Auditui tinkamas ISO 27001 rizikos vertinimas NIS2 ir DORA kontekste

Kava ant Saros stalo buvo atšalusi.

Būdama sparčiai augančios fintech įmonės informacijos saugumo vadovė (CISO), ji buvo pripratusi prie spaudimo. Įmonė ką tik laimėjo svarbų bankinį partnerį, o deramo patikrinimo klausimynas jos ekrane turėjo būti tik formalumas. Pirmieji klausimai buvo pažįstami: pateikite ISO/IEC 27001:2022 Taikomumo pareiškimą, pasidalykite naujausiu rizikų registru, paaiškinkite rizikos vertinimo metodiką.

Tada klausimynas pasikeitė.

Parodykite, kaip jūsų rizikos valdymo programa apima DORA. Paaiškinkite pasirengimą NIS2 direktyvai, įskaitant vadovybės atskaitomybę ir tiekimo grandinės rizikos priemones. Pateikite įrodymus, kad kritiniai IRT tiekėjai yra vertinami, stebimi ir įtraukti į reagavimo į incidentus bei veiklos tęstinumo planus.

Iki pirmadienio ryto tas pats klausimas jau buvo valdybos rizikos komiteto darbotvarkėje. ISO 27001 sertifikavimo auditas – po aštuonių savaičių. DORA spaudimas iš finansų sektoriaus klientų. NIS2 klasifikavimo klausimai dėl debesijoje veikiančios paslaugų linijos, plečiamos į ES. Pirkimų skyrius teigė, kad tiekėjų peržiūros atliekamos, tačiau įrodymai išskaidyti el. laiškuose, sutarčių aplankuose ir tiekėjų skaičiuoklėje. Teisės funkcija nurodė, kad reglamentavimo susiejimas dar rengiamas. Inžinerijos komanda teigė, kad rizikų registras beveik baigtas.

Valdyba uždavė vienintelį svarbų klausimą:

Ar galime įrodyti, kad mūsų rizikos vertinimas ir rizikos tvarkymo planas yra pakankami?

Tai ir yra tikroji SaaS, fintech, valdomų paslaugų, debesijos ir skaitmeninių platformų įmonių problema. Ne tai, ar rizikų registras egzistuoja. Ne tai, ar Annex A kontrolės priemonės nukopijuotos į skaičiuoklę. Esminis klausimas – ar organizacija audito ir klientų spaudimo sąlygomis gali įrodyti, kad jos ISO 27001 rizikos vertinimo procesas yra pakartojamas, grindžiamas rizika, patvirtintas rizikos savininkų, susietas su tvarkymo veiksmais, susietas su teisiniais įpareigojimais ir realiai veikia operacinėje veikloje.

Tinkamai atliktas vienas ISO 27001 rizikos vertinimas ir vienas rizikos tvarkymo planas gali padėti pagrįsti ISO/IEC 27001:2022 sertifikavimą, NIS2 Article 21 kibernetinio saugumo rizikos valdymo priemones, DORA IRT rizikos valdymo reikalavimus, GDPR atskaitomybę, tiekėjų patikinimą, pasirengimą incidentams ir ataskaitų teikimą valdybai.

Prastai atliktas jis tampa skaičiuokle, kurią auditoriai išardys per trisdešimt minučių.

Šiame vadove parodoma, kaip Clarysec kuria auditui tinkamus ISO 27001 rizikos vertinimo ir rizikos tvarkymo įrodymus, naudodama Zenith Blueprint: auditoriaus 30 žingsnių veiksmų planą, Clarysec politikas ir Zenith Controls: kryžminės atitikties vadovą.

Kodėl ISO 27001 rizikos vertinimas tapo atitikties centru

ES reguliacinė aplinka artėja prie paprasto principo: kibernetinio saugumo rizika turi būti valdoma, dokumentuojama, testuojama ir turėti aiškų savininką.

ISO/IEC 27001:2022 jau veikia būtent taip. Clauses 4.1 to 4.4 reikalauja, kad organizacija prieš vertindama riziką suprastų savo kontekstą, suinteresuotąsias šalis, ISVS taikymo sritį ir procesų sąveikas. Clauses 6.1.2 and 6.1.3 reikalauja apibrėžto informacijos saugumo rizikos vertinimo ir rizikos tvarkymo proceso. Clauses 8.2 and 8.3 reikalauja, kad organizacija atliktų rizikos vertinimus ir įgyvendintų rizikos tvarkymo planą, išsaugodama dokumentuotą informaciją.

