Što je upravljanje usklađenošću?

Snažan program upravljanja usklađenošću izgrađen je od jasnih očekivanja, ponovljivih načina rada, svakodnevnih zaštitnih mjera te ljudi i alata koji sve drže pod kontrolom.

Pravilnici jasno navode što tvrtka ili ustanova mora učiniti i kako izgleda usklađenost. One pretvaraju obveze u jasna očekivanja koja ljudi mogu slijediti.

Uobičajena područja pravila uključuju sljedeće:

• Pravila za rukovanje podacima i pristup.
• Zapisi, zadržavanje i očekivanja za dokaze za revizije.
• Izvješćivanje i putevi eskalacije kada nešto pođe po zlu.

Procesi su koraci koje timovi slijede kako bi dosljedno ispunjavali zahtjeve: ciklusi pregleda, odobrenja, testiranja i praćenje problema.

Primjeri procesa usklađenosti uključuju sljedeće:

• Redoviti pregledi kako bi se potvrdilo da su zahtjevi ugrađeni u poslovne tijekove rada.
• Kontinuirano praćenje stanja kontrola, a ne samo godišnje provjere.
• Tijekovi rada za korektivne radnje kada se pronađu nedostaci.

Standardi i okviri djeluju kao referentni skupovi prema kojima se mjerite. Mogu potjecati iz propisa, industrijskih standarda ili internih zahtjeva.

Praktičan način organiziranja standarda jest tretirati ih kao predloške zahtjeva koji se mogu grupirati i pratiti. Na primjer, procjena je skup kontrola iz određenog propisa, standarda ili pravilnika.

Kontrole su konkretne provjere i prakse koje pokazuju da se zahtjev ispunjava i povezuju ga s konfiguracijom sustava, organizacijskim procesom i dodijeljenom odgovornošću.

Korisne kategorije kontrola uključuju:

• kontrole kojima upravlja pružatelj usluge, a koje obrađuje pružatelj usluga u oblaku
• kontrole kojima upravlja tvrtka ili ustanova, a koje obrađuju vaši timovi
• zajedničke kontrole, gdje je odgovornost podijeljena.

Upravljanje usklađenošću najbolje funkcionira kada je vlasništvo jasno definirano. Dvije skupine uloga koje mora imati svaki uspješan program jesu nadzor vodstva i svakodnevno vlasništvo nad usklađenošću.

Nadzor uprave i vodstva

Vodstvo je odgovorno za postavljanje očekivanja, usvajanje izjava o pravilnicima, dodjeljivanje ovlasti, osiguravanje resursa za tu funkciju i redovito primanje izvješća o aktivnostima i nalazima vezanima uz usklađenost.

Što nadzor često uključuje:

• Jasna očekivanja usklađenosti i odobravanje pravila.
• Imenovani vlasnik (službenik za usklađenost ili odbor) s ovlastima za djelovanje.
• Redovita izvješća o nadzorima, problemima i korektivnim radnjama.

Službenik za usklađenost

Ova je uloga odgovorna za politike i postupke, obuku, provjeru usklađenosti, praćenje novih problema, odgovaranje na pritužbe, izvješćivanje o rezultatima i osiguravanje korektivnih radnji.

Jednostavna raspodjela odgovornosti koja se može skalirati uključuje sljedeće:

• Vlasnici kontrola održavaju određene kontrole i dostavljaju dokaze.
• Timovi za usklađenost postavljaju strukturu, provode procjene, prate praznine i podržavaju nadzore.
• Vodstvo pregledava napredak, uklanja prepreke i odobrava prioritete.

Proračunske tablice mogu biti dovoljne u malom opsegu, ali većina tvrtki ili ustanova upotrebljava alate kako bi zahtjevi, kontrole, dokazi i vlasništvo bili na jednom mjestu, osobito u više okruženja u oblaku i poslovnih jedinica.

Što tražiti u softveru za upravljanje usklađenošću

Praktične mogućnosti koje pomažu smanjiti dupliciranje i održati rad aktualnim uključuju:

• Procjene, koje su višekratni popisi za provjeru zahtjeva i kontrola.
• Mapiranje kontrola, pri čemu je jedna kontrola povezana s više standarda kako bi se smanjio ponavljajući rad.
• Nadzor koji omogućuje uvid u stanje kontrola tijekom vremena.
• Upravljanje dokazima koje ima jedno mjesto za pohranu artefakata, bilješki i statusa.
• Tijek rada i dodjela zadataka za dodjeljivanje, rokove i praćenje napretka.
• Ocjenjivanje, koje pruža prikaz temeljen na riziku kako bi se fokus poboljšanja usmjerio ondje gdje je najpotrebnije.

