Auditam gatava ISO 27001 risku novērtēšana NIS2 un DORA vajadzībām

Kafija uz Sāras galda bija atdzisusi.

Kā strauji augoša finanšu tehnoloģiju uzņēmuma galvenā informācijas drošības vadītāja viņa bija pieradusi pie spiediena. Uzņēmums tikko bija ieguvis nozīmīgu bankas partneri, un sākotnējās izpētes anketa viņas ekrānā šķita tikai formalitāte. Pirmie jautājumi bija pazīstami: iesniegt ISO/IEC 27001:2022 Piemērojamības paziņojumu, kopīgot jaunāko risku reģistru, izskaidrot risku novērtēšanas metodoloģiju.

Tad anketa mainīja virzienu.

Pierādiet, kā jūsu risku pārvaldības programma aptver DORA. Izskaidrojiet gatavību NIS2 direktīvai, tostarp vadības pārskatatbildību un piegādes ķēdes riska pasākumus. Iesniedziet pierādījumus, ka kritiskie IKT piegādātāji tiek novērtēti, uzraudzīti un aptverti incidentu reaģēšanas un darbības nepārtrauktības plānos.

Līdz pirmdienas rītam tas pats jautājums jau bija valdes risku komitejas darba kārtībā. ISO 27001 sertifikācijas audits — pēc astoņām nedēļām. DORA spiediens no finanšu sektora klientiem. NIS2 klasifikācijas jautājumi par mākoņvidē izvietotu pakalpojumu līniju, kas paplašinās ES. Iepirkumu funkcija norādīja, ka piegādātāju pārskatīšana pastāv, bet pierādījumi ir izkaisīti e-pastos, līgumu mapēs un piegādātāju izklājlapā. Juridiskais dienests norādīja, ka regulatīvā kartēšana vēl ir procesā. Inženierija norādīja, ka risku reģistrs lielākoties ir pabeigts.

Valde uzdeva vienīgo jautājumu, kam bija nozīme:

Vai mēs varam pierādīt, ka mūsu risku novērtējums un risku apstrādes plāns ir pietiekams?

Tā ir īstā problēma SaaS, finanšu tehnoloģiju, pārvaldīto pakalpojumu, mākoņpakalpojumu un digitālo platformu uzņēmumiem. Nevis tas, vai risku reģistrs eksistē. Nevis tas, vai Annex A kontroles pasākumi ir iekopēti izklājlapā. Jautājums ir par to, vai organizācija audita un klientu spiediena apstākļos var pierādīt, ka tās ISO 27001 risku novērtēšanas process ir atkārtojams, balstīts riskā, apstiprināts no riska īpašnieku puses, sasaistīts ar apstrādes darbībām, kartēts ar juridiskajiem pienākumiem un reāli darbojas praksē.

Ja tas ir izdarīts pareizi, viens ISO 27001 risku novērtējums un viens risku apstrādes plāns var atbalstīt ISO/IEC 27001:2022 sertifikāciju, NIS2 Article 21 kiberdrošības risku pārvaldības pasākumus, DORA IKT risku pārvaldības prasības, GDPR pārskatatbildību, piegādātāju apliecinājumu, gatavību incidentiem un valdes ziņošanu.

Ja tas ir izdarīts slikti, tas kļūst par izklājlapu, kuru auditori izjauks trīsdesmit minūtēs.

Šajā ceļvedī parādīts, kā Clarysec veido auditam gatavus ISO 27001 risku novērtēšanas un risku apstrādes pierādījumus, izmantojot Zenith Blueprint: auditora 30 soļu ceļakarti, Clarysec politikas un Zenith Controls: starpatbilstības ceļvedi.

Kāpēc ISO 27001 risku novērtēšana tagad ir atbilstības centrmezgls

ES regulatīvā vide tuvojas vienkāršam principam: kiberdrošības risks ir jāpārvalda, jādokumentē, jātestē un tam jābūt ar skaidru īpašnieku.

ISO/IEC 27001:2022 jau darbojas šādi. Clauses 4.1 līdz 4.4 prasa organizācijai izprast savu kontekstu, ieinteresētās puses, ISMS darbības jomu un procesu mijiedarbību pirms risku novērtēšanas. Clauses 6.1.2 un 6.1.3 prasa definētu informācijas drošības risku novērtēšanas un apstrādes procesu. Clauses 8.2 un 8.3 prasa organizācijai veikt risku novērtēšanu un īstenot apstrādes plānu, saglabājot dokumentētu informāciju.

