrėžtumas. Atskirkite teiginius, pavyzdžiui, „peržiūros įrašas nebuvo pateiktas“, nuo išvadų, pavyzdžiui, „peržiūra nebuvo atlikta“. Kai turimi faktai negali pagrįsti išvados, paskirkite už tyrimą atsakingą asmenį.

Įrodymai taip pat turi ribas. Šiandieninės konfigūracijos ekrano nuotrauka negali įrodyti, kad ta konfigūracija veikė visą ankstesnį ketvirtį. Politika aprašo tikėtiną elgseną; ji neįrodo, kad žmonės jos laikėsi. Jei istorinių įrodymų atkurti neįmanoma, nurodykite šį apribojimą, o ne kurkite atgaline data įrašą, kuris atrodo kaip sukurtas tuo metu.

Šie skirtumai apsaugo sprendimų kokybę. Vadovybė gali patvirtinti skubų tyrimą neskelbdama apie pažeidimą, o kai tikra veiklos nesėkmė jau nustatyta, ji gali pareikalauti nedelsiant suvaldyti situaciją.

Susiekite išvadas, rizikas ir išimtis jų nesupainiodami

Išvada apibūdina nustatytą būklę. Rizika apibūdina galimą pasekmę tam tikromis aplinkybėmis. Išimtis užfiksuoja leistiną nukrypimą nuo vidinio reikalavimo, paprastai nustatytam laikotarpiui. Jos susijusios, bet nėra tarpusavyje pakeičiamos.

Pavyzdžiui, nebepalaikoma programa yra išvada. Neteisėta prieiga per neištaisytą pažeidimą, sukelianti paslaugos sutrikimą ar klientų informacijos atskleidimą, yra rizikos scenarijus. Leidimas toliau naudoti programą, kol diegiamas pakaitalas, yra sprendimas dėl išimties.

Šiuos ryšius padarykite aiškius:

• Susiekite išvadą su kontrolės priemone ir reikalavimu, kurį ji paveikia.
• Aprašykite paveiktą verslo paslaugą, informaciją ir žmones.
• Kai tikslinga, susiekite ją su esamu rizikos scenarijumi.
• Bet kokią laikinąją išimtį fiksuokite atskirai nuo taisymo darbų.

Kelios išvados gali paveikti vieną riziką, o viena išvada gali paveikti kelias rizikas. Venkite kurti atskirą rizikos įrašą kiekvienam trūkstamam priedui. Ir atvirkščiai, nepaslėpkite reikšmingos veiklos nesėkmės įrodymų rinkimo užduotyje.

Problema taip pat gali inicijuoti incidento vertinimą. Jei įtariamas aktyvus piktnaudžiavimas, duomenų praradimas ar paslaugos sutrikimas, šį klausimą nedelsdami nukreipkite per incidentų procesą. Įprastas spragų valdymas neturi vilkinti suvaldymo ar galbūt taikomos pareigos pranešti.

Pirmenybę teikite pasekmei, o tada atsižvelkite į terminą

Prioritetas turėtų paaiškinti, kodėl veiksmai svarbūs dabar. Vien „didelio sunkumo“ žymos nepakanka, kad biudžeto valdytojas galėtų pasirinkti tarp taisymo projektų.

Remdamiesi turimais faktais, įvertinkite šiuos aspektus:

• Pasekmė: kurie klientai, veikla, duomenys ar asmenys galėtų būti paveikti? Ar nesėkmė galėtų sutrikdyti kritinę paslaugą ar pakenkti sutartiniam įsipareigojimui?
• Rizikos poveikis: ar yra tikėtinas kelias į žalą? Atsižvelkite į pasiekiamumą iš išorės, privilegijas, prieigos kelius ir žinomą išnaudojimą, o ne vien į pažeidžiamumo buvimą.
• Trukmė ir mastas: kiek laiko ši būklė egzistuoja ir ar ji paveikia vieną sistemą, ar bendrą priklausomybę?
• Prievolės: ar yra teisinių, sutartinių, pranešimo ar užtikrinimo pasekmių? Užfiksuokite taikomą šaltinį ir terminą.
• Kompensacinės priemonės: kurios apsaugos priemonės veikia dabar ir kokie įrodymai pagrindžia jų veiksmingumą?
• Pasitikėjimas: kurios išvados yra nustatytos, o kurios priklauso nuo prielaidų ar trūkstamos informacijos?

