Segítsen a szervezetének betartani az alkalmazandó törvényeket, szabályozásokat és belső szabályzatokat – és dokumentálja azokat a bizonyítékokat, amelyek igazolják a megfelelést – megfelelőségkezeléssel.
Mi az a megfelelőségkezelés?
Gondoskodjon arról, hogy a szervezete betartsa az alkalmazandó törvényeket, szabályozásokat és belső házirendeket.
Legfontosabb tanulságok
- A megfelelőségkezelés úgy tartja összhangban a szervezetet a külső követelményekkel és a belső szabályokkal, hogy összekapcsolja az elszámoltathatóságot, az óvintézkedéseket és a bizonyítékokat.
- Egy jól működő program alapja a világos házirend, az ismételhető munkafolyamatok, a leképezett szabványok, a jól meghatározott kontrolltulajdonlás és a rendezett bizonyítékok.
- A megfelelőségi kockázat kezelése azt jelenti, hogy azonosítjuk a valószínű hiányosságokat, hatásuk szerint rangsoroljuk őket, elvégezzük a legfontosabb javításokat, és figyeljük, hogy a kontrollok idővel is hatékonyak maradnak-e.
- A folyamatos monitorozás, a gyakorlati mutatók és a strukturált fejlesztési ciklus segíti a csapatokat abban, hogy jelenteni tudják az előrehaladást, elvégezzék az értékeléseket, és készen álljanak az auditokra.
Mi az a megfelelőségkezelés?
Így lehet erre gyakorlatiasan tekinteni: a megfelelőségkezelés az a mód, ahogyan a szervezet megtanulja, mit kell betartania, ezt beépíti a folyamataiba, ellenőrzi a teljesítményt, és kijavítja a hiányosságokat.
A megfelelőségkezelés három dolgot kapcsol össze:
- Adatgazdálkodás: Azok a szabályok és felügyeleti mechanizmusok, amelyek meghatározzák az elvárásokat (szabályzatok, szabványok és az elszámoltathatóság).
- Adatbiztonság: azok a kontrollok és óvintézkedések, amelyek a rendszereket és az adatokat a napi működés során védik.
- Bizonyosság: Azok a monitorozási, dokumentálási és felülvizsgálati tevékenységek, amelyek igazolják, hogy a követelmények teljesültek.
Elsődleges célok
1. Kockázatcsökkentés. A megfelelőségkezelés segít csökkenteni a kockázatot azáltal, hogy figyeli, a kontrollok működnek-e, és felismeri azokat a változásokat, amelyek új kitettséget hozhatnak létre. Ez az egyik oka annak, hogy sok szervezet az időszakos felülvizsgálatokról gyakoribb monitorozásra vált.
A gyakorlatban így néz ki a kockázatcsökkentés:
- A követelményeket és a kontrollok állapotát időben követi, nemcsak az audit idején.
- Emellett korán felismeri a hiányosságokat, majd dokumentálja a helyesbítő intézkedéseket.
2. Jogi megfelelés. A megfelelőségkezelés segít a szervezeteknek megérteni a kötelezettségeiket, és lépést tartani a szabályok változásával. Az olyan szabványok, mint az ISO útmutatása a megfelelőségkezelési rendszerekhez, arra összpontosítanak, hogy létrehozzanak, fenntartsanak, értékeljenek és fejlesszenek egy olyan rendszert, amely a megfelelőségi kötelezettségeket kezeli.
A leggyakoribb kimenetek a következők:
- A követelményeket tükröző szabályzatok és eljárások.
- Az auditokat, nyilatkozatokat vagy belső felülvizsgálatokat alátámasztó bizonyítékok.
3. Bizalomépítés. A bizalom abból fakad, ha következetesek és átláthatóak vagyunk – az ügyfelek, partnerek és szabályozó hatóságok gyakran tudni akarják, hogy az adatokat a szabályzatnak megfelelően kezelik-e, és hogy a kontrollok működnek-e. Fontos, hogy a bizalmat a biztonság, az adatvédelem, a megfelelőség és az átláthatóság köré építsük, mert ez összhangban van azzal, amit a megfelelőségkezelés támogatni kíván.
A megjeleníthető megbízhatósági jelek a következők:
- Egyértelmű felelősségi körök és felügyelet.
- Olyan dokumentáció, amely előállítható, amikor kérdések merülnek fel.
Miért fontos
Üzleti kockázat
Ha a megfelelőségi munka informális vagy szétszórt, a csapatok elmulaszthatnak követelményeket, megismételhetnek feladatokat, vagy olyan egyszeri ellenőrzésekre támaszkodhatnak, amelyek idővel elavulnak. Az időponthoz kötött értékelések, például az éves auditok, gyorsan elavulhatnak, és a következő felülvizsgálatig keletkezhet egy rés.
Problémák merülhetnek fel, ha a következőkkel rendelkezik:
- Egyes csapatoknál ütköző házirendek vagy következetlen kontrollok.
- Manuális jelentéskészítés és a bizonyítékok utáni kutakodás, ami lelassítja a reagálást auditok vagy vizsgálatok során.
Jogi és szabályozási kitettség
A szabályozások gyakran meghatározzák, hogyan kell az adatokat kezelni, tárolni és továbbítani, ezért a megfelelőség sok szervezetben vezetői szintű témává válik. A strukturált megfelelőségi megközelítés segíti a csapatokat abban, hogy lépést tartsanak a követelményekkel, és megmutassák, hogyan teljesülnek a kötelezettségek.
A kitettség csökkenthető a következőkkel:
- A kötelezettségek és a leképezett kontrollok világos leltára.
- Rendszeres monitorozás és dokumentált utánkövetés, ha problémát találnak.
A bizalom elvesztése
A bizalom könnyebben megőrizhető, ha az alapvető kérdésekre gyorsan tud válaszolni:
- Milyen szabályok vonatkoznak rá?
- Milyen vezérlők vannak érvényben?
- Milyen bizonyíték mutatja, hogy működnek?
A megfelelőségkezelés támogatja ezt a felkészültséget, többek között vizsgálatok vagy jogi eljárás során is, amikor adatokra és nyilvántartásokra lehet szükség.
A megfelelőségkezelés alapvető összetevői
Egy erős megfelelőségkezelési program világos elvárásokra, ismételhető munkamódokra, napi szintű óvintézkedésekre, valamint azokat a pályán tartó emberekre és eszközökre épül.
