Aidake oma organisatsioonil vastavushalduse abil järgida kohaldatavaid seadusi, eeskirju ja sise-eeskirju – ning dokumenteerida tõendeid selle kohta, et täidate neid.
Mis on vastavushaldus?
Tagage, et teie organisatsioon järgiks kohaldatavaid seadusi, eeskirju ja sise-eeskirju.
Põhipunktid
- Vastavushaldus aitab hoida organisatsiooni kooskõlas väliste nõuete ja sisereeglitega, sidudes omavahel vastutuse, kaitsemeetmed ja tõendid.
- Tõhus programm tugineb selgetele eeskirjadele, korduvatele töövoogudele, vastendatud standarditele, hästi määratletud kontrolliomandile ja organiseeritud tõenditele.
- Vastavusriski haldamine tähendab tõenäoliste lünkade tuvastamist, nende järjestamist mõju järgi, kõige olulisema kõrvaldamist ja selle jälgimist, kas kontrollid on aja jooksul jätkuvalt tõhusad.
- Pidev jälgimine, praktiline mõõdustik ja struktureeritud parendustsükkel aitavad meeskondadel teatada edenemisest, teha hindamisi ja auditeerida valmidust.
Mis on vastavushaldus?
Praktiliselt saab sellest mõelda nii: vastavushaldus on viis, kuidas organisatsioon saab teada, mida ta peab järgima, integreerib selle protsessidesse, kontrollib tulemuslikkust ja kõrvaldab lüngad.
Vastavushaldus ühendab kolme asja:
- Andmekorraldus: reeglid ja järelevalve, mis seavad ootused (eeskirjad, standardid ja vastutajad).
- Andmeturve: kontrollid ja kaitsemeetmed, mis kaitsevad süsteeme ja andmeid igapäevases töös.
- Vastavuse tõendamine: jälgimine, dokumentatsioon ja ülevaated, mis näitavad nõuete täitmist.
Peamised eesmärgid
1. Riskide vähendamine. Vastavushaldus aitab riske vähendada, jälgides, kas kontrollid toimivad, ja märgates muudatusi, mis võivad luua uue riskile avatuse. See on üks põhjus, miks paljud organisatsioonid lähevad perioodilistelt ülevaatustelt üle sagedasemale jälgimisele.
Riskide vähendamine näeb praktikas välja järgmine:
- Te jälgite nõudeid ja kontrolli olekut aja jooksul, mitte ainult auditi ajal.
- Samuti tuvastate lüngad varakult ja dokumenteerite seejärel korrigeerivad toimingud.
2. Õigusteabe järgimine. Vastavushaldus aitab organisatsioonidel mõista oma kohustusi ja sammu pidada reeglite muutumisega. Standardid, näiteks ISO juhendus vastavushaldussüsteemide kohta, on keskendunud süvenemisele sellise süsteemi loomisel, säilitamisel, hindamisel ja täiustamisel, mis käsitleb vastavuskohustusi.
Tavaliste tulemite hulka kuuluvad:
- Nõudeid kajastavad eeskirjad ja protseduurid.
- Tõendid, mis toetavad auditeid, atesteerimisi või siseülevaatusi.
3. Usalduse loomine. Usaldus tuleneb järjepidevusest ja läbipaistvusest – kliendid, partnerid ja reguleerivad asutused tahavad sageli teada, et andmeid töödeldakse vastavalt eeskirjadele ja et kontrollid on kehtestatud. Usaldust on oluline seostada turbe, privaatsuse, vastavuse ja läbipaistvusega, mis ühtib sellega, mida vastavushaldus püüab toetada.
Usaldussignaalid, mida peaksite saama näidata, on järgmised:
- Selge vastutus ja järelevalve.
- Dokumentatsioon, mida saab küsimuste tekkimisel esitada.
Miks see on oluline
Äririsk
Kui vastavustöö on mitteametlik või hajutatud, võivad meeskonnad nõuded tähelepanuta jätta, teha topelttööd või toetuda ühekordsetele kontrollidele, mis aeguvad. Ajalised hindamised, näiteks igaaastased auditid, võivad kiiresti aeguda, jättes lünga kuni järgmise ülevaatuseni.
Probleemid võivad tekkida siis, kui teil on:
- Vastuolulised eeskirjad või ebajärjepidevad kontrollid meeskondade vahel.
- Käsitsi aruandlus ja tõendite ohujaht, mis aeglustab reageerimist auditite või uurimiste ajal.
Õigusteabe ja regulatiivne riskile avatus
Eeskirjad määravad sageli kindlaks, kuidas andmeid hallata, salvestada ja edastada, muutes vastavuse paljudes organisatsioonides juhtkonna tasandi teemaks. Struktureeritud vastavuslähenemine aitab meeskondadel nõuetega sammu pidada ja näidata, kuidas kohustusi täidetakse.
Saate riskile avatust vähendada järgmisega:
- Selge kohustuste loend ja vastendatud kontrollid.
- Regulaarne jälgimine ja dokumenteeritud järeltegevus probleemide leidmisel.
Usalduse kaotus
Usaldust on lihtsam hoida, kui saate kiiresti vastata põhiküsimustele:
- Milliseid reegleid rakendatakse?
- Millised kontrollid on kehtestatud?
- Millised tõendid näitavad, et need toimivad?
Vastavushaldus toetab seda valmidust, sealhulgas uurimiste või õigusteabe toimingute ajal, kui võidakse küsida andmeid ja kirjeid.
Vastavushalduse põhikomponendid
Tugev vastavushaldusprogramm on üles ehitatud selgetele ootustele, korduvatele tööviisidele, igapäevastele kaitsemeetmetele ning inimestele ja tööriistadele, mis hoiavad kõike graafikus.
