Paplašiniet atbilstības programmu, nepavairojot dokumentus

Pirmā atbilstības programma var darboties, pateicoties vienam dibinātājam un izklājlapai. Izaugsme pievieno pakalpojumus, atrašanās vietas, klientus, piegādātājus un pienākumus. Spiediens rodas tāpēc, ka attiecības vairojas ātrāk, nekā komanda spēj tās koordinēt: viens identitātes pakalpojums atbalsta vairākus produktus, viens piegādātājs ietekmē vairākus biznesa procesus, un vairāki pārliecības pieprasījumi ir atkarīgi no tiem pašiem pierādījumiem.

No izpilddirektora skatpunkta mērķis ir saglabāt uzticamus lēmumus, šīm attiecībām paplašinoties. Pievienot dokumentus ir viegli. Grūtāk ir zināt, kuru pakalpojumu dokuments aptver, kas to pārbaudīja un vai pamatā esošā kontrole joprojām darbojas.

Mērogojama programma nošķir atkārtoti izmantojamu darbu no vietējās ieviešanas, sadala darbības atbildību un rezervē speciālistu uzmanību lēmumiem, kuriem nepieciešamas zināšanas. Automatizācija palīdz, tiklīdz šie pamati ir izveidoti. Pretējā gadījumā tā tikai pārnes neskaidrus pienākumus ātrākā darba plūsmā.

Atpazīstiet šauro vietu, pirms iegādājaties risinājumu

Nav universāla darbinieku skaita, pie kura izklājlapas kļūst nepiemērotas. Salīdzinoši mazam uzņēmumam ar regulētiem klientiem un vairākiem pakalpojumiem var būt vairāk koordinācijas darba nekā lielākam uzņēmumam, kas darbojas vienā stabilā robežā.

Tā vietā meklējiet darbības signālus:

• Dažādas komandas atkārtoti pieprasa tos pašus pierādījumus.
• Klientu anketas katru nedēļu pārtrauc drošības inženieru darbu.
• Neviens nevar noteikt, kurus pakalpojumus pabeigta kontrole faktiski aptver.
• Gatavošanās auditam ir atkarīga no viena cilvēka, kas rekonstruē lēmumus no e-pastiem.
• Jauni pakalpojumi tiek palaisti, pirms ir dokumentēta atbildība, piegādātāji un izņēmumi.
• Ikdienas atgādinājumi izspiež riska novērtējumus, novēršanu vai sagatavošanos incidentiem.

Šie signāli nošķir darba apjomu no spējām. Komandai var būt nepieciešamas papildu zināšanas, lai novērtētu sarežģītu arhitektūru. Taču tai var būt nepieciešama arī labāka darba plūsma, jo spējīgi cilvēki pavada laiku, meklējot ierakstus. Darbinieku pieņemšana, apmācība, automatizācija un ārējs atbalsts risina dažādas problēmas; vadībai jānosaka ierobežojums, pirms tā finansē risinājumu.

Pieprasiet nelielu nesenā atbilstības darba izlasi. Reģistrējiet laiku, kas pavadīts, iegūstot kontekstu, vācot materiālus, tos pārskatot un pieņemot lēmumus. Rezultātā būtu jāidentificē lielākais novēršamais slogs, nevis tikai jāiegūst kopējais stundu skaits.

Paplašiniet pienākumu reģistru, nevis katru atbilstības projektu

Izaugsme rada vairāku veidu prasības. Likumus, līgumus ar klientiem, brīvprātīgus standartus un iekšējās saistības nevajadzētu uzskatīt par savstarpēji aizstājamiem. Pircēja pieprasījums pēc pārliecības ziņojuma atšķiras no tiesību aktos noteikta pienākuma ziņot par incidentiem.

Uzturiet pienākumu reģistru ar biznesa darbību, kas ierosina katru prasību, tās jurisdikciju, atbildīgo īpašnieku, attiecīgo tvērumu, pārskatīšanas datumu un interpretācijas avotu. Ienākot tirgū vai palaižot pakalpojumu, pasūtiet mērķtiecīgu piemērojamības pārskatu, nevis automātiski pievienojiet katru pazīstamo ietvaru.

Piemēram, ISO 27001 attiecas uz informācijas drošības pārvaldības sistēmu ar definētu tvērumu. Tās tvērumam būtu jāatspoguļo novērtējamie pakalpojumi un atkarības. Sertifikāts vienai robežai neapliecina ieviešanu visā uzņēmumā, un SOC 2 apliecinājuma ziņojums nav sertifikācija.