Házirendek
A házirendek rögzítik, mit kell tennie a szervezetnek, és milyen a megfelelés. A kötelezettségeket világos elvárásokká alakítják, amelyeket az emberek követhetnek.
Gyakori házirendi területek:
- Az adatkezelési és -hozzáférési szabályok.
- Nyilvántartások, megőrzés és az auditokhoz szükséges bizonyítékokra vonatkozó elvárások.
- Jelentési és eszkalációs útvonalak arra az esetre, ha valami rosszul alakul.
Eljárások
A folyamatok azok a lépésről lépésre haladó rutinok, amelyeket a csapatok követnek a követelmények következetes teljesítéséhez – felülvizsgálati ciklusok, jóváhagyások, tesztelés és a problémák utókövetése.
A megfelelőségi folyamatok példái:
- Rendszeres felülvizsgálatok annak megerősítésére, hogy a követelmények beépültek az üzleti munkafolyamatokba.
- A kontrollok állapotának folyamatos monitorozása, nem csak az éves ellenőrzések.
- Javító intézkedési munkafolyamatok, ha hiányosságokat találnak.
Szabványok
A szabványok és keretrendszerek referenciaként szolgálnak, amelyekhez viszonyítani lehet a mérést. Ezek származhatnak szabályozásokból, iparági szabványokból vagy belső követelményekből.
A szabványok gyakorlati rendszerezésének egyik módja, ha követelménymintákként kezeljük őket, amelyeket csoportosítani és követni lehet. Például az értékelés egy adott szabályozásból, szabványból vagy szabályzatból származó kontrollok csoportosítása.
Vezérlők
A kontrollok azok a konkrét ellenőrzések és gyakorlatok, amelyek bizonyítják, hogy egy követelmény teljesül – és amelyek összekapcsolják azt a rendszer-konfigurációval, a szervezeti folyamattal és a kijelölt felelősséggel.
A hasznos vezérlőkategóriák a következők:
- Szolgáltató által kezelt kontrollok, amelyeket a felhőszolgáltató kezel
- A szervezet által kezelt kontrollok, amelyeket a csapatai kezelnek
- Megosztott vezérlők, ahol a felelősség megoszlik
Szerepkörök és a kötelezettségek
A megfelelőségkezelés akkor működik a legjobban, ha a felelősségek egyértelműek. Egy sikeres programnak két olyan szerepkörcsoportja van, amelynek tagjai közé tartozik a vezetői felügyelet és a napi megfelelőségi felelősség.
Igazgatótanácsi és vezetői felügyelet
A vezetőség feladata az elvárások meghatározása, a házirendutasítások elfogadása, a jogosultságok kijelölése, az erőforrások biztosítása, valamint a megfelelőségi tevékenységekről és megállapításokról szóló rendszeres jelentések fogadása.
A felügyelet gyakran ezt foglalja magában:
- Egyértelmű megfelelőségi elvárások és a házirend jóváhagyása.
- Egy megnevezett tulajdonos (belső ellenőr vagy bizottság), aki jogosult intézkedni.
- Rendszeres jelentések az auditokról, a problémákról és a javító intézkedésekről.
Belső ellenőr
Ez a szerepkör felelős a házirendekért és eljárásokért, a képzésért, a megfelelőség felülvizsgálatáért, a felmerülő problémák nyomon követéséért, a panaszok kezeléséért, az eredmények jelentéséért és a javító intézkedések biztosításáért.
Egy egyszerű, skálázható felelősségmegosztás például a következőket foglalná magában:
- Az ellenőrzések tulajdonosai karbantartják az adott ellenőrzéseket, és bizonyítékokat szolgáltatnak.
- A megfelelőségi csapatok kialakítják a struktúrát, elvégzik az értékeléseket, nyomon követik a hiányosságokat, és támogatják az auditokat.
- A vezetés áttekinti az előrehaladást, megszünteti az akadályokat, és jóváhagyja a prioritásokat.
Eszközök és rendszerek
Kis léptékben a táblázatok is működhetnek, de a legtöbb szervezet olyan eszközöket használ, amelyek egy helyen tartják a követelményeket, az ellenőrzéseket, a bizonyítékokat és a felelősségi köröket — különösen több felhő és üzleti egység esetén.
Mire érdemes figyelni egy megfelelőségkezelési szoftverben
A gyakorlatban az alábbi képességek segítenek csökkenteni a duplikációt és naprakészen tartani a munkát:
- Értékelések, amelyek újrahasznosítható ellenőrzőlisták a követelményekhez és az ellenőrzésekhez.
- Ellenőrzés-hozzárendelés, amelynél egy ellenőrzés több szabványhoz van rendelve, így csökken az ismétlődő munka.
- Figyelés, amely láthatóságot ad az ellenőrzések állapotáról az idő múlásával.
- Bizonyítékkezelés, amely egyetlen helyet biztosít az anyagok, a jegyzetek és az állapot tárolására.
- Munkafolyamat és feladatkezelés a feladatokhoz, a határidőkhöz és az előrehaladás nyomon követéséhez.
- Pontozás, amely kockázatalapú nézetet ad, és segít azokra a fejlesztési feladatokra összpontosítani, amelyek a legfontosabbak.
Terv készítése
Ahogy bevezeti a megfelelőségkezelést a szervezeténél, keresse a válaszokat az alábbi kérdésekre:
- Vannak írásos házirendjeink, amelyek megfelelnek a kötelezettségeinknek?
- Dokumentáltak a fő folyamatok?
- A vezérlők szabványoknak vannak megfeleltetve, hogy a csapatok ne ismételjék meg ugyanazt a munkát?
- Gyorsan tudunk bizonyítékot szolgáltatni, ha audit vagy vizsgálat történik?
- Egyértelműek a felelősségi és jelentési szerepkörök?
A megfelelési kockázat megértése és kezelése
Mit jelent a megfelelőségi kockázat?
A megfelelőségi kockázat annak az esélye, hogy a szervezet nem felel meg egy törvénynek, rendeletnek, szabványnak vagy belső szabályzatnak – és ennek következményei lesznek. A megfelelőségi kockázatkezelés az a munka, hogy ezeket a kockázatokat korán felismerjük, rangsoroljuk őket, és nyomon kövessük, hogy a megfelelő ellenőrzések megvannak-e és működnek-e.
