Drošības un atbilstības biznesa vērtība

Drošība un atbilstība rada biznesa vērtību vairākos dažādos veidos: palīdz klientiem pieņemt iegādes lēmumus, samazina atkārtotu darbu, uzlabo noturību, nodrošina piemērojamo pienākumu izpildi un padara vadības lēmumus aizstāvamākus. Šo veidu atsevišķa mērīšana sniedz spēcīgāku investīciju pamatojumu nekā plašs solījums par straujāku izaugsmi.

No izpilddirektora skatpunkta jautājums nav par to, vai drošība var garantēt, ka nekas nenotiks nepareizi. Tā to nevar. Jautājums ir, vai organizācija aizsargā to, kas ir svarīgs, pilda savas saistības un rada ticamus pierādījumus par izmaksām, kas ir samērīgas ar tās darbību.

Tam nepieciešams, lai vadība nošķirtu obligātu darbu no brīvprātīgiem uzlabojumiem, faktiskus ietaupījumus no atbrīvotas kapacitātes un komerciālas iespējas no jau nopelnītiem ieņēmumiem.

Sāciet, nošķirot drošību, atbilstību un apliecinājumu

Drošība ir darbs sistēmu, informācijas un pakalpojumu aizsardzībai pret attiecīgajiem draudiem. Atbilstība nozīmē piemērojamo juridisko, līgumisko vai ietvaru prasību izpildi. Apliecinājums ir pierādījumi, kas palīdz kādam citam izvērtēt, vai šīs saistības tiek pildītas.

Šīs darbības pārklājas, bet nav savstarpēji aizstājamas. Atjaunošanas tests palielina pārliecību par atjaunošanu. Dokumentēts testa rezultāts sniedz apliecinājumu. Tas, vai tests izpilda konkrētu pienākumu, ir atkarīgs no prasības, tvēruma un pierādījumu kvalitātes.

ISO/IEC 27001 sertifikāts attiecas uz informācijas drošības pārvaldības sistēmu ar noteiktu tvērumu, un to izsniedz neatkarīga sertifikācijas institūcija. SOC 2 ziņojums ir apliecinājuma ziņojums, nevis sertifikācija. Neviens no tiem nepierāda, ka katrs produkts, meitasuzņēmums vai apstrādes darbība atbilst visiem piemērojamajiem tiesību aktiem.

Vadībai šī nošķiršana novērš divas dārgas kļūdas: sertifikāta iegādi, nenovēršot pamatā esošās vājās vietas, un noderīgu kontroļu izveidi, nepadarot tās saprotamas klientiem vai pārskatītājiem.

Pirms programmas apstiprināšanas izmantojiet vienkāršu vērtības karti:

Šīs ir atsevišķas mērīšanas kategorijas, nevis pieci ieguvumi, ko automātiski saskaitīt.

Apliecinājums klientiem: padariet uzticēšanos pārbaudāmu

Pircējam, kas izvērtē pakalpojumu, ir nepieciešams vairāk nekā nozīmīte. Viņam jāsaprot, ko pakalpojums dara, kādus datus tas apstrādā, kur ir sadalīti pienākumi un vai attiecīgās kontroles praksē darbojas.

Noderīgā apliecinājuma paketē varētu būt pakalpojuma apraksts, pieejamā sertifikāta vai ziņojuma tvērums, pārskatīts drošības pārskats, attiecīgā līgumiskā informācija un atbildes uz atkārtotiem jautājumiem. Sensitīviem pierādījumiem jābūt ar kontrolētu piekļuvi, nevis jātiek publicētiem bez izšķirības.

Komerciālais ieguvums ir atkarīgs no pircēja. Vienam potenciālajam klientam var būt nepieciešama neatkarīgi novērtēta pārvaldības sistēma. Cits var pieņemt tiešus pierādījumus par konkrētām kontrolēm. Trešajam var būt nepieciešamas līgumsaistības, novēršanas plāns vai skaidrojums par izslēgtu pakalpojumu. Pajautājiet, kas apmierinās pārskatīšanu, pirms investējat artefaktā, kas nerisina iebildumu.

