Bantu organisasi Anda mematuhi hukum, peraturan, dan kebijakan internal yang berlaku—serta mendokumentasikan bukti untuk menunjukkan bahwa Anda memenuhinya—menggunakan manajemen kepatuhan.
Apa itu manajemen kepatuhan?
Pastikan organisasi Anda mematuhi hukum, peraturan, dan kebijakan internal yang berlaku.
Poin penting
- Manajemen kepatuhan menjaga organisasi tetap selaras dengan persyaratan eksternal dan aturan internal dengan menghubungkan akuntabilitas, perlindungan, dan bukti.
- Program yang solid bergantung pada kebijakan yang jelas, alur kerja yang dapat diulang, standar yang dipetakan, kepemilikan kontrol yang didefinisikan dengan baik, dan bukti yang terorganisir.
- Mengelola risiko kepatuhan berarti mengidentifikasi celah yang mungkin terjadi, memberi peringkat berdasarkan dampaknya, memperbaiki hal paling penting, dan melacak apakah kontrol tetap efektif dari waktu ke waktu.
- Pemantauan berkelanjutan, metrik praktis, dan siklus perbaikan yang terstruktur membantu tim melaporkan kemajuan, melakukan penilaian, dan mempersiapkan audit.
Apa itu manajemen kepatuhan?
Berikut cara praktis untuk memahaminya: Manajemen kepatuhan adalah cara organisasi mempelajari apa yang harus diikuti, memasukkannya ke dalam proses, memeriksa kinerja, dan memperbaiki celah.
Manajemen kepatuhan menghubungkan tiga hal:
- Tata kelola data: Aturan dan pengawasan yang menetapkan ekspektasi (kebijakan, standar, dan siapa yang bertanggung jawab).
- Keamanan data: Kontrol dan perlindungan yang melindungi sistem dan data dalam operasional sehari-hari.
- Jaminan: Pemantauan, dokumentasi, dan peninjauan yang menunjukkan bahwa persyaratan telah dipenuhi.
Tujuan Utama
1. Pengurangan risiko. Manajemen kepatuhan membantu mengurangi risiko dengan memantau apakah kontrol berfungsi dan dengan mendeteksi perubahan yang dapat menimbulkan paparan baru. Ini adalah salah satu alasan banyak organisasi beralih dari peninjauan berkala ke pemantauan yang lebih sering.
Berikut seperti apa pengurangan risiko dalam praktik:
- Anda melacak persyaratan dan status kontrol dari waktu ke waktu, bukan hanya saat audit.
- Anda juga menemukan celah lebih awal, lalu mendokumentasikan tindakan perbaikan.
2. Kepatuhan hukum. Manajemen kepatuhan membantu organisasi memahami kewajiban dan mengikuti perubahan aturan. Standar, seperti panduan ISO untuk sistem manajemen kepatuhan, berfokus pada penetapan, pemeliharaan, evaluasi, dan peningkatan sistem yang menangani kewajiban kepatuhan.
Hasil umum meliputi:
- Kebijakan dan prosedur yang mencerminkan persyaratan.
- Bukti yang mendukung audit, pernyataan kepatuhan, atau peninjauan internal.
3. Membangun kepercayaan. Kepercayaan berasal dari konsistensi dan transparan—pelanggan, mitra, dan regulator sering kali ingin mengetahui bahwa data ditangani sesuai dengan kebijakan dan kontrol tersebut telah diterapkan. Penting untuk membingkai kepercayaan di sekitar keamanan, privasi, kepatuhan, dan transparansi, yang selaras dengan tujuan yang ingin didukung oleh manajemen kepatuhan.
Sinyal kepercayaan yang harus bisa ditunjukkan meliputi:
- Kepemilikan dan pengawasan yang jelas.
- Dokumentasi yang dapat disajikan saat muncul pertanyaan.
Mengapa penting
Risiko bisnis
Saat pekerjaan kepatuhan bersifat informal atau tersebar, tim dapat melewatkan persyaratan, menduplikasi upaya, atau bergantung pada pemeriksaan satu kali yang sudah tidak relevan. Penilaian pada satu waktu, seperti audit tahunan, dapat cepat usang, sehingga ada celah hingga peninjauan berikutnya.
Masalah dapat muncul jika Anda memiliki:
- Kebijakan yang bertentangan atau kontrol yang tidak konsisten di seluruh tim.
- Pelaporan manual dan pencarian bukti yang memperlambat respons selama audit atau investigasi.
Paparan hukum dan regulasi
Peraturan sering menentukan cara mengelola, menyimpan, dan mentransmisikan data, sehingga kepatuhan menjadi topik di tingkat kepemimpinan di banyak organisasi. Pendekatan kepatuhan yang terstruktur membantu tim mengikuti perkembangan persyaratan dan menunjukkan bagaimana kewajiban dipenuhi.
Anda dapat mengurangi paparan dengan:
- Inventaris kewajiban yang jelas dan kontrol yang dipetakan.
- Pemantauan rutin dan tindak lanjut yang terdokumentasi saat masalah ditemukan.
Hilangnya kepercayaan
Kepercayaan lebih mudah dijaga saat Anda dapat menjawab pertanyaan dasar dengan cepat:
- Aturan apa yang berlaku?
- Kontrol apa yang diterapkan?
- Bukti apa yang menunjukkan bahwa semuanya berfungsi?
Manajemen kepatuhan mendukung kesiapan tersebut, termasuk selama investigasi atau tindakan hukum saat data dan catatan mungkin diminta.
Komponen inti manajemen kepatuhan
Program manajemen kepatuhan yang kuat dibangun dari ekspektasi yang jelas, cara kerja yang dapat diulang, perlindungan sehari-hari, serta orang dan alat yang menjaga semuanya tetap berjalan.
Kebijakan
Kebijakan menjelaskan apa yang harus dilakukan organisasi dan seperti apa kepatuhan itu. Kebijakan menerjemahkan kewajiban menjadi ekspektasi yang jelas yang dapat diikuti orang-orang.
