Poslovna vrednost varnosti in skladnosti

Varnost in skladnost ustvarjata poslovno vrednost po več različnih poteh: strankam pomagata pri nakupnih odločitvah, zmanjšujeta ponavljajoče se delo, izboljšujeta odpornost, izpolnjujeta veljavne obveznosti in naredita odločitve vodstva bolj zagovorljive. Če te poti merite ločeno, dobite močnejši naložbeni primer kot s splošno obljubo o hitrejši rasti.

Z vidika izvršnega direktorja vprašanje ni, ali lahko varnost zagotovi, da se nič ne bo zalomilo. Tega ne more. Vprašanje je, ali organizacija ščiti tisto, kar je pomembno, izpolnjuje svoje zaveze in ustvarja verodostojna dokazila po ceni, ki je sorazmerna z njenim poslovanjem.

To od vodstva zahteva, da loči obvezno delo od izbirnih izboljšav, dejanske prihranke od sproščenih zmogljivosti in poslovne priložnosti od že ustvarjenih prihodkov.

Začnite z ločevanjem varnosti, skladnosti in zagotovil

Varnost je delo, s katerim sisteme, informacije in storitve ščitimo pred ustreznimi grožnjami. Skladnost pomeni izpolnjevanje veljavnih pravnih, pogodbenih ali ogrodnih zahtev. Zagotovilo so dokazila, ki komu drugemu pomagajo oceniti, ali se te zaveze izpolnjujejo.

Te dejavnosti se prekrivajo, vendar niso zamenljive. Test obnovitve poveča zaupanje v obnovo. Dokumentiran rezultat testa zagotavlja zagotovilo. Ali test izpolnjuje določeno obveznost, je odvisno od zahteve, obsega in kakovosti dokazil.

Certifikat ISO/IEC 27001 se nanaša na sistem upravljanja informacijske varnosti v opredeljenem obsegu in ga izda neodvisen certifikacijski organ. Poročilo SOC 2 je atestacijsko poročilo, ne certifikat. Nobeden od njiju ne dokazuje, da vsak izdelek, hčerinska družba ali dejavnost obdelave izpolnjuje vse veljavne zakone.

Za vodstvo to razlikovanje preprečuje dve dragi napaki: nakup poverilnice brez odprave temeljnih slabosti in vzpostavitev koristnih kontrol, ne da bi jih naredili razumljive za stranke ali pregledovalce.

Preden odobrite program, uporabite preprost zemljevid vrednosti:

To so ločene kategorije merjenja, ne pet koristi, ki bi jih bilo mogoče samodejno sešteti.

Zagotovila za stranke: zaupanje naj bo mogoče pregledati

Kupec, ki ocenjuje storitev, potrebuje več kot značko. Razumeti mora, kaj storitev počne, katere podatke obravnava, kje so odgovornosti in ali ustrezne kontrole v praksi delujejo.

Uporaben paket zagotovil lahko vključuje opis storitve, obseg razpoložljivega certifikata ali poročila, pregledan varnostni pregled, ustrezne pogodbene informacije in odgovore na ponavljajoča se vprašanja. Do občutljivih dokazil naj bo dostop nadzorovan, namesto da bi jih brez razlikovanja objavljali.

Poslovna korist je odvisna od kupca. En potencialni kupec lahko zahteva neodvisno ocenjen sistem upravljanja. Drug lahko sprejme neposredna dokazila o posameznih kontrolah. Tretji morda potrebuje pogodbene zaveze, načrt odprave ali pojasnilo o izključeni storitvi. Preden vložite v artefakt, ki ugovora ne obravnava, vprašajte, kaj bo zadovoljilo pregled.

Merite trenje, povezano z varnostjo, ne celotnega prodajnega cikla

Zabeležite, kdaj se varnostni pregled začne, kdaj je dostavljen popoln odgovor in kdaj ga kupec sprejme. Ločeno zabeležite čas čakanja na kupca, pravna pogajanja, odobritev cen in vrednotenje izdelka.

Uporabna merila vključujejo:

• čas do zagotovitve začetnega, pregledanega odgovora;
• ponovljene zahteve zaradi nepopolnih ali zastarelih odgovorov;
• priložnosti, ki so zamujene prav zaradi manjkajočih zagotovil;
• priložnosti, zavrnjene zaradi dokumentirane varnostne zahteve;
• notranje ure, potrebne za posamezen pregled.

Primerjajte podobne segmente strank in zahtevnost poslov. Če v vzorec vstopijo manjši kupci, se lahko povprečni odzivni čas zmanjša brez kakršnekoli izboljšave procesa.