NIS2 un DORA padara šo riskā balstīto loģiku vēl steidzamāku.

NIS2 Article 20 prasa būtisko un svarīgo vienību vadības institūcijām apstiprināt kiberdrošības risku pārvaldības pasākumus, pārraudzīt ieviešanu un piedalīties kiberdrošības apmācībās. Article 21 prasa atbilstošus un samērīgus tehniskus, operatīvus un organizatoriskus pasākumus, lai pārvaldītu riskus tīklu un informācijas sistēmām. Šie pasākumi ietver riska analīzi, incidentu apstrādi, darbības nepārtrauktību, piegādes ķēdes drošību, drošu izstrādi, ievainojamību apstrādi, efektivitātes novērtēšanu, kiberdrošības higiēnu, kriptogrāfiju, personāla drošību, piekļuves kontroli, aktīvu pārvaldību un daudzfaktoru autentifikāciju vai drošu saziņu, ja tas ir atbilstoši.

DORA līdzīgu spiedienu piemēro finanšu subjektiem. Articles 5 un 6 prasa vadības institūcijai definēt, apstiprināt, pārraudzīt IKT risku pārvaldības kārtību un saglabāt atbildību par to. DORA sagaida dokumentētu IKT risku pārvaldības ietvaru, kas integrēts kopējā risku pārvaldībā un ko atbalsta politikas, procedūras, protokoli, rīki, iekšējais audits, trūkumu novēršana, darbības nepārtrauktība, testēšana, incidentu pārvaldība un IKT trešo pušu pārvaldība.

Secinājums ir praktisks un neizbēgams: risku reģistrs vairs nav tehniskās komandas darba lapa. Tas ir pārvaldības pierādījums.

Clarysec uzņēmuma Risku pārvaldības politika šo gaidu formulē tieši:

Jāuztur formāls risku pārvaldības process saskaņā ar ISO/IEC 27005 un ISO 31000, aptverot risku identificēšanu, analīzi, novērtēšanu, apstrādi, uzraudzību un komunikāciju.

No uzņēmuma Risku pārvaldības politikas sadaļas “Pārvaldības prasības”, politikas punkts 5.1.

Tā pati politika definē auditam gatavu rezultātu:

Uzturēt centralizētu, ar versiju kontroli pārvaldītu risku reģistru un risku apstrādes plānu, kas atspoguļo aktuālo riska statusu, kontroles pasākumu pārklājumu un mazināšanas progresu.

No uzņēmuma Risku pārvaldības politikas sadaļas “Mērķi”, politikas punkts 3.3.

Frāze “aktuālais riska statuss, kontroles pasākumu pārklājums un mazināšanas progress” ir atšķirība starp statisku atbilstības failu un pamatotu risku programmu.

Sāciet ar darbības jomu, pienākumiem un riska kritērijiem

Daudzas vājas ISO 27001 risku novērtēšanas sākas ar kontroles pasākumu kontrolsarakstu. Tas ir apgriezts secīgums.

ISO 27001 prasa organizācijai noteikt kontekstu, ieinteresēto pušu prasības, ISMS darbības jomu, vadības atbildību un riska plānošanu pirms kontroles pasākumu izvēles. ISO/IEC 27005:2022 to pastiprina, iesakot organizācijām pirms risku novērtēšanas identificēt ieinteresēto pušu pamatprasības. Šīs prasības var izrietēt no ISO standartiem, nozares regulējuma, nacionālajiem tiesību aktiem, klientu līgumiem, iekšējām politikām, iepriekšējām apstrādes darbībām un piegādātāju pienākumiem.

ES tirgum vērstam SaaS vai finanšu tehnoloģiju uzņēmumam riska process jāsāk ar atbilstības un pienākumu uzskaiti.

SME vajadzībām Clarysec Tiesiskās un regulatīvās atbilstības politika - SME nosaka sākumpunktu:

GM jāuztur vienkāršs, strukturēts atbilstības reģistrs, kurā norādīts:

No SME Tiesiskās un regulatīvās atbilstības politikas sadaļas “Pārvaldības prasības”, politikas punkts 5.1.1.

