コンプライアンスとGRC

この棚の目的

セキュリティとプライバシーの義務を管理するソフトウェアです。運用していると主張する統制、それが動いている証拠、人々が読まなければならないポリシー、そして顧客が契約前に送ってくる質問票を扱います。

購入者がここに来る理由は、2つのうちのどちらかです。案件が認証書のせいで止まっているか、規制当局が関心を持ち始めたかです。前者はよくある話で、期限が付いています。このカテゴリが、スピードを強く売りにするのはそのためです。

アクセスやシークレットを実際に制御するツールは、セキュリティに入ります。契約の署名と承認フローは、電子署名と契約管理です。

これらの製品が実際にやること

ここで認証書を発行するところはありません。ソフトウェアは、エビデンスを集め、規格に対応付け、監査と監査の間も最新に保ちます。認定された監査人が、運用を調べて意見をまとめることに変わりはありません。

その境界を理解しておけば、このカテゴリで高くつく失望を避けられます。プラットフォームは、何か月分ものスクリーンショット集めを削減できます。しかし、監査人が統制の運用を確認するのに必要な期間は短縮できず、主張していることを実行していない会社の代わりに、監査に合格することもできません。

作業は4つに分かれます。ポリシーを書くこと、統制を実装すること、それが動いていると証明すること、そしてその3つについての質問に答えることです。製品ごとに、それぞれをどこまでカバーするかが異なります。

規格と、重なり具合

出発点は、ウェブサイトにある最も長い一覧ではなく、顧客が実際に求める規格にしてください。

• 大企業向けの営業で求められるセキュリティの保証報告。報告書ができるまでに観察期間があります。
• 認証可能な規格。正式な監査サイクルと、その間のサーベイランス審査があります。
• プライバシー規制。義務は認証ではなく、法的なものです。
• 医療、カード決済データ、公共部門、金融向けの業界ルール。一般的な助言より優先されます。
• 顧客からの質問票。標準化されておらず、終わりがなく、回答ライブラリが存在する理由です。

統制の大半は、規格をまたいで重複します。優れたプラットフォームは、1つの証拠を、それが満たすすべての規格に対応付けます。2つ目の規格が1つ目よりはるかに安くなるのは、そのためです。自社の組み合わせについて、その対応付けを確認してください。

継続的な監視こそ、お金を払う価値がある部分

年に1回集めたエビデンスは、写真です。統制は、撮影した翌日からずれ始めます。

プラットフォームをIDプロバイダー、クラウドアカウント、コードリポジトリ、エンドポイントのツールにつなげば、アクセスレビューが行われたか、マシンが暗号化されているか、退職者が削除されたか、本番への変更がレビューされたかを、継続的に確認できます。

これについて、3つの質問をしてください。実際に使っているシステムに対応する連携はあるか。チェックが失敗したときに何が起きるか。担当者のいないアラートは飾りだからです。そして、指摘事項を表計算にコピーせず、ツールの中で割り当て、追跡し、完了できるか。

人、ポリシー、研修

誰も読まないポリシーは、指摘事項になるのを待っているだけです。

確認付きの配布、監査人に3月のポリシーの内容を聞かれても耐えられるバージョン管理、共有の受信箱ではなく本人に届くリマインダーを探してください。セキュリティ意識向上の研修は、同梱する提供企業も別売りの提供企業もあり、同梱版で足りることがよくあります。

入社と退社のチェックリストが、全体をつなぎ止めます。誰かが去ったあとに残されたアクセスは、初回の監査で最もよく見つかる指摘事項だからです。

1年で実際にかかる費用

プラットフォームのサブスクリプションは、3つの項目の1つです。監査人が2つ目で、より大きいことも多くあります。規格や顧客が求める場合のペネトレーションテストが3つ目です。

プラットフォームの料金は、通常、従業員数、規格の数、接続するシステムの数で変わり、自動のエビデンス収集がエントリープランの上に置かれていることもあります。導入費用を含む初年度の総額を尋ね、そのうえで、導入が終わったあとの更新がどうなるかを尋ねてください。それらの数字の裏にある習慣は、料金ページが隠していることで解きほぐしています。

初めての認証取得の進め方

作業の順序は、プラットフォームより重要です。遅れの大半は、ソフトウェアでは速められないものから生じるからです。

まず、適用範囲から始めます。どのシステム、どの拠点、事業のどの部分を対象にするかで、集めるべきエビデンスの量が決まり、範囲を広げすぎるのが、自ら招く費用として最も一般的です。

次に、明らかに不合格になる統制を直します。誰も実施していないアクセスレビュー、アカウントが生きたままの退職者、暗号化されていないマシン、何年も前に書かれたまま誰も読んでいないポリシー。これらには数週間かかり、ツールで短縮することはできません。

それらが進み始めたらプラットフォームを導入してください。そうすれば、プラットフォームは、すでにある運用のエビデンスを集めることになり、運用がないことを文書にするのではなくなります。

監査人は早めに予約しましょう。日程を決めるのは、準備が整うことよりも、監査人の空き状況であることが多いのです。