Certifikat lahko izpolni nakupni pogoj, ne da bi zagotovil prihodke ali odpravil nadaljnji skrbni pregled. Prodajni lijak opišite kot „predmet te zahteve po zagotovilih“, ne kot „prihodek, ustvarjen s certifikacijo“. Prodaja, ustreznost izdelka, cene in zmogljivost za uvedbo so še vedno pomembni.

Tudi javne trditve potrebujejo lastnika. Če trženje trdi, da so vsi podatki strank šifrirani ali da certifikat zajema storitev, mora nekdo ubeseditev preveriti glede na dejansko izvedbo in obseg. Preširoka trditev ustvari zavezo, ki je operativna ekipa morda ne more podpreti.

Operativna zmogljivost: preštejte delo, ki izgine

Delo za skladnost postane drago, ko se ista dokazila znova in znova zbirajo, razlagajo in pojasnjujejo. Vprašalnik stranke, notranji pregled in zunanja presoja lahko vsi sprašujejo o upravljanju dostopov, vendar vsak prispe z drugačno ubeseditvijo in roki.

Skupni, pregledani zapisi lahko zmanjšajo podvajanje. Ponovno uporabno sredstvo ni zgolj datoteka: to je dokazilo, povezano z zahtevo, opredeljenim obsegom, lastnikom, datumom pregleda in sklepom o tem, kaj dokazuje.

Zapis o pregledu dostopov lahko na primer podpira več zahtev, če jasno opredeljuje pregledane sisteme, pregledovalca, ugotovitve in izvedene ukrepe. Ne more pa samodejno dokazati, da imajo vsi sistemi ustrezne dostope. Ponovna uporaba zahteva preverjanje ustreznosti in aktualnosti.

Vzpostavite izhodišče za štiri dejavnosti: zbiranje dokazil, njihovo pojasnjevanje, pregled in posodabljanje. Nato pri ocenjevanju prihrankov vključite stroške uvedbe, usposabljanja, naročnin in stalne administracije. Če delo zbiranja prestavite v novo orodje, odgovornosti za pregled pa ostanejo nejasne, se stroški lahko le premaknejo, namesto da bi se zmanjšali.

Sproščena inženirska zmogljivost ima vrednost, tudi kadar se stroški plač ne zmanjšajo. Korist poročajte natančno:

• Dodatna zmogljivost: obstoječi zaposleni lahko več časa namenijo drugemu delu.
• Izognjeni izdatki: načrtovana zaposlitev ali zunanji angažma ni več potreben.
• Denarni prihranki: strošek dejansko izgine.

Za iste ure ne štejte vseh treh. Naš vodnik o donosnosti avtomatizacije ponuja konkreten izračun za ta operativni del poslovnega primera.

Odpornost: financirajte izide, ki so pomembni za poslovanje

Organizacija ima lahko urejeno dokumentacijo, pa vseeno ne more obnoviti kritične storitve. Naložbe v odpornost se zato začnejo s poslovnimi odvisnostmi, ne s številom napisanih politik.

Opredelite storitve, katerih motnja bi preprečila dobavo, razkrila občutljive informacije ali ogrozila pogodbene zaveze. Vprašajte, od katerih sistemov, dobaviteljev, ljudi in podatkov so te storitve odvisne. Nato ocenite, kaj bi obnova dejansko zahtevala.

Vodstvo naj prejme dokazila, kot so rezultati testov obnovitve, ugotovitve vaj za incidente, nerešene težave z dostopi in izidi odprave. Sporočilo o uspešnem varnostnem kopiranju ni enakovredno uspešni obnovitvi. Načrt za incidente ni enakovreden temu, da ekipa ve, kdo lahko odobri nujne ukrepe.

Uporabna vprašanja za vodstvo vključujejo:

• Ali je test dosegel cilj obnove, dogovorjen za to storitev?
• Katera odvisnost je preprečila obnovo ali upočasnila vajo?
• Kdo je lastnik korektivnega ukrepa in kdaj bo ponovno preizkušen?
• Kakšna izpostavljenost ostaja, dokler je ukrep odprt?

Hipotetičnih preprečenih incidentov ne predstavljajte kot uresničenih prihrankov. Analiza scenarijev lahko podpira naložbene odločitve, vendar morajo predpostavke o verjetnosti, trajanju in vplivu ostati izrecne. Uporabljajte razpone in opredelite negotovost, namesto da bi incidentu, ki se ni zgodil, pripisali natančen denarni donos.