Naudokite nuoseklų vertinimo metodą, tačiau kartu su įvertinimu išsaugokite jo motyvus. Mažas pasitikėjimas savaime nereiškia žemo prioriteto. Nepatikrinta kritinę paslaugą sauganti kontrolės priemonė gali pateisinti skubų tyrimą, nes svarbus pats neapibrėžtumas.

Praktiškai rekomenduojama atskirti neatidėliotiną suvaldymą, suplanuotus taisomuosius veiksmus ir įrodymų tyrimą. Jų skubumas turėtų priklausyti nuo rizikos, o ne nuo visuotinio dienų skaičiaus. Apibrėžkite vietinius eskalavimo paleidiklius įtariamam kompromitavimui, atskleistai privilegijuotai prieigai, negalėjimui atkurti kritinių paslaugų ir nevykdytoms prievolėms.

Susijusias išvadas grupuokite, kai jos turi bendrą pagrindinę priežastį. Penki nepavykę išėjimo patikrinimai penkiose programose gali rodyti vieną sugedusį darbuotojų atėjimo, perkėlimo ir išėjimo procesą. Šio proceso ištaisymas gali būti vertingesnis nei penkių atskirų užduočių uždarymas, nors kiekvieną paveiktą paskyrą vis tiek reikia ištaisyti.

Priklausomybės taip pat lemia eiliškumą. Teisių pertvarka gali priklausyti nuo sistemų inventoriaus; tiekėjo pakeitimas gali priklausyti nuo duomenų perkėlimo. Šias priklausomybes fiksuokite atvirai. Nemažinkite rizikos įvertinimo vien todėl, kad taisymas sudėtingas ar brangus.

Ieškokite rizikų, kurias praleidžia įprasti audito sąrašai

Bendri rizikų sąrašai yra paskatos tyrimui, o ne įrodymas, kad problema egzistuoja jūsų organizacijoje. Penkios sritys nusipelno kryptingo nagrinėjimo, nes jų pasekmės dažnai peržengia išvadą, kuri jas pirmą kartą atskleidžia.

Reguliavimo aklosios zonos ir neaiški atsakomybė

Tvarkykite prievolių registrą, kuriame nurodytas atitinkamas juridinis asmuo, jurisdikcija, paslauga, organizacinis vaidmuo, reikalavimas, atsakingas asmuo ir vertinimo data. Įtraukite ne tik teisės aktų pareigas, bet ir sutartinius įsipareigojimus, išlaikydami jų šaltinius atskirus.

NIS2 taikymas priklauso nuo sektoriaus, dydžio, paslaugos ir įtraukimo taisyklių, o veiklos pareigos atsiranda per nacionalinį įgyvendinimą. NIS2 20–23 straipsniai reglamentuoja vadovybės priežiūrą, rizikos valdymo priemones ir pranešimą apie reikšmingus incidentus. Bendras sistemų susiejimas nepakeičia atitinkamų nacionalinių taisyklių vertinimo.

Kai reikalavimas buvo praleistas, ištirkite stebėsenos procesą: kas stebi pokyčius, kas sprendžia dėl taikymo ir kas paskiria įgyvendinimą? Teiginio „tuo rūpinasi teisininkai“ nepakanka, jei niekas negali nurodyti sprendimo, jo apimties ar atsakingo asmens.

Pasenę įrodymai ir nepatikrintas veiksmingumas

Atskirkite kontrolės priemonės projektą, įgyvendinimą ir veikimą laikui bėgant. Prieigos procedūros, tapatybių sistemos nustatymai, peržiūros įrašai ir išspręstos išimtys atsako į skirtingus klausimus.

NIS2 21 straipsnio 2 dalies f punktas apima kibernetinio saugumo rizikos valdymo priemonių veiksmingumo vertinimo politiką ir procedūras. Panašiai BDAR 32 straipsnis apima reguliaraus atitinkamų saugumo priemonių testavimo, įvertinimo ir vertinimo procesą. Prievolės priklauso nuo taikymo; nė viena jų neįvykdoma vien surenkant daugiau PDF failų.

Kaip praktinį įrodymų standartą fiksuokite išbandytą apimtį, datą ar laikotarpį, metodą, rezultatą, peržiūrėtoją ir neišspręstus nukrypimus. Sėkminga atsarginės kopijos užduotis neįrodo atkuriamumo. Atkūrimo bandymas turi atsakyti, ar atitinkamus duomenis ir paslaugą iš tikrųjų galima atkurti pagal organizacijos veiklos prielaidas.