Šāds vienkāršs reģistrs ir tilts starp atbilstību un risku pārvaldību. Ja tajā norādīts, ka GDPR ir piemērojams, jo tiek apstrādāti ES personas dati, NIS2 var būt piemērojams, jo organizācija sniedz digitālos vai pārvaldītos pakalpojumus, vai DORA ir būtiska finanšu sektora klientu dēļ, šiem pienākumiem jāietekmē riska kritēriji un apstrādes prioritātes.

Zenith Blueprint šajā jautājumā ir tiešs Risku pārvaldības posma 10. solī “Riska kritēriju un ietekmes matricas izveide”:

Pieņemšanas kritērijos ņemiet vērā arī juridiskās/regulatīvās prasības. Daži riski var būt nepieņemami neatkarīgi no iespējamības tiesību aktu dēļ.

No Zenith Blueprint, Risku pārvaldības posms, 10. solis.

Tas sniedz arī praktisku noteikumu darbnīcām:

“Jebkurš risks, kas var novest pie neatbilstības piemērojamiem tiesību aktiem (GDPR u. c.), nav pieņemams un ir jāmazina.”

No Zenith Blueprint, Risku pārvaldības posms, 10. solis.

Sāras finanšu tehnoloģiju uzņēmumam tas maina vērtēšanas modeli. Piegādātāja API ievainojamībai var būt zema iespējamība, bet, ja tās izmantošana var izraisīt DORA būtisku ar IKT saistītu incidentu, NIS2 nozīmīgu incidentu, GDPR pārkāpuma izvērtēšanu, klienta SLA neizpildi vai valdes līmeņa eskalāciju, ietekme ir augsta vai kritiska. Atbilstības pakļautība riskam kļūst par riska loģikas daļu, nevis par atsevišķu izklājlapu.

Izveidojiet risku reģistru, ko auditori var pārbaudīt

Auditori nejautā tikai par jūsu būtiskākajiem riskiem. Viņi pārbauda, vai metode ir definēta, atkārtojama, izsekojama un ievērota.

Viņi jautās:

• Kā jūs identificējāt šos riskus?
• Kuri aktīvi, pakalpojumi, piegādātāji, datu tipi un procesi bija darbības jomā?
• Kādi kritēriji tika izmantoti iespējamībai un ietekmei?
• Kas ir katra riska īpašnieks?
• Kuri esošie kontroles pasākumi mazina risku?
• Kāpēc tika izvēlēts konkrētais apstrādes lēmums?
• Kur ir pierādījumi, ka apstrāde tika veikta?
• Kas apstiprināja atlikušo risku?
• Kad risks tiks atkārtoti novērtēts?

Clarysec Risku pārvaldības politika - SME nosaka minimālo auditam gatavo riska ierakstu:

Katram riska ierakstam jāiekļauj: apraksts, iespējamība, ietekme, vērtējums, īpašnieks un apstrādes plāns.

No SME Risku pārvaldības politikas sadaļas “Pārvaldības prasības”, politikas punkts 5.1.2.

Uzņēmuma programmām Zenith Blueprint Risku pārvaldības posma 11. solis “Risku reģistra izveide un dokumentēšana” paplašina struktūru. Tas iesaka kolonnas, piemēram, riska ID, aktīvs, apdraudējums, ievainojamība, riska apraksts, iespējamība, ietekme, riska līmenis, pašreizējie kontroles pasākumi, riska īpašnieks, apstrādes lēmums, apstrādes plāns vai kontroles pasākumi un statuss.

Spēcīgs riska ieraksts izskatās šādi:

Tas būtiski atšķiras no “Trešās puses risks, augsts, mazināt.” Auditam gatavā versija sasaista aktīvu, apdraudējumu, ievainojamību, sekas, pašreizējos kontroles pasākumus, īpašnieku, regulējumu, pierādījumus un pārvaldību.

