Obchodná hodnota bezpečnosti a compliance

Bezpečnosť a compliance vytvárajú obchodnú hodnotu niekoľkými rôznymi cestami: pomáhajú zákazníkom pri rozhodovaní o nákupe, znižujú opakovanú prácu, zlepšujú odolnosť, napĺňajú uplatniteľné povinnosti a robia rozhodnutia manažmentu obhájiteľnejšími. Ak tieto cesty meriate oddelene, získate silnejší investičný zámer než so širokým prísľubom rýchlejšieho rastu.

Z pohľadu CEO nie je otázkou, či bezpečnosť dokáže zaručiť, že sa nič nepokazí. To nedokáže. Otázkou je, či organizácia chráni to podstatné, plní svoje záväzky a vytvára dôveryhodné dôkazy za náklady primerané svojmu podnikaniu.

To si vyžaduje, aby vedenie rozlišovalo povinnú prácu od voliteľných zlepšení, skutočné úspory od uvoľnenej kapacity a obchodné príležitosti od už dosiahnutých tržieb.

Začnite oddelením bezpečnosti, compliance a uistenia

Bezpečnosť je práca na ochrane systémov, informácií a služieb pred relevantnými hrozbami. Compliance znamená plnenie uplatniteľných zákonných, zmluvných alebo rámcových požiadaviek. Uistenie (assurance) sú dôkazy, ktoré niekomu inému pomáhajú posúdiť, či sa tieto záväzky plnia.

Tieto činnosti sa prekrývajú, nie sú však zameniteľné. Test obnovy zvyšuje dôveru v obnovu. Zdokumentovaný výsledok testu poskytuje uistenie. Či test spĺňa konkrétnu povinnosť, závisí od požiadavky, rozsahu a kvality dôkazov.

Certifikát ISO/IEC 27001 sa týka systému manažérstva informačnej bezpečnosti s vymedzeným rozsahom a vydáva ho nezávislý certifikačný orgán. Správa SOC 2 je atestačná správa, nie certifikácia. Ani jedno nepreukazuje, že každý produkt, dcérska spoločnosť alebo spracovateľská činnosť spĺňa každý uplatniteľný zákon.

Pre vedenie toto rozlíšenie predchádza dvom drahým chybám: kúpe osvedčenia bez odstránenia skutočných slabín a budovaniu užitočných kontrol bez toho, aby boli zrozumiteľné pre zákazníkov či posudzovateľov.

Pred schválením programu použite jednoduchú mapu hodnoty:

Ide o oddelené kategórie merania, nie o päť prínosov, ktoré sa automaticky sčítavajú.

Uistenie zákazníkov: urobte dôveru preveriteľnou

Kupujúci, ktorý posudzuje službu, potrebuje viac než odznak. Potrebuje pochopiť, čo služba robí, s akými údajmi pracuje, kde ležia zodpovednosti a či relevantné kontroly v praxi fungujú.

Užitočný balík uistenia môže obsahovať opis služby, rozsah dostupného certifikátu alebo správy, preskúmaný bezpečnostný prehľad, relevantné zmluvné informácie a odpovede na opakujúce sa otázky. K citlivým dôkazom by mal byť prístup riadený a nemali by sa zverejňovať bez rozdielu.

Obchodný prínos závisí od kupujúceho. Jeden potenciálny zákazník môže vyžadovať nezávisle posúdený systém manažérstva. Iný môže akceptovať priame dôkazy o konkrétnych kontrolách. Tretí môže potrebovať zmluvné záväzky, plán nápravy alebo objasnenie vylúčenej služby. Skôr než investujete do artefaktu, ktorý námietku nerieši, opýtajte sa, čo preverenie uspokojí.

Merajte trenie súvisiace s bezpečnosťou, nie celý predajný cyklus

Zaznamenajte, kedy sa bezpečnostné preverenie začne, kedy je doručená úplná odpoveď a kedy ju kupujúci prijme. Oddelene zaznamenajte čas čakania na kupujúceho, právne rokovania, schvaľovanie cien a hodnotenie produktu.

Medzi užitočné ukazovatele patria:

• Čas do poskytnutia prvotnej, preskúmanej odpovede.
• Opakované požiadavky spôsobené neúplnými alebo zastaranými odpoveďami.
• Príležitosti oneskorené práve pre chýbajúce uistenie.
• Príležitosti zamietnuté pre zdokumentovanú bezpečnostnú požiadavku.
• Interné hodiny potrebné na jedno preverenie.