Līdzīgi VDAR pienākumi ir atkarīgi no apstrādes un organizatoriskajām lomām. NIS2 piemērojamība ir atkarīga no nozares, lieluma, pakalpojuma, iekļaušanas noteikumiem un nacionālās īstenošanas. Tehnoloģiju pārdošana finanšu iestādei automātiski nenostāda piegādātāju tādā pašā situācijā kā vienību, uz kuru tieši attiecas DORA, lai gan var rasties līgumiskas prasības.

Arī MI ieviešanai nepieciešama piemērojamības pārbaude, kas balstīta uz lietošanas gadījumu un organizācijas lomu, izmantojot Komisijas MI akta pārskatu. Apstiprināto un neapstiprināto MI lietojumu uzskaite sniedz labāku sākumpunktu nekā tikai vispārīga politika.

Vadībai nepieciešamais rezultāts ir pamatots lēmums par piemērojamību, kurā neatrisinātie jautājumi uzticēti kvalificētiem konsultantiem. Ne rīks, ne esošs sertifikāts neaizstāj šo analīzi.

Nošķiriet kopīgo darbu no vietējās ieviešanas

Identificējiet kontroles, kas ir kopīgas visā organizācijā, piemēram, centrālo identitāšu administrēšanu, politiku pārvaldību, darbinieku ievadīšanu darbā vai piegādātāju pieņemšanu. Pēc tam reģistrējiet, kur ieviešana atšķiras.

Kopīgai politikai divās atrašanās vietās var būt atšķirīgi pierādījumi. Centrālās identitātes kontroles var aptvert lielāko daļu lietotņu, kamēr iegādāts uzņēmums joprojām izmanto atsevišķu direktoriju. Vienas komandas apstiprināts izņēmums nedrīkst klusībā kļūt par visu izņēmumu.

Izmantojiet trīs savstarpēji saistītus slāņus:

Definējiet tvērumus ap nozīmīgām biznesa robežām: pārvaldītu pakalpojumu, produktu, atrašanās vietu vai biznesa procesu. Katram nepieciešams atbildīgs īpašnieks, kas var apstiprināt ieviešanu un eskalēt izmaiņas. Svarīgas ir arī tehniskās robežas: biznesa pakalpojuma tvērumā būtu jānorāda atbalsta sistēmas un pakalpojumu sniedzēji, no kuriem tas ir atkarīgs.

Tad kontroļu sasaiste kļūst atkārtoti izmantojama, nenorādot uz līdzvērtību. Viena piekļuves pārvaldības kontrole var atbalstīt vairākas prasības, taču katrai sasaistei nepieciešams pamatojums, piemērojamā versija un tvērums. Dažām prasībām nepieciešamas arī papildu procedūras vai pierādījumi. Mērķis ir izvairīties no dublējošas izpildes, nevis izdzēst atšķirības starp pienākumiem. Pieeja, kas aprakstīta rakstā par kontroļu sasaisti starp ietvariem, ir noderīga, kad kopīgais darbs sāk pārvērsties atsevišķos ietvaru projektos.

Piešķiriet pierādījumiem noteiktu nolūku

Centrāla mape samazina meklēšanu, taču tā neizskaidro, ko fails pierāda. Pierādījumiem nepieciešams konteksts, pirms tos var droši izmantot atkārtoti.

Katram būtiskam vienumam reģistrējiet tā avotu, vākšanas datumu, attiecīgo periodu, aptvertās sistēmas vai pakalpojumus, īpašnieku, pārskatītāju un atbalstīto kontroli vai prasību. Iekļaujiet secinājumu: pietiekams, nepilnīgs, novecojis vai nepieciešama turpmāka rīcība. Saglabājiet argumentāciju pievienotu ierakstam.

Nošķiriet trīs jautājumus:

1. Izstrāde: Vai procedūra spēj izpildīt paredzēto prasību?
2. Ieviešana: Vai tā ir ieviesta visā norādītajā tvērumā?
3. Darbība: Vai tā darbojās attiecīgajā periodā?

Apstiprināta piekļuves politika atbalsta izstrādi. Sistēmas konfigurācija atbalsta ieviešanu. Pabeigtas pārskatīšanas un atrisināti konstatējumi palīdz pierādīt darbību. Atkārtoti izmantojot tikai politiku, nevar atbildēt uz visiem trim jautājumiem.