Area kebijakan umum meliputi:
- Aturan penanganan dan akses data.
- Ekspektasi catatan, retensi, dan bukti untuk audit.
- Jalur pelaporan dan eskalasi saat ada masalah.
Proses
Proses adalah rutinitas bertahap yang diikuti tim untuk memenuhi persyaratan secara konsisten—siklus peninjauan, persetujuan, pengujian, dan tindak lanjut masalah.
Contoh proses kepatuhan meliputi:
- Peninjauan rutin untuk mengonfirmasi persyaratan sudah diterapkan dalam alur kerja bisnis.
- Pemantauan berkelanjutan atas status kontrol, bukan hanya pemeriksaan tahunan.
- Alur kerja tindakan korektif saat menemukan celah.
Standar
Standar dan kerangka kerja berfungsi sebagai kumpulan referensi yang menjadi acuan pengukuran. Sumbernya dapat berasal dari peraturan, standar industri, atau persyaratan internal.
Cara praktis untuk mengatur standar adalah menganggapnya sebagai templat persyaratan yang dapat dikelompokkan dan dilacak. Misalnya, penilaian adalah pengelompokan kontrol dari regulasi, standar, atau kebijakan tertentu.
Kontrol
Kontrol adalah pemeriksaan dan praktik konkret yang menunjukkan bahwa suatu persyaratan sedang dipenuhi—dan menghubungkannya dengan konfigurasi sistem, proses organisasi, serta tanggung jawab yang ditetapkan.
Kategori kontrol yang bermanfaat meliputi:
- Kontrol yang dikelola penyedia layanan, yang ditangani oleh penyedia cloud
- Kontrol yang dikelola organisasi, yang ditangani oleh tim Anda
- Kontrol bersama, saat tanggung jawab dibagi
Peran dan tanggung jawab
Manajemen kepatuhan bekerja paling baik saat kepemilikan dibuat secara eksplisit. Dua kelompok peran yang harus ada dalam program yang sukses adalah pengawasan kepemimpinan dan kepemilikan kepatuhan sehari-hari.
Pengawasan dewan dan kepemimpinan
Kepemimpinan bertanggung jawab menetapkan ekspektasi, mengadopsi pernyataan kebijakan, menetapkan wewenang, menyediakan sumber daya untuk fungsi tersebut, serta menerima pelaporan rutin tentang aktivitas serta temuan kepatuhan.
Apa yang biasanya tercakup dalam pengawasan:
- Ekspektasi kepatuhan dan persetujuan kebijakan yang jelas.
- Pemilik yang ditunjuk (pejabat kepatuhan atau komite) dengan kewenangan untuk bertindak.
- Laporan rutin mengenai audit, masalah, dan tindakan perbaikan.
Pejabat Kepatuhan
Peran ini bertanggung jawab atas kebijakan dan prosedur, pelatihan, peninjauan kepatuhan, melacak masalah baru, penanganan keluhan, pelaporan hasil, dan memastikan tindakan perbaikan.
Pembagian tanggung jawab sederhana yang dapat ditingkatkan skalanya mencakup:
- Pemilik kontrol memelihara kontrol tertentu dan menyediakan bukti.
- Tim kepatuhan menetapkan struktur, menjalankan penilaian, melacak celah, dan mendukung audit.
- Kepemimpinan meninjau kemajuan, menghilangkan hambatan, dan menyetujui prioritas.
Alat dan sistem
Spreadsheet dapat digunakan pada skala kecil, tetapi sebagian besar organisasi menggunakan alat untuk menyimpan persyaratan, kontrol, bukti, dan kepemilikan di satu tempat—terutama di beberapa cloud dan unit bisnis.
Hal yang perlu diperhatikan dalam perangkat lunak manajemen kepatuhan
Kemampuan praktis yang membantu mengurangi duplikasi dan menjaga pekerjaan tetap mutakhir meliputi:
- Penilaian, yang merupakan daftar periksa persyaratan dan kontrol yang dapat digunakan kembali.
- Pemetaan kontrol, dengan satu kontrol dikaitkan ke beberapa standar untuk mengurangi pekerjaan berulang.
- Pemantauan yang menyediakan visibilitas terhadap status kontrol dari waktu ke waktu.
- Manajemen bukti yang memiliki satu tempat untuk menyimpan artefak, catatan, dan status.
- Alur kerja dan penugasan untuk penugasan, tanggal jatuh tempo, dan pelacakan kemajuan.
- Pemberian skor, yang menawarkan tampilan berbasis risiko untuk membantu memfokuskan pekerjaan perbaikan.
Buat rencana
Saat membangun manajemen kepatuhan di organisasi Anda, cari jawaban atas pertanyaan berikut:
- Apakah kita memiliki kebijakan tertulis yang sesuai dengan kewajiban kita?
- Apakah proses utama didokumentasikan?
- Apakah kontrol dipetakan terhadap standar agar tim tidak mengerjakan hal yang sama berulang kali?
- Dapatkah kita menghasilkan bukti dengan cepat saat audit atau investigasi terjadi?
- Apakah peran kepemilikan dan pelaporan sudah jelas?
Memahami risiko kepatuhan dan cara mengelolanya
Apa itu risiko kepatuhan?
Risiko kepatuhan adalah kemungkinan organisasi Anda gagal memenuhi hukum, regulasi, standar, atau kebijakan internal—dan akibatnya menghadapi konsekuensi. Manajemen risiko kepatuhan adalah upaya untuk menemukan risiko tersebut lebih awal, memprioritaskannya, dan melacak apakah kontrol yang tepat sudah diterapkan dan berfungsi.
Jenis risiko kepatuhan yang perlu direncanakan
Risiko yang berbeda dapat menumpuk dengan cepat, terutama saat persyaratan berubah atau data berpindah lintas lingkungan. Kategori risiko umum meliputi:
- Hukum: Paparan terhadap tindakan hukum atau penegakan saat persyaratan tidak terpenuhi.
