Kaj je upravljanje skladnosti s predpisi?

Močan program upravljanja skladnosti temelji na jasnih pričakovanjih, ponavljajočih se načinih dela, vsakodnevnih zaščitnih ukrepih ter ljudeh in orodjih, ki vse ohranjajo na pravi poti.

Pravilniki določajo, kaj mora organizacija narediti in kako je videti skladnost. Obveznosti pretvorijo v jasna pričakovanja, ki jim lahko ljudje sledijo.

Pogosta področja pravilnikov vključujejo:

• Pravila za ravnanje s podatki in dostop.
• Zahteve glede zapisov, hrambe dokumentov in dokazov za revizije.
• Poti za poročanje in eskalacijo, ko gre kaj narobe.

Procesi so postopki po korakih, ki jim ekipe sledijo, da dosledno izpolnjujejo zahteve – pregledovalni cikli, odobritve, preskušanje in nadaljnje ukrepanje po težavah.

Primeri postopkov skladnosti s predpisi vključujejo:

• Redni pregledi za potrditev, da so zahteve vključene v poslovne poteke dela.
• Stalno spremljanje stanja upravljalnih elementov, ne le letni pregledi.
• Popravljanje potekov dela, ko so najdene vrzeli.

Standardi in ogrodja delujejo kot sklici, na katere se sklicujete. Lahko prihajajo iz predpisov, industrijskih standardov ali notranjih zahtev.

Praktičen način za organiziranje standardov je, da jih obravnavate kot predloge zahtev, ki jih je mogoče razvrstiti in spremljati. Ocena je na primer združevanje upravljalnih elementov iz določene uredbe, standarda ali pravilnika.

Upravljalni elementi so dejanski pregledi in prakse, ki pokažejo, da je zahteva izpolnjena– in jo združijo s konfiguracijo sistema, organizacijskim postopkom in dodeljeno odgovornostjo.

Koristne kategorije upravljalnih elementov ukrepov vključujejo:

• Upravljalni elementi, ki jih upravlja ponudnik storitev in jih obravnava ponudnik oblaka
• Upravljalni elementi, ki jih upravlja organizacija in jih obravnavajo vaše skupine
• Upravljalni elementi v skupni rabi, kjer je odgovornost razdeljena

Upravljanje skladnosti je najučinkovitejše, kadar je lastništvo jasno določeno. Dve skupini vlog, ki ju vključuje vsak uspešen program, sta nadzor vodstva in vsakodnevno lastništvo skladnosti.

Nadzor uprave in vodstva

Vodstvo je odgovorno za določanje pričakovanj, sprejemanje izjav o pravilnikih, dodeljevanje pooblastil, zagotavljanje virov za funkcijo in prejemanje rednega poročanja o dejavnostih in ugotovitvah skladnosti.

Kaj nadzor pogosto vključuje:

• Jasna pričakovanja glede skladnosti in odobritev pravilnikov.
• Imenovan lastnik (uradnik za skladnost ali odbor) s pooblastilom za ukrepanje.
• Redna poročila o nadzorih, težavah in popravljalnih ukrepih.

Oseba, odgovorna za skladnost s predpisiUradnik za skladnost s predpisi

Ta vloga je odgovorna za pravilnike in postopke, usposabljanje, pregled skladnosti, spremljanje novih težav, odzivanje na pritožbe, poročanje o rezultatih in zagotavljanje popravljalnih ukrepov.

Preprosta razdelitev odgovornosti, ki omogoča skaliranje, vključuje:

• Lastniki nadzora ohranijo določene kontrolnike in podajo dokaze.
• Ekipe za skladnost vzpostavijo strukturo, izvajajo ocene, spremljajo vrzeli in podpirajo nadzore.
• Vodstvo pregleda napredek, odstrani ovire in odobri prednostne naloge.

Preglednice lahko delujejo v majhnem obsegu, vendar večina organizacij uporablja orodja, da so zahteve, kontrole, dokazi in lastništvo na enem mestu – zlasti v več oblakih in poslovnih enotah.