A megtervezendő megfelelőségi kockázattípusok
A különböző kockázatok gyorsan összeadódhatnak, különösen akkor, ha a követelmények változnak, vagy az adatok környezetek között mozognak. Gyakori kockázati kategóriák:
- Jogi: Kitettség jogi eljárásnak vagy hatósági intézkedésnek, ha a követelmények nem teljesülnek.
- Pénzügyi: A bírságokból, szankciókból és azokra adott válaszhoz szükséges utólagos munkából eredő költségek.
- Hírnévbeli: Az ügyfelek bizalmának elvesztése és a negatív nyilvánosság, amikor a problémák nyilvánossá válnak.
- Adatszivárgás: Nagyobb valószínűségű érzékenyadat-kiszivárgás, ha a szükséges biztonsági gyakorlatok hiányoznak vagy következetlenek.
A megfelelőségi kockázat felmérése
Egy jól felépített értékelési folyamat strukturált, ismételhető, és a munkához legközelebb álló emberekkel együtt frissítik. Így lehet megközelíteni:
1. Használjon strukturált kockázatértékelési folyamatot. Hozzon létre egy egyértelmű módszert a megfelelőségi kockázatok mérésére és rangsorolására, ahelyett hogy eseti mérlegelésre támaszkodna.
2. Dolgozzon a megfelelő érdekelt felekkel. Határozza meg a kockázattulajdonosokat, és működjön együtt azokkal a szakterületi szakértőkkel, akik értik a súlyossági szinteket; vonja be a releváns vezetőket, és vegye figyelembe a külső kockázati forrásokat is.
3. Becsülje meg a hatást és a valószínűséget. Számítsa ki a kockázat hatását és valószínűségét az eredendő kockázat meghatározásához.
4. Vegye figyelembe a vezérlési környezetét. Vegye figyelembe, hogy a meglévő ellenőrzések hogyan változtatják meg a képet, hogy meg tudja határozni és rangsorolni tudja a maradványkockázatot.
5. Az eredmények alapján döntsön a következő lépésekről. Frissítse az értékeléseket a vezetői visszajelzésekkel, hogy továbbra is a magasabb kockázatú területekre összpontosíthasson, és rangsorolni tudja a házirendek, eljárások és ellenőrzések fejlesztését.
6. Ismételjen ütemezetten – ne csak egyszer. A rendszeres értékelések és auditok segítenek feltárni a hiányosságokat, és ellenőrizni a követelményeknek való megfelelést.
Hogyan mérje és kövesse nyomon az megfelelési kockázatot idővel
Nem tudja kezelni a nem látható elemeket. A mérésnek nem kell bonyolultnak lennie – kezdjen egy kis számú jelzéssel, amelyek segítenek felismerni a trendeket és a munkára összpontosítani.
Olyan mérőszámok, amelyek rendben tartják a programot
Olyan mérőszámokat válasszon, amelyek művelethez vezetnek, és megmutatják, hogy a kockázat csökken-e, például:
- A problémák súlyosság szerint, hogy a kritikus hiányosságok kerüljenek előtérbe.
- Az elhárítás ideje, vagyis hogy milyen gyorsan javítják a hiányosságokat.
- Az auditálás találatai és a házirendi kivételek megmutatják, mi jelenik meg újra és újra, és miért.
- A képzés teljesítése, amely alapvető jelzője annak, hogy az emberek megkapták az útmutatást.
- A kockázati profilját leíró kulcs teljesítménymutatók (KPI-k), amelyek egységes mérőszámok a jelentéskészítéshez és az elemzésekhez.
Pontozási és előrehaladási nézetek
Egyes megfelelőségi eszközök egy kockázatalapú pontszámmal követik az előrehaladást, amely a fejlesztési intézkedések teljesítéséhez és a következő teendők kiemeléséhez kapcsolódik.
- Egy kockázatalapú megfelelőségi pontszám mérheti az előrehaladást a fejlesztési intézkedések teljesítésének nyomon követésével, és segíthet a következő elvégzendő feladatokra összpontosítani.
- A pontszámok tükrözhetik az intézkedések relatív hatását aszerint, hogy hogyan sorolják be őket (például megelőző, észlelő vagy korrekciós).
Gyors kockázati ellenőrző kérdések áttekintésekhez
- Van naprakész képünk arról, mely kockázatok a legmagasabbak, és ki a felelős értük?
- A kockázatokat a hatás és a valószínűség alapján rangsoroljuk, majd frissítjük őket annak megfelelően, ahogy az ellenőrzések teljesítenek?
Követünk egy kis számú mérőszámot (súlyosság, helyreállítási idő, kivételek), és cselekszünk is azok alapján, amit mutatnak?
A biztonsági megfelelőségkezelés
A biztonsági megfelelőségkezelés ott helyezkedik el, ahol a biztonsági munka és a megfelelőségi kötelezettségek metszik egymást. A gyakorlatban ez azt jelenti, hogy az adatokat és rendszereket úgy védi, hogy azok megfeleljenek az Önre vonatkozó szabályoknak – majd ezt alapértékekkel, monitorozással és nyilvántartásokkal bizonyítja.
Ahol a biztonság és a megfelelőség találkozik
A legtöbb rendelet és szabvány tartalmaz biztonsági elvárásokat. A gyakori követelmények gyakran a következőkre terjednek ki:
- Adatkezelés: Egyértelmű szabályok arra, hogyan gyűjtik és dolgozzák fel az érzékeny adatokat.
- Biztonságos tárolás és hozzáférés: Titkosítás és szabályozott hozzáférés a jogosulatlan hozzáférés csökkentése érdekében.
- Jelentéskészítés és auditálás: Rendszeres ellenőrzések, audit támogatása és szükség esetén biztonságiincidens-értesítések.
Főbb keretrendszerek és szabályozások
Előfordulhat, hogy a vezérlőket egyszerre több keretrendszerhez is hozzá kell rendelnie.
Három gyakori szabvány a következőket tartalmazza:
- Általános adatvédelmi rendelet (GDPR): A személyes adatok védelmére és védelmére vonatkozó EU-s jogi keretrendszer; A megfelelőség a GDPR-megfelelőségi követését és a személyes adatok erősebb szabályozásának támogatását ismerteti.
- Az egészségügyi biztosítás hordozhatóságáról és felelősségre vonhatóságáról szóló határozat (HIPAA): Ezek az Egyesült Államok egészségügyi törvényei és szabályai, amelyek a védett egészségügyi adatok (PHI) használatára, közzétételére és védelmére vonatkozó követelményeket határozzák meg, beleértve az elektronikus PHI biztonsági szabályainak védelmét is.