- Keuangan: Biaya dari denda, penalti, dan pekerjaan lanjutan yang diperlukan untuk merespons.
- Reputasi: Hilangnya kepercayaan pelanggan dan publisitas negatif saat masalah menjadi terlihat.
- Pelanggaran data: Kemungkinan lebih tinggi terjadinya paparan data sensitif saat praktik keamanan yang diwajibkan tidak ada atau tidak konsisten.
Bagaimana cara menilai risiko kepatuhan
Proses penilaian yang baik bersifat terstruktur, dapat diulang, dan diperbarui bersama orang-orang yang paling dekat dengan pekerjaan. Berikut cara melakukannya:
1. Gunakan proses penilaian risiko terstruktur. Tetapkan metode yang jelas untuk mengukur dan memprioritaskan risiko kepatuhan daripada bergantung pada penilaian ad hoc.
2. Bekerja sama dengan pemangku kepentingan yang tepat. Tentukan pemilik risiko dan berkolaborasi dengan ahli pokok bahasan yang memahami tingkat keparahan; hubungkan dengan pemimpin yang relevan dan pertimbangkan sumber risiko eksternal.
3. Perkirakan dampak dan kemungkinan. Hitung dampak dan kemungkinan risiko untuk menentukan risiko inheren.
4. Pertimbangkan lingkungan kontrol Anda. Pertimbangkan bagaimana kontrol yang sudah ada akan mengubah gambaran sehingga Anda dapat menentukan dan memberi peringkat risiko residual.
5. Gunakan hasilnya untuk memandu langkah berikutnya. Perbarui penilaian dengan masukan kepemimpinan agar Anda dapat terus fokus pada area berisiko lebih tinggi dan memprioritaskan perbaikan pada kebijakan, prosedur, dan kontrol.
6. Ulangi sesuai jadwal—bukan hanya sekali. Penilaian dan audit rutin membantu mengidentifikasi celah dan memverifikasi kepatuhan terhadap persyaratan.
Bagaimana cara mengukur dan melacak risiko kepatuhan dari waktu ke waktu
Yang tidak terlihat tidak dapat dikelola. Pengukuran tidak harus rumit—mulailah dengan sejumlah kecil sinyal yang membantu Anda melihat tren dan memfokuskan pekerjaan.
Metrik yang menjaga program tetap jujur
Pilih pengukuran yang terkait dengan tindakan dan menunjukkan apakah risiko menurun, seperti:
- Masalah berdasarkan tingkat keparahan, agar celah kritis muncul di bagian teratas.
- Waktu untuk remediasi, atau seberapa cepat celah diperbaiki.
- Temuan audit dan pengecualian kebijakan menunjukkan apa yang terus muncul, dan alasannya.
- Penyelesaian pelatihan, yang merupakan indikator dasar bahwa orang-orang telah menerima panduan.
- Indikator kinerja utama (KPI) yang menggambarkan profil risiko Anda, yaitu metrik konsisten yang digunakan untuk pelaporan dan wawasan.
Skor dan tampilan kemajuan
Beberapa alat kepatuhan melacak kemajuan dengan skor berbasis risiko yang terkait dengan penyelesaian tindakan peningkatan dan menyoroti apa yang perlu diperhatikan berikutnya.
- Skor kepatuhan berbasis risiko dapat mengukur kemajuan dengan melacak penyelesaian tindakan perbaikan dan memandu fokus pada tindakan berikutnya yang perlu dilakukan.
- Skor dapat mencerminkan dampak relatif dari tindakan berdasarkan cara tindakan tersebut diklasifikasikan (misalnya, preventif, detektif, atau korektif).
Pertanyaan pemeriksaan risiko cepat untuk digunakan dalam tinjauan
- Apakah kita memiliki tampilan terkini tentang risiko mana yang paling tinggi dan siapa penanggung jawabnya?
- Apakah kita memberi peringkat risiko menggunakan dampak dan kemungkinan, lalu memperbarui berdasarkan kinerja kontrol?
Apakah kita melacak sejumlah kecil metrik (tingkat keparahan, waktu untuk remediasi, pengecualian) dan bertindak berdasarkan hasilnya?
Manajemen kepatuhan keamanan
Manajemen kepatuhan keamanan berada di titik pertemuan antara pekerjaan keamanan dan kewajiban kepatuhan. Dalam praktiknya, ini berarti melindungi data dan sistem dengan cara yang memenuhi aturan yang menjadi tanggung jawab Anda—lalu menunjukkan bukti melalui acuan dasar, pemantauan, dan catatan.
Tempat bertemunya keamanan dan kepatuhan
Sebagian besar regulasi dan standar mencakup ekspektasi keamanan. Persyaratan umum sering meliputi:
- Penanganan data: Aturan yang jelas tentang bagaimana data sensitif dikumpulkan dan diproses.
- Penyimpanan dan akses aman: Enkripsi dan akses terkontrol untuk mengurangi paparan yang tidak sah.
- Pelaporan dan audit: Pemeriksaan rutin, dukungan audit, dan pemberitahuan pelanggaran jika diperlukan.
Kerangka kerja dan regulasi utama
Anda mungkin perlu memetakan kontrol ke beberapa kerangka kerja sekaligus.
Tiga standar umum mencakup:
- Peraturan Perlindungan Data Umum (GDPR): Kerangka kerja hukum Uni Eropa yang berfokus pada privasi dan perlindungan data pribadi; kepatuhan berarti mengikuti kepatuhan GDPR dan mendukung kontrol yang lebih kuat atas informasi pribadi.
- Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPAA): Undang-undang dan aturan layanan kesehatan AS ini menetapkan persyaratan untuk penggunaan, pengungkapan, dan perlindungan informasi kesehatan yang dilindungi (PHI), termasuk perlindungan Aturan Keamanan untuk PHI elektronik.