NIS2 ir DORA tą pačią rizika grindžiamą logiką padaro skubesnę.

NIS2 Article 20 reikalauja, kad esminių ir svarbių subjektų valdymo organai patvirtintų kibernetinio saugumo rizikos valdymo priemones, prižiūrėtų jų įgyvendinimą ir dalyvautų kibernetinio saugumo mokymuose. Article 21 reikalauja tinkamų ir proporcingų techninių, operacinių ir organizacinių priemonių tinklų ir informacinių sistemų rizikai valdyti. Šios priemonės apima rizikos analizę, incidentų valdymą, veiklos tęstinumą, tiekimo grandinės saugumą, saugų kūrimą, pažeidžiamumų tvarkymą, veiksmingumo vertinimą, kibernetinę higieną, kriptografiją, žmogiškųjų išteklių saugumą, prieigos kontrolę, turto valdymą ir, kai tinkama, daugiaveiksnį autentifikavimą arba saugią komunikaciją.

DORA panašų spaudimą taiko finansų subjektams. Articles 5 and 6 reikalauja, kad valdymo organas apibrėžtų, patvirtintų, prižiūrėtų IRT rizikos valdymo tvarką ir liktų už ją atsakingas. DORA tikisi dokumentuotos IRT rizikos valdymo sistemos, integruotos į bendrą rizikos valdymą ir palaikomos politikomis, procedūromis, protokolais, priemonėmis, vidaus auditu, taisomaisiais veiksmais, veiklos tęstinumu, testavimu, incidentų valdymu ir IRT trečiųjų šalių valdysena.

Praktinė išvada neišvengiama: rizikų registras nebėra techninės komandos darbalapis. Tai valdysenos įrodymas.

Clarysec įmonės Rizikos valdymo politika šį lūkestį įtvirtina aiškiai:

Formalus rizikos valdymo procesas turi būti palaikomas pagal ISO/IEC 27005 ir ISO 31000, apimant rizikų identifikavimą, analizę, vertinimą, tvarkymą, stebėseną ir komunikaciją.

Iš įmonės Rizikos valdymo politikos skyriaus „Valdysenos reikalavimai“, politikos nuostata 5.1.

Ta pati politika apibrėžia auditui tinkamą rezultatą:

Palaikyti centralizuotą, pagal versijų kontrolę valdomą rizikų registrą ir rizikos tvarkymo planą, atspindinčius esamą rizikos būseną, kontrolės priemonių aprėptį ir rizikos mažinimo pažangą.

Iš įmonės Rizikos valdymo politikos skyriaus „Tikslai“, politikos nuostata 3.3.

Ši formuluotė – „esamą rizikos būseną, kontrolės priemonių aprėptį ir rizikos mažinimo pažangą“ – skiria statinę atitikties bylą nuo įrodymais pagrindžiamos rizikos programos.

Pradėkite nuo taikymo srities, įpareigojimų ir rizikos kriterijų

Daugelis silpnų ISO 27001 rizikos vertinimų pradedami nuo kontrolės priemonių kontrolinio sąrašo. Tai neteisinga seka.

ISO 27001 reikalauja, kad organizacija prieš pasirinkdama kontrolės priemones nustatytų kontekstą, suinteresuotųjų šalių reikalavimus, ISVS taikymo sritį, vadovybės atsakomybes ir rizikos planavimą. ISO/IEC 27005:2022 tai sustiprina rekomenduodamas organizacijoms prieš rizikos vertinimą nustatyti pagrindinius suinteresuotųjų šalių reikalavimus. Šie reikalavimai gali kilti iš ISO standartų, sektoriaus reglamentų, nacionalinių teisės aktų, klientų sutarčių, vidaus politikų, ankstesnių rizikos tvarkymo veiklų ir tiekėjų įsipareigojimų.

ES rinkai veikiančiai SaaS arba fintech įmonei rizikos procesas turi prasidėti nuo atitikties ir įpareigojimų apskaitos.

MVĮ atveju Clarysec Teisinės ir reglamentavimo atitikties politika – MVĮ nustato pradinį tašką:

Generalinis vadovas turi palaikyti paprastą, struktūruotą Atitikties registrą, kuriame nurodoma:

Iš MVĮ Teisinės ir reglamentavimo atitikties politikos skyriaus „Valdysenos reikalavimai“, politikos nuostata 5.1.1.