- Payment Card Industry Security Standards (PCI DSS): A kártyatulajdonosi adatokat tároló, feldolgozó vagy továbbító szervezetek globális információbiztonsági szabványa, amelynek célja a csalások csökkentése a hitelkártyaadatok erősebb szabályozásával.
Biztonsági megfelelőségi ajánlott eljárások
1. Kezdje egy biztonsági alappal. Alkalmazzon egy meghatározott alapkonfigurációt a kulcsfontosságú rendszereknél, hogy a csapatok tudják, mit tekint a szervezet jó beállításnak. Figyelje azokat a beállításokat, amelyek eltérnek az előírt értékektől, és javítsa ki a hiányosságokat.
2. Vezessen be erős hozzáférési és titkosítási vezérlőket. Alkalmazzon szabályozott hozzáférést és titkosítást az érzékeny adatok jogosulatlan hozzáférésének csökkentésére
3. Rendszeresen futtasson értékeléseket és auditokat. Végezzen rendszeres auditokat és értékeléseket, hogy feltárja a hiányosságokat, és ellenőrizze, hogy a vezérlők továbbra is megfelelnek-e a követelményeknek.
4. Tanítsa meg az embereket az adatok kezelésére. A biztonsági megfelelőség a mindennapi döntéseken múlik, ezért a képzés és az egyértelmű útmutatás fontos.
5. Készítse elő a dokumentációt az áttekintésekhez. Kezelheti a naplózást és jogszabályi megfelelőségi felülvizsgálatokat támogató rekordokat, így gyorsan reagálhat a kérdésekre.
6. Használjon felügyeletet és munkafolyamatokat, hogy naprakész maradjon. Használjon olyan eszközöket és folyamatokat, amelyek támogatják a folyamatos monitorozást, nyomon követést és korrekciós intézkedéseket, ahelyett hogy csak az adott pillanatban végzett felülvizsgálatokra támaszkodna.
Egy megfelelőségkezelési program bevezetése
Egy jól működő megfelelőségkezelési program egy ismételhető ciklusra épül. Sok csapat egy ötlépéses folyamatot használ, amely szervezetten tartja a munkát, és megkönnyíti az előrehaladás bemutatását az áttekintések és auditok során.
1. Értékelés. Kezdje egy strukturált értékeléssel, amely megállapítja, hogy mi vonatkozik Önre, és mi van már érvényben. Egy jó értékelési folyamat világos módszert, a megfelelő érintettek bevonását, valamint az üzleti hatás és a bekövetkezési valószínűség becslésének módját is tartalmazza.
Ehhez a lépéshez ügyeljen a következőkre:
- Használjon strukturált belső kockázati értékelési folyamatot az eseti döntések helyett.
- Határozza meg a kockázattulajdonosokat, és dolgozzon együtt olyan szakértőkkel, akik értik a súlyossági szinteket.
- Becsülje meg az üzleti hatást és a bekövetkezési valószínűséget, hogy megértse az eredendő kockázatot.
2. Hiányelemzés. Ezután hasonlítsa össze a követelményeket a jelenlegi vezérlőkkel és dokumentációval, hogy azonosítsa a hiányosságokat. Az auditra való felkészülési munkában ezt gyakran „vezérlőhiány-elemzésként” és „priorizált ajánlásokként” említik.
A hiányelemzésből előállítható dolgok többek között:
- A hiányosságok listája, amelyek konkrét vezérlőkhöz vagy követelményekhez kapcsolódnak.
- Prioritás szerint rendezett ajánlások a hiányosságok kezelésére.
3. Szervizelés. Alakítsa a hiányosságokat cselekvési tervekké. A javítási munkát gyakran intézkedési tervek és nyomon követés útján kezelik, állapotjelentéssel, hogy a csapatok lássák, mi halad, és mi akadt el.
Tartsa kezelhető szinten a szervizelést az alábbiakkal:
- Elhárítási cselekvési tervek létrehozása a megállapításokhoz.
- A cselekvési terv állapotának nyomon követése és jelentése.
- Munkafolyamatok és feladatok használata, így a tulajdonosok és a határidők egyértelműek.
4. Figyelés. Miután a javítások elkészültek, figyelje a rendszert, hogy megbizonyosodjon róla: a vezérlők továbbra is következetesek. A monitorozás gyakran két dologra összpontosít: hogy a vezérlők működnek-e, és hogy a beállítások eltérnek-e az alapkonfigurációtól.
A gyakorlatban a következőket fogja tenni:
- Figyelje a mérséklések hatékonyságát, és tegyen lépéseket, amikor problémák jelennek meg.
- Figyelje a vezérlők állapotának és megfelelőségének időbeli változását, ne csak az éves felülvizsgálatok során.
- Használjon alapkonfigurációs monitorozást, hogy észlelje az előírt értékektől való eltérést.
Egy átfogó kiberbiztonsági platform, például egy biztonsági információ- és eseménykezelési (SIEM) megoldás támogatja a szervezetek figyelését és veszélyforrások elleni védelmét.
5. Folyamatos fejlesztés. A megfelelőségi programok akkor maradnak hasznosak, ha a monitorozás és az auditok eredményei alapján frissítik és fejlesztik őket. Ez magában foglalja a kiberbiztonsági kockázatértékelések frissítését vezetői beavatkozással, a fejlesztések rangsorolását, valamint a program módosításainak elvégzését a követelmények változásakor.
A zajmentes továbbfejlesztés módjai a következők:
- A kockázatértékelések frissítése a vezetéssel együttműködve a magas kockázatú területek azonosítására, valamint a házirendek, eljárások és vezérlők fejlesztésének priorizálására.
- A szabályozási frissítésekkel kapcsolatos információk beépítése a program módosításához.
- Közös vezérlő-hozzárendelés és újrahasznosítható értékelések használata a duplikáció csökkentésére, ahogy a követelmények bővülnek.
A munka priorizálása kockázat és súlyosság alapján
Egy egyszerű priorizálási módszer, ha először arra összpontosít, ami a legnagyobb kockázattal és a legsúlyosabb hatással jár. A cél az, hogy ott tegyen erőfeszítést, ahol az a leginkább csökkenti a kitettséget.