Mēriet ar drošību saistīto berzi, nevis visu pārdošanas ciklu

Reģistrējiet, kad sākas drošības pārskatīšana, kad tiek sniegta pilnīga atbilde un kad pircējs to pieņem. Atsevišķi reģistrējiet laiku, kas pavadīts, gaidot pircēju, juridiskās sarunas, cenu apstiprināšanu un produkta izvērtēšanu.

Noderīgi rādītāji ir:

• Laiks līdz sākotnējās, pārskatītas atbildes sniegšanai.
• Atkārtoti pieprasījumi nepilnīgu vai novecojušu atbilžu dēļ.
• Iespējas, kas aizkavētas tieši trūkstoša apliecinājuma dēļ.
• Iespējas, kas noraidītas dokumentētas drošības prasības dēļ.
• Iekšējās stundas, kas nepieciešamas katrai pārskatīšanai.

Salīdziniet līdzīgus klientu segmentus un darījumu sarežģītību. Ja izlasē nonāk mazāki pircēji, vidējais atbildes laiks var samazināties bez jebkāda procesa uzlabojuma.

Sertifikāts var izpildīt iegādes nosacījumu, negarantējot ieņēmumus un nenovēršot turpmāku padziļinātu izpēti. Aprakstiet potenciālo darījumu plūsmu kā „atkarīgu no šīs apliecinājuma prasības”, nevis „sertifikācijas radītiem ieņēmumiem”. Pārdošana, produkta piemērotība, cenas un ieviešanas kapacitāte joprojām ir svarīgas.

Arī publiskiem apgalvojumiem nepieciešams īpašnieks. Ja mārketingā teikts, ka visi klientu dati ir šifrēti vai ka sertifikāts aptver kādu pakalpojumu, kādam jāpārbauda formulējums pret faktisko ieviešanu un tvērumu. Pārāk plašs apgalvojums rada saistības, kuras darbības komanda var nespēt nodrošināt.

Darbības kapacitāte: uzskaitiet darbu, kas pazūd

Atbilstības darbs kļūst dārgs, kad vieni un tie paši pierādījumi tiek atkārtoti vākti, interpretēti un skaidroti. Klienta anketa, iekšējā pārskatīšana un ārējais audits var visi jautāt par piekļuves pārvaldību, taču katrs nāk ar atšķirīgu formulējumu un termiņiem.

Koplietoti, pārskatīti ieraksti var samazināt dublēšanos. Atkārtoti izmantojamais aktīvs nav tikai fails: tie ir pierādījumi, kas sasaistīti ar prasību, noteiktu tvērumu, īpašnieku, pārskatīšanas datumu un secinājumu par to, ko tie pierāda.

Piemēram, piekļuves pārskatīšanas ieraksts var atbalstīt vairākus pieprasījumus, ja tas skaidri identificē pārskatītās sistēmas, pārskatītāju, konstatējumus un veiktās darbības. Tas nevar automātiski pierādīt, ka katrai sistēmai ir atbilstoša piekļuve. Atkārtotai izmantošanai nepieciešams pārbaudīt atbilstību un aktualitāti.

Nosakiet sākuma stāvokli četrām darbībām: pierādījumu vākšanai, skaidrošanai, pārskatīšanai un atjaunināšanai. Pēc tam, aprēķinot ietaupījumus, iekļaujiet ieviešanas, apmācības, abonementu un pastāvīgās administrēšanas izmaksas. Vākšanas darba pārcelšana uz jaunu rīku, atstājot pārskatīšanas pienākumus neskaidrus, var pārvietot izmaksas, nevis tās samazināt.

Atbrīvotai inženieru kapacitātei ir vērtība pat tad, ja algu fonds nesamazinās. Ziņojiet par ieguvumu precīzi:

• Papildu kapacitāte: esošie darbinieki var veltīt vairāk laika citam darbam.
• Novērsti izdevumi: plānota pieņemšana darbā vai ārējs pakalpojums vairs nav nepieciešams.
• Naudas ietaupījums: izdevumi faktiski pazūd.