Obdobje brez incidentov ne dokazuje, da kontrole delujejo. Nasprotno pa je odkrivanje slabosti med vajo koristno dokazilo, kadar te ugotovitve vodijo do dokončanih izboljšav.

Pravne in pogodbene obveznosti: najprej ugotovite uporabnost

Nekateri izdatki so potrebni, ker ima organizacija veljavno dolžnost, ne zato, ker bi prinašali pozitivno kratkoročno donosnost. Vodstvo naj si kljub temu prizadeva za učinkovito izvedbo, vendar obveznega dela ni mogoče zavrniti samo zato, ker je njegovo poslovno korist težko količinsko opredeliti.

Začnite z dokumentirano oceno uporabnosti, ki zajema pravne subjekte, lokacije, storitve, obdelavo podatkov, pogodbe s strankami in ustrezna sektorska pravila. Dodelite odgovornega lastnika in pridobite pravni ali strokovni nasvet, kjer je razlaga negotova.

Po Splošni uredbi o varstvu podatkov (GDPR) so dolžnosti odvisne od dejavnosti obdelave in organizacijskih vlog. Člen 28 določa zahteve za pogodbe med upravljavcem in obdelovalcem, člen 32 pa zahteva varnost, ki ustreza tveganju. Certifikat teh ocen ne nadomesti in pogodba o obdelavi ne razreši vsakega vprašanja mednarodnih prenosov.

NIS2 je direktiva, ki se izvaja z nacionalno zakonodajo. Uporabnost je odvisna od sektorja, velikosti, storitev in pravil o vključitvi. Členi 20–23 obravnavajo nadzor vodstva, ukrepe za obvladovanje tveganj in poročanje o znatnih incidentih. Vodje naj preverijo ustrezno nacionalno izvedbo, namesto da bi povzetek na ravni EU obravnavali kot popolno delovno navodilo.

DORA, Uredba o digitalni operativni odpornosti finančnega sektorja, zajema predvsem določene finančne subjekte. Dobavitelji IKT se lahko soočajo z obveznostmi do strank in pogodbenimi obveznostmi, za imenovane ključne ponudnike pa velja ločen režim nadzora. Ni vsako zagonsko podjetje, ki banki dobavlja programsko opremo, neposredno zavezano vsem obveznostim iz DORA.

Vodite register obveznosti, ki opredeljuje vir, utemeljitev uporabnosti, lastnika, dokazila o izvedbi in naslednji sprožilec pregleda. Kjer kontrole služijo več zahtevam, izvedbo in dokazila ponovno uporabite, kjer je to ustrezno; ne predpostavljajte, da podobna ubeseditev naredi pravne dolžnosti enakovredne.

Vlagatelji in partnerji: zmanjšajte negotovost pred skrbnim pregledom

Vlagatelji, prevzemniki in strateški partnerji lahko preučujejo varnost in zasebnost, ker slabosti lahko vplivajo na neprekinjenost storitev, obveznosti, stroške odprave in načrte integracije. Globina takšnega pregleda se razlikuje glede na posel in podjetje; ne določa je zgolj faza financiranja.

Pripravite omejen paket za skrbni pregled: organizacijski obseg in obseg storitev, razpoložljive rezultate ocen, pomembna tveganja, nerešene ugotovitve, zgodovino incidentov, ustrezne odvisnosti od dobaviteljev in načrtovane izdatke. Za občutljiva gradiva uvedite ustrezne omejitve dostopa.

Vrednost je jasnejša razlaga poslovanja, ne zajamčeno povečanje vrednotenja. Znano slabost z verodostojnim lastnikom in financiranim načrtom obravnave je lažje oceniti kot samozavestno trditev, ki ji nasprotujejo manjkajoča dokazila.

Vodstvo naj pomembne omejitve razkrije natančno. Certifikat v opredeljenem obsegu ne zajame samodejno prevzetega podjetja in poročila z ugotovitvami ne bi smeli predstavljati kot brezpogojnega dokaza varnosti.

Naložbe izbirajte glede na odločitve, ne glede na katalog poverilnic

Praktično priporočilo je, da predlog financiranja razdelite na tri ravni:

1. Zahtevane zaveze: veljavne obveznosti in pogodbene obljube, ki jih je treba izvesti.
2. Obravnava pomembnih tveganj: izboljšave, povezane s kritičnimi storitvami in verodostojnimi scenariji odpovedi.
3. Poslovne in operativne izboljšave: zmožnosti zagotavljanja in spremembe potekov dela z merljivimi koristmi.