Stvaranje plana

Dok uspostavljate upravljanje usklađenošću u svojoj tvrtki ili ustanovi, potražite odgovore na sljedeća pitanja:

• Imamo li pisane pravilnike koje odgovaraju našim obvezama?
• Jesu li ključni procesi dokumentirani?
• Jesu li kontrole povezane sa standardima kako timovi ne bi ponavljali isti rad?
• Možemo li brzo dostaviti dokaze kada dođe do nadzora ili istraga?
• Jesu li uloge vlasništva i izvješćivanja jasne?

Upravljanje sigurnosnom usklađenošću nalazi se na mjestu gdje se preklapaju sigurnosni rad i obveze usklađenosti. U praksi to znači zaštitu podataka i sustava na načine koji ispunjavaju pravila za koja ste odgovorni, a zatim prikazivanje dokaza kroz osnovne postavke, nadzor i zapise.

Većina propisa i standarda uključuje sigurnosna očekivanja. Uobičajeni zahtjevi često obuhvaćaju:

• Rukovanje podacima: jasna pravila za način prikupljanja i obrade osjetljivih podataka.
• Sigurna pohrana i pristup: šifriranje i kontrolirani pristup radi smanjenja neovlaštenog izlaganja.
• Izvješćivanje i nadzor: redovite provjere, podrška za nadzor i obavijesti o povredi gdje je to potrebno.

Možda ćete trebati mapirati svoje kontrole na više okvira istodobno.

Tri uobičajena standarda uključuju:

• Opća uredba o zaštiti podataka (OUZP): Pravna okosnica EU-a usmjerena na privatnost i zaštitu osobnih podataka; usklađenost znači pridržavanje standarda usklađenosti s OUZP-om i poticanje snažnije kontrole nad osobnim podacima.
• Health Insurance Portability and Accountability Act (HIPAA): to su američki zakoni i pravila u području zdravstvene zaštite koji utvrđuju zahtjeve za upotrebu, otkrivanje i zaštitu zaštićenih zdravstvenih informacija (PHI), uključujući mjere zaštite iz Pravila o sigurnosti za elektroničke PHI.
• Standardi sigurnosti industrije platnih kartica (PCI DSS): globalni standard informacijske sigurnosti za tvrtke ili ustanove koje pohranjuju, obrađuju ili prenose podatke nositelja kartica, osmišljen za smanjenje prijevara kroz snažniju kontrolu podataka o kreditnim karticama.

1. Započnite s polazištem za sigurnost. Upotrebljavajte definirano polazište za ključne sustave kako bi timovi znali što vaša tvrtka ili ustanova smatra dobrom konfiguracijom. Pratite postavke koje odstupaju od propisanih vrijednosti i otklonite nedostatke.

2. Uspostavite snažne kontrole pristupa i šifriranja. Primijenite kontrolirani pristup i šifriranje kako biste smanjili neovlašteno izlaganje povjerljivih podataka.

3. Redovito provodite procjene i revizije. Provodite povremene nadzore i procjene kako biste pronašli nedostatke te potvrdili da kontrole i dalje zadovoljavaju zahtjeve.

4. Obučite zaposlenike za rukovanje podacima. Usklađenost sa sigurnosnim zahtjevima ovisi o svakodnevnim odlukama, pa su obuka i jasne smjernice važni.

5. Držite dokumentaciju spremnom za provjere. Održavajte zapise koji podržavaju provjere revizijske i regulatorne usklađenosti kako biste mogli brzo reagirati kada se to od vas zatraži.

6. Upotrebljavajte nadzor i tijek rada kako biste ostali u tijeku. Upotrebljavajte alate i procese koji podržavaju kontinuirano praćenje, nadzor i korektivne mjere, umjesto da se oslanjate samo na jednokratne provjere.

Automatizacija i kontinuirana usklađenost pomažu timovima da zahtjeve, kontrole i dokaze održavaju ažurnima kako se okruženje mijenja. Umjesto da se usklađenost tretira kao povremeni događaj, ovaj pristup tretira je kao stalan niz malih provjera i ažuriranja kojima je lakše upravljati i koje je lakše provjeriti.

