Příprava na audit dodržování IT předpisů zabere hodně času, pokud jsou podklady roztříštěné napříč systémy, složkami a doručenými e-maily. Váš tým musí dávat dohromady zásady, protokoly přístupu a záznamy o incidentech, a přitom stíhat běžnou práci.
Co tedy auditoři očekávají? Většina auditních důkazů spadá do pěti typů: zdokumentované zásady a postupy; aktuální záznamy o umístění regulovaných dat; záznamy o přístupu a aktivitách uživatelů; záznamy o incidentech ukazující, jak váš tým reagoval; a důkaz, že vaše kontrolní mechanismy fungují i mezi jednotlivými audity.
Pro vedoucí pracovníky, kteří schvalují dodržování předpisů, jsou právě tyto pět typů důkazů místem, kde se projevuje jejich odpovědnost. Tato příručka popisuje, jak každý z nich vypadá, kde se objevuje v předpisech HIPAA, GDPR a SEC a jak je mít připravené.
Auditoři posuzují, zda kontrolní opatření splňují požadavky v daném rozsahu a fungují tak, jak mají. Písemné zásady vysvětlují, jak by mělo kontrolní opatření fungovat. Protokoly o aktivitách, záznamy o kontrolách a další důkazy pomáhají prokázat, zda váš tým tyto zásady dodržuje.
GDPR to vyjadřuje jasně. Článek 5(2) ukládá organizaci odpovědnost za dodržování předpisů a za schopnost prokázat, že je dodržuje. Důkazní břemeno leží na vás, nikoli na auditorovi.
Rozsah určuje detaily. Audit dodržování bezpečnostních předpisů se zaměřuje na technická bezpečnostní opatření, jako je přístup, protokolování a řešení incidentů. Širší audit dodržování předpisů zahrnuje také právní a procesní povinnosti. Oba závisí na tom samém: na důkazech, které váš tým může předložit.
Související: Software pro dodržování předpisů: Jak DLP zjednodušuje GDPR a HIPAA
Konkrétní požadavky závisí na rozsahu auditu. Těchto pět kategorií poskytuje výchozí bod pro uspořádání vašich důkazů.
Zásady představují základ, protože auditorovi sdělují, co vaše organizace prohlašuje, že dělá. Bez nich není proti čemu provádět testování.
HIPAA je v tomto ohledu konkrétní. Bezpečnostní pravidlo vyžaduje písemné zásady a postupy. Musíte je uchovávat po dobu šesti let od jejich vytvoření nebo od data, kdy byly naposledy v platnosti. Vyžaduje také pravidelné přezkoumávání a aktualizace v případě změn v provozu.
Udržujte zásady aktuální, s historií verzí a daty přezkoumání, které ukazují, kdy byly aktualizovány a schváleny.
Auditoři chtějí vědět, jaká citlivá data uchováváte a kde se nacházejí. Pokud je nedokážete zmapovat, nemůžete prokázat, že jsou chráněna.
Článek 30 nařízení GDPR vyžaduje záznam o činnostech zpracování, včetně obecného popisu bezpečnostních opatření, je-li to možné. V USA vyžaduje zákon HIPAA důkladné posouzení rizik zdravotních údajů, které organizace uchovává, a to začíná tím, že víte, kde se nacházejí.
Aktualizujte svůj inventář, jakmile se citlivá data přesouvají do nových cloudových aplikací, sdílených disků a dalších umístění. Zaznamenávejte tyto změny i mezi jednotlivými audity, aby váš tým mohl doložit, kde jsou data uložena.
Právě zde auditoři ověřují, zda pravidla přístupu fungují v praxi. Kdo má přístup k regulovaným údajům? Kdo k nim skutečně přistupoval a kdy?
Například zákon HIPAA vyžaduje, aby organizace pravidelně prověřovaly záznamy o systémové aktivitě, jako jsou auditní protokoly a zprávy o přístupu. Tyto záznamy ukazují, zda jsou zásady přístupu dodržovány v každodenní praxi.
Tyto záznamy mají význam i mimo rámec auditu. Soubor sdílený s nesprávnou osobou nebo export na osobní zařízení se v daném okamžiku málokdy jeví jako rizikový. Přehledný záznam o aktivitě umožňuje vašemu týmu rozpoznat tyto vzorce hned, jak se objeví, a ne až o několik měsíců později.
Související: Software pro ochranu před vnitřními hrozbami: Na co by se měly zaměřit týmy středních podniků
Vedejte záznamy o tom, jak váš tým řešil incidenty, včetně časové osy, rozhodnutí o reakci, přijatých opatření a výsledku.
HIPAA vyžaduje, aby organizace identifikovaly bezpečnostní incidenty a reagovaly na ně a aby každý incident a jeho výsledek zdokumentovaly. Americké veřejné společnosti mají také povinnost oznamovat incidenty Komisi pro cenné papíry (SEC). Významný incident v oblasti kyberbezpečnosti musí být obecně oznámen do čtyř pracovních dnů od zjištění, že se jedná o významný incident. Uchovávejte záznamy o incidentech od samého začátku, abyste podpořili vyšetřování, reakci a jakékoli požadované zveřejnění.
