Ar atbilstības pārvaldību palīdziet savai organizācijai ievērot piemērojamos tiesību aktus, noteikumus un iekšējās politikas, kā arī dokumentēt pierādījumus, kas apliecina, ka tie tiek ievēroti.
Kas ir atbilstības pārvaldība?
Pārliecinieties, vai jūsu organizācija ievēro piemērojamos tiesību aktus, noteikumus un iekšējās politikas.
Galvenie secinājumi
- Atbilstības pārvaldība palīdz organizācijai saglabāt atbilstību ārējām prasībām un iekšējiem noteikumiem, sasaistot kopā atbildību, aizsardzības pasākumus un pierādījumus.
- Stabila programma balstās uz skaidrām politikām, atkārtojamām darbplūsmām, kartētiem standartiem, skaidri definētu vadīklu īpašumtiesību un sakārtotiem pierādījumiem.
- Atbilstības riska pārvaldība nozīmē iespējamo nepilnību identificēšanu, to vērtēšanu pēc ietekmes, vissvarīgāko problēmu novēršanu un vadīklu efektivitātes izmaiņu izsekošanu laika gaitā.
- Nepārtraukta uzraudzība, praktiski rādītāji un strukturēts uzlabošanas cikls palīdz komandām ziņot par progresu, veikt novērtējumus un būt gatavām auditam.
Kas ir atbilstības pārvaldība?
To var uztvert šādi: atbilstības pārvaldība ir veids, kā organizācija noskaidro, kas tai jāievēro, iekļauj to procesos, pārbauda veiktspēju un novērš nepilnības.
Atbilstības pārvaldība savieno trīs lietas:
- Datu pārvaldība: kārtulas un pārraudzība, kas nosaka gaidas (politikas, standartus un personas, kas ir atbildīgas).
- Datu drošība: vadīklas un aizsardzības pasākumi, kas ikdienas operācijās aizsargā sistēmas un datus.
- Nodrošināšana: uzraudzība, dokumentācija un pārskati, kas apliecina, ka prasības ir izpildītas.
Galvenie mērķi
1. Riska samazināšana. Atbilstības pārvaldība palīdz samazināt risku, uzraugot, vai vadīklas darbojas, un savlaicīgi pamanot izmaiņas, kas var radīt jaunu riskantumu. Tas ir viens no iemesliem, kāpēc daudzas organizācijas pāriet no periodiskiem pārskatiem uz biežāku pārraudzību.
Lūk, kā praksē izskatās riska samazināšana:
- Jūs sekojat prasībām un kontroles statusam laika gaitā, ne tikai audita brīdī.
- Jūs arī savlaicīgi atklājat nepilnības un pēc tam dokumentējat korektīvos pasākumus.
2. Juridiskā atbilstība. Atbilstības pārvaldība palīdz organizācijām saprast savus pienākumus un tikt līdzi izmaiņām noteikumos. Standarti, piemēram, ISO norādes par atbilstības pārvaldības sistēmām, koncentrējas uz sistēmas izveidi, uzturēšanu, novērtēšanu un uzlabošanu, lai tā risinātu atbilstības pienākumus.
Biežākie rezultāti ir šādi:
- Politikas un procedūras, kas atspoguļo prasības.
- Pierādījumi, kas pamato auditus, apliecinājumus vai iekšējos pārskatus.
3. Uzticamības veidošana. Uzticamība rodas no konsekvences un caurspīdīguma — klienti, partneri un regulatori bieži vēlas zināt, ka dati tiek apstrādāti atbilstoši politikai un ka vadīklas ir ieviestas. Uzticamību ir svarīgi saistīt ar drošību, konfidencialitāti, atbilstību un caurspīdīgumu, un tā sakrīt ar to, ko atbilstības pārvaldība cenšas atbalstīt.
Uzticamības signāli, kurus vajadzētu demonstrēt, ir:
- Skaidras īpašumtiesības un pārraudzība.
- Dokumentācija, ko var izveidot, kad rodas jautājumi.
Kāpēc tas ir svarīgi
Biznesa risks
Ja atbilstības darbs ir neformāls vai izkliedēts, komandas var nepamanīt prasības, dublēt darbu vai paļauties uz vienreizējām pārbaudēm, kas ātri kļūst novecojušas. Konkrēta laika punkta novērtējumi, piemēram, ikgadējie auditi, var ātri kļūt novecojuši, atstājot nepilnību līdz nākamajam pārskatam.
Problēmas var rasties, ja jums ir:
- Pretrunīgas politikas vai nekonsekventas vadīklas starp komandām.
- Manuāla ziņošana un pierādījumu meklēšana, kas palēnina reaģēšanu auditu vai izmeklēšanu laikā.
Juridiskais un normatīvais riskantums
Regulējums bieži nosaka, kā pārvaldīt, glabāt un pārsūtīt datus, tāpēc atbilstība daudzās organizācijās ir vadības līmeņa jautājums. Strukturēta pieeja atbilstībai palīdz komandām ievērot prasības un parādīt, kā pienākumi tiek izpildīti.
Varat samazināt riskantumu, izmantojot šādas metodes:
- Skaidrs pienākumu uzskaitījums un kartētas vadīklas.
- Regulāra uzraudzība un dokumentētas sekojuma darbības, kad tiek konstatētas problēmas.
Uzticamības zudums
Uzticamību ir vieglāk saglabāt, ja varat ātri atbildēt uz pamata jautājumiem:
- Kādi noteikumi attiecas?
- Kādas vadīklas ir pieejamas?
- Kādi pierādījumi liecina par to, ka tās darbojas?
Atbilstības pārvaldība atbalsta gatavību, tostarp izmeklēšanas vai juridiskās darbības laikā, kad var pieprasīt datus un ierakstus.
Atbilstības pārvaldības galvenie komponenti
Spēcīga atbilstības pārvaldības programma balstās uz skaidrām gaidām, atkārtojamiem darba veidiem, ikdienas aizsardzības pasākumiem un cilvēkiem un rīkiem, kas visu notur uz pareizā kursa.
Politikas
Politikas nosaka, kas organizācijai jādara un kā izskatās atbilstība. Tās pārvērš pienākumus skaidrās prasībās, kuras cilvēki var ievērot.
