Strukturējiet gatavību auditam

Kāpēc pierādījumiem bez konteksta ir ierobežota vērtība

Mape, kas pilna ar politikām, ekrānuzņēmumiem un protokoliem, vēl nav gatavība auditam. Auditoriem jāsaprot, kuru kontroli pierādījums atbalsta, kam tas pieder, kad tas izveidots un kāds lēmums no tā izriet. Eksports var būt precīzs un tomēr neatbalstīt izteikto apgalvojumu.

Tāpēc katram pierādījumam jābūt saprotamam no trim skatpunktiem: prasības, kontroles un mērķa aktīva vai procesa, uz kuru tas attiecas. Ceturtā dimensija, laiks, nosaka, vai tas atbalsta novērtējuma periodu vai tikai šodienas konfigurāciju.

Tehnoloģiju direktoram uzdevums ir padarīt šo struktūru par inženiertehniskā un darbības darba daļu. Piekļuves apstiprinājumos, izvietošanas ierakstos, incidentu laika grafikos un atjaunošanas testos jau ir noderīgi pierādījumi. Izaicinājums ir saglabāt to nozīmi, neliekot inženieriem tieši pirms audita rekonstruēt vairāku mēnešu darbību.

Gatavība auditam ir spēja izskaidrot būtisku kontroles apgalvojumu, izgūt pamatojošos ierakstus, atklāt ierobežojumus un parādīt, kā tika apstrādāti izņēmumi. Tam nepieciešama gan strādājoša kontrole, gan pamatojama pierādījumu taka.

Nosakiet, ko novērtējums patiesībā pārbaudīs

Sāciet ar audita kopsavilkumu, kas saskaņots ar vērtētāju. Reģistrējiet kritērijus un to versiju, organizatorisko robežu, aptvertos pakalpojumus un atrašanās vietas, novērtējuma periodu, paredzēto rezultātu un atbildīgās kontaktpersonas. Nošķiriet juridiskos pienākumus, līgumiskās saistības un brīvprātīgi pieņemtus pārliecības ietvarus; tiem nav identiski piemērojamības noteikumi.

Dažādi uzdevumi dod dažādus rezultātus:

ISO 27001 attiecas uz noteikta tvēruma ISMS. Tā 4.–10. punkta prasības atšķiras no A pielikuma kontroļu izvēles, kas balstīta uz risku. Tvērums, Piemērojamības paziņojums, riska apstrādes plāns, iekšējais audits un vadības pārskats ir atsevišķi ieraksti ar dažādiem mērķiem. Sertifikāciju veic neatkarīga sertifikācijas iestāde, nevis ISO vai jūsu programmatūras piegādātājs.

Tāpat C5 ir apliecinājuma konteksts, un TISAX ir novērtēšanas un apmaiņas mehānisms, nevis ISO stila sertifikāts. Drošības ziņojums vai sertifikāts pats par sevi nepierāda atbilstību VDAR vai NIS2.

Skaidri nosakiet tehnisko atkarību tvērumu. Ražošanas pakalpojums var būt atkarīgs no kopīgas identitātes platformas, izvietošanas konveijera, atbalsta komandas un ārēja mitināšanas pakalpojumu sniedzēja. Atbalsta sistēmas izslēgšana no diagrammas nenoņem tās ietekmi uz novērtējamo kontroli.

Izveidojiet pierādījumu modeli, kas iztur papildjautājumus

Labs pierādījumu modelis apvieno attiecīgo informāciju gar audita taku. Tas neprasa, lai katrs fails atrastos vienā sistēmā. Avota ieraksti var palikt darbības krātuvēs, ja atsauces, piekļuve, versijas, statusi un pamatojumi tiek uzturēti konsekventi.

Katram pierādījumam un kontrolei izmantojiet stabilu identifikatoru. Izvairieties no tā, lai failu nosaukumi būtu vienīgā saikne starp tiem. Praktisks minimālais ieraksts izskatās šādi:

Turiet vākšanas statusu atsevišķi no kontroļu secinājumiem. „Savākts” nozīmē, ka izgūšana izdevās; tas nenozīmē, ka kontrole ir efektīva. Izmantojams dzīves cikls varētu būt: savākts, gaida pārskatīšanu, pieņemts noteiktam mērķim, aizstāts vai novecojis. Izņēmumiem jāpaliek saistītiem ar attiecīgo secinājumu, nevis jāpazūd zaļā statusā.

