Kas yra atitikties valdymas?

Tvirta atitikties valdymo programa kuriama iš aiškių lūkesčių, kartojamų darbo būdų, kasdienių apsaugų ir žmonių bei įrankių, kurie padeda viską išlaikyti teisingame kelyje.

Strategijos aiškiai nurodo, ką organizacija turi daryti ir kaip atrodo atitiktis. Jos paverčia įsipareigojimus aiškiais lūkesčiais, kurių galima laikytis.

Dažniausios strategijos sritys yra:

• Duomenų tvarkymo ir prieigos taisyklės.
• Įrašai, saugojimas ir įrodymų lūkesčiai auditui.
• Ataskaitų teikimo ir perskyrimo keliai, kai kas nors nutinka ne taip.

Procesai yra nuoseklios veiksmų sekos, kurių komandos laikosi, kad nuolat atitiktų reikalavimus – peržiūrų ciklai, patvirtinimai, testavimas ir problemų sprendimo eiga.

Atitikties procesų pavyzdžiai:

• Reguliarios peržiūros, kad būtų patvirtinta, jog reikalavimai įtraukti į verslo darbo procesus.
• Nuolatinis kontrolės priemonių būsenos stebėjimas, o ne tik metiniai patikrinimai.
• Taisomieji veiksmai, kai randama spragų.

Standartai ir sistemos veikia kaip atskaitos rinkiniai, su kuriais lyginate. Jie gali būti iš teisės aktų, pramonės standartų arba vidaus reikalavimų.

Praktiškas būdas tvarkyti standartus yra laikyti juos reikalavimų šablonais, kuriuos galima grupuoti ir stebėti. Pavyzdžiui, vertinimas yra konkretaus teisės akto, standarto ar strategijos kontrolės priemonių grupė.

Kontrolės priemonės yra konkretūs patikrinimai ir praktikos, rodančios, kad reikalavimas yra įgyvendinamas, ir susiejantys jį su sistemos konfigūracija, organizaciniu procesu ir priskirta atsakomybe.

Naudingos kontrolės kategorijos:

• Paslaugų teikėjo valdomos kontrolės priemonės, kurias tvarko debesies teikėjas
• Organizacijos valdomos kontrolės priemonės, kurias tvarko jūsų komandos
• Bendros kontrolės priemonės, kai atsakomybė padalyta

Atitikties valdymas veikia geriausiai, kai atsakomybė yra aiškiai priskirta. Dvi vaidmenų grupės, kurias turi turėti bet kuri sėkminga programa, yra vadovybės priežiūra ir kasdienė atitikties atsakomybė.

Valdybos ir vadovybės priežiūra

Vadovybė atsakinga už lūkesčių nustatymą, strategijos nuostatų priėmimą, įgaliojimų suteikimą, funkcijos aprūpinimą ištekliais ir reguliarų atitikties veiklos bei nustatytų problemų ataskaitų gavimą.

Dažniausiai priežiūra apima šiuos dalykus:

• Aiškūs atitikties lūkesčiai ir strategijos patvirtinimas.
• Įvardytas atsakingasis (atitikties užtikrinimo pareigūnas arba komitetas), turintis teisę veikti.
• Reguliarios audito, problemų ir taisomųjų veiksmų ataskaitos.

Atitikties užtikrinimo pareigūnas

Šis vaidmuo atsakingas už strategijas ir procedūras, mokymus, atitikties peržiūrą, kylančių problemų stebėjimą, atsakymus į skundus, rezultatų teikimą ir taisomųjų veiksmų užtikrinimą.

Paprastas atsakomybių pasidalijimas, kurį galima plėsti:

• Kontrolės priemonių savininkai prižiūri konkrečias kontrolės priemones ir pateikia įrodymus.
• Atitikties komandos nustato struktūrą, vykdo vertinimus, seka spragas ir padeda atliekant auditus.
• Vadovybė peržiūri pažangą, pašalina kliūtis ir patvirtina prioritetus.

