Какво представлява управлението на съответствието?

Силен програмен модел за управление на съответствието се изгражда от ясни очаквания, повтаряеми начини на работа, ежедневни защитни мерки и хората и инструментите, които държат всичко в правилна посока.

Политиките описват ясно какво трябва да прави организацията и как изглежда да си в съответствие. Те превръщат задълженията в ясни очаквания, които хората могат да следват.

Често срещаните области на политиките включват:

• Правила за обработване и достъп до данни.
• Записи, изисквания за съхранение и доказателства за одити.
• Отчитане и пътища за ескалация, когато нещо се обърка.

Процесите са стъпка по стъпка рутините, които екипите следват, за да изпълняват изискванията последователно – цикли на преглед, одобрения, тестване и последващо действие по проблеми.

Примери за процеси за съответствие включват:

• Редовни прегледи за потвърждение, че изискванията са вградени в бизнес работните процеси.
• Постоянно наблюдение на състоянието на контролите, а не само годишни проверки.
• Работни потоци за коригиращи действия, когато бъдат открити пропуски.

Стандартите и рамките действат като референтни набори, спрямо които измервате. Те могат да произтичат от регулации, отраслови стандарти или вътрешни изисквания.

Практичен начин да организирате стандартите е да ги третирате като шаблони на изисквания, които могат да се групират и проследяват. Например, оценката е групиране на контроли от конкретна регулация, стандарт или политика.

Контролите са конкретните проверки и практики, които показват, че едно изискване е изпълнено – и го свързват с конфигурацията на системата, организационния процес и разпределената отговорност.

Полезните категории на контролите включват:

• Контроли, управлявани от доставчик на услуги, които се обработват от доставчика на облачни услуги
• Контроли, управлявани от организацията, които се обработват от вашите екипи
• Споделени контроли, при които отговорността е разделена

Управлението на съответствието работи най-добре, когато отговорността е ясно определена. Двете групи роли, които всеки успешен програмен модел включва, са надзор от ръководството и ежедневна отговорност за съответствието.

Надзор от страна на борда и ръководството

Ръководството отговаря за определянето на очакванията, приемането на политически становища, разпределянето на правомощия, осигуряването на ресурси за функцията и получаването на редовни отчети за дейностите и констатациите, свързани със съответствието.

Какво често включва надзорът:

• Ясни изисквания за съответствие и одобряване на политики.
• Назован собственик (служител по съответствието или комитет) с правомощия да действа.
• Редовни доклади за одити, проблеми и коригиращи мерки.

Длъжностно лице по съответствието

Тази роля отговаря за правилата и процедурите, обучението, прегледите за съответствие, проследяването на възникващи проблеми, отговарянето на жалби, докладването на резултатите и осигуряването на коригиращи действия.

Проста схема за разпределение на отговорностите, която може да се разширява, включва:

• Собствениците на контроли поддържат конкретни контроли и предоставят доказателства.
• Екипите по съответствие определят структурата, извършват оценки, проследяват пропуските и подпомагат проверките.
• Ръководството преглежда напредъка, премахва пречките и одобрява приоритетите.

Електронните таблици могат да работят в малък мащаб, но повечето организации използват инструменти, за да държат изискванията, контролите, доказателствата и собствеността на едно място – особено в няколко облака и бизнес звена.

Какво да търсите в софтуера за управление на съответствието

Практични възможности, които помагат да се намали дублирането и работата да остане актуална, включват:

• Оценки, които са многократно използваеми контролни списъци с изисквания и контроли.
• Съпоставяне на контроли, при което една контролa е свързана с няколко стандарта, за да се намали повторната работа.
• Наблюдение, което осигурява видимост върху състоянието на контрола във времето.
• Управление на доказателства, което предлага едно място за съхранение на артефакти, бележки и състояние.
• Работни процеси и задачи за възлагания, крайни срокове и проследяване на напредъка.
• Оценяване, което предлага изглед, базиран на риска, за да помогне за фокусиране на работата по подобрение.

Създайте план

Докато изграждате управление на съответствието във вашата организация, потърсете отговори на следните въпроси:

• Имаме ли писмени правила, които отговарят на нашите задължения?
• Документирани ли са основните процеси?
• Съпоставени ли са контролите със стандартите, така че екипите да не повтарят една и съща работа?
• Можем ли бързо да предоставим доказателства, когато се случат проверки или разследвания?
• Ясни ли са ролите за собственост и отчитане?

Управлението на сигурността и съответствието се намира там, където работата по сигурността и задълженията за съответствие се припокриват. На практика това означава да защитавате данните и системите по начин, който отговаря на правилата, за които носите отговорност – и след това да показвате доказателства чрез базови нива, наблюдение и записи.