Pārvērtiet risku apstrādi pierādījumu plānā

Risku apstrādes plānam jāatbild uz četriem operatīviem jautājumiem:

1. Ko mēs darīsim?
2. Kas par to atbild?
3. Kad tas tiks pabeigts?
4. Kā mēs pierādīsim, ka risks ir samazināts?

ISO/IEC 27001:2022 Clause 6.1.3 prasa organizācijai izvēlēties apstrādes iespējas, noteikt nepieciešamos kontroles pasākumus, salīdzināt tos ar Annex A, lai nepieļautu izlaidumus, sagatavot Piemērojamības paziņojumu, formulēt apstrādes plānu un saņemt riska īpašnieka apstiprinājumu plānam un atlikušajiem riskiem. Clause 8.3 pēc tam prasa ieviest apstrādes plānu un saglabāt dokumentētu informāciju par rezultātiem.

Uzņēmuma Risku pārvaldības politika to padara praktisku:

Risku pārvaldniekam jānodrošina, ka apstrādes pasākumi ir reālistiski, ar noteiktu termiņu un kartēti ar ISO/IEC 27001 Annex A kontroles pasākumiem.

No uzņēmuma Risku pārvaldības politikas sadaļas “Politikas ieviešanas prasības”, politikas punkts 6.4.2.

SME politika arī precizē, ka pieņemšana nav īsceļš:

Pieņemt: pamatot, kāpēc nav nepieciešamas turpmākas darbības, un reģistrēt atlikušo risku.

No SME Risku pārvaldības politikas sadaļas “Politikas ieviešanas prasības”, politikas punkts 6.1.1.

Pieņemšanai jābūt pamatotai pret kritērijiem, apstiprinātai no atbilstošā īpašnieka puses un uzraudzītai. NIS2 un DORA kontekstā neapstiprināts atlikušais risks var kļūt par pārvaldības kļūmi.

Pilnīgam apstrādes plānam jāietver šādi lauki:

Sāras R-042 gadījumā apstrādes plāns kļūst par starpatbilstības darbību sarakstu.

Šis plāns ir spēcīgs, jo tas izveido tiešu līniju no viena riska scenārija uz ISO 27001 kontroles pasākumiem, NIS2 pienākumiem, DORA pantiem, īpašniekiem un pierādījumiem.

Lieciet Piemērojamības paziņojumam strādāt vairāk

Piemērojamības paziņojums bieži tiek uztverts kā sertifikācijas artefakts. Tam jābūt vairāk nekā tam.

ISO/IEC 27001:2022 Clause 6.1.3 prasa, lai SoA ietvertu nepieciešamos kontroles pasākumus, iekļaušanas pamatojumu, ieviešanas statusu un izslēgšanas pamatojumu. ISO/IEC 27005:2022 vadlīnijas pastiprina nepieciešamību salīdzināt izvēlētos kontroles pasākumus ar ISO/IEC 27001 Annex A, lai nepieļautu izlaidumus.

Auditam gatavā programmā SoA kļūst par tiltu starp risku apstrādi un starpatbilstības pierādījumiem. Ja apstrādes plāns prasa MFA, žurnālu veidošanu, piegādātāju uzraudzību, rezerves kopiju atjaunošanu, drošu izstrādi, incidentu eskalāciju vai mākoņpakalpojuma izstāšanās plānošanu, SoA jāparāda, ka attiecīgie Annex A kontroles pasākumi ir iekļauti, pamatoti, ieviesti vai plānoti un nodrošināti ar pierādījumiem.

Tas palīdz arī izvairīties no biežas audita kļūmes: risku reģistrs saka vienu, apstrādes plāns citu, bet SoA klusē. Kad šie artefakti nav saskaņoti, auditoru uzticība ātri zūd.

ISO 27001 risku apstrādes kartēšana ar NIS2, DORA un GDPR

ISO 27001 neaizstāj NIS2, DORA vai GDPR. Tas sniedz strukturētu mehānismu pierādījumu radīšanai šo prasību vajadzībām.

Galvenais ir iebūvēt kartēšanu riska procesā, nevis pievienot to vēlāk.

Šī kartēšana ir īpaši svarīga tur, kur regulējumi pārklājas. DORA ir nozares specifiskais IKT noturības režīms daudziem finanšu subjektiem, savukārt NIS2 var palikt tieši piemērojama noteiktiem pakalpojumu sniedzējiem, koordinācijai vai vienībām ārpus DORA darbības jomas. Finanšu tehnoloģiju uzņēmumam DORA var būt galvenais IKT noturības ietvars, savukārt pārvaldīto pakalpojumu sniedzējam, kas atbalsta šo finanšu tehnoloģiju uzņēmumu, NIS2 pienākumi var būt tieši piemērojami.