- Standar Keamanan Industri Kartu Pembayaran (PCI DSS): Standar keamanan informasi global untuk organisasi yang menyimpan, memproses, atau mengirim data pemegang kartu, yang dirancang untuk mengurangi penipuan melalui kontrol yang lebih kuat atas data kartu kredit.
Praktik terbaik untuk kepatuhan keamanan
1. Mulailah dengan acuan dasar keamanan. Gunakan acuan dasar yang ditetapkan untuk sistem penting agar tim tahu konfigurasi seperti apa yang dianggap baik oleh organisasi. Pantau pengaturan yang menyimpang dari nilai yang telah ditetapkan dan remediasi kekurangannya.
2. Terapkan kontrol akses dan enkripsi yang kuat. Terapkan akses dan enkripsi yang terkontrol untuk mengurangi paparan data sensitif yang tidak sah
3. Jalankan penilaian dan audit rutin. Lakukan audit dan penilaian berkala untuk menemukan kekurangan dan mengonfirmasi bahwa kontrol masih sesuai dengan persyaratan.
4. Latih orang-orang mengenai penanganan data. Kepatuhan keamanan bergantung pada keputusan sehari-hari, jadi pelatihan dan panduan yang jelas itu penting.
5. Simpan dokumentasi untuk peninjauan. Simpan catatan yang mendukung audit dan peninjauan kepatuhan regulasi, sehingga Anda dapat merespons dengan cepat saat diminta.
6. Gunakan pemantauan dan alur kerja agar tetap terkini. Gunakan alat dan proses yang mendukung pemantauan berkelanjutan, pelacakan, dan tindakan perbaikan, bukan hanya mengandalkan peninjauan dalam waktu tertentu.
Menerapkan program manajemen kepatuhan
Program manajemen kepatuhan yang praktis dibangun di sekitar siklus yang dapat diulang. Banyak tim menggunakan alur lima langkah yang menjaga pekerjaan tetap teratur dan memudahkan menunjukkan kemajuan selama peninjauan dan audit.
1. Penilaian. Mulailah dengan penilaian terstruktur yang mengidentifikasi apa yang berlaku bagi Anda dan apa yang sudah diterapkan. Proses penilaian yang baik mencakup metode yang jelas, masukan dari pemangku kepentingan yang tepat, dan cara untuk memperkirakan dampak serta kemungkinan.
Untuk langkah ini, pastikan untuk:
- Gunakan proses penilaian risiko dari dalam yang terstruktur, bukan penilaian ad hoc.
- Tetapkan penanggung jawab risiko dan bekerja dengan ahli pokok bahasan yang memahami tingkat keparahan.
- Perkirakan dampak dan kemungkinan untuk memahami risiko inheren.
2. Analisis celah. Selanjutnya, bandingkan persyaratan dengan kontrol dan dokumentasi saat ini untuk mengidentifikasi celah. Dalam pekerjaan kesiapan audit, ini sering disebut “analisis kesenjangan celah” dengan “rekomendasi yang diprioritaskan.”
Hal yang dapat dihasilkan dari analisis celah mencakup:
- Daftar celah yang terkait dengan kontrol atau persyaratan tertentu.
- Rekomendasi yang diprioritaskan untuk mengatasi celah tersebut.
3. Remediasi. Ubah celah menjadi rencana tindakan. Pekerjaan remediasi sering dikelola melalui rencana tindakan dan pelacakan, dengan pelaporan status agar tim dapat melihat apa yang sedang berjalan dan apa yang terhenti.
Jaga remediasi tetap terkelola dengan:
- Membuat rencana tindakan remediasi untuk temuan.
- Melacak dan melaporkan status rencana tindakan.
- Menggunakan alur kerja dan penugasan, sehingga penanggung jawab dan tanggal jatuh tempo jelas.
4. Pemantauan. Setelah perbaikan diterapkan, lakukan pemantauan untuk memastikan kontrol tetap konsisten. Pemantauan sering berfokus pada dua hal: Apakah kontrol berfungsi dan apakah pengaturan “menyimpang” dari acuan dasar.
Dalam praktiknya, Anda akan:
- Memantau efektivitas mitigasi dan mengambil tindakan saat muncul masalah.
- Memantau status dan postur kontrol dari waktu ke waktu—bukan hanya saat peninjauan tahunan.
- Menggunakan pemantauan acuan dasar untuk mendeteksi penyimpangan konfigurasi dari nilai yang ditetapkan.
Memiliki platform keamanan cyber yang komprehensif, seperti solusi security information and event management (SIEM), dapat mendukung pemantauan dan perlindungan terhadap ancaman bagi organisasi.
5. Peningkatan berkelanjutan. Program kepatuhan tetap berguna ketika diperbarui dan ditingkatkan berdasarkan temuan dari pemantauan dan audit. Ini mencakup memperbarui penilaian risiko keamanan cyber dengan masukan dari kepemimpinan, memprioritaskan peningkatan, dan menyesuaikan program saat persyaratan berubah.
Cara untuk terus meningkatkan tanpa menambah gangguan meliputi:
- Memperbarui penilaian risiko bersama kepemimpinan untuk mengidentifikasi area berisiko tinggi dan memprioritaskan peningkatan kebijakan, prosedur, dan kontrol.
- Menggabungkan wawasan tentang pembaruan regulasi untuk menyesuaikan program.
- Menggunakan pemetaan kontrol umum dan penilaian yang dapat digunakan ulang untuk mengurangi duplikasi saat persyaratan bertambah.
Memprioritaskan pekerjaan berdasarkan risiko dan tingkat keparahan
Cara sederhana untuk memprioritaskan adalah dengan fokus terlebih dahulu pada hal yang memiliki risiko tertinggi dan tingkat keparahan tertinggi. Tujuannya adalah menempatkan upaya ke area yang dapat dikurangi paling besar.
