Pomozte vaší organizaci dodržovat platné zákony, předpisy a interní zásady a dokumentujte důkazní materiály, abyste ukázali, že je splňujete, s využitím správy dodržování předpisů.
Co je správa dodržování předpisů?
Zajistěte, aby vaše organizace dodržovala příslušné zákony, předpisy a interní zásady.
Hlavní poznatky
- Správa dodržování předpisů zajišťuje, že organizace dodržuje externí požadavky i interní pravidla tím, že propojuje odpovědnost, ochranná opatření a doklady.
- Solidní program spoléhá na jasné zásady, opakovatelné pracovní postupy, mapované standardy, jasně definované vlastnictví kontroly a uspořádané důkazy.
- Správa rizik dodržování předpisů znamená identifikaci pravděpodobných mezer, jejich seřazení podle dopadu, opravu nejdůležitějších věcí a sledování toho, jestli kontrolní mechanismy zůstávají v průběhu času efektivní.
- Průběžné monitorování, praktické metriky a strukturovaný zlepšovací cyklus pomáhají týmům vykazovat pokroky, provádět posouzení a auditovat připravenost.
Co je správa dodržování předpisů?
Tady je praktický způsob, jak o tom uvažovat: Správa dodržování předpisů spočívá v tom, jak se organizace dozvídá, co musí dodržovat, jak tyto požadavky začleňuje do procesů, jak kontroluje plnění a jak napravuje nedostatky.
Správa dodržování předpisů propojuje tři věci:
- Zásady správného řízení dat: Pravidla a dohled, které stanovují očekávání (zásady, standardy a kdo zodpovídá).
- Zabezpečení dat: Kontrolní mechanismy a bezpečnostní prvky, které chrání systémy a data při každodenním provozu.
- Ujištění: Sledování, dokumentace a kontroly, které prokazují, že byly splněny požadavky.
Primární cíle
1. Snížení rizika. Správa dodržování předpisů pomáhá snižovat rizika tím, že sleduje funkčnost kontrolních mechanismů a odhaluje změny, které by mohly vést k novým rizikům. To je jeden z důvodů, proč řada organizací přechází z pravidelných kontrol na častější monitorování.
V praxi vypadá snížení rizika takto:
- Sledujete požadavky a kontrolujete jejich stav průběžně, nikoli pouze v době auditu.
- Také včas odhalíte nedostatky a následně zdokumentujete nápravná opatření.
2. Dodržování právních předpisů. Správa dodržování předpisů pomáhá organizacím pochopit jejich povinnosti a udržovat krok s tím, jak se pravidla mění. Standardy, jako jsou například pokyny ISO pro systémy pro správu dodržování předpisů, se zaměřují na vytvoření, údržbu, vyhodnocení a vylepšení systému, který řeší závazky v oblasti dodržování předpisů.
Mezi běžné výstupy patří:
- Zásady a postupy, které zohledňují dané požadavky.
- Důkazy, které slouží jako podklad pro audity, osvědčení nebo interní kontroly.
3. Budování důvěryhodnosti. Důvěra vychází z důslednosti a transparentnosti – zákazníci, partneři i regulační orgány často chtějí mít jistotu, že s daty se nakládá v souladu se zásadami a že jsou zavedena příslušná kontrolní opatření. Je důležité vytvořit vztah důvěryhodnosti týkající se zabezpečení, ochrany osobních údajů, dodržování předpisů a transparentnosti, což je v souladu s tím, co si klade za cíl správa dodržování předpisů.
Mezi signály důvěryhodnosti, které byste měli být schopni prokázat, patří:
- Jasné vymezení vlastnictví a dohledu.
- Dokumentace, kterou lze předložit v případě dotazů.
Proč je to důležité
Obchodní riziko
Pokud je práce v oblasti dodržování předpisů neformální nebo roztříštěná, může se stát, že týmy přehlédnou některé požadavky, budou se zabývat duplicitní činností nebo se budou spoléhat na jednorázové kontroly, které brzy ztratí platnost. Posouzení v určitém časovém okamžiku, jako jsou například roční audity, mohou rychle zastarat, což vede k mezeře až do dalšího přezkumu.
K problémům může dojít v případě, že máte:
- Konfliktní zásady nebo nekonzistentní kontrolní mechanismy napříč týmy.
- Ruční vytváření sestav a proaktivní vyhledávání důkazů, které zpomalují reakci během auditů nebo prověřování.
Právní a regulační rizika
Předpisy často stanovují, jakým způsobem je třeba spravovat, uchovávat a přenášet data, a proto se dodržování předpisů v mnoha organizacích stává tématem na úrovni vedení. Strukturovaný přístup k dodržování předpisů pomáhá týmům držet krok s požadavky a ukázat, jak jsou závazky splněny.
Vystavení riziku můžete snížit pomocí těchto opatření:
- Jasný inventář povinností a mapovaných kontrolních mechanismů.
- Pravidelné monitorování a zdokumentované následné kroky při zjištění problémů.
Ztráta důvěryhodnosti
Důvěryhodnost se snadněji udržuje, když dokážete rychle zodpovědět základní otázky:
- Jaká pravidla platí?
- Jaké kontrolní mechanismy jsou zavedené?
- Jaké důkazy prokazují, že fungují?
Správa dodržování předpisů tuto připravenost podporuje, a to i během prověřování nebo právních kroků, když je možné požádat o data a záznamy.
Základní součásti správy dodržování předpisů
Silný program pro správu dodržování předpisů je založený na jasných očekáváních, opakovatelných způsobech práce, každodenních bezpečnostních opatřeních a lidech a nástrojích, které udržují vše pod kontrolou.