Neuzskaitiet visas trīs kategorijas tām pašām stundām. Mūsu automatizācijas atdeves ceļvedis sniedz konkrētu aprēķinu šai biznesa pamatojuma darbības daļai.

Noturība: finansējiet rezultātus, kas ir svarīgi uzņēmumam

Organizācijai var būt sakārtota dokumentācija, un tā tomēr var nespēt atjaunot kritisku pakalpojumu. Tāpēc investīcijām noturībā jāsākas ar biznesa atkarībām, nevis ar uzrakstīto politiku skaitu.

Identificējiet pakalpojumus, kuru traucējumi novērstu piegādi, atklātu sensitīvu informāciju vai iedragātu līgumsaistības. Pajautājiet, no kādām sistēmām, piegādātājiem, cilvēkiem un datiem šie pakalpojumi ir atkarīgi. Pēc tam novērtējiet, ko atjaunošana faktiski prasītu.

Vadībai jāsaņem tādi pierādījumi kā atjaunošanas testu rezultāti, incidentu mācību konstatējumi, neatrisinātas piekļuves problēmas un novēršanas rezultāti. Ziņojums par veiksmīgu dublēšanu nav līdzvērtīgs veiksmīgai atjaunošanai. Incidentu plāns nav līdzvērtīgs tam, ka komanda zina, kas var atļaut ārkārtas darbības.

Noderīgi vadības jautājumi ir:

• Vai tests sasniedza šim pakalpojumam saskaņoto atjaunošanas mērķi?
• Kura atkarība novērsa atjaunošanu vai palēnināja mācības?
• Kam pieder korektīvā darbība un kad tā tiks testēta atkārtoti?
• Kāda atklātība saglabājas, kamēr darbība ir atvērta?

Neattēlojiet hipotētiskus novērstus incidentus kā realizētus ietaupījumus. Scenāriju analīze var atbalstīt investīciju lēmumus, taču pieņēmumiem par varbūtību, ilgumu un ietekmi jāpaliek skaidri norādītiem. Izmantojiet diapazonus un identificējiet nenoteiktību, nevis piešķiriet precīzu naudas atdevi incidentam, kas nenotika.

Periods bez incidentiem nepierāda, ka kontroles darbojas. Savukārt vājo vietu identificēšana mācību laikā ir noderīgs pierādījums, ja šie konstatējumi noved pie pabeigtiem uzlabojumiem.

Juridiskie un līgumiskie pienākumi: vispirms nosakiet piemērojamību

Daži izdevumi ir nepieciešami tāpēc, ka organizācijai ir piemērojams pienākums, nevis tāpēc, ka tie rada pozitīvu īstermiņa atdevi. Vadībai joprojām jātiecas pēc efektīvas ieviešanas, taču obligātu darbu nevar noraidīt tikai tāpēc, ka tā komerciālo ieguvumu ir grūti kvantificēt.

Sāciet ar dokumentētu piemērojamības novērtējumu, kas aptver juridiskās personas, atrašanās vietas, pakalpojumus, datu apstrādi, klientu līgumus un attiecīgos nozares noteikumus. Norīkojiet atbildīgo īpašnieku un, ja interpretācija ir neskaidra, saņemiet juridisku vai speciālista konsultāciju.

Saskaņā ar VDAR pienākumi ir atkarīgi no apstrādes darbībām un organizācijas lomām. 28. pants nosaka prasības pārziņa un apstrādātāja līgumiem, savukārt 32. pants prasa riskam atbilstošu drošību. Sertifikāts šos novērtējumus neaizstāj, un apstrādes līgums neatrisina katru starptautiskās datu nosūtīšanas jautājumu.

NIS2 ir direktīva, kas tiek ieviesta ar nacionālajiem tiesību aktiem. Piemērojamība ir atkarīga no nozares, lieluma, pakalpojumiem un iekļaušanas noteikumiem. 20.–23. pants attiecas uz vadības uzraudzību, riska pārvaldības pasākumiem un ziņošanu par būtiskiem incidentiem. Vadītājiem jāpārbauda attiecīgā nacionālā ieviešana, nevis jāuzskata ES līmeņa kopsavilkums par savu pilnīgo darbības instrukciju.