Poliitikad
Eeskirjad täpsustavad, mida organisatsioon peab tegema ja mida tähendab olla kooskõlas. Need muudavad kohustused selgeteks ootusteks, mida inimesed saavad järgida.
Tavaliste eeskirjavaldkondade hulka kuuluvad:
- Andmete töötlemise ja juurdepääsu reeglid.
- Kirjete, säilituse ja tõenditega seotud ootused auditite korral.
- Aruandlus- ja eskalatsiooniteed, kui midagi läheb valesti.
Protsessid
Protsessid on samm-sammulised rutiinid, mida meeskonnad järgivad nõuete järjepidevaks täitmiseks – ülevaatustsüklid, kinnitused, testimine ja probleemide järeltegevus.
Vastavusprotsesside näidete hulka kuuluvad:
- Regulaarsed ülevaatused kinnitamaks, et nõuded on integreeritud äritöövoogudesse.
- Kontrolli oleku pidev jälgimine, mitte ainult kord aastas tehtavad kontrollid.
- Korrigeerivate toimingute töövood lünkade leidmisel.
Standardid
Standardid ja raamistikud toimivad viitekomplektidena, mille alusel te mõõdate. Need võivad pärineda eeskirjadest, valdkonna standarditest või sisenõuetest.
Praktiline viis standardite organiseerimiseks on käsitleda neid nõuete mallidena, mida saab rühmitada ja jälgida. Näiteks on hindamine konkreetse eeskirja, standardi või põhimõtte kontrollide rühmitus.
Kontrollid
Kontrollid on konkreetsed kontrollimised ja tavad, mis näitavad nõude täitmist – ja seovad selle süsteemi konfiguratsiooni, organisatsioonilise protsessi ja määratud vastutusega.
Kasulike kontrollikategooriate hulka kuuluvad:
- Teenusepakkuja hallatavad kontrollid, mida haldab pilveteenuse pakkuja
- Organisatsiooni hallatavad kontrollid, mida haldavad teie meeskonnad
- Ühiskontrollid, kus vastutus on jagatud
Rollid ja vastutusalad
Vastavushaldus toimib kõige paremini siis, kui vastutus on selgesõnaline. Kaks rollirühma, mida iga edukas programm hõlmab, on juhtkonna järelevalve ja igapäevane vastavuse omanik.
Nõukogu ja juhtkonna järelevalve
Juhtkond vastutab ootuste seadmise, põhimõtete vastuvõtmise, volituste määramise, funktsiooni ressurssidega varustamise ning vastavustegevuse ja uurimistulemuste kohta regulaarse aruandluse saamise eest.
Mida järelevalve sageli hõlmab:
- Selged vastavusootused ja eeskirjade kinnitamine.
- Nimetatud omanik (vastavusjuht või komitee), kellel on volitused tegutseda.
- Regulaarsed aruanded auditite, probleemide ja korrigeerivate toimingute kohta.
Vastavusjuht
See roll vastutab eeskirjade ja protseduuride, koolituse, vastavuse kontrollimise, kerkivate probleemide jälgimise, kaebustele reageerimise, tulemite esitamise ja korrigeerivate toimingute tagamise eest.
Lihtne ja skaleeritav vastutuse jagunemine hõlmab järgmist:
- Kontrolliomanikud hoiavad töös konkreetseid kontrolle ja esitavad tõendeid.
- Vastavusmeeskonnad loovad struktuuri, viivad läbi hindamisi, jälgivad lünki ja toetavad auditeid.
- Juhtkond vaatab läbi edenemise, kõrvaldab takistused ja kinnitab prioriteedid.
Tööriistad ja süsteemid
Arvutustabelid võivad toimida väikeses skaalas, kuid enamik organisatsioone kasutab tööriistu, et hoida nõuded, kontrollid, tõendid ja vastutus ühes kohas – eriti mitme pilve ja äriüksuse vahel.
Mida otsida vastavushaldustarkvarast
Praktilised võimalused, mis aitavad vähendada topelttööd ja hoida tööd ajakohasena, hõlmavad järgmist:
- Hindamised, mis on nõuete ja kontrollide korduvkasutatavad kontroll-loendid.
- Kontrollide vastendamine, kus üks kontroll on seotud mitme standardiga, et vähendada korduvat tööd.
- Jälgimine, mis pakub nähtavust kontrolli olekusse aja jooksul.
- Tõendite haldus, millel on üks koht artefaktide, märkmete ja oleku salvestamiseks.
- Töövoog ja ülesannete määramine ülesannete, tähtaegade ja edenemise jälgimiseks.
- Skoorimine, mis pakub riskipõhist vaadet, et aidata süveneda parendustöösse.
Koostage plaan
Kui kehtestate oma organisatsioonis vastavustust, otsige vastuseid järgmistele küsimustele:
- Kas meil on kirjalikud eeskirjad, mis vastavad meie kohustustele?
- Kas võtmeprotsessid on dokumenteeritud?
- Kas kontrollid on standarditega vastendatud, et meeskonnad ei kordaks sama tööd?
- Kas suudame auditite või uurimiste korral kiiresti tõendeid esitada?
- Kas vastutuse ja aruandluse rollid on selged?
Vastavusriski mõistmine ja selle haldamine
Mis on vastavusrisk?
Vastavusrisk on tõenäosus, et teie organisatsioon ei täida mõnda seadust, eeskirja, standardit või sise-eeskirja – ja seisab selle tulemusena silmitsi tagajärgedega. Vastavusriskide haldamine on töö nende riskide varajaseks tuvastamiseks, nende pingereastamiseks ja jälgimiseks, kas õiged kontrollid on kehtestatud ja toimivad.
Vastavusriskide tüübid, mille jaoks plaan luua
Erinevad riskid võivad kiiresti kuhjuda, eriti kui nõuded muutuvad või andmed liiguvad keskkondade vahel. Tavaliste riskikategooriate hulka kuuluvad:
- Õigusteave: riskile avatus õigustoimingute või täitemenetluse korral, kui nõudeid ei täideta.