Zásady
Zásady jasně stanovují, co musí organizace dělat a jak má vypadat dodržování předpisů. Převádějí povinnosti na jasná očekávání, podle nichž se lidé mohou řídit.
Mezi běžné oblasti zásad patří:
- Pravidla pro zpracování dat a přístup k nim.
- Požadavky na evidenci, uchovávání a doklady pro účely auditů.
- Postupy pro hlášení a eskalaci v případě problémů.
Procesy
Procesy jsou podrobné postupy, které týmy dodržují, aby mohly důsledně plnit požadavky – kontrolní cykly, schvalování, testování a navazující akce při řešení problémů.
Mezi příklady procesů dodržování předpisů patří:
- Pravidelné kontroly, které potvrzují, že požadavky jsou integrované do obchodních pracovních postupů.
- Průběžné sledování stavu kontrol, nikoli pouze každoroční kontroly.
- Pracovní postupy opravných akcí při nalezení mezer.
Standardy
Standardy a architektury fungují jako referenční sady, podle nichž se měříte. Mohou vycházet z předpisů, oborových norem nebo interních požadavků.
Praktický způsob, jak uspořádat standardy, je považovat je za šablony požadavků, které lze seskupovat a sledovat. Posouzení je například seskupení kontrolních mechanismů podle konkrétního nařízení, standardu nebo zásad.
Kontrolní mechanismy
Kontrolní mechanismy představují konkrétní kontroly a postupy, které dokládají splnění daného požadavku a propojují ho s konfigurací systému, organizačními procesy a přidělenými odpovědnostmi.
Mezi užitečné kategorie kontrolních mechanismů patří:
- Kontrolní mechanismy spravované poskytovatelem služeb, o které se stará poskytovatel cloudových služeb.
- Kontrolní mechanismy spravované organizací, které zajišťují vaše týmy.
- Sdílené Kontrolní mechanismy, kde je odpovědnost rozdělená.
Role a zodpovědnosti
Správa dodržování předpisů funguje nejlépe, když je vlastnictví explicitní. Každý úspěšný program zahrnuje dvě skupiny rolí: dohled ze strany vedení a odpovědnost za každodenní dodržování předpisů.
Dohled ze strany představenstva a vedení
Vedení je odpovědné za stanovení očekávání, přijímání zásad, přidělování pravomocí, zajištění zdrojů pro danou funkci a přijímání pravidelných zpráv o činnostech v oblasti dodržování předpisů a o zjištěných skutečnostech.
Co dohled obvykle zahrnuje:
- Jasná očekávání ohledně dodržování předpisů a schvalování zásad.
- Jmenovaný vlastník (osoba zodpovědná za zajišťování dodržování předpisů nebo výbor) s oprávněním jednat.
- Pravidelné zprávy o auditech, zjištěných problémech a nápravných opatřeních.
Osoba zodpovědná za zajišťování dodržování předpisů
Tato role zodpovídá za zásady a postupy, školení, kontrolu dodržování předpisů, sledování nově vznikajících problémů, řešení stížností, vykazování výsledků a zajištění nápravných opatření.
Jednoduché škálovatelné rozdělení odpovědností by zahrnovalo:
- Provozovatelé kontrolních mechanismů zajišťují dodržování konkrétních kontrolních opatření a předkládají o tom doklady.
- Týmy pro dodržování předpisů nastavují strukturu, provádějí posouzení, sledují nedostatky a zajišťují podporu při auditech.
- Vedení hodnotí pokrok, odstraňuje překážky a schvaluje priority.
Nástroje a systémy
V menším měřítku můžou stačit tabulky, ale většina organizací využívá nástroje, které umožňují shromažďovat požadavky, kontrolní mechanismy, podklady a informace o odpovědnosti na jednom místě – zejména v případě, kdy se jedná o více cloudových prostředí a organizačních jednotek.
Co hledat u softwaru pro správu dodržování předpisů
Mezi praktické funkce, které pomáhají omezit duplikaci a udržovat práci v aktuálním stavu, patří:
- Posouzení, která představují opakovaně použitelné kontrolní seznamy požadavků a kontrolních opatření.
- Mapování kontrolních mechanismů, kdy je jeden kontrolní mechanismus propojen s více standardy, aby se omezila opakovaná práce.
- Monitorování, které nabízí přehled o stavu kontroly v průběhu času.
- Správa důkazů, která má jedno místo pro ukládání podkladů, poznámek a stavu.
- Workflow a zadávání úkolů pro přiřazování, termíny a sledování postupu.
- Bodování, které nabízí zobrazení založené na rizicích a pomáhá zaměřit se na zlepšování.
Vytvoření plánu
Při vytváření správy dodržování předpisů ve vaší organizaci hledejte odpovědi na následující otázky:
- Máme písemné zásady, které odpovídají našim povinnostem?
- Jsou zdokumentované klíčové procesy?
- Jsou kontrolní mechanismy mapované na standardy, aby týmy neopakují stejnou práci?
- Jsme schopni v případě auditu nebo prověřování rychle předložit důkazy?
- Jsou jasně vymezeny odpovědnosti a povinnosti v oblasti reportování?
Porozumění rizikům v oblasti dodržování předpisů a tomu, jak je řídit
Co je riziko v oblasti dodržování předpisů?
Riziko v oblasti dodržování předpisů představuje pravděpodobnost, že vaše organizace nesplní požadavky zákona, nařízení, standardu nebo interních zásad – a v důsledku toho bude čelit následkům. Řízení rizik dodržování předpisů je práce na včasném zjištění těchto rizik, jejich stanovení priorit a sledování, jestli jsou zavedeny správné kontrolní mechanismy a jestli fungují.
