Atbilstības jauna izpratne

Atbilstībai nepieciešama jauna operētājsistēma

Atbilstība ir kļuvusi pārāk svarīga, lai to pārvaldītu izkaisītās izklājlapās, statiskos dokumentos un bezgalīgās pierādījumu mapēs. No drošības un atbilstības komandām tiek gaidīts, ka tās pierādīs uzticamību, pārvaldīs riskus, apmierinās auditorus, atbildēs klientiem un sekos līdzi mainīgajiem noteikumiem.

Taču daudzi rīki, uz kuriem tās paļaujas, tika radīti lēnākai pasaulei: manuāli kontrolsaraksti, nesaistīti pierādījumi, periodiski auditi un sistēmas, ko spēj darbināt tikai neliela ekspertu grupa. Rezultāts ir sāpīgs kompromiss. Izklājlapas ir elastīgas, bet grūti pārvaldāmas. Dokumenti ir pazīstami, bet grūti uzturami aktuāli. Tradicionālie GRC komplekti ir jaudīgi, bet bieži vien lēni ieviešami, dārgi uzturami un atrauti no mūsdienu komandu ikdienas darba.

Secani veido uz MI balstītu atbilstības darbvietu komandām, kurām vienlaikus vajadzīga struktūra, ātrums un uzticība. Ietvari, kontroles, pierādījumi, riski, uzdevumi, īpašnieki un pārskati ir savstarpēji saistīti jau no paša sākuma. MI palīdz komandām saprast, kas trūkst, kas ir aptverts un kas jāpārskata. Katrs ģenerētais rezultāts paliek izsekojams līdz tā avotam.

Atbilstībai jāpielāgojas jūsu organizācijai

Katra organizācija ir atšķirīga. Tās sistēmas, riski, pienākumi, piegādātāji, aktīvi, politikas un pierādījumi ir unikāli. Tomēr lielākā daļa atbilstības rīku spiež komandas iekļauties stingrās struktūrās. Tie sagaida, ka bizness pielāgosies programmatūrai, nevis programmatūra atspoguļos to, kā organizācija patiesībā darbojas.

Secani sāk ar pretēju pieņēmumu. Jūsu atbilstības sistēmai jāatbilst tam, kā darbojas jūsu organizācija. Prasībām jābūt saistītām ar kontrolēm. Kontrolēm jābūt saistītām ar pierādījumiem. Pierādījumiem jābūt saistītiem ar īpašniekiem, aktīviem, riskiem un lēmumiem. Pārskatus nevajadzētu katru reizi manuāli apkopot no nulles. Tiem jāizriet no strukturēta, pārskatīta un nepārtraukti atjaunināta patiesības avota.

• Uztveriet prasības kā savstarpēji saistītus objektus, nevis izolētas rindas
• Sasaistiet kontroles ar pierādījumiem, riskiem un pārskatīšanas statusu
• Ģenerējiet pārskatus no pārskatītas informācijas, nevis ar kopēšanu un ielīmēšanu

MI pieder darbplūsmas iekšienē, nevis kā tērzēšanas robots virspusē

MI atbilstībā nevar vienkārši nozīmēt lūgumu tērzēšanas robotam apkopot politiku. Atbilstības darbam nepieciešams konteksts, izsekojamība, pārskatīšana, atļaujas, versiju pārvaldība un atbildība. Noderīgai MI sistēmai jāsaprot ietvars, dokumenti, pierādījumi, robi un apstiprināšanas process.

Tāpēc Secani ir veidots kā uz MI balstīta atbilstības darbvieta, nevis uzvedņu lodziņš. MI atbalsta darbu tur, kur tas notiek: izvelk attiecīgo informāciju no pierādījumiem, kartē to uz prasībām, identificē trūkstošas kontroles, sagatavo dokumentācijas melnrakstus un iesaka nākamos soļus.