Priklausomybės nuo tiekėjų

Tiekėjo išvados svarba priklauso nuo jos sukuriamos priklausomybės. Paklauskite, kas nutiktų, jei paslaugų teikėjas taptų nepasiekiamas, prarastų duomenis, pakeistų subrangovą ar negalėtų padėti atlikti tyrimo.

Tvarkykite tiekėjo įrašą su paslaugos savininku, kritiškumu, prieiga prie duomenų, vertinimo rezultatu, neišspręstomis sąlygomis ir kitos peržiūros data. Kritinėms priklausomybėms taip pat užfiksuokite kontaktus incidentų atveju, atkūrimo prielaidas, pasitraukimo apribojimus ir iš tiekėjo reikalingus įrodymus.

Pasirašyta duomenų tvarkymo sutartis nustato prievoles; ji neįrodo jų vykdymo. BDAR 28 straipsnis reikalauja, kad duomenų valdytojai naudotųsi duomenų tvarkytojais, teikiančiais pakankamas garantijas, ir nustato sutarčių reikalavimus. NIS2 21 straipsnio 2 dalies d punktas, kai taikomas, apima tiekimo grandinės saugumą. Nė vienas jų nereiškia, kad kiekviena tiekėjo nesėkmė automatiškai sukuria vienodą atsakomybę kiekvienam klientui.

Peržiūrėkite užtikrinimo medžiagą: jos apimtį, laikotarpį, išimtis ir aktualumą jūsų faktinei paslaugai. Tiekėjo atsakymai turėtų padėti priimti sprendimą, o ne tik užpildyti aplanką.

Sistemų izoliuotumas ir nekontroliuojami pokyčiai

Viena kontrolės priemonė gali pagrįsti kelis reikalavimus, tačiau susiejimas yra „daug su daug“ ir priklauso nuo versijų bei apimties. Bendras prieigos peržiūros procesas gali sumažinti dubliuojamą darbą, tačiau nepadaro teisinių pareigų lygiaverčių.

ISO/IEC 27001 susijęs su apibrėžtos taikymo srities informacijos saugumo valdymo sistema. Sertifikavimas savaime neįrodo atitikties BDAR ar NIS2. Išlaikykite konkrečioms sistemoms būdingas prievoles matomas net tada, kai kontrolės priemonės ir įrodymai yra bendri.

Prieštaringą politiką, dubliuojančias išvadas ir nenuoseklią atsakomybę tirkite kaip galimus suskaidyto valdymo požymius. Taip pat nagrinėkite pokyčius: įsigijimas, nauja gamybinė aplinka, užsakomoji paslauga ar duomenų perkėlimas gali paversti negaliojančiais anksčiau pakankamus įrodymus. Reikalaukite, kad reikšmingi pokyčiai inicijuotų taikymo srities, atsakomybės ir kontrolės priemonių taikymo peržiūrą. Mūsų sistemų susiejimo vadove paaiškinama, kodėl susiejimams reikia veiklos konteksto.

Be peržiūros priimami DI rezultatai

DI sukurta atitikties santrauka gali atrodyti išsami, nors remiasi pasenusiais šaltiniais, neteisinga apimtimi ar nepagrįstomis prielaidomis. Priėmimą be peržiūros laikykite valdymo problema, ypač kai rezultatas pagrindžia teisinį aiškinimą ar sprendimą dėl užbaigimo.

Sudarykite DI naudojimo atvejų, atsakingų asmenų, prijungtų duomenų, teisių, numatomų sprendimų ir žmogaus peržiūros taškų inventorių. Atskirkite patariamuosius rezultatus nuo sistemų, kurios gali vykdyti veiksmus. Prie pašto dėžutės prijungtas asistentas sukuria kitokią riziką nei įrankis, rengiantis viešos politikos tekstą.

Dirbtinio intelekto akto prievolės priklauso nuo vaidmens ir naudojimo atvejo. Europos Komisijos dabartinis tvarkaraštis atskiria jau taikomas nuostatas nuo vėlesnių didelės rizikos reikalavimų. Vėlesnis didelės rizikos reikalavimų terminas nepanaikina esamų pareigų ar BDAR prievolių. Prieš remdamiesi DI sukurtu vertinimu, patikrinkite šaltinius ir klasifikacijas.