Typy rizik v oblasti dodržování předpisů, na která je třeba se připravit
Různá rizika se můžou rychle hromadit, zejména když se mění požadavky nebo se data přesouvají mezi různými prostředími. Mezi běžné kategorie rizik patří:
- Právní: Riziko soudního řízení nebo vymáhání v případě nesplnění požadavků.
- Finanční: Náklady spojené s pokutami, sankcemi a následnými opatřeními nezbytnými k řešení situace.
- Reputační: Ztráta důvěry zákazníků a negativní publicita, když se problémy stanou viditelnými.
- Únik dat: V případě, že nejsou dodržovány nezbytné bezpečnostní postupy nebo jsou tyto postupy nekonzistentní, roste riziko úniku citlivých údajů.
Jak vyhodnotit rizika dodržování předpisů
Solidní proces posouzení je strukturovaný, opakovatelný a je aktualizován ve spolupráci s těmi, kteří jsou s danou prací v nejtěsnějším kontaktu. Tady je postup, jak k tomu přistupovat:
1. Používejte strukturovaný proces posuzování rizik. Zaveďte jasný postup pro měření a stanovování priorit rizik souvisejících s dodržováním předpisů, místo abyste se spoléhali na ad hoc posuzování.
2. Pracujte se správnými účastníky. Definujte vlastníky rizik a spolupracujte s odborníky na danou problematiku, kteří rozumí úrovním závažnosti. Spojte se s relevantními vedoucími pracovníky a zvažte externí zdroje rizika.
3. Odhadněte dopad a pravděpodobnost. Vypočítejte dopad rizika a jeho pravděpodobnost, abyste určili inherentní riziko.
4. Zohledněte své kontrolní prostředí. Zvažte, jak stávající kontrolní mechanismy ovlivňují celkovou situaci, abyste mohli určit a ohodnotit zbytkové riziko.
5. Na základě výsledků rozhodněte o dalším postupu. Aktualizujte posouzení pomocí vedení, abyste se mohli soustředit na oblasti s vyšším rizikem a určovat priority vylepšení zásad, postupů a kontrolních mechanismů.
6. Opakujte posouzení pravidelně podle plánu – ne jen jednou. Pravidelná posouzení hodnocení a audity pomáhají odhalovat nedostatky a ověřit dodržování požadavků.
Jak měřit a sledovat riziko v oblasti dodržování předpisů v průběhu času
Nemůžete řídit to, co nevidíte. Měření nemusí být složité – začněte s malým množstvím signálů, které vám pomůžou odhalit trendy a zaměřit se na to podstatné.
Metriky, které zajišťují transparentnost programu
Zvolte míry, které vedou k konkrétním krokům a ukazují, zda se riziko snižuje, například:
- Problémy seřazené podle závažnosti, takže nejzávažnější nedostatky se zobrazí nahoře.
- Čas na nápravu nebo jak rychle se mezery opraví.
- Závěry auditu a odchylky od zásad ukazují, co se opakovaně vyskytuje a proč.
- Absolvování školení, což je základní indikátor toho, že lidé dostali příslušné pokyny.
- Klíčové ukazatele výkonu (KPI), které popisují váš rizikový profil, což jsou konzistentní metriky pro vykazování a přehledy.
Bodování a přehledy o pokroku
Některé nástroje pro dodržování předpisů sledují pokrok pomocí skóre založeného na rizicích, které je navázané na dokončování zlepšovacích akcí a upozorňuje na to, co vyžaduje další pozornost.
- Skóre dodržování předpisů na základě rizik umožňuje měřit pokrok tím, že sleduje plnění nápravných opatření a pomáhá zaměřit se na další kroky, které je třeba podniknout.
- Skóre mohou odrážet relativní dopad opatření v závislosti na tom, jak jsou klasifikována (například preventivní, detekční nebo nápravná).
Rychlé kontrolní otázky týkající se rizik pro použití při hodnocení
- Máme aktuální přehled o tom, která rizika jsou nejzávažnější a kdo za ně nese odpovědnost?
- Hodnotíme rizika podle dopadu a pravděpodobnosti a následně aktualizujeme hodnocení na základě účinnosti kontrolních opatření?
Sledujeme malou sadu metrik (závažnost, doba nápravy, výjimky) a jednáme podle toho, co ukazují?
Správa dodržování předpisů zabezpečení
Správa dodržování předpisů se nachází na pomezí bezpečnostních opatření a povinností vyplývajících z předpisů. V praxi to znamená chránit data a systémy způsobem, který splňuje předpisy, za jejichž dodržování nesete odpovědnost, a následně to doložit pomocí referenčních hodnot, monitorování a záznamů.
Kde se zabezpečení setkává s dodržováním předpisů
Většina předpisů a standardů obsahuje požadavky na zabezpečení. Běžné požadavky často pokrývají:
- Zpracování dat: Jasná pravidla pro shromažďování a zpracování citlivých údajů.
- Zabezpečené úložiště a přístup: Šifrování a řízený přístup za účelem omezení neoprávněného přístupu.
- Vytváření sestav a auditování: Pravidelné kontroly, podpora auditu a oznámení o porušení zabezpečení, pokud je to potřeba.
Klíčové architektury a předpisy
Možná budete muset namapovat kontrolní mechanismy na více architektur najednou.
Mezi tři běžné standardy patří:
- Obecné nařízení o ochraně osobních údajů (GDPR):Právní rámec EU zaměřený na ochranu soukromí a osobních údajů. Dodržování tohoto nařízení znamená řídit se požadavky GDPR a podporovat přísnější kontrolu nad osobními údaji.
- Zákon o odpovědnosti za přenos údajů o zdravotním pojištění (HIPAA): Jedná se o americké zákony a předpisy v oblasti zdravotnictví, které stanovují požadavky na používání, sdělování a ochranu chráněných zdravotních údajů (PHI), včetně bezpečnostních opatření pro elektronické PHI.