Biežākās politikas jomas ir šādas:
- Datu apstrādes un piekļuves kārtulas.
- Ieraksti, saglabāšana un audita pierādījumu prasības.
- Ziņošanas un eskalācijas ceļi, kad kaut kas noiet greizi.
Procesi
Procesi ir pakāpeniskas rutīnas, kuras komandas ievēro, lai konsekventi izpildītu prasības — pārskatīšanas cikli, apstiprinājumi, testēšana un problēmu novēršanas darbības.
Atbilstības procesu piemēri ir šādi:
- Regulāri pārskati, lai apstiprinātu, ka prasības ir iekļautas uzņēmējdarbības darbplūsmās.
- Pastāvīga kontroles statusa uzraudzība, ne tikai ikgadējas pārbaudes.
- Koriģējošas darbības darbplūsmas, ja tiek konstatētas nepilnības.
Standarti
Standarti un ietvari darbojas kā atsauces kopas, pret kurām jūs salīdzināt savu atbilstību. Tie var būt no noteikumiem, nozares standartiem vai iekšējām prasībām.
Praktisks veids, kā organizēt standartus, ir uzskatīt tos par prasību veidnēm, kuras var grupēt un izsekot. Piemēram, novērtējums ir vadīklu kopums, kas izriet no konkrēta regulējuma, standarta vai politikas.
Vadīklas
Vadīklas ir konkrētas pārbaudes un prakses, kas parāda, ka prasība tiek izpildīta, un sasaista to ar sistēmas konfigurāciju, organizācijas procesu un piešķirto atbildību.
Noderīgas vadīklu kategorijas ietver:
- Pakalpojumu sniedzēju pārvaldītas vadīklas, ko apstrādā mākoņpakalpojumu sniedzējs
- Organizācijas pārvaldītas vadīklas, ko apstrādā jūsu komandas
- Koplietojamas vadīklas, kur atbildība tiek sadalīta
Lomas un pienākumi
Atbilstības pārvaldība vislabāk darbojas, ja īpašumtiesības ir skaidri noteiktas. Divas lomu grupas, kas nepieciešamas jebkurai veiksmīgai programmai, ir vadības uzraudzība un ikdienas atbilstības īpašumtiesības.
Valdes un vadības uzraudzība
Vadība ir atbildīga par gaidu noteikšanu, politikas nostādņu apstiprināšanu, pilnvaru piešķiršanu, funkcijas nodrošināšanu ar resursiem un regulāru pārskatu saņemšanu par atbilstības darbībām un konstatējumiem.
Ko uzraudzība bieži ietver:
- Skaidras atbilstības prasības un politikas apstiprināšana.
- Nosaukts atbildīgais (atbilstības nodrošināšanas speciālists vai komiteja) ar pilnvarām rīkoties.
- Regulāri ziņojumi par auditiem, problēmām un koriģējošām darbībām.
Atbilstības nodrošināšanas speciālists
Šī loma ir atbildīga par politikām un procedūrām, apmācībām, atbilstības pārskatīšanu, jaunu problēmu izsekošanu, reaģēšanu uz sūdzībām, rezultātu ziņošanu un koriģējošo darbību nodrošināšanu.
Vienkāršs atbildības sadalījums, kas ir mērogojams, ietvertu:
- Vadīklu īpašnieki uztur konkrētas vadīklas un sniedz pierādījumus.
- Atbilstības komandas nosaka struktūru, veic novērtējumus, seko līdzi nepilnībām un atbalsta auditus.
- Vadība pārskata progresu, novērš šķēršļus un apstiprina prioritātes.
Rīki un sistēmas
Izklājlapas var noderēt nelielā apjomā, taču lielākā daļa organizāciju izmanto rīkus, lai prasības, vadīklas, pierādījumus un īpašumtiesības glabātu vienuviet — īpaši vairākos mākoņos un biznesa vienībās.
Ko meklēt atbilstības pārvaldības programmatūrā
Praktiskas iespējas, kas palīdz mazināt dublēšanos un uzturēt darbu aktuālu, ietver:
- Novērtējumi, kas ir atkārtoti izmantojami prasību un vadīklu kontrolsaraksti.
- Vadīklu kartēšana ar vienu vadīklu, kas ir saistīta ar vairākiem standartiem, lai samazinātu atkārtošanās darbu.
- Pārraudzība, kas nodrošina kontroles statusa redzamību laika gaitā.
- Pierādījumu pārvaldība, kurā vienuviet var glabāt artefaktus, piezīmes un statusu.
- Darbplūsma un uzdevumu sadale uzdevumiem, izpildes termiņiem un progresa izsekošanai.
- Vērtēšana, kas nodrošina uz risku balstītu skatu, lai palīdzētu fokusēt uzlabojumu darbu.
Izveidojiet plānu
Ieviešot atbilstības pārvaldību savā organizācijā, meklējiet atbildes uz šādiem jautājumiem:
- Vai mums ir rakstiskas politikas, kas atbilst mūsu saistībām?
- Vai ir dokumentēti galvenie procesi?
- Vai vadīklas ir kartētas saistībā ar standartiem, lai komandas neatkārtotu vienu un to pašu darbu?
- Vai varam ātri iegūt pierādījumus, kad notiek auditi vai izmeklēšana?
- Vai īpašumtiesības un ziņošana par lomām ir skaidra?
Izpratne par atbilstības risku un tā pārvaldību
Kas ir atbilstības risks?
Atbilstības risks ir iespēja, ka jūsu organizācija neatbildīs tiesību aktiem, regulējumam, standartam vai iekšējai politikai — un tā rezultātā saskarsies ar sekām. Atbilstības risku pārvaldība ir darbs, kurā šie riski tiek savlaicīgi pamanīti, tiem tiek noteiktas prioritātes un tiek sekots līdzi tam, vai atbilstošās vadīklas ir ieviestas un darbojas.
Atbilstības risku veidi, kuriem jāgatavojas
Dažādi riski var strauji uzkrāties, īpaši tad, ja prasības mainās vai dati pārvietojas starp vidēm. Bieži sastopamās riska kategorijas ietver:
- Juridiskā joma: pakļautība tiesvedībai vai regulatoru rīcībai, ja prasības netiek izpildītas.
