Compliance und GRC

Wofür dieses Regal da ist

Software, die Sicherheits- und Datenschutzpflichten im Blick behält: die Kontrollen, die Sie zu betreiben behaupten, die Nachweise, dass sie laufen, die Richtlinien, die Menschen lesen müssen, und die Fragebögen, die Kunden schicken, bevor sie unterschreiben.

Käufer kommen aus einem von zwei Gründen hierher. Ein Abschluss hängt an einem Zertifikat, oder eine Aufsichtsbehörde hat Interesse entwickelt. Der erste Fall ist häufig und hat eine Frist, weshalb diese Kategorie so stark über Geschwindigkeit verkauft.

Tools, die Zugriffe und Geheimnisse tatsächlich durchsetzen, stehen unter Sicherheit. Vertragsunterzeichnung und Freigabeabläufe gehören zu E-Signatur und Verträge.

Was diese Produkte wirklich tun

Niemand hier stellt ein Zertifikat aus. Die Software sammelt Nachweise, ordnet sie einem Standard zu und hält sie zwischen den Audits aktuell. Ein akkreditierter Auditor prüft weiterhin Ihre Praxis und bildet sich ein Urteil.

Diese Grenze zu verstehen, verhindert die teure Enttäuschung in dieser Kategorie. Eine Plattform kann Monate des Screenshot-Sammelns einsparen. Sie kann nicht das Zeitfenster verkürzen, in dem ein Auditor Ihre Kontrollen im Betrieb sehen muss, und sie kann kein Audit für ein Unternehmen bestehen, das nicht tut, was es behauptet.

Die Arbeit teilt sich in vier Teile: Richtlinien schreiben, Kontrollen umsetzen, nachweisen, dass sie laufen, und Fragen zu allen dreien beantworten. Die Produkte unterscheiden sich darin, wie viel davon sie abdecken.

Standards und wie groß die Überschneidung ist

Gehen Sie von den Standards aus, nach denen Kunden tatsächlich fragen, nicht von der längsten Liste auf einer Website.

• Sicherheitsbestätigungen, die im Enterprise-Vertrieb verlangt werden, mit einem Beobachtungszeitraum, bevor der Bericht existiert.
• Zertifizierbare Normen mit einem formalen Auditzyklus und Überwachungsaudits dazwischen.
• Datenschutzrecht, bei dem die Pflichten gesetzlich sind und nicht zertifiziert werden.
• Branchenregeln für Gesundheit, Kartenzahlungsdaten, öffentlichen Sektor oder Finanzen, die allgemeine Ratschläge übersteuern.
• Kundenfragebögen, nicht standardisiert, endlos und der Grund, warum es Antwortbibliotheken gibt.

Die meisten Kontrollen wiederholen sich über Standards hinweg. Gute Plattformen ordnen einen Nachweis jedem Standard zu, den er erfüllt, und das macht den zweiten Standard weit günstiger als den ersten. Prüfen Sie diese Zuordnung für Ihre konkrete Kombination.

Kontinuierliches Monitoring ist der Teil, für den sich das Zahlen lohnt

Einmal im Jahr gesammelte Nachweise sind eine Fotografie. Kontrollen driften am Tag nach der Aufnahme ab.

Verbinden Sie die Plattform mit Ihrem Identitätsanbieter, Ihren Cloud-Konten, Code-Repositories und Endgeräte-Tools, dann kann sie fortlaufend prüfen, ob Zugriffsprüfungen stattgefunden haben, ob Geräte verschlüsselt sind, ob Ausgeschiedene entfernt wurden und ob Änderungen an der Produktion geprüft wurden.

Stellen Sie dazu drei Fragen. Welche Integrationen es für die Systeme gibt, die Sie tatsächlich betreiben. Was passiert, wenn eine Prüfung fehlschlägt, denn ein Alarm ohne Verantwortlichen ist Dekoration. Und ob sich Befunde im Tool zuweisen, verfolgen und schließen lassen, statt sie in eine Tabelle zu kopieren.

Menschen, Richtlinien und Schulungen

Richtlinien, die niemand liest, sind ein Befund, der nur auf seinen Auftritt wartet.

Achten Sie auf Verteilung mit Lesebestätigung, Versionierung, die übersteht, wenn ein Auditor fragt, was die Richtlinie im März besagte, und Erinnerungen, die an die Person gehen statt an ein gemeinsames Postfach. Schulungen zum Sicherheitsbewusstsein sind bei manchen Anbietern enthalten und bei anderen separat zu kaufen, und die enthaltene Variante genügt oft.

Checklisten für Ein- und Austritt halten das Ganze zusammen, denn Zugänge, die nach dem Ausscheiden bleiben, sind der häufigste Einzelbefund bei einem ersten Audit.

Was das Jahr tatsächlich kostet

Das Plattformabonnement ist eine von drei Zeilen. Der Auditor ist die zweite, häufig die größere. Penetrationstests, wenn der Standard oder ein Kunde sie erwartet, sind die dritte.

Die Plattformpreise skalieren meist nach Mitarbeiterzahl, nach Standard und nach angebundenen Systemen, wobei die automatisierte Nachweiserhebung manchmal über dem Einstiegstarif liegt. Fragen Sie nach der vollständigen Summe für das erste Jahr einschließlich einer eventuellen Einrichtungsgebühr, und fragen Sie dann, wie die Verlängerung aussieht, wenn die Umsetzung abgeschlossen ist. Die Gewohnheiten hinter diesen Zahlen sind in was Preisseiten verschweigen aufgeschlüsselt.

Eine Erstzertifizierung in die richtige Reihenfolge bringen

Die Reihenfolge der Arbeit zählt mehr als die Plattform, denn der größte Teil der Verzögerung kommt von Dingen, die Software nicht beschleunigen kann.

Beginnen Sie mit dem Geltungsbereich. Welche Systeme, welche Standorte und welche Teile des Unternehmens erfasst sind, bestimmt, wie viele Nachweise es zu sammeln gibt, und ein zu weiter Geltungsbereich ist der häufigste selbstverschuldete Kostenfaktor.

Beheben Sie dann die Kontrollen, die offensichtlich durchfallen werden: Zugriffsprüfungen, die niemand durchführt, Ausgeschiedene mit aktiven Konten, Geräte ohne Verschlüsselung und vor Jahren geschriebene Richtlinien, die nie gelesen wurden. Das dauert Wochen und lässt sich durch Tools nicht verkürzen.

Holen Sie die Plattform dazu, wenn das im Gang ist, damit sie Nachweise für bereits bestehende Praktiken sammelt, statt deren Fehlen zu dokumentieren.

Buchen Sie den Auditor früh. Nicht die Bereitschaft, sondern die Verfügbarkeit legt häufig den Termin fest.