- Finantsilised riskid: trahvidest, karistustest ja reageerimiseks vajalikust järeltööst tulenevad kulud.
- Maine: kliendi usalduse kaotus ja negatiivne avalik tähelepanu probleemide ilmsiks tulekul.
- Andmeturbemurre: delikaatsete andmete riskile avatuse suurem tõenäosus, kui nõutavad turbetavad on puudu või ebajärjepidevad.
Kuidas hinnata vastavusriski
Tugev hindamisprotsess on struktureeritud, korduv ja seda ajakohastatakse koos inimestega, kes on töökohale kõige lähemal. Siin on viis, kuidas sellele läheneda:
1. Kasutage struktureeritud riskide hindamise protsessi. Kehtestage selge meetod vastavusriskide mõõtmiseks ja pingereastamiseks, selle asemel et toetuda ad hoc hinnangule.
2. Tehke koostööd õigete sidusrühmadega. Määratlege riskide omanikud ja tehke koostööd ainevaldkonna ekspertidega, kes mõistavad tõsidusastmeid; võtke ühendust asjakohaste juhtidega ja võtke arvesse väliseid riskiallikaid.
3. Hinnake mõju ja tõenäosust. Arvutage riski mõju ja tõenäosus, et määrata kindlaks omane risk.
4. Võtke arvesse oma kontrollikeskkonda. Mõelge, kuidas olemasolevad kontrollid pilti muudavad, et saaksite jääkriski määrata ja pingereastada.
5. Kasutage tulemeid, et suunata seda, mis saab edasi. Värskendage hindamisi juhtkonna sisendiga, et saaksite püsida töösse süvenenud suurema riskiga valdkondades ja pingereastada eeskirjade, protseduuride ja kontrollide parendusi.
6. Korrake seda graafiku alusel – mitte ainult üks kord. Regulaarsed hindamised ja auditid aitavad tuvastada lünki ja kontrollida nõuetest kinnipidamist.
Kuidas vastavusriski aja jooksul mõõta ja jälgida
Te ei saa hallata seda, mida te ei näe. Mõõtmine ei pea olema keeruline – alustage väikesest signaalide kogumist, mis aitavad teil suundumusi märgata ja süveneda töösse.
Mõõdustik, mis hoiab programmi ausana
Valige meetmed, mis on seotud tegevusega ja näitavad, kas risk läheb alla, näiteks:
- Probleemid raskusastme järgi, et kriitilised lüngad tõuseksid esile.
- Kõrvaldamise aeg ehk kui kiiresti lüngad parandatakse.
- Audititulemused ja eeskirjade erandid näitavad, mis pidevalt kordub ja miks.
- Koolituse läbimine, mis on põhiline näitaja, et inimesed said juhenduse.
- Võtmetulemuslikkuse näitajad (KPI-d), mis kirjeldavad teie riskiprofiili ja mis on järjepidev mõõdustik, mida kasutatakse aruandluse ja ülevaadete jaoks.
Skoorimis- ja edenemisvaated
Mõned vastavustööriistad jälgivad edenemist riskipõhise skoori abil, mis on seotud parendustoimingute lõpuleviimisega ja järgmisena tähelepanu vajava esiletõstmisega.
- Riskipõhine vastavusskoor võib mõõta edenemist, jälgides parendustoimingute lõpuleviimist ja juhtides süvenemist järgmistele tegevustele.
- Skoorid võivad kajastada tegevuste suhtelist mõju selle põhjal, kuidas need on salastatud (näiteks ennetavad, avastavad või korrigeerivad).
Kiired riskikontrolli küsimused, mida ülevaatustel kasutada
- Kas meil on ajakohane ülevaade sellest, millised riskid on kõige suuremad ja kes on nende omanikud?
- Kas me reastame riske mõju ja tõenäosuse alusel ning seejärel värskendame neid selle põhjal, kuidas kontrollid toimivad?
Kas me jälgime väikest mõõdustiku komplekti (raskusaste, kõrvaldamise aeg, erandid) ja tegutseme selle põhjal, mida need näitavad?
Turbevastavushaldus
Turbevastavushaldus asub kohas, kus turbetöö ja vastavuskohustused kattuvad. Praktikas tähendab see andmete ja süsteemide kaitsmist viisil, mis vastab reeglitele, mille eest te vastutate – ja seejärel tõendite esitamist baastasemete, jälgimise ja kirjete kaudu.
Kus turve kohtub vastavusega
Enamik eeskirju ja standardeid sisaldab turbeootusi. Tavalised nõuded hõlmavad sageli järgmist:
- Andmete töötlemine: selged reeglid selle kohta, kuidas delikaatseid andmeid kogutakse ja töödeldakse.
- Turvaline salvestusruum ja juurdepääs: krüptimine ja kontrollitud juurdepääs, et vähendada volitamata riskile avatust.
- Aruandlus ja auditeerimine: regulaarsed kontrollid, auditi tugi ja vajaduse korral teated turbemurde kohta.
Võtmeraamistikud ja eeskirjad
Teil võib tekkida vajadus vastendada oma kontrollid korraga mitme raamistikuga.
Kolm tavalist standardit on järgmised:
- Isikuandmete kaitse üldmäärus (GDPR): EL-i õigusteabe raamistik, mis keskendub privaatsusele ja isikuandmete kaitsele; vastavus tähendab GDPR-i vastavuse järgimist ja isikuandmete tugevama kontrolli toetamist.
- Ravikindlustuse ülekantavuse ja aruandluse seadus (HIPAA): USA tervisliku seisundi seadused ja reeglid, mis sätestavad nõuded kaitsealuste terviseandmete (PHI) kasutamisele, avaldamisele ja kaitsmisele, sealhulgas elektrooniliste kaitsealuste terviseandmete turvareegli kaitsemeetmed.