Apstiprināta politika parāda paredzēto uzvedību. Konfigurācijas eksports parāda novērotos iestatījumus. Pieteikumi, žurnāli un pārskatīšanas lēmumi var parādīt darbību. Lielākajai daļai svarīgu apgalvojumu nepieciešama šo pierādījumu veidu kombinācija.

Kur piemērots, izmantojiet pierādījumus atkārtoti, bet katram kartējumam reģistrējiet pamatojumu. Viens identitātes eksports var atbalstīt vairākas prasības, tomēr šīs prasības var attiekties uz dažādām kopām vai pārskatīšanas periodiem. Kartēšana ir „daudzi pret daudziem” un tvērumam specifiska, nevis pierādījums, ka ietvari ir līdzvērtīgi. Šo atšķirību skatiet rakstā ne tikai izklājlapu savstarpējās atbilstības tabulas.

Plānojiet sagatavošanu ap nodevumiem, nevis failu skaitu

Kā praktisks ieteikums: iedibināta programma var organizēt sagatavošanu astoņu līdz divpadsmit nedēļu logā. Tas nav sertifikācijas noteikums vai aizstājējs darbības pierādījumu uzkrāšanai. Jaunieviestai atkārtotai kontrolei var būt nepieciešams vairāk laika, lai pierādītu darbību.

Vispirms: apstipriniet tvērumu un atklājiet robus

Nosauciet audita koordinatoru, izpildvadības sponsoru, darbības kontroļu īpašniekus, pierādījumu pārskatītājus un novēršanas īpašniekus. Nelielā komandā cilvēkiem var būt vairākas lomas, taču iekšējā audita darbam joprojām nepieciešama objektivitāte un objektīvums.

Sagatavojiet trīs nodevumus: saskaņoto audita kopsavilkumu, prasību-kontroļu reģistru un prioritizētu robu sarakstu. Klasificējiet robus rūpīgi:

• Izstrādes robs: kontrole saprātīgi nevar sasniegt savu mērķi.
• Darbības robs: paredzētā kontrole netika veikta vai nedarbojās.
• Pierādījumu robs: darbība varēja notikt, bet pieejamie ieraksti to nevar pamatot.
• Tvēruma robs: attiecīgs pakalpojums, kopa vai atkarība tika izlaista.

Trūkstošu pārskatīšanas ierakstu nevar labot, izveidojot retrospektīvu apstiprinājumu un pasniedzot to kā tā laika ierakstu. Reģistrējiet to, ko var noskaidrot, atzīstiet ierobežojumu un uzlabojiet procesu.

Pēc tam: apkopojiet pierādījumus un kritiski tos pārbaudiet

Katram pierādījumu pieprasījumam piešķiriet īpašnieku, izpildes termiņu, avotu un pieņemšanas kritērijus. Piešķiriet prioritāti kontrolēm ar atkārtotu darbību, ārējām atkarībām vai sadrumstalotiem ierakstiem. Atstājiet laiku pakalpojumu sniedzēju atbildēm un novēršanas verificēšanai.

Visbeidzot: validējiet gatavību un loģistiku

Rezervējiet darbības īpašnieku pieejamību, apstipriniet piekļuvi pierādījumiem, izmēģiniet kontroļu iziešanu un izveidojiet pieprasījumu procesu. Novērtējiet iekšējo piepūli pēc faktiskajām darba paketēm: eksportiem, pārskatiem, intervijām, robu novēršanas un turpmākajiem pasākumiem. Lūdziet sertifikācijas iestādei noteikt piemērojamo audita ilgumu; neaizstājiet tās novērtējumu ar vispārīgu aplēsi pēc darbinieku skaita.

Pārbaudiet, vai pierādījumi pierāda paredzēto apgalvojumu

Pārskatiet kvalitāti, pirms uzskatāt pārklājumu par pilnīgu. Pajautājiet, vai pierādījumi ir būtiski, attiecināmi, pietiekami pilnīgi, laika ziņā piemēroti un saskanīgi ar citiem ierakstiem.