Toks paprastas registras yra tiltas tarp atitikties ir rizikos valdymo. Jei jame nurodyta, kad GDPR taikomas dėl tvarkomų ES asmens duomenų, kad NIS2 gali būti taikoma, nes organizacija teikia skaitmenines arba valdomas paslaugas, arba kad DORA aktuali per finansų sektoriaus klientus, šie įpareigojimai turi daryti įtaką rizikos kriterijams ir rizikos tvarkymo prioritetams.

Zenith Blueprint apie tai Rizikos valdymo fazės 10 žingsnyje „Rizikos kriterijų ir poveikio matricos nustatymas“ kalba tiesiogiai:

Priėmimo kriterijuose taip pat įvertinkite teisinius ir reglamentavimo reikalavimus. Kai kurios rizikos gali būti nepriimtinos neatsižvelgiant į tikimybę dėl teisės aktų.

Iš Zenith Blueprint, Rizikos valdymo fazė, 10 žingsnis.

Jame taip pat pateikiama praktinė taisyklė dirbtuvėms:

„Bet kuri rizika, galinti lemti taikomų teisės aktų (GDPR ir kt.) nesilaikymą, nėra priimtina ir turi būti mažinama.“

Iš Zenith Blueprint, Rizikos valdymo fazė, 10 žingsnis.

Saros fintech įmonei tai keičia balų modelį. Tiekėjo API pažeidžiamumo tikimybė gali būti maža, tačiau jei jo išnaudojimas galėtų sukelti DORA reikšmingą su IRT susijusį incidentą, NIS2 reikšmingą incidentą, GDPR pažeidimo vertinimą, kliento SLA nevykdymą arba valdybos lygmens eskalavimą, poveikis yra didelis arba kritinis. Atitikties ekspozicija tampa rizikos logikos dalimi, o ne atskira skaičiuokle.

Sukurkite rizikų registrą, kurį auditoriai gali patikrinti

Auditoriai klausia ne tik, kokios yra jūsų svarbiausios rizikos. Jie tikrina, ar metodas apibrėžtas, pakartojamas, atsekamas ir taikomas.

Jie klaus:

• Kaip identifikavote šias rizikas?
• Kuris turtas, paslaugos, tiekėjai, duomenų tipai ir procesai buvo taikymo srityje?
• Kokie kriterijai taikyti tikimybei ir poveikiui?
• Kas yra kiekvienos rizikos savininkas?
• Kokios esamos kontrolės priemonės mažina riziką?
• Kodėl pasirinktas konkretus rizikos tvarkymo sprendimas?
• Kur yra įrodymai, kad rizikos tvarkymas buvo įgyvendintas?
• Kas patvirtino liekamąją riziką?
• Kada rizika bus vertinama pakartotinai?

Clarysec Rizikos valdymo politika – MVĮ apibrėžia minimalią auditui tinkamą rizikos įrašo sudėtį:

Kiekviename rizikos įraše turi būti: aprašymas, tikimybė, poveikis, balas, savininkas ir rizikos tvarkymo planas.

Iš MVĮ Rizikos valdymo politikos skyriaus „Valdysenos reikalavimai“, politikos nuostata 5.1.2.

Įmonių programoms Zenith Blueprint Rizikos valdymo fazės 11 žingsnyje „Rizikų registro kūrimas ir dokumentavimas“ išplečia struktūrą. Jame rekomenduojami tokie stulpeliai kaip rizikos ID, turtas, grėsmė, pažeidžiamumas, rizikos aprašymas, tikimybė, poveikis, rizikos lygis, esamos kontrolės priemonės, rizikos savininkas, rizikos tvarkymo sprendimas, rizikos tvarkymo planas arba kontrolės priemonės ir būsena.

Stiprus rizikos įrašas atrodo taip:

Tai iš esmės skiriasi nuo „Trečiosios šalies rizika, aukšta, mažinti“. Auditui tinkama versija susieja turtą, grėsmę, pažeidžiamumą, pasekmę, esamas kontrolės priemones, savininką, reglamentavimą, įrodymus ir valdyseną.