- Maksekaardivaldkonna turbestandardid (PCI DSS): ülemaailmne infoturbestandard organisatsioonidele, mis salvestavad, töötlevad või edastavad kaardiomanike andmeid, loodud pettuste vähendamiseks krediitkaardiandmete tugevama kontrolli kaudu.
Parimad tavad turbevastavuse tagamiseks
1. Alustage turbe baastasemest. Kasutage võtmesüsteemide jaoks määratletud baastaset, et meeskonnad teaksid, mida teie organisatsioon peab heaks konfiguratsiooniks. Jälgige sätteid, mis kalduvad kõrvale ettenähtud väärtustest, ja kõrvaldage lüngad.
2. Kehtestage tugevad juurdepääsu- ja krüptimiskontrollid. Rakendage kontrollitud juurdepääsu ja krüptimist, et vähendada delikaatsete andmete volitamata riskile avatust
3. Viige läbi regulaarseid hindamisi ja auditeid. Viige läbi perioodilisi auditeid ja hindamisi, et leida lünki ja kinnitada, et kontrollid vastavad endiselt nõuetele.
4. Koolitage inimesi andmetöötluse alal. Turbevastavus sõltub igapäevastest otsustest, seega on koolitus ja selge juhendus olulised.
5. Hoidke dokumentatsioon ülevaatuste jaoks valmis. Säilitage kirjeid, mis toetavad auditi ja regulatiivse vastavuse ülevaatusi, et saaksite küsimuste korral kiiresti vastata.
6. Kasutage ajakohasena püsimiseks jälgimist ja töövoogu. Kasutage tööriistu ja protsesse, mis toetavad pidevat jälgimist, jälgitavust ja korrigeerivaid toiminguid, selle asemel et toetuda ainult ajalistele ülevaatustele.
Vastavushaldusprogrammi rakendamine
Praktiline vastavushaldusprogramm on üles ehitatud korduva tsükli ümber. Paljud meeskonnad kasutavad viieastmelist voogu, mis hoiab töö organiseerituna ja hõlbustab edenemise näitamist ülevaatuste ja auditite ajal.
1. Hindamine. Alustage struktureeritud hindamisest, mis tuvastab, mis teie kohta kehtib ja mis on juba olemas. Hea hindamisprotsess sisaldab selget meetodit, õigete sidusrühmade sisendit ning viisi mõju ja tõenäosuse hindamiseks.
Selle etapi korral veenduge, et:
- Kasutage ad hoc hinnangu asemel struktureeritud siseriski hindamise protsessi.
- Määratlege riskide omanikud ja tehke koostööd ainevaldkonna ekspertidega, kes mõistavad raskusastmeid.
- Hinnake mõju ja tõenäosust, et mõista omast riski.
2. Lünkade analüüs. Järgmisena võrrelge nõudeid praeguste kontrollide ja dokumentatsiooniga, et tuvastada lünki. Auditivalmiduse töös kirjeldatakse seda sageli kui „kontrolllünkade analüüsi“ koos „pingereastatud soovitustega“.
Lünkade analüüsi tulemid võivad hõlmata järgmist:
- Konkreetsete kontrollide või nõuetega seotud lünkade loend.
- Pingereastatud soovitused nende lünkade kõrvaldamiseks.
3. Parandamine. Muutke lüngad toimingute plaanideks. Parandustööd hallatakse sageli toimingute plaanide ja jälgimise kaudu koos olekuaruandlusega, et meeskonnad näeksid, mis liigub ja mis on soikus.
Hoidke parandamine hallatavana järgmiselt:
- Parandamise toimingute plaanide loomine leidude jaoks.
- Oma toimingute plaani oleku jälgimine ja sellest aruandmine.
- Töövoo ja ülesannete määramise kasutamine, et omanikud ja tähtajad oleksid selged.
4. Jälgimine. Kui parandused on tehtud, jälgige, et kontrollid oleksid järjepidevad. Jälgimine keskendub sageli kahele asjale: kas kontrollid toimivad ja kas sätted „triivivad“ baastasemest kõrvale.
Praktikas te:
- Jälgige leevendusmeetmete tõhusust ja tegutsege probleemide ilmnemisel.
- Jälgige kontrollide olekut ja seisundit aja jooksul – mitte ainult igaaastaste ülevaatuste ajal.
- Kasutage baastaseme jälgimist, et märgata konfiguratsiooni kõrvalekallet ettenähtud väärtustest.
Koguvaheline küberturbeplatvorm, nagu turbeteabe ja -sündmuste halduse (SIEM) lahendus, saab toetada organisatsioonide jälgimist ja ohutõrjet.
5. Pidev täiustamine. Vastavusprogrammid jäävad kasulikuks, kui neid värskendatakse ja täiustatakse selle põhjal, mida jälgimine ja auditid paljastavad. See hõlmab küberturbe riskide hindamiste värskendamist juhtkonna sisendiga, parenduste pingereastamist ja programmi kohandamist nõuete muutumisel.
Viisid, kuidas jätkata täiustamist ilma müra lisamata, hõlmavad järgmist:
- Riskihindamiste värskendamine koos juhtkonnaga, et tuvastada suure riskiga valdkonnad ja pingereastada eeskirjade, protseduuride ja kontrollide parendused.
- Regulatiivsete värskenduste kohta käivate ülevaadete kaasamine programmi kohandamiseks.
- Ühise kontrollide vastendamise ja korduvkasutatavate hindamiste kasutamine topelttöö vähendamiseks nõuete laienemisel.
Töö pingereastamine riski ja raskusastme alusel
Lihtne viis pingereastamiseks on süveneda esmalt sellesse, mis hõlmab suurimat riski ja millel on kõrgeim raskusaste. Eesmärk on suunata jõupingutused sinna, kus need vähendavad riskile avatust kõige rohkem.
