Zgodność w cyberbezpieczeństwie

Zgodność w cyberbezpieczeństwie oznacza, że zabezpieczenia organizacji odpowiadają zestawowi wymogów zewnętrznych i że organizacja potrafi to pokazać na żądanie. Wymogi mogą wynikać z ustawy, regulacji branżowej, umowy z klientem albo opublikowanej normy. Pytanie jest zawsze to samo: czy organizacja robi to, czego wymaga przepis, i czy może to wykazać?

Temat jest ściśle związany z ochroną danych, bo większość przepisów ma chronić dane osobowe, finansowe lub dotyczące zdrowia. To także zadanie zarządcze: obowiązki trzeba śledzić, przypisywać właścicielom i przeglądać, czym zajmuje się zarządzanie zgodnością.

Najważniejsze jest słowo dowód. Zabezpieczenie, które działa, ale nie zostawia śladu, trudno obronić podczas audytu, a polityka, której nikt nie stosuje, jest ryzykiem, a nie ochroną.

Niewiele organizacji odpowiada przed jednym zbiorem zasad. Źródła różnią się tym, kto je egzekwuje i co grozi za uchybienia, dlatego dobrym pierwszym krokiem jest uporządkowanie ich według pochodzenia. Wiele programów opiera się na ramach zarządczych, takich jak ISMS, a klienci często proszą o niezależny raport, na przykład SOC 2.

Niezależnie od zbioru zasad praca przebiega cyklicznie. Nie kończy się na certyfikacie ani zaliczonym audycie, bo wymogi, systemy i zagrożenia stale się zmieniają. Cykl powtarza się dzięki monitorowaniu zgodności.

1. 1

   Określ zakres obowiązków

   Wypisz przepisy, normy i umowy, które mają zastosowanie, oraz systemy i dane, których dotyczą.

2. 2

   Przypisz wymogi do zabezpieczeń

   Zamień każdy wymóg na konkretne zabezpieczenie z wyznaczonym właścicielem, na przykład przegląd uprawnień lub retencję logów.

3. 3

   Wdróż i udokumentuj

   Uruchom zabezpieczenia i spisz polityki oraz procedury, których ludzie mogą przestrzegać.

4. 4

   Zbieraj dowody

   Przechowuj logi, raporty i zapisy pokazujące, że każde zabezpieczenie działa w czasie.

5. 5

   Przeglądaj i poprawiaj

   Testuj zabezpieczenia, usuwaj luki i powtarzaj cykl, gdy zmieniają się przepisy lub systemy.

Dowody zwykle pochodzą z narzędzi, które obserwują dane i użytkowników. W konsoli Anexet reguły bezpieczeństwa zapisują incydenty z poziomem ryzyka, raporty incydentów można budować dla wybranych reguł i wysyłać według harmonogramu, a raporty bezpieczeństwa dają audytorom zapis do pracy zamiast zrzutów ekranu zbieranych tydzień przed audytem.

1 / 3

• 
• 
• 

Zgodność najczęściej zawodzi na styku ról, a nie w technologii. Krótka mapa odpowiedzialności wiąże każdy wymóg z osobą, która może zadziałać.

Zaliczony audyt pokazuje, że wymagane zabezpieczenia istniały i działały w chwili testu. Nie dowodzi, że organizacji nie da się zaatakować skutecznie. Przepisy wyznaczają poziom bazowy, a atakujący go nie czytają, więc firma zgodna z wymogami wciąż może paść ofiarą naruszenia danych.

Działa to także w drugą stronę: silne, lecz nieudokumentowane zabezpieczenia mogą nie przejść audytu. Praktyczny cel to traktować przepisy jak podłogę i budować bezpieczeństwo ponad nią, a ryzyko niezgodności pomaga ocenić, gdzie luki kosztowałyby najwięcej.

Większość programów potyka się w tych samych miejscach:

• Traktowanie zgodności jak corocznego projektu, a nie procesu ciągłego
• Zbieranie dowodów dopiero w tygodniach przed audytem
• Kupno narzędzia i założenie, że ono czyni organizację zgodną
• Pisanie polityk, których nikt nie czytał i nie da się stosować
• Pomijanie podmiotów trzecich, choć ich dostęp do Twoich danych to Twoja odpowiedzialność

Zacznij od małych, konkretnych kroków. Spisz, które przepisy Cię dotyczą, wybierz dane, których ujawnienie zaszkodziłoby najbardziej, i sprawdź, czy podstawowe zabezpieczenia tych danych istnieją i zostawiają ślad. Rozbudowuj program stopniowo, zamiast budować ramy, z których nikt nie korzysta.