Skaičiuoklės gali tikti mažam mastui, bet dauguma organizacijų naudoja įrankius, kad reikalavimai, kontrolės priemonės, įrodymai ir nuosavybė būtų vienoje vietoje – ypač keliuose debesyse ir verslo padaliniuose.

Ko ieškoti atitikties valdymo programinėje įrangoje

Praktinės funkcijos, padedančios mažinti dubliavimą ir palaikyti darbų aktualumą:

• Vertinimai – tai pakartotinai naudojami reikalavimų ir kontrolės priemonių kontroliniai sąrašai.
• Kontrolės priemonių susiejimas, kai viena kontrolės priemonė susiejama su keliais standartais, kad sumažėtų pasikartojantis darbas.
• Stebėjimas, kuris suteikia kontrolės būsenos matomumą laikui bėgant.
• Įrodymų valdymas, kai yra viena vieta saugoti artefaktams, pastaboms ir būsenai.
• Darbo eiga ir užduotys priskyrimams, terminams ir pažangos stebėjimui.
• Balų sistema, kuri suteikia rizika pagrįstą vaizdą ir padeda sutelkti dėmesį į tobulinimo darbus.

Sukurkite planą

Kurdami atitikties valdymą savo organizacijoje, ieškokite atsakymų į šiuos klausimus:

• Ar turime rašytines strategijas, kurios atitinka mūsų įsipareigojimus?
• Ar pagrindiniai procesai dokumentuoti?
• Ar kontrolės priemonės susietos su standartais, kad komandoms nereikėtų kartoti to paties darbo?
• Ar galime greitai pateikti įrodymus, kai vyksta auditai ar tyrimai?
• Ar aiškūs atsakomybės ir ataskaitų teikimo vaidmenys?

Saugos atitikties valdymas yra ten, kur sutampa saugos darbas ir atitikties įsipareigojimai. Praktiškai tai reiškia duomenų ir sistemų apsaugą taip, kad būtų laikomasi taisyklių, už kurias esate atsakingi, tada – to įrodymas pasitelkiant bazines nuostatas, stebėjimą ir įrašus.

Dauguma reglamentų ir standartų apima saugos lūkesčius. Dažnai taikomi reikalavimai apima šiuos dalykus:

• Duomenų tvarkymą: aiškios taisyklės, kaip slapti duomenys renkami ir apdorojami.
• Saugus saugojimas ir prieiga: šifravimas ir valdoma prieiga, kad sumažėtų neteisėto atskleidimo rizika.
• Ataskaitų teikimas ir auditas: reguliarūs patikrinimai, pagalba atliekant auditą ir pranešimai apie pažeidimus, kai to reikia.

Gali tekti vienu metu susieti savo kontrolės priemones su keliomis sistemomis.

Trys dažniausiai taikomi standartai:

• Bendrasis duomenų apsaugos reglamentas (BDAR): ES teisinė sistema, orientuota į privatumą ir asmens duomenų apsaugą; atitiktis susijusi su BDAR atitikties laikymųsi ir stipresne asmeninės informacijos kontrole.
• Sveikatos draudimo mobilumo ir atskaitomybės aktas (HIPAA): šie JAV sveikatos priežiūros įstatymai ir taisyklės nustato reikalavimus, kaip naudoti, atskleisti ir apsaugoti saugomą informaciją apie sveikatą (PHI), įskaitant saugos vaidmenų apsaugos priemones, taikomas elektroninei PHI.
• „Payment Card Industry Security Standards“ (PCI DSS): pasaulinis informacijos saugos standartas organizacijoms, kurios saugo, apdoroja ar perduoda kortelių turėtojų duomenis; jis skirtas sumažinti sukčiavimą stiprinant kredito kortelių duomenų kontrolę.

1. Pradėkite nuo saugos bazinės konfigūracijos. Naudokite pagrindinėms sistemoms apibrėžtą bazinę konfigūraciją, kad komandos žinotų, kas jūsų organizacijoje laikoma gera konfigūracija. Stebėkite nustatymus, kurie nukrypsta nuo nustatytų reikšmių, ir pašalinkite spragas.