Alustage mõjust ja tõenäosusest
- Arvutage mõju ja tõenäosus, et määrata kindlaks omane risk, seejärel võtke arvesse kontrollikeskkonda, et reastada jääkrisk – ehk risk, mis jääb alles.
- Pingereastage leevendusressursid pigem suurema kui väiksema riskiga valdkondade jaoks.
Kasutage töö reastamiseks ja jälgimiseks mõnda signaali
Valige meetmed, mis näitavad, mis on kõige kiireloomulisem ja kas asjad paranevad, näiteks:
- Probleemid raskusastme järgi, et kriitilised lüngad tõuseksid esile.
- Kõrvaldamise aeg, et näha, kui kiiresti lüngad parandatakse.
- Audititulemused ja eeskirjade erandid, et märgata korduvaid probleeme.
- Koolituse läbimine kui põhiline näitaja selle kohta, et juhendus jõudis inimesteni.
Kasutage riskipõhist skoorimist, kui see on saadaval
Mõned vastavustööriistad jälgivad edenemist riskipõhise skoori abil, mis on seotud parendustoimingute lõpuleviimisega ja järgmisena tähelepanu vajava esiletõstmisega. Mõnes vastavussüsteemis saab toimingud salastada (näiteks ennetavad, avastavad või korrigeerivad) ja see salastatus võib mõjutada seda, kuidas edenemist skooritakse.
Automaatika ja pidev vastavus
Automaatika ja pidev vastavus aitavad meeskondadel hoida nõuded, kontrollid ja tõendid keskkonna muutumisel ajakohasena. Selle asemel, et käsitleda vastavust perioodilise sündmusena, käsitleb see lähenemine seda väikeste kontrollide ja värskenduste pideva voona, mida on lihtsam hallata ja kontrollida.
Draiverid
Mitmed nihked muudavad automaatika praktilisemaks – ja vajalikumaks –, kui see varem oli:
- Mitmikpilve ja SaaS-i kasv: andmed ja töökoormused liiguvad rohkemate teenuste ja pakkujate vahel, mis suurendab kohti, kus kontrolle tuleb rakendada ja jälgida.
- Kiiresti muutuvad eeskirjad: nõuded arenevad ja see, mis oli eelmisel aastal hea, võib tänavu olla aegunud, eriti privaatsus- ja turbeootuste osas.
- Hajutatud vastutus: kontrolliomanikud asuvad sageli erinevates meeskondades (pilveturbe, IT, arenduse, õigusteabe, personali meeskonnas), seega on koordineerimisel ja järjepideval tõendite kogumikul suurem tähtsus.
Otsitavad funktsioonid
Kui vaatate automaatikat ja pidevat vastavust, süvenege funktsioonidesse, mis vähendavad käsitsi tehtavat tööd, kaotamata vastutust.
Alustage struktureeritud hindamistest, mis kasutavad korduvkasutatavaid kontrollikomplekte. See toetab järjepidevust meeskondade vahel ja hõlbustab tulemite võrdlemist aja jooksul.
- Standarditud hindamised: kasutage igas tsüklis sama hindamisstruktuuri, et edenemist (ja taandarengut) oleks lihtne märgata.
- Korduvkasutatavad kontrollikomplektid: kasutage uuesti põhilisi kontrolle, mitte ärge kirjutage kontrolle iga uue nõude jaoks uuesti.
Levinud juhtelemendi vastendamine
Ühine kontrollide vastendamine vähendab topelttööd raamistike vahel, seostades ühe kontrolli mitme nõudega.
Siin on, kuidas see praktikas välja näeb:
- Üksik juurdepääsu reguleerimise tava (näiteks „piiratud juurdepääs delikaatsetele andmetele“) võib täita mitme standardi osi.
- Selle kontrolli jaoks kogutud tõendeid saab uuesti kasutada, kui esitate aruandeid erinevate raamistike kohta, selle asemel et luua sama tõendit mitmes kohas uuesti.
- Kontrolli (või selle dokumentatsiooni) värskendused kanduvad edasi igasse sellest sõltuvasse raamistikku.
Pidev jälgimine
Pidev jälgimine keskendub kontrolli olekule ja vastavuse seisundile – kas kontrollid on kehtestatud, kas need toimivad endiselt ootuspäraselt ja kas midagi on muutunud, mis nõuab järeltegevust.
Siin on tavalised jälgimissignaalid, mida meeskonnad jälgivad:
- Kontrolli olek: need võivad hõlmata läbitud, ebaõnnestunud või veel hindamata olekuid.
- Muutuste indikaatorid: konfiguratsioonimuudatused, eeskirjade värskendused või uued süsteemid võivad luua uusi kontrolle, mida käivitada.
- Erandite mustrid: korduvad erandid võivad viidata kontrollidele, mis vajavad ümberkujundamist või tugevamat vastutust.
Tsentraliseeritud tõendite haldus
Tõendid kipuvad hajuma postkastidesse, ühiskaustadesse ja piletite lõimedesse, välja arvatud juhul, kui teete selle jaoks plaani. Tsentraliseeritud tõendite haldus hoiab artefakte ühes kohas ja seob need õige kontrolli, omaniku ja ülevaatustsükliga.
Töövoog ja ülesannete määramine on siin olulised, cuz need muudavad parandamist vajavad asjad jälgitavaks tööks:
- Töövoog: järjepidev tee ülevaatuste, kinnitamiste ja heakskiitmiste jaoks.
- Ülesannete määramine: selged ülesanded, tähtajad ja edenemise jälgimine, mis on seotud kontrolli või hindamisega.
