Комплаенс и GRC

Для чего нужна эта полка

Программы, которые отслеживают обязательства по безопасности и приватности: меры контроля, которые вы заявляете как действующие, доказательства того, что они работают, политики, которые люди обязаны прочитать, и опросники, которые клиенты присылают, прежде чем подписать договор.

Покупатели приходят сюда по одной из двух причин. Сделка заблокирована из-за сертификата, или регулятор проявил интерес. Первое случается часто и приходит с дедлайном, поэтому эта категория так агрессивно продаёт скорость.

Инструменты, которые реально обеспечивают доступы и секреты, находятся в безопасности. Подписание договоров и процессы согласования относятся к электронной подписи и договорам.

Что эти продукты делают на самом деле

Сертификатов здесь никто не выдаёт. ПО собирает доказательства, сопоставляет их со стандартом и поддерживает актуальными между аудитами. Практику по-прежнему изучает аккредитованный аудитор и формирует мнение.

Понимание этой границы избавляет от дорогого разочарования в этой категории. Платформа может сократить месяцы сбора скриншотов. Она не может сократить период, за который аудитору нужно увидеть работу ваших мер контроля, и не может пройти аудит за компанию, которая не делает того, что заявляет.

Работа делится на четыре части: написание политик, внедрение мер контроля, доказательство того, что они работают, и ответы на вопросы обо всех трёх. Продукты различаются тем, насколько каждую из частей охватывают.

Стандарты и сколько в них пересечений

Начинайте со стандартов, которые клиенты действительно запрашивают, а не с самого длинного списка на сайте.

• Отчёты о безопасности, запрашиваемые в корпоративных продажах, с периодом наблюдения до появления самого отчёта.
• Сертифицируемые стандарты с формальным циклом аудита и наблюдательными проверками между ними.
• Регулирование приватности, где обязательства юридические, а не сертифицируемые.
• Отраслевые правила для здравоохранения, платёжных карт, госсектора или финансов, которые важнее общих советов.
• Клиентские опросники: нестандартные, бесконечные и причина существования библиотек ответов.

Большинство мер контроля повторяется в разных стандартах. Хорошие платформы сопоставляют одно доказательство со всеми стандартами, которым оно отвечает, и поэтому второй стандарт получается намного дешевле первого. Проверьте это сопоставление для вашего конкретного сочетания.

Непрерывный мониторинг: за него стоит платить

Доказательства, собранные раз в год, это фотография. Меры контроля дрейфуют на следующий день после съёмки.

Подключите платформу к вашему провайдеру идентификации, облачным аккаунтам, репозиториям кода и средствам защиты рабочих станций, и она сможет постоянно проверять, что пересмотры доступов проводились, что машины зашифрованы, что уволившиеся удалены и что изменения в продакшене прошли проверку.

Задайте три вопроса. Какие интеграции есть для систем, которые вы реально используете. Что происходит, когда проверка не проходит: оповещение, у которого нет владельца, всего лишь украшение. И можно ли назначать, отслеживать и закрывать находки внутри инструмента, а не копировать их в таблицу.

Люди, политики и обучение

Политики, которые никто не читает, это будущая находка аудитора.

Ищите рассылку с подтверждением прочтения, версионирование, которое переживёт вопрос аудитора о том, что говорила политика в марте, и напоминания, адресованные человеку, а не общему ящику. Обучение по информационной безопасности одни вендоры включают в цену, другие продают отдельно, и включённой версии часто хватает.

Чек-листы приёма и увольнения связывают всё воедино, потому что оставшийся после ухода сотрудника доступ самая частая находка первого аудита.

Сколько на самом деле стоит год

Подписка на платформу это одна из трёх строк. Аудитор вторая, часто бо́льшая. Тесты на проникновение, если их ожидает стандарт или клиент, третья.

Цена платформы обычно масштабируется по числу сотрудников, по стандартам и по подключённым системам, а автоматический сбор доказательств иногда спрятан выше начального тарифа. Просите полную сумму за первый год, включая плату за внедрение, а затем спросите, как выглядит продление, когда внедрение закончено. Привычки, стоящие за этими цифрами, разобраны в материале что скрывают страницы с тарифами.

Порядок действий для первой сертификации

Порядок работ важнее платформы, потому что большая часть задержек возникает из-за того, что ПО ускорить не может.

Начните с границ. Какие системы, какие площадки и какие части бизнеса охвачены, определяет, сколько вообще есть доказательств для сбора, а слишком широкие границы самая частая затрата, которую организации создают себе сами.

Затем исправьте меры контроля, которые заведомо не пройдут: пересмотры доступов, которые никто не проводит, уволившихся с рабочими учётными записями, машины без шифрования и политики, написанные годы назад и никем не читанные. Это занимает недели, и никакие инструменты этого не сократят.

Подключайте платформу, когда эта работа уже идёт, чтобы она собирала доказательства существующих практик, а не документировала их отсутствие.

Бронируйте аудитора заранее. Дату часто определяет его занятость, а не ваша готовность.