Повечето регулации и стандарти включват изисквания за сигурност. Често срещаните изисквания обикновено обхващат:

• Обработка на данни: Ясни правила за това как чувствителните данни се събират и обработват.
• Сигурно съхранение и достъп: Шифроване и контролирани права за достъп, за да се намали неоторизираното излагане.
• Отчетност и проверка: Редовни проверки, съдействие при проверки и уведомления за нарушения, когато е необходимо.

Може да се наложи да съпоставите вашите контролни мерки с няколко рамки едновременно.

Три често срещани стандарта включват:

• Общ регламент относно защитата на данните (GDPR): Правна рамка на ЕС, фокусирана върху поверителността и защитата на личните данни; съответствието означава спазване на съответствие с GDPR и подкрепа за по-строг контрол върху личната информация.
• Закон за преносимост и отчетност на здравното осигуряване (HIPAA): Това са законите и правилата в САЩ в областта на Здраве­опазването, които определят изискванията за използване, разкриване и защита на защитената здравна информация (PHI), включително мерките за сигурност по Security Rule за електронна PHI.
• Стандарти за сигурност на индустрията за платежни карти (PCI DSS): Глобален стандарт за информационна сигурност за организации, които съхраняват, обработват или предават данни за картодържатели, създаден да намали измамите чрез по-строг контрол върху данните от кредитни карти.

1. Започнете със базова линия за сигурност. Използвайте определена базова конфигурация за ключовите системи, за да знаят екипите каква конфигурация счита вашата организация за добра. Следете за настройки, които се отклоняват от предписаните стойности, и отстранявайте пропуските.

2. Въведете силни контроли за достъп и криптиране. Прилагайте контролиран достъп и криптиране, за да намалите неоторизираното излагане на чувствителни данни

3. Извършвайте редовни оценки и одити. Извършвайте периодични проверки и оценки, за да откривате пропуски и да потвърждавате, че контролите все още отговарят на изискванията.

4. Обучавайте хората как да работят с данни. Съответствието със сигурността зависи от ежедневните решения, затова обучението и ясните указания са важни.

5. Поддържайте документацията готова за прегледи. Поддържайте записи, които подпомагат прегледите за проверка и регулаторно съответствие, за да можете да отговаряте бързо, когато ви потърсят.

6. Използвайте наблюдение и работни процеси, за да останете в крак. Използвайте инструменти и процеси, които подпомагат непрекъснатото наблюдение, проследяване и коригиращи действия, вместо да разчитате само на периодични прегледи.

Автоматизацията и непрекъснатото съответствие помагат на екипите да поддържат изискванията, контролите и доказателствата актуални, докато средата се променя. Вместо да разглежда съответствието като периодично събитие, този подход го третира като постоянен поток от малки проверки и актуализации, които са по-лесни за управление и по-лесни за проверка.

Няколко промени правят автоматизацията по-практична – и по-необходима – отколкото е била преди:

• Ръст на множество облаци и SaaS: Данните и натоварванията се преместват между повече услуги и доставчици, което увеличава броя на местата, където контролите трябва да се прилагат и проследяват.
• Бързо променящи се регулации: Изискванията се развиват и това, което е било подходящо миналата година, може да е остаряло тази година, особено по отношение на очакванията за поверителност и сигурност.
• Разпределена отговорност: Собствениците на контролите често са в различни екипи (сигурност в облак, ИТ, инженеринг, правен отдел, ЧР), така че координацията и последователното събиране на доказателства са още по-важни.

Когато разглеждате автоматизацията и непрекъснатото съответствие, се фокусирайте върху възможности, които намаляват ръчната работа, без да губят отчетност.

Започнете със стандартизирани оценки, които използват повторно използваеми набори от контроли. Това подпомага последователността между екипите и улеснява сравняването на резултатите във времето.

• Стандартизирани оценки: Използвайте една и съща структура на оценка във всеки цикъл, за да се виждат лесно напредъкът (и регресиите).
• Повторно използваеми набори от контроли: Използвайте повторно основен набор от контроли, вместо да пренаписвате проверки за всяко ново изискване.

Общото картографиране на контролите намалява дублирането между рамки, като свързва един контрол с множество изисквания.

Ето как изглежда това на практика:

1. Една единствена практика за контрол на достъпа (например „ограничен достъп до чувствителни данни“) може да покрива части от няколко стандарта.
2. Събраните доказателства за този контрол могат да се използват повторно, когато отчитате спрямо различни рамки, вместо да създавате отново същото доказателство на няколко места.
3. Актуализациите на контрола (или неговата документация) се пренасят към всяка рамка, която разчита на него.

