Struktūrizuokite pasirengimą auditui

Kodėl įrodymai be konteksto mažai naudingi

Aplankas, pilnas politikų, ekrano nuotraukų ir protokolų, dar nėra pasirengimas auditui. Auditoriai turi suprasti, kurią kontrolės priemonę įrodymas pagrindžia, kas už jį atsakingas, kada jis sukurtas ir koks sprendimas iš jo išplaukia. Eksportas gali būti tikslus ir vis tiek nepagrįsti teiginio, kuris daromas.

Todėl kiekvienas įrodymas turėtų būti suprantamas iš trijų perspektyvų: reikalavimo, kontrolės priemonės ir tikslinio ištekliaus ar proceso, su kuriuo jis susijęs. Ketvirtoji dimensija, laikas, lemia, ar jis pagrindžia vertinamą laikotarpį, ar tik šiandieninę konfigūraciją.

Technologijų vadovui uždavinys yra padaryti šią struktūrą inžinerinio ir veiklos darbo dalimi. Prieigos patvirtinimuose, diegimų įrašuose, incidentų laiko juostose ir atkūrimo testuose jau yra naudingų įrodymų. Iššūkis yra išsaugoti jų prasmę, neprašant inžinierių prieš pat auditą atkurti kelių mėnesių veiklos.

Pasirengimas auditui yra gebėjimas paaiškinti esminį teiginį apie kontrolės priemonę, rasti jį pagrindžiančius įrašus, atskleisti apribojimus ir parodyti, kaip buvo tvarkomos išimtys. Tam reikia ir veikiančios kontrolės priemonės, ir pagrįstos įrodymų sekos.

Nustatykite, ką vertinimas iš tikrųjų nagrinės

Pradėkite nuo su vertintoju suderinto audito aprašo. Užfiksuokite kriterijus ir jų versiją, organizacijos ribas, apimamas paslaugas ir vietas, vertinamą laikotarpį, siekiamą rezultatą ir atsakingus kontaktinius asmenis. Atskirkite teisinius įpareigojimus, sutartinius įsipareigojimus ir savanoriškai pasirinktas užtikrinimo sistemas; jų taikymo taisyklės nėra vienodos.

Skirtingi užsakymai duoda skirtingus rezultatus:

ISO 27001 susijęs su apibrėžtos apimties ISMS. Jo 4–10 skyrių reikalavimai skiriasi nuo rizika grindžiamo A priedo kontrolės priemonių pasirinkimo. Apimtis, taikomumo pareiškimas, rizikos tvarkymo planas, vidaus auditas ir vadovybės peržiūra yra atskiri įrašai su skirtingomis paskirtimis. Sertifikavimą atlieka nepriklausoma sertifikavimo įstaiga, o ne ISO ar jūsų programinės įrangos tiekėjas.

Panašiai C5 yra patvirtinimo kontekstas, o TISAX yra vertinimo ir keitimosi rezultatais mechanizmas, o ne ISO tipo sertifikatas. Saugumo ataskaita ar sertifikatas savaime neįrodo atitikties BDAR ar NIS2.

Technines priklausomybes į apimtį įtraukite aiškiai. Gamybinė paslauga gali priklausyti nuo bendros tapatybių platformos, diegimo proceso, palaikymo komandos ir išorinio prieglobos paslaugų teikėjo. Pagalbinės sistemos neįtraukimas į diagramą nepašalina jos poveikio vertinamai kontrolės priemonei.

Sukurkite įrodymų modelį, kuris atlaiko papildomus klausimus

Geras įrodymų modelis sujungia reikšmingą informaciją išilgai audito sekos. Jam nebūtina, kad kiekvienas failas būtų vienoje sistemoje. Pirminiai įrašai gali likti veiklos saugyklose, jei nuorodos, prieiga, versijos, būsenos ir pagrindimai tvarkomi nuosekliai.

Kiekvienam įrodymui ir kontrolės priemonei naudokite pastovų identifikatorių. Venkite, kad failų pavadinimai būtų vienintelis ryšys tarp jų. Praktinis minimalus įrašas atrodo taip:

Rinkimo būseną laikykite atskirai nuo išvadų apie kontrolės priemones. „Surinkta“ reiškia, kad gavimas pavyko; tai nereiškia, kad kontrolės priemonė veiksminga. Tinkamas gyvavimo ciklas galėtų būti: surinkta, laukia peržiūros, priimta nurodytam tikslui, pakeista arba nebegalioja. Išimtys turėtų likti susietos su atitinkama išvada, o ne išnykti po žalia būsena.

