Zgodność z normami, np. ISO 27001, HIPAA, PCI DSS, RODO (GDPR) czy SOC 2 sprawia, że firma zwiększa bezpieczeństwo danych, wymyka się konkurencji, zyskuje wiarygodność w oczach klientów i staje się zaufanym partnerem biznesowym. Co prawda, zanim organizacja będzie cieszyła się z tych benefitów, w pierwszej kolejności musi dobrze zrozumieć przepisy, dokonać autorefleksji na temat swojej infrastruktury IT, stworzyć listę zakupów odpowiedniego oprogramowania oraz wdrożyć właściwe polityki bezpieczeństwa.
Opisany w skrócie proces może wydawać się skomplikowany, ale zdecydowanie jest wart zachodu. Firma, która decyduje się na wdrożenie danej normy powinna najmocniej skupić się na przeglądzie swojej własnej infrastruktury, ponieważ ten krok pomoże się ukierunkować i namierzyć wszelkie braki. Więcej o samodzielnym przeprowadzaniu audytów piszemy w tej publikacji. W tym artykule postaramy się udowodnić, że nieocenionym wsparciem może się okazać automatyzacja zgodności, a pomoże w tym platforma od firmy Vanta.
Czym jest automatyzacja zgodności?
W procesie automatyzacji zgodności wykorzystywane są takie technologie jak sztuczna inteligencja (AI), która pomaga w zbieraniu, organizowaniu i kategoryzacji informacji. Taki mechanizm działa na zasadzie sprawdzania stron trzecich pod kątem oceny ryzyka zgodnie z utworzonymi przez użytkownika kryteriami. Eliminuje to konieczność pracy ręcznej i pomaga skupić wszystkie kluczowe informacje w jednym miejscu. Wielu firmom automatyzacja może pomóc obniżyć koszty zapewnienia zgodności z normami i zmniejszyć obciążenie pracą.
Automatyzacja zgodności dzięki rozwiązaniu od Vanta
Celem firmy jest maksymalne uproszczenie implementacji przepisów danej normy przy pomocy zautomatyzowanego oprogramowania. Dzieje się to poprzez podłączenie swojej infrastruktury do platformy. Narzędzie można zintegrować z wieloma popularnymi aplikacjami, takimi jak Bitbucket, Confluence, Google Drive oraz dostarczycielami rozwiązań chmurowych w tym Amazon Web Services, Google Cloud Platform (GCP) czy Microsoft Azure.
Następnie trzeba zainstalować agenta Vanta na urządzeniach firmowych. Działa w tle, nie obciąża systemu i w czasie rzeczywistym monitoruje zgodność urządzeń z wymaganiami bezpieczeństwa, takimi jak szyfrowanie dysku, obecność programu antywirusowego czy blokada ekranu.
W platformie znajdziemy takie normy jak ISO 27001, SOC 2 czy RODO (GDPR). Do każdej z nich w zakładce Compliance utworzono listę przejrzystych punktów kontrolnych oraz szczegółowy wykaz poszczególnych wymagań prawnych. Dzięki temu zostaje znacznie uproszczony audyt środowiskowy i przygotowanie dokumentów. Użytkownik dokładnie wie, jakie dokumenty są wymagane i może na bieżąco monitorować postęp uzyskiwania zgodności z normami.
Testy
Kluczowym narzędziem jest zakładka Tests, która służy do monitorowania i oceny stanu bezpieczeństwa. Są w niej rejestrowane te aspekty, które wymagają uwagi lub poprawy, np. wskaże, którzy użytkownicy nie zainstalowali wieloskładnikowej autoryzacji (MFA) na swoim urządzeniu. Narzędzie oferuje także możliwość utworzenia własnych testów dostosowanych do specyficznych potrzeb swojej firmy oraz przypisywania właścicieli danego procesu czy zadania.
Zarządzanie zasobami
Platforma od firmy Vanta pozwala także na zarządzanie zasobami, czyli tymi elementami infrastruktury IT, które są monitorowane i testowane pod kątem zgodności i bezpieczeństwa. Przykładami zasobów mogą być:
- Serwery
- Aplikacje
- Usługi chmurowe
Tworzenie polityk
Kolejnym użytecznym i pomocnym narzędziem są Policies. Wiele norm i dyrektyw stwarza konieczność utworzenia polityk bezpieczeństwa, np. standardy takie jak ISO/IEC 27001 czy RODO (GDPR).
Vanta oferuje gotowe szablony polityk stworzone oraz aktualizowane przez ekspertów ds. bezpieczeństwa. Dotyczą tego, co najważniejsze, czyli dostępu, zarządzania danymi czy reagowania na incydenty. Co więcej, użytkownik może dostosowywać te szablony do indywidualnych potrzeb swojej organizacji. Możliwa jest edycja treści polityk, aby odzwierciedlały specyficzne wymagania firmy i spełniały konkretne standardy zgodności.
Dokumenty
W tej zakładce znajduje się repozytorium dla dokumentów koniecznych dla danej dyrektywy. Użytkownik otrzymuje możliwość przesyłania ich z SharePoint, Confluence lub dowolnego narzędzia używanego do przechowywania plików. Jeśli znajdują się na jakiejś stronie internetowej, jest możliwość dodania linku do tego konkretnego adresu URL.
