4.6 Uzingatiaji na utawala

Muhtasari na msukumo

Uzingatiaji ni nidhamu ya kuthibitisha kwamba shirika lako linatimiza wajibu wake wa kisheria, wa kimkataba, na wa kimaadili, kwa wakaguzi, wadhibiti, wateja, na raia. Utawala ni muundo wa sera, majukumu, na vidhibiti unaofanya uzingatiaji kuwa sifa inayojirudia ya shirika badala ya mbio za kishujaa za kila mwaka. Kwa mashirika makubwa, na hasa kwa serikali, uzingatiaji si gharama ya hiari. Mara nyingi ndio leseni ya kufanya kazi. Bila vyeti na idhini sahihi, huwezi kuuza kwa tasnia zinazodhibitiwa, huwezi kushinda mikataba ya serikali, na huwezi kuchakata aina fulani za data kisheria.

Mandhari ya uzingatiaji ni pana na yenye tabaka. Mashirika hupitia sheria za ulinzi wa data (GDPR, CCPA), kanuni za sekta (HIPAA kwa afya, PCI-DSS kwa kadi za malipo, SOX kwa taarifa za fedha), na vyeti vya hiari lakini vinavyotarajiwa (ISO 27001, SOC 2). Serikali na wakandarasi wake wanakabiliwa na ulimwengu wa ziada: idhini za FedRAMP na FISMA, katalogi za vidhibiti za NIST 800-53 na 800-171, CMMC kwa mnyororo wa ugavi wa ulinzi, uainishaji wa viwango vya athari, maagizo ya ufikiaji (Section 508, ADA, WCAG, EN 301 549), na wajibu wa kumbukumbu ikijumuisha FOIA. Kusimamia haya yote kwa mkono hakupanuki. Jibu la kisasa ni uzingatiaji endelevu, ambapo vidhibiti vinaotomatishwa na ushahidi unazalishwa kama zao la pembeni la shughuli za kawaida.

Sura hii inashughulikia mifumo mikuu, tawala mahususi za serikali zenye uzito mkubwa, ufikiaji kama agizo la kisheria, na mabadiliko kutoka ukaguzi wa mara kwa mara hadi uzingatiaji endelevu unaoendeshwa na ushahidi na utawala madhubuti.

Kanuni kuu

• Uzingatiaji ni zao la pembeni la uhandisi mzuri. Mifumo inayoendeshwa vizuri yenye vidhibiti imara huzalisha ushahidi kwa kawaida; uzingatiaji-wa-maigizo hauzalishi.
• Chora vidhibiti mara moja, tosheleza mifumo mingi. Kidhibiti kimoja mara nyingi hushughulikia mahitaji kuvuka viwango vingi; simamia seti moja iliyounganishwa ya vidhibiti.
• Endelevu kuliko wa mara kwa mara. Otomatisha ukusanyaji wa ushahidi ili uzingatiaji uwe wa kila wakati, si mbio kabla ya ukaguzi.
• Utawala hufafanua uwajibikaji. Umiliki ulio wazi wa sera, vidhibiti, na hatari hufanya uzingatiaji uwe endelevu.
• Ufikiaji ni sharti, si pambo. Kwa serikali na hatua kwa hatua kwa mashirika, umeamriwa kisheria.
• Kumbukumbu ni wajibu. Uhifadhi, uondoaji, na ufichuzi wa kumbukumbu hubeba nguvu za kisheria, hasa katika serikali.
• Buni kwa ajili ya mkaguzi. Mifumo inayozalisha ushahidi ulio wazi, usiobadilika ni nafuu kukagua na rahisi kuamini.

Mapendekezo

Jua mifumo inayotumika na uchore vidhibiti mara moja

Anza kwa kutambua tawala zipi zinafunga shirika lako, kisha jenga mfumo mmoja uliounganishwa wa vidhibiti unaochora kila kidhibiti kwa kila sharti kinalotosheleza.