DORA galvenokārt attiecas uz noteiktām finanšu vienībām. IKT piegādātājiem var būt klientu un līgumiski pienākumi, savukārt izraudzītiem kritiskiem pakalpojumu sniedzējiem ir atsevišķs uzraudzības režīms. Ne katrs jaunuzņēmums, kas piegādā programmatūru bankai, ir tieši pakļauts katram DORA pienākumam.

Uzturiet pienākumu reģistru, kurā norādīts avots, piemērojamības pamatojums, īpašnieks, ieviešanas pierādījumi un nākamais pārskatīšanas ierosinātājs. Ja kontroles kalpo vairākām prasībām, attiecīgā gadījumā izmantojiet ieviešanu un pierādījumus atkārtoti; nepieņemiet, ka līdzīgs formulējums padara juridiskos pienākumus līdzvērtīgus.

Investori un partneri: samaziniet nenoteiktību pirms padziļinātās izpētes

Investori, pircēji un stratēģiskie partneri var izvērtēt drošību un privātumu, jo vājās vietas var ietekmēt pakalpojumu nepārtrauktību, saistības, novēršanas izmaksas un integrācijas plānus. Šīs pārskatīšanas dziļums atšķiras atkarībā no darījuma un uzņēmuma; to nenosaka tikai finansējuma posms.

Sagatavojiet ierobežotu padziļinātās izpētes paketi: organizācijas un pakalpojumu tvērumu, pieejamos novērtējuma rezultātus, būtiskos riskus, neatrisinātos konstatējumus, incidentu vēsturi, attiecīgās piegādātāju atkarības un plānotos izdevumus. Sensitīviem materiāliem piemērojiet atbilstošus piekļuves ierobežojumus.

Vērtība ir skaidrāks uzņēmuma skaidrojums, nevis garantēts vērtības pieaugums. Zināmu vājo vietu ar ticamu īpašnieku un finansētu apstrādes plānu ir vieglāk izvērtēt nekā pārliecinātu apgalvojumu, ko atspēko trūkstoši pierādījumi.

Vadībai precīzi jāatklāj būtiski ierobežojumi. Sertifikāts ar noteiktu tvērumu automātiski neaptver iegādātu uzņēmumu, un ziņojumu ar konstatējumiem nevajadzētu pasniegt kā beznosacījumu drošības pierādījumu.

Izvēlieties investīcijas ap lēmumiem, nevis sertifikātu katalogu

Praktisks ieteikums ir sadalīt finansējuma priekšlikumu trīs slāņos:

1. Obligātās saistības: piemērojamie pienākumi un līgumiskie solījumi, kas jāievieš.
2. Būtiska riska apstrāde: uzlabojumi, kas saistīti ar kritiskiem pakalpojumiem un ticamiem atteices scenārijiem.
3. Komerciālie un darbības uzlabojumi: apliecinājuma spējas un darba plūsmu izmaiņas ar izmērāmiem ieguvumiem.

Katram priekšlikumam norādiet tvērumu, īpašnieku, izmaksas, atkarības, gaidāmo rezultātu un pārskatīšanā nepieciešamos pierādījumus. Iekļaujiet tā atlikšanas sekas. Sertifikācijas projekts var būt atkarīgs no darbojošām kontrolēm un iekšējās pārskatīšanas; klienta termiņš nevar radīt trūkstošu kontroļu darbības vēsturi.

Agrāks sākums var ļaut veikt sakārtotu novēršanu un pierādījumu vākšanu. Tas nenozīmē, ka katram jaunam uzņēmumam ir nepieciešams katrs ietvars. Prioritizējiet atbilstoši faktiskajiem pienākumiem, pakalpojumu riskiem un mērķa klientiem.

Neatalgojiet komandas tikai par ātru konstatējumu slēgšanu. Pieņemts risks var būt leģitīms, taču tajā jānorāda, kas to pieņēma, biznesa pamatojums, jebkādi kompensējošie pasākumi un kad lēmuma termiņš beidzas vai tas jāpārskata.