Patvirtinta politika parodo numatytą elgseną. Konfigūracijos eksportas parodo stebėtus nustatymus. Užduotys, žurnalai ir peržiūros sprendimai gali parodyti veikimą. Daugumai svarbių teiginių reikia šių įrodymų tipų derinio.

Kur tinka, įrodymus naudokite pakartotinai, tačiau kiekvienam susiejimui užfiksuokite pagrindimą. Vienas tapatybių eksportas gali pagrįsti kelis reikalavimus, tačiau tie reikalavimai gali būti susiję su skirtingomis visumomis ar peržiūros laikotarpiais. Susiejimas yra „daug su daug“ ir priklauso nuo apimties; jis neįrodo, kad sistemos lygiavertės. Apie šį skirtumą skaitykite straipsnyje apie lyginamąsias lenteles už skaičiuoklių ribų.

Planuokite pasirengimą pagal rezultatus, o ne pagal failų skaičių

Praktiškai rekomenduojama, kad nusistovėjusi programa pasirengimą organizuotų per aštuonių–dvylikos savaičių laikotarpį. Tai nėra sertifikavimo taisyklė ir nepakeičia veiklos įrodymų kaupimo. Naujai įdiegtai pasikartojančiai kontrolės priemonei gali prireikti daugiau laiko jos veikimui įrodyti.

Pirmiausia: patvirtinkite apimtį ir atskleiskite spragas

Paskirkite audito koordinatorių, vadovybės rėmėją, kontrolės priemonių veiklos savininkus, įrodymų peržiūrėtojus ir trūkumų šalinimo atsakingus asmenis. Mažoje komandoje žmonės gali turėti kelis vaidmenis, tačiau vidaus audito darbui vis tiek reikia objektyvumo ir nešališkumo.

Parenkite tris rezultatus: suderintą audito aprašą, reikalavimų ir kontrolės priemonių registrą bei prioritetų tvarka išdėstytą spragų sąrašą. Spragas klasifikuokite kruopščiai:

• Projektavimo spraga: kontrolės priemonė negali pagrįstai pasiekti savo tikslo.
• Veikimo spraga: numatyta kontrolės priemonė nebuvo vykdoma arba neveikė.
• Įrodymų spraga: veikimas galėjo vykti, tačiau turimi įrašai to negali pagrįsti.
• Apimties spraga: praleista susijusi paslauga, visuma ar priklausomybė.

Trūkstamo peržiūros įrašo nepataisysite sukurdami atgalinės datos patvirtinimą ir pateikdami jį kaip tuo metu padarytą. Užfiksuokite, ką galima nustatyti, pripažinkite apribojimą ir patobulinkite procesą.

Toliau: surinkite ir kritiškai patikrinkite įrodymus

Kiekvienam įrodymų prašymui paskirkite atsakingą asmenį, terminą, šaltinį ir priėmimo kriterijus. Pirmenybę teikite kontrolės priemonėms su pasikartojančia veikla, išorinėmis priklausomybėmis ar išskaidytais įrašais. Palikite laiko paslaugų teikėjų atsakymams ir trūkumų šalinimo patikrai.

Galiausiai: patvirtinkite pasirengimą ir logistiką

Užsitikrinkite veiklos savininkų prieinamumą, patvirtinkite prieigą prie įrodymų, repetuokite kontrolės priemonių pristatymus ir nustatykite prašymų procesą. Vidines sąnaudas įvertinkite pagal faktinius darbų paketus: eksportus, peržiūras, pokalbius, spragų šalinimą ir tolesnius veiksmus. Paprašykite sertifikavimo įstaigos nustatyti taikomą audito trukmę; nepakeiskite jos vertinimo bendru įvertinimu pagal darbuotojų skaičių.

Patikrinkite, ar įrodymai įrodo numatytą teiginį

Prieš laikydami aprėptį užbaigta, peržiūrėkite kokybę. Paklauskite, ar įrodymai yra aktualūs, priskiriami, pakankamai išsamūs, tinkami laiko požiūriu ir nuoseklūs su kitais įrašais.