- Payment Card Industry Security Standards (PCI DSS): Globální standard informační bezpečnosti určený pro organizace, které ukládají, zpracovávají nebo přenášejí údaje o držiteli karty, jehož cílem je omezit podvody prostřednictvím přísnější kontroly údajů o kreditních kartách.
Osvědčené postupy pro dodržování předpisů zabezpečení
1. Začněte se základní úrovní zabezpečení. Pro klíčové systémy používejte definovanou základní úroveň, aby týmy věděly, co vaše organizace považuje za dobré nastavení. Sledujte nastavení, která se odchylují od předepsaných hodnot, a odstraňujte nedostatky.
2. Zaveďte silné řízení přístupu a šifrování. Používejte řízený přístup a šifrování, abyste omezili neoprávněné zpřístupnění citlivých údajů
3. Provádějte pravidelná posouzení a audity. Provádějte pravidelné audity a posouzení s cílem odhalit nedostatky a ověřit, že kontrolní mechanismy stále odpovídají požadavkům.
4. Školte lidi v oblasti nakládání s daty. Dodržování předpisů v oblasti zabezpečení závisí na každodenních rozhodnutích, proto jsou školení a jasné pokyny tak důležité.
5. Udržujte dokumentaci připravenou pro revize. Udržujte záznamy, které slouží jako podklad pro audity a kontroly dodržování předpisů, abyste mohli v případě potřeby rychle reagovat.
6. Používejte monitorování a pracovní postup, abyste zůstali v obraze. Používejte nástroje a procesy, které podporují průběžné monitorování, sledování a opravné akce, a nespoléhejte se pouze na kontroly k určitému bodu v čase.
Implementace programu pro správu dodržování předpisů
Praktický program pro správu dodržování předpisů je založený na opakovatelném cyklu. Mnoho týmů využívá pětistupňový postup, který zajišťuje přehlednost práce a usnadňuje prezentaci pokroku při revizích a auditech.
1. Posouzení. Začněte strukturovaným posouzením, které určí, co se na vás vztahuje a co již máte zavedeno. Dobrý proces posouzení zahrnuje jasnou metodu, vstup od správných účastníků a způsob, jak odhadnout dopad a pravděpodobnost.
V tomto kroku nezapomeňte na následující:
- Používejte strukturovaný proces posuzování insiderských rizik místo ad hoc rozhodování.
- Definujte vlastníky rizik a spolupracujte s odborníky na danou problematiku, kteří rozumí úrovním závažnosti.
- Odhadněte dopad a pravděpodobnost, abyste pochopili podstatu rizika.
2. Analýza mezer. Dále porovnejte požadavky s aktuálními kontrolními mechanismy a dokumentací a identifikujte mezery. V rámci přípravy na audit se tento proces často označuje jako analýza mezer v kontrolních mechanismech s doporučeními podle priority.
Mezi věci, které můžete vytvořit z analýzy mezer, patří:
- Seznam mezer vázaných na konkrétní kontrolní mechanismy nebo požadavky.
- Prioritizovaná doporučení pro řešení těchto mezer.
3. Náprava. Přeměňte mezery na plány akcí. Nápravná opatření se často řídí pomocí plánů akcí a sledování, s hlášením stavu, aby týmy viděly, co postupuje a co se zaseklo.
Spravujte nápravu pomocí těchto činností:
- Vytváření plánů nápravných akcí pro zjištění.
- Sledování a vykazování stavu plánu akcí.
- Používání pracovního postupu a úkolů, takže vlastníci a termíny splnění jsou jasné.
4. Monitorování. Jakmile jsou opravy k dispozici, monitorujte, abyste potvrdili, že kontrolní mechanismy zůstávají konzistentní. Monitorování se často zaměřuje na dvě věci: jestli kontrolní mechanismy fungují a jestli se nastavení odchyluje od základní úrovně.
V praxi:
- Monitorujte efektivitu zmírnění rizik a proveďte akci, když se objeví problémy.
- Monitorujte stav řízení a stav v průběhu času, a to nejen během ročních kontrol.
- Pomocí monitorování standardních hodnot můžete zjistit odchylku konfigurace od škodlivých hodnot.
Komplexní platforma pro kybernetickou bezpečnost, jako je například řešení správy akcí a informací o zabezpečení (SIEM), může organizacím pomoct při monitorování a ochraně před hrozbami.
5. Soustavné vylepšování. Programy dodržování předpisů zůstávají užitečné, pokud jsou průběžně aktualizovány a vylepšovány na základě zjištění z monitorování a auditů. To zahrnuje aktualizaci posouzení rizik v oblasti kyberbezpečnosti na základě podnětů vedení, stanovení priorit pro zavádění zlepšení a úpravy programů v případě změny požadavků.
Mezi způsoby, jak se neustále zlepšovat, aniž by se zvyšovala zátěž, patří:
- Aktualizace posouzení rizik ve spolupráci s vedením s cílem identifikovat oblasti s vysokým rizikem a stanovit priority pro zlepšení politik, postupů a kontrolních mechanismů.
- Zohlednění poznatků o změnách v předpisech za účelem úpravy programu.
- Používání společného mapování kontrolních mechanismů a opakovaně použitelných posouzení ke snížení duplicit, jak se požadavky rozšiřují.
Stanovení priorit práce na základě rizika a závažnosti
Jednoduchým způsobem, jak stanovit priority, je zaměřit se nejprve na to, co představuje největší riziko a co má nejvyšší závažnost. Cílem je soustředit úsilí tam, kde to nejvíce sníží riziko.
Začněte s dopadem a pravděpodobností
- Vypočítejte dopad a pravděpodobnost, abyste určili inherentní riziko, a poté zohledněte kontrolní prostředí a ohodnoťte zbytkové riziko – tedy riziko, které přetrvává.