Išimtis paverskite sprendimais, o ne pamirštais pratęsimais

Kartais neatidėliotinas taisymas sukeltų didesnę veiklos problemą. Pakaitalui gali prireikti kontroliuojamo perkėlimo, o tiekėjo pakeitimas gali sutrikdyti kritinę paslaugą. Išimtis padaro šį kompromisą aiškų; ji neįrodo, kad rizika išnyko.

Praktiniame išimties įraše turėtų būti:

• Tikslus vidinis reikalavimas ir paveikta apimtis.
• Verslo priežastis nukrypti ir svarstytos alternatyvos.
• Rizikos scenarijus ir liekamoji rizika.
• Kompensacinės priemonės, už jas atsakingi asmenys ir pagrindžiantys įrodymai.
• Atsakingas tvirtintojas, peržiūros data ir galiojimo pabaigos data.
• Taisymo planas ir ankstesnio pakartotinio vertinimo paleidikliai.

Naudokite galimai pasekmei proporcingus tvirtinimo įgaliojimus. Laikiną sprendimą įgyvendinantis asmuo neturėtų tyliai prisiimti visos įmonės lygio rizikos vadovybės vardu.

Vidinė išimtis negali panaikinti teisės aktų prievolės ar pakeisti sutarties su klientu. Jei siūlomas rizikos tvarkymas prieštarauja kuriai nors iš jų, gaukite tinkamą teisinę ar sutartinę peržiūrą. Teiginys „vadovybė tai priėmė“ nepakeičia šios analizės.

Pratęsimas turėtų būti naujas sprendimas. Reikalaukite įrodymų, kad apsaugos priemonės vis dar veikia, paaiškinimo dėl praleistų etapų ir atnaujinto rizikos vertinimo. Pasikartojantys pratęsimai dažnai atskleidžia nefinansuotą priklausomybę ar sprendimą, kurio vadovybė vengė priimti.

Užbaigimą apibrėžkite prieš paskirdami užduotį

Nurodykite neatidėliotiną ištaisymą, atsakingą asmenį, terminą, pagrindinės priežasties darbus ir įrodymus, reikalingus rezultatui patikrinti. Tai atskiri elementai: vienos netinkamos paskyros panaikinimas neįrodo, kad išėjimo procesas veiks kitą kartą.

Užbaigimo kriterijus suderinkite prieš pradedant darbus. Kitaip komandos gali atlikti paskirtą veiklą, neišsprendusios pradinės rizikos.

Patikrinimas turėtų būti pakankamai nepriklausomas, atsižvelgiant į išvados reikšmę. Didelio poveikio pakeitimams gali prireikti peržiūrėtojo iš už įgyvendinančios komandos ribų; įprastiems dokumentų pataisymams gali pakakti paprastesnės patikros.

Išsaugokite pradinį stebėjimą, taisymo įrodymus, patikrinimo rezultatą, likusius apribojimus ir susietą sprendimą dėl rizikos. Neperrašykite istorijos ištaisyta būkle. Pasikartojančioms išvadoms po įgyvendinimo numatykite tolesnę patikrą, kad nustatytumėte, ar pertvarkytas procesas veikia įprastoje veikloje.

Pavyzdys: trys išvados, trys skirtingi sprendimai

Toliau pateiktas pavyzdys yra iliustracinis. Tarkime, kad 70 žmonių programinės įrangos įmonė turi gamybinę paslaugą su klientų informacija, tapatybių teikėją ir pagalbos programą, kuri nėra visiškai prijungta prie centralizuoto išėjimo proceso. Aktyvaus piktnaudžiavimo neaptikta.

Peržiūros metu nustatomos trys išvados:

1. Neįmanoma rasti naujausio ketvirtinės prieigos peržiūros eksporto.
2. Buvęs pagalbos darbuotojas vis dar turi aktyvią paskyrą su prieiga prie klientų įrašų.
3. Pagalbos tiekėjo užtikrinimo medžiaga parengta prieš reikšmingą paslaugos pakeitimą.

Visų trijų laikymas „trūkstamais atitikties įrodymais“ paslėptų patvirtintą prieigos problemą. Visų trijų laikymas įrodytomis saugumo nesėkmėmis perdėtų tai, kas žinoma.