Na kaj morate biti pozorni pri programski opremi za upravljanje skladnosti

Praktične zmogljivosti, ki pomagajo zmanjšati podvajanje in ohraniti delo posodobljeno, vključujejo:

• Ocene, ki so ponovno uporabni kontrolni seznami zahtev in kontrol.
• Preslikava kontrol, pri kateri je ena kontrola povezana z več standardi, da se zmanjša ponavljajoče se delo.
• Spremljanje , ki zagotavlja vpogled v stanje kontrol skozi čas.
• Upravljanje dokazov , ki ima eno mesto za shranjevanje gradiv, opomb in stanja.
• Potek dela in izvajanje opravil za dodelitve, roke in sledenje napredka.
• Ocenjevanje,ki ponuja pogled, ki temelji na tveganju, za pomoč pri delu za izboljšanje fokusa.

Ustvarite načrt

Ko v organizaciji vzpostavite upravljanje skladnosti s predpisi, poiščite odgovore na ta vprašanja:

• Ali imamo pisne pravilnike, ki ustrezajo našim obveznostim?
• Ali so ključni postopki dokumentirani?
• Ali so kontrolniki preslikani v standarde, tako da ekipe ne ponovijo istega dela?
• Ali lahko hitro zagotovimo dokaze, ko pride do nadzorov ali preiskav?
• Ali so vloge za odgovornost in poročanje jasne?

Upravljanje varnostne skladnosti poteka tam, kjer se prekrivata varnostno delo in obveznosti skladnosti. V praksi to pomeni zaščito podatkov in sistemov na načine, ki izpolnjujejo pravila, za katera odgovarjate – nato pa to dokažete z izhodiščnimi nastavitvami, spremljanjem in zapisi.

Večina predpisov in standardov vključuje varnostne zahteve. Pogoste zahteve pogosto vključujejo:

• Ravnanje s podatki: jasna pravila za zbiranje in obdelavo občutljivih podatkov.
• Varno shranjevanje in dostop: Šifriranje in nadzorovan dostop za zmanjšanje nepooblaščene izpostavljenosti.
• Poročanje in nadzor: Redni pregledi, podpora pri nadzoru in obvestila o kršitvah, kjer je to potrebno.

Morda boste morali svoje kontrole hkrati preslikati na več ogrodij.

Trije pogosti standardi vključujejo:

• Splošna uredba o varstvu podatkov (GDPR): Pravni okvir EU, osredotočen na zasebnost in varstvo osebnih podatkov; skladnost pomeni upoštevanje skladnosti z GDPR in podporo večjemu nadzoru nad osebnimi podatki.
• Zakon o prenosljivosti in odgovornosti zdravstvenega zavarovanja (HIPAA): Ti ameriški zakoni in pravila na področju zdravstvenega varstva določajo zahteve za uporabo, razkrivanje in varovanje varovanih zdravstvenih podatkov (PHI), vključno z zaščitnimi ukrepi varnostnega pravila za elektronske PHI.
• Varnostni standardi za plačilno kartico (PCI DSS): Globalni standard informacijske varnosti za organizacije, ki shranjujejo, obdelujejo ali prenašajo podatke o imetnikih kartic, zasnovan za zmanjšanje goljufij z boljšim nadzorom podatkov kreditnih kartic.

1. Začnite z osnovnim načrtom varnosti. Za ključne sisteme uporabite določeno izhodišče, da ekipe vedo, kaj vaša organizacija šteje za dobro konfiguracijo. Spremljajte nastavitve, ki odstopajo od predpisanih vrednosti, in odpravite razlike.

2. Uvedite močne kontrole dostopa in šifriranja. Uporabite nadzorovan dostop in šifriranje, da zmanjšate nepooblaščen izpostavljenost občutljivih podatkov

3. Redno izvajajte ocene in revizije. Izvajajte redne nadzore in ocene, da odkrijete vrzeli in potrdite, da kontrole še vedno ustrezajo zahtevam.

4. Izobrazite ljudi o ravnanju s podatki. Skladnost z varnostnimi zahtevami je odvisna od vsakodnevnih odločitev, zato sta usposabljanje in jasna navodila pomembna.

5. Dokumentacijo imejte pripravljeno za preglede. Vzdržujte zapise, ki podpirajo preglede nadzora in regulativne skladnosti , da lahko hitro odgovorite, ko ste zaprošeni.

6. Uporabite spremljanje in poteke dela, da ostanete ažurni. Uporabljajte orodja in postopke, ki podpirajo stalno spremljanje, sledenje in popravljalne ukrepe, namesto da se zanašate le na točkovne preglede.