- Finansiālā joma: izmaksas no naudassodiem, sankcijām un pakārtotais darbs, kas nepieciešams, lai atbildētu.
- Reputācija: zaudēta klientu uzticamība un negatīva publicitāte, kad problēmas kļūst redzamas.
- Datu drošības pārkāpums: lielāka sensitīvu datu ekspozīcijas iespējamība, ja trūkst nepieciešamās drošības prakses vai tā ir neatbilstīga.
Kā novērtēt atbilstības risku
Labs novērtēšanas process ir strukturēts, atkārtojams un tiek atjaunināts, ņemot vērā cilvēkus, kas veic konkrēto darbu. Veidi, kā to sasniegt:
1. Izmantojiet strukturētu riska novērtēšanas procesu. Izveidojiet skaidru metodi, kā mērīt un noteikt prioritātes atbilstības riskiem, nevis paļauties uz spontānu vērtējumu.
2. Sadarbojieties ar pareizajām ieinteresētajām pusēm. Definējiet risku īpašniekus un sadarbojieties ar tēmas ekspertiem, kas saprot nozīmīguma pakāpes; sazinieties ar attiecīgajiem vadītājiem un apsveriet ārējos riska avotus.
3. Novērtējiet ietekmi un varbūtību. Aprēķiniet riska ietekmi un iespējamību, lai noteiktu sākotnējo risku.
4. Ņemiet vērā savu kontroles vidi. Apsveriet, kā esošās vadīklas maina situāciju, lai varētu noteikt un sarindot nenovērsto risku.
5. Izmantojiet rezultātus, lai noteiktu turpmāko rīcību. Atjauniniet novērtējumus, iekļaujot vadības atgriezenisko saiti, lai varētu turpināt fokusēties uz lielāka riska jomām un noteikt prioritātes politiku, procedūru un vadīklu uzlabojumus.
6. Atkārtojiet pēc grafika — nevis tikai vienreiz. Regulāri novērtējumi un auditi palīdz identificēt nepilnības un pārbaudīt atbilstību prasībām.
Kā laika gaitā mērīt un sekot līdzi atbilstības riskam
Jūs nevarat pārvaldīt to, ko neredzat. Mērīšanai nav jābūt sarežģītai — sāciet ar nelielu signālu kopu, kas palīdz pamanīt tendences un fokusēt darbu.
Rādītāji, kas palīdz nodrošināt programmas godīgumu
Izvēlieties rādītājus, kas ir saistīti ar rīcību un parāda, vai risks samazinās, piemēram:
- Problēmas pēc nozīmīguma, lai kritiskās nepilnības nonāktu augšgalā.
- Laiks līdz koriģēšanai jeb cik ātri tiek novērstas nepilnības.
- Audita rezultāti un politikas izņēmumi parāda, kas tiek rādīts un kāpēc.
- Apmācību pabeigšana, kas ir pamata indikators tam, ka cilvēki saņēma norādes.
- Galvenie veiktspējas rādītāji (KPI), kas raksturo jūsu riska profilu, ir konsekventi rādītāji atskaitēm un ieskatiem.
Rezultātu un norises skati
Daži atbilstības rīki seko progresam, izmantojot uz riskiem balstītu vērtējumu, kas saistīts ar uzlabojumu darbību pabeigšanu un nākamā uzmanības punkta izcelšanu.
- Uz risku balstīts atbilstības vērtējums var mērīt progresu, sekojot līdzi uzlabojumu darbību pabeigšanai un palīdzot noteikt fokusu nākamajām veicamajām darbībām.
- Vērtējumi var atspoguļot darbību relatīvo ietekmi atkarībā no tā, kā tās ir klasificētas (piemēram, preventīvas, nosakošas vai koriģējošas).
Īsi riska pārbaudes jautājumi, ko izmantot pārskatos
- Vai mums ir aktuāls pārskats par to, kuri riski ir visaugstākie un kurš par tiem atbild?
- Vai mēs riskus sarindojam, izmantojot ietekmi un iespējamību, un pēc tam atjauninām, balstoties uz to, kā darbojas vadīklas?
Vai mēs sekojam līdzi nelielam rādītāju kopumam (nozīmīgums, laiks līdz koriģēšanai, izņēmumi) un rīkojamies atbilstoši tam, ko tie rāda?
Drošības atbilstības pārvaldība
Drošības atbilstības pārvaldība ietver to, kā pārklājas drošības darbs un atbilstības saistības. Praksē tas nozīmē aizsargāt datus un sistēmas tā, lai tiktu ievēroti noteikumi, par kuriem esat atbildīgi, un pēc tam to pierādīt ar bāzlīnijām, uzraudzību un ierakstiem.
Kur drošība saskaras ar atbilstību
Lielākajā daļā regulējumu un standartu ir iekļautas drošības prasības. Bieži vien kopējās prasības attiecas uz:
- Datu apstrāde: skaidri noteikumi par to, kā sensitīvi dati tiek apkopoti un apstrādāti.
- Droša glabāšana un piekļuve: šifrēšana un kontrolēta piekļuve, lai mazinātu neatļautas ekspozīcijas risku.
- Ziņošana un auditēšana: regulāras pārbaudes, audita atbalsts un paziņojumi par pārkāpumiem, ja nepieciešams.
Galvenās sistēmas un noteikumi
Iespējams, vadīklas būs jākartē vairākās struktūrās vienlaikus.
Tālāk ir norādīti trīs kopējie standarti.
- Vispārīgā datu aizsardzības regula (VDAR): ES tiesiskais regulējums, kas vērsts uz privātumu un personas datu aizsardzību; atbilstība nozīmē ievērot VDAR atbilstību un veicināt stingrāku personas datu kontroli.
- Likums par veselības apdrošināšanas informāciju (HIPAA): šie ASV veselības aprūpes likumi un noteikumi, kas nosaka prasības attiecībā uz aizsargātas veselības informācijas (PHI) izmantošanu, izpaušanu un aizsargāšanu, tostarp drošības noteikumu aizsardzība attiecībā uz elektronisko PHI.
- Maksājumu karšu nozares drošības standarti (PCI DSS): globāls informācijas drošības standarts organizācijām, kas glabā, apstrādā vai pārsūta kartes īpašnieka datus, lai samazinātu krāpšanu, izmantojot lielāku kredītkaršu datu kontroli.