Mulai dengan dampak dan kemungkinan
- Hitung dampak dan kemungkinan untuk menentukan risiko inheren, lalu pertimbangkan lingkungan kontrol untuk memberi peringkat risiko residual—atau risiko yang tersisa.
- Prioritaskan sumber daya mitigasi untuk area yang berisiko lebih tinggi, bukan area yang berisiko lebih rendah.
Gunakan beberapa sinyal untuk memberi peringkat dan melacak pekerjaan
Pilih pengukuran yang menunjukkan hal yang paling mendesak dan apakah keadaan membaik, seperti:
- Masalah berdasarkan tingkat keparahan, agar celah kritis muncul di bagian teratas.
- Waktu untuk remediasi untuk melihat seberapa cepat celah diperbaiki.
- Temuan audit dan pengecualian kebijakan untuk mendeteksi masalah berulang.
- Penyelesaian pelatihan sebagai indikator dasar bahwa panduan sudah menjangkau orang-orang.
Gunakan penilaian berbasis risiko saat tersedia
Beberapa alat kepatuhan melacak kemajuan dengan skor berbasis risiko yang terkait dengan penyelesaian tindakan peningkatan dan menyoroti apa yang perlu diperhatikan berikutnya. Dalam beberapa sistem kepatuhan, tindakan dapat diklasifikasikan (misalnya, preventif, detektif, atau korektif), dan klasifikasi ini dapat memengaruhi cara kemajuan diberi skor.
Otomatisasi dan kepatuhan berkelanjutan
Otomatisasi dan kepatuhan berkelanjutan membantu tim menjaga persyaratan, kontrol, dan bukti tetap terkini saat lingkungan berubah. Alih-alih memperlakukan kepatuhan sebagai peristiwa berkala, pendekatan ini memperlakukannya sebagai aliran berkelanjutan dari pemeriksaan dan pembaruan kecil yang lebih mudah dikelola dan lebih mudah diverifikasi.
Penggerak
Beberapa pergeseran membuat otomatisasi menjadi lebih praktis—dan lebih diperlukan—daripada sebelumnya:
- Pertumbuhan multicloud dan SaaS: Data dan beban kerja berpindah di lebih banyak layanan dan vendor, sehingga jumlah lokasi tempat kontrol harus diterapkan dan dilacak bertambah.
- Perubahan regulasi yang cepat: Persyaratan berkembang, dan apa yang baik tahun lalu bisa jadi sudah kedaluwarsa tahun ini, terutama untuk ekspektasi privasi dan keamanan.
- Kepemilikan terdistribusi: Pemilik kontrol sering berada di tim yang berbeda (keamanan cloud, IT, engineering, hukum, SDM), jadi koordinasi dan pengumpulan bukti yang konsisten menjadi lebih penting.
Kemampuan yang perlu dicari
Saat melihat otomatisasi dan kepatuhan berkelanjutan, fokuskan pada kemampuan yang mengurangi upaya manual tanpa menghilangkan akuntabilitas.
Mulai dengan penilaian standar yang menggunakan kumpulan kontrol yang dapat digunakan ulang. Ini mendukung konsistensi di seluruh tim dan memudahkan perbandingan hasil dari waktu ke waktu.
- Penilaian standar: Gunakan struktur penilaian yang sama di setiap siklus agar kemajuan (dan kemunduran) mudah terlihat.
- Kumpulan kontrol yang dapat digunakan ulang: Gunakan kembali kumpulan kontrol inti, bukan menulis ulang pemeriksaan untuk setiap persyaratan baru.
Pemetaan kontrol umum
Pemetaan kontrol umum mengurangi duplikasi di seluruh kerangka kerja dengan menghubungkan satu kontrol ke beberapa persyaratan.
Berikut contoh praktiknya:
- Satu praktik kontrol akses (misalnya, “akses terbatas ke data sensitif”) dapat memenuhi sebagian dari beberapa standar.
- Bukti yang dikumpulkan untuk kontrol tersebut dapat digunakan kembali saat melaporkan terhadap kerangka kerja lain, alih-alih membuat ulang bukti yang sama di banyak tempat.
- Pembaruan pada kontrol (atau dokumentasinya) akan mengalir ke setiap kerangka kerja yang bergantung padanya.
Pemantauan berkelanjutan
Pemantauan berkelanjutan berfokus pada status kontrol dan postur kepatuhan—apakah kontrol sudah diterapkan, apakah masih berfungsi seperti yang diharapkan, dan apakah ada perubahan yang memerlukan tindak lanjut.
Berikut sinyal pemantauan umum yang dilacak tim:
- Status kontrol: Ini bisa mencakup lulus, gagal, atau belum dinilai.
- Indikator perubahan: Perubahan konfigurasi, pembaruan kebijakan, atau sistem baru dapat memunculkan pemeriksaan baru yang harus dijalankan.
- Pola pengecualian: Pengecualian yang berulang dapat menunjukkan kontrol yang perlu didesain ulang atau memiliki kepemilikan yang lebih kuat.
Manajemen bukti terpusat
Bukti cenderung tersebar di beberapa kotak masuk, drive bersama, dan utas tiket jika tidak direncanakan. Manajemen bukti terpusat menyimpan artefak di satu tempat dan menghubungkannya ke kontrol, pemilik, dan siklus peninjauan yang tepat.
Alur kerja dan penugasan penting di sini karena keduanya mengubah hal-hal yang seharusnya diperbaiki menjadi pekerjaan yang dapat dilacak:
- Alur kerja: Alur yang konsisten untuk peninjauan, persetujuan, dan penyelesaian.
- Penugasan: Penugasan yang jelas, tenggat waktu, dan pelacakan kemajuan yang terkait dengan kontrol atau penilaian.
- Kesiapan bukti: Cara cepat untuk menjawab, “Bukti apa yang kita miliki?” dan “Apakah ini terkini?”