- Prioritizujte prostředky pro zmírnění rizik pro oblasti s vyšším rizikem, a ne pro oblasti s nižším rizikem.
Pomocí několika signálů můžete úkoly řadit a sledovat
Vyberte míry, které ukazují, co je nejnaléhavější a jestli se věci zlepšují, například:
- Problémy seřazené podle závažnosti, takže nejzávažnější nedostatky se zobrazí nahoře.
- Čas na nápravu, abyste viděli jak rychle se mezery opravují.
- Zjištění z auditu a výjimky ze zásad za účelem odhalení opakujících se problémů.
- Absolvování školení jako základní ukazatel toho, že se pokyny dostaly k lidem.
Používejte bodování na základě rizika, když je k dispozici.
Některé nástroje pro dodržování předpisů sledují pokrok pomocí skóre založeného na rizicích, které je navázané na dokončování zlepšovacích akcí a upozorňuje na to, co vyžaduje další pozornost. V některých systémech dodržování předpisů je možné akce klasifikovat (například jako preventivní, detekční nebo nápravné) a tato klasifikace může ovlivnit, jak se bude postup vyhodnocovat.
Automatizace a nepřetržité dodržování předpisů
Automatizace a nepřetržité dodržování předpisů pomáhají týmům udržovat požadavky, kontrolní mechanismy a důkazní materiály aktuální s tím, jak se prostředí mění. Tento přístup nepovažuje dodržování předpisů za jednorázovou záležitost, ale za soustavný proud drobných kontrol a aktualizací, které se snáze spravují a ověřují.
Faktory
Několik faktorů způsobuje, že automatizace je dnes praktičtější – a nezbytnější – než dříve:
- Růst v oblasti multicloudových řešení a SaaS: Data a úlohy se přesouvají mezi stále větším počtem služeb a dodavatelů, což zvyšuje počet míst, kde je třeba zavádět a sledovat kontrolní mechanismy.
- Rychle se měnící předpisy: Požadavky se vyvíjejí a to, co bylo loni dostačující, může být letos již zastaralé, zejména pokud jde o očekávání v oblasti ochrany soukromí a zabezpečení.
- Rozptýlené vlastnictví: Odpovědné osoby často působí v různých týmech (zabezpečení cloudu, IT, vývoj, právní oddělení, personální oddělení), a proto je koordinace a důsledné shromažďování podkladů o to důležitější.
Hledejte následující schopnosti
Pokud se zabýváte automatizací a trvalým dodržováním předpisů, zaměřte se na funkce, které snižují manuální zátěž, aniž by došlo ke snížení odpovědnosti.
Začněte se standardizovanými posouzeními, které využívají opakovaně použitelné kontrolní sady. To podporuje konzistenci mezi týmy a usnadňuje porovnávání výsledků v průběhu času.
- Standardizovaná posouzení: V každém cyklu používejte stejnou strukturu posouzení, aby bylo snadné rozpoznat pokrok (i případnou regresi).
- Opakovaně použitelné sady kontrolních mechanismů: Místo toho, abyste pro každý nový požadavek psali kontrolní logiku od začátku, využijte základní sadu kontrolních mechanismů.
Mapování běžných kontrolních mechanismů
Společné mapování kontrolních mechanismů snižuje duplicity napříč architekturami propojením jednoho kontrolního mechanismu s více požadavky.
Takto to vypadá v praxi:
- Jeden postup řízení přístupu (například omezený přístup k citlivým datům) může splňovat požadavky více standardů.
- Důkazy shromážděné pro tuto kontrolu lze znovu použít při podávání zpráv v rámci různých architektur, místo aby bylo nutné stejný důkaz vytvářet na více místech.
- Aktualizace kontrolního mechanismu (nebo jeho dokumentace) se promítnou do všech architektur, které na něm závisí.
Průběžné monitorování
Průběžné monitorování se zaměřuje na stav kontrolních mechanismů a míru dodržování předpisů – zda jsou kontrolní mechanismy zavedeny, zda stále fungují podle očekávání a zda nedošlo k nějaké změně, která by vyžadovala další kroky.
Tady jsou běžné monitorovací signály, které týmy sledují:
- Stav kontroly: Může jít například o stav úspěšné, neúspěšné nebo dosud nevyhodnocené.
- Indikátory změn: Změny konfigurace, aktualizace zásad nebo nové systémy mohou vést k zavedení nových kontrol.
- Vzorce výjimek: Opakované výjimky mohou ukazovat na kontrolní mechanismy, které vyžadují přepracování nebo silnější vlastnictví.
Centralizovaná správa důkazů
Pokud to předem neplánujete, důkazy se často rozptýlí po různých e-mailových schránkách, sdílených jednotkách a vláknech v systému pro správu lístků. Centralizovaná správa důkazů uchovává artefakty na jednom místě a propojuje je se správným kontrolním mechanismem, vlastníkem a cyklem kontroly.
Na pracovních postupech a úkolech záleží, protože mění věci, které by se měly opravit, na sledovatelnou práci:
- Pracovní postup: Konzistentní cesta pro revize, schválení a potvrzení.
- Zadávání úkolů: Jasné přiřazení, termíny splatnosti a sledování postupu navázané na kontrolu nebo posouzení.
- Připravenost důkazů: Rychlý způsob, jak odpovědět na otázku „Jaký důkaz máme k dispozici?“ a „Je aktuální?“
Bodování nebo modely vyspělosti založené na rizicích
Bodování podle rizik a modely vyspělosti pomáhají týmům rozhodnout, co opravit jako první. Cílem není řešit všechny drobné mezery najednou, ale zaměřit se na nápravu těch problémů, které představují největší riziko.