• GDPR / CCPA: ulinzi wa data na haki za faragha chini ya Kanuni ya Jumla ya Ulinzi wa Data ya Umoja wa Ulaya na Sheria ya Faragha ya Watumiaji ya California (angalia sura ya 4.5).
• HIPAA: Sheria ya Uhamishaji na Uwajibikaji wa Bima ya Afya, inayohitaji ulinzi wa taarifa za afya zinazolindwa katika sekta ya afya ya Marekani.
• PCI-DSS: Kiwango cha Usalama wa Data ya Tasnia ya Kadi za Malipo, kinachoamuru vidhibiti vya usalama kwa kushughulikia data ya kadi za malipo; kupunguza wigo (kutoa tokeni) hupunguza gharama kwa kiasi kikubwa.
• SOX: Sheria ya Sarbanes-Oxley, inayohitaji vidhibiti juu ya taarifa za fedha, ikisisitiza usimamizi wa mabadiliko, udhibiti wa ufikiaji, na nyayo za ukaguzi.
• ISO 27001: mfumo wa usimamizi wa usalama wa taarifa (ISMS) wenye vidhibiti vinavyoweza kuthibitishwa, vinavyotegemea hatari.
• SOC 2: uthibitisho wa System and Organization Controls wa vidhibiti vinavyohusu usalama, upatikanaji, usiri, uadilifu wa uchakataji, na faragha, unaotarajiwa sana na wanunuzi wa mashirika makubwa.
• NIST Cybersecurity Framework (CSF): mfumo unaonyumbulika, wa hiari kutoka Taasisi ya Taifa ya Viwango na Teknolojia (NIST) unaopanga usalama katika Tambua, Linda, Gundua, Jibu, Rejesha (na Tawala).

Dumisha maktaba moja ya vidhibiti iliyochorwa kwa mifumo hii ili kutekeleza kidhibiti (kwa mfano, mapitio ya ufikiaji) kuzalishe ushahidi wa SOC 2, ISO 27001, na mingine kwa wakati mmoja. Ulinganishaji huu ndio hatua yenye kiegemeo cha juu zaidi katika uzingatiaji wa mashirika makubwa.

Timiza tawala mahususi za serikali kwa ukali

Kazi ya serikali huweka mahitaji mahususi yasiyojadilika.

• FISMA (Sheria ya Usimamizi wa Usalama wa Taarifa za Shirikisho) inatawala usalama wa taarifa za shirikisho; NIST SP 800-53 hutoa katalogi ya vidhibiti kwa mifumo ya shirikisho, inayochaguliwa kwa uainishaji wa mfumo (athari ya chini/wastani/juu).
• FedRAMP (Programu ya Shirikisho ya Usimamizi wa Hatari na Idhini) husawazisha idhini ya huduma za wingu kwa matumizi ya shirikisho, na vipimo vya msingi vilivyofungwa kwa viwango vya athari na Idhini ya Kufanya Kazi (ATO) kama lengo.
• NIST SP 800-171 inalinda Taarifa Zisizo za Siri Zinazodhibitiwa (CUI) kwenye mifumo isiyo ya shirikisho, ikiwafunga wakandarasi.
• CMMC (Cybersecurity Maturity Model Certification) huthibitisha kwamba wakandarasi wa msingi wa viwanda vya ulinzi wanatekeleza vidhibiti vinavyohitajika, kwa ngazi.
• Viwango vya Athari (IL) huainisha unyeti wa data (kwa mfano ngazi za IL2 hadi IL6 za Idara ya Ulinzi (DoD)) na kuamua mazingira na vidhibiti vinavyohitajika.

Yashughulikie kwa Mpango wa Usalama wa Mfumo (SSP) ulioandikwa, Mpango wa Hatua na Hatua Muhimu (POA&M) kwa mapengo, na ufuatiliaji endelevu kudumisha idhini badala ya kuchukulia ATO kama tukio la mara moja.

Chukulia ufikiaji kama agizo la kisheria

Ufikiaji ni wajibu wa kimaadili na, katika mamlaka nyingi, ni sheria.

• Section 508 inahitaji mifumo ya shirikisho ya Marekani (na mara nyingi wakandarasi wao) iweze kufikiwa; wajibu wa ADA (Sheria ya Wamarekani Wenye Ulemavu) unazidi kufikia huduma za kidijitali za kibiashara; EN 301 549 ni kiwango cha Ulaya cha ununuzi wa sekta ya umma.
• Miongozo ya Ufikiaji wa Maudhui ya Wavuti (WCAG), kwa kawaida katika kiwango cha AA, ndio kipimo cha kiufundi kinachorejelewa na maagizo haya.
• Jenga ufikiaji ndani ya usanifu na majaribio, si kama duru ya kurekebisha: alama za kisemantiki, urambazaji wa kibodi, utofautishaji wa kutosha, usaidizi wa visomaji skrini, na manukuu.
• Jaribu kwa zana za kiotomatiki na kwa watumiaji halisi wa teknolojia saidizi, na uandike uzingatiaji (kwa mfano kupitia ripoti ya uzingatiaji wa ufikiaji, inayoitwa pia Voluntary Product Accessibility Template, au VPAT).

Jenga utayari wa ukaguzi na uzingatiaji endelevu

Hama kutoka mbio za mara kwa mara hadi msimamo wa utayari wa kila wakati.