Pemberian skor berbasis risiko atau model kematangan
Pemberian skor berbasis risiko dan model kematangan membantu tim memutuskan apa yang harus diperbaiki lebih dulu. Tujuannya bukan mengejar setiap celah kecil sekaligus, melainkan memfokuskan remediasi pada isu yang menimbulkan paparan terbesar.
Ini membantu memprioritaskan remediasi dengan:
- Memberi peringkat pekerjaan berdasarkan dampak: Menempatkan celah berisiko tertinggi di bagian teratas antrean.
- Melacak peningkatan dari waktu ke waktu: Skor atau tingkat kematangan memberi tampilan sebelum dan sesudah yang jelas saat pekerjaan remediasi selesai.
- Mendukung keputusan yang konsisten: Saat tim menggunakan model pemberian skor atau kematangan yang sama, penentuan prioritas menjadi lebih objektif dan lebih mudah dijelaskan.
Setelah mulai mengotomatiskan penilaian, pemantauan, dan pengumpulan bukti, langkah berikutnya adalah menentukan apa yang akan dilacak dan cara melaporkan kemajuan—agar pimpinan dapat melihat tren risiko, memprioritaskan perbaikan, dan menunjukkan hasil dari waktu ke waktu.
Pengukuran dan pelaporan manajemen kepatuhan
Pengukuran dan pelaporan mengubah pekerjaan kepatuhan sehari-hari menjadi gambaran yang jelas terkait kemajuan, celah, dan prioritas—agar tim dapat fokus pada hal penting dan mengomunikasikan status dengan penuh keyakinan.
KPI program
Gunakan KPI program untuk melacak seberapa baik kontrol dibangun, diadopsi, dan diverifikasi—serta di mana masalah terus muncul.
Cakupan kontrol dan kemajuan
- Persentase kontrol yang dirancang, atau berapa banyak persyaratan yang memiliki penetapan kontrol.
- Persentase kontrol yang diterapkan, atau berapa banyak kontrol yang sudah diterapkan dan beroperasi.
- Persentase kontrol yang diuji, atau berapa banyak kontrol yang telah divalidasi melalui pengujian.
Pelacakan masalah
- Masalah berdasarkan tingkat keparahan menunjukkan celah berdampak tertinggi naik ke atas.
- Waktu untuk remediasi menunjukkan seberapa cepat celah diselesaikan setelah ditemukan.
- Temuan audit menyoroti area masalah yang berulang.
- Pengecualian kebijakan menunjukkan area ketika tim bekerja di luar persyaratan standar.
Sinyal orang dan proses
- Penyelesaian pelatihan memastikan panduan yang diperlukan menjangkau audiens yang tepat.
Cara cepat menjaga KPI tetap dapat digunakan
- Lacak sejumlah kecil KPI secara konsisten dan tinjau secara berkala agar tren dapat dilihat—bukan hanya cuplikan sesaat.
- Pasangkan KPI dengan ambang batas dasar (misalnya, apa yang dianggap sebagai “terlalu banyak” masalah dengan tingkat keparahan tinggi) agar tim tahu kapan harus melakukan eskalasi.
Indikator hasil
Indikator hasil menghubungkan pekerjaan dengan hasil. Ini membantu menjawab: “Apakah program kepatuhan kita mengurangi paparan dan meningkatkan kesiapan?”
Hasil risiko dan kesiapan
- Pengurangan paparan risiko, ditunjukkan melalui lebih sedikit masalah dengan tingkat keparahan tinggi dan lebih sedikit temuan berulang dari waktu ke waktu.
- Pengesahan tepat waktu, menunjukkan organisasi dapat memenuhi tenggat pelaporan formal.
Hasil efisiensi
- Jam yang dihemat dalam audit menjelaskan saat bukti diorganisir dan mudah diambil.
Hasil tren
- Garis tren untuk skor risiko dan kematangan menunjukkan apakah postur keseluruhan membaik dari waktu ke waktu.
Visibilitas kepemimpinan
- Dasbor kepemimpinan merangkum kemajuan, menyoroti celah utama, dan menunjukkan fokus pekerjaan remediasi.
Tantangan umum dan cara menghindarinya
Bahkan program yang berjalan dengan baik pun dapat terhenti saat persyaratan bertambah, sistem menyebar di berbagai lingkungan, dan kepemilikan menjadi kabur. Perbaikannya biasanya berfokus pada pengurangan pekerjaan duplikat, memperkuat kebiasaan pengumpulan bukti, dan menetapkan pembatas yang jelas untuk alat baru.
Penyebaran kerangka kerja dan upaya duplikat
Masalahnya: Tim melacak persyaratan yang sama di beberapa tempat, menulis ulang kontrol serupa untuk peraturan yang berbeda, dan menghabiskan waktu untuk menyelaraskan daftar periksa yang tumpang tindih.
Cara menghindarinya: Gunakan pemetaan kontrol umum lintas regulasi.
Pendekatan praktisnya adalah memetakan satu kontrol ke beberapa kerangka kerja agar pekerjaan yang sama tidak perlu diulang setiap kali menambahkan standar baru.
- Bangun pustaka kontrol bersama. Pertahankan kumpulan kontrol inti yang muncul di banyak persyaratan (kontrol akses, pengelogan, enkripsi, retensi, respons insiden).
- Petakan sekali, gunakan berulang kali. Hubungkan setiap kontrol ke setiap regulasi/standar yang memerlukannya, lalu referensikan pemetaan itu selama peninjauan dan audit.
- Perbarui kontrolnya, bukan setiap daftar periksa. Saat kontrol berubah, biarkan satu pembaruan itu mengalir ke persyaratan yang dipetakan, bukan mengedit banyak salinan.
Pemeriksaan cepat: Jika dua tim memelihara kontrol yang “sama” secara terpisah dengan redaksi berbeda, Anda sedang membayar biaya duplikasi.