To pomáhá prioritizovat nápravu pomocí faktorů:
- Řazení práce podle dopadu: Umístěte mezery s nejvyšším rizikem na začátek fronty.
- Sledování zlepšení v čase: Skóre nebo úroveň vyspělosti poskytuje jasný přehled o stavu před a po dokončení nápravných opatření.
- Podpora konzistentních rozhodnutí: Pokud týmy používají stejný bodovací systém nebo model vyspělosti, je stanovování priorit méně subjektivní a snáze vysvětlitelné.
Jakmile začnete s automatizací posouzení, monitorování a shromažďování podkladů, dalším krokem je rozhodnout se, co budete sledovat a jak budete informovat o pokroku – aby vedoucí pracovníci mohli sledovat trendy v oblasti rizik, stanovovat priority nápravných opatření a prezentovat výsledky v čase.
Měření a vykazování správy dodržování předpisů
Díky měření a podávání zpráv se každodenní práce související s dodržováním předpisů promění v přehledný obraz o pokroku, nedostatcích a prioritách – týmy se tak můžou soustředit na to podstatné a s jistotou informovat o aktuálním stavu.
Klíčové ukazatele výkonu programu
Pomocí klíčových ukazatelů výkonu (KPI) programu sledujte, jak se daří zavádět, přijímat a ověřovat vaše kontrolní mechanismy – a kde se stále objevují problémy.
Kontrola pokrytí a pokroku
- Procento navržených kontrolních mechanismů, tedy kolik požadavků má definovaný kontrolní mechanismus.
- Procento implementovaných kontrolních mechanismů, tedy kolik kontrolních mechanismů je zavedených a funkčních.
- Procento otestovaných kontrolních mechanismů, tedy kolik kontrolních mechanismů bylo ověřeno testováním.
Sledování problémů
- Problémy podle závažnosti zobrazují nejzávažnější nedostatky na prvních místech.
- Doba potřebná k nápravě ukazuje, jak rychle se mezery po zjištění vyřeší.
- Zjištění auditu zvýrazňují opakovaná problémová místa.
- Výjimky ze zásad ukazují, v jakých případech týmy postupují odlišně od standardních požadavků.
Lidé a procesní signály
- Absolvování školení potvrzuje, že požadované pokyny se dostaly ke správné cílové skupině.
Rychlý způsob, jak zajistit, aby klíčové ukazatele výkonu zůstaly použitelné
- Sledujte konzistentně několik klíčových ukazatelů výkonu (KPI) a pravidelně je vyhodnocujte, abyste měli přehled o trendech, a ne jen o momentálních stavech.
- Ke klíčovým ukazatelům výkonu (KPI) přiřaďte základní mezní hodnoty (například kolik případů s vysokou závažností se považuje za „příliš mnoho“), aby týmy věděly, kdy je třeba záležitost eskalovat.
Indikátory výsledků
Indikátory výsledků propojují práci s výsledky. Pomáhají odpovědět na otázku: „Snižuje náš program dodržování předpisů rizika a zlepšuje připravenost?“
Výsledky v oblasti rizik a připravenosti
- Snížená míra rizika, která se projevuje menším počtem závažných problémů a menším počtem opakovaných zjištění v průběhu času.
- Včasná potvrzení ukazují, že organizace dokáže splnit formální termíny pro vykazování.
Výsledky v oblasti efektivity
- Úspora času při auditech je patrná zejména tehdy, jsou-li podklady přehledně uspořádány a snadno dohledatelné.
Výsledky v oblasti trendů
- Trendové křivky skóre rizika a vyspělosti ukazují, jestli se celková situace v průběhu času zlepšuje.
Viditelnost pro vedení
- Řídicí panely pro vedení shrnují pokroky, zvýrazňují hlavní mezery a ukazují, kde se soustředí nápravné práce.
Běžné problémy a jak se jim vyhnout
I dobře fungující programy se mohou zaseknout, když se požadavky množí, systémy se rozšiřují do různých prostředí a odpovědnost za ně se stává nejasnou. Opatření se obvykle soustředí na omezení duplicitní práce, zpřísnění postupů při shromažďování důkazů a stanovení jasných pravidel pro používání nových nástrojů.
Rozrůstání architektur a duplicitní úsilí
Problém: Týmy sledují stejný požadavek na více místech, přepisují podobné kontrolní postupy pro různé předpisy a tráví čas slaďováním překrývajících se kontrolních seznamů.
Jak se tomu vyhnout: Používejte společné mapování kontrolních mechanismů napříč předpisy.
Praktický přístup spočívá v tom, že jeden kontrolní mechanismus namapujete na více architektur, takže při přidání nového standardu nemusíte stejnou práci opakovat.
- Vytvořte sdílenou knihovnu kontrolních mechanismů. Udržujte základní sadu kontrolních mechanismů, které se vyskytují v mnoha požadavcích (řízení přístupu, protokolování, šifrování, uchovávání dat, reakce na incidenty).
- Namapujte jednou, používejte opětovně. Propojte každý kontrolní mechanismus s každým předpisem nebo standardem, který ji vyžaduje, a pak na toto mapování odkazujte během revizí a auditů.
- Aktualizujte kontrolní mechanismus, ne každý kontrolní seznam. Když dojde ke změně kontrolního mechanismu, nechte tuto jedinou aktualizaci promítnout do všech namapovaných požadavků, místo abyste upravovali více kopií.
Rychlá kontrola: Pokud dva týmy používají oddělené „stejné“ kontrolní mechanismy s odlišným zněním, platíte za to cenu v podobě zdvojení práce.
Chaos v důkazech
Problém: Důkazy jsou rozptýleny v různých chatech, e-mailových konverzacích, komentářích k lístkům a na sdílených jednotkách. Jakmile dorazí žádost o audit, všichni se honem snaží najít podklady a znovu vytvořit kontext.
