Διαχείριση Συμμόρφωσης

Κάθε οργανισμός λειτουργεί μέσα σε ένα πλέγμα εξωτερικών και εσωτερικών απαιτήσεων. Σε αυτές περιλαμβάνονται οι νόμοι για την προστασία δεδομένων, η κλαδική ρύθμιση, τα πρότυπα του κλάδου, οι συμβατικές δεσμεύσεις και οι εσωτερικές πολιτικές. Κάθε απαίτηση μόνη της μπορεί να φαίνεται διαχειρίσιμη. Μαζί, όμως, αλληλεπικαλύπτονται, αλλάζουν και μερικές φορές συγκρούονται. Η διαχείριση συμμόρφωσης φέρνει τάξη σε αυτό το τοπίο. Απαντά συνεχώς σε τρία πρακτικά ερωτήματα: ποιες υποχρεώσεις μάς αφορούν, τι κάνουμε για καθεμία και αν μπορούμε να το αποδείξουμε.

Η λέξη που πρέπει να τονιστεί είναι η «συνεχής». Η διαχείριση συμμόρφωσης δεν είναι έργο που τελειώνει με τη δημοσίευση μιας πολιτικής. Οι υποχρεώσεις αλλάζουν όταν τροποποιούνται οι νόμοι, όταν οι ρυθμιστικές αρχές εκδίδουν νέες οδηγίες και όταν η επιχείρηση μπαίνει σε νέες αγορές ή λανσάρει νέα προϊόντα. Ένα ώριμο πρόγραμμα λειτουργεί επομένως κυκλικά: εντοπίζει υποχρεώσεις, αξιολογεί κινδύνους, εφαρμόζει ελέγχους, επαληθεύει την αποτελεσματικότητά τους και μεταφέρει τα αποτελέσματα στην επόμενη αναθεώρηση.

Ένα πρόγραμμα συμμόρφωσης αποτελείται από έξι βασικά στοιχεία:

Στην πράξη, η εργασία ακολουθεί έναν επαναλαμβανόμενο κύκλο. Ξεκινά με τον καθορισμό του εύρους: καταγραφή των υποχρεώσεων που ισχύουν και σύνδεσή τους με τις διαδικασίες, τα συστήματα και τα δεδομένα που επηρεάζουν. Η αξιολόγηση κινδύνου εντοπίζει στη συνέχεια πού η μη συμμόρφωση είναι πιο πιθανή και πιο επιζήμια. Οι έλεγχοι σχεδιάζονται ή προσαρμόζονται ανάλογα. Η εφαρμογή περιλαμβάνει όχι μόνο την ενεργοποίηση των ελέγχων, αλλά και την τεκμηρίωσή τους και την εκπαίδευση των ανθρώπων που εργάζονται με αυτούς.

Ο κύκλος κλείνει με επαλήθευση και βελτίωση. Η παρακολούθηση και οι εσωτερικοί έλεγχοι διαπιστώνουν αν οι έλεγχοι που υπάρχουν στα χαρτιά λειτουργούν και στην πράξη. Τα κενά που εντοπίζονται επιστρέφουν ως επικαιροποιημένες πολιτικές, νέοι έλεγχοι ή επιπλέον εκπαίδευση. Τα ευρήματα, οι δείκτες και τα στοιχεία περιστατικών ανεβαίνουν στη διοίκηση, και το μητρώο υποχρεώσεων επανεξετάζεται κάθε φορά που αλλάζει η επιχείρηση ή το ρυθμιστικό περιβάλλον.

1. 1

   Εύρος

   Καταγράψτε τις υποχρεώσεις που ισχύουν και συνδέστε τες με τις διαδικασίες, τα συστήματα και τα δεδομένα που επηρεάζουν.

2. 2

   Αξιολόγηση

   Εντοπίστε πού η μη συμμόρφωση είναι πιο πιθανή και πιο επιζήμια.

3. 3

   Εφαρμογή

   Σχεδιάστε ή προσαρμόστε τους ελέγχους, τεκμηριώστε τους και εκπαιδεύστε τους εργαζομένους που τους εφαρμόζουν.

4. 4

   Επαλήθευση

   Ελέγξτε αν οι έλεγχοι λειτουργούν στην πράξη και περάστε τα κενά στην επόμενη αναθεώρηση.

Οι ρυθμιστικές αρχές και οι ελεγκτές σπάνια δέχονται διαβεβαιώσεις με τον λόγο τους. Περιμένουν αρχεία. Η απόδειξη έχει τρεις κύριες μορφές, που συνοψίζονται παρακάτω.