Pasikartojančioms kontrolės priemonėms prieš atrinkdami imtis apibrėžkite laukiamą visumą. Jei kontrolės priemonė apima visus gamybinius diegimus, visuma turėtų apimti skubius pakeitimus ir, kai aktualu, nepavykusius ar atšauktus diegimus, o ne tik sėkmingus leidimus su tvarkingais patvirtinimais. Eksportus suderinkite su autoritetingu inventoriumi, kad trūkstamos paskyros ar saugyklos taptų matomos.

Naudokite konkrečiai kontrolės priemonei skirtus priėmimo kriterijus:

• Prieigos valdymas: paskyrų inventorius, autorizacija, peržiūros sprendimai, pašalinimo laiko žymos ir išspręstos išimtys.
• Pakeitimų valdymas: pakeitimų visuma, patvirtinimo įrašai, testų rezultatai, diegimo seka ir skubių pakeitimų tvarkymas.
• Pažeidžiamumų valdymas: skenavimo aprėptis, radinių laiko žymos, tvarkymo sprendimai, šalinimo įrašai ir patikra.
• Reagavimas į incidentus: aptikimo ir eskalavimo įrašai, reagavimo laiko juosta, sprendimai ir išmoktos pamokos; pratybos gali pagrįsti pasirengimą, tačiau nepakeičia faktinių incidentų įrašų.
• Atsarginės kopijos ir atkūrimas: sukonfigūruota atsarginių kopijų aprėptis ir atkūrimo testų rezultatai, palyginti su organizacijos atkūrimo tikslais.
• Tiekėjų priežiūra: vertinimo sprendimai, atitinkama užtikrinimo medžiaga, sutartinės atsakomybės ir tolesni veiksmai.

Vakar padaryta ekrano nuotrauka gali pagrįsti vakarykštę konfigūraciją. Vien ji negali įrodyti veikimo per visą šešių mėnesių laikotarpį. Ir atvirkščiai, senesnis įrašas automatiškai nėra negaliojantis, jei jis pagrindžia įvykį vertinamo laikotarpio viduje. „Aktualus“ ir „susijęs su laikotarpiu“ yra skirtingi testai.

Išsaugokite prieštaravimus. Jei politika reikalauja greitai panaikinti išeinančių darbuotojų prieigą, bet atrinkta paskyra liko aktyvi ilgiau nei nustatyta, susiekite abu įrašus ir iš to kylantį veiksmą. Auditoriai tikrina, ar kontrolės sistema atsekama, o ne vien ar egzistuoja failai.

Automatizuokite rinkimą neslėpdami trūkstamos aprėpties

Automatinis įrodymų rinkimas gali gauti eksportus ir įrašus iš veiklos sistemų per API, suplanuotus darbus ar kitus palaikomus mechanizmus. Pradėkite nuo pakartojamų, aiškiai apibrėžtų šaltinių, kurių rezultatus galima patikrinti nepriklausomai. Automatizavimas naudingas gavimui ir nuoseklumui; jis automatiškai neįrodo veiksmingumo.

Kiekvienam rinkimui išsaugokite šaltinį, laiko žymą ir laiko juostą, užklaustų išteklių visumą, naudotus leidimus, puslapiavimo elgseną, transformavimo taisykles ir klaidas. Kur tinka, saugokite pradinį rezultatą šalia normalizuoto. Kuo labiau sumažinkite jautrų turinį ir apsaugokite rinkimo prisijungimo duomenis siaurai apibrėžta prieiga.

Rinkimo kodą laikykite prižiūrimu saugumo įrankiu. Valdykite jo versijas, peržiūrėkite pakeitimus, testuokite gedimų kelius ir paskirkite atsakingą asmenį. Prieš pasikliaudami nauju rinkikliu, patikrinkite jį su žinoma visuma.

Dažni integracijų gedimai: pasibaigęs prisijungimo duomenų galiojimas, užklausų dažnio ribos, nepilnas puslapiavimas, pasikeitę API laukai ir naujai sukurtos paskyros už sukonfigūruotų ribų. Tuščias rezultatas gali reikšti „nėra susijusių išteklių“, „netinkama apimtis“ arba „gavimas nepavyko“. Šioms būklėms reikia skirtingų būsenų.

Atskirkite trūkstamus ar pasenusius rezultatus nuo sėkmingai veikiančių kontrolės priemonių. Aktualumo lūkesčius nustatykite pagal kontrolės priemonės dažnumą ir riziką, tada reikšmingus gedimus nukreipkite įvardytiems atsakingiems asmenims. Pasikartojančias rinkimo klaidas grupuokite, o ne siųskite įspėjimą dėl kiekvieno nepavykusio bandymo.