Avtomatizacija in stalna skladnost pomagata ekipam ohranjati zahteve, kontrole in dokaze posodobljene, ko se okolje spreminja. Namesto da bi skladnost obravnavali kot občasni dogodek, ta pristop to obravnava kot stalen tok manjših preverjanj in posodobitev, ki jih je lažje upravljati in lažje preveriti.

Več premikov naredi avtomatizacijo bolj praktično – in bolj nujno – kot je bila doslej:

• Rast večoblačnosti in SaaS: podatki in delovne obremenitve se premikajo med več storitvami in ponudniki, kar poveča število mest, kjer je treba uveljavljati in spremljati kontrolnike.
• Hitro spreminjajoči se predpisi: zahteve se razvijajo, zato je to, kar je bilo dobro lani, letos lahko že zastarelo, zlasti pri pričakovanjih glede zasebnosti in varnosti.
• Porazdeljeno lastništvo: lastniki kontrolnikov pogosto sedijo v različnih ekipah (varnost oblaka, IT, inženirstvo, pravne zadeve, kadri), zato sta usklajevanje in dosledno zbiranje dokazil še pomembnejša.

Ko pregledujete avtomatizacijo in stalno skladnost, se osredotočite na zmožnosti, ki zmanjšajo ročno delo, ne da bi pri tem izgubili odgovornost.

Začnite s standardiziranimi ocenami, ki uporabljajo ponovno uporabne nabore kontrolnikov. To podpira doslednost med ekipami in olajša primerjavo rezultatov skozi čas.

• Standardizirane ocene: uporabljajte isto strukturo ocenjevanja v vsakem ciklu, da napredek (in nazadovanja) opazite hitro.
• Ponovno uporabni nabori kontrolnikov: namesto da za vsako novo zahtevo znova pišete preverjanja, uporabite osnovni nabor kontrolnikov.

Skupno preslikovanje kontrolnikov zmanjša podvajanje med okviri, ker en kontrolnik poveže z več zahtevami.

V praksi je to videti takole:

1. En sam postopek nadzora dostopa (na primer »omejen dostop do občutljivih podatkov«) lahko izpolni dele več standardov.
2. Dokazila, zbrana za ta kontrolnik, lahko znova uporabite, ko poročate glede različnih okvirov, namesto da isto dokazilo ustvarjate na več mestih.
3. Posodobitve kontrolnika (ali njegove dokumentacije) se prenesejo v vsak okvir, ki je od njega odvisen.

Stalno spremljanje se osredotoča na stanje kontrolnikov in na skladnost – ali so kontrolniki vzpostavljeni, ali še delujejo po pričakovanjih in ali se je kaj spremenilo ter zahteva nadaljnje ukrepanje.

Tukaj so pogosti signali spremljanja, ki jih ekipe spremljajo:

• Stanje kontrolnika: to lahko vključuje uspešno, neuspešno ali še ne ocenjeno.
• Kazalniki sprememb: spremembe konfiguracije, posodobitve pravilnikov ali novi sistemi lahko ustvarijo nova preverjanja, ki jih je treba zagnati.
• Vzorci izjem: ponavljajoče se izjeme lahko kažejo na kontrolnike, ki jih je treba preoblikovati, ali na močnejše lastništvo.

Dokazila se navadno razpršijo po e-poštnih predalih, skupnih diskih in nitih zahtevkov, če za to ne načrtujete vnaprej. Centralizirano upravljanje dokazil ohrani gradiva na enem mestu in jih poveže s pravim kontrolnikom, lastnikom in preglednim ciklom.

Potek dela in dodeljevanje nalog sta tu pomembna, ker stvari, ki jih je treba popraviti, spremenita v sledljivo delo:

• Potek dela: dosledna pot za preglede, odobritve in potrditve.
• Dodeljevanje nalog: jasne dodelitve, roki in spremljanje napredka, povezani s kontrolnikom ali oceno.
• Pripravljenost dokazil: hiter način za odgovor na vprašanje »Kakšna dokazila imamo?« in »Ali je aktualno?«

Ocenjevanje na podlagi tveganja in modeli zrelosti pomagajo ekipam določiti, kaj je treba najprej popraviti. Cilj ni, da naenkrat lovite vsako majhno vrzel, ampak da se osredotočite na odpravo težav, ki ustvarjajo največ izpostavljenosti.