Paverskite rizikos tvarkymą įrodymų planu

Rizikos tvarkymo planas turi atsakyti į keturis operacinius klausimus:

1. Ką darysime?
2. Kas už tai atsako?
3. Kada tai bus atlikta?
4. Kaip įrodysime, kad rizika sumažėjo?

ISO/IEC 27001:2022 Clause 6.1.3 reikalauja, kad organizacija pasirinktų rizikos tvarkymo parinktis, nustatytų būtinas kontrolės priemones, palygintų jas su Annex A, kad išvengtų praleidimų, parengtų Taikomumo pareiškimą, suformuluotų rizikos tvarkymo planą ir gautų rizikos savininko patvirtinimą dėl plano ir liekamųjų rizikų. Clause 8.3 tada reikalauja įgyvendinti rizikos tvarkymo planą ir saugoti dokumentuotą informaciją apie rezultatus.

Įmonės Rizikos valdymo politika tai sukonkretina:

Rizikos pareigūnas turi užtikrinti, kad rizikos tvarkymo priemonės būtų realistiškos, terminuotos ir susietos su ISO/IEC 27001 Annex A kontrolės priemonėmis.

Iš įmonės Rizikos valdymo politikos skyriaus „Politikos įgyvendinimo reikalavimai“, politikos nuostata 6.4.2.

MVĮ politika taip pat paaiškina, kad rizikos priėmimas nėra trumpasis kelias:

Priimti: pagrįsti, kodėl papildomų veiksmų nereikia, ir įrašyti liekamąją riziką.

Iš MVĮ Rizikos valdymo politikos skyriaus „Politikos įgyvendinimo reikalavimai“, politikos nuostata 6.1.1.

Priėmimas turi būti pagrįstas kriterijais, patvirtintas tinkamo savininko ir stebimas. Pagal NIS2 ir DORA nepatvirtinta liekamoji rizika gali tapti valdysenos nesėkme.

Išsamus rizikos tvarkymo planas turi apimti šiuos laukus:

Saros R-042 atveju rizikos tvarkymo planas tampa kryžminės atitikties veiksmų sąrašu.

Šis planas veiksmingas todėl, kad sukuria tiesioginę liniją nuo vieno rizikos scenarijaus iki ISO 27001 kontrolės priemonių, NIS2 įpareigojimų, DORA straipsnių, savininkų ir įrodymų.

Priverskite Taikomumo pareiškimą dirbti daugiau

Taikomumo pareiškimas dažnai traktuojamas kaip sertifikavimo artefaktas. Jis turi būti daugiau nei tai.

ISO/IEC 27001:2022 Clause 6.1.3 reikalauja, kad SoA apimtų būtinas kontrolės priemones, įtraukimo pagrindimą, įgyvendinimo būseną ir neįtraukimo pagrindimą. ISO/IEC 27005:2022 gairės sustiprina poreikį palyginti pasirinktas kontrolės priemones su ISO/IEC 27001 Annex A, kad būtų išvengta praleidimų.

Auditui tinkamoje programoje SoA tampa tiltu tarp rizikos tvarkymo ir kryžminės atitikties įrodymų. Jei rizikos tvarkymo planas reikalauja MFA, žurnalavimo, tiekėjų stebėsenos, atsarginių kopijų atkūrimo, saugaus kūrimo, incidentų eskalavimo arba pasitraukimo iš debesijos planavimo, SoA turi parodyti, kad atitinkamos Annex A kontrolės priemonės yra įtrauktos, pagrįstos, įgyvendintos arba suplanuotos ir patvirtintos įrodymais.

Tai taip pat padeda išvengti dažnos audito nesėkmės: rizikų registras sako viena, rizikos tvarkymo planas – kita, o SoA tyli. Kai šie artefaktai nesutampa, auditoriai greitai praranda pasitikėjimą.

ISO 27001 rizikos tvarkymo susiejimas su NIS2, DORA ir GDPR

ISO 27001 nepakeičia NIS2, DORA ar GDPR. Jis suteikia struktūruotą mechanizmą šiems reikalavimams pagrįsti įrodymais.

Svarbiausia – susiejimą įtraukti į rizikos procesą, o ne pridėti vėliau.