Tapatybių eksportas gali pagrįsti prieigos peržiūrą, tačiau jis neparodo, kad atsakingas asmuo išnagrinėjo leidimus ar išsprendė išimtis. Rinkimas, vertinimas ir patvirtinimas turi likti atpažįstami. Net paslaugų teikėjo užtikrinamiems nustatymams reikia įrodymų apie atitinkamą paslaugą ir apimtį; bendro teiginio apie paslaugų teikėjo numatytuosius nustatymus nepakanka.

Apie ryšį tarp pasikartojančių techninių patikrų ir žmogaus vertinimo skaitykite straipsnyje apie nuolatinę kontrolės priemonių stebėseną.

Pavyzdys: ketvirtinė privilegijuotos prieigos peržiūra

Panagrinėkime iliustracinę SaaS komandą, besiruošiančią vertinimui, apimančiam laikotarpį nuo sausio iki birželio. Tarkime, jos politika reikalauja kas ketvirtį peržiūrėti privilegijuotą prieigą gamybinėse debesijos paskyrose, išeitinio kodo saugyklose ir palaikymo administravimo konsolėje. Tai yra pavyzdžio prielaidos, o ne nustatyti peržiūrų intervalai.

Teiginys yra toks: įgalioti savininkai kiekvieną ketvirtį peržiūrėjo visą privilegijuotos prieigos visumą ir pašalino netinkamą prieigą. Vien eksportas pagrindžia tik dalį šio teiginio.

Komanda sudaro susietą įrodymų paketą:

1. Patvirtinta prieigos politika ir sistemos apimtis apibrėžia įpareigojimą.
2. Datuoti eksportai kiekvienai peržiūrai nurodo privilegijuotus naudotojus, paslaugų paskyras ir susijusias grupes.
3. Suderinimas su sistemų inventoriumi paaiškina visumos išsamumą.
4. Peržiūros įrašai parodo kiekvieną sprendimą dėl teisių, peržiūrėtoją, datą ir pagrindimą.
5. Pašalinimo užduotys ir vėlesnės patikros įrodo, kad atmesta prieiga buvo panaikinta.
6. Patvirtinimo įrašas paaiškina bendrą išvadą ir likusias išimtis.

Kovo peržiūros metu eksporte praleista naujai pridėta debesijos paskyra. Rinkiklis baigė darbą sėkmingai, tačiau aprėptis buvo neišsami. Savininkas užfiksuoja praleidimą, surenka trūkstamą visumą, ją peržiūri ir atnaujina rinkimo ribas. Pradinis eksportas lieka prieinamas su pridėtu apribojimo aprašymu.

Jei kovo peržiūra iš tikrųjų vyko pavėluotai, komanda užfiksuoja tikrąją jos datą ir įvertina vėlavimą pagal politiką. Ji nepervadina įrašo kaip atlikto laiku. Tada vertinimas gali atskirti kontrolės priemonės nuokrypį nuo taisomojo veiksmo.

Pristatymas seka aiškią grandinę: reikalavimas → kontrolės priemonė → tikslinės sistemos → visuma → peržiūros sprendimai → trūkumų šalinimas → patvirtinimas. Jis taip pat parodo, kodėl techniškai sėkmingas rinkimas neturi automatiškai virsti sėkmingu kontrolės priemonės vertinimu.

Repetuokite auditą, tada valdykite keitimąsi informacija

Prieš išorinį vertinimą atlikite vidaus auditą, kuris patikrintų ir kontrolės priemones, ir jų įrodymus. ISO 27001 9.2 punktas skirtas vidaus auditui, o 9.3 punktas vadovybės peržiūrai; nė vieno iš jų nepakeičia pasirengimo kontrolinis sąrašas. Išsaugokite audito apimtį, kriterijus, rezultatus ir tolesnius veiksmus, o susijusius radinius perduokite vadovybės peržiūrai.

Pirminis ISO 27001 sertifikavimas vyksta dviem etapais. 1 etape vertinama dokumentuota ISMS ir pasirengimas 2 etapui. 2 etape per įrodymus, pokalbius ir imtis nagrinėjamas įgyvendinimas ir veiksmingumas. Intervalą ir pasirengimo lūkesčius suderinkite su sertifikavimo įstaiga, o ne manykite, kad tvarkaraštis fiksuotas.