2. Įdiekite stiprias prieigos ir šifravimo kontrolės priemones. Taikykite kontroliuojamą prieigą ir šifravimą, kad sumažintumėte neteisėtą neskelbtinų duomenų atskleidimą.

3. Reguliariai atlikite vertinimus ir auditus. Periodiškai atlikite auditus ir vertinimus, kad rastumėte spragas ir patvirtintumėte, jog kontrolės priemonės vis dar atitinka reikalavimus.

4. Mokykite žmones, kaip tvarkyti duomenis. Saugos atitiktis priklauso nuo kasdienių sprendimų, todėl svarbūs mokymai ir aiškios gairės.

5. Paruoškite dokumentaciją peržiūroms. Tvarkykite įrašus, kurie padeda atliekant audito ir reguliavimo atitikties peržiūras, kad prireikus galėtumėte greitai reaguoti.

6. Naudokite stebėjimą ir darbo eigą, kad turėtumėte naujausią informaciją. Naudokite įrankius ir procesus, kurie padeda vykdyti nuolatinį stebėjimą, sekimą ir taisomąsias priemones, o ne remtis tik vienkartinėmis peržiūromis.

Automatizavimas ir nuolatinė atitiktis padeda komandoms palaikyti reikalavimus, kontrolės priemones ir įrodymus aktualius, kai aplinka keičiasi. Užuot laikius atitiktį periodiniu įvykiu, šis metodas ją laiko nuolatine mažų tikrinimų ir atnaujinimų seka, kurią lengviau valdyti ir lengviau patvirtinti.

Keli pokyčiai daro automatizavimą praktiškesnį – ir reikalingesnį – nei anksčiau:

• Kelių debesų ir programinės įrangos nuomos paslaugos augimas: duomenys ir darbo krūviai juda per daugiau paslaugų ir tiekėjų, todėl padaugėja vietų, kuriose reikia taikyti ir stebėti kontrolės priemones.
• Greitai kintantys teisės aktai: reikalavimai kinta, o tai, kas buvo tinkama pernai, šiemet gali būti pasenę, ypač kalbant apie privatumo ir saugos lūkesčius.
• Pasiskirsčiusi atsakomybė: kontrolės priemonių savininkai dažnai dirba skirtingose komandose (debesies saugos, IT, inžinerijos, teisininkų, žmogiškųjų išteklių), todėl koordinavimas ir nuoseklus įrodymų rinkimas tampa dar svarbesni.

Kai vertinate automatizavimą ir nuolatinę atitiktį, sutelkite dėmesį į galimybes, kurios sumažina rankinį darbą neprarandant atskaitomybės.

Pradėkite nuo standartizuotų vertinimų, kuriuose naudojami pakartotinai naudojami kontrolės priemonių rinkiniai. Tai padeda užtikrinti nuoseklumą tarp komandų ir palengvina rezultatų palyginimą laikui bėgant.

• Standartizuoti vertinimai: kiekviename cikle naudokite tą pačią vertinimo struktūrą, kad pažanga (ir regresijos) būtų lengvai matomos.
• Pakartotinai naudojami kontrolės priemonių rinkiniai: naudokite pagrindinį kontrolės priemonių rinkinį, o ne perrašykite tikrinimus kiekvienam naujam reikalavimui.

Bendras kontrolės priemonių susiejimas mažina dubliavimąsi tarp sistemų, nes viena kontrolės priemonė susiejama su keliais reikalavimais.

Štai kaip tai atrodo praktikoje:

1. Viena prieigos valdymo praktika (pavyzdžiui, „ribota prieiga prie slaptų duomenų“) gali atitikti kelių standartų dalis.
2. Tai kontrolės priemonei surinkti įrodymai gali būti pakartotinai naudojami atskaitant pagal skirtingas sistemas, užuot tą patį įrodymą kūrus keliose vietose iš naujo.
3. Kontrolės priemonės (ar jos dokumentacijos) atnaujinimai perduodami visoms sistemoms, kurios nuo jos priklauso.