• Otomatisha ukusanyaji wa ushahidi: vuta ushahidi wa vidhibiti (mapitio ya ufikiaji, matokeo ya uchanganuzi, idhini za mabadiliko, nakala rudufu) kiotomatiki na mfululizo badala ya kuukusanya kwa mkono kabla ya kila ukaguzi.
• Tumia uzingatiaji-kama-msimbo na injini za sera kutekeleza na kuthibitisha vidhibiti wakati wa usambazaji, ukizalisha ushahidi kama athari ya pembeni.
• Dumisha dashibodi hai ya vidhibiti inayoonyesha hali na mapengo, ili shirika liwe tayari kwa ukaguzi wakati wowote.
• Simamia vighairi na ukubali wa hatari waziwazi, vyenye wamiliki na tarehe za kuisha, badala ya kuruhusu mapengo yadumu kimyakimya.

Tawala usimamizi wa kumbukumbu na ufichuzi

Kumbukumbu hubeba wajibu mahususi wa kisheria, hasa katika serikali.

• Anzisha sera ya usimamizi wa kumbukumbu: nini ni kumbukumbu, kila darasa linahifadhiwa kwa muda gani, na linaondolewa vipi, ikioanishwa na ratiba za kisheria.
• Hakikisha kumbukumbu ni halisi, kamili, na zinaonyesha kuchezewa, zikiwa na nyayo za ukaguzi.
• Kwa serikali, jiandae kwa FOIA (Sheria ya Uhuru wa Taarifa, na sheria zinazolingana za uwazi): uwezo wa kupata, kupitia, kuficha sehemu, na kutoa kumbukumbu ndani ya ratiba za kisheria.
• Patanisha wajibu wa uhifadhi wa kumbukumbu na haki za kufutwa kwa faragha, ambazo zinaweza kugongana; andika jinsi shirika linavyotatua mvutano huo.

Mabadilishano: faida na hasara

Uamuzi	Faida	Hasara
Kufuata vyeti vingi	Hufungua masoko, hujenga uaminifu	Ghali, mzigo endelevu wa ukaguzi
Mfumo mmoja wa vidhibiti	Wenye ufanisi, chora mara moja tosheleza nyingi	Juhudi ya awali kujenga ulinganishaji
Uotomatishaji wa uzingatiaji endelevu	Tayari kwa ukaguzi kila wakati, gharama ndogo kwa ukaguzi	Uwekezaji wa zana, juhudi ya kihandisi
Ukaguzi wa nukta moja ya wakati tu	Gharama ndogo ya papo hapo	Mbio, kuteleza kati ya ukaguzi, hatari kubwa
Timu ya uzingatiaji ya ndani	Muktadha wa kina, udhibiti	Ghali, ngumu kuajiri utaalamu wote
Jukwaa la GRC / washauri	Utaalamu, zana, kasi	Gharama, utegemezi wa muuzaji
Kufuata FedRAMP/ATO	Ufikiaji wa soko la shirikisho	Ndefu, ghali, nyaraka nzito

Mvutano mkuu ni gharama na juhudi dhidi ya ufikiaji wa soko na kupunguza hatari. Vyeti na idhini ni ghali na polepole, lakini kwa mashirika mengi ni tikiti ya kuingia masoko mazima: bila FedRAMP, hakuna biashara ya wingu la shirikisho; bila SOC 2, hakuna mikataba ya mashirika makubwa. Njia yenye ufanisi huwekeza mara moja katika mfumo uliounganishwa, wa kiotomatiki wa vidhibiti, ili gharama ya ziada ya kila cheti cha ziada ibaki ndogo. Uzingatiaji endelevu unagharimu zaidi mwanzoni kuliko mbio za ukaguzi za dakika ya mwisho, lakini ni nafuu na hatari kidogo sana baada ya muda. Unabadilisha uzingatiaji kutoka mgogoro unaojirudia kuwa sifa ya hali thabiti.