Kezdje a hatással és a valószínűséggel
- Számítsa ki az üzleti hatást és a bekövetkezési valószínűséget az eredendő kockázat meghatározásához, majd vegye figyelembe a vezérlési környezetet a maradék kockázat — vagyis a fennmaradó kockázat – rangsorolásához.
- A mérséklési erőforrásokat a magasabb kockázatú területekre összpontosítsa, ne az alacsonyabb kockázatúakra.
Használjon néhány jelzést a feladatok rangsorolásához és nyomon követéséhez
Olyan mutatókat válasszon, amelyek megmutatják, mi a legsürgősebb, és hogy javulnak-e a dolgok, például:
- A problémák súlyosság szerint, hogy a kritikus hiányosságok kerüljenek előtérbe.
- Az elhárítás ideje, hogy megtudja, milyen gyorsan javítják a hiányosságokat.
- Az auditálási eredmények és szabályzattól való eltérések, hogy észrevegye az ismétlődő problémákat.
- A képzés teljesítése mint alapvető mutató arra, hogy az útmutatás eljutott az emberekhez.
Használjon kockázatalapú pontozást, ha elérhető
Egyes megfelelőségi eszközök egy kockázatalapú pontszámmal követik az előrehaladást, amely a fejlesztési intézkedések teljesítéséhez és a következő teendők kiemeléséhez kapcsolódik. Egyes megfelelőségi rendszerekben a műveletek osztályozhatók (például megelőző, észlelő vagy korrekciós), és ez az osztályozás befolyásolhatja az előrehaladás pontszámát.
Automatizálás és folyamatos megfelelőség
Az automatizálás és a folyamatos megfelelőség segít a csapatoknak naprakészen tartani a követelményeket, a vezérlőket és a bizonyítékokat, ahogy a környezet változik. A megfelelőség időszakos eseményként való kezelése helyett ez a megközelítés egyenletesen érkező, kisebb ellenőrzések és frissítések sorozataként kezeli azt, amelyeket könnyebb kezelni és könnyebb ellenőrizni.
Hajtóerők
Számos változás teszi az automatizálást gyakorlatiasabbá – és szükségesebbé – mint korábban:
- többfelhős és saaS-alapú növekedés: Az adatok és a számítási feladatok több szolgáltatásban és szállítóban mozognak, ami növeli a vezérlők alkalmazásának és nyomon követésének helyét.
- Gyorsan változó szabályozások: A követelmények változnak, és ami tavaly még megfelelő volt, idén már elavult lehet, különösen az adatvédelmi és biztonsági elvárások esetében.
- A megosztott felelősségi körök: Az ellenőrzések tulajdonosai gyakran különböző csapatokban ülnek (felhőbiztonság, IT, mérnöki csapat, jogi, HR), ezért a koordináció és az egységes bizonyítékgyűjtés még fontosabb.
Keresendő képességek
Amikor az automatizálást és a folyamatos megfelelőséget vizsgálja, azokra a képességekre összpontosítson, amelyek csökkentik a manuális munkát anélkül, hogy sérülne az elszámoltathatóság.
Kezdje szabványosított értékelésekkel, amelyek újrahasznosítható ellenőrzési készleteket használnak. Ez támogatja a csapatok közötti egységességet, és megkönnyíti az eredmények időbeli összehasonlítását.
- Szabványosított értékelések: Ugyanazt az értékelési szerkezetet használja minden ciklusban, így a fejlődés (és a visszaesések) könnyen észrevehetők.
- Újrahasznosítható ellenőrzési készletek: Használja újra az ellenőrzések alapvető készletét ahelyett, hogy minden új követelményhez újraírná az ellenőrzéseket.
Vezérlők általános megfeleltetése
A közös ellenőrzés-leképezés csökkenti a keretrendszerek közötti duplikációt azzal, hogy egyetlen ellenőrzést több követelményhez kapcsol.
Íme, így néz ki ez a gyakorlatban:
- Egyetlen hozzáférés-vezérlési gyakorlat (például „korlátozott hozzáférés az érzékeny adatokhoz”) több szabvány egyes részeit is teljesítheti.
- Az adott ellenőrzéshez gyűjtött bizonyíték újra felhasználható, amikor különböző keretrendszerek szerint jelent, ahelyett hogy ugyanazt a bizonyítékot több helyen is újra létrehozná.
- Az ellenőrzéshez vagy annak dokumentációjához tartozó frissítések minden olyan keretrendszerre továbböröklődnek, amely erre épül.
Folyamatos figyelés
A folyamatos figyelés az ellenőrzések állapotára és a megfelelőségi helyzetre összpontosít – arra, hogy az ellenőrzések működnek-e, továbbra is az elvárt módon működnek-e, és történt-e olyan változás, amely utánkövetést igényel.
Íme néhány gyakori felügyeleti jelzés, amelyet a csapatok nyomon követnek:
- Az ellenőrzés állapota: lehet például sikeres, sikertelen vagy még nem értékelt.
- Változásjelzők: A konfigurációs változások, házirendfrissítések vagy új rendszerek új futtatandó ellenőrzéseket eredményezhetnek.
- Kivételminták: Az ismétlődő kivételek olyan ellenőrzésekre utalhatnak, amelyeket újra kell tervezni, vagy amelyeknél erősebb felelősségi körre van szükség.
Központi bizonyítékkezelés
A bizonyítékok általában a beérkezett üzenetek, a megosztott meghajtók és a jegyszálak között oszlanak meg, hacsak nem tervezi meg őket. A központosított bizonyítékkezelés egy helyen tartja az összetevőket, és hozzárendeli őket a megfelelő ellenőrzéshez, tulajdonoshoz és felülvizsgálati ciklushoz.
Itt a munkafolyamat és a feladatkiosztás számít, mert ezek a javítandó dolgokat nyomon követhető munkává alakítják:
- Munkafolyamat: Egységes út a felülvizsgálatokhoz, jóváhagyásokhoz és jóváhagyási jelzésekhez.
- Feladatkiosztás: Egyértelmű hozzárendelések, határidők és előrehaladás-követés az ellenőrzéshez vagy az értékeléshez kapcsolva.
- Bizonyíték-elérhetőség: Gyors mód arra, hogy megválaszolja: „Milyen bizonyítékunk van?” és „Naprakész?”
Kockázatalapú pontozás vagy érettségi modellek
A kockázatalapú pontozás és az érettségi modellek segítenek a csapatoknak eldönteni, mit kell először javítani. A cél nem az, hogy egyszerre minden apró hiányosságot megszüntessünk, hanem az, hogy a szervizelést azokra a problémákra összpontosítsuk, amelyek a legnagyobb kitettséget jelentik.