Cilvēki saglabā kontroli. Katru apgalvojumu var pārskatīt. Katru avotu var pārbaudīt. Katru lēmumu var apstiprināt, noraidīt vai precizēt. Mērķis nav aizstāt atbilstības ekspertus. Mērķis ir dot viņiem sviru.

Uzticību rada avoti

Atbilstība sabrūk, kad pierādījumi zaudē kontekstu. Ekrānuzņēmums mapē. Politika diskā. Kontroles apraksts Excel failā. Pārskats, kas nokopēts Word dokumentā. Prasība, ko dažādas komandas interpretē atšķirīgi.

Laika gaitā neviens vairs nezina, kas ir aktuāls, kas ir apstiprināts un kam auditors patiešām var uzticēties. Secani uztur pierādījumus savstarpēji saistītus: dokumenti, fragmenti, kartējumi, ģenerētie ieteikumi, pārskatīšanas lēmumi un pārskati paliek saistīti ar saviem sākotnējiem avotiem.

• Sasaistiet katru apgalvojumu ar tā pamatā esošo avotu
• Turiet MI ieteikumus atsevišķi no apstiprinātiem atbilstības ierakstiem
• Glabājiet pārskatīšanas lēmumus un izmaiņas auditējamā veidā

Uzticību nerada apgalvojums, ka kaut ko ģenerējis MI. Uzticību rada parādīšana, no kurienes nāk katra atbilde.

Atbilstībai jākļūst nepārtrauktai

Lielākā daļa komandu strādā pie atbilstības uzrāvieniem. Pirms audita. Pirms investoru padziļinātās izpētes. Pirms liela uzņēmuma klients pieprasa dokumentāciju. Īsi pirms regulators sagaida pierādījumus. Šis ritms rada stresu, pārstrādi un nenoteiktību.

Labāks virziens ir nepārtraukta gatavība. Komandām vienmēr jāzina, kuras prasības ir aptvertas, kuru pierādījumu trūkst, kuriem īpašniekiem jārīkojas un kuri dokumenti ir gatavi pārskatīšanai. Atbilstība pāriet no periodiskas dokumentēšanas uz nepārtrauktu darbības stāvokli.

• Uzturiet atvērtos robus redzamus laika gaitā
• Sasaistiet uzdevumus, īpašniekus un apstiprinājumus tieši ar prasībām
• Uztveriet gatavību auditam kā nepārtrauktu stāvokli, nevis projekta fāzi

Veidots suverēnai MI atbilstībai

Kiberdrošības atbilstībai nepieciešams ātrums, taču tā nevar atteikties no kontroles. Secani ir veidots ap darbplūsmām ar cilvēka apstiprinājumu, ar avotiem pamatotiem rezultātiem, audita žurnāliem, uz lomām balstītu piekļuvi, izsekojamību līdz avotiem un skaidru nodalījumu starp MI ieteikumiem un apstiprinātiem atbilstības ierakstiem.

Eiropas un Vācijas organizācijām tas nozīmē arī skaidru suverenitātes virzienu: uz ES un Vāciju orientētu mitināšanu, sensitīvu atbilstības datu izskaidrojamu apstrādi un produkta lēmumus, kas uzticību iebūvē jau no paša sākuma.

Kiberdrošības atbilstībā uzticība nav blakusefekts. Uzticība ir produkts.

Nākotne ir strukturēta, izskaidrojama un balstīta uz MI

Atbilstība pāriet no dokumentiem uz datiem. No manuālas interpretācijas uz mašīnlasāmām prasībām. No izkaisītiem pierādījumiem uz savstarpēji saistītām sistēmām. No gatavošanās auditam uz nepārtrauktu pārliecību. No MI eksperimentiem uz darbplūsmām, kas balstītas uz MI.

Secani veido darbvietu šai nākotnei: patiesības avotu atbilstībai, darbības sistēmu drošības komandām un uzticības sistēmu organizācijām, kurām jāpierāda, ka tās ir gatavas.