- Tõendite valmidus: kiire viis vastata küsimusele „Millised tõendid meil on?“ ja „Kas see on ajakohane?“
Riskipõhine skoorimine või küpsusmudelid
Riskipõhine skoorimine ja küpsusmudelid aitavad meeskondadel otsustada, milline kiirparandus esimesena teha. Eesmärk ei ole kõrvaldada kõiki väiksemaid lünki korraga, vaid süveneda parandamisel probleemidesse, mis tekitavad kõige suuremat riskile avatust.
See aitavad parandamist pingereastada järgmiselt:
- Töö reastamine mõju järgi: pange kõige suurema riskiga lüngad järjekorra etteotsa.
- Täiustamise jälgimine aja jooksul: skoor või küpsusaste annab selge enne- ja pärast-vaate, kui viite lõpule parandustöö.
- Järjepidevate otsuste toetamine: kui meeskonnad kasutavad sama skoorimis- või küpsusmudelit, on pingereastamine vähem subjektiivne ja seda on lihtsam selgitada.
Kui alustate hindamiste, jälgimise ja tõendite kogumiku automatiseerimist, on järgmine samm otsustada, mida te jälgite ja kuidas te edenemisest aru andma hakkate – et juhid näeksid riskitrende, saaksid pingereastada kiirparandusi ja näidata aja jooksul tulemeid.
Vastavushalduse mõõtmine ja aruandlus
Mõõtmine ja aruandlus muudavad igapäevase vastavustöö selgeks ülevaateks edenemisest, lünkadest ja prioriteetidest – et meeskonnad saaksid süveneda olulisse ja edastada olekut usaldusega.
Programmi KPI-d
Kasutage programmi KPI-sid, et jälgida, kui hästi teie kontrolle luuakse, omaks võetakse ja kontrollitakse – ning kus probleemid jätkuvalt esile kerkivad.
Kontrolli katvus ja edenemine
- Kavandatud kontrollide protsent ehk mitmel nõudel on määratletud kontroll.
- Rakendatud kontrollide protsent ehk kui palju kontrolle on kehtestatud ja toimivad.
- Testitud kontrollide protsent ehk kui palju kontrolle on testimise kaudu valideeritud.
Probleemide jälgimine
- Probleemid raskusastme järgi näitab kõige suurema mõjuga lünkade esiletõusmist.
- Kõrvaldamise aeg näitab, kui kiiresti lüngad pärast nende leidmist lahendatakse.
- Auditileiud teevad esiletõstu korduvatest probleemsetest valdkondadest.
- Eeskirjade erandid näitavad, kus meeskonnad töötavad väljaspool standardnõudeid.
Inimeste ja protsesside signaalid
- Koolituse läbimine kinnitab, et nõutav juhendus jõudis õigete sihtrühmadeni.
Kiire viis KPI-de kasutatavana hoidmiseks
- Jälgige järjepidevalt väikest KPI-de komplekti ja vaadake need regulaarselt läbi, et suundumused oleksid nähtavad – mitte ainult hetktõmmised.
- Kombineerige KPI-d põhiliste künnistega (näiteks mis loetakse „liiga paljudeks“ suure raskusastmega probleemideks), et meeskonnad teaksid, millal eskaleerida.
Tulemusnäitajad
Tulemusnäitajad seovad töö tulemitega. Need aitavad vastata küsimusele: „Kas meie vastavusprogramm vähendab riskile avatust ja parandab valmidust?“
Riski- ja valmidustulemused
- Vähendatud riskile avatus, mida näitavad aja jooksul vähemad suure raskusastmega probleemid ja korduvad leiud.
- Õigeaegsed atesteerimised, mis näitavad, et organisatsioon suudab kinni pidada ametlikest aruandlustähtaegadest.
Tõhususe tulemused
- Auditites säästetud tunnid selgitavad, millal tõendid on organiseeritud ja neid on lihtne tuua.
Trendi tulemused
- Riski- ja küpsusskooride trendijooned näitavad, kas üldine seisund aja jooksul paraneb.
Juhtkonna nähtavus
- Juhtkonna armatuurlauad võtavad kokku edenemise, teevad esiletõstu peamistest lünkadest ja näitavad, kuhu parandustöö on suunatud.
Tavalised väljakutsed ja kuidas neid vältida
Isegi hästi toimivad programmid võivad soiku jääda, kui nõuded korrutatakse, süsteemid levivad keskkondades ja vastutus hägustub. Kiirparandused taanduvad tavaliselt topelttöö vähendamisele, tõenditega seotud harjumuste tugevdamisele ja uutele tööriistadele selgete piirete seadmisele.
Raamistiku laialivalgumine ja dubleerivad jõupingutused
Probleem: meeskonnad jälgivad sama nõuet mitmes kohas, kirjutavad sarnaseid kontrolle eri eeskirjade jaoks ümber ja teevad ajakulutusi kattuvate kontroll-loendite kooskõlastamiseks.
Kuidas seda vältida: kasutage ühist kontrollide vastendamist eeskirjade vahel.
Praktiline lähenemine on vastendada üks kontroll mitme raamistikuga, et te ei kordaks sama tööd iga kord, kui lisate uue standardi.
- Looge ühine kontrollide teek. Hoidke alles põhilised kontrollid, mis ilmnevad paljude nõuete korral (juurdepääsu reguleerimine, logimine, krüptimine, säilitus, intsidentidele reageerimine).
- Vastendage üks kord, kasutage uuesti sageli. Seostage iga kontroll iga seda eeldava eeskirja/standardiga, seejärel viidake sellele vastendamisele ülevaatuste ja auditite ajal.
- Värskendage kontrolli, mitte iga kontroll-loendit. Kui kontroll muutub, laske sellel ühel värskendusel kanduda vastendatud nõuetesse, selle asemel et redigeerida mitut koopiat.
Kiire kontroll: kui kaks meeskonda säilitavad eraldi „samu“ erineva sõnastusega kontrolle, maksate te topelttöö maksu.
