מסיכון לציות, כתהליך עבודה אחד

ביקורת של מצב הרגולציה בארגון הייתה תמיד שרשרת של שלבים נפרדים: הערכת סיכונים, סקירת ציות, דוח, ואז מאמץ ידני להפוך את כל זה למפת דרכים שמישהו באמת יכול לבצע. כל שלב עובר הלאה, מוקלד מחדש ומתפרש מחדש. עד שמפת הדרכים מגיעה למנהל אבטחת המידע (CISO), ההערכה שעליה היא נבנתה כבר אינה מעודכנת.

מטרת פלטפורמת S.E.T שמאחורי ה-ROC שלנו היא לכווץ את השרשרת הזו לקו אחד: זיהוי סיכונים, ניתוח פערים ותוכנית תיקון שמנהל אבטחת מידע, סמנכ"ל טכנולוגיות ודירקטוריון יכולים לקרוא באותו אופן.

תמונת סיכון אחת, מעודכנת

ניהול סיכונים הוא הבסיס של כל תוכנית GRC, ולכן זו נקודת ההתחלה שלנו. הפלטפורמה ממפה את מצב הארגון לרוחב התחומים שלו ושומרת על המפה הזו מעודכנת, במקום להקפיא אותה על יום ההערכה.

• זיהוי רציף. הסיכון נאסף ומנותח באופן שוטף, ולא משוחזר פעם ברבעון מהזיכרון ומגיליונות אקסל.
• ניתוח פערים מול התקן. כל סיכון שזוהה מותאם לבקרה שהוא מפֵר (ISO 27001, NIST, HIPAA, תיקון 13), כך שהפער נראה לעין ברגע שהוא נפער, ולא בשבוע שלפני הביקורת.

ההערכה לא נעצרת בממצאים

רשימת פערים אינה תוכנית. הערך טמון במה שבא אחר כך, ושם רוב ההערכות נגמרות בשקט.

• מדיניות ונהלים. הבקרות הנדרשות לסגירת כל פער מנוסחות מול התקן הספציפי, מוכנות לסקירה ולאימוץ במקום להיכתב מדף חלק.
• המשכיות והתאוששות. המשכיות עסקית והתאוששות מאסון נתפסות כחלק מהציות, ולא כקלסר נפרד שאף אחד לא בדק.
• מפת דרכים עם אחראים. התוצר הוא רצף של פעולות עם אחראים ולוחות זמנים: מה לעשות, באיזה סדר, ומי נושא באחריות.

מה נשאר אצל היועץ

שום דבר מכל זה אינו מחליף את היועץ. זה מסיר את החלקים של העבודה שמעולם לא היו המומחיות: מעבר בין כלים, תיעוד מחדש של אותו ממצא שלוש פעמים, הערכה מחדש מאפס בכל פעם שרגולציה זזה. שיקול הדעת נשאר אצל האדם: מה חשוב, מה לתעדף, ומה לומר לדירקטוריון. הפלטפורמה היא מה שמאפשר לאדם אחד לשאת יותר לקוחות בלי לשאת יותר עבודה פקידותית.