Atkārtotām kontrolēm definējiet paredzamo kopu, pirms atlasāt izlases. Ja kontrole aptver visas ražošanas izvietošanas, kopā attiecīgā gadījumā jāiekļauj ārkārtas izmaiņas un neizdevušās vai atritinātas izvietošanas, nevis tikai veiksmīgi laidieni ar tīriem apstiprinājumiem. Saskaņojiet eksportus ar autoritatīvu uzskaiti, lai trūkstoši konti vai repozitoriji kļūtu redzami.

Izmantojiet kontrolei specifiskus pieņemšanas kritērijus:

• Piekļuves pārvaldība: kontu uzskaite, autorizācija, pārskatīšanas lēmumi, noņemšanas laika zīmogi un atrisināti izņēmumi.
• Izmaiņu pārvaldība: izmaiņu kopa, apstiprinājumu ieraksti, testu rezultāti, izvietošanas pēdas un ārkārtas izmaiņu apstrāde.
• Ievainojamību pārvaldība: skenēšanas pārklājums, konstatējumu laika zīmogi, apstrādes lēmumi, novēršanas ieraksti un verificēšana.
• Incidentu reaģēšana: atklāšanas un eskalācijas ieraksti, reaģēšanas laika grafiks, lēmumi un gūtās mācības; mācības var atbalstīt gatavību, bet neaizstāj faktisko incidentu ierakstus.
• Rezerves kopēšana un atjaunošana: konfigurētais rezerves kopēšanas pārklājums un atjaunošanas testu rezultāti attiecībā pret organizācijas atjaunošanas mērķiem.
• Piegādātāju pārraudzība: novērtējuma lēmumi, attiecīgie pārliecības materiāli, līgumiskie pienākumi un turpmākās darbības.

Vakar uzņemts ekrānuzņēmums var pamatot vakardienas konfigurāciju. Tas viens pats nevar pierādīt darbību visā sešu mēnešu periodā. Un otrādi, vecāks ieraksts nav automātiski nederīgs, ja tas atbalsta notikumu novērtējuma periodā. „Aktuāls” un „periodam atbilstošs” ir atšķirīgi testi.

Saglabājiet pretrunas. Ja politika prasa ātru piekļuves atsaukšanu darbinieka aiziešanas gadījumā, bet izlasē iekļauts konts palika aktīvs ilgāk par noteikto termiņu, sasaistiet abus ierakstus un izrietošo darbību. Auditori pārbauda, vai kontroļu sistēma ir izsekojama, nevis tikai to, vai faili pastāv.

Automatizējiet vākšanu, neslēpjot trūkstošo pārklājumu

Automatizēta pierādījumu vākšana var izgūt eksportus un ierakstus no darbības sistēmām caur API, plānotiem darbiem vai citiem atbalstītiem mehānismiem. Sāciet ar atkārtojamiem, labi definētiem avotiem, kuru rezultātus var neatkarīgi pārbaudīt. Automatizācija ir noderīga izgūšanai un konsekvencei; tā automātiski nepierāda efektivitāti.

Katrai vākšanai saglabājiet avotu, laika zīmogu un laika joslu, pieprasīto resursu kopu, izmantotās atļaujas, lapošanas uzvedību, transformācijas noteikumus un kļūdas. Kur piemērots, glabājiet oriģinālo izvadi kopā ar normalizēto rezultātu. Samaziniet sensitīvo saturu un aizsargājiet vākšanas akreditācijas datus ar šauri ierobežotu piekļuvi.

Uztveriet vākšanas kodu kā uzturētu drošības rīku. Versionējiet to, pārskatiet izmaiņas, testējiet kļūmju ceļus un piešķiriet īpašnieku. Validējiet jaunu vācēju pret zināmu kopu, pirms paļaujaties uz tā izvadi.

Biežas integrācijas kļūmes ir beigušies akreditācijas dati, ātruma ierobežojumi, daļēja lapošana, mainīti API lauki un jaunizveidoti konti ārpus konfigurētās robežas. Tukšs rezultāts var nozīmēt „nav attiecīgu resursu”, „nepareizs tvērums” vai „izgūšana neizdevās”. Šiem stāvokļiem nepieciešami atšķirīgi statusi.

Nošķiriet trūkstošus vai novecojušus rezultātus no sekmīgām kontrolēm. Nosakiet aktualitātes gaidas atbilstoši kontroles biežumam un riskam, pēc tam novirziet būtiskas kļūmes nosauktiem īpašniekiem. Grupējiet atkārtotas vākšanas kļūdas, nevis sūtiet brīdinājumu par katru neizdevušos atkārtotu mēģinājumu.