Nekoliko promjena čini automatizaciju praktičnijom, ali i potrebnijom, nego prije:

• Rast okruženja s više oblaka i SaaS-a: podaci i radna opterećenja premještaju se među više servisa i dobavljača, što povećava broj mjesta na kojima se kontrole moraju primijeniti i pratiti.
• Propisi koji se brzo mijenjaju: zahtjevi se mijenjaju, a ono što je bilo dobro prošle godine ove godine može biti zastarjelo, posebno kada su u pitanju očekivanja u vezi s privatnošću i sigurnošću.
• Raspodijeljeno vlasništvo: vlasnici kontrola često se nalaze u različitim timovima (sigurnost oblaka, IT, inženjering, pravna služba, ljudski potencijali), pa su koordinacija i dosljedno prikupljanje dokaza još važniji.

Kad razmatrate automatizaciju i kontinuiranu usklađenost, usredotočite se na mogućnosti koje smanjuju ručni rad bez gubitka odgovornosti.

Započnite sa standardiziranim procjenama koje upotrebljavaju ponovno upotrebljive skupove kontrola. To podržava dosljednost među timovima i olakšava usporedbu rezultata tijekom vremena.

• Standardizirane procjene: upotrebljavajte istu strukturu procjene u svakom ciklusu kako bi se napredak (i regresije) lako uočili.
• Ponovno upotrebljivi skupovi kontrola: ponovno upotrijebite osnovni skup kontrola umjesto da za svaki novi zahtjev iznova pišete provjere.

Mapiranje zajedničkih kontrola smanjuje dupliciranje među okvirima tako što jednu kontrolu povezuje s više zahtjeva.

Evo kako to izgleda u praksi:

1. Jedna praksa kontrole pristupa (na primjer, „ograničen pristup osjetljivim podacima”) može zadovoljiti dijelove više standarda.
2. Dokazi prikupljeni za tu kontrolu mogu se ponovno upotrijebiti kada izvješćujete prema različitim okvirima, umjesto da se isti dokaz iznova izrađuje na više mjesta.
3. Ažuriranja kontrole (ili njezine dokumentacije) prenose se na svaki okvir koji o njoj ovisi.

Kontinuirano nadziranje usredotočuje se na status kontrola i stanje usklađenosti, tj. jesu li kontrole postavljene, rade li i dalje prema očekivanjima i je li se nešto promijenilo pa je potrebno daljnje postupanje.

Evo uobičajenih signala nadzora koje timovi prate:

• Status kontrole: to može uključivati prolazi, ne prolazi ili još nije procijenjeno.
• Pokazatelji promjena: promjene konfiguracije, ažuriranja pravila ili novi sustavi mogu zahtijevati nove provjere.
• Obrasci iznimki: ponavljajuće iznimke mogu upućivati na kontrole koje je potrebno preoblikovati ili kojima je potrebno jače vlasništvo.

Dokazi se obično rasprše po pristigloj pošti, zajedničkim pogonima i nitima zadataka ako to ne planirate unaprijed. Centralizirano upravljanje dokazima čuva artefakte na jednom mjestu i povezuje ih s odgovarajućom kontrolom, vlasnikom i ciklusom pregleda.

Tijek rada i dodjela zadataka ovdje su važni jer pretvaraju stvari koje treba ispraviti u rad koji se može pratiti:

• Tijek rada: dosljedan put za provjere, odobrenja i potvrde.
• Dodjela zadataka: jasno dodijeljene odgovornosti, rokovi i praćenje napretka povezani s kontrolom ili procjenom.
• Spremnost dokaza: brz način da odgovorite na pitanje: „Koje dokaze imamo?” i „Je li ažurno?”.

Ocjenjivanje na temelju rizika i modeli zrelosti pomažu timovima odlučiti što prvo popraviti. Cilj nije istodobno rješavati svaki manji nedostatak, nego usmjeriti otklanjanje na probleme koji stvaraju najveću izloženost.

To pomaže odrediti prioritete otklanjanja prema sljedećim stavkama:

• Rangiranje rada prema utjecaju: postavite praznine s najvećim rizikom na vrh reda čekanja.
• Praćenje poboljšanja tijekom vremena: rezultat ili razina zrelosti daje jasan prikaz stanja prije i poslije kada dovršite radove na otklanjanju.
• Podrška dosljednim odlukama: kada timovi upotrebljavaju isti model ocjenjivanja ili zrelosti, određivanje prioriteta manje je subjektivno i lakše ga je objasniti.