Непрекъснатото наблюдение се фокусира върху състоянието на контролите и позицията на съответствие – дали контролите са налице, дали все още работят според очакванията и дали нещо се е променило и изисква последващи действия.

Ето често срещани сигнали за наблюдение, които екипите проследяват:

• Състояние на контрола: Това може да включва успешно, неуспешно или все още неизвършено оценяване.
• Индикатори за промяна: Промени в конфигурацията, актуализации на правила или нови системи могат да създадат нови проверки за изпълнение.
• Шаблони на изключения: Повтарящи се изключения могат да показват контроли, които се нуждаят от преработка или по-силна отговорност.

Доказателствата често се разпиляват в пощенски кутии, споделени дискове и нишки в заявки, освен ако не го планирате предварително. Централизирането на управлението на доказателствата ги държи на едно място и ги свързва с правилния контрол, собственик и цикъл на преглед.

Работните потоци и възлагането на задачи са важни тук, защото превръщат нещата, които трябва да бъдат коригирани, в проследима работа:

• Работен поток: Последователен път за прегледи, одобрения и финални потвърждения.
• Възлагане на задачи: Ясни отговорности, крайни срокове и проследяване на напредъка, свързани с контрола или оценката.
• Готовност на доказателствата: Бърз начин да отговорите на въпроса „Какви доказателства имаме?“ и „Актуално ли е?“

Оценяването според риска и моделите за зрялост помагат на екипите да решат какво да коригират първо. Целта не е да се гони всяка дребна празнина едновременно, а да се насочи отстраняването към проблемите, които създават най-голям риск.

Това помага да се приоритизира отстраняването по:

• Подреждане на работата по въздействие: Поставете най-рисковите пропуски най-отгоре в опашката.
• Проследяване на подобрението във времето: Резултат или ниво на зрялост дава ясна представа за „преди“ и „след“, когато приключите работата по отстраняване.
• Подпомагане на последователни решения: Когато екипите използват един и същ модел за оценка или зрялост, приоритизирането е по-малко субективно и по-лесно за обяснение.

След като започнете да автоматизирате оценките, наблюдението и събирането на доказателства, следващата стъпка е да решите какво ще проследявате и как ще отчитате напредъка – така че ръководителите да виждат тенденциите в риска, да приоритизират корекциите и да показват резултатите във времето.

Дори добре управляваните програми могат да забуксуват, когато изискванията се множат, системите се разпръсват между среди и отговорностите се размият. Обикновено решенията се свеждат до намаляване на дублираната работа, по-стриктни навици за работа с доказателства и ясни граници за нови инструменти.

Проблемът: Teams проследява едно и също изискване на няколко места, пренаписва сходни контроли за различни регулации и отделя време за съгласуване на припокриващи се контролни списъци.

Как да го избегнете: Използвайте общо картографиране на контролите между регулациите.

Практичен подход е да картографирате една контролна мярка към няколко рамки, за да не повтаряте една и съща работа всеки път, когато добавяте нов стандарт.

• Създайте споделена библиотека за контроли. Поддържайте основен набор от контроли, които се срещат в много изисквания (контрол на достъпа, регистриране, криптиране, задържане и реагиране при инциденти).
• Картирайте веднъж, използвайте многократно. Свържете всяка контролна мярка с всяка регулация или стандарт, който я изисква, а след това използвайте това картографиране по време на прегледи и одити.
• Актуализирайте контрола, а не всеки контролен списък. Когато контролът се промени, оставете тази една актуализация да се отрази в свързаните изисквания, вместо да редактирате няколко копия.

Бърза проверка: Ако два екипа поддържат отделни „едни и същи“ контроли с различни формулировки, плащате цената на дублирането.

Проблемът: Доказателствата се разпиляват в чатове, имейл нишки, коментари по заявки и споделени устройства. Когато пристигне заявка за одит, хората бързат да открият артефакти и да възстановят контекста.

Как да го избегнете: Централизирайте артефактите и определете собственици на контроли.

Централизирането на доказателствата работи най-добре, когато всяка контролна мярка има посочен собственик, който знае как изглеждат „добрите доказателства“ и къде се съхраняват.

• Едно място за доказателства. Съхранявайте артефактите, бележките и актуализациите на състоянието на едно място, свързано с контрола. (Много инструменти поддържат прикачване на доказателства и проследяване на състоянието в рамките на действията за подобрение.)
• Ясна отговорност. Определете собственик на контрола, отговорен за поддържането на артефактите актуални и за отговарянето на заявки за доказателства.
• Определете „минимално необходимите доказателства“. За всеки контрол документирайте какво трябва да покажете:
  • Какъв е контролът,
  • Кой е отговорен за него,
  • Как се проверява,
  • Какви доказателства се събират, и
  • Колко често се обновява.
• Използвайте работни потоци и задачи. Проследявайте заявките, крайните срокове и стъпките за преглед, за да не разчитате на паметта при събирането на доказателства.