Identitātes eksports var atbalstīt piekļuves pārskatīšanu, taču tas neparāda, ka atbildīga persona pārbaudīja atļaujas vai atrisināja izņēmumus. Uzturiet vākšanu, novērtēšanu un apstiprināšanu identificējamu. Pat pakalpojumu sniedzēja nodrošinātiem iestatījumiem nepieciešami pierādījumi par attiecīgo pakalpojumu un tvērumu; vispārīgs apgalvojums par pakalpojumu sniedzēja noklusējumiem nav pietiekams.

Atkārtotu tehnisko pārbaužu un cilvēka novērtējuma attiecības skatiet rakstā par nepārtrauktu kontroļu uzraudzību.

Praktisks piemērs: ceturkšņa priviliģētās piekļuves pārskatīšana

Apsveriet ilustratīvu SaaS komandu, kas gatavojas novērtējumam, kurš aptver periodu no janvāra līdz jūnijam. Pieņemsim, ka tās politika prasa ceturkšņa pārskatīšanu priviliģētai piekļuvei ražošanas mākoņa kontos, pirmkoda repozitorijos un atbalsta administrēšanas konsolē. Tie ir piemēra pieņēmumi, nevis noteikti pārskatīšanas intervāli.

Apgalvojums ir šāds: pilnvaroti īpašnieki katru ceturksni pārskatīja visu priviliģētās piekļuves kopu un novērsa nepiemērotu piekļuvi. Eksports viens pats atbalsta tikai daļu no šī apgalvojuma.

Komanda izveido saistītu pierādījumu paketi:

1. Apstiprinātā piekļuves politika un sistēmu tvērums definē pienākumu.
2. Datēti eksporti identificē priviliģētos lietotājus, pakalpojumu kontus un attiecīgās grupas katrai pārskatīšanai.
3. Saskaņošana ar sistēmu uzskaiti izskaidro kopas pilnīgumu.
4. Pārskatīšanas ieraksti parāda katru tiesību lēmumu, pārskatītāju, datumu un pamatojumu.
5. Noņemšanas pieteikumi un turpmākās pārbaudes pierāda, ka noraidītā piekļuve tika atsaukta.
6. Apstiprinājuma ieraksts izskaidro kopējo secinājumu un atlikušos izņēmumus.

Marta pārskatīšanas laikā eksportā trūkst jaunpievienota mākoņa konta. Vācējs pabeidza darbu sekmīgi, taču pārklājums bija nepilnīgs. Īpašnieks reģistrē izlaidumu, savāc trūkstošo kopu, pārskata to un atjaunina vākšanas robežu. Sākotnējais eksports paliek pieejams ar tam pievienotu ierobežojumu.

Ja marta pārskatīšana faktiski notika novēloti, komanda reģistrē tās patieso datumu un izvērtē kavēšanos attiecībā pret politiku. Tā nepārdēvē ierakstu par savlaicīgu. Tad novērtējumā var nošķirt kontroles novirzi no korektīvās darbības.

Kontroles iziešana seko skaidrai ķēdei: prasība → kontrole → mērķa sistēmas → kopa → pārskatīšanas lēmumi → novēršana → apstiprinājums. Tā arī parāda, kāpēc tehniski sekmīga vākšana nedrīkst automātiski kļūt par sekmīgu kontroles novērtējumu.

Izmēģiniet auditu, pēc tam kontrolējiet apmaiņu

Pirms ārējā novērtējuma veiciet iekšējo auditu, kas pārbauda gan kontroles, gan to pierādījumus. ISO 27001 9.2. punkts attiecas uz iekšējo auditu un 9.3. punkts uz vadības pārskatu; neviens no tiem netiek aizstāts ar gatavības kontrolsarakstu. Saglabājiet audita tvērumu, kritērijus, rezultātus un turpmākos pasākumus un iekļaujiet attiecīgos konstatējumus vadības pārskatā.

Sākotnējai ISO 27001 sertifikācijai ir divi posmi. 1. posmā tiek izvērtēta dokumentētā ISMS un gatavība 2. posmam. 2. posmā ar pierādījumu, interviju un izlases palīdzību tiek pārbaudīta ieviešana un efektivitāte. Vienojieties par intervālu un gatavības gaidām ar sertifikācijas iestādi, nevis pieņemiet fiksētu grafiku.