Šis susiejimas ypač svarbus ten, kur reglamentai persidengia. DORA daugeliui finansų subjektų yra sektoriui būdingas IRT atsparumo režimas, o NIS2 gali išlikti tiesiogiai aktuali tam tikriems paslaugų teikėjams, koordinavimui arba subjektams, nepatenkantiems į DORA taikymo sritį. Fintech įmonei DORA gali būti pagrindinė IRT atsparumo sistema, o valdomų paslaugų teikėjas, aptarnaujantis tą fintech įmonę, gali tiesiogiai susidurti su NIS2 įpareigojimais.

Rizikų registras turi gebėti parodyti abi šios priklausomybės puses.

Naudokite Zenith Controls kaip kryžminės atitikties kompasą

Clarysec naudoja Zenith Controls kaip kryžminės atitikties vadovą, kad išvengtų dažnos nesėkmės, kai ISO kontrolės priemonės, reglamentavimo straipsniai ir audito klausimai gyvena atskiruose pasauliuose. Tai nesukuria atskiros kontrolės priemonių sistemos. Jis susieja ISO/IEC 27001:2022 ir ISO/IEC 27002:2022 kontrolės sritis su kitais standartais, audito lūkesčiais ir atitikties perspektyvomis.

ISO 27001 rizikos vertinimui ir rizikos tvarkymui ypač svarbios šios nuorodos:

Kryžminės atitikties pamoka paprasta. Jei teisiniai įpareigojimai nėra rizikos vertinimo metode, jūsų balų skyrimas yra neišsamus. Jei balų skyrimas neišsamus, rizikos tvarkymo prioritetai gali būti klaidingi. Jei prioritetai klaidingi, SoA ir ataskaitų teikimas valdybai tampa nepatikimi.

Zenith Blueprint tą pačią mintį pateikia Rizikos valdymo fazės 14 žingsnyje „Rizikos tvarkymo politikos ir reglamentavimo kryžminės nuorodos“. Jame organizacijoms rekomenduojama sukurti susiejimo lentelę, kurioje būtų išvardyti pagrindiniai reglamentavimo saugumo reikalavimai ir atitinkamos ISVS kontrolės priemonės arba politikos. Tai nėra privaloma ISO 27001 sertifikavimui, tačiau labai naudinga įrodant, kad saugumas valdomas teisinių ir sutartinių įsipareigojimų kontekste.

Ko klaus skirtingi auditoriai

Sertifikavimo auditorius, NIS2 vertintojas, į DORA orientuotas klientas, GDPR vertintojas, NIST vertintojas arba COBIT specialistas gali nagrinėti tuos pačius įrodymus, tačiau klausti skirtingų klausimų.

Todėl įrodymų architektūra yra svarbi. Tas pats rizikos įrašas turi būti atsekamas nuo verslo tikslo iki turto, grėsmės, pažeidžiamumo, kontrolės priemonės, savininko, reglamentavimo veiksnio, rizikos tvarkymo veiksmo, testo rezultato ir vadovybės sprendimo.

Clarysec politikos sukurtos šiai architektūrai palaikyti. Įmonės Rizikos valdymo politika skyriuje „Pamatiniai standartai ir sistemos“ nurodo:

Article 5: reikalauja dokumentuotos IRT rizikos valdymo sistemos, kurią visiškai apima šios politikos struktūra, įskaitant SoA susiejimą ir KRI.

Tai paverčia politiką iš statinio dokumento audito įrodymu, rodančiu, kad IRT rizikos valdysena sąmoningai sukurta atsižvelgiant į DORA.

Dažnos išvados, kurios suardo rizikos programas

Kai Clarysec peržiūri ISO 27001 rizikos vertinimo ir rizikos tvarkymo įrodymus, tos pačios išvados kartojasi nuolat.

Pirma, rizikos kriterijai ignoruoja teisinį, reglamentavimo, sutartinį, tiekėjų ir privatumo poveikį. Tai lemia silpną balų skyrimą. Asmens duomenų saugumo pažeidimas arba kritinio tiekėjo nesėkmė gali būti įvertinta kaip vidutinė, nes tikimybė maža, nors GDPR, NIS2, DORA arba kliento poveikis turėtų ją padaryti aukštą arba kritinę.

Antra, rizikos savininkai yra bendriniai. „IT“ nėra rizikos savininkas. Rizikos savininkas turi būti vaidmuo arba asmuo, atsakingas už rizikos tvarkymo sprendimus, biudžetą, terminus ir liekamąją riziką.