Ez segít a helyreállítás prioritásának meghatározásában az alábbiak alapján:
- A munkák rangsorolása a hatás alapján: A legnagyobb kockázatú hiányosságok kerüljenek a sor elejére.
- A fejlődés időbeli követése: Egy pontszám vagy érettségi szint világos előtte-utána képet ad, amikor befejezi a szervizelési munkát.
- A következetes döntések támogatása: Amikor a csapatok ugyanazt a pontozási vagy érettségi modellt használják, a prioritások kevésbé szubjektívek és könnyebben megmagyarázhatók.
Ha már elkezdi automatizálni az értékeléseket, a figyelést és a bizonyítékgyűjtést, a következő lépés annak eldöntése, mit fog nyomon követni és hogyan fogja jelenteni az előrehaladást – hogy a vezetők lássák a kockázati trendeket, rangsorolhassák a javításokat, és idővel be tudják mutatni az eredményeket.
Megfelelőségkezelési mérés és jelentéskészítés
A mérés és a jelentéskészítés a mindennapi megfelelőségi munka alapján világos képet alakít ki az előrehaladásról, a hiányosságokról és a prioritásokról – így a csapatok arra összpontosíthatnak, ami fontos, és magabiztosan kommunikálhatják az állapotot.
Program-KPI-ok
Használjon programszintű KPI-okat annak nyomon követésére, hogy az ellenőrzések milyen jól épülnek fel, mennyire terjednek el, és mennyire ellenőrzik őket – valamint arra, hol jelennek meg újra és újra a problémák.
Vezérlők lefedettsége és előrehaladása
- A tervezett ellenőrzések százaléka, vagyis hogy a követelmények közül hányhoz van meghatározott ellenőrzés.
- A bevezetett ellenőrzések százaléka, vagyis hogy hány ellenőrzés érhető el és működik.
- A tesztelt ellenőrzések százaléka, vagyis hogy hány ellenőrzést ellenőriztek teszteléssel.
Problémakövetés
- A problémák súlyosság szerint azt mutatják, hogy a legnagyobb hatású hiányosságok kerülnek a lista élére.
- A javítási idő azt mutatja, milyen gyorsan oldják meg a hiányosságokat, miután felfedezték őket.
- Az auditálási megállapítások rámutatnak az ismétlődő problématerületekre.
- A házirendkivételek azt mutatják, hol dolgoznak a csapatok a szokásos követelményeken kívül.
Emberek és folyamatjelek
- A képzések teljesítése igazolja, hogy a szükséges útmutatás eljutott a megfelelő célcsoportokhoz.
Gyors módszer a KPI-k használhatóságának megőrzésére
- Konzisztensen nyomon követheti a KPI-ok kis halmazát, és rendszeres időközönként áttekintheti őket, így a trendek nem csak pillanatképekként jelennek meg.
- Párosítsa a KPI-okat alapvető küszöbértékekkel (például azzal, mi számít „túl sok” magas súlyosságú problémának), hogy a csapatok tudják, mikor kell eszkalálni.
Eredményindikátorok
Az eredményindikátorok összekapcsolják a munkát az eredményekkel. Arra segítenek választ adni, hogy „Csökkenti-e a megfelelőségi programunk a kitettséget és javítja-e a felkészültséget?”
Kockázati és készenléti eredmények
- Csökkentett kockázati kitettség, amit kevesebb magas súlyosságú probléma és kevesebb ismétlődő megállapítás jelez idővel.
- Időben történő igazolások, amelyek azt jelzik, hogy a szervezet eleget tud tenni a hivatalos jelentéskészítési határidőknek.
Hatékonysági eredmények
- Az auditálásokban megtakarított órák azt mutatják meg, amikor a bizonyíték rendezett és könnyen visszakereshető.
Trenderedmények
- A kockázati és érettségi pontszámok trendvonalai azt mutatják, hogy az általános helyzet idővel javul-e.
Vezetői átláthatóság
- A vezetői irányítópultok összefoglalják az előrehaladást, kiemelik a legfontosabb hiányosságokat, és megmutatják, mire összpontosul a javítási munka.
Gyakori kihívások és hogyan kerülje el őket
Még a jól működő programok is lelassulhatnak, amikor a követelmények megszaporodnak, a rendszerek több környezetre terjednek ki, és elmosódnak a felelősségi körök. A javítások többnyire oda futnak ki, hogy csökkenteni kell a duplikált munkát, szigorítani kell a bizonyítékkezelési szokásokat, és világos kereteket kell felállítani az új eszközök számára.
Keretrendszer-szétaprózódás és többszörös erőfeszítés
A probléma: a csapatok több helyen követik ugyanazt a követelményt, hasonló vezérlőket írnak át különböző szabályozásokhoz, és egymást átfedő ellenőrzőlisták egyeztetésére fordítják az időt.
Így kerülheti el: használjon közös vezérlőleképezést a szabályozások között.
Gyakorlati megközelítés, ha egy vezérlőt több keretrendszerhez rendel, így nem kell ugyanazt a munkát minden alkalommal megismételnie, amikor új szabványt ad hozzá.
- Építsen ki egy közös vezérlőkönyvtárat. Tartson fenn egy alap vezérlőkészletet, amely sok követelményben megjelenik (hozzáférés-vezérlés, naplózás, titkosítás, megőrzés, incidenskezelés).
- Térképezze fel egyszer, használja újra gyakran. Kösse minden vezérlőt ahhoz a szabályozáshoz vagy szabványhoz, amely elvárja, majd erre a leképezésre hivatkozzon az áttekintések és az auditok során.
- Frissítse a vezérlőt, ne minden ellenőrzőlistát. Ha egy vezérlő változik, ez az egyetlen frissítés fusson végig a leképezett követelményeken, ahelyett hogy több másolatot kellene szerkeszteni.
Gyors ellenőrzés: ha két csapat külön kezeli „ugyanazokat” a vezérlőket eltérő szövegezéssel, akkor a duplikációs költséget fizeti.
Bizonyítékkáosz
A probléma: a bizonyítékok szétszóródnak a csevegésekben, az e-mail-szálakban, a jegyhozzászólásokban és a megosztott meghajtókon. Amikor auditkérés érkezik, az emberek kapkodva keresik az összetevőket, és próbálják újra létrehozni a kontextust.