Labākā drošības atbilstības prakse
1. Sāciet ar drošības bāzi. Lietojiet definētu bāzi svarīgām sistēmām, lai komandas zinātu, ko jūsu organizācija uzskata par labu konfigurāciju. Pārraugiet iestatījumus, kas novirzās no noteiktajām vērtībām, un novērsiet nepilnības.
2. Ieviesiet stingras piekļuves un šifrēšanas vadīklas. Piemērojiet kontrolētu piekļuvi un šifrēšanu, lai samazinātu sensitīvu datu neatļautas piekļuves risku.
3. Veiciet regulārus novērtējumus un auditus. Veiciet periodiskus auditus un novērtējumus, lai atrastu nepilnības un pārbaudītu, vai vadīklas joprojām atbilst prasībām.
4. Apmāciet darbiniekus par datu apstrādi. Drošības atbilstība ir atkarīga no ikdienas lēmumiem, tāpēc svarīga ir apmācība un skaidras norādes.
5. Sagatavojiet dokumentāciju pārskatīšanai. Uzturiet ierakstus, kas atbalsta audita un normatīvo aktu atbilstības pārbaudes, lai vajadzības gadījumā varētu ātri atbildēt.
6. Izmantojiet pārraudzību un darbplūsmu, lai uzturētu jaunāko informāciju. Lietojiet rīkus un procesus, kas atbalsta nepārtrauktu uzraudzību, izsekošanu un koriģējošas darbības, nepaļaujoties tikai uz pārbaudēm konkrētā brīdī.
Atbilstības pārvaldības programmas ieviešana
Praktisku atbilstības pārvaldības programmu veido atkārtojams cikls. Daudzas komandas izmanto piecu soļu plūsmu, kas palīdz sakārtot darbu un vieglāk parādīt progresu pārskatos un auditos.
1. Novērtējums. Sāciet ar strukturētu novērtējumu, kas identificē, kas attiecas uz jums un kas jau ir spēkā. Labs novērtēšanas process ietver skaidru metodi, ievadi no pareizajām ieinteresētajām pusēm un veidu, kā novērtēt ietekmi un iespējamību.
Lai veiktu šo darbību, pārliecinieties, vai:
- Izmantojiet strukturētu iekšējā riska novērtēšanas procesu, nevis spontānu spriedumu.
- Definējiet risku īpašniekus un sadarbojieties ar tēmas ekspertiem, kuri saprot nozīmīguma līmeņus.
- Novērtējiet ietekmi un iespējamību izprast iekšējo risku.
2. Trūkumu analīze. Pēc tam salīdziniet prasības ar esošajām vadīklām un dokumentāciju, lai identificētu nepilnības. Audita gatavības darbā to bieži dēvē par “vadīklu nepilnību analīzi” ar “prioritizētiem ieteikumiem”.
No trūkumu analīzes var iegūt, piemēram, šo:
- Nepilnību saraksts, kas saistīts ar konkrētām vadīklām vai prasībām.
- Prioritāri ieteikumi šo trūkumu novēršanai.
3. Koriģēšana. Pārvērtiet trūkumus darbību plānos. Koriģēšanas darbs bieži tiek pārvaldīts, izmantojot darbību plānus un izsekošanu, izmantojot statusa atskaites, lai komandas varētu redzēt, kas notiek un kas ir iestrēdzis.
Padariet koriģēšanu pārvaldāmu, izmantojot:
- Koriģēšanas darbību plānu izveidi atklājumiem.
- Darbību plāna statusa izsekošanu un pārskatu sniegšanu.
- Darbplūsmas un uzdevumu izmantošanu, lai īpašnieki un izpildes datumi būtu skaidri.
4. Pārraudzība. Kad labojumi ir ieviesti, uzraugiet, lai apstiprinātu, ka vadīklas joprojām ir konsekventas. Uzraudzība bieži koncentrējas uz divām lietām: vai vadīklas darbojas un vai iestatījumi “novirzās” no bāzlīnijas.
Praksē jums jāveic šis:
- Pārraugiet mazināšanas pasākumu efektivitāti un rīkojieties, kad parādās problēmas.
- Pārraugiet kontroles statusu un stāvokli laika gaitā — ne tikai gada pārskatu laikā.
- Lietojiet bāzlīnijas uzraudzību, lai pamanītu konfigurācijas novirzes no noteiktajām vērtībām.
Visaptverošas kiberdrošības platformas, piemēram, drošības informācijas un notikumu pārvaldības (SIEM) risinājums, var palīdzēt organizācijām nodrošināt uzraudzību un pretdraudu aizsardzību.
5. Nepārtraukta pilnveide. Atbilstības programmas saglabā lietderību, ja tās tiek atjauninātas un pilnveidotas, pamatojoties uz uzraudzības un auditu rezultātiem. Tas ietver kiberdrošības riska novērtējumu atjaunināšanu ar līderu palīdzību, uzlabojumu prioritātes noteikšanu un programmu pielāgošanu, kad mainās prasības.
Veidi, kā turpināt uzlabot bez liekas sarežģīšanas, ir šādi:
- Risku novērtējumu atjaunināšana kopā ar vadību, lai noteiktu augsta riska jomas un prioritizētu politiku, procedūru un vadīklu uzlabojumus.
- Regulējošo atjauninājumu ieskatu iekļaušana, lai pielāgotu programmu.
- Kopējās vadīklu kartēšanas un atkārtoti izmantojamu novērtējumu izmantošana, lai samazinātu dublēšanos, paplašinoties prasībām.
Darba prioritizēšana, pamatojoties uz risku un nozīmīgumu
Vienkāršs veids, kā noteikt prioritātes, ir vispirms koncentrēties uz to, kam ir visaugstākais risks un vislielākā nozīmīguma pakāpe. Mērķis ir veltīt pūles tur, kur tas visvairāk samazinās riskantumu.
Sāciet ar ietekmi un iespējamību
- Aprēķiniet ietekmi un varbūtību, lai noteiktu sākotnējo risku, pēc tam ņemiet vērā kontroles vidi, lai ranžētu nenovērstā riska — jeb atlikušā riska — līmeni.
