컴플라이언스·GRC

이 카테고리의 용도

보안과 개인정보 의무를 추적하는 소프트웨어입니다. 운영한다고 주장하는 통제, 그것이 작동한다는 증빙, 사람들이 읽어야 하는 정책, 고객이 계약 전에 보내는 설문이 대상입니다.

구매자는 두 가지 이유 중 하나로 이곳에 옵니다. 거래가 인증서 때문에 막혀 있거나, 규제 당국이 관심을 갖게 되었거나입니다. 첫 번째가 흔하고 기한이 붙어 있어서, 이 카테고리는 속도를 강하게 내세워 팔립니다.

접근 권한과 비밀 정보를 실제로 강제하는 도구는 보안에 있습니다. 계약 서명과 승인 흐름은 전자서명·계약에 속합니다.

이 제품들이 실제로 하는 일

여기서 인증서를 발급하는 곳은 없습니다. 소프트웨어는 증빙을 수집하고, 프레임워크에 매핑하고, 감사와 감사 사이에 최신 상태로 유지합니다. 공인 감사인이 여전히 실제 운영을 검토하고 의견을 형성합니다.

이 경계를 이해하면 이 카테고리의 값비싼 실망을 피할 수 있습니다. 플랫폼은 몇 달씩 걸리는 스크린샷 수집을 줄일 수 있습니다. 감사인이 통제가 작동하는 것을 확인해야 하는 기간을 줄이지는 못하고, 주장하는 일을 하지 않는 회사를 대신해 감사를 통과할 수도 없습니다.

작업은 네 부분으로 나뉩니다. 정책 작성, 통제 구현, 작동 증명, 그리고 이 셋에 대한 질문에 답하기입니다. 제품마다 각각을 얼마나 다루는지가 다릅니다.

프레임워크, 그리고 겹치는 정도

웹사이트에서 가장 긴 목록이 아니라, 고객이 실제로 요구하는 프레임워크에서 출발하세요.

• 보안 증명은 엔터프라이즈 영업에서 요청하며, 보고서가 나오기 전에 관찰 기간이 있습니다.
• 인증 가능한 표준은 공식 감사 주기가 있고 그 사이에 사후 심사가 있습니다.
• 개인정보 규제는 인증이 아니라 법적 의무입니다.
• 업종별 규칙은 의료, 결제 카드 데이터, 공공, 금융에 해당하며 일반적인 조언보다 우선합니다.
• 고객 설문은 표준화되어 있지 않고 끝이 없으며, 답변 라이브러리가 존재하는 이유입니다.

대부분의 통제는 프레임워크 간에 반복됩니다. 좋은 플랫폼은 증빙 하나를 그것이 충족하는 모든 프레임워크에 매핑하고, 그래서 두 번째 표준이 첫 번째보다 훨씬 저렴해집니다. 내가 필요한 특정 조합에서 그 매핑을 확인하세요.

지속적 모니터링이 돈을 낼 가치가 있는 부분입니다

1년에 한 번 모은 증빙은 사진 한 장입니다. 통제는 사진을 찍은 다음 날부터 어긋납니다.

플랫폼을 ID 공급자, 클라우드 계정, 코드 저장소, 엔드포인트 도구에 연결하면 접근 권한 검토가 실시되었는지, 기기가 암호화되어 있는지, 퇴사자가 제거되었는지, 운영 환경 변경이 검토되었는지를 지속적으로 점검할 수 있습니다.

이에 대해 세 가지를 물어보세요. 실제로 운영하는 시스템에 맞는 연동이 있는지. 점검이 실패하면 어떻게 되는지. 담당자 없는 알림은 장식입니다. 그리고 발견 사항을 스프레드시트에 복사하지 않고 도구 안에서 배정하고, 추적하고, 종료할 수 있는지입니다.

사람, 정책, 교육

아무도 읽지 않는 정책은 지적 사항이 될 날을 기다리는 것입니다.

확인 서명이 붙는 배포, 감사인이 3월에 정책이 어떻게 되어 있었는지 물어도 버티는 버전 관리, 공유 받은편지함이 아니라 담당자 본인에게 가는 알림을 찾으세요. 보안 인식 교육은 일부 공급사는 묶어서 제공하고 일부는 따로 팔며, 묶음 버전으로도 충분한 경우가 많습니다.

입사와 퇴사 체크리스트가 전체를 하나로 묶습니다. 사람이 떠난 뒤 남은 접근 권한이 첫 감사에서 가장 흔한 단일 지적 사항이기 때문입니다.

1년 비용은 실제로 얼마인가

플랫폼 구독은 세 항목 중 하나입니다. 감사인이 두 번째이고, 종종 더 큽니다. 프레임워크나 고객이 요구한다면 모의 침투 테스트가 세 번째입니다.

플랫폼 요금은 보통 직원 수, 프레임워크, 연결된 시스템 수에 따라 올라가며, 자동 증빙 수집은 입문 요금제 위에 놓이기도 합니다. 온보딩 비용을 포함한 첫해 전체 비용을 요청하고, 구축이 끝난 뒤 갱신이 어떻게 되는지 물어보세요. 이 숫자 뒤의 관행은 요금 페이지가 감추는 것에서 풀어 설명합니다.

첫 인증의 순서 정하기

대부분의 지연은 소프트웨어가 앞당길 수 없는 것에서 오기 때문에, 작업 순서가 플랫폼보다 중요합니다.

범위부터 시작하세요. 어떤 시스템, 어떤 장소, 사업의 어느 부분을 포함하는지가 수집해야 할 증빙의 양을 결정하며, 지나치게 넓은 범위는 스스로 만드는 가장 흔한 비용입니다.

그다음 확실히 실패할 통제를 고치세요. 아무도 실행하지 않는 접근 권한 검토, 계정이 살아 있는 퇴사자, 암호화되지 않은 기기, 몇 년 전에 쓰고 아무도 읽지 않은 정책입니다. 이런 일은 몇 주가 걸리고 도구로 단축할 수 없습니다.

이 작업이 진행되고 있을 때 플랫폼을 들이세요. 그래야 플랫폼이 부재를 문서화하는 것이 아니라 이미 존재하는 관행의 증빙을 수집합니다.

감사인은 일찍 예약하세요. 날짜를 정하는 것은 준비 상태가 아니라 감사인의 일정인 경우가 많습니다.