Nuolatinis stebėjimas orientuojasi į kontrolės priemonių būseną ir atitikties padėtį – ar kontrolės priemonės įdiegtos, ar jos vis dar veikia taip, kaip tikėtasi, ir ar kas nors pasikeitė, dėl ko reikia tolesnių veiksmų.

Štai dažni stebėjimo signalai, kuriuos seka komandos:

• Kontrolės priemonių būsena: tai gali būti, pavyzdžiui, sėkminga, nesėkminga arba dar neįvertinta.
• Pokyčių indikatoriai: konfigūracijos pakeitimai, strategijos atnaujinimai ar naujos sistemos gali sukurti naujų tikrinimų.
• Išimčių modeliai: pasikartojančios išimtys gali rodyti kontrolės priemones, kurias reikia pertvarkyti arba kurioms reikia tvirtesnės nuosavybės.

Įrodymai linkę išsibarstyti po gautuosius laiškus, bendrai naudojamus diskus ir kvitų gijas, jei tam iš anksto nepasiruošiate. Centralizuotas įrodymų valdymas laiko artefaktus vienoje vietoje ir susieja juos su tinkama kontrolės priemone, savininku ir peržiūros ciklu.

Čia svarbi darbo eiga ir užduočių paskirstymas, nes jie paverčia dalykus, kuriuos reikia sutvarkyti, į sekamą darbą:

• Darbo eiga: nuoseklus peržiūrų, patvirtinimų ir galutinių sutikimų kelias.
• Užduočių paskirstymas: aiškūs priskyrimai, terminai ir eigos stebėjimas, susieti su kontrolės priemone arba vertinimu.
• Įrodymų parengtis: greitas būdas atsakyti į klausimą „Kokį įrodymą turime?“ ir „Ar tai aktualu?“

Rizika pagrįstas vertinimas ir brandos modeliai padeda komandoms nuspręsti, ką taisyti pirmiausia. Tikslas nėra iš karto vytis kiekvieną smulkią spragą, o sutelkti taisymą į problemas, kurios sukelia didžiausią riziką.

Tai padeda nustatyti taisymo prioritetus pagal šiuos veiksnius:

• Darbo reitingavimas pagal poveikį: didžiausios rizikos spragas kelkite į eilės pradžią.
• Pažangos stebėjimas laikui bėgant: įvertinimas arba brandos lygis leidžia aiškiai matyti prieš ir po, kai užbaigiate taisymo darbus.
• Nuoseklių sprendimų palaikymas: kai komandos naudoja tą patį vertinimo arba brandos modelį, prioritetų nustatymas yra mažiau subjektyvus ir lengviau paaiškinamas.

Kai pradedate automatizuoti vertinimus, stebėjimą ir įrodymų rinkimą, kitas žingsnis yra nuspręsti, ką stebėsite ir kaip pranešite apie pažangą, kad vadovai matytų rizikos tendencijas, galėtų nustatyti taisymo prioritetus ir laikui bėgant matytų rezultatus.

Net gerai veikiančios programos gali sustoti, kai reikalavimų daugėja, sistemos pasklinda po aplinkas, o atsakomybė tampa neaiški. Paprastai tai sprendžiama mažinant besidubliuojantį darbą, gerinant įrodymų tvarkymą ir nustatant aiškias ribas naujiems įrankiams.

Problema: komandos seka tą patį reikalavimą keliose vietose, perrašo panašias kontrolės priemones skirtingiems reglamentams ir leidžia laiką derindamos sutampančius kontrolinius sąrašus.

Kaip to išvengti: naudokite bendrą kontrolės priemonių susiejimą tarp reglamentų.

Praktiškas būdas – susieti vieną kontrolės priemonę su keliomis sistemomis, kad nereikėtų kartoti to paties darbo kiekvieną kartą pridedant naują standartą.