Trečia, rizikos tvarkymo planai nėra terminuoti. „Pagerinti stebėseną“ nėra planas. „Iki birželio 30 d. įdiegti privilegijuotų sesijų įspėjimus SIEM produkcinės aplinkos administratoriaus paskyroms, savininkas – SOC vadovas, patikrinti simuliuotu administratoriaus prisijungimu ir pridėti įspėjimo įrodymus“ yra planas.

Ketvirta, SoA atsietas nuo rizikos tvarkymo. Jei rizikos tvarkymo planas reikalauja tiekėjų stebėsenos, atsarginių kopijų testavimo, incidentų eskalavimo, MFA arba žurnalavimo, SoA turi atspindėti atitinkamas kontrolės priemones ir jų įgyvendinimo būseną.

Penkta, liekamoji rizika nepatvirtinta. ISO 27001 reikalauja rizikos savininko patvirtinimo dėl rizikos tvarkymo plano ir liekamųjų rizikų. NIS2 ir DORA tai padaro dar svarbiau, nes vadovybės atskaitomybė yra aiškiai įtvirtinta.

Šešta, tiekėjų rizika traktuojama kaip pirkimų administravimas. Pagal NIS2 Article 21(2)(d) ir DORA Articles 28 and 30 tiekėjų ir IRT trečiųjų šalių rizika turi būti rizikos valdymo dalis, o ne izoliuotai saugomas metinis klausimynas.

Septinta, nėra veiksmingumo įrodymų. ISO 27001 Clause 6.1.1 reikalauja įvertinti suplanuotų veiksmų veiksmingumą. NIS2 Article 21(2)(f) apima veiksmingumo vertinimą. DORA tikisi testavimo ir taisomųjų veiksmų. Kontrolės priemonė, kuri egzistuoja, bet niekada netestuojama, yra silpnas įrodymas.

MVĮ Rizikos valdymo politika – MVĮ lūkestį suformuluoja tiesiai:

Generalinis vadovas ir rizikos koordinatorius turi užtikrinti, kad rizikos valdymo veiklos būtų tinkamos auditui. Rizikų registrui ir susijusiems veiksmams taikomas vidaus ir išorės auditas.

Iš MVĮ Rizikos valdymo politikos skyriaus „Įgyvendinimas ir atitiktis“, politikos nuostata 8.2.1.

Ataskaitų teikimas valdybai neperkraunant vadovų

NIS2, DORA ir ISO 27001 visi veda į vadovybės atskaitomybę, tačiau valdyboms nereikia kiekvienos rizikos eilutės. Joms reikia sprendimams naudingų ataskaitų.

Geras valdybos rizikos paketas turi parodyti:

• Aukštas ir kritines rizikas pagal sritis
• Pradelstus rizikos tvarkymo veiksmus
• Reglamentavimo rizikas, susijusias su NIS2, DORA, GDPR arba sutartimis
• Tiekėjų rizikas, veikiančias kritines arba svarbias paslaugas
• Incidentų ir vos neįvykusių incidentų tendencijas
• Liekamąsias rizikas, laukiančias priėmimo
• Kontrolės veiksmingumo testų rezultatus
• Esminius taikymo srities, tiekėjų, technologijų arba teisės pokyčius
• Vidaus audito išvadas ir korekcinius veiksmus

Clarysec paprastai rekomenduoja mėnesines operacines rizikos peržiūras ir ketvirtines vadovybės peržiūras. Mėnesinės peržiūros sutelktos į rizikos tvarkymo įgyvendinimą. Ketvirtinės peržiūros sutelktos į priėmimą, finansavimą, prioritetizavimą, reglamentavimo ekspoziciją ir strateginius rizikos sprendimus.

Šis ritmas taip pat palaiko nuolatinį tobulinimą. Rizikos vertinimai turi būti atnaujinami įvykus incidentams, atsiradus pažeidžiamumams, įtraukus naują turtą, pasikeitus technologijoms, tiekėjams, teisės aktams, klientų įsipareigojimams arba rizikos apetitui.