Nosakiet pierādījumu pārskatīšanas intervālus atbilstoši riskam, izmaiņu ātrumam un pārliecības vajadzībām. Tā ir praktiska rekomendācija, nevis universāls tiesību aktos noteikts grafiks. Stabilai politikai un strauji mainīgai priviliģētās piekļuves konfigurācijai nevajadzētu automātiski būt vienādam atjaunošanas intervālam.

Pierādījumu pieprasījumos būtu jānorāda kopa, periods, sagaidāmais avots, pieņemšanas kritēriji un saņēmējs. „Iesniedziet piekļuves pārskatīšanas pierādījumus” rada nepieciešamību pēc precizējumiem. „Iesniedziet pārskatu, kas aptver ražošanas administratorus norādītajā ceturksnī, ieskaitot pārskatītāja apstiprinājumu un identificēto noņemšanu atrisināšanu” sniedz īpašniekam uzdevumu, ko viņš var izpildīt.

Aizsargājiet arī krātuvi. Pierādījumi var saturēt personas datus, drošības arhitektūru vai sensitīvu komercinformāciju. Ierobežojiet piekļuvi un kopīgojiet tikai to, kas saņēmējam nepieciešams. Klientu pārliecības vajadzībām pārskatīta atbilžu pakete var būt piemērotāka nekā neapstrādātu iekšējo ierakstu izplatīšana.

Automatizējiet atkārtojamu darbu un aizsargājiet spriedumu

Labākajiem automatizācijas kandidātiem ir stabila ievade, skaidrs noteikums un definēts izņēmumu ceļš. Sāciet ar regulāriem atgādinājumiem, pierādījumu pieprasījumu veidnēm, atbildības maršrutēšanu un statusa apkopošanu. Ja ir piemērotas tehniskās iespējas, vākšana no avota sistēmām un konfigurācijas pārbaudes var samazināt manuālu apkopošanu.

Nejauciet sekmīgu vākšanu ar efektīvu kontroli. Eksportā var trūkt meitasuzņēmuma, var nebūt iekļauti pakalpojumu konti, vai tas var aptvert nepareizu periodu. Kādam jāvalidē pārklājums un jāizlemj, ko nozīmē izņēmumi.

Ieviešanai attīstoties, tehniskās komandas var iestrādāt izvēlētas pārbaudes izvietošanas konveijeros vai infrastruktūras veidnēs. Tam nepieciešami uzturēti testi, kontrolētas izmaiņas un reakcija, ja pārbaude neizdodas. Sekmīgi izturēts tehnisks tests neapliecina katru organizatorisko vai juridisko prasību.

Ar MI atbalstītai melnrakstu sagatavošanai un klasificēšanai jāievēro tā pati disciplīna: ierobežota piekļuve, redzami avoti un skaidrs cilvēka apstiprinājums būtiskiem secinājumiem. Automātisks ieteikums ir melnraksta darbs, nevis riska pieņemšana.

Veidojiet kapacitāti, nepadarot drošību par ikviena otro darbu

Retie speciālisti ir visvērtīgākie sarežģītiem novērtējumiem, projektēšanas izvēlēm un riska lēmumiem. Skaidri pierādījumu pieprasījumi un atbildība samazina laiku, ko viņi pavada, rekonstruējot kontekstu vai dzenoties pakaļ ikdienas ierakstiem.

Sadaliet uzdevumus cilvēkiem, kas jau darbina attiecīgo procesu. Personāla daļa var iesniegt ievadīšanas darbā un aiziešanas ierakstus; IT var pierādīt kontu administrēšanu; iepirkumu nodaļa var uzturēt piegādātāju pieņemšanas informāciju; pakalpojumu īpašnieki var apstiprināt vietējo ieviešanu. Drošības komanda nosaka kritērijus, atbalsta īpašniekus un pārskata izņēmumus, nevis pati veic katru uzdevumu.

Apmācībai jābūt konkrētai. Pierādījumu īpašniekam jāsaprot, ko iesniegt un kad eskalēt. Pakalpojuma īpašniekam jāatpazīst izmaiņas, kas ietekmē tvērumu. Nevienam no viņiem nav jākļūst par speciālistu katrā ietvarā.