Jak se tomu vyhnout: Centralizujte artefakty a přiřaďte vlastníky kontrol.
Centralizace důkazů funguje nejlépe tehdy, když má každý kontrolní prvek určeného jmenovaného vlastníka, který ví, jak vypadají „kvalitní důkazy“ a kde se nachází.
- Jedno místo pro důkazy. Ukládejte artefakty, poznámky a aktualizace stavu na jednom místě navázaném na daný kontrolní mechanismus. (Mnoho nástrojů podporuje připojování důkazů a sledování stavu v rámci zlepšovacích opatření.)
- Jasné vlastnictví. Přiřaďte vlastníka kontrolního mechanismu, který zodpovídá za aktuálnost artefaktů a za reakci na požadavky na důkazy.
- Definujte „minimálně postačující důkaz“. Pro každý kontrolní mechanismus zdokumentujte, co potřebujete doložit:
- O jaký kontrolní mechanismus se jedná.
- Kdo ho vlastní.
- Jak se kontroluje.
- Jaký důkaz se shromažďuje.
- Jak často se aktualizuje.
- Používejte pracovní postup a úkoly. Sledujte žádosti, termíny a fáze posuzování, aby shromažďování důkazů nebylo závislé na paměti.
Jednoduchý návyk, který pomáhá: Pokud se daný doklad nedá po dvou měsících snadno najít, není uložen na správném místě.
Složitost multicloudového prostředí
Problém: Různé cloudové platformy mají různá výchozí nastavení, vzory protokolování a nastavení zabezpečení. Kontrolní mechanismy se v průběhu času mění, jak se aktualizují služby a týmy provádějí místní úpravy.
Jak se tomu vyhnout: Nastavte standardizované zásady typu „zásady jako kód“ a standardní hodnoty stavu zabezpečení.
Osvědčeným přístupem je sjednocení očekávání na dvou úrovních: „Policy-as-code“ pro zajištění jednotných pravidel a referenční stavy zabezpečení pro minimální stav konfigurace, který by měl být všude dodržován.
- Zásady jakokód pro opakovatelnost. Definujte klíčové požadavky, jako je šifrování, požadavky na identitu, protokolování a uchovávání, ve formě, kterou lze konzistentně používat napříč prostředími.
- Základní úrovně stavu pro přehlednost. Udržujte základní sadu nastavení zabezpečení a sledujte, kdy se systémy od této základní úrovně odchylují.
- Průběžné monitorování stavu kontrolních mechanismů. Sledujte, jestli kontrolní mechanismy v průběhu času fungují úspěšně, nebo selhávají, a to nejen při plánovaných kontrolách.
- Společné mapování kontrolních mechanismů je stále důležité. Pokud je to možné, používejte sdílené kontrolní mechanismy, i když se základní platformy liší.
Dávejte pozor na odchylky: Pokud je standardní hodnota zaznamenaná, ale nesleduje se, rychle ztratí aktuálnost.
Stínové IT a používání AI
Problém: Lidé si osvojují nové aplikace – a nové nástroje AI – rychleji, než je stihnou prověřit procesy řízení. To zvyšuje pravděpodobnost, že se citlivá data budou sdílet na místech, která nebyla prověřena.
Jak se tomu vyhnout: Používejte schválené nástroje, popisky, monitorování a aktualizované šablony.
Mějte jasná ochranná opatření, která odpovídají tomu, jak lidé skutečně pracují – zejména s ohledem na rostoucí rozšíření nástrojů AI.
- Definujte schválené nástroje. Zveřejněte krátký seznam schválených aplikací a nástrojů AI a postup pro podávání žádostí o nové.
- Označujte citlivá data popisky. Používejte popisky citlivosti, aby uživatelé věděli, co vyžaduje zvýšenou opatrnost, a aby kontrolní mechanismy mohly na základě těchto popisků reagovat.
- Monitorujte komunikační rizika. Přidejte monitorování zaměřené na rizikové vzory sdílení (například kopírování citlivého obsahu do neschválených nástrojů nebo jeho odeslání do neautorizovaných cílů).
- Osvojte si šablony, které odpovídají vyvíjejícím se předpisům (včetně AI). Používejte šablony a kontrolní seznamy, které zohledňují nové požadavky v souvislosti se změnami pravidel v oblasti AI, a pravidelně je aktualizujte, místo abyste čekali na příští roční revizi.
Praktické rozdělení, které zachovává dynamiku:
- Blokujte vysoce rizikové nástroje, pro které není obchodní potřeba.
- Povolte jen nástroje s nižším rizikem pro necitlivou práci a přidejte ochranná opatření, která sníží riziko úniku dat.
- Standardizujte možnosti práce zahrnující citlivá data na podnikové úrovni.
Příklady správy dodržování předpisů z praxe
Tyto scénáře ukazují, jak může správa dodržování předpisů snížit rizika a zlepšit připravenost, aniž by došlo ke zpomalení každodenního chodu na jedné americké univerzitě.
Aplikace pro telemedicínu od třetí strany představuje riziko porušení zákona HIPAA
Scénář: Zdravotní středisko na akademické půdě zavede platformu pro telemedicínu od jiného poskytovatele, aniž by nejprve ověřilo, zda je v souladu s předpisy HIPAA. To otevírá cestu k neoprávněnému přístupu ke zdravotním záznamům studentů.
Co se změnilo: Tým provádí strukturovanou kontrolu ještě předtím, než platforma získá přístup ke zdravotním záznamům, a to s využitím centralizovaných zásad a kontrol dodržování předpisů v multicloudovém prostředí.