Kekacauan bukti
Masalahnya: Bukti tersebar di obrolan, utas email, komentar tiket, dan drive bersama. Saat permintaan audit datang, orang-orang sibuk mencari artefak dan menyusun ulang konteks.
Cara menghindarinya: Pusatkan artefak dan tetapkan pemilik kontrol.
Memusatkan bukti paling efektif saat setiap kontrol memiliki pemilik bernama yang tahu seperti apa “bukti yang baik” dan di mana lokasinya.
- Satu tempat untuk bukti. Simpan artefak, catatan, dan pembaruan status di satu tempat yang terhubung ke kontrol. (Banyak alat mendukung pelampiran bukti dan pelacakan status di dalam tindakan perbaikan.)
- Kepemilikan yang jelas. Tetapkan pemilik kontrol yang bertanggung jawab menjaga artefak tetap terkini dan menanggapi permintaan bukti.
- Tentukan “bukti minimum yang layak.” Untuk setiap kontrol, dokumentasikan apa yang perlu ditunjukkan:
- Apa kontrolnya,
- Siapa pemiliknya,
- Bagaimana cara kontrol diperiksa,
- Bukti apa yang dikumpulkan, dan
- Seberapa sering diperbarui.
- Gunakan alur kerja dan penugasan. Lacak permintaan, tanggal jatuh tempo, dan langkah peninjauan agar pengumpulan bukti tidak bergantung pada ingatan.
Satu kebiasaan sederhana yang membantu: Jika bukti sulit ditemukan dalam waktu dua bulan kemudian, berarti bukti itu tidak disimpan di tempat yang tepat.
Kompleksitas multicloud
Masalahnya: Platform cloud yang berbeda memiliki default, pola pengelogan, dan pengaturan keamanan yang berbeda. Kontrol bergeser seiring waktu saat layanan diperbarui dan tim melakukan perubahan lokal.
Cara menghindarinya: Tetapkan kebijakan-sebagai-kode standar dan acuan dasar postur.
Pendekatan yang stabil adalah menstandardisasi ekspektasi dalam dua lapisan: kebijakan-sebagai-kode untuk aturan yang konsisten, dan acuan dasar postur untuk status konfigurasi minimum yang Anda harapkan di semua tempat.
- Kebijakan-sebagai‑kode untuk konsistensi pengulangan. Tentukan persyaratan utama (seperti enkripsi, persyaratan identitas, pengelogan, retensi) dalam bentuk yang dapat diterapkan secara konsisten di seluruh lingkungan.
- Acuan dasar postur untuk kejelasan. Pertahankan serangkaian pengaturan keamanan dasar dan lacak kapan sistem menyimpang dari acuan dasar tersebut.
- Pemantauan berkelanjutan atas status kontrol. Lacak apakah kontrol lulus atau gagal dari waktu ke waktu, bukan hanya saat peninjauan terjadwal.
- Pemetaan kontrol umum tetap penting. Gunakan kontrol bersama jika memungkinkan, meskipun platform dasarnya berbeda.
Waspadai penyimpangan: Jika acuan dasar didokumentasikan tetapi tidak dipantau, acuan dasar akan cepat usang.
Penggunaan IT bayangan dan AI
Masalahnya: Orang-orang mengadopsi aplikasi baru—dan alat AI baru—lebih cepat daripada proses tata kelola dapat meninjaunya. Ini meningkatkan risiko data sensitif dibagikan di tempat yang belum divalidasi.
Cara menghindarinya: Gunakan alat, label, pemantauan, dan templat terbaru yang telah disetujui.
Terapkan pembatas yang jelas dan sesuai dengan cara orang bekerja secara nyata—terutama saat alat AI makin meluas.
- Tentukan alat yang telah disetujui. Terbitkan daftar singkat aplikasi dan alat AI yang disahkan, ditambah jalur untuk meminta aplikasi dan alat baru.
- Beri label data sensitif. Terapkan label sensitivitas agar orang tahu hal apa yang memerlukan perhatian ekstra dan agar kontrol dapat bertindak berdasarkan label tersebut.
- Pantau risiko komunikasi. Tambahkan pemantauan yang berfokus pada pola berbagi berisiko (misalnya, menyalin konten sensitif ke alat yang tidak disetujui atau mengirimkannya ke tujuan yang tidak sah).
- Adopsi templat yang selaras dengan peraturan yang terus berkembang (termasuk AI). Gunakan templat dan daftar periksa yang mencerminkan persyaratan baru saat aturan AI berubah, lalu perbarui secara berkala, bukan menunggu peninjauan tahunan berikutnya.
Pembagian praktis yang menjaga momentum adalah:
- Blokir alat berisiko tinggi yang tidak memiliki kebutuhan bisnis.
- Izinkan alat berisiko lebih rendah hanya untuk pekerjaan yang tidak sensitif dan tambahkan pembatas untuk mengurangi risiko kebocoran data.
- Standarisasi pada opsi kelas perusahaan untuk pekerjaan yang melibatkan data sensitif.
Contoh nyata manajemen kepatuhan
Skenario ini menunjukkan bagaimana manajemen kepatuhan dapat mengurangi risiko dan meningkatkan kesiapan tanpa memperlambat pekerjaan sehari-hari di universitas Amerika.
Aplikasi telehealth pihak ketiga menimbulkan paparan HIPAA
Skenario: Sebuah pusat kesehatan kampus menambahkan platform telehealth pihak ketiga tanpa memeriksa keselarasan dengan HIPAA terlebih dahulu. Hal ini menciptakan jalur bagi akses tidak sah ke rekam medis mahasiswa.
Apa yang berubah: Tim menjalankan peninjauan terstruktur sebelum platform dapat mengakses rekam medis, menggunakan kebijakan terpusat dan pemeriksaan kepatuhan di seluruh lingkungan multicloud.