Risku reģistram jāspēj parādīt abas šīs atkarības puses.

Izmantojiet Zenith Controls kā starpatbilstības kompasu

Clarysec izmanto Zenith Controls kā starpatbilstības ceļvedi, lai novērstu biežu kļūmi, kad ISO kontroles pasākumi, regulatīvie panti un audita jautājumi dzīvo atsevišķās pasaulēs. Tas neveido atsevišķu kontroles ietvaru. Tas kartē ISO/IEC 27001:2022 un ISO/IEC 27002:2022 kontroles jomas ar citiem standartiem, audita gaidām un atbilstības skatpunktiem.

ISO 27001 risku novērtēšanai un apstrādei īpaši svarīgas ir šādas atsauces:

Starpatbilstības mācība ir vienkārša. Ja juridiskie pienākumi nav iekļauti risku novērtēšanas metodē, jūsu vērtēšana ir nepilnīga. Ja vērtēšana ir nepilnīga, apstrādes prioritātes var būt nepareizas. Ja prioritātes ir nepareizas, SoA un valdes ziņošana kļūst neuzticama.

Zenith Blueprint to pašu uzsver Risku pārvaldības posma 14. solī “Risku apstrādes politikas un regulatīvās savstarpējās atsauces”. Tas iesaka organizācijām izveidot kartēšanas tabulu, kurā uzskaitītas galvenās regulatīvās drošības prasības un atbilstošie kontroles pasākumi vai politikas ISMS ietvaros. ISO 27001 sertifikācijai tas nav obligāti, taču tas ir ļoti noderīgi, lai pierādītu, ka drošība tiek pārvaldīta juridiskā un līgumiskā kontekstā.

Ko jautās dažādi auditori

Sertifikācijas auditors, NIS2 pārskatītājs, DORA orientēts klients, GDPR pārskatītājs, NIST vērtētājs vai COBIT praktiķis var skatīt tos pašus pierādījumus, bet uzdot atšķirīgus jautājumus.

Tāpēc pierādījumu arhitektūrai ir nozīme. Vienam un tam pašam riska ierakstam jābūt izsekojamam no biznesa mērķa līdz aktīvam, apdraudējumam, ievainojamībai, kontroles pasākumam, īpašniekam, regulatīvajam iemeslam, apstrādes darbībai, testa rezultātam un vadības lēmumam.

Clarysec politikas ir izstrādātas, lai atbalstītu šo arhitektūru. Uzņēmuma Risku pārvaldības politika sadaļā “Atsauces standarti un ietvari” nosaka:

Article 5: nosaka pienākumu uzturēt dokumentētu IKT risku pārvaldības ietvaru, ko pilnībā aptver šīs politikas struktūra, tostarp SoA kartēšana un KRI.

Tas pārvērš politiku no statiska dokumenta par audita pierādījumu, kas parāda, ka IKT risku pārvaldība ir apzināti izstrādāta, ņemot vērā DORA.

Bieži konstatējumi, kas salauž risku programmas

Kad Clarysec pārskata ISO 27001 risku novērtēšanas un risku apstrādes pierādījumus, atkārtoti parādās tie paši konstatējumi.

Pirmkārt, riska kritēriji ignorē juridisko, regulatīvo, līgumisko, piegādātāju un privātuma ietekmi. Tas izraisa vāju vērtēšanu. Personas datu aizsardzības pārkāpums vai kritiska piegādātāja kļūme var tikt novērtēta kā vidēja, jo iespējamība ir zema, lai gan GDPR, NIS2, DORA vai klienta ietekmei būtu jāpadara tas par augstu vai kritisku risku.

Otrkārt, riska īpašnieki ir vispārīgi. “IT” nav riska īpašnieks. Riska īpašniekam jābūt lomai vai personai, kas atbild par apstrādes lēmumiem, budžetu, termiņiem un atlikušo risku.