To pomaga pri določanju prednosti odpravljanja na podlagi:

• Razvrščanje dela glede na vpliv: najvišje tvegane vrzeli postavite na začetek vrste.
• Spremljanje izboljšav skozi čas: ocena ali raven zrelosti zagotavlja jasen pogled na stanje pred in po dokončanem odpravljanju pomanjkljivosti.
• Podpiranje doslednih odločitev: ko ekipe uporabljajo isti model ocenjevanja ali zrelosti, je prednostno razvrščanje manj subjektivno in lažje razložljivo.

Ko začnete avtomatizirati ocenjevanje, spremljanje in zbiranje dokazil, je naslednji korak odločitev, kaj boste spremljali in kako boste poročali o napredku – tako lahko vodstvo vidi trende tveganj, da prednost nalogam in skozi čas pokaže rezultate.

Tudi dobro vodeni programi se lahko ustavijo, ko se zahteve množijo, sistemi se širijo po okoljih in lastništvo postane nejasno. Popravki se navadno nanašajo na zmanjšanje podvojenga dela, izboljšanje navad pri dokazilih in postavitev jasnih varoval za nova orodja.

Težava: Ekipe spremljajo isto zahtevo na več mestih, znova pišejo podobne kontrolnike za različne predpise in porabijo čas za usklajevanje prekrivajočih se kontrolnih seznamov.

Kako se temu izognete: Uporabite skupno preslikavo kontrolnikov med predpisi.

Praktičen pristop je preslikati en kontrolnik na več ogrodij, da ne ponavljate istega dela ob vsakem dodajanju novega standarda.

• Zgradite skupno knjižnico kontrol. Ohranite osnovni nabor kontrolnikov, ki se pojavlja v številnih zahtevah (nadzor dostopa, zapisovanje dogodkov, šifriranje, hrambo in odzivanje na incidente).
• Enkrat preslikajte, pogosto znova uporabite. Vsak kontrolnik povežite z vsakim predpisom ali standardom, ki ga zahteva, nato pa se na to preslikavo sklicujte med pregledi in revizijami.
• Posodobite kontrolo, ne vsakega kontrolnega seznama. Ko se kontrolnik spremeni, naj se ta en sam posodobljen podatek prenese v preslikane zahteve, namesto da urejate več kopij.

Hiter pregled: Če dve skupini vzdržujeta ločene kontrolnike za isto stvar z različno besedilo, plačujete davek na podvajanje.

Težava: Dokazi se razpršijo po klepetih, e-poštnih nitih, komentarjih v zahtevkih in skupnih pogonih. Ko prispe zahteva za revizijo, ljudje hitijo iskati gradiva in ponovno vzpostavljati kontekst.

Kako se temu izognete: Centralizirajte gradiva in določite lastnike kontrolnikov.

Centraliziranje dokazov najbolje deluje, ko ima vsak kontrolnik imenovanega lastnika, ki ve, kako je videti »dober dokaz« in kje je shranjen.

• Eno mesto za dokaze. Gradiva, opombe in posodobitve stanja shranjujte na enem mestu, povezanem s kontrolnikom. (Številna orodja podpirajo dodajanje dokazov in sledenje stanju v okviru dejanj za izboljšave.)
• Jasna odgovornost. Določite lastnika kontrolnika, ki je odgovoren za posodabljanje gradiv in odzivanje na zahteve za dokaze.
• Določite »minimalno izvedljive dokaze«. Za vsako kontrolo dokumentirajte, kaj morate pokazati:
  • Kaj je kontrola,
  • Kdo je odgovoren zanjo,
  • Kako se preverja,
  • Kateri dokazi se zberejo in
  • Kako pogosto se osvežuje.
• Uporabite poteke dela in dodelite opravila. Sledite zahtevam, datumom izvedbe in korakom pregleda, da zbiranje dokazov ne temelji na spominu.

Preprosta navada, ki pomaga: Če dokazov ni mogoče zlahka najti čez dva meseca, niso shranjeni na pravem mestu.

Težava: Različne storitve v oblaku imajo različne privzete nastavitve, vzorce beleženja in varnostne nastavitve. Kontrolniki se sčasoma spreminjajo, ko se storitve posodabljajo in ekipe uvajajo lokalne spremembe.

Kako se temu izognete: Nastavite standardiziran policy-as-code in izhodiščne nastavitve stanja.

Stabilen pristop je standardizirati pričakovanja na dveh ravneh: policy-as-code za dosledna pravila in izhodiščne nastavitve stanja za najmanjšo konfiguracijo, ki jo pričakujete povsod.