Porovnávajte podobné segmenty zákazníkov a zložitosť obchodov. Ak sa do vzorky dostanú menší kupujúci, priemerný čas odpovede môže klesnúť bez akéhokoľvek zlepšenia procesu.

Certifikát môže splniť nákupnú podmienku bez toho, aby zaručil tržby alebo odstránil ďalšiu náležitú starostlivosť. Pipeline opisujte ako „podliehajúci tejto požiadavke na uistenie“, nie ako „tržby vytvorené certifikáciou“. Predaj, vhodnosť produktu, cena a kapacita na implementáciu sú stále dôležité.

Aj verejné tvrdenia potrebujú vlastníka. Ak marketing uvádza, že všetky zákaznícke údaje sú šifrované alebo že certifikát pokrýva určitú službu, niekto musí znenie overiť voči skutočnej implementácii a rozsahu. Príliš široké tvrdenie vytvára záväzok, ktorý prevádzkový tím nemusí byť schopný podporiť.

Prevádzková kapacita: počítajte prácu, ktorá zmizne

Práca na compliance je drahá, keď sa tie isté dôkazy opakovane zbierajú, interpretujú a vysvetľujú. Dotazník zákazníka, interná revízia aj externý audit sa môžu pýtať na riadenie prístupu, každý však prichádza s iným znením a termínmi.

Spoločné, preskúmané záznamy môžu duplicitu znížiť. Opakovane využiteľným aktívom nie je iba súbor: je ním dôkaz prepojený s požiadavkou, definovaným rozsahom, vlastníkom, dátumom revízie a záverom o tom, čo preukazuje.

Napríklad záznam o revízii prístupov môže podporiť viacero požiadaviek, ak jasne identifikuje revidované systémy, posudzovateľa, zistenia a prijaté opatrenia. Nedokáže však automaticky preukázať, že každý systém má primeraný prístup. Opakované využitie si vyžaduje overenie relevantnosti a aktuálnosti.

Stanovte východiskový stav pre štyri činnosti: zber dôkazov, ich vysvetľovanie, revíziu a aktualizáciu. Pri odhade úspor potom zahrňte náklady na implementáciu, školenia, predplatné a priebežnú správu. Presun zberu do nového nástroja pri nejasných zodpovednostiach za revíziu môže náklady len presunúť, nie znížiť.

Uvoľnená kapacita inžinierov má hodnotu, aj keď mzdové náklady neklesnú. Prínos vykazujte presne:

• Dodatočná kapacita: existujúci zamestnanci môžu venovať viac času inej práci.
• Vyhnuté výdavky: plánovaný nábor alebo externá zákazka už nie je potrebná.
• Hotovostné úspory: výdavok skutočne zmizne.

Za tie isté hodiny nepočítajte všetky tri. Náš sprievodca návratnosťou automatizácie poskytuje konkrétny výpočet pre túto prevádzkovú časť podnikateľského zámeru.

Odolnosť: financujte výsledky, na ktorých podniku záleží

Organizácia môže mať upravenú dokumentáciu, a napriek tomu nebyť schopná obnoviť kritickú službu. Investície do odolnosti by preto mali začínať závislosťami podniku, nie počtom napísaných politík.

Identifikujte služby, ktorých narušenie by znemožnilo dodávky, odhalilo citlivé informácie alebo ohrozilo zmluvné záväzky. Zistite, od ktorých systémov, dodávateľov, ľudí a údajov tieto služby závisia. Potom posúďte, čo by obnova skutočne vyžadovala.

Vedenie by malo dostávať dôkazy, ako sú výsledky testov obnovy, zistenia z cvičení na incidenty, nevyriešené problémy s prístupmi a výsledky nápravy. Hlásenie o úspešnej zálohe nie je to isté ako úspešná obnova. Plán reakcie na incidenty nie je to isté ako tím, ktorý vie, kto môže schváliť núdzové opatrenia.

Medzi užitočné otázky manažmentu patria:

• Splnil test cieľ obnovy dohodnutý pre túto službu?
• Ktorá závislosť znemožnila obnovu alebo spomalila cvičenie?
• Kto vlastní nápravné opatrenie a kedy sa bude opakovane testovať?
• Aká expozícia zostáva, kým je opatrenie otvorené?

Neprezentujte hypotetické odvrátené incidenty ako realizované úspory. Scenárová analýza môže podporiť investičné rozhodnutia, predpoklady o pravdepodobnosti, trvaní a dopade by však mali zostať explicitné. Namiesto priradenia presnej peňažnej návratnosti incidentu, ktorý sa nestal, používajte rozpätia a pomenujte neistotu.