Így kerülheti el: központosítsa az összetevőket, és nevezzen ki vezérlőtulajdonosokat.
A bizonyítékok központosítása akkor működik a legjobban, ha minden vezérlőhöz tartozik egy név szerint megjelölt tulajdonos, aki tudja, hogyan néz ki a „jó bizonyíték”, és hol található.
- Egyetlen központ a bizonyítékoknak. Tárolja az összetevőket, jegyzeteket és állapotfrissítéseket egyetlen, a vezérlőhöz kapcsolódó helyen. (Sok eszköz támogatja a bizonyítékok csatolását és az állapotkövetést a fejlesztési műveleteken belül.)
- Egyértelmű felelősségi kör. Rendeljen ki egy vezérlőtulajdonost, aki felelős azért, hogy az összetevők naprakészek legyenek, és válaszoljon a bizonyítékkérésekre.
- Határozza meg a „minimálisan megfelelő bizonyítékot.” Minden vezérlőhöz dokumentálja, mit kell bemutatnia:
- Mi maga a vezérlő,
- Ki a felelős érte,
- Hogyan ellenőrzik,
- Milyen bizonyítékot gyűjtenek, és
- Milyen gyakran frissítik.
- Használjon munkafolyamatot és feladatkiosztást. Kövesse nyomon a kéréseket, a határidőket és az ellenőrzési lépéseket, hogy a bizonyítékgyűjtés ne emlékezet alapján történjen.
Egy egyszerű szokás, ami segít: ha két hónap múlva nem könnyű megtalálni a bizonyítékot, akkor nem a megfelelő helyen van tárolva.
Többfelhős komplexitás
A probléma: a különböző felhőplatformok eltérő alapértelmezésekkel, naplózási mintákkal és biztonsági beállításokkal járnak. A vezérlők idővel elcsúsznak, ahogy a szolgáltatások frissülnek, és a csapatok helyi módosításokat végeznek.
Hogyan kerülheti el: Állítson be szabványosított kódba foglalt házirendeket és állapotkonfigurációkat.
Stabil megközelítés, ha az elvárásokat két rétegben szabványosítja: kódba foglalt házirend a következetes szabályokhoz, és biztonsági állapot-alapkonfigurációk ahhoz a minimális konfigurációs állapothoz, amelyet mindenhol elvár.
- Kódba foglal‑házirend az ismételhetőségért. Határozza meg a kulcskövetelményeket (például titkosítás, identitáskövetelmények, naplózás, megőrzés) olyan formában, amely következetesen alkalmazható a környezetek között.
- Kiinduló állapotok az áttekinthetőségért. Tartson fenn egy alap biztonsági beállításkészletet, és kövesse nyomon, amikor a rendszerek eltérnek ettől.
- A vezérlőállapot folyamatos figyelése. Kövesse nyomon, hogy a vezérlők idővel megfelelnek-e vagy nem felelnek meg, ne csak az ütemezett felülvizsgálatok során.
- A közös vezérlőtérképezés továbbra is fontos. Használjon közös vezérlőket, ahol csak lehetséges, még akkor is, ha az alapul szolgáló platformok eltérnek.
Figyeljen az eltérésre: ha egy alapkonfiguráció dokumentálva van, de nincs monitorozva, gyorsan elavul.
Árnyékinformatika és AI-használat
A probléma: az emberek gyorsabban vezetnek be új alkalmazásokat és új AI-eszközöket, mint ahogy az irányítási folyamatok felül tudnák őket vizsgálni. Ez növeli annak esélyét, hogy érzékeny adatok olyan helyeken legyenek megosztva, amelyeket még nem ellenőriztek.
Így kerülheti el: használjon jóváhagyott eszközöket, címkéket, monitorozást és frissített sablonokat.
Legyenek világos korlátok, amelyek megfelelnek annak, ahogyan az emberek ténylegesen dolgoznak – különösen, ahogy az AI-eszközök terjednek.
- Határozza meg az engedélyezett eszközöket. Tegyen közzé egy rövid listát az engedélyezett alkalmazásokról és AI-eszközökről, valamint egy utat az új eszközök igényléséhez.
- Bizalmas adatok címkézése. Alkalmazzon érzékenységi címkéket, hogy az emberek tudják, mi igényel különös figyelmet, és hogy a vezérlők a címke alapján tudjanak működni.
- Kommunikációs kockázatok figyelése. Adjon hozzá olyan figyelést, amely a kockázatos megosztási mintákra összpontosít (például érzékeny tartalom másolása jóvá nem hagyott eszközökre vagy jogosulatlan célhelyekre küldése).
- Használjon a változó szabályozásokhoz igazított sablonokat, beleértve az AI-ra vonatkozókat is. Használjon olyan sablonokat és ellenőrzőlistákat, amelyek tükrözik az új követelményeket, ahogy az AI-szabályok változnak, és rendszeresen frissítse őket, ahelyett hogy a következő éves felülvizsgálatig várna.
Az előrehaladás fenntartásához praktikus felosztás, ha ezt teszi:
- Tiltsa le azokat a magas kockázatú eszközöket, amelyekre nincs üzleti szempontból szükség.
- Engedélyezze az alacsonyabb kockázatú eszközöket, de csak nem érzékeny munkára, és vezessen be korlátokat az adatszivárgás kockázatának csökkentésére.
- Egységesítse a vállalati szintű megoldásokat az érzékeny adatokat érintő munkához.
Valós példák a megfelelőségkezelésre
Ezek a forgatókönyvek bemutatják, hogyan csökkentheti a megfelelőségkezelés a kockázatokat és javíthatja a felkészültséget anélkül, hogy lelassítanák a napi munkát egy Amerikai egyetem: További információ az Oregon State University-ről Amerikai egyetemen.
Egy külső telemedicina-app HIPAA-kitettséget okoz
Forgatókönyv: egy campuson működő egészségügyi központ egy külső távegészségügyi platformot vezet be anélkül, hogy előbb ellenőrizné a HIPAA-megfelelést. Ez utat nyithat a hallgatók egészségügyi nyilvántartásaihoz való jogosulatlan hozzáféréshez.
Mi változott: a csapat strukturált felülvizsgálatot futtat, mielőtt a platform hozzáférhetne az egészségügyi nyilvántartásokhoz, központi házirendek és megfelelőségi ellenőrzések használatával egy többfelhős környezetben.
