Zarządzanie zgodnością

Każda organizacja działa w sieci wymagań zewnętrznych i wewnętrznych. Należą do nich przepisy o ochronie danych, regulacje sektorowe, standardy branżowe, zobowiązania umowne i własne zasady wewnętrzne. Pojedynczy wymóg może wydawać się wykonalny. Razem nakładają się na siebie, zmieniają się i czasem są ze sobą sprzeczne. Zarządzanie zgodnością porządkuje ten krajobraz. Na bieżąco odpowiada na trzy pytania: jakie obowiązki nas dotyczą, co robimy w ramach każdego z nich i czy potrafimy to udowodnić.

Kluczowe słowo to „ciągłe”. Zarządzanie zgodnością nie jest projektem, który kończy się wraz z publikacją polityki. Obowiązki zmieniają się wraz z nowelizacją przepisów, wytycznymi regulatorów oraz wejściem firmy na nowe rynki lub wprowadzeniem nowych produktów. Dojrzały program działa więc cyklicznie: identyfikuje obowiązki, ocenia ryzyko, wdraża kontrole, sprawdza ich skuteczność i przekazuje wyniki do kolejnej rewizji.

Program zgodności składa się z sześciu głównych elementów:

W praktyce praca przebiega w powtarzalnym cyklu. Zaczyna się od określenia zakresu: zestawienia obowiązujących wymogów i przypisania ich do procesów, systemów i danych, których dotyczą. Ocena ryzyka wskazuje, gdzie naruszenie jest najbardziej prawdopodobne i najbardziej dotkliwe. Mechanizmy kontrolne projektuje się lub koryguje w odpowiedzi. Wdrożenie obejmuje nie tylko uruchomienie kontroli, ale także ich udokumentowanie i przeszkolenie osób, które według nich pracują.

Cykl zamyka weryfikacja i doskonalenie. Monitorowanie i audyty wewnętrzne sprawdzają, czy kontrole istniejące na papierze działają również w praktyce. Wykryte luki wracają jako zaktualizowane polityki, nowe kontrole lub dodatkowe szkolenia. Ustalenia, wskaźniki i dane o incydentach trafiają do kierownictwa, a rejestr obowiązków jest ponownie przeglądany przy każdej zmianie w firmie lub w otoczeniu regulacyjnym.

1. 1

   Zakres

   Zestaw obowiązujące wymogi i powiąż je z procesami, systemami i danymi, których dotyczą.

2. 2

   Ocena

   Określ, gdzie niezgodność jest najbardziej prawdopodobna i najbardziej szkodliwa.

3. 3

   Wdrożenie

   Zaprojektuj lub skoryguj kontrole, udokumentuj je i przeszkol osoby, które z nich korzystają.

4. 4

   Weryfikacja

   Sprawdź, czy kontrole działają w praktyce, i przekaż luki do kolejnej wersji.

Regulatorzy i audytorzy rzadko przyjmują zapewnienia na słowo. Oczekują zapisów. Dowody mają trzy główne formy, zestawione poniżej.

Pełny, przypisany do konkretnych osób ślad audytu łączy każde zarejestrowane zdarzenie z użytkownikiem, działaniem i znacznikiem czasu. Dzięki temu organizacja może odtworzyć przebieg zdarzeń podczas wewnętrznego śledztwa lub audytu zewnętrznego.

Przechowywanie zapisów to część tej samej dyscypliny. Dokumenty trzeba trzymać wystarczająco długo, by spełnić najdłuższy obowiązujący wymóg, chronić je przed zmianami i udostępniać na żądanie. Słabe prowadzenie dokumentacji jest częstym zarzutem w kontrolach regulacyjnych, nawet gdy same mechanizmy były poprawne.

Przechowywanie zapisów to kwestia ustawienia, a nie nawyku. W Anexet Reports Server administrator wybiera, gdzie są zapisywane zebrane dane, jak długo są przechowywane i które kolekcje danych są zachowywane. Raporty budowane na tych danych opisano w raportach bezpieczeństwa i zgodności.

Zarządzanie zgodnością to jeden z trzech filarów GRC: governance, zarządzanie ryzykiem i compliance. GRC to zbiorcze określenie tego, jak organizacje kierują sobą i kontrolują się. Filary celowo się pokrywają. Ryzyko zgodności jest jedną z kategorii w ramach zarządzania ryzykiem w przedsiębiorstwie. Governance dostarcza struktur odpowiedzialności, tonu kierownictwa i uprawnień decyzyjnych, na których opiera się każdy wysiłek na rzecz zgodności.

Traktowanie filarów łącznie pozwala uniknąć powielania pracy. Jedno ćwiczenie z klasyfikacji danych może na przykład jednocześnie obsłużyć przepisy o prywatności, standard bezpieczeństwa i wewnętrzną politykę archiwizacji. Wiele organizacji prowadzi te działania na wspólnych platformach GRC, które łączą obowiązki, ryzyka, kontrole i dowody. Jedna kontrola może wtedy wykazać zgodność z kilkoma wymogami naraz, a raportowanie korzysta z jednego źródła prawdy.

Słabe programy zwykle zawodzą w tych samych kilku miejscach, a każdy błąd widać w zapisach.

• Traktowanie zgodności jako jednorazowego projektu, przez co obowiązki zmieniają się bez niczyjej wiedzy
• Publikowanie polityk bez wiedzy, gdzie znajdują się dane regulowane, na co odpowiada klasyfikacja danych
• Brak przypisanego do osób zapisu, kto co zrobił, więc nie ma czego pokazać audytorowi
• Obsługa zgłoszenia naruszenia danych jako doraźnego zadania zamiast zaplanowanej procedury

Zacznij od obowiązków o najwyższym ryzyku niezgodności, a potem powiąż je z systemami i danymi, których dotyczą. Krótki rejestr z wyznaczonymi właścicielami jest lepszy niż długi dokument, którego nikt nie aktualizuje.

Obowiązki prywatności wynikające z przepisów o ochronie danych to praktyczny punkt startu, bo wskazują dane i osoby, których dotyczą.

Czytaj dalej: System DLP Anexet Ultimate jako wsparcie w spełnianiu wymagań RODO.