Izmēģiniet vienu reprezentatīvu kontroles iziešanu ar katru galveno darbības īpašnieku. Lūdziet viņiem izskaidrot, kā kontrole darbojas, izgūt izlasē iekļautu ierakstu, identificēt izņēmumus un parādīt jaunāko pārskatīšanas lēmumu. Sagatavojiet cilvēkus atbildēt precīzi, tostarp „Man šis ieraksts jāizgūst”, nevis rakstiet idealizētu atbilžu scenārijus.

Pirms novērtējuma vienojieties par drošu kopīgošanu. Izmantojiet atbilstoši ierobežotu piekļuvi, izvairieties no nevajadzīgiem personas datiem vai noslēpumiem un paskaidrojiet rediģējumus, kas ietekmē interpretāciju. Pārbaudiet saites ar tām atļaujām, kuras auditors faktiski saņems.

Uzturiet vienu pierādījumu pieprasījumu reģistru, kurā ir jautājums, kontrole, pieprasītais periods, īpašnieks, termiņš, atbilde, kopīgotā versija un turpmākie pasākumi. Audita laikā rīkojiet īsas koordinācijas sanāksmes, lai novērstu šķēršļus. Saglabājiet oriģinālos pierādījumus; jebkuram precizējumam vai labojumam jābūt identificējamam kā tādam.

Slēdziet konstatējumus ar efektivitātes pierādījumiem

Pēc audita nošķiriet labošanu no korektīvās darbības. Nepiemērota konta atsaukšana labo tūlītējo problēmu. Piešķiršanas un pārskatīšanas procedūru maiņa, lai novērstu atkārtošanos, risina tās cēloni.

Katram konstatējumam reģistrējiet ietekmēto prasību, faktisko novērojumu, ietekmi, pamatcēloni, atbildīgo īpašnieku, darbību, termiņu un slēgšanas pierādījumus. Pēc tam definējiet efektivitātes pārbaudi. Pārskatīts kontrolsaraksts nav pietiekams, ja nākamajā pārskatīšanā joprojām tiek izlaista tā pati kontu kopa.

Sertifikācijas lēmumi un konstatējumu slēgšanas prasības pieder sertifikācijas iestādei. Būtiskas neatbilstības var liegt sertifikāciju, līdz tās tiek apmierinoši novērstas; nepieņemiet, ka katram konstatējumam ir viens un tas pats termiņš vai ka pieņemts rīcības plāns vienmēr pierāda slēgšanu. Apstipriniet piemērojamo procesu un saglabājiet iestādes pieņemšanas ierakstus.

Plānojiet atkārtotus novērtējumus arī pēc sākotnējās sertifikācijas. ISO sertifikācija darbojas ar uzraudzības un atkārtotas sertifikācijas auditiem, tāpēc visas programmas laikā saglabājiet periodam atbilstošus pierādījumus un pārskatīšanas ciklus. Pēc katra novērtējuma atjauniniet vākšanas robežas, pierādījumu kritērijus un darbības procedūras, kas izraisīja novēršamus papildjautājumus.

Padariet pirmo tvērumu īstenojamu

Sāciet ar vienu reprezentatīvu pakalpojumu un vienu būtisku kontroli, nevis importējiet nepārskatītu arhīvu. Nosakiet tās īpašnieku, pārskatītāju, mērķa objektus, pierādījumu avotus, pieņemšanas kritērijus un pārskatīšanas ritmu. Paplašiniet, tiklīdz komanda var izgūt un izskaidrot visu taku.

Secani komandas var modelēt šo pakalpojumu un tā atbalsta mērķa objektus, pievienot esošos materiālus prasībām un kontrolēm un pārvērst trūkstošus pierādījumus vai neatrisinātus jautājumus uzdevumos. Saites uz avotiem, komentāri, apstiprinājumi un laika zīmogi uztur pārskatīšanas lēmumus izsekojamus. MI atbalstīti ieteikumi paliek melnraksta darbs: cilvēks pārskatītājs pārbauda avotus, pielāgo secinājumu un apstiprina lēmumu.

Jūsu nākamais solis ir vienas kontroles iziešana. Ja darbības īpašnieks var izskaidrot apgalvojumu, parādīt pārklājumu, atklāt izņēmumus un izgūt apstiprinājumu, jums ir struktūra, ko vērts atkārtot.