Maswali ya kujadili na timu yako

1. Vidhibiti vipi katika maktaba yenu vinachorwa kwa mifumo mingi zaidi, na je, mnavipatia ushahidi kiotomatiki? Hatua yenye kiegemeo cha juu zaidi katika uzingatiaji wa mashirika makubwa ni seti moja ya vidhibiti iliyochorwa kwa mifumo ili kutekeleza kidhibiti kimoja (kwa mfano mapitio ya ufikiaji) kuzalishe ushahidi wa SOC 2, ISO 27001, HIPAA, na zaidi kwa wakati mmoja. Amua vidhibiti vipi vinabeba uzito huu wa mifumo mingi na uweke kipaumbele kuotomatisha ushahidi wake, kwa sababu hivyo hulipa kuvuka kila ukaguzi. Ushahidi endelevu, wa kiotomatiki hubadilisha kila ukaguzi kutoka zoezi la dharura la gharama kuwa ukaguzi wa kawaida dhidi ya hifadhi hai, na hupunguza kwa kiasi kikubwa gharama ya ziada ya kuongeza cheti kinachofuata. Leta orodha yenu ya sasa ya vidhibiti na uweke alama vile vinavyotegemea bado picha za skrini zinazokusanywa kabla ya kila ukaguzi, kwa sababu hivyo ndivyo hatari yenu ya kuteleza na mbio. Mkisimamia kila mfumo katika kisiwa chake, mnarudia juhudi ambayo ulinganishaji mmoja ungeiondoa.

2. Kama idhini ya FedRAMP ATO au sawa nayo ndilo lengo lenu, je, mnaweza kuidumisha, si kuipata tu? Idhini za serikali ndizo lango la mkataba, na kuchukulia ATO kama jambo la mara moja ni kushindwa kwa kawaida, kwa sababu ufuatiliaji endelevu ndio unaoweka lango wazi. Amua kama mna nidhamu ya kudumisha Mpango wa Usalama wa Mfumo hai, kufanyia kazi Mpango wa Hatua na Hatua Muhimu kwa mapengo, na kuchagua vidhibiti vya NIST SP 800-53 kwa uainishaji wa athari wa mfumo wenu. Tawala hizi ni kali na hazijadiliki, na mzigo wa nyaraka na ufuatiliaji ni mkubwa na endelevu, si msukumo wa siku ya uzinduzi. Leta bomba linalohitaji idhini na lipime dhidi ya gharama halisi ya kuidumisha, ili uwekezaji uwe uamuzi wa kibiashara wa makusudi. Taarifa Zisizo za Siri Zinazodhibitiwa zikiwa katika wigo, thibitisha mnatimiza pia NIST SP 800-171 na kiwango kinachotumika cha CMMC, kwa sababu kukosa lolote kunaweza kuwatoa.

3. Je, uzingatiaji wa ufikiaji uko katika ufafanuzi wenu wa “imekamilika”, au ni duru ya kurekebisha inayosubiri kushindwa ukaguzi? Ufikiaji ni agizo la kisheria, si pambo: Section 508 inafunga mifumo ya shirikisho ya Marekani na mara nyingi wakandarasi wao, wajibu wa ADA unazidi kufikia huduma za kidijitali za kibiashara, na EN 301 549 inatawala ununuzi wa sekta ya umma ya Ulaya. Jenga WCAG AA ndani ya usanifu na majaribio (alama za kisemantiki, urambazaji wa kibodi, utofautishaji wa kutosha, usaidizi wa visomaji skrini, manukuu) badala ya kuubana kuchelewa, jambo linalozalisha matokeo duni, yasiyozingatia na mfiduo wa kisheria. Amua kama mtajaribu kwa zana za kiotomatiki pamoja na watumiaji halisi wa teknolojia saidizi, na kama mtaandika uzingatiaji kwenye VPAT kwa wanunuzi wanaoihitaji. Leta kiolesura kimoja kinachosafirishwa na mfanye duru ya kibodi-tu na kisomaji skrini kwenye mkutano, kwa sababu mapengo mtakayopata ni matokeo ya ukaguzi ambayo mngeyapata baadaye. Kwa kazi ya serikali uzingatiaji huu ni sharti la ununuzi, kwa hiyo uchukulie kama lango, si kazi ya usafi.

4. Nani anamiliki kila kidhibiti na kila ukubali wa hatari, na je, vighairi vyenu vina wamiliki na tarehe za kuisha? Utawala ndio unaogeuza uzingatiaji kutoka mbio za kila mwaka kuwa sifa ya kudumu, na unashindwa kimyakimya kidhibiti kikiwa na nyaraka lakini hakina mmiliki anayewajibika, au ukubali wa hatari uliotolewa “kwa muda” ukidumu kwa miaka. Amua nani anaidhinisha kila kidhibiti, nani anapitia vighairi, na jinsi mapengo yanavyopata mmiliki na tarehe ya mwisho badala ya kudumu kimyakimya kwenye lahajedwali. Vuta linaloshindana ni kasi dhidi ya uwajibikaji: kutaja wamiliki na kutekeleza kuisha kunapunguza kasi ya watu, lakini vidhibiti visivyo na mmiliki huteleza na vighairi visivyo na kikomo huwa matokeo yanayozamisha ukaguzi. Leta rejista yenu ya sasa ya vighairi na kagua ni maingizo mangapi yana mmiliki aliyetajwa na tarehe hai ya kuisha, kwa sababu nafasi tupu ni hatari yenu inayojilimbikiza. Kwa shirika kubwa hili ni wigo wa udhibiti kuvuka timu nyingi, na kwa serikali afisa anayewajibika na ukubali ulioandikwa wa hatari ni mabaki ya ukaguzi ambayo mhakiki atadai.