• Sukurkite bendrą valdymo biblioteką. Turėkite pagrindinį kontrolės priemonių rinkinį, kuris naudojamas daugelyje reikalavimų (prieigos valdymas, žurnalų registravimas, šifravimas, saugojimas, reagavimas į incidentus).
• Kartą susiekite, dažnai naudokite pakartotinai. Susiekite kiekvieną kontrolės priemonę su kiekvienu reglamentu ar standartu, kuris jos reikalauja, ir tada remkitės tuo susiejimu peržiūrų ir audito metu.
• Atnaujinkite kontrolės priemonę, o ne kiekvieną kontrolinį sąrašą. Kai kontrolės priemonė pasikeičia, leiskite tam vienam atnaujinimui persikelti į susietus reikalavimus, o ne redaguokite kelias kopijas.

Greitas patikrinimas: jei dvi komandos prižiūri atskiras „tas pačias“ kontrolės priemones skirtingais žodžiais, mokate už dubliavimą.

Problema: įrodymai išsibarsto po pokalbius, el. laiškų gijas, kvitų komentarus ir bendrai naudojamus diskus. Kai gaunama audito užklausa, žmonės skuba ieškoti įrodymų ir iš naujo atkurti kontekstą.

Kaip to išvengti: centralizuokite įrodymus ir paskirkite kontrolės priemonių savininkus.

Įrodymų centralizavimas veikia geriausiai, kai kiekviena kontrolės priemonė turi įvardytą savininką, kuris žino, kaip atrodo „geri įrodymai“ ir kur jie saugomi.

• Viena vieta įrodymams. Saugokite įrodymus, pastabas ir būsenos atnaujinimus vienoje vietoje, susietoje su kontrolės priemone. (Daugelis įrankių palaiko įrodymų pridėjimą ir būsenos sekimą tobulinimo veiksmuose.)
• Aiški nuosavybė. Paskirkite kontrolės priemonės savininką, atsakingą už tai, kad įrodymai būtų atnaujinti ir būtų atsakoma į įrodymų užklausas.
• Apibrėžkite „minimaliai tinkamus įrodymus“. Kiekvienos kontrolės priemonės atveju dokumentuokite, ką reikia parodyti:
  • kas yra kontrolės priemonė,
  • kas už ją atsakingas,
  • kaip ji tikrinama,
  • koks įrodymas renkamas ir
  • kaip dažnai ji atnaujinama.
• Naudokite darbo eigą ir užduočių paskyrimą. Sekite užklausas, terminus ir peržiūros veiksmus, kad įrodymų rinkimas nepriklausytų nuo atminties.

Vienas paprastas įprotis, kuris padeda: jei įrodymus po dviejų mėnesių sunku rasti, jie saugomi ne toje vietoje.

Problema: skirtingos debesies platformos turi skirtingus numatytuosius nustatymus, žurnalų registravimo modelius ir saugos parametrus. Laikui bėgant kontrolės priemonės nukrypsta, nes paslaugos atnaujinamos, o komandos daro vietinius pakeitimus.

Kaip to išvengti: nustatykite standartizuotą strategijos, kaip kodo, sistemą ir būsenos bazines reikšmes.

Stabilus būdas yra standartizuoti lūkesčius dviem lygiais: strategija, kaip kodas, nuoseklioms taisyklėms ir būsenos bazinės reikšmės, kurios apibrėžia mažiausią konfigūracijos būseną, kurios tikitės visur.

• Strategija, kaip kodas, pakartojamumui. Apibrėžkite pagrindinius reikalavimus (pvz., šifravimą, tapatybės reikalavimus, žurnalų registravimą, saugojimą) forma, kurią galima nuosekliai taikyti visose aplinkose.
• Padėties bazinės reikšmės aiškumui užtikrinti. Palaikykite bazinį saugos parametrų rinkinį ir sekite, kada sistemos nuo jo nukrypsta.
• Nuolatinis kontrolės priemonių būsenos stebėjimas. Sekite, ar kontrolės priemonės laikui bėgant veikia, ar neveikia, ne tik suplanuotų peržiūrų metu.
• Bendras kontrolės priemonių susiejimas vis dar svarbus. Naudokite bendras kontrolės priemones, kai tik įmanoma, net jei pagrindinės platformos skiriasi.