Praktisks piemērs: ierobežots biznesa pamatojums

Aplūkosim ilustratīvu programmatūras uzņēmumu, kas uzlabo klientu pārskatīšanas un regulāras pierādījumu darba plūsmas. Turpmākie skaitļi ir pieņēmumi, nevis tirgus etaloni vai Secani solījumi.

Tā gada sākuma stāvoklis ir 60 klientu pārskatīšanas pa astoņām iekšējām stundām katra, kā arī 12 iekšējie pierādījumu cikli pa 20 stundām katrs: kopā 720 stundas.

Ierosinātā darba plūsma izmanto pārskatītas atbildes, sasaistītus pierādījumus, nosauktus īpašniekus un plānotus atjauninājumus. Uzņēmums pieņem, ka klientu pārskatīšanas samazinās līdz četrām stundām katra un iekšējie cikli līdz desmit stundām katrs: 360 stundas, ieskaitot regulāru pierādījumu uzturēšanu.

Pie pieņemtām pilnajām darbaspēka izmaksām 80 € stundā atbrīvotās 360 stundas veido 28 800 € gada kapacitātes vērtības. Pieņemsim 12 000 € regulārās ārējās izmaksas un 10 000 € vienreizējās ieviešanas izmaksas. Tādējādi pirmā gada modelētais ekonomiskais ieguvums ir 6800 €. Turpmākajos gados tas atšķirtos, un slodzes izmaiņas varētu padarīt pieņēmumus nederīgus.

Tas nav automātiski naudas ietaupījums. Algas paliek nemainīgas, ja vien kādi izdevumi patiešām netiek novērsti. Finanšu nodaļai arī jāpārbauda, vai ieviešanas darbs un pastāvīgā administrēšana ir iekļauti vienu reizi, nevis izlaisti vai uzskaitīti divreiz.

Komerciāli uzņēmums reģistrē, kurām iespējām nepieciešams uzlabots apliecinājums, taču nepieskaita to pilnās līgumu vērtības darbības atdevei. Noturības jomā tas atsevišķi izseko atjaunošanas rezultātus un nokavētu novēršanu, nevis piešķir spekulatīvus novērsto zaudējumu ietaupījumus.

Pēc sākotnējā pārskatīšanas perioda vadība salīdzina faktiskās stundas ar pieņēmumiem. Ja atbilžu sagatavošana uzlabojas, bet pircēji joprojām gaida trūkstošu tehnisku kontroli, nākamais lēmums attiecas uz šo kontroli, nevis uz papildu anketu automatizāciju.

Pārvērtiet pamatojumu pārskatatbildīgā darba plūsmā

Sāciet ar vienu klientu pārskatīšanas darba plūsmu un vienu regulāru iekšēju procesu. Reģistrējiet sākuma stāvokli, definējiet ierobežotu uzlabojumu, nosauciet īpašnieku un pārskatītāju un nosakiet pārskatīšanas periodu. Vadības ziņojumos turiet komerciālos, darbības un drošības rezultātus atsevišķi.

Secani atbalsta šo pieeju, savienojot prasības, pierādījumus, īpašniekus, uzdevumus un pārskatīšanas lēmumus ISMS darbvietā. Komanda var sākt ar vienu pakalpojumu, modelēt tā sistēmas un atkarības, piesaistīt esošos pierādījumus attiecīgajām prasībām un pārvērst nepilnības piešķirtā darbā. MI atbalstīti ieteikumi paliek melnraksta darbs cilvēka pārskatīšanai, ar izsekojamiem avotiem un apstiprinājumiem.

Nākamais vadības solis ir mērķtiecīga pārskatīšana: kurš iegādes nosacījums nav atrisināts, kuru regulāro darbu var samazināt un kuram būtiskam riskam trūkst lēmuma? Apstipriniet darbu atbilstoši šiem jautājumiem un pēc tam pārbaudiet progresa pierādījumus. Tas padara drošību un atbilstību par pārvaldītu biznesa investīciju, nevis nediferencētu budžeta pozīciju.