Prieigos paskyrai taikomas neatidėliotinas suvaldymas. Komanda ją išjungia, patikrina susijusias sesijas ir prisijungimo duomenis bei įvertina, ar reikia peržiūrėti veiklą ar eskaluoti incidentą. Užbaigimui reikia patikrinti, kad prieiga panaikinta, o ne vien užbaigti išėjimo užduotį.

Trūkstamam eksportui atliekamas laike apribotas tyrimas. Atsakingas asmuo ieško patikimų peržiūros įrašų ir patikrina dabartines teises. Jei istorinio veikimo įrodyti neįmanoma, šis apribojimas lieka įraše. Nauja peržiūra gali nustatyti dabartinę būklę, tačiau negali atgaline data įrodyti, kad senoji peržiūra įvyko.

Tiekėjo išvada paskatina iš naujo įvertinti pakeistą paslaugą, ypač jos prieigą prie klientų informacijos ir atkūrimo priklausomybes. Kol laukiama įrodymų, įmonė vertina, ar esami apribojimai pateisina tolesnį naudojimą. Bet kokiam laikinam nukrypimui nuo jos tiekėjų politikos reikia dokumentuotos išimties; taikomos teisinės pareigos lieka atskiros.

Pagrindinės priežasties tyrimas parodo, kad pagalbos programa buvo įdiegta neatnaujinus sistemų inventoriaus ir nepaskyrus už išėjimo procesą atsakingo asmens. Vadovybė finansuoja šio proceso ištaisymą ir paskiria atsakomybę už tiekėjų pakeitimų peržiūras. Kitos peržiūros metu vėlesnių išėjimų imtis patikrina, ar ištaisytas procesas veikia. Trys išvados išlaiko atskirus užbaigimo įrodymus, kartu dalydamosi susijusiais pagrindinės priežasties veiksmais.

Pateikite vadovybei sprendimų vaizdą, o ne vien uždarytų išvadų skaičių

Vadovybei teikiamose ataskaitose turėtų būti matomos didžiausių pasekmių atviros rizikos, įgaliojimų laukiantys sprendimai, neveikiančios kompensacinės priemonės, besibaigiančios išimtys ir pasikartojančios pagrindinės priežastys. Įtraukite pasitikėjimo lygį ir priklausomybes, kad neapibrėžtumas būtų matomas.

Vėluojančias didelio poveikio rizikos tvarkymo priemones sekite atskirai nuo įprastų įrodymų užduočių. Naudingi rodikliai apima patikrintą užbaigimą, pasikartojimą, išimčių pratęsimus ir neišspręstų tyrimų amžių. Augantis uždarytų išvadų skaičius mažai ką reiškia, jei didžiausių pasekmių išvada lieka atvira.

Kiekvienam eskalavimui nurodykite reikiamą sprendimą: patvirtinti išteklius, leisti laikinąją vidinę išimtį, pakeisti paslaugos apimtį arba atmesti tolesnę riziką. Užfiksuokite motyvus ir peržiūros datą. Mūsų veiklos rizikos registro vadove pateikiama daugiau konteksto, kaip susieti išvadas su sprendimais dėl rizikos tvarkymo.

Pradėkite nuo penkių reikšmingiausių išvadų

Secani platformoje komandos gali sumodeliuoti susijusias sistemas ir priklausomybes, susieti įrodymus su reikalavimais ir kontrolės priemonėmis, paskirti atsakingus asmenis ir tolesnes užduotis bei išsaugoti peržiūros komentarus ir patvirtinimus. DI padedami pasiūlymai lieka juodraščiu, kurį turi patvirtinti žmonės. Ši darbo eiga išsaugo ryšį tarp spragos, ją pagrindžiančių faktų ir dėl jos priimto sprendimo.

Pradėkite nuo penkių didžiausio poveikio išvadų. Patikrinkite, ar kiekviena jų atskiria faktus nuo neapibrėžtumo, nurodo verslo riziką, įvardija atsakingą asmenį ir apibrėžia išmatuojamą užbaigimą. Prieš plėsdami šį darbą, išspręskite neaiškių rizikos prisiėmimo įgaliojimų ir trūkstamų priklausomybių klausimus. Kitoje peržiūroje turėtų būti nustatyta, kas pasikeitė rizikos atžvilgiu, o ne vien tai, kurios užduotys pažymėtos kaip atliktos.