Obdobie bez incidentov nepreukazuje, že kontroly fungujú. Naopak, identifikovanie slabín počas cvičenia je užitočným dôkazom, ak tieto zistenia vedú k dokončeným zlepšeniam.

Zákonné a zmluvné povinnosti: najprv stanovte uplatniteľnosť

Niektoré výdavky sú nevyhnutné, pretože organizácia má uplatniteľnú povinnosť, nie preto, že by priniesli pozitívnu krátkodobú návratnosť. Vedenie by sa aj tak malo usilovať o efektívnu implementáciu, povinnú prácu však nemožno odmietnuť len preto, že jej obchodný prínos sa ťažko vyčísľuje.

Začnite zdokumentovaným posúdením uplatniteľnosti, ktoré pokrýva právnické osoby, lokality, služby, spracúvanie údajov, zmluvy so zákazníkmi a relevantné odvetvové pravidlá. Určte zodpovedného vlastníka a tam, kde je výklad neistý, získajte právne alebo odborné poradenstvo.

Podľa všeobecného nariadenia o ochrane údajov (GDPR) závisia povinnosti od spracovateľských činností a organizačných rolí. Článok 28 stanovuje požiadavky na zmluvy medzi prevádzkovateľom a sprostredkovateľom, zatiaľ čo článok 32 vyžaduje bezpečnosť primeranú riziku. Certifikát tieto posúdenia nenahrádza a zmluva o spracúvaní nerieši každú otázku medzinárodných prenosov.

NIS2 je smernica transponovaná prostredníctvom vnútroštátneho práva. Uplatniteľnosť závisí od odvetvia, veľkosti, služieb a pravidiel zahrnutia. Články 20 – 23 upravujú dohľad manažmentu, opatrenia na riadenie rizík a hlásenie významných incidentov. Lídri by mali preveriť príslušnú vnútroštátnu transpozíciu, a nie považovať zhrnutie na úrovni EÚ za úplný prevádzkový návod.

DORA sa vzťahuje predovšetkým na určené finančné subjekty. Dodávatelia IKT môžu čeliť povinnostiam zo strany zákazníkov a zo zmlúv, zatiaľ čo pre určených kritických poskytovateľov platí samostatný režim dohľadu. Nie každý startup, ktorý dodáva softvér banke, podlieha priamo každej povinnosti podľa DORA.

Vedte register povinností, ktorý identifikuje zdroj, zdôvodnenie uplatniteľnosti, vlastníka, dôkazy implementácie a ďalší spúšťač revízie. Ak kontroly slúžia viacerým požiadavkám, implementáciu a dôkazy využívajte opakovane tam, kde je to vhodné; nepredpokladajte, že podobné znenie robí zákonné povinnosti rovnocennými.

Investori a partneri: znížte neistotu pred due diligence

Investori, nadobúdatelia a strategickí partneri môžu preverovať bezpečnosť a ochranu súkromia, pretože slabiny môžu ovplyvniť kontinuitu služieb, záväzky, náklady na nápravu a plány integrácie. Hĺbka takého preverenia sa líši podľa transakcie a podniku; neurčuje ju len fáza financovania.

Pripravte ohraničený balík pre due diligence: organizačný rozsah a rozsah služieb, dostupné výsledky posúdení, podstatné riziká, nevyriešené zistenia, históriu incidentov, relevantné závislosti od dodávateľov a plánované výdavky. Citlivé materiály vhodne obmedzte z hľadiska prístupu.

Hodnotou je jasnejšie vysvetlenie podniku, nie garantované zvýšenie hodnoty. Známa slabina s dôveryhodným vlastníkom a financovaným plánom ošetrenia sa posudzuje ľahšie ako sebavedomé tvrdenie, ktoré vyvracajú chýbajúce dôkazy.

Manažment by mal podstatné obmedzenia uvádzať presne. Certifikát s vymedzeným rozsahom automaticky nepokrýva akvizíciu a správa so zisteniami by sa nemala prezentovať ako bezpodmienečný dôkaz bezpečnosti.

Investície vyberajte podľa rozhodnutí, nie podľa katalógu osvedčení

Praktickým odporúčaním je rozdeliť návrh financovania do troch vrstiev:

1. Povinné záväzky: uplatniteľné povinnosti a zmluvné prísľuby, ktoré treba implementovať.
2. Ošetrenie podstatných rizík: zlepšenia viazané na kritické služby a dôveryhodné scenáre zlyhania.
3. Obchodné a prevádzkové zlepšenia: schopnosti v oblasti uistenia a zmeny pracovných postupov s merateľnými prínosmi.