Treškārt, apstrādes plāniem nav termiņa. “Uzlabot uzraudzību” nav plāns. “Līdz 30. jūnijam izvietot SIEM brīdinājumus par priviliģētām sesijām ražošanas administratoru kontiem, atbildīgais — SOC vadītājs; testēts ar simulētu administratora pieteikšanos, pievienojot brīdinājuma pierādījumus” ir plāns.

Ceturtkārt, SoA nav sasaistīts ar apstrādi. Ja apstrādes plāns prasa piegādātāju uzraudzību, rezerves kopiju testēšanu, incidentu eskalāciju, MFA vai žurnālu veidošanu, SoA jāatspoguļo attiecīgie kontroles pasākumi un ieviešanas statuss.

Piektkārt, atlikušais risks nav apstiprināts. ISO 27001 prasa riska īpašnieka apstiprinājumu apstrādes plānam un atlikušajiem riskiem. NIS2 un DORA padara to vēl būtiskāku, jo vadības pārskatatbildība ir skaidri noteikta.

Sestkārt, piegādātāju risks tiek uztverts kā iepirkuma administrēšana. Saskaņā ar NIS2 Article 21(2)(d) un DORA Articles 28 un 30 piegādātāju un IKT trešo pušu riskam jābūt risku pārvaldības daļai, nevis izolēti glabātai ikgadējai anketai.

Septītkārt, nav efektivitātes pierādījumu. ISO 27001 Clause 6.1.1 prasa plānotās darbības izvērtēt efektivitātes ziņā. NIS2 Article 21(2)(f) ietver efektivitātes novērtēšanu. DORA sagaida testēšanu un trūkumu novēršanu. Kontroles pasākums, kas eksistē, bet nekad netiek testēts, ir vājš pierādījums.

SME Risku pārvaldības politika - SME gaidas formulē skaidri:

Ģenerāldirektoram un risku koordinatoram jānodrošina, ka risku pārvaldības darbības ir gatavas auditam. Risku reģistrs un saistītās darbības ir pakļautas iekšējam un ārējam auditam.

No SME Risku pārvaldības politikas sadaļas “Ievērošana un atbilstība”, politikas punkts 8.2.1.

Valdes ziņošana, nepārslogojot vadību

NIS2, DORA un ISO 27001 visi virza uz vadības pārskatatbildību, taču valdēm nav vajadzīga katra riska rinda. Tām vajadzīga ziņošana, kas palīdz pieņemt lēmumus.

Labā valdes risku paketē jāparāda:

• augstie un kritiskie riski pa jomām;
• nokavētās apstrādes darbības;
• regulatīvie riski, kas saistīti ar NIS2, DORA, GDPR vai līgumiem;
• piegādātāju riski, kas ietekmē kritiskus vai svarīgus pakalpojumus;
• incidentu un gandrīz notikušu gadījumu tendences;
• atlikušie riski, kas gaida pieņemšanu;
• kontroles pasākumu efektivitātes testu rezultāti;
• būtiskas izmaiņas darbības jomā, piegādātājos, tehnoloģijās vai tiesību aktos;
• iekšējā audita konstatējumi un korektīvās darbības.

Clarysec parasti iesaka ikmēneša operatīvās risku pārskatīšanas un ceturkšņa vadības pārskatīšanu. Ikmēneša pārskatīšana koncentrējas uz apstrādes izpildi. Ceturkšņa pārskatīšana koncentrējas uz pieņemšanu, finansējumu, prioritizāciju, regulatīvo ietekmi un stratēģiskiem riska lēmumiem.

Šāds ritms atbalsta arī nepārtrauktu uzlabošanu. Risku novērtēšana jāatjaunina, kad notiek incidenti, parādās ievainojamības, tiek ieviesti jauni aktīvi, mainās tehnoloģijas, mainās piegādātāji, mainās tiesību akti, mainās klientu pienākumi vai riska apetīte.