Kad počnete automatizirati procjene, nadzor i prikupljanje dokaza, sljedeći je korak odlučiti što ćete pratiti i kako ćete izvještavati o napretku kako bi vodstvo moglo vidjeti trendove rizika, odrediti prioritete za ispravke i pokazati rezultate tijekom vremena.

Čak i dobro vođeni programi mogu zastati kada se zahtjevi množe, sustavi se šire kroz okruženja, a odgovornost postaje nejasna. Rješenja se obično svode na smanjenje dvostrukog rada, bolju disciplinu pri prikupljanju dokaza i postavljanje jasnih zaštitnih ograda za nove alate.

Problem: u aplikaciji Teams isti se zahtjev prati na više mjesta, slične se kontrole ponovno pišu za različite propise, a vrijeme se troši na usklađivanje preklapajućih kontrolnih popisa.

Kako to izbjeći: upotrebljavajte zajedničko mapiranje kontrola za sve propise.

Praktičan pristup jest mapirati jednu kontrolu na više okvira kako ne biste svaki put ponavljali isti posao kada dodajete novi standard.

• Izgradite zajedničku biblioteku kontrola. Zadržite osnovni skup kontrola koje se pojavljuju u brojnim zahtjevima (kontrola pristupa, zapisivanje događaja, šifriranje, zadržavanje, odgovor na incidente).
• Mapirajte jedanput, ponovno upotrebljavajte često. Povežite svaku kontrolu sa svakim propisom/standardom koji je očekuje, a zatim se na to mapiranje pozivajte tijekom pregleda i revizija.
• Ažurirajte kontrolu, a ne svaki kontrolni popis. Kada se kontrola promijeni, dopustite da se ta jedna izmjena prenese na mapirane zahtjeve umjesto da uređujete više kopija.

Brza provjera: ako dva tima održavaju zasebne kontrole za isto područje s različitim tekstom, plaćate porez na dupliciranje.

Problem: dokazi se raspršuju po razgovorima, nitima e-pošte, komentarima u potvrdama o prijavi i zajedničkim pogonima. Kad stigne zahtjev za reviziju, ljudi u žurbi pokušavaju pronaći artefakte i ponovno uspostaviti kontekst.

Kako to izbjeći: centralizirajte artefakte i dodijelite vlasnike kontrola.

Centraliziranje dokaza najbolje funkcionira kada svaka kontrola ima imenovanog vlasnika koji zna kako izgleda „dobar dokaz” i gdje se nalazi.

• Jedno mjesto za dokaze. Pohranite artefakte, bilješke i ažuriranja statusa na jednom mjestu povezanom s kontrolom. (Brojni alati podržavaju priložene dokaze i praćenje statusa unutar akcija za poboljšanje.)
• Jasno vlasništvo. Dodijelite vlasnika kontrole odgovornog za održavanje aktualnosti artefakata i odgovaranje na zahtjeve za dokazima.
• Definirajte „minimalno održiv dokaz”. Za svaku kontrolu dokumentirajte što trebate prikazati:
  • što je kontrola
  • tko je njezin vlasnik
  • kako se provjerava
  • koji se dokaz prikuplja
  • koliko se često osvježava.
• Upotrebljavajte tijekove rada i dodjelu zadataka. Pratite zahtjeve, rokove i korake pregleda kako se prikupljanje dokaza ne bi oslanjalo na pamćenje.

Jedna jednostavna navika koja pomaže: ako se dokaz ne može lako pronaći za dva mjeseca, nije pohranjen na pravom mjestu.

Problem: različite platforme u oblaku dolaze s različitim zadanim postavkama, obrascima zapisivanja i sigurnosnim postavkama. Kontrole s vremenom odstupaju kako se usluge ažuriraju i timovi rade lokalne promjene.

Kako to izbjeći: postavite standardiziranu praksu za pravilnik kao kôdu i osnovne sigurnosne postavke.

Stabilan pristup jest standardizirati očekivanja u dva sloja: pravilnik kao kôd za dosljedna pravila i osnovne sigurnosne postavke za minimalno konfiguracijsko stanje koje očekujete posvuda.