- Prioritizējiet mazināšanas resursus augstāka riska jomām, nevis zemāka riska jomām.
Lietojiet dažus signālus, lai ranžētu un sekotu darbam
Izvēlieties rādītājus, kas parāda, kas ir steidzamākais un vai situācija uzlabojas, piemēram:
- Problēmas pēc nozīmīguma pakāpes, lai kritiskās nepilnības būtu augšpusē.
- Laiks līdz koriģēšanai, lai redzētu, cik ātri nepilnības tiek novērstas.
- Auditu konstatējumi un politikas izņēmumi, lai pamanītu atkārtotas problēmas.
- Apmācību pabeigšana kā pamata rādītājs, ka norādes ir sasniegušas cilvēkus.
Lietojiet uz risku balstītu vērtēšanu, ja tā ir pieejama
Daži atbilstības rīki seko progresam, izmantojot uz riskiem balstītu vērtējumu, kas saistīts ar uzlabojumu darbību pabeigšanu un nākamā uzmanības punkta izcelšanu. Dažās atbilstības sistēmās darbības var klasificēt (piemēram, preventīvas, nosakošas vai koriģējošas), un šī klasifikācija var ietekmēt to, kā tiek novērtēts progress.
Automatizācija un nepārtraukta atbilstība
Automatizācija un nepārtraukta atbilstība palīdz komandām saglabāt prasības, vadīklas un pierādījumus aktuālus, mainoties videi. Tā vietā, lai atbilstību uzskatītu par periodisku notikumu, šī pieeja to uztver kā vienmērīgu mazu pārbaužu un atjauninājumu plūsmu, ko ir vieglāk pārvaldīt un vieglāk verificēt.
Dzinējspēki
Vairākas pārmaiņas padara automatizāciju praktiskāku un nepieciešamāku nekā iepriekš:
- Vairākmākoņu pakalpojuma un SaaS izaugsme: dati un darba slodzes pārvietojas starp vairāk pakalpojumu un piegādātāju, kas palielina vietu skaitu, kur jāpiemēro un jāseko līdzi vadīklām.
- Strauji mainīgi noteikumi: prasības attīstās, un tas, kas bija derīgs pagājušajā gadā, šogad var būt novecojis, īpaši attiecībā uz privātuma un drošības prasībām.
- Dalītās īpašumtiesības: vadīklu īpašnieki bieži atrodas dažādās komandās (mākoņa drošība, IT, inženierzinātnes, juridiskā joma, personāla vadība), tāpēc koordinēšanai un konsekventai pierādījumu vākšanai ir nozīme.
Meklējamās iespējas
Aplūkojot automatizāciju un nepārtrauktu atbilstību, koncentrējieties uz iespējām, kas samazina manuālo darbu, nezaudējot atbildību.
Sāciet ar standartizētiem novērtējumiem, kuros tiek izmantotas atkārtoti lietojamas vadīklu kopas. Tas nodrošina konsekvenci starp komandām un atvieglo rezultātu salīdzināšanu laika gaitā.
- Standartizēti novērtējumi: katrā ciklā izmantojiet vienu un to pašu novērtējuma struktūru, lai progresu (un regresu) būtu viegli pamanīt.
- Atkārtoti lietojamas vadīklu kopas: atkārtoti izmantojiet pamata vadīklu kopu, nevis pārrakstiet katras jaunās prasības pārbaudes.
Vispārējās vadīklas kartēšana
Bieži lietotā vadīklu kartēšana samazina dublēšanos sistēmās, saistot vienu vadīklu ar vairākām prasībām.
Praksē tas izskatās šādi:
- Viena piekļuves vadības prakse (piemēram, “ierobežota piekļuve sensitīviem datiem”) var izpildīt vairāku standartu daļas.
- Šai vadīklai savāktos pierādījumus var izmantot atkārtoti, kad ziņosit par dažādām struktūrām, nevis atkārtoti izveidot vienu un to pašu pierādījumu vairākās vietās.
- Atjauninājumi vadīklai (vai tās dokumentācijai) tiek veikti visās no tās atkarīgajās struktūrās.
Nepārtraukta pārraudzība
Nepārtraukta uzraudzība koncentrējas uz kontroles statusu un atbilstības stāvokli — vai vadīklas ir ieviestas, vai tās joprojām darbojas, kā paredzēts, un vai ir kas mainījies, kam nepieciešama papildu rīcība.
Šeit ir bieži sastopamie uzraudzības signāli, ko komandas izseko:
- Kontroles statuss: tas var būt, piemēram, nokārtots, nenokārtots vai vēl nenovērtēts.
- Izmaiņu indikatori: konfigurācijas izmaiņas, politiku atjauninājumi vai jaunas sistēmas var radīt jaunas pārbaudes, kas jāveic.
- Izņēmumu modeļi: atkārtoti izņēmumi var norādīt uz vadīklām, kas jāizstrādā no jauna vai kurām nepieciešamas stingrākas īpašumtiesības.
Centralizētu pierādījumu pārvaldība
Pierādījumi mēdz izklīst pa iesūtnēm, koplietojamiem diskiem un biļešu pavedieniem, ja vien tos iepriekš neieplāno. Centralizēta pierādījumu pārvaldība glabā materiālus vienuviet un sasaista tos ar pareizo kontroli, īpašnieku un pārskata ciklu.
Šeit svarīga ir darbplūsma un uzdevumu piešķiršana, jo tās pārvērš lietas, kas jānovērš, izsekojamā darbā:
- Darbplūsma: konsekvents ceļš pārskatīšanai, apstiprināšanai un galīgajam saskaņojumam.
- Uzdevumu norādes: skaidri uzdevumi, izpildes termiņi un progresa izsekošana, kas saistīta ar kontroli vai novērtējumu.
- Pierādījumu pieejamība: ātrs veids, kā atbildēt uz jautājumu “Kādi pierādījumi mums ir?” un "Vai tie ir aktuāli?"
Uz risku balstīta vērtēšana vai gatavības modeļi
Riska pamatota vērtēšana un gatavības modeļi palīdz komandām izlemt, ko novērst vispirms. Mērķis nav uzreiz risināt katru nelielo nepilnību — mērķis ir koncentrēt problēmu koriģēšanu, kas rada vislielāko riskantumu.
