Compliance e GRC

A cosa serve questo scaffale

Software che tiene traccia degli obblighi di sicurezza e privacy: i controlli che dichiari di applicare, le evidenze che dimostrano che girano, le policy che le persone devono leggere e i questionari che i clienti inviano prima di firmare.

Qui si arriva per uno di due motivi. Un affare è bloccato in attesa di un certificato, oppure un’autorità di controllo si è interessata. Il primo caso è comune e ha una scadenza, ed è per questo che questa categoria vende con tanta insistenza sulla velocità.

Gli strumenti che applicano davvero accessi e segreti stanno in sicurezza. La firma dei contratti e i flussi di approvazione appartengono a firma elettronica e contratti.

Cosa fanno davvero questi prodotti

Nessuno qui emette un certificato. Il software raccoglie evidenze, le mappa su un framework e le mantiene aggiornate tra un audit e l’altro. Un auditor accreditato esamina comunque la tua pratica e si forma un’opinione.

Capire questo confine evita la costosa delusione tipica della categoria. Una piattaforma può tagliare mesi di raccolta di screenshot. Non può accorciare la finestra in cui un auditor deve vedere i tuoi controlli in funzione, e non può superare un audit per conto di un’azienda che non fa ciò che dichiara.

Il lavoro si divide in quattro parti: scrivere le policy, implementare i controlli, dimostrare che girano e rispondere a domande su tutti e tre. I prodotti differiscono per quanta parte di ciascuno coprono.

I framework, e quanta sovrapposizione c’è

Parti dai framework che i clienti chiedono davvero, non dall’elenco più lungo su un sito web.

• Attestazioni di sicurezza richieste nelle vendite enterprise, con una finestra di osservazione prima che il report esista.
• Standard certificabili con un ciclo di audit formale e visite di sorveglianza tra un ciclo e l’altro.
• Normativa sulla privacy, dove gli obblighi sono di legge e non certificati.
• Regole di settore per sanità, dati delle carte di pagamento, pubblica amministrazione o finanza, che prevalgono sui consigli generali.
• Questionari dei clienti, non standardizzati, interminabili e motivo per cui esistono le librerie di risposte.

La maggior parte dei controlli si ripete tra i framework. Le buone piattaforme associano un’evidenza a ogni framework che soddisfa, ed è ciò che rende il secondo standard molto più economico del primo. Verifica quella mappatura per la tua combinazione specifica.

Il monitoraggio continuo è la parte per cui vale la pena pagare

Le evidenze raccolte una volta all’anno sono una fotografia. I controlli si discostano il giorno dopo averla scattata.

Collega la piattaforma al tuo identity provider, agli account cloud, ai repository di codice e agli strumenti per gli endpoint, e potrà verificare di continuo che le revisioni degli accessi siano avvenute, che le macchine siano cifrate, che chi se n’è andato sia stato rimosso e che le modifiche in produzione siano state riviste.

Fai tre domande su questo. Quali integrazioni esistono per i sistemi che usi davvero. Cosa succede quando un controllo fallisce, dato che un avviso senza un responsabile è decorazione. E se i riscontri possono essere assegnati, seguiti e chiusi dentro lo strumento invece di essere copiati in un foglio di calcolo.

Persone, policy e formazione

Le policy che nessuno legge sono un rilievo in attesa di accadere.

Cerca distribuzione con presa visione, versionamento che regga a un auditor che chiede cosa dicesse la policy a marzo e promemoria che arrivano alla persona e non a una casella condivisa. La formazione sulla consapevolezza della sicurezza è inclusa da alcuni fornitori e venduta a parte da altri, e la versione inclusa è spesso adeguata.

Le checklist di onboarding e offboarding tengono insieme il tutto, perché gli accessi lasciati aperti dopo la partenza di una persona sono il rilievo più comune in un primo audit.

Quanto costa davvero l’anno

L’abbonamento alla piattaforma è una voce su tre. L’auditor è la seconda, spesso più alta. I penetration test, se il framework o un cliente li richiede, sono la terza.

Il prezzo della piattaforma di solito scala con il numero di dipendenti, di framework e di sistemi collegati, con la raccolta automatica delle evidenze a volte collocata sopra il piano di ingresso. Chiedi la cifra completa del primo anno comprese eventuali spese di onboarding, poi chiedi com’è il rinnovo una volta terminata l’implementazione. Le abitudini dietro questi numeri sono spiegate in cosa nascondono le pagine dei prezzi.

Sequenziare una prima certificazione

L’ordine del lavoro conta più della piattaforma, perché gran parte del ritardo viene da cose che il software non può accelerare.

Parti dal perimetro. Quali sistemi, quali sedi e quali parti dell’azienda sono coperti decide quante evidenze ci sono da raccogliere, e un perimetro troppo ampio è il costo autoinflitto più comune.

Poi sistema i controlli che falliranno ovviamente: revisioni degli accessi che nessuno esegue, ex dipendenti con account attivi, macchine senza cifratura e policy scritte anni fa e mai lette. Richiedono settimane e nessuno strumento può abbreviarle.

Porta la piattaforma quando questi interventi sono in corso, così raccoglie evidenze di pratiche che già esistono invece di documentarne l’assenza.

Prenota presto l’auditor. È spesso la disponibilità, non la preparazione, a fissare la data.