• Pravilnik kao kôd za ponovljivost. Definirajte ključne zahtjeve (kao što su šifriranje, zahtjevi za identitet, zapisivanje događaja, zadržavanje) u obliku koji se može dosljedno primijeniti u svim okruženjima.
• Osnovne linije sigurnosnog stanja za jasnoću. Održavajte osnovni skup sigurnosnih postavki i pratite kada sustavi odstupaju od njega.
• Kontinuirano praćenje statusa kontrola. Pratite jesu li kontrole uspješne ili neuspješne tijekom vremena, a ne samo tijekom planiranih pregleda.
• Mapiranje zajedničkih kontrola i dalje je važno. Upotrebljavajte zajedničke kontrole gdje god je to moguće, čak i kada se osnovne platforme razlikuju.

Pratite odstupanja: ako je osnovna postavka dokumentirana, ali se ne nadzire, brzo zastarijeva.

Problem: ljudi usvajaju nove aplikacije, ali i nove AI alate, brže nego što ih procesi upravljanja mogu pregledati. To povećava vjerojatnost da će se osjetljivi podaci dijeliti na mjestima koja nisu provjerena.

Kako to izbjeći: upotrebljavajte odobrene alate, oznake, nadzor i ažurirane predloške.

Uspostavite jasne zaštitne mjere koje odgovaraju načinu na koji ljudi zapravo rade, osobito kako se AI alati šire.

• Definirajte odobrene alate. Objavite kratak popis odobrenih aplikacija i AI alata, uz put za traženje novih.
• Označite povjerljive podatke. Primijenite oznake povjerljivosti kako bi ljudi znali što zahtijeva dodatnu pažnju i kako bi kontrole mogle djelovati na temelju oznake.
• Pratite rizike u komunikaciji. Dodajte nadzor usmjeren na rizične obrasce dijeljenja (na primjer, kopiranje povjerljiva sadržaja u neodobrene alate ili slanje na neovlaštena odredišta).
• Usvojite predloške usklađene s promjenjivim propisima (uključujući AI). Upotrebljavajte predloške i kontrolne popise koji odražavaju nove zahtjeve kako se pravila za AI mijenjaju te ih osvježavajte prema rasporedu umjesto da čekate sljedeću godišnju provjeru.

Praktična podjela koja pomaže zadržati zamah jest:

• Blokirajte visokorizične alate za koje ne postoji poslovna potreba.
• Dopustite alate nižeg rizika samo za neosjetljive poslove i dodajte zaštitne mjere kako biste smanjili rizik od curenja podataka.
• Standardizirajte na mogućnosti poslovne razine za rad koji uključuje osjetljive podatke.

Vidjeli ste kako funkcionira snažan program upravljanja usklađenošću: postavite jasna pravila, dodijelite odgovornost, procijenite rizik, uklonite nedostatke, pratite kontrole i izvještavajte o napretku na način na koji čelnici mogu djelovati. Kad sve te dijelove povežete, trošite manje vremena na prikupljanje dokaza, a više na poboljšavanje načina na koji se posao obavlja.

Ako počinjete od nule ili jačate postojeći program, stvari možete održati upravljivima na sljedeći način:

• Odaberite jednu procjenu koja odgovara vašoj kratkoročnoj potrebi (propis, standard ili interni zahtjev koji već pratite).
• Upotrebljavajte popis poboljšanja kao zaostali posao za rad, a zatim dodijelite odgovorne osobe za provedbu i testiranje.
• Redovito pregledavajte rezultat i prikaz „potrebna pažnja“ kako biste zadržali fokus na radu s najvećim učinkom.
• Prikupljajte dokaze i ažuriranja statusa usput kako se izvješćivanje za reviziju ne bi provodilo u posljednji trenutak.

Upravitelj usklađenosti za Microsoft Purview osmišljen je kako bi vam pomogao procijeniti i upravljati usklađenošću u više oblaka te podržao cijeli postupak, od popisa rizika za zaštitu podataka do implementacije kontrola, praćenja propisa i certifikata te izvješćivanja revizora.

Dobijte pomoć pri organiziranju zahtjeva u procjene, pretvorite nedostatke u dodijeljene akcije poboljšanja, pratite napredak s pomoću rezultata temeljenog na riziku i podržite izvještavanje revizorima, i to sve na jednom mjestu.