Tas palīdz noteikt koriģēšanas prioritāti, veicot tālākos pasākumus.
- Darba vērtēšana pēc ietekmes: novietojiet augstākā riska nepilnības rindas sākumā.
- Uzlabošanās izsekošana laika gaitā: vērtējums vai gatavības līmenis sniedz skaidru priekšstata salīdzinājumu pirms un pēc koriģēšanas darba pabeigšanas.
- Konsekventu lēmumu atbalstīšana: ja komandas izmanto vienu un to pašu vērtēšanas vai gatavības modeli, prioritāšu noteikšana ir mazāk subjektīva un vieglāk izskaidrojama.
Kad sāksit automatizēt novērtējumus, pārraudzību un pierādījumu vākšanu, nākamais solis ir izlemt, ko izsekosit un kā ziņosit par paveikto, lai vadītāji varētu skatīt riska tendences, noteikt labojumu prioritāti un parādīt rezultātus laika gaitā.
Atbilstības pārvaldības mērījumi un atskaites
Mērījumi un pārskati pārvērš ikdienas atbilstības darbu skaidrā progresa, nepilnību un prioritāšu skatā, lai komandas varētu koncentrēties uz svarīgāko un droši paziņot statusu.
Programmas KPI
Lietojiet programmas KPI, lai sekotu līdzi tam, cik labi kontroles tiek izstrādātas, ieviestas un verificētas, un kur problēmas atkārtoti parādās.
Kontroles pārklājums un norise
- Projektēto vadīklu procentuālais īpatsvars vai cik daudz prasību ir noteikta kontrole.
- Ieviesto vadīklu procentuālais īpatsvars vai cik daudz vadīklu ir ieviestas un darbojas.
- Pārbaudīto vadīklu procentuālais īpatsvars vai cik daudz vadīklu ir validētas testēšanas ceļā.
Problēmu izsekošana
- Problēmas pēc nozīmīguma parāda, ka vislielākās ietekmes nepilnības nonāk saraksta augšgalā.
- Laiks līdz koriģēšanai parāda, cik ātri nepilnības tiek atrisinātas pēc to konstatēšanas.
- Audita rezultāti iezīmē periodisko problēmu jomas.
- Politikas izņēmumi parāda, kur komandas strādā ārpus standarta prasībām.
Personu un procesu signāli
- Apmācību pabeigšana apliecina, ka nepieciešamās norādes ir sasniegušas atbilstošās auditorijas.
Ātrs veids, kā nodrošināt KPI lietojamu
- Konsekventi sekojiet nelielam KPI kopumam un pārskatiet tos regulāri, lai būtu redzamas tendences, nevis tikai īslaicīgi attēlojumi.
- Apvienojiet KPI ar pamata sliekšņiem (piemēram, kas tiek uzskatīts par “pārmērīgām” augstas nozīmīguma pakāpes problēmām), lai komandām būtu skaidrs, kad jāeskalē.
Rezultātu indikatori
Rezultātu indikatori savieno darbu ar rezultātiem. Tie palīdz atbildēt uz jautājumu: “Vai mūsu atbilstības programma samazina risku un uzlabo gatavību?”
Riska un gatavības rezultāti
- Samazināta riska ekspozīcija, ko parāda mazāks augstas nozīmīguma pakāpes problēmu skaits un mazāk atkārtotu konstatējumu laika gaitā.
- Savlaicīgi apstiprinājumi, kas parāda, ka organizācija var ievērot formālos pārskata termiņus.
Efektivitātes rezultāti
- Auditā ietaupītās stundas parāda, ka pierādījumi ir sakārtoti un viegli izgūstami.
Tendenču rezultāti
- Riska un gatavības vērtējumu tendences parāda, vai kopējais stāvoklis laika gaitā uzlabojas.
Līderības redzamība
- Līderības informācijas paneļos ir apkopota norise, izceltas galvenās nepilnības un parādīts, kur ir jākoncentrē koriģēšanas darbs.
Bieži sastopami izaicinājumi un kā no tiem izvairīties
Pat labi pārvaldītas programmas var iestrēgt, ja prasības palielinās, sistēmas izplatās dažādās vidēs un īpašumtiesības kļūst neskaidras. Parasti risinājumi ir vērsti uz dublēta darba samazināšanu, pierādījumu pārvaldības paradumu nostiprināšanu un skaidru vadlīniju noteikšanu jauniem rīkiem.
Sistēmu un ietvaru izplatība un dublēts darbs
Problēma: komandas izseko vienu un to pašu prasību vairākās vietās, pārraksta līdzīgas vadīklas dažādiem noteikumiem un tērē laiku, lai saskaņotu pārklājošos kontrolsarakstus.
Kā no tā izvairīties: izmantot kopēju vadīklu kartēšanu visos noteikumos.
Praktiska pieeja ir vienu vadīklu kartēt uz vairākiem ietvariem, lai katru reizi, kad pievienojat jaunu standartu, nebūtu jāatkārto tas pats darbs.
- Izveidot koplietojamu vadīklu bibliotēku. Uzturiet pamata vadīklu kopu, kas parādās daudzās prasībās (piekļuves vadība, reģistrēšana, šifrēšana, saglabāšana, atbilde uz incidentu).
- Kartējiet vienreiz, bieži izmantojiet atkārtoti. Saistiet katru vadīklu ar katru noteikumu/standartu, kas to paredz, un pēc tam atsaucas uz šo kartējumu pārskatīšanas un auditu laikā.
- Atjauniniet vadīklu, nevis katru kontrolsarakstu. Kad vadīkla mainās, ļaujiet, lai viena atjaunināšanas plūsma atbilst kartētajām prasībām, nevis rediģē vairākas kopijas.
Ātrā pārbaude: ja divas komandas uztur atsevišķas, “vienādas” vadīklas ar atšķirīgu formulu, jūs saskaraties ar to, ka viss dublējas.
Pierādījumu haoss
Problēma: pierādījumi izkliedējas tērzēšanas sarunās, e-pasta pavedienos, uzdevumu komentāros un koplietojamos diskos. Kad tiek saņemts audita pieprasījums, cilvēki grib, lai atrastu artefaktus un atkārtoti izveidotu kontekstu.