Legfontosabb tanulságok
- Miért fontos: a beszállítói eszközök gyorsan megfelelőségi kockázatot jelenthetnek, amikor védett egészségügyi adatokkal dolgoznak.
- Teendők:
- Adjon hozzá egy szükséges megfelelőségi ellenőrzést az új külső szolgáltatásokhoz, mielőtt bizalmas rekordokhoz csatlakoznának.
- Központilag definiált kényszerítési házirendeket alkalmazhat, így a hozzáférés a követelmények teljesítéséig le lesz tiltva.
- Ezekre érdemes figyelni:
- Egy helyen nyomon követheti a megfelelőségi követelményeket és az állapotot a szolgáltatások között.
- A bizalmas rendszerekhez való hozzáféréshez kapcsolódó „megfelelt/nem felelt meg” kapuk törlése“.
Nem megfelelő belső csoportnak küldött pénzügyi támogatási jelentés
Forgatókönyv: Egy pénzügyi segélyszolgálati munkatárs véletlenül e-mailt küld egy tanulói kölcsönről, és olyan adatokat ad meg egy belső részlegnek, amelynek nem kellene megkapnia, és emiatt vizsgálat indul.
Mi változott: Az automatikus házirendek észlelik, ha bizalmas pénzügyi támogatási adatokat osztanak meg jogosulatlan címzettekkel, és ez riasztásokat válthat ki, vagy korlátozhatja a hozzáférést a további nem megfelelő megosztások megelőzése érdekében.
Legfontosabb tanulságok
- Miért fontos: Számos megfelelőségi incidens egyszerű hiba; A gyors észlelés korlátozza a hatókört, és támogatja az utánkövetést.
- Teendők:
- Határozza meg, hogy mi számít bizalmas pénzügyi támogatási adatnak, és hogyan oszthatja meg azokat.
- Állítson be házirendeket, amelyek jelzik vagy korlátozzák az üzeneteket, ha a címzettek nem egyeznek az engedélyezett csoportokkal.
- Használjon riasztásokat az incidensek megfelelő áttekintőkhöz való továbbítására kivizsgálás és korrekciós intézkedés céljából.
- Ezekre érdemes figyelni:
- A jogosulatlan közzétételi mintákat (nem csak kulcsszavakat) észlelő házirendek.
- Tiszta auditnapló arról, hogy mi lett megosztva, kivel és mi történt a következőben.
Első lépések a Microsoft Purview Megfelelőségkezelővel
Látta, hogyan működik egy erős megfelelőségkezelési program: egyértelmű házirendeket állít fel, kijelöli a felelőseket, felméri a kockázatokat, megszünteti a hiányosságokat, figyeli az ellenőrzéseket, és olyan módon jelenti az előrehaladást, amely alapján a vezetők lépni tudnak. Ha ezeket az elemeket együtt használja, kevesebb időt tölt a bizonyítékok összegyűjtésével, és több időt fordíthat arra, hogy javítsa a munkavégzés módját.
Ha most kezdi, vagy egy meglévő programot szeretne szigorúbbá tenni, így tarthatja kezelhetően a dolgokat:
- Válasszon ki egy értékelést, amely megfelel a közeljövőbeli igényének (egy szabályozásnak, szabványnak vagy belső követelménynek, amelyet már nyomon követ).
- Használja a fejlesztési műveletek listáját munkamegoldási háttérfeladatként, majd rendelje hozzá a végrehajtási és tesztelési feladatok felelőseit.
- Rendszeresen tekintse át az eredményt és a „figyelmet igényel” nézetet, hogy a legnagyobb hatású munkára összpontosíthasson.
- Rögzítse a bizonyítékokat és az állapotfrissítéseket munka közben, hogy az auditjelentés ne az utolsó pillanatban legyen kapkodás.
A Microsoft Purview Megfelelőségkezelő célja, hogy segítsen felmérni és kezelni a megfelelőséget egy többfelhős környezetben, és támogassa a teljes folyamatot – az adatvédelmi kockázatok teljes körű leltározását a vezérlők bevezetéséhez, a szabályozások és tanúsítványok naprakészen tartásához, valamint az auditoroknak való jelentéskészítéshez.
Segítséget kap a követelmények értékelésekbe rendezéséhez, a hiányosságok hozzárendelt fejlesztési műveletekké alakításához, az előrehaladás kockázatalapú pontszámmal történő nyomon követéséhez, valamint az auditálóknak szóló jelentéstétel támogatásához – mindezt egy helyen.
FORRÁSOK
További információ a Microsoft Biztonságról
Gyakori kérdések
Gyakori kérdések
- A megfelelőségkezelés a vonatkozó jogszabályok, szabályozások és belső szabályzatok követésének, valamint a követelmények teljesítését tanúsító adatok megőrzésének folyamatos feladata.
- A megfelelőség csoportosításának gyakori módja a következő: jogszabályi (jogszabályok és előírások), iparági (szabványok és tanúsítványok) és belső (vállalati szabályzatok és szerződéses kötelezettségek).
- A megfelelőségkezelő eszköz olyan szoftver, amely rendszerezi a követelményeket, a vezérlőket, a feladatokat és a bizonyítékokat, így a csapatok nyomon követhetik az előrehaladást, kioszthatják a munkát és támogathatják az auditálásokat.
- Egyértelmű szabályzatokra, meghatározott szerepkörökre és tulajdonosokra, dokumentált vezérlőkre és folyamatokra, rendszeres értékelésekre, problémajavításra és a naplózást és jelentéskészítést támogató rekordokra van szüksége.
- A megfelelőségkezelő rendszer (CMS) sablonja egy újrafelhasználható struktúra a kötelezettségek nyomon követéséhez, a vezérlők leképezéséhez, a tulajdonosok hozzárendeléséhez, a tanúsító adatok tárolásához és a szabványok közötti jelentéskészítéshez.
- A megfelelőségi ellenőrzőlista azoknak a szükséges műveleteknek vagy vezérlőknek a listája, amelyek a jogszabályok, rendeletek, szabványok vagy belső szabályzatok teljesítésének megerősítésére szolgálnak – amelyeket gyakran használnak értékelések és ellenőrzések során.
- A legfontosabb elemek közé tartozik az irányítás és felügyelet, a házirendek és eljárások, a vezérlők, a monitorozás és tesztelés, a bizonyítékkezelés, a szervizelés, valamint a folyamatos jelentéskészítés és fejlesztés.
A Microsoft Biztonság követése