Stebėkite nukrypimus: jei bazinė konfigūracija dokumentuota, bet nestebima, ji greitai pasensta.

Problema: žmonės diegia naujas programas ir naujus DI įrankius greičiau nei valdymo procesai gali juos peržiūrėti. Dėl to padidėja rizika, kad slapti duomenys bus bendrinami vietose, kurios nebuvo patikrintos.

Kaip to išvengti: naudokite patvirtintus įrankius, etiketes, stebėjimą ir atnaujintus šablonus.

Turėkite aiškias apsaugos priemones, kurios atitinka tai, kaip žmonės iš tikrųjų dirba, ypač plintant DI įrankiams.

• Apibrėžkite patvirtintus įrankius. Paskelbkite trumpą patvirtintų programų ir DI įrankių sąrašą bei kelią naujų prašymui.
• Žymėkite slaptus duomenis. Taikykite slaptumo žymas, kad žmonės žinotų, kam reikia papildomo dėmesio, o kontrolės priemonės galėtų veikti pagal žymą.
• Stebėkite ryšio riziką. Įtraukite stebėjimą, orientuotą į rizikingus bendrinimo modelius (pvz., slapto turinio kopijavimą į nepatvirtintus įrankius arba siuntimą į neleistinas paskirties vietas).
• Taikykite šablonus, suderintus su besikeičiančiais reglamentais (įskaitant DI). Naudokite šablonus ir kontrolinius sąrašus, kurie atspindi naujus reikalavimus keičiantis DI taisyklėms, ir atnaujinkite juos reguliariai, užuot laukę kitos metinės peržiūros.

Praktiškas suskirstymas, padedantis išlaikyti tempą:

• Blokuokite didelės rizikos įrankius, kurių verslui nereikia.
• Leiskite mažesnės rizikos įrankius tik darbui su neslaptais duomenimis ir įtraukite apsaugos priemonių, kad sumažintumėte duomenų nutekėjimo riziką.
• Standartizuokite įmonės lygio parinktis darbui su slaptais duomenimis.

Matėte, kaip veikia stipri atitikties valdymo programa: nustatykite aiškias strategijas, priskirkite atsakomybę, įvertinkite riziką, užpildykite spragas, stebėkite kontrolės priemones ir teikite ataskaitas apie pažangą taip, kad vadovai galėtų imtis veiksmų. Kai šias dalis sujungiate, mažiau laiko sugaištate ieškodami įrodymų ir daugiau laiko skiriate darbo organizavimo gerinimui.

Jei pradedate nuo nulio arba tobulinate jau turimą programą, galite viską valdyti paprasčiau taip:

• Pasirinkite vieną vertinimą, atitinkantį jūsų artimiausią poreikį (jau stebimą reglamentą, standartą arba vidinį reikalavimą).
• Naudokite tobulinimo veiksmų sąrašą kaip savo darbo užduočių sąrašą, tada priskirkite atsakinguosius įgyvendinimo ir testavimo darbams.
• Reguliariai peržiūrėkite įvertinimą ir rodinį „reikia atkreipti dėmesį“, kad išlaikytumėte dėmesį į svarbiausius darbus.
• Rinkite įrodymus ir būsenos atnaujinimus vykdydami darbus, kad audito ataskaitų rengimas nevirstų paskutinės minutės skubėjimu.

„Microsoft Purview“ atitikties tvarkytuvė sukurta padėti įvertinti ir valdyti atitiktį kelių debesų aplinkoje bei palaikyti visą procesą – nuo duomenų apsaugos rizikų inventorizavimo iki kontrolės priemonių įdiegimo, teisės aktų ir sertifikatų atnaujinimo sekimo bei ataskaitų rengimo auditoriams.

Gaukite pagalbą tvarkant reikalavimus į vertinimus, paverskite spragas priskirtais tobulinimo veiksmais, stebėkite pažangą pagal rizika grįstą įvertinimą ir palaikykite ataskaitų teikimą auditoriams – viskas vienoje vietoje.