Kā no tā izvairīties: centralizējiet artefaktus un piešķiriet vadīklām īpašniekus.
Pierādījumu centralizēšana darbojas vislabāk, ja katrai vadīklai ir nosaukts īpašnieks, kurš zina, kā izskatās “labs pierādījums” un kur tas atrodas.
- Viena vieta pierādījumiem. Glabājiet artefaktus, piezīmes un statusa atjauninājumus vienā vietā, kas saistīta ar vadīklu. (Daudzi rīki atbalsta pierādījumu pievienošanas un izsekošanas statusu uzlabošanas darbībās.)
- Skaidras īpašumtiesības. Piešķiriet vadīklai īpašnieku, kas ir atbildīgs par artefaktu aktualizēšanu un atbildēšanu uz pierādījumu pieprasījumiem.
- Definējiet “minimāli pieejamus pierādījumus”. Katrai vadīklai dokumentējiet, kas jāuzrāda:
- Kas ir vadīkla,
- Kam tā pieder,
- Kā tā tiek pārbaudīta,
- Kādi pierādījumi tiek savākti un
- Cik bieži tā tiek atsvaidzināta.
- Lietojiet darbplūsmas un uzdevumu sadali. Izsekojiet pieprasījumus, izpildes termiņus un pārskatīšanas darbības, lai pierādījumu vākšana nebūtu atkarīga no atmiņas.
Viens vienkāršs ieradums, kas palīdz: ja pierādījumu pēc diviem mēnešiem nav viegli atrast, tas nav saglabāts pareizajā vietā.
Vairākmākoņu pakalpojuma sarežģītība
Problēma: dažādām mākoņa platformām ir atšķirīgi noklusējumi, reģistrēšanas modeļi un drošības iestatījumi. Vadīklas laika gaitā novirzās, kad pakalpojumi tiek atjaunināti un komandas veic lokālas izmaiņas.
Kā no tā izvairīties: iestatiet standarta politikas kā koda un stāvokļa bāzlīnijas datus.
Stabila pieeja ir standartizēt gaidas divos slāņos: politika kā kods konsekventām kārtulām un stāvokļa bāzlīnijas minimālajam konfigurācijas stāvoklim, ko sagaidāt visur.
- Politika kā-kods atkārtojamībai. Definējiet galvenās prasības (piemēram, šifrēšanu, identitātes prasības, reģistrēšanu, saglabāšanu) formā, ko var konsekventi piemērot visās vidēs.
- Stāvokļa bāzlīnijas skaidrībai. Uzturiet drošības iestatījumu bāzlīniju kopu un sekojiet, kad sistēmas no tās novirzās.
- Nepārtraukta kontroles statusa pārraudzība. Izsekojiet, vai vadīklas laika gaitā ir veiksmīgas vai neveiksmīgas, ne tikai plānoto pārskatu laikā.
- Bieži lietotā vadīklu kartēšana joprojām ir svarīga. Ja iespējams, izmantojiet koplietojamās vadīklas pat tad, ja pamatā esošās platformas atšķiras.
Vērojiet novirzes: ja bāzlīnija ir dokumentēta, bet netiek uzraudzīta, tā ātri kļūst novecojusi.
Ēnu IT un mākslīgā intelekta lietojums
Problēma: cilvēki ievieš jaunas programmas un jaunus mākslīgā intelekta rīkus ātrāk, nekā pārvaldības procesi spēj tos pārskatīt. Tas palielina risku, ka sensitīvi dati tiek kopīgoti vietās, kas nav pārbaudītas.
Kā no tā izvairīties: izmantojiet apstiprinātus rīkus, etiķetes, uzraudzību un atjauninātas veidnes.
Nosakiet skaidrus drošības ierobežojumus, kas atbilst tam, kā cilvēki faktiski strādā — īpaši tad, kad mākslīgā intelekta rīki izplatās.
- Definējiet apstiprinātos rīkus. Publicējiet īsu apstiprināto programmu un mākslīgā intelekta rīku sarakstu, kā arī ceļu jaunu rīku pieprasīšanai.
- Marķējiet sensitīvus datus. Piemērojiet sensitivitātes etiķetes, lai cilvēki zinātu, kam vajadzīga papildu piesardzība, un lai vadīklas varētu rīkoties, pamatojoties uz etiķeti.
- Uzraugiet saziņas riskus. Pievienojiet uzraudzību, kas vērsta uz riskantiem koplietošanas modeļiem (piemēram, sensitīva satura kopēšanu neapstiprinātos rīkos vai nosūtīšanu uz neatļautiem galamērķiem).
- Ieviesiet veidnes, kas atbilst mainīgajiem noteikumiem (tostarp AI). Lietojiet veidnes un kontrolsarakstus, kas atspoguļo jaunās prasības, mainoties AI noteikumiem, un atjauniniet tos regulāri, nevis gaidiet nākamo gada pārskatu.
Praktisks sadalījums, kas palīdz saglabāt tempu, ir šāds:
- Bloķējiet augsta riska rīkus, kas nav nepieciešami uzņēmējdarbībai.
- Atļaujiet zemāka riska rīkus tikai tam darbam, kas nav sensitīvs, un pievienojiet drošības ierobežojumus, lai mazinātu datu noplūdes risku.
- Standartizējiet lieluzņēmumu klases opcijas risinājumiem darbam ar sensitīviem datiem.
Reāli atbilstības pārvaldības piemēri
Šie scenāriji parāda, kā atbilstības pārvaldība var mazināt risku un uzlabot gatavību, nepalēninot ikdienas darbu Amerikas universitātē.
Trešās puses televeselības programma rada HIPAA riskantumu
Scenārijs: mācību iestādes veselības centrs pievieno trešās puses televeselības platformu, vispirms nepārbaudot HIPAA prasības. Tas izveido ceļu nesankcionētai piekļuvei studentu veselības ierakstiem.
Kas mainījās: komanda veic strukturētu pārskatīšanu, pirms platforma var piekļūt veselības ierakstiem, izmantojot centralizētas politikas un atbilstības pārbaudes visā vairākmākoņu pakalpojuma vidē.
Galvenie secinājumi
- Kāpēc tas ir svarīgi: piegādātāju rīki var ātri radīt atbilstības risku, ja tie apstrādā aizsargātus veselības datus.