Един прост навик, който помага: Ако след два месеца доказателството не се намира лесно, то не е съхранено на правилното място.

Проблемът: Различните облачни платформи идват с различни настройки по подразбиране, модели на регистриране и настройки за сигурност. Контролите се отклоняват с течение на времето, когато услугите се актуализират и екипите правят локални промени.

Как да го избегнете: Задайте стандартизирани „политика като код“ и базови конфигурации за състоянието.

Стабилен подход е да стандартизирате очакванията на два слоя: „политика като код“ за последователни правила и базови конфигурации за състоянието за минималното състояние на конфигурацията, което очаквате навсякъде.

• Политики като‑код за възпроизводимост. Определете ключовите изисквания (като криптиране, изисквания за идентичност, регистриране и задържане) във формат, който може да се прилага последователно във всички среди.
• Базови линии на състоянието за яснота. Поддържайте базов набор от настройки за сигурност и следете кога системите се отклоняват от него.
• Непрекъснато наблюдение на състоянието на контрола. Проследявайте дали контролите преминават или не преминават с течение на времето, а не само по време на планирани прегледи.
• Съгласуването на общите контроли все още е важно. Използвайте споделени контроли, когато е възможно, дори когато базовите платформи се различават.

Следете за отклонения: Ако една базова конфигурация е документирана, но не се наблюдава, тя бързо остарява.

Проблемът: Хората приемат нови приложения и нови инструменти с AI по-бързо, отколкото процесите за управление могат да ги прегледат. Това увеличава вероятността чувствителни данни да бъдат споделяни на места, които не са били проверени.

Как да го избегнете: Използвайте одобрени инструменти, етикети, наблюдение и актуализирани шаблони.

Имайте ясни предпазни мерки, които съответстват на начина, по който хората реално работят, особено с разпространението на инструментите с AI.

• Определете одобрените инструменти. Публикувайте кратък списък с разрешени приложения и инструменти с AI, както и начин за заявяване на нови.
• Етикетирайте чувствителните данни. Прилагайте етикети за чувствителност, за да знаят хората какво изисква допълнително внимание и за да могат контролите да действат въз основа на етикета.
• Наблюдавайте рисковете при комуникацията. Добавете наблюдение, насочено към рискови модели на споделяне (например копиране на чувствително съдържание в неодобрени инструменти или изпращането му до неупълномощени местоназначения).
• Приемете шаблони, съобразени с развиващите се регулации (включително за AI). Използвайте шаблони и контролни списъци, които отразяват новите изисквания, когато правилата за AI се променят, и ги актуализирайте периодично, вместо да чакате следващия годишен преглед.

Практично разделение, което запазва темпото, е да:

• Блокирайте високорискови инструменти, за които няма бизнес нужда.
• Разрешавайте инструменти с по-нисък риск само за нечуствителна работа и добавете предпазни мерки за намаляване на риска от изтичане на данни.
• Стандартизирайте върху корпоративни решения за работа с чувствителни данни.

Вече видяхте как работи добра програма за управление на съответствието: задайте ясни политики, определете отговорности, оценете риска, затворете пропуските, наблюдавайте контролите и докладвайте напредъка по начин, който позволява на ръководството да действа. Когато съберете всички тези елементи, ще прекарвате по-малко време в събиране на доказателства и повече време в подобряване на начина, по който се изпълнява работата.

Ако започвате отначало – или затягате съществуваща програма – можете да поддържате нещата управляеми, като:

• Изберете една оценка, която отговаря на непосредствената ви нужда (регулация, стандарт или вътрешно изискване, което вече проследявате).
• Използвайте списъка с действия за подобрение като текущия си списък със задачи, след което определете отговорни лица за внедряването и тестването.
• Преглеждайте редовно резултата и изгледа „нуждае се от внимание“, за да запазите фокуса върху най-важната работа.
• Събирайте доказателства и актуализации на състоянието в движение, за да не се налага одитното отчитане да става в последния момент.

Мениджър на съответствията на Microsoft Purview е предназначен да ви помогне да оценявате и управлявате съответствието в мултиоблачна среда и да поддържате целия процес – от инвентаризиране на рисковете за защита на данните до внедряване на контроли, поддържане на актуалност спрямо регулации и сертификати и отчитане пред одитори.

Получете помощ за организиране на изискванията в оценки, превръщане на пропуските в възложени действия за подобрение, проследяване на напредъка с оценка, базирана на риска, и подпомагане на отчетността към одитори – всичко на едно място.