5. Wajibu wa uhifadhi wa kumbukumbu unapogongana na haki za kufutwa kwa faragha, mnatatuaje mgongano, na je, utatuzi huo umeandikwa? Wajibu huu kweli unagongana: sheria inaweza kuhitaji uhifadhi wa rekodi kwa miaka huku mhusika wa data akitumia haki ya kusahaulika, na mhandisi anayeboresha kufuta papo hapo anaweza kukiuka ratiba ya uhifadhi kwa urahisi kama vile zuio pana kupita kiasi linavyoweza kukiuka sheria ya faragha. Amua sheria za kutangulia mapema, darasa kwa darasa la rekodi, na uandike jinsi zuio la kisheria, kuficha sehemu, au kighairi cha msingi halali kinavyobatilisha ombi la kufuta. Mvutano wa kupima ni uwazi na haki za mtu binafsi dhidi ya uhifadhi wa kisheria na uwezo wa kujibu ombi la FOIA au ugunduzi ndani ya ratiba ya kisheria. Leta ratiba yenu ya uhifadhi na ombi moja halisi la kufuta, na mpitie njia halisi ya uamuzi kwenye mkutano. Kwa serikali dau ni kubwa zaidi, kwa sababu tarehe za mwisho za majibu ya FOIA, sheria ya uondoaji wa kumbukumbu, na haki za faragha vyote hubeba nguvu za kisheria kwa wakati mmoja, na upatanisho lazima uweze kutetewa mbele ya zaidi ya mdhibiti mmoja.

6. Mnajenga uwezo wa uzingatiaji ndani au mnanunua, na je, uchaguzi huo unalingana na vyeti vinavyofunga mapato yenu kweli? Msingi usio wa kuvutia wa uzingatiaji endelevu ni wafanyakazi na zana, na mipango hushindwa kidogo kwenye mfumo kuliko kukosa mtu wa kuendesha jukwaa la GRC, kutoa ushahidi wa vidhibiti, au kutafsiri utawala mpya. Amua kwa makusudi sehemu zipi mnaziajiri ndani, zipi mnanunua kama jukwaa la utawala, hatari, na uzingatiaji, na wapi mnaleta washauri kwa idhini mahususi, kisha linganisha na vyeti vinavyofungua mauzo halisi. Biashara ni muktadha wa kina wa ndani na udhibiti dhidi ya gharama na wataalamu adimu ambao kazi kamili ya uzingatiaji inadai, dhidi ya utegemezi wa muuzaji na ada zinazojirudia mkinunua. Leta orodha ya vyeti vilivyofungwa kwa mikataba iliyo wazi, gharama halisi ya mbio za ukaguzi za mkono, na mapengo yenu ya sasa ya wafanyakazi. Kwa shirika kubwa hii ni uchumi wa jalada kuvuka ukaguzi mwingi, na kwa serikali muda mrefu wa kuandaa idhini na uthibitisho unamaanisha uwezo usioweza kuajiri katika dirisha husika ni mkataba usioweza kushinda.

Mtazamo wa sekta

Kampuni changa. Fuata tu cheti kinachofungua mkataba ulio mbele yako, mara nyingi SOC 2, na ukifikie kwa zana ya uotomatishaji wa uzingatiaji badala ya kuajiri. Andika vidhibiti vichache unavyoweza kuvidumisha kweli, unganisha ukusanyaji wa ushahidi na wingu lako na msimbo tangu siku ya kwanza, na ruka mifumo ambayo hakuna mteja bado anayeiomba. Ripoti ya Aina ya I iliyopatikana kwa mazoea halisi ni bora kuliko faili la sera za matamanio ambazo hutazifuata kamwe.

Biashara ndogo. Bila mtaalamu maalumu wa uzingatiaji na bajeti finyu, egemea jukwaa la utawala, hatari, na uzingatiaji au mshauri wa muda badala ya kuanzisha kazi nzima. Pendelea vyeti ambavyo wanunuzi wako wanahitaji kweli kuliko ukuta wa nembo, na uchukulie uhifadhi wa kumbukumbu na ufikiaji kama orodha hakiki madhubuti badala ya programu. Nunua ulinganishaji na uotomatishaji wa ushahidi badala ya kuvijenga, kwa sababu muda wako adimu wa kihandisi unatumika vizuri zaidi kwenye bidhaa.