- Rīcības soļi:
- Pievienojiet obligātu atbilstības pārbaudi jauniem trešo pušu pakalpojumiem, pirms tie pieslēdzas sensitīviem ierakstiem.
- Piemērojiet centrāli definētas izpildes politikas, lai piekļuve tiktu bloķēta, līdz prasības ir izpildītas.
- Ko meklēt:
- Viena vieta, lai sekotu atbilstības prasībām un statusam visos pakalpojumos.
- Skaidri “nokārtots / nenokārtots” nosacījumi, kas saistīti ar piekļuvi sensitīvām sistēmām.
Finansiālā atbalsta pārskats nosūtīts nepareizai iekšējai grupai
Scenārijs: finanšu palīdzības darbinieks nejauši nosūta e-pastā atskaiti ar studentu aizdevumu un stipendiju informāciju iekšējai nodaļai, kam to nevajadzētu saņemt, tādējādi izraisot izmeklēšanu.
Kas mainījās: automatizētas politikas nosaka, kad sensitīvi finanšu palīdzības dati tiek kopīgoti ar neatļautiem saņēmējiem, un var aktivizēt brīdinājumus vai ierobežot piekļuvi, lai novērstu turpmāku neatbilstošu koplietošanu.
Galvenie secinājumi
- Kāpēc tas ir svarīgi: daudzi atbilstības incidenti ir vienkāršas kļūdas; ātra noteikšana ierobežo apjomu un atvieglo turpmākās darbības.
- Rīcības soļi:
- Definējiet, kas tiek uzskatīti par sensitīviem finansiālā atbalsta datiem un kā tos drīkst kopīgot.
- Iestatiet politikas, lai atzīmētu vai ierobežotu ziņojumus, ja saņēmēji neatbilst apstiprinātajām grupām.
- Izmantojiet brīdinājumus, lai novirzītu incidentus atbilstošajiem pārskatītājiem izmeklēšanai un korektīvo darbību veikšanai.
- Ko meklēt:
- Politikas, kas nosaka neatļautas izpaušanas modeļus, nevis tikai atslēgvārdus.
- Skaidrs audita žurnāls par to, kas tika kopīgots, ar ko un kas notika tālāk.
Darba sākšana ar Microsoft Purview atbilstības pārvaldnieku
Jūs esat redzējuši, kā darbojas spēcīga atbilstības pārvaldības programma: iestatiet skaidras politikas, piešķiriet īpašumtiesības, novērtējiet risku, novērsiet nepilnības, uzraugiet vadīklas un sniedziet pārskatu par progresu tā, lai vadītāji varētu rīkoties. Kad šie elementi ir apvienoti, jūs pavadāt mazāk laika, meklējot pierādījumus, un vairāk laika, uzlabojot darba izpildi.
Ja sākat no jauna vai pilnveidojat esošu programmu, varat saglabāt pārskatāmību, veicot šādas darbības:
- Izvēlieties vienu novērtējumu, kas atbilst jūsu tuvākā termiņa vajadzībām (regulējumu, standartu vai iekšējo prasību, kam jau sekojat līdzi).
- Izmantojiet uzlabojumu darbību sarakstu kā savu darba uzdevumu žurnālu, pēc tam piešķiriet ieviešanas un testēšanas darbu atbildīgajiem.
- Regulāri pārskatiet rezultātu un skatu “Nepieciešama uzmanība”, lai saglabātu fokusu uz darbiem ar lielāko ietekmi.
- Pakāpeniski apkopojiet pierādījumus un statusa atjauninājumus, lai pārskatu ziņošana nebūtu pēdējā brīža steiga.
Microsoft Purview atbilstības pārvaldnieks ir izstrādāts, lai palīdzētu novērtēt un pārvaldīt atbilstību vairākmākoņu pakalpojuma vidē un atbalstītu visu procesu — no datu aizsardzības risku inventarizācijas līdz kontroles pasākumu ieviešanai, aktuālas informācijas uzturēšanai par noteikumiem un sertifikācijām, kā arī pārskatu sagatavošanai auditoriem.
Saņemiet palīdzību prasību sakārtošanā novērtējumos, nepilnību pārvēršanā piešķirtās uzlabojumu darbībās, progresa izsekošanā ar uz risku balstītu rezultātu un ziņošanas atbalstā auditoriem — viss vienuviet.
RESURSI
Papildinformācija par Microsoft drošību
Bieži uzdotie jautājumi
Bieži uzdotie jautājumi
- Atbilstības pārvaldība ir nepārtraukts darbs, ievērojot piemērojamos likumus, noteikumus un iekšējās politikas, kā arī saglabājot pierādījumus, kas apliecina prasību izpildi.
- Izplatīts veids, kā grupēt atbilstību, ir šāds: regulatīvā (likumi un noteikumi), nozares (standarti un sertifikāti) un iekšējā (uzņēmuma politikas un līgumsaistības).
- Atbilstības pārvaldības rīks ir programmatūra, kas organizē prasības, vadīklas, uzdevumus un pierādījumus, lai komandas varētu izsekot progresam, piešķirt darbus un atbalstīt auditus.
- Jums ir nepieciešamas skaidras politikas, noteiktas lomas un īpašnieki, dokumentētas vadīklas un procesi, regulāri novērtējumi, problēmu novēršana un ieraksti, kas atbalsta auditus un ziņošanu.
- Atbilstības pārvaldības sistēmas (CMS) veidne ir atkārtoti izmantojama struktūra saistību izsekošanai, vadīklu kartēšanai, īpašnieku piešķiršanai, pierādījumu glabāšanai un statusa ziņošanai dažādos standartos.
- Atbilstības kontrolsaraksts ir nepieciešamo darbību vai vadīklu saraksts, ko izmanto, lai apstiprinātu, ka tiek ievērots likums, regulējums, standarts vai iekšējā politika — to bieži izmanto novērtējumos un auditos.
- Galvenie elementi ietver pārvaldību un uzraudzību, politikas un procedūras, vadīklas, uzraudzību un testēšanu, pierādījumu pārvaldību, novēršanas darbības un nepārtrauktu ziņošanu un uzlabojumus.
Sekot Microsoft drošībai