Za vsak predlog navedite obseg, lastnika, stroške, odvisnost, pričakovani izid in dokazila, potrebna ob pregledu. Vključite posledice odloga. Projekt certifikacije je lahko odvisen od delujočih kontrol in notranjega pregleda; rok stranke ne more ustvariti manjkajoče zgodovine delovanja kontrol.

Zgodnejši začetek lahko omogoči urejeno odpravo in zbiranje dokazil. To ne pomeni, da vsako mlado podjetje potrebuje vsa ogrodja. Prednostne naloge določite glede na dejanske obveznosti, tveganja storitev in ciljne stranke.

Ekip ne nagrajujte zgolj za hitro zapiranje ugotovitev. Sprejeto tveganje je lahko legitimno, vendar mora opredeliti, kdo ga je sprejel, poslovno utemeljitev, morebitne nadomestne ukrepe in kdaj odločitev poteče ali jo je treba ponovno pretehtati.

Primer iz prakse: omejen poslovni primer

Vzemimo ponazoritveno programsko podjetje, ki izboljšuje poteke dela za preglede strank in ponavljajoča se dokazila. Spodnje številke so predpostavke, ne tržna merila ali obljube Secani.

Njegovo letno izhodišče je 60 pregledov strank po osem notranjih ur ter 12 notranjih ciklov dokazil po 20 ur: skupaj 720 ur.

Predlagani potek dela uporablja pregledane odgovore, povezana dokazila, imenovane lastnike in načrtovane posodobitve. Podjetje predpostavlja, da se pregledi strank zmanjšajo na štiri ure, notranji cikli pa na deset ur: 360 ur, vključno z rednim vzdrževanjem dokazil.

Pri predpostavljenem polnem strošku dela 80 EUR na uro sproščenih 360 ur predstavlja 28.800 EUR letne vrednosti zmogljivosti. Predpostavimo 12.000 EUR ponavljajočih se zunanjih stroškov in 10.000 EUR enkratnih stroškov uvedbe. Modelirana ekonomska korist v prvem letu je torej 6.800 EUR. V poznejših letih bi bila drugačna, spremembe obsega dela pa bi lahko predpostavke razveljavile.

To samodejno niso denarni prihranki. Plače ostanejo nespremenjene, razen če strošek dejansko odpade. Finančna služba naj preveri tudi, da sta delo za uvedbo in stalna administracija vključena enkrat, namesto da bi ju izpustili ali šteli dvakrat.

S poslovnega vidika podjetje beleži, katere priložnosti zahtevajo boljša zagotovila, vendar njihovih celotnih pogodbenih vrednosti ne prišteje operativnemu donosu. Pri odpornosti rezultate obnovitev in zapoznelo odpravo spremlja ločeno, namesto da bi pripisovalo špekulativne prihranke iz preprečenih izgub.

Po začetnem obdobju pregleda vodstvo primerja dejanske ure s predpostavkami. Če se priprava odgovorov izboljša, kupci pa še vedno čakajo na manjkajočo tehnično kontrolo, se naslednja odločitev nanaša na to kontrolo – ne na več avtomatizacije vprašalnikov.

Primer pretvorite v potek dela z jasnimi odgovornostmi

Začnite z enim potekom dela za preglede strank in enim ponavljajočim se notranjim procesom. Zabeležite izhodišče, opredelite omejeno izboljšavo, imenujte lastnika in pregledovalca ter določite obdobje pregleda. Poslovne, operativne in varnostne izide v poročanju vodstvu ohranite ločene.

Secani ta pristop podpira tako, da v delovnem prostoru ISMS povezuje zahteve, dokazila, lastnike, naloge in odločitve pregledov. Ekipa lahko začne z eno storitvijo, modelira njene sisteme in odvisnosti, obstoječa dokazila priloži ustreznim zahtevam in vrzeli pretvori v dodeljeno delo. Predlogi, ki jih pomaga pripraviti umetna inteligenca, ostanejo osnutki za človeški pregled, viri in odobritve pa ostanejo sledljivi.

Naslednji korak vodstva je osredotočen pregled: kateri nakupni pogoj je nerešen, katero ponavljajoče se delo je mogoče zmanjšati in kateremu pomembnemu tveganju manjka odločitev? Delo odobrite glede na ta vprašanja, nato pa preglejte dokazila o napredku. Tako varnost in skladnost postaneta upravljana poslovna naložba namesto nerazčlenjene proračunske postavke.