Poin penting
- Mengapa ini penting: Alat vendor dapat dengan cepat menimbulkan risiko kepatuhan ketika menyentuh data kesehatan yang dilindungi.
- Langkah-langkah tindakan:
- Tambahkan pemeriksaan kepatuhan wajib untuk layanan pihak ketiga baru sebelum layanan tersebut terhubung ke catatan sensitif.
- Terapkan kebijakan penerapan yang ditentukan secara terpusat agar akses diblokir hingga persyaratan terpenuhi.
- Apa yang harus dicari:
- Satu tempat untuk melacak persyaratan dan status kepatuhan di seluruh layanan.
- Gerbang “lulus / gagal” yang jelas dan terhubung ke akses ke sistem sensitif.
Laporan bantuan keuangan dikirim ke grup internal yang salah
Skenario: Seorang petugas bantuan keuangan secara tidak sengaja mengirim email laporan berisi detail pinjaman dan hibah mahasiswa ke departemen internal yang seharusnya tidak menerimanya, sehingga memicu investigasi.
Apa yang berubah: Kebijakan otomatis mendeteksi saat data bantuan keuangan sensitif dibagikan ke penerima yang tidak berwenang dan dapat memicu peringatan atau membatasi akses untuk mencegah berbagi yang tidak sesuai lebih lanjut.
Poin penting
- Mengapa ini penting: Banyak insiden kepatuhan adalah kesalahan sederhana; deteksi cepat membatasi cakupan dan mendukung tindak lanjut.
- Langkah-langkah tindakan:
- Tentukan apa yang termasuk data bantuan keuangan sensitif dan cara data itu boleh dibagikan.
- Tetapkan kebijakan untuk menandai atau membatasi pesan saat penerima tidak cocok dengan grup yang disetujui.
- Gunakan peringatan untuk mengarahkan insiden ke peninjau yang tepat untuk penyelidikan dan tindakan perbaikan.
- Apa yang harus dicari:
- Kebijakan yang mendeteksi pola pengungkapan tidak sah (bukan hanya kata kunci).
- Jejak audit yang jelas tentang hal apa yang dibagikan, dengan siapa, dan apa yang terjadi berikutnya.
Mulai menggunakan Pengelola Kepatuhan Microsoft Purview
Anda sudah melihat cara kerja program manajemen kepatuhan yang kuat: Menetapkan kebijakan yang jelas, menentukan penanggung jawab, menilai risiko, menutup celah, memantau kontrol, dan melaporkan kemajuan dengan cara yang bisa ditindaklanjuti oleh pimpinan. Saat semua bagian itu digabungkan, Anda menghabiskan lebih sedikit waktu untuk mencari bukti dan lebih banyak waktu untuk meningkatkan cara pelaksanaan kerja.
Jika Anda memulai dari awal—atau memperketat program yang sudah ada—Anda bisa menjaga semuanya tetap terkelola dengan cara berikut:
- Memilih satu penilaian yang sesuai dengan kebutuhan jangka pendek Anda (regulasi, standar, atau persyaratan internal yang sudah Anda lacak).
- Menggunakan daftar tindakan peningkatan sebagai backlog kerja Anda, lalu tetapkan pemilik untuk pekerjaan implementasi dan pengujian.
- Meninjau skor dan tampilan “perlu perhatian” secara rutin agar fokus tetap pada pekerjaan dengan dampak terbesar.
- Mengumpulkan bukti dan pembaruan status saat Anda bekerja agar pelaporan audit tidak menjadi kerja tergesa-gesa di menit terakhir.
Pengelola Kepatuhan Microsoft Purview dirancang untuk membantu Anda menilai dan mengelola kepatuhan di seluruh lingkungan multicloud serta mendukung seluruh perjalanan—mulai dari inventarisasi risiko perlindungan data hingga penerapan kontrol, tetap mengikuti regulasi dan sertifikasi terbaru, serta pelaporan kepada auditor.
Dapatkan bantuan untuk mengatur persyaratan ke dalam penilaian, mengubah celah menjadi tindakan peningkatan yang ditugaskan, melacak kemajuan dengan skor berbasis risiko, dan mendukung pelaporan kepada auditor—semuanya di satu tempat.
SUMBER DAYA
Pelajari lebih lanjut tentang Microsoft Security
Tanya jawab umum
Tanya jawab umum
- Manajemen kepatuhan adalah pekerjaan berkelanjutan untuk mematuhi hukum, regulasi, dan kebijakan internal yang berlaku—serta menyimpan bukti yang menunjukkan bahwa persyaratan tersebut telah dipenuhi.
- Cara umum untuk mengelompokkan kepatuhan adalah: Regulasi (hukum dan peraturan), industri (standar dan sertifikasi), serta internal (kebijakan perusahaan dan kewajiban kontrak).
- Alat manajemen kepatuhan adalah perangkat lunak yang mengatur persyaratan, kontrol, tugas, dan bukti sehingga tim dapat melacak kemajuan, menugaskan pekerjaan, dan mendukung audit.
- Anda perlu kebijakan yang jelas, peran dan penanggung jawab yang terdefinisi, kontrol dan proses yang terdokumentasi, penilaian berkala, remediasi masalah, serta catatan yang mendukung audit dan pelaporan.
- Templat sistem manajemen kepatuhan (CMS) adalah struktur yang dapat digunakan kembali untuk melacak kewajiban, memetakan kontrol, menugaskan penanggung jawab, menyimpan bukti, dan melaporkan status di berbagai standar.
- Daftar periksa kepatuhan adalah daftar tindakan atau kontrol yang wajib dilakukan untuk memastikan Anda memenuhi hukum, regulasi, standar, atau kebijakan internal—sering digunakan selama penilaian dan audit.
- Elemen utama meliputi tata kelola dan pengawasan, kebijakan dan prosedur, kontrol, pemantauan dan pengujian, manajemen bukti, remediasi, serta pelaporan dan peningkatan berkelanjutan.
Ikuti Microsoft Security