Tõendite kaos
Probleem: tõendid hajuvad vestlustesse, e-kirjade lõimedesse, piletite kommentaaridesse ja ühiskaustadesse. Kui saabub auditipäring, tormavad inimesed artefakte leidma ja konteksti taastama.
Kuidas seda vältida: tsentraliseerige artefaktid ja määrake kontrolliomanikud.
Tõendite tsentraliseerimine toimib kõige paremini siis, kui igal kontrollil on nimetatud omanik, kes teab, milline näeb välja „hea tõend“ ja kus see asub.
- Üks kodu tõendite jaoks. Salvestage artefaktid, märkmed ja olekuvärskendused ühte kohta, mis on seotud kontrolliga. (Paljud tööriistad toetavad tõendite manustamist ja oleku jälgimist parendustoimingute raames.)
- Selge vastutus. Määrake kontrolliomanik, kes vastutab artefaktide ajakohasena hoidmise ja tõendite taotlustele vastamise eest.
- Määratlege „minimaalne elujõuline tõendusmaterjal“. Dokumenteerige iga kontrolli jaoks, mida teil on vaja näidata:
- Mis kontroll see on,
- Kes on selle omanik,
- Kuidas seda kontrollitakse,
- Milliseid tõendeid kogutakse ja
- Kui sageli seda värskendatakse.
- Kasutage töövoogu ja ülesannete määramist. Jälgige taotlusi, tähtaegu ja ülevaatuse etappe, et tõendite kogumik ei toetuks mälule.
Üks lihtne harjumus, mis aitab: kui tõendeid pole kaks kuud hiljem lihtne leida, pole need õigesse kohta salvestatud.
Mitmikpilve keerukus
Probleem: erinevatel pilveplatvormidel on erinevad vaikesätted, logimismustrid ja turbesätted. Kontrollid triivivad aja jooksul kõrvale, kui teenuseid värskendatakse ja meeskonnad teevad kohalikke muudatusi.
Kuidas seda vältida: kehtestage standarditud poliitika-koodina ja seisundi baastasemed.
Stabiilne lähenemine on standardida ootused kahes kihis: poliitika-koodina järjepidevate reeglite jaoks ja seisundi baastasemed minimaalse konfiguratsioonioleku jaoks, mida ootate igal pool.
- Poliitika-koodina korduvuse tagamiseks. Määratlege võtmenõuded (näiteks krüptimine, isikutuvastusnõuded, logimine, säilitus) kujul, mida saab keskkondades järjepidevalt rakendada.
- Seisundi baastasemed selguse huvides. Säilitage turbesätete baaskomplekt ja jälgige, millal süsteemid sellest kõrvale triivivad.
- Kontrolli oleku pidev jälgimine. Jälgige, kas kontrollid aja jooksul õnnestuvad või ebaõnnestuvad, mitte ainult plaanipäraste ülevaatuste ajal.
- Ühine kontrollide vastendamine on endiselt oluline. Kasutage võimaluse korral ühiskontrolle, isegi kui alusplatvormid erinevad.
Jälgige kõrvalekaldeid: kui baastase on dokumenteeritud, kuid seda ei jälgita, aegub see kiiresti.
Varitarkvara (Shadow IT) ja TI kasutamine
Probleem: inimesed võtavad uusi rakendusi – ja uusi TI-tööriistu – kasutusele kiiremini, kui juhtimisprotsessid suudavad neid läbi vaadata. See suurendab tõenäosust, et delikaatseid andmeid jagatakse kohtades, mida pole kontrollitud.
Kuidas seda vältida: kasutage heakskiidetud tööriistu, silte, jälgimist ja värskendatud malle.
Kehtestage selged piirded, mis vastavad sellele, kuidas inimesed tegelikult töötavad – eriti TI-tööriistade levides.
- Määratlege heakskiidetud tööriistad. Avaldage lühike loend lubatud rakendustest ja TI-tööriistadest ning tee uute taotlemiseks.
- Märgistage delikaatsed andmed. Rakendage delikaatsustaseme silte, et inimesed teaksid, mis nõuab täiendavat tähelepanu ja et kontrollid saaksid sildi alusel toimida.
- Jälgige kommunikatsiooniriske. Lisage jälgimine, mis on suunatud riskantsetele jagamismustritele (näiteks delikaatse sisu kopeerimine heakskiitmata tööriistadesse või saatmine volitamata sihtkohtadesse).
- Võtke kasutusele arenevate eeskirjadega (sh TI-ga) kooskõlas olevad mallid. Kasutage malle ja kontroll-loendeid, mis kajastavad uusi nõudeid TI reeglite muutumisel, ning värskendage neid regulaarselt, selle asemel et oodata järgmist igaaastast ülevaatust.
Praktiline ja tõhus jaotus on järgmine:
- Blokeerige suure riskiga tööriistad, millel puudub ärivajadus.
- Lubage väiksema riskiga tööriistu ainult mitte-delikaatse töö korral ja lisage piirded andmelekke riski vähendamiseks.
- Standardige suurettevõtte tasemel suvandid töös, mis hõlmab delikaatseid andmeid.
Reaalsed näited vastavushaldusest
Need stsenaariumid näitavad, kuidas vastavushaldus võib vähendada riske ja parandada valmidust, ilma et see aeglustaks igapäevast tööd Ameerika ülikoolis.
Kolmanda osapoole kaugtervise rakendus tekitab HIPAA-ga seotud riskile avatuse
Stsenaarium: Linnaku tervisliku seisundi keskus lisab kolmanda osapoole kaugterviseteenuse platvormi, kontrollimata esmalt HIPAA-ga joondust. See loob tee volitamata juurdepääsuks õppurite tervisliku seisundi kirjetele.
Mis muutus: Töörühm viib enne platvormile tervisliku seisundi kirjetele juurdepääsu andmist läbi struktureeritud ülevaatuse, kasutades tsentraliseeritud eeskirju ja vastavuskontrolle mitmikpilve keskkonnas.