Clarysec įgyvendinimo kelias

Vieninga rizikos programa leidžia išvengti atsietų ISO, NIS2, DORA, GDPR ir klientų patikinimo skaičiuoklių. Praktinis kelias yra toks:

1. Patvirtinti ISVS taikymo sritį, paslaugas, turtą, tiekėjus, jurisdikcijas ir klientų įsipareigojimus.
2. Sukurti arba atnaujinti atitikties registrą, kai tinkama naudojant Teisinės ir reglamentavimo atitikties politiką – MVĮ.
3. Apibrėžti rizikos metodiką, priėmimo kriterijus, tikimybės skales, poveikio skales ir reglamentavimo poveikio taisykles.
4. Sukurti rizikų registrą naudojant Zenith Blueprint Rizikos valdymo fazę ir Clarysec rizikų registro bei SoA kūrimo metodą.
5. Identifikuoti turtu grindžiamas ir scenarijais grindžiamas rizikas, įskaitant tiekėjų, debesijos, privatumo, veiklos tęstinumo, incidentų, pažeidžiamumų, saugaus kūrimo ir prieigos scenarijus.
6. Įvertinti rizikas balais pagal kriterijus, apimančius teisinį, reglamentavimo, sutartinį, operacinį, privatumo, tiekėjų ir finansinį poveikį.
7. Pasirinkti rizikos tvarkymo parinktis: mažinti, vengti, perduoti arba priimti.
8. Susieti būtinas kontrolės priemones su ISO/IEC 27001:2022 Annex A ir ISO/IEC 27002:2022 gairėmis.
9. Sukurti arba atnaujinti Taikomumo pareiškimą.
10. Susieti rizikos tvarkymo priemones su NIS2 Article 21, DORA IRT rizikos valdymo ir trečiųjų šalių lūkesčiais, GDPR atskaitomybe ir klientų sutartiniais įsipareigojimais.
11. Surinkti įrodymus, patvirtinti kontrolės veiksmingumą ir gauti liekamosios rizikos patvirtinimą.
12. Parengti audito paketą, suorganizuotą pagal riziką, kontrolės priemonę, reglamentą ir įrodymų artefaktą.
13. Rezultatus įtraukti į vadovybės peržiūrą, vidaus auditą, korekcinius veiksmus ir nuolatinį tobulinimą.

Tai nėra dokumentacija dėl pačios dokumentacijos. Tai įrodymais pagrindžiamos kibernetinės valdysenos operacinė sistema.

Sukurkite auditui tinkamą rizikos tvarkymo paketą

Saros istorija baigėsi gerai, nes ji nustojo ISO 27001, NIS2 ir DORA traktuoti kaip atskirus atitikties projektus. Ji panaudojo ISO 27001 rizikos vertinimą kaip centrinį variklį, įtraukė reglamentavimo įpareigojimus į rizikos kriterijus, susiejo rizikos tvarkymo veiksmus su Annex A ir ES reikalavimais ir surinko įrodymus, kuriuos galėjo suprasti klientai, auditoriai ir valdyba.

Jūsų organizacija gali padaryti tą patį.

Naudokite Zenith Blueprint: auditoriaus 30 žingsnių veiksmų planą, kad apibrėžtumėte rizikos kriterijus, sukurtumėte rizikų registrą, parengtumėte rizikos tvarkymo planą ir susietumėte reglamentavimo reikalavimus.

Naudokite Zenith Controls: kryžminės atitikties vadovą, kad sujungtumėte ISO/IEC 27001:2022 Annex A kontrolės sritis su valdysenos, teisinės atitikties, patikinimo ir audito perspektyvomis.

Naudokite Clarysec Rizikos valdymo politiką, Rizikos valdymo politiką – MVĮ ir Teisinės ir reglamentavimo atitikties politiką – MVĮ, kad standartizuotumėte savininkystę, registrus, rizikos tvarkymo sprendimus ir auditui tinkamus įrodymus.

Greičiausias praktinis kitas žingsnis – paimti dešimt svarbiausių rizikų ir patikrinti jas pagal penkis klausimus:

1. Ar matomas reglamentavimo poveikis?
2. Ar rizikos tvarkymo planas yra terminuotas ir turi savininką?
3. Ar kiekviena rizikos tvarkymo priemonė susieta su Annex A ir SoA?
4. Ar NIS2, DORA, GDPR arba kliento aktualumas dokumentuotas ten, kur taikoma?
5. Ar yra įrodymų, kad kontrolės priemonė veikia?

Jei atsakymas yra ne, Clarysec gali padėti paversti jūsų rizikų registrą įrodymais pagrindžiama, kryžminę atitiktį palaikančia rizikos tvarkymo programa, kuria gali pasitikėti auditoriai, reguliuotojai, klientai ir valdybos.