Комплаєнс і GRC

Для чого ця полиця

Програми, що відстежують зобов’язання щодо безпеки й приватності: контролі, які ви заявляєте, докази їх дії, політики, які мають прочитати люди, та опитувальники, які клієнти надсилають, перш ніж підписати.

Покупці приходять сюди з однієї з двох причин. Угоду заблоковано через сертифікат, або регулятор зацікавився. Перше трапляється часто і має дедлайн, тому ця категорія так наполегливо продає швидкість.

Інструменти, що справді забезпечують доступи й секрети, лежать у безпеці. Підписання договорів і процеси погодження належать до електронного підпису та договорів.

Що ці продукти насправді роблять

Тут ніхто не видає сертифікат. Програма збирає докази, зіставляє їх зі стандартом і підтримує актуальність між аудитами. Акредитований аудитор усе одно вивчає вашу практику й формує висновок.

Розуміння цієї межі запобігає дорогому розчаруванню в цій категорії. Платформа може скоротити місяці збору скриншотів. Вона не може скоротити період, протягом якого аудитор має бачити ваші контролі в дії, і не може пройти аудит замість компанії, яка не робить того, що заявляє.

Робота ділиться на чотири частини: написання політик, впровадження контролів, доказ того, що вони працюють, і відповіді на питання про все це. Продукти різняться тим, скільки з кожної вони покривають.

Стандарти і скільки в них спільного

Починайте зі стандартів, про які клієнти справді питають, а не з найдовшого списку на сайті.

• Атестації безпеки, яких просять у корпоративних продажах, з періодом спостереження, перш ніж з’явиться звіт.
• Сертифіковані стандарти з формальним циклом аудиту й наглядовими візитами між ними.
• Регулювання приватності, де зобов’язання юридичні, а не сертифіковані.
• Галузеві правила для здоров’я, даних платіжних карток, держсектору чи фінансів, що мають пріоритет над загальними порадами.
• Опитувальники клієнтів, нестандартизовані, нескінченні й причина існування бібліотек відповідей.

Більшість контролів повторюється між стандартами. Добрі платформи зіставляють один доказ з усіма стандартами, які він задовольняє, і саме тому другий стандарт значно дешевший за перший. Перевірте це зіставлення для вашої конкретної комбінації.

За безперервний моніторинг варто платити

Докази, зібрані раз на рік, це фотографія. Контролі розходяться з нею наступного дня після зйомки.

Підключіть платформу до постачальника ідентифікації, хмарних облікових записів, репозиторіїв коду й засобів кінцевих пристроїв, і вона може безперервно перевіряти, що перегляди доступів відбулися, що машини зашифровано, що звільнених видалено і що зміни в робочому середовищі переглянуто.

Поставте про це три питання. Які інтеграції є для систем, які ви справді використовуєте. Що відбувається, коли перевірка не проходить, бо сповіщення без власника це декорація. І чи можна призначати, відстежувати та закривати знахідки всередині інструмента, а не копіювати їх у таблицю.

Люди, політики й навчання

Політики, яких ніхто не читає, це знахідка, що чекає свого часу.

Шукайте розсилку з підтвердженням ознайомлення, версіонування, що витримає питання аудитора, що політика казала в березні, та нагадування, які йдуть людині, а не на спільну скриньку. Навчання з обізнаності про безпеку одні постачальники включають, інші продають окремо, і включена версія часто достатня.

Списки для прийому й звільнення скріплюють усе разом, бо доступ, залишений після відходу людини, це найпоширеніша знахідка першого аудиту.

Скільки насправді коштує рік

Підписка на платформу це один рядок із трьох. Аудитор це другий, часто більший. Тестування на проникнення, якщо його очікує стандарт чи клієнт, це третій.

Ціни платформ зазвичай масштабуються за кількістю співробітників, стандартами й підключеними системами, а автоматичний збір доказів іноді відкладено вище за початковий тариф. Просіть повну цифру першого року разом з будь-якою платою за запуск, а потім питайте, як виглядає поновлення, коли впровадження завершено. Звички за цими цифрами розібрано в матеріалі що приховують сторінки з цінами.

Послідовність першої сертифікації

Порядок роботи важить більше за платформу, бо більша частина затримки походить від того, що програма прискорити не може.

Почніть з обсягу. Які системи, які локації та які частини бізнесу охоплено, визначає, скільки є доказів для збору, а надто широкий обсяг це найпоширеніша витрата, яку створюють собі самі.

Потім виправте контролі, які очевидно не пройдуть: перегляди доступів, яких ніхто не проводить, звільнені з активними обліковими записами, машини без шифрування й політики, написані роки тому й ніколи не прочитані. Це забирає тижні, і інструменти цього не скорочують.

Підключайте платформу, коли це вже на ходу, щоб вона збирала докази практик, що вже існують, а не документувала їхню відсутність.

Бронюйте аудитора завчасно. Дату часто визначає доступність, а не готовність.