Biashara kubwa. Kazi ni utawala wa jalada kuvuka timu nyingi: maktaba moja iliyounganishwa ya vidhibiti iliyochorwa kwa SOC 2, ISO 27001, HIPAA, na PCI-DSS, na ushahidi unaokusanywa kiotomatiki kwenye hifadhi ya pamoja. Taja wamiliki kwa kila kidhibiti na kila ukubali wa hatari, tekeleza kuisha kwa vighairi, na simamia vyeti kama jalada ili kuongeza kinachofuata kuwe na gharama ndogo. Weka bajeti ya zana za GRC na kalenda ya ukaguzi waziwazi, na uweke uzingatiaji kama sifa ya hali thabiti badala ya zoezi la dharura la kila mwaka.

Serikali. Kanuni za ununuzi, uwazi, na uwajibikaji wa umma huumba kila uchaguzi. Chukulia idhini ya FedRAMP au FISMA kama wajibu endelevu wenye Mpango wa Usalama wa Mfumo hai na ufuatiliaji endelevu, si msukumo wa siku ya uzinduzi, na ushikilie uzingatiaji wa WCAG AA na Section 508 kama malango ya ununuzi. Timiza tarehe za mwisho za uondoaji wa kumbukumbu na FOIA kwa ratiba za kisheria, zipatanishe kwa maandishi na haki za kufutwa kwa faragha, na umweke afisa anayewajibika kwa kila kidhibiti chenye matokeo.

Mifano

Kampuni changa. Kampuni changa ya SaaS ya hatua ya mbegu inagundua mkataba wake wa kwanza wa shirika kubwa umekwama kwa ripoti ya SOC 2 ambayo haina, kwa hiyo inaanza kidogo: inawasha zana ya uotomatishaji wa uzingatiaji inayofuatilia wingu na msimbo wake, na kuandika vidhibiti vichache inavyoweza kuvidumisha kweli badala ya sera za matamanio ambazo ingezipuuza. Kwa kukusanya ushahidi kiotomatiki tangu mwanzo, ikijumuisha mapitio ya ufikiaji, nakala rudufu, na idhini za mabadiliko, inafikia ripoti ya Aina ya I ndani ya wiki badala ya robo ya hofu ya picha za skrini. Kuchukulia vidhibiti hivyo kama mazoea halisi badala ya maigizo ya ukaguzi kunamaanisha cheti kinaakisi jinsi timu inavyofanya kazi kweli na kufungua mapato waliyoyafuata.

Biashara kubwa. Muuzaji wa programu za wingu anajenga mfumo mmoja wa vidhibiti uliochorwa kwa SOC 2, ISO 27001, HIPAA, na PCI-DSS. Ushahidi (mapitio ya ufikiaji, uchanganuzi wa udhaifu, idhini za mabadiliko, uthibitishaji wa nakala rudufu) unakusanywa kiotomatiki kwenye jukwaa la GRC (utawala, hatari, na uzingatiaji), kwa hiyo kila ukaguzi wa mwaka unatoa kutoka hifadhi hai ya ushahidi badala ya mwezi wa haraka wa picha za skrini. Kwa kuwa vidhibiti vinachorwa kuvuka mifumo, kuongeza ISO 27001 baada ya SOC 2 kulihitaji kazi ndogo ya ziada, na kampuni inaweza kuwakabidhi wanunuzi wa mashirika makubwa uthibitisho wa sasa unapohitajika, ikifupisha mizunguko ya mauzo.

Serikali. Mkandarasi anayefuata usambazaji wa wingu wa shirikisho anaainisha mfumo wake kama FISMA ya wastani, anachagua vidhibiti vinavyolingana vya NIST SP 800-53, na anafanya kazi kuelekea idhini ya FedRAMP kwa Mpango wa Usalama wa Mfumo na POA&M inayofuatilia mapengo yaliyobaki. Akishughulikia Taarifa Zisizo za Siri Zinazodhibitiwa, anatimiza pia NIST SP 800-171 na kiwango kinachotumika cha CMMC kwa kazi yake ya ulinzi. Kila kiolesura kinachomkabili raia kinazingatia WCAG AA kutosheleza Section 508, kikiandikwa kwenye VPAT. Kumbukumbu zinafuata ratiba za kisheria za uhifadhi na zinatafutika kutimiza tarehe za mwisho za majibu ya FOIA, huku ufuatiliaji endelevu ukidumisha idhini kwa wakati.