• Pravilnik kot‑koda za ponovljivost. Določite ključne zahteve (kot so šifriranje, zahteve za identiteto, beleženje in hrambo) v obliki, ki jo je mogoče dosledno uporabiti v vseh okoljih.
• Osnovne ravni stanja za jasnost. Vzdržujte osnovni nabor varnostnih nastavitev in spremljajte, kdaj sistemi odstopajo od njih.
• Stalno spremljanje stanja kontrol. Spremljajte, ali kontrolniki skozi čas uspešno prestanejo ali padejo na preverjanju, ne samo med načrtovanimi pregledi.
• Preslikava skupnih kontrol še vedno šteje. Uporabljajte skupne kontrolnike, kjer je to mogoče, tudi kadar se uporabljene storitve v oblaku razlikujejo.

Spremljajte odstopanja: Če je izhodišče dokumentirano, vendar ni nadzorovano, hitro zastari.

Težava: Ljudje uvajajo nove aplikacije – in nova orodja za UI – hitreje, kot jih lahko postopki upravljanja pregledajo. To poveča možnost, da se občutljivi podatki delijo na mestih, ki niso bila preverjena.

Kako se temu izognete: Uporabljajte odobrena orodja, oznake, nadzor in posodobljene predloge.

Vzpostavite jasne varovalke, ki ustrezajo temu, kako ljudje dejansko delajo – še posebej, ko se orodja za UI širijo.

• Določite odobrena orodja. Objavite kratek seznam odobrenih aplikacij in orodij za UI ter pot za zahtevanje novih.
• Označite občutljive podatke. Uporabite oznake občutljivosti, da ljudje vedo, kaj zahteva dodatno previdnost, in da lahko kontrolniki delujejo glede na oznako.
• Nadzorujte tveganja komunikacije. Dodajte nadzor, osredotočen na tvegane vzorce deljenja (na primer kopiranje občutljive vsebine v neodobrena orodja ali pošiljanje na nepooblaščene cilje).
• Sprejmite predloge, usklajene z razvijajočimi se predpisi (vključno z UI). Uporabljajte predloge in kontrolne sezname, ki odražajo nove zahteve, ko se pravila za UI spreminjajo, in jih osvežujte po rednem urniku, namesto da čakate na naslednji letni pregled.

Praktična razdelitev, ki ohranja zagon, je, da:

• Blokirajte visoko tvegana orodja, za katera ni poslovne potrebe.
• Dovolite orodja z nižjim tveganjem samo za neobčutljivo delo in dodajte varovalke za zmanjšanje tveganja uhajanja podatkov.
• Standardizirajte na možnosti poslovnega razreda za delo z občutljivimi podatki.

Videli ste, kako deluje učinkovit program upravljanja skladnosti: nastavite jasne pravilnike, določite lastništvo, ocenite tveganje, odpravite vrzeli, spremljajte kontrolnike in poročajte o napredku tako, da lahko vodstvo ukrepa. Ko te dele združite, porabite manj časa za iskanje dokazil in več časa za izboljševanje poteka dela.

Če začenjate na novo ali zaostrujete obstoječi program, lahko stvari ohranite obvladljive tako, da:

• Izberete eno oceno, ki ustreza vaši kratkoročni potrebi (predpis, standard ali notranja zahteva, ki jo že spremljate).
• Seznam ukrepov za izboljšave uporabite kot svoj delovni seznam odprtih nalog, nato pa določite lastnike za izvedbo in testiranje.
• Redno pregledujete rezultat in pogled »potrebna je pozornost« , da ostanete osredotočeni na delo z največjim učinkom.
• Dokazila in posodobitve stanja zbirate sproti , da poročanje za revizijo ni zadnji trenutek.

Upravitelj skladnosti s predpisi Microsoft Purview je zasnovan tako, da vam pomaga ocenjevati in upravljati skladnost v večoblačnem okolju ter podpira celotno pot – od popisa tveganj za varstvo podatkov do uvedbe kontrol, spremljanja skladnosti s predpisi in certifikati ter poročanja revizorjem.

Poiščite pomoč pri organiziranju zahtev v ocene, spremenite vrzeli v dodeljene ukrepe za izboljšave, spremljajte napredek z oceno, ki temelji na tveganju, in podprite poročanje revizorjem – vse na enem mestu.