Su kiekvienu pagrindiniu veiklos savininku repetuokite vieną reprezentatyvų pristatymą. Paprašykite jų paaiškinti, kaip veikia kontrolės priemonė, rasti atrinktą įrašą, nurodyti išimtis ir parodyti naujausią peržiūros sprendimą. Paruoškite žmones atsakyti tiksliai, įskaitant „turiu surasti tą įrašą“, o ne rašykite jiems idealizuotų atsakymų scenarijų.

Saugų dalijimąsi suderinkite prieš vertinimą. Naudokite tinkamai ribotą prieigą, venkite nereikalingų asmens duomenų ar slaptų duomenų ir paaiškinkite redagavimus, kurie turi įtakos interpretacijai. Nuorodas išbandykite su tais leidimais, kuriuos auditorius iš tikrųjų gaus.

Tvarkykite vieną įrodymų prašymų registrą, kuriame būtų klausimas, kontrolės priemonė, prašomas laikotarpis, atsakingas asmuo, terminas, atsakymas, pateikta versija ir tolesni veiksmai. Audito metu renkite trumpus koordinavimo susitikimus kliūtims pašalinti. Išsaugokite pradinius įrodymus; bet koks patikslinimas ar pataisymas turėtų būti atpažįstamas kaip toks.

Užbaikite radinius su veiksmingumo įrodymais

Po audito atskirkite pataisymą nuo taisomojo veiksmo. Netinkamos paskyros panaikinimas ištaiso tiesioginę problemą. Teisių suteikimo ir peržiūros procedūrų pakeitimas, kad problema nepasikartotų, sprendžia jos priežastį.

Kiekvienam radiniui užfiksuokite paveiktą reikalavimą, faktinį stebėjimą, poveikį, pagrindinę priežastį, atsakingą asmenį, veiksmą, terminą ir užbaigimo įrodymus. Tada apibrėžkite veiksmingumo patikrą. Pataisyto kontrolinio sąrašo nepakanka, jei kita peržiūra vėl praleidžia tą pačią paskyrų visumą.

Sprendimai dėl sertifikavimo ir radinių užbaigimo reikalavimai priklauso sertifikavimo įstaigos kompetencijai. Didelės neatitiktys gali užkirsti kelią sertifikavimui, kol nebus tinkamai pašalintos; nemanykite, kad visiems radiniams taikomas tas pats terminas ar kad priimtas veiksmų planas visada įrodo užbaigimą. Patvirtinkite taikomą procesą ir išsaugokite įstaigos priėmimo įrašus.

Pasikartojančius vertinimus planuokite ir po pirminio sertifikavimo. ISO sertifikavimas vyksta per priežiūros auditus ir pakartotinį sertifikavimą, todėl per visą programą išsaugokite su laikotarpiu susijusius įrodymus ir peržiūrų ciklus. Po kiekvieno vertinimo atnaujinkite rinkimo ribas, įrodymų kriterijus ir veiklos procedūras, dėl kurių atsirado išvengiamų papildomų klausimų.

Padarykite pirmąją apimtį įgyvendinamą

Pradėkite nuo vienos reprezentatyvios paslaugos ir vienos esminės kontrolės priemonės, o ne importuokite neperžiūrėtą archyvą. Nustatykite jos savininką, peržiūrėtoją, tikslinius objektus, įrodymų šaltinius, priėmimo kriterijus ir peržiūros periodiškumą. Plėskite, kai komanda galės rasti ir paaiškinti visą seką.

Secani komandos gali sumodeliuoti tą paslaugą ir ją palaikančius tikslinius objektus, pridėti esamą medžiagą prie reikalavimų ir kontrolės priemonių, o trūkstamus įrodymus ar neišspręstus klausimus paversti užduotimis. Nuorodos į šaltinius, komentarai, patvirtinimai ir laiko žymos užtikrina peržiūros sprendimų atsekamumą. DI padedami pasiūlymai lieka juodraštiniu darbu: žmogus peržiūrėtojas patikrina šaltinius, pakoreguoja išvadą ir patvirtina sprendimą.

Kitas jūsų žingsnis yra vienos kontrolės priemonės pristatymas. Jei veiklos savininkas gali paaiškinti teiginį, parodyti aprėptį, atskleisti išimtis ir rasti patvirtinimą, turite struktūrą, kurią verta kartoti.