Põhipunktid
- Miks see on oluline: tarnijate tööriistad võivad kiiresti tekitada vastavusriske, kui need puudutavad kaitstud tervisliku seisundi andmeid.
- Tegevusetapid:
- Lisage uutele kolmanda osapoole teenustele kohustuslik vastavuskontroll enne nende ühendamist delikaatsete kirjetega.
- Rakendage tsentraalselt määratletud rakenduspoliitikaid, et juurdepääs oleks blokeeritud kuni nõuete täitmiseni.
- Mida otsida:
- Üks koht vastavusnõuete ja oleku jälgimiseks kõigis teenustes.
- Selged „läbitud / ebaõnnestunud“ väravad, mis on seotud juurdepääsuga delikaatsetele süsteemidele.
Valele siserühmale saadetud finantsabiaruanne
Stsenaarium: Finantsabi ametnik saadab kogemata e-kirjaga aruande õppurilaenu ja -toetuse üksikasjadega siseosakonnale, mis ei tohiks seda saada, käivitades uurimise.
Mis muutus: Automatiseeritud eeskirjad tuvastavad, kui delikaatseid finantsabiandmeid jagatakse volitamata saajega, ja võivad käivitada teateid või piirata juurdepääsu, et vältida edasist kooskõlas mitteolevat jagamist.
Põhipunktid
- Miks see on oluline: paljud vastavusjuhtumid on lihtsad vead; kiire tuvastamine piirab ulatust ja toetab järeltegevust.
- Tegevusetapid:
- Määratlege, mis loetakse delikaatseteks finantsabiandmeteks ja kuidas neid tohib jagada.
- Määrake eeskirjad sõnumite märgistamiseks või piiramiseks, kui saajad ei vasta heakskiidetud rühmadele.
- Kasutage teateid intsidentide suunamiseks õigetele ülevaatajatele uurimiseks ja korrigeerivateks toiminguteks.
- Mida otsida:
- Eeskirjad, mis tuvastavad volitamata avaldamise mustreid (mitte ainult märksõnu).
- Selge auditeerimisjälg selle kohta, mida jagati, kellega ja mis sai edasi.
Alustage teenuse Microsoft Purview Compliance Manager kasutamist
Olete näinud, kuidas tugev vastavushaldusprogramm töötab: kehtestage selged eeskirjad, määrake vastutus, hinnake riske, kõrvaldage lüngad, jälgige kontrolle ja andke edenemisest aru viisil, kuidas juhid saavad tegutseda. Kui panete need osad kokku, on teie ajakulutus tõendite otsimisele väiksem ja teil on rohkem aega töö tegemise parandamiseks.
Kui alustate puhtalt lehelt – või tugevdate olemasolevat programmi –, saate hoida asjad hallatavana järgmiselt:
- Valides ühe hindamise, mis vastab teie lühiajalisele vajadusele (eeskiri, standard või sisenõue, mida te juba jälgite).
- Kasutades parendustoimingute loendit oma tööjärjekorrana, ning seejärel määrates omanikud rakendus- ja testimistööle.
- Vaadates skoori ja vaadet „vajab tähelepanu“ regulaarselt läbi, et säilitada süvenemine kõige suurema mõjuga töösse.
- Kogudes tõendeid ja olekuvärskendusi töö käigus, et auditiaruandlus ei oleks viimase hetke rüselus.
Microsoft Purview Compliance Manager on loodud selleks, et aidata teil hinnata ja hallata vastavust mitmikpilve keskkonnas ning toetada kogu teekonda – andmekaitseriskide inventeerimisest kuni kontrollide rakendamiseni, eeskirjade ja sertifikaatidega kursis olemiseni ning audiitoritele aruandluseni.
Kasutage kasutajaabi nõuete järjestamiseks hindamistesse, muutke lüngad määratud parendustoiminguteks, jälgige edenemist riskipõhise skoori abil ja toetage audiitoritele aruandlust – seda kõike ühes kohas.
RESSURSID
Lisateave Microsofti turbeteenuste kohta
Korduma kippuvad küsimused
Korduma kippuvad küsimused
- Vastavushaldus on pidev töö kohaldatavate seaduste, eeskirjade ja sise-eeskirjade järgimisel – ning tõendite säilitamisel, mis näitavad nõuete täitmist.
- Tavaline viis vastavuse rühmitamiseks on järgmine: regulatiivne (seadused ja eeskirjad), valdkondlik (standardid ja sertifikaadid) ja sisemine (ettevõtte eeskirjad ja lepingulised kohustused).
- Vastavushaldustööriist on tarkvara, mis organiseerib nõuded, kontrollid, ülesanded ja tõendid, et meeskonnad saaksid jälgida edenemist, määrata tööd ja toetada auditeid.
- Te vajate selgeid eeskirju, määratletud rolle ja omanikke, dokumenteeritud kontrolle ja protsesse, regulaarseid hindamisi, probleemide parandamist ning kirjeid, mis toetavad auditeid ja aruandlust.
- Vastavushaldussüsteemi (CMS) mall on korduvkasutatav struktuur kohustuste jälgimiseks, kontrollide vastendamiseks, omanike määramiseks, tõendite salvestamiseks ja oleku aruandluseks standardite lõikes.
- Vastavuse kontroll-loend on nõutavate toimingute või kontrollide loend, mida kasutatakse kinnitamiseks, et te täidate seadust, eeskirja, standardit või sise-eeskirja – kasutatakse sageli hindamiste ja auditite ajal.
- Võtmeelemendid hõlmavad juhtimist ja järelevalvet, eeskirju ja protseduure, kontrolle, jälgimist ja testimist, tõendite haldust, parandamist ning jooksvat aruandlust ja täiustamist.
Jälgige Microsofti turbeteenust