Pri každom návrhu uveďte rozsah, vlastníka, náklady, závislosť, očakávaný výsledok a dôkazy potrebné pri revízii. Zahrňte aj dôsledky jeho odloženia. Certifikačný projekt môže závisieť od fungujúcich kontrol a internej revízie; termín zákazníka nedokáže vytvoriť chýbajúcu históriu fungovania kontrol.

Skorší začiatok môže umožniť usporiadanú nápravu a zber dôkazov. To neznamená, že každá mladá spoločnosť potrebuje každý framework. Prioritizujte podľa skutočných povinností, rizík služieb a cieľových zákazníkov.

Neodmeňujte tímy len za rýchle uzatváranie zistení. Akceptované riziko môže byť legitímne, malo by však uvádzať, kto ho akceptoval, obchodné zdôvodnenie, prípadné kompenzačné opatrenia a kedy rozhodnutie vyprší alebo sa musí znovu zvážiť.

Praktický príklad: ohraničený podnikateľský zámer

Uvažujme o ilustračnej softvérovej spoločnosti, ktorá zlepšuje pracovné postupy pre preverenia zo strany zákazníkov a opakujúce sa dôkazy. Nasledujúce čísla sú predpoklady, nie trhové benchmarky ani prísľuby Secani.

Jej ročný východiskový stav je 60 zákazníckych preverení po ôsmich interných hodinách plus 12 interných cyklov dôkazov po 20 hodinách: spolu 720 hodín.

Navrhovaný postup používa preskúmané odpovede, prepojené dôkazy, menovaných vlastníkov a plánované aktualizácie. Spoločnosť predpokladá, že zákaznícke preverenia klesnú na štyri hodiny a interné cykly na desať hodín: 360 hodín vrátane bežnej údržby dôkazov.

Pri predpokladaných plných nákladoch práce 80 € za hodinu predstavuje 360 uvoľnených hodín ročnú hodnotu kapacity 28 800 €. Predpokladajme 12 000 € opakujúcich sa externých nákladov a 10 000 € jednorazových nákladov na implementáciu. Modelovaný ekonomický prínos v prvom roku je teda 6 800 €. Ďalšie roky by sa líšili a zmeny pracovného zaťaženia by mohli predpoklady znehodnotiť.

Nejde automaticky o hotovostné úspory. Platy zostávajú nezmenené, pokiaľ sa výdavok skutočne neodstráni. Financie by mali tiež overiť, že práca na implementácii a priebežná správa sú zahrnuté práve raz, a nie vynechané alebo započítané dvakrát.

Obchodne spoločnosť zaznamenáva, ktoré príležitosti vyžadujú lepšie uistenie, nepripočítava však ich plné hodnoty zmlúv k prevádzkovej návratnosti. Pri odolnosti sleduje výsledky obnovy a oneskorenú nápravu oddelene, namiesto toho, aby priraďovala špekulatívne úspory z odvrátených strát.

Po úvodnom období revízie manažment porovná skutočné hodiny s predpokladmi. Ak sa príprava odpovedí zlepší, ale kupujúci stále čakajú na chýbajúcu technickú kontrolu, ďalšie rozhodnutie sa týka tejto kontroly – nie ďalšej automatizácie dotazníkov.

Premeňte zámer na pracovný postup so zodpovednosťou

Začnite jedným postupom pre zákaznícke preverenia a jedným opakujúcim sa interným procesom. Zaznamenajte východiskový stav, definujte ohraničené zlepšenie, určte vlastníka a posudzovateľa a stanovte obdobie revízie. Obchodné, prevádzkové a bezpečnostné výsledky vo výkazoch pre manažment držte oddelene.

Secani podporuje tento prístup tým, že v pracovnom priestore ISMS prepája požiadavky, dôkazy, vlastníkov, úlohy a rozhodnutia z revízií. Tím môže začať jednou službou, modelovať jej systémy a závislosti, pripojiť existujúce dôkazy k relevantným požiadavkám a meniť medzery na pridelenú prácu. Návrhy s podporou AI zostávajú konceptom na ľudskú revíziu, so zdrojmi a schváleniami, ktoré zostávajú dohľadateľné.

Ďalším krokom vedenia je zameraná revízia: ktorá nákupná podmienka je nevyriešená, ktorú opakujúcu sa prácu možno znížiť a ktoré podstatné riziko nemá rozhodnutie? Schvaľujte prácu podľa týchto otázok a potom preverujte dôkazy o pokroku. Tak sa z bezpečnosti a compliance stáva riadená obchodná investícia, a nie nerozlíšená rozpočtová položka.