Kesi ya biashara: sababu, ROI, na TCO

Uzingatiaji si wa kawaida miongoni mwa uwekezaji wa usalama kwa sababu ROI yake mara nyingi ni mapato ya moja kwa moja, si hasara iliyoepukwa tu. Bila vyeti na idhini sahihi, masoko mazima yamefungwa tu. SOC 2 hufungua mikataba ya mashirika makubwa; FedRAMP hufungua ya shirikisho; HIPAA na PCI-DSS hufungua afya na malipo. Jumla ya gharama ya umiliki inajumuisha ada za ukaguzi, zana za GRC, wafanyakazi wa uzingatiaji au washauri, na muda wa kihandisi wa kutekeleza na kutoa ushahidi wa vidhibiti, pamoja na gharama kubwa sana ya kufuata idhini za serikali. Lakini gharama ya kutozingatia ni kupoteza biashara kabisa, pamoja na faini, vikwazo, na kusitishwa kwa mikataba kunakofuata ukiukaji, ambavyo vinaweza kufikia asilimia kubwa ya mapato.

Kiegemeo cha ufanisi ni mfumo mmoja wa vidhibiti wenye ushahidi endelevu, wa kiotomatiki. Hupunguza kwa kiasi kikubwa gharama ya ziada ya kila cheti cha ziada, na hubadilisha ukaguzi kutoka zoezi la dharura la gharama kuwa ukaguzi wa kawaida dhidi ya hifadhi hai ya ushahidi. Unapoweka kesi kwa uongozi, weka uzingatiaji kama kuwezesha mapato na kupunguza hatari kwa pamoja. Pima kwa namba bomba la mauzo linalohitaji kila cheti, gharama ya ukaguzi ulioshindwa au idhini iliyopotea, na akiba kutoka uotomatishaji dhidi ya mbio za mkono zisizoisha. Kwa wakandarasi wa serikali, sisitiza kwamba idhini ndiyo lango la mkataba, na kwamba ufuatiliaji endelevu ndio unaoweka lango wazi.

Mifumo mibaya na mitego

• Mbio zinazoendeshwa na ukaguzi. Kutofanya chochote hadi ukaguzi unakaribia, kisha kukusanya ushahidi kwa hofu na kuruhusu vidhibiti viteleze kati ya ukaguzi.
• Uzingatiaji wa nukta moja ya wakati. Kupita ukaguzi, kisha kuacha vidhibiti hadi mwaka ujao.
• Visiwa vya mifumo. Kusimamia kila cheti tofauti, kurudia juhudi badala ya kuchora vidhibiti mara moja.
• Maigizo ya uzingatiaji. Nyaraka na picha za skrini zinazomridhisha mkaguzi lakini hazionyeshi kidhibiti halisi.
• Ufikiaji kama wazo la baadaye. Kubana ufikiaji kuchelewa, kuzalisha matokeo duni na yasiyozingatia na mfiduo wa kisheria.
• Kupuuza wajibu wa kumbukumbu. Kushindwa wajibu wa uhifadhi na FOIA hadi ombi la kisheria lifichue pengo.
• Kuchukulia ATO kama ya mara moja. Kupata idhini, kisha kupuuza ufuatiliaji endelevu unaoweka idhini halali.
• Kuchanganya uzingatiaji na usalama. Kupita ukaguzi si sawa na kuwa salama; uzingatiaji ni sakafu, si dari.

Kielelezo cha ukomavu

Ngazi ya 1: Kuanzisha. Uzingatiaji ni wa kuitikia na wa papo hapo. Hakuna mfumo wa vidhibiti. Ushahidi unakusanywa kwa mkono chini ya shinikizo la tarehe ya mwisho, mfumo kwa mfumo. Ufikiaji na wajibu wa kumbukumbu havizingatiwi sana. Matokeo na karibu-makosa ni ya mara kwa mara, na kila ukaguzi ni mbio mpya.

Ngazi ya 2: Kuendeleza. Mifumo muhimu inatambuliwa na baadhi ya vidhibiti na sera vimeandikwa, lakini mazoea hayana uthabiti kuvuka timu: kikundi kimoja kinaendesha mapitio ya ufikiaji huku kingine hakifanyi. Ukaguzi unapita, lakini kwa juhudi nzito ya mkono tu. Ufikiaji unazingatiwa kuchelewa, na uhifadhi wa msingi wa kumbukumbu upo katika mifuko bila ratiba iliyounganishwa.