Tento typ důkazu je nejtěžší předložit v krátké lhůtě. Snímek obrazovky dokazuje, že dané nastavení existovalo jedno odpoledne. Nedokazuje však, že kontrolní opatření fungovalo po posledních 12 měsíců.
HIPAA vyžaduje pravidelné hodnocení toho, do jaké míry bezpečnostní zásady a postupy splňují její standardy. Auditoři požadují dlouhodobý trend, nikoli pouze momentální snímek.
Pádným důkazem jsou v tomto případě plánované zprávy, schválení po kontrole a údaje o trendech, které pokrývají celé auditované období.
|
Typ důkazu |
Na co se auditor ptá |
Kde se vyskytuje |
Časté nedostatky |
|
Zásady a postupy |
Ukažte mi písemnou směrnici a historii jejích revizí |
Bezpečnostní pravidlo HIPAA |
Zastaralá směrnice, chybí historie verzí |
|
Záznamy o regulovaných údajích |
Kde se citlivá data nacházejí a kdo je zpracovává? |
GDPR; Bezpečnostní pravidlo HIPAA |
Inventář, který již neodpovídá skutečnosti |
|
Záznamy o přístupu a aktivitě uživatelů |
Kdo přistupoval k regulovaným údajům a byl tento přístup oprávněný? |
Bezpečnostní pravidlo HIPAA |
Záznamy rozptýlené v různých systémech |
|
Záznamy o incidentech |
Co se stalo, jaké kroky jste podnikli a co se změnilo? |
Bezpečnostní pravidlo HIPAA; pravidla SEC pro zveřejňování informací o kyberbezpečnosti |
Plán, o jehož provádění neexistují žádné záznamy |
|
Důkazy v průběhu času |
Prokažte, že kontrola probíhala po celou dobu auditovaného období |
Bezpečnostní pravidlo HIPAA |
Snímky obrazovky z konkrétního časového okamžiku |
Mnoho týmů považuje audity za sezónní záležitost, při které ve spěchu shromažďují důkazy, uzavřou audit a nechají záznamy ležet ladem, dokud nepřijde další. Tento cyklus stojí více než jen čas, protože každá mezera, kterou auditor najde, se promění v projekt s termínem dokončení a stejný shon začíná znovu v následujícím roce.
To vůbec neznamená, že tým udělal něco špatně. Za tím spěchem stojí proces, ne lidé.
Celoroční připravenost tento pořadí obrací. Když se důkazy hromadí v rámci běžného provozu, jsou již k dispozici v okamžiku, kdy o ně někdo požádá, a audit se stává přezkoumáním záznamů, které stejně vedete.
Tato změna má největší význam na nejvyšší úrovni. V USA nyní Komise pro cenné papíry (SEC) vyžaduje, aby veřejně obchodované společnosti popsaly, jak jejich představenstvo dohlíží na rizika v oblasti kyberbezpečnosti a jakou roli v tom hraje vedení. Aktuální záznamy usnadňují podložení tohoto vysvětlení.
Audit nemusíte provádět sami. Musíte však vědět, zda váš tým dokáže auditorovi rychle odpovědět. Před dalším auditem dodržování předpisů v oblasti IT si projděte tyto otázky.
Pokud několik odpovědí začíná slovy „to bychom si museli ověřit“, zajistěte si tyto důkazy již nyní, ještě než se na ně auditor zeptá.
Na auditu se obvykle podílejí tři skupiny. Týmy IT a bezpečnosti poskytují technické důkazy, jako jsou záznamy o přístupu a protokoly incidentů. Právní nebo compliance týmy přiřazují tyto důkazy k požadavkům jednotlivých předpisů. Výsledky schvaluje vedoucí pracovník, který také odpovídá za následné kroky. Včasné určení těchto rolí zabrání tomu, aby se požadavky přehazovaly mezi týmy.
IT audit posuzuje, jak dobře vaše systémy a kontrolní mechanismy fungují z hlediska interních cílů nebo osvědčených postupů. Audit dodržování předpisů porovnává stejné prostředí s konkrétními externími požadavky, jako jsou předpisy nebo normy. První z nich zkoumá, zda jsou kontrolní mechanismy účinné. Druhý zjišťuje, zda splňují definované povinnosti.
Záleží na daném rámci, protože doby uchovávání se v jednotlivých předpisech liší. Zmapujte pravidla pro každý rámec, který se na vás vztahuje, a jako základ použijte tu nejdelší dobu. Tím zajistíte, že váš tým bude dodržovat jedinou politiku uchovávání namísto několika navzájem si odporujících.
Auditoři nepožadují nic neobvyklého. Pět typů důkazů uvedených v tomto průvodci představuje ty, ke kterým se audit dodržování předpisů v oblasti IT vrací bez ohledu na konkrétní rámec. Ve společnosti Safetica je to myšlenka, na které je založena technologie Intelligent Data Security: reportování připravené pro audit napříč všemi stavy dat, takže dodržování předpisů probíhá souběžně s prací, nikoli nad ní.
Dobrým výchozím bodem je výše uvedený kontrolní seznam. Vyberte otázku, se kterou by si váš tým poradil nejhůře, a předložte ji na příští schůzce věnované dodržování předpisů. Chcete-li se dozvědět více,navštivte stránku a zjistěte, jak Safetica přistupuje k dodržování předpisů.