Ārējs atbalsts var aizpildīt patiesas spēju nepilnības: ierobežotu juridisko interpretāciju, neatkarīgu testēšanu, arhitektūras pārskatīšanu vai pagaidu ieviešanas projektu. Nosakiet nododamos rezultātus, piekļuves ierobežojumus, nodošanas sagaidāmos rezultātus un iekšējo lēmumu īpašnieku. Izpildes nodošana ārpakalpojumā neatceļ nepieciešamību pēc organizatoriskās pārskatatbildības. Vienībām, uz kurām attiecas NIS2, 20. pants īpaši regulē kiberdrošības riska pārvaldības pasākumu apstiprināšanu un uzraudzību vadības līmenī.

Lēmumos par paša izstrādi vai iegādi būtu jāietver uzturēšana, ne tikai izstrāde. Pielāgotiem rīkiem nepieciešams kāds, kas uztur atļaujas, sasaistes, pierādījumu formātus, testus un avota sistēmu izmaiņas. Novērtējiet komerciālās iespējas pēc tām pašām prasībām, tostarp eksportējamības un pārskatīšanas izsekojamības. Izvērtēšanā izmantojiet reprezentatīvu darba plūsmu, nevis vērtējiet tikai informācijas paneli; skatiet kā izvēlēties GRC programmatūru.

Padariet paplašināšanos atkārtojamu: ilustratīvs piemērs

Pieņemsim, ka hipotētisks programmatūras uzņēmums darbina vienu produktu ar centrālu identitāšu administrēšanu un iegādes rezultātā ievieš otru produktu. Iegādātā komanda izmanto atsevišķu identitātes sistēmu un papildu mitināšanas pakalpojumu sniedzēju. Tie ir ilustratīvi pieņēmumi, nevis Secani klienta gadījums.

Kopīgais mērķis joprojām ir savlaicīga piekļuves noņemšana. Uzņēmums var atkārtoti izmantot savu centrālo politiku, kontroles aprakstu un pārskatīšanas kritērijus. Tas nevar atkārtoti izmantot pirmā produkta kontu noņemšanas pierādījumus kā pierādījumu iegādātajai videi.

Jaunā pakalpojuma īpašnieks dokumentē lietotnes, administratorus, piegādātājus, apstrādātos datus un atkarības. IT reģistrē, kuri konti seko centrālajam aiziešanas procesam un kuriem nepieciešama vietēja rīcība. Drošības komanda pārskata nepilnību; vadība lemj, vai finansēt tūlītēju integrāciju vai apstiprināt ierobežotu pagaidu kārtību.

Iekļaušanas pakete ietver:

• Pakalpojuma tvērumu un atkarību uzskaiti.
• Pārskatītu piemērojamības un riska novērtējumu.
• Piešķirtas kopīgās kontroles un dokumentētas vietējās ieviešanas.
• Sākotnējos pierādījumus, trūkstošos vienumus pārvēršot uzdevumos ar īpašniekiem.
• Izņēmumu, kurā reģistrētas skartās sistēmas, kompensējošie pasākumi, apstiprinātājs, derīguma termiņš un novēršanas īpašnieks.

Kamēr integrācija nav pabeigta, iegādātās komandas īpašnieks veic apstiprināto vietējo procedūru un saglabā tās pierādījumus. Centrālajā ziņošanā abas ieviešanas tiek parādītas atsevišķi. Izņēmums attiecas tikai uz nosauktajām sistēmām, un tā termiņš beidzas, ja vien tas netiek skaidri pārskatīts.

Kad integrācija notiek, pārskatītāji apstiprina kontu pārklājumu, atjaunina atkarības, aizstāj novecojušos pierādījumus un slēdz izņēmumu tikai pēc ieviešanas pārbaudes. Tā ir atkārtojama paplašināšanās: atkārtoti izmantojiet metodi, vienlaikus pārskatot faktiskos faktus katram pakalpojumam.

Ieviesiet pakāpeniski ar skaidriem pieņemšanas kritērijiem

Izvairieties no migrācijas visā uzņēmumā, pirms ir pārbaudīts, vai darbības modelis darbojas. Izvēlieties vienu reprezentatīvu tvērumu ar kopīgu kontroli, vietēju atšķirību un pieejamiem īpašniekiem.

Vispirms konsolidējiet pašreizējo stāvokli. Nosakiet autoritatīvās politikas, novērsiet novecojušus dublikātus, nosauciet īpašniekus un sasaistiet esošos pierādījumus ar kontrolēm. Pieņemšanas kritērijs ir vienkāršs: cits pārskatītājs var saprast tvērumu un lēmumu, neintervējot sākotnējo autoru.