Hlavní poznatky
- Proč je to důležité: Nástroje dodavatelů mohou rychle představovat riziko z hlediska dodržování předpisů, pokud přicházejí do styku s chráněnými zdravotními údaji.
- Akce k provedení:
- Před připojením nových služeb třetích stran k citlivým záznamům přidejte požadovanou kontrolu dodržování předpisů.
- Použijte centrálně definované vynucované zásady, aby se zablokoval přístup, dokud nebudou splněny požadavky.
- Co hledat:
- Jedno místo, kde můžete sledovat požadavky na dodržování předpisů a jejich stav napříč službami.
- Jasná kritéria typu „splňuje/nesplňuje“ spojená s přístupem k citlivým systémům.
Zpráva o finanční pomoci byla odeslána nesprávné interní skupině
Scénář: Pracovník oddělení finanční podpory omylem zašle e-mailem zprávu obsahující údaje o studentských půjčkách a stipendiích internímu oddělení, které ji nemělo obdržet, což vyvolá prověřování.
Co se změnilo: Automatizované zásady rozpoznají, kdy dochází ke sdílení citlivých údajů o finanční pomoci s neoprávněnými příjemci, a můžou aktivovat upozornění nebo omezit přístup, aby zabránily dalšímu sdílení v rozporu s předpisy.
Hlavní poznatky
- Proč je to důležité: Mnoho incidentů porušení předpisů je způsobeno pouhými omyly; jejich včasné odhalení omezuje rozsah dopadů a usnadňuje následná opatření.
- Akce k provedení:
- Definujte, co se považuje za citlivé údaje o finanční pomoci a jakým způsobem je lze sdílet.
- Nastavte zásady tak, aby se zprávy označovaly nebo omezovaly v případě, že příjemci neodpovídají schváleným skupinám.
- Pomocí upozornění můžete incidenty směrovat k příslušným pracovníkům, kteří je prověří a přijmou nápravná opatření.
- Co hledat:
- Zásady, které odhalí vzorce neoprávněného zveřejnění (ne jen klíčová slova).
- Jasný záznam pro audit toho, co se sdílelo, s kým a co se stalo potom.
Začněte používat Správce dodržování předpisů Microsoft Purview
Viděli jste, jak funguje účinný program řízení dodržování předpisů: stanovte jasné zásady, určete odpovědné osoby, vyhodnoťte rizika, odstraňte nedostatky, sledujte kontrolní mechanismy a podávejte zprávy o pokroku tak, aby na jejich základě mohli vedoucí pracovníci přijímat opatření. Když tyto části spojíte dohromady, strávíte méně času dohledáváním důkazů a více času zlepšováním toho, jak se práce vykonává.
Ať už začínáte od nuly, nebo vylepšujete stávající program, můžete si vše usnadnit tím, když budete dodržovat následující:
- Zvolte jedno posouzení, které odpovídá vaší krátkodobé potřebě (předpisu, standardu nebo internímu požadavku, který už sledujete).
- Použijte seznam akcí ke zlepšení jako svůj pracovní backlog a potom přiřaďte odpovědné osoby pro implementaci a testování.
- Pravidelně kontrolujte skóre a stav „vyžaduje pozornost“, abyste se mohli soustředit na práci s nejvyšším dopadem.
- Zaznamenávejte důkazy a aktualizace stavu průběžně, aby se vypracování auditní zprávy nestalo chaotickou záležitostí na poslední chvíli.
Správce dodržování předpisů Microsoft Purview je navržen tak, aby vám pomohl posuzovat a spravovat dodržování předpisů v multicloudovém prostředí a podporoval vás v celém tomto procesu – od mapování rizik v oblasti ochrany dat až po zavádění kontrolních opatření, sledování aktuálního stavu předpisů a certifikací a podávání zpráv auditorům.
Získejte pomoc s uspořádáním požadavků do posouzení, proměňte nedostatky v konkrétní opatření ke zlepšení, sledujte pokrok pomocí skóre založeného na rizicích a zajistěte podporu při podávání zpráv auditorům – to vše na jednom místě.
ZDROJE INFORMACÍ
Další informace o zabezpečení od Microsoftu
Časté otázky
Časté otázky
- Správa dodržování předpisů představuje soustavnou činnost spočívající v dodržování platných zákonů, předpisů a interních zásad a ve vedení dokladů, které prokazují, že jsou tyto požadavky plněny.
- Běžným způsobem rozdělení požadavků na dodržování předpisů je jejich členění na: regulační (zákony a předpisy), oborové (normy a certifikace) a interní (firemní zásady a smluvní závazky).
- Nástroj pro správu dodržování předpisů je software, který organizuje požadavky, kontrolní mechanismy, úkoly a důkazy, aby týmy mohly sledovat průběh, přiřazovat práci a podporovat audity.
- Potřebujete jasné zásady, definované role a odpovědné osoby, zdokumentované kontrolní mechanismy a procesy, pravidelné posouzení, nápravu zjištěných nedostatků a záznamy, které slouží jako podklad pro audity a výkaznictví.
- Šablona systému pro správu dodržování předpisů (CMS) je opakovaně použitelná struktura, která slouží ke sledování povinností, mapování kontrolních mechanismů, přiřazování odpovědných osob, ukládání podkladů a vykazování stavu napříč standardy.
- Kontrolní seznam pro dodržování předpisů je seznam požadovaných akcí nebo kontrolních mechanismů, které slouží k potvrzení, že splňujete zákon, nařízení, standard nebo interní zásady – často se používá při posouzeních a auditech.
- Mezi klíčové prvky patří zásady správného řízení a dohled, zásady a postupy, kontrolní mechanismy, monitorování a testování, správa důkazů, náprava a průběžné vykazování a vylepšování.
Sledujte zabezpečení od Microsoftu