Ngazi ya 3: Kusawazisha. Maktaba moja ya vidhibiti imeandikwa na inachora viwango vikuu, kwa hiyo kutekeleza kidhibiti kimoja kunathibitisha kadhaa kwa wakati mmoja, na inatekelezwa shirika zima badala ya timu kwa timu. Ufikiaji umejengwa ndani ya usanifu na majaribio na uzingatiaji umeandikwa kwenye VPAT. Usimamizi wa kumbukumbu na, kwa serikali, utayari wa FOIA vimeanzishwa, na idhini zinafuatwa kwa Mpango wa Usalama wa Mfumo na POA&M.

Ngazi ya 4: Kusimamia. Programu ya uzingatiaji inapimwa dhidi ya vipimo vya msingi na malengo, si kuandikwa tu. Shirika linafuatilia ufikiaji wa vidhibiti, usafi wa ushahidi, muda wa kukusanya ushahidi, matokeo ya ukaguzi yaliyo wazi na umri wake, idadi ya vighairi na ufuasi wa kuisha, muda wa wastani wa kurekebisha pengo, na viwango vya uzingatiaji wa ufikiaji, kisha kuvipitia dhidi ya vipimo vya msingi vya kipindi kilichopita. Ukubali wa hatari una wamiliki, tarehe za kuisha, na vipimo; kuteleza kunagunduliwa kutoka dashibodi badala ya kugunduliwa kwenye ukaguzi; na maamuzi ya kwenda/kutokwenda juu ya cheti kipya yanategemea utayari uliopimwa.

Ngazi ya 5: Kuratibu. Uzingatiaji endelevu ni hali thabiti, wenye ushahidi wa kiotomatiki wa kila wakati na vizuizi vya uzingatiaji-kama-msimbo vinavyotekeleza na kuthibitisha vidhibiti wakati wa usambazaji. Kuongeza cheti kipya ni gharama ndogo kwa sababu mfumo uliounganishwa tayari unafunika sehemu kubwa yake. Ufuatiliaji endelevu unadumisha idhini bila kupitwa, uzingatiaji umeunganishwa na upangaji wa biashara na hatari, na shirika hurekebisha vidhibiti mapema kanuni na vitisho vinapohama, likibaki tayari kwa ukaguzi wakati wowote.

Mawazo ya kujadili

1. Vyeti vipi vinafungua mapato kweli kwa shirika lenu, na kwa kipaumbele gani?
2. Mnajengaje ulinganishaji wa kuunganisha vidhibiti bila kugeuka mzigo wake wa kiukiritimba?
3. Ingehitaji nini kufanya shirika lenu liwe tayari kwa ukaguzi wakati wowote badala ya wakati wa ukaguzi?
4. Mnapatanishaje wajibu wa uhifadhi wa kumbukumbu na haki za kufutwa kwa faragha zinapogongana?
5. Mnazuiaje uzingatiaji usishuke kuwa maigizo yanayowaridhisha wakaguzi lakini hayaakisi kidhibiti halisi?
6. Kwa kazi ya serikali, mnadumishaje ufuatiliaji endelevu ili idhini zisipitwe kamwe?

Mambo muhimu ya kukumbuka

• Uzingatiaji mara nyingi ni leseni ya kufanya kazi: bila hiyo, masoko mazima yamefungwa.
• Jenga mfumo mmoja uliounganishwa wa vidhibiti uliochorwa kwa viwango vingi, na uchore vidhibiti mara moja.
• Tawala za serikali (FISMA, FedRAMP, NIST 800-53/171, CMMC, viwango vya athari) ni kali na hazijadiliki.
• Ufikiaji (Section 508, ADA, WCAG, EN 301 549) ni agizo la kisheria, si pambo la hiari.
• Hama kutoka mbio za ukaguzi za mara kwa mara hadi uzingatiaji endelevu wenye ushahidi wa kiotomatiki.
• Usimamizi wa kumbukumbu na FOIA hubeba wajibu halisi wa kisheria, hasa katika serikali.
• Kupita ukaguzi ni sakafu, si uthibitisho wa usalama; uzingatiaji na usalama vinahusiana lakini ni tofauti.

Marejeo na usomaji zaidi

• National Institute of Standards and Technology, SP 800-53: Security and Privacy Controls
• National Institute of Standards and Technology, SP 800-171: Protecting Controlled Unclassified Information
• National Institute of Standards and Technology, Cybersecurity Framework (CSF)
• ISO/IEC 27001, Information Security Management Systems
• AICPA, SOC 2 Trust Services Criteria
• PCI Security Standards Council, Payment Card Industry Data Security Standard
• US General Services Administration, FedRAMP documentation; Section 508 standards
• W3C, Web Content Accessibility Guidelines (WCAG); ETSI EN 301 549