Kluczowa funkcja tej zakładki to ustawienie daty odnowienia. Niektóre z dokumentów z czasem lub wraz ze zmianami prawnymi przestają obowiązywać. Platforma zatem pozwala na ustawienie harmonogramu oraz przypomnień o zbliżającej się dacie odnowienia.
Użytkownik otrzyma powiadomienia za pośrednictwem poczty e-mail, Slack lub Teams w zależności od tego, z jakim komunikatorem zintegrował platformę Vanta.
Co ciekawe, platforma od Vanty oferuje osobny widok zarówno dla użytkownika zarządzającego jak i audytora, dlatego firm może podzielić się z kontrolerem tym, co dla niego konieczne.
Zarządzanie ryzykiem
Zdolność do zarządzania ryzykiem to jeden z ważniejszych filarów uzyskiwania zgodności, którą trzeba wykazać przed audytorem. Platforma Vanta także pomoże w tym obszarze. W konsoli w sekcji Risks znajduje się zestawienie ryzyk organizacyjnych stworzonych na podstawie własnego rejestru ryzyka. Ogólnie rzecz biorąc, jest to lista wszystkich scenariuszy, które potencjalnie mogą wystąpić w organizacji.
Firma może zaimplementować własny rejestr ryzyk, ale jeśli nie ma pojęcia, jak zabrać się do tematu, w platformie znajduje się biblioteka ryzyk utworzona przez Vantę. Jest dostępna w formie edytowalnej i użytkownik może ją dowolnie modyfikować. Taka lista pomoże ukierunkować sposób myślenia o potencjalnych zagrożeniach dla organizacji.
Po utworzeniu rejestru ryzyka, użytkownik może odpowiedzieć sobie na kilka podstawowych pytań:
- Czy to konkretne ryzyko ma wysokie prawdopodobieństwo wystąpienia?
- Jaki jest wpływ tego ryzyka?
- Czy mamy plan reakcji na to ryzyko?
- Czy chcemy to ryzyko załagodzić, przenieść, uniknąć go czy je zaakceptować?
- Czy istnieją zdefiniowane i obowiązujące mechanizmy kontrolne, które pomogą w ograniczeniu tego konkretnego ryzyka?
- Jakie trzeba wykonać zadanie, aby złagodzić to ryzyko?
Odpowiedzi na te pytania można przełożyć na grunt platformy tak, aby jej działanie dobrze odzwierciedlało sytuację w organizacji.
Zarządzanie urządzeniami i przeglądy dostępu
Vanta pozwala na integrację z większością rozwiązań typu MDM (Mobile Device Management), co wspiera monitorowania urządzeń. Oznacza to, że w platformie można ustawić wymagania odnośnie do posiadania menedżera haseł, szyfrowania dysku, programu antywirusowego i blokady ekranu. Platforma ułatwia również przeprowadzenie przeglądów dostępu do aplikacji, takich jak AWS, co pozwala na zarządzanie rolami i dostępem użytkowników.
Centrum Zaufania i automatyzacja kwestionariuszy
To publiczna witryna internetowa, którą można udostępnić klientom. Prezentuje ona prace związane z zapewnieniem zgodności z przepisami. Klienci mają możliwość sprawdzić aktualny stan zgodności organizacji. W ramach Centrum Zaufania można także umieścić informacje o podprocesach, gromadzonych danych, często zadawanych pytaniach i cotygodniowych aktualizacjach.
Vanta automatyzuje także proces odpowiadania na kwestionariusze, co przyda się w organizacjach otrzymujących wiele pytań. W tym obszarze platforma wykorzystuje AI i uczenie maszynowe.
Automatyzacja zgodności a ludzie
Vanta umożliwia integrację z wybranym IDP (Identity Provider), co pozwala na wyświetlenie wszystkich użytkowników w organizacji oraz daty rozpoczęcia i terminy wykonania przypisanych im zadań. Użytkownicy są kluczowymi elementami zgodności regulacyjnej. To od nich zależy powodzenie w jej utrzymaniu. Platforma od firmy Vanta wspiera monitorowanie tego, czy użytkownicy zapoznali się z zasadami i je zaakceptowali.
Ponadto, Vanta umożliwia tworzenie szczegółowych grup oraz list kontrolnych, takich jak podwykonawcy, inżynierowie czy dział sprzedaży, które można zaimportować z IDP. Co za tym idzie, każda grupa użytkowników otrzymuje własny zestaw zasad do zaakceptowania.
Platforma umożliwia także utworzenie zadań dla pracowników opuszczających organizację.
Vanta oferuje także moduły szkoleniowe z zakresu bezpieczeństwa oraz możliwość tworzenia niestandardowych zadań. W dodatku, użytkownicy otrzymują powiadomienia e-mailowe o zadaniach do wykonania.
Automatyzacja zgodności lekiem na całe zło?
O utrzymanie zgodności trzeba dbać. To nie jest jednorazowy strzał, o którym później można zapomnieć. Przykładowo w kwestii ISO 27001, firma, która w przeszłości wdrożyła tę normę, po kilku latach może spodziewać się kontroli. Jej celem jest sprawdzenie czy dana organizacja nadal działa w zgodzie z przyjętymi przepisami. Wszechstronność platformy od firmy Vanta pod kątem monitoringu zgodności pomoże przygotować się także na taką okoliczność.
Redaktorka Net Complex Blog