Ένα πλήρες ίχνος ελέγχου συνδέει κάθε καταγεγραμμένο γεγονός με έναν χρήστη, μια ενέργεια και μια χρονοσήμανση. Έτσι, ο οργανισμός μπορεί να ανασυνθέσει τι συνέβη κατά τη διάρκεια μιας εσωτερικής έρευνας ή ενός εξωτερικού ελέγχου.

Η διατήρηση των αρχείων ανήκει στην ίδια πειθαρχία. Τα αρχεία πρέπει να διατηρούνται όσο χρειάζεται για να καλυφθεί η μακρύτερη ισχύουσα απαίτηση, να προστατεύονται από αλλοίωση και να είναι διαθέσιμα κατόπιν αιτήματος. Η κακή τήρηση αρχείων είναι από μόνη της συχνό εύρημα σε ρυθμιστικούς ελέγχους, ακόμη και όταν οι έλεγχοι ήταν επαρκείς.

Η διατήρηση είναι ρύθμιση και όχι συνήθεια. Στο Anexet Reports Server, ο διαχειριστής επιλέγει πού αποθηκεύονται τα συλλεχθέντα δεδομένα, για πόσο διάστημα διατηρούνται και ποιες συλλογές δεδομένων αποθηκεύονται. Οι αναφορές που βασίζονται σε αυτά τα δεδομένα περιγράφονται στις αναφορές συμμόρφωσης ασφάλειας.

Η διαχείριση συμμόρφωσης είναι ένας από τους τρεις πυλώνες του GRC: διακυβέρνηση, διαχείριση κινδύνου και συμμόρφωση. Το GRC είναι η συλλογική ονομασία για τον τρόπο με τον οποίο οι οργανισμοί κατευθύνονται και ελέγχονται. Οι πυλώνες αλληλεπικαλύπτονται σκόπιμα. Ο κίνδυνος συμμόρφωσης είναι μία κατηγορία μέσα στη διαχείριση επιχειρησιακού κινδύνου. Η διακυβέρνηση παρέχει τις δομές λογοδοσίας, τον τόνο της ηγεσίας και τα δικαιώματα απόφασης, στα οποία στηρίζεται κάθε προσπάθεια συμμόρφωσης.

Η αντιμετώπιση των πυλώνων από κοινού αποφεύγει τη διπλή εργασία. Μία μόνο άσκηση ταξινόμησης δεδομένων μπορεί, για παράδειγμα, να εξυπηρετήσει ταυτόχρονα έναν κανονισμό για το απόρρητο, ένα πρότυπο ασφάλειας και μια εσωτερική πολιτική αρχειοθέτησης. Πολλοί οργανισμοί διεξάγουν αυτές τις δραστηριότητες σε κοινές πλατφόρμες GRC, που κρατούν συνδεδεμένες τις υποχρεώσεις, τους κινδύνους, τους ελέγχους και τα αποδεικτικά στοιχεία. Έτσι, ένας έλεγχος μπορεί να αποδεικνύει συμμόρφωση με πολλές απαιτήσεις, και οι αναφορές αντλούν από μία ενιαία πηγή αλήθειας.

Τα αδύναμα προγράμματα συνήθως αποτυγχάνουν στα ίδια λίγα σημεία, και κάθε αποτυχία φαίνεται στα αρχεία.

• Αντιμετώπιση της συμμόρφωσης ως εφάπαξ έργου, οπότε οι υποχρεώσεις αλλάζουν χωρίς να το προσέξει κανείς
• Δημοσίευση πολιτικών χωρίς να είναι γνωστό πού βρίσκονται τα ρυθμιζόμενα δεδομένα, κάτι που απαντά η ταξινόμηση δεδομένων
• Έλλειψη αποδιδόμενου αρχείου για το ποιος έκανε τι, οπότε δεν υπάρχει τίποτα να δείξετε στον ελεγκτή
• Αντιμετώπιση της ειδοποίησης για παραβίαση δεδομένων ως περιστασιακής εργασίας αντί για προγραμματισμένης διαδικασίας

Ξεκινήστε από τις υποχρεώσεις με τον υψηλότερο κίνδυνο συμμόρφωσης και μετά συνδέστε τες με τα συστήματα και τα δεδομένα που αγγίζουν. Ένα σύντομο μητρώο με ονομασμένους υπευθύνους αξίζει περισσότερο από ένα μακρύ έγγραφο που κανείς δεν ενημερώνει.

Οι υποχρεώσεις ιδιωτικότητας βάσει των κανόνων προστασίας δεδομένων είναι ένα πρακτικό σημείο εκκίνησης, επειδή ονομάζουν τα δεδομένα και τα πρόσωπα που εμπλέκονται.

Περισσότερα: Χρήση του συστήματος Anexet Ultimate DLP για συμμόρφωση με τον GDPR.