Clarysec ieviešanas ceļš

Vienota risku programma novērš atsevišķas ISO, NIS2, DORA, GDPR un klientu apliecinājuma izklājlapas. Praktiskais ceļš ir šāds:

1. Apstipriniet ISMS darbības jomu, pakalpojumus, aktīvus, piegādātājus, jurisdikcijas un klientu pienākumus.
2. Izveidojiet vai atjauniniet atbilstības reģistru, izmantojot Tiesiskās un regulatīvās atbilstības politiku - SME, kur tas ir piemēroti.
3. Definējiet riska metodoloģiju, pieņemšanas kritērijus, iespējamības skalas, ietekmes skalas un regulatīvās ietekmes noteikumus.
4. Izveidojiet risku reģistru, izmantojot Zenith Blueprint Risku pārvaldības posmu un Clarysec risku reģistra un SoA Builder pieeju.
5. Identificējiet uz aktīviem balstītus un scenārijos balstītus riskus, tostarp piegādātāju, mākoņa, privātuma, darbības nepārtrauktības, incidentu, ievainojamību, drošas izstrādes un piekļuves scenārijus.
6. Novērtējiet riskus, izmantojot kritērijus, kas ietver juridisko, regulatīvo, līgumisko, operatīvo, privātuma, piegādātāju un finansiālo ietekmi.
7. Izvēlieties apstrādes iespējas: mazināt, izvairīties, pārnest vai pieņemt.
8. Kartējiet nepieciešamos kontroles pasākumus ar ISO/IEC 27001:2022 Annex A un ISO/IEC 27002:2022 vadlīnijām.
9. Izveidojiet vai atjauniniet Piemērojamības paziņojumu.
10. Kartējiet apstrādes pasākumus ar NIS2 Article 21, DORA IKT risku pārvaldības un trešo pušu gaidām, GDPR pārskatatbildību un klientu līgumiskajiem pienākumiem.
11. Apkopojiet pierādījumus, pārbaudiet kontroles pasākumu efektivitāti un iegūstiet atlikušā riska apstiprinājumu.
12. Sagatavojiet audita paketi, kas strukturēta pēc riska, kontroles pasākuma, regulējuma un pierādījumu artefakta.
13. Iekļaujiet rezultātus vadības pārskatīšanā, iekšējā auditā, korektīvajās darbībās un nepārtrauktā uzlabošanā.

Tas nav dokumentu sagatavošana pašas dokumentēšanas dēļ. Tā ir pamatotas kiberdrošības pārvaldības darbības sistēma.

Izveidojiet auditam gatavu risku apstrādes paketi

Sāras stāsts beidzas labi, jo viņa pārstāja uztvert ISO 27001, NIS2 un DORA kā atsevišķus atbilstības projektus. Viņa izmantoja ISO 27001 risku novērtēšanu kā centrālo dzinēju, iestrādāja regulatīvos pienākumus riska kritērijos, kartēja apstrādes darbības ar Annex A un ES prasībām un apkopoja pierādījumus, ko klienti, auditori un valde varēja saprast.

Jūsu organizācija var darīt to pašu.

Izmantojiet Zenith Blueprint: auditora 30 soļu ceļakarti, lai definētu riska kritērijus, izveidotu risku reģistru, sagatavotu risku apstrādes plānu un izveidotu savstarpējās atsauces ar regulatīvajām prasībām.

Izmantojiet Zenith Controls: starpatbilstības ceļvedi, lai sasaistītu ISO/IEC 27001:2022 Annex A kontroles jomas ar pārvaldības, tiesiskās atbilstības, apliecinājuma un audita skatpunktiem.

Izmantojiet Clarysec Risku pārvaldības politiku, Risku pārvaldības politiku - SME un Tiesiskās un regulatīvās atbilstības politiku - SME, lai standartizētu īpašumtiesības, reģistrus, apstrādes lēmumus un auditam gatavus pierādījumus.

Ātrākais praktiskais nākamais solis ir paņemt jūsu desmit būtiskākos riskus un pārbaudīt tos pret pieciem jautājumiem:

1. Vai regulatīvā ietekme ir redzama?
2. Vai apstrādes plānam ir termiņš un īpašnieks?
3. Vai katrs apstrādes pasākums ir kartēts ar Annex A un SoA?
4. Vai NIS2, DORA, GDPR vai klienta nozīme ir dokumentēta, ja piemērojams?
5. Vai ir pierādījumi, ka kontroles pasākums darbojas?

Ja atbilde ir nē, Clarysec var palīdzēt pārvērst jūsu risku reģistru par pamatotu starpatbilstības risku apstrādes programmu, kurai var uzticēties auditori, regulatori, klienti un valdes.