Pēc tam standartizējiet regulāros pieprasījumus un pārskatīšanas. Definējiet pabeigšanas kritērijus, eskalācijas ceļus un izņēmumu apstiprināšanu. Pārbaudiet faktisku pierādījumu ciklu un atrisiniet neskaidras nodošanas, pirms pievienojat automatizāciju.

Tad automatizējiet visvairāk atkārtojamos soļus. Pārbaudiet, vai automatizācija samazina kopējo darbu, ieskaitot labošanu un pārskatīšanu. Neizdevusies vākšana jāpadara par redzamu darbu, nevis klusībā jāsaglabā vecs zaļais statuss.

Visbeidzot paplašiniet šo modeli uz papildu pakalpojumiem un pienākumiem. Vienojieties, kas ierosina pārskatīšanu: iegādes, jauni tirgi, nozīmīgas sistēmas, piegādātāju izmaiņas un incidenti. Attiecīgā gadījumā pievienojiet būtisku MI lietojumu. Katram ierosinātājam nepieciešams ceļš programmā, pirms izmaiņas kļūst par neredzamu darbības vēsturi.

Sekojiet koordinācijai, ne tikai izpildei

Augsts uzdevumu izpildes rādītājs var pastāvēt līdzās novecojušiem pierādījumiem un nepārskatītiem riskiem. Ziņojumos vadībai būtu jāparāda, kur pārliecība vājinās, nevis tikai tas, cik daudz darbību notika.

Izsekojiet novecojušus pierādījumus, kontroles bez īpašnieka, nokavētus lēmumus, atkārtotus pieprasījumus pēc tiem pašiem materiāliem un izņēmumus, kuru termiņš tuvojas beigām. Pieaugoši skaitļi var norādīt uz strukturālu problēmu pat tad, ja lielākā daļa uzdevumu atzīmēti kā pabeigti.

Pielāgojiet rādītājus uzdotajam jautājumam. Sākotnējās konsolidācijas laikā mēriet trūkstošo atbildību un pierādījumu pieprasījumu izpildes laiku. Vairākos pakalpojumos mēriet vietējās ieviešanas nepilnības un iesaistīto nodaļu patērēto laiku. Plašākā mērogā izsekojiet ar pārliecību saistītus pārdošanas kavējumus, pakalpojumu iekļaušanas laiku un atkārtotus konstatējumus.

Definējiet katru rādītāju un salīdziniet līdzvērtīgus tvērumus. Ātrākas atbildes uz anketām nav progress, ja atbildes kļūst neprecīzas. Mazāk reģistrētu izņēmumu nav progress, ja komandas pārstāj par tiem ziņot. Pārskatiet tendences kopā ar reprezentatīviem ierakstiem.

Vadības pārskatam jānoslēdzas ar lēmumiem: finansēt novēršanu, pielāgot termiņu, norīkot īpašnieku vai pārskatīt riska pieņemšanu. Centrālā ziņošana var kļūt sarežģītāka, neizšķīdinot vietējos pienākumus.

Sāciet ar vienu kopīgu kontroli

Secani augoša komanda var sākt ar vienu mērķtiecīgu tvērumu, modelēt tā sistēmas un pakalpojumu sniedzējus, norīkot īpašniekus un pārskatītājus un sasaistīt pierādījumus ar prasībām, kontrolēm un lēmumiem. Tā darbvietu un atļauju modelis atbalsta pārvaldītu sadarbību organizāciju, darbvietu un tvērumu līmenī. Ar MI atbalstīti ieteikumi joprojām ir pakļauti cilvēka pārskatīšanai, saglabājot avotus un apstiprinājumus izsekojamus.

Praktiskais nākamais solis ir izvēlēties vienu kontroli, ko pašlaik atsevišķi dokumentē divas komandas. Uzrakstiet kopīgo mērķi, identificējiet abas vietējās ieviešanas, sasaistiet to pierādījumus un nosauciet lēmumu īpašniekus. Pirms paplašināšanas veiciet vienu pārskatīšanas ciklu. Šis uzdevums atklāj, vai organizācijai ir atkārtojams darbības modelis, un sniedz vadībai konkrētu pamatu lēmumam par to, ko nākamo standartizēt, automatizēt vai nodrošināt ar resursiem.