Холдингте ақпараттық қауіпсіздікке қатысты бірыңғай саясат болуы мүмкін, бірақ әрбір заңды тұлғада әртүрлі IT-жүйелер, мердігерлер және басшылар болады. Сондықтан Қазақстандағы GRC-платформа бас кеңсеге жалпы жағдайды көруге, ал филиалдарға өз тәуекелдері мен бақылау шараларының орындалуына жауап беруге көмектесуі тиіс. Таңдау кезінде жеткізушілердің презентацияларындағы модульдер санын салыстырғаннан гөрі, осы модельдің іс жүзінде қалай жұмыс істейтінін тексеру маңызды.
Топтың құрылымы мен өкілеттіктерінен бастаңыз
Демонстрацияларға дейін жүйеге қандай компаниялар мен филиалдар кіретінін, тәуекелдерді бағалау әдістемесін кім бекітетінін, қалдық тәуекелді кім қабылдайтынын және дәлелдемелерді кім ұсынатынын сипаттап алыңыз. Корпоративтік CISO-ның, жергілікті тәуекел иесінің, бақылау шарасын орындаушының және ішкі аудитордың рөлдерін бөлек анықтаңыз.
Жеткізушіден тестілік деректер арқылы филиал қызметкері тек өз міндеттері мен құжаттарын ғана көре ала ма, ал орталық команда жиынтық көріністі ала ала ма — соны көрсетуін сұраңыз. Кері сценарийді де тексеріңіз: корпоративтік бақылау шарасы барлық компанияларға тағайындалған, бірақ олардың бірі оны келісілген ауытқумен қолданады. Бұл өнімнің нақты жауапкершілік құрылымын қаншалықты қолдайтынын көрсетеді.
Тәуекелдер каталогын және бақылау шараларын қайта пайдалануды тексеріңіз
Тәуекелдер мен бақылау шараларын басқару үшін компаниялар тобына ортақ анықтамалар мен жергілікті бағалаулар қажет. Мысалы, есептік жазбалардың бұзылу қаупі бүкіл холдинг үшін ортақ болуы мүмкін, бірақ оның ықтималдығы, салдары және тәуекел иесі зауытта, сауда компаниясында және сервистік бөлімшеде әртүрлі болады.
Бұл бақылау шараларына да қатысты. Қолжетімділікке қатысты корпоративтік саясатты бір рет сипаттап, оны бірнеше ұйыммен байланыстыру ыңғайлы. Сонымен қатар, қолжетімділік құқықтарын тексеру нәтижелері мен растайтын жазбалар нақты филиалға байланыстырылып қалуы тиіс. Демонстрация кезінде ортақ бақылау шарасы өзгерген кезде осы байланыстар сақтала ма және жаңа нұсқа әлі қай жерде енгізілмегенін көруге бола ма — соны анықтаңыз.
Егер ISO 27001 автоматтандыру жоспарланса, жүйенің тәуекелдерді, оларды өңдеу шараларын, жауапты тұлғаларды, дәлелдемелерді және тексеру нәтижелерін қалай байланыстыратынын тексеріңіз. Ақпараттық қауіпсіздік менеджменті жүйесіне қатысты тәсілдің сипаттамасын біздің компаниясының қызметімен салыстыруға болады. ISO/IEC 27001:2022 ISO/IEC 27001:2022 System Management.
Дәлелдемелерді, ерекшеліктерді және әрекеттер тарихын бағалаңыз
Файлдарды ыңғайлы жүктеу мүмкіндігі өздігінен аудит міндетін шешпейді. Әрбір дәлелдеме үшін кезеңі, ұйымы, бақылау шарасы, дереккөзі, жауапты тұлғасы және тексеру нәтижесі түсінікті болуы тиіс. Жүйенің мерзімі өткен растаулар туралы еске салатынын және аудиторға есептік көрсеткіштен бастап бастапқы жазбаға дейінгі жолды қадағалауға мүмкіндік беретінін тексерген жөн.
Жеке тексеруді ережеден ерекшелік жағдайына арнаңыз. Пилоттық жоба барысында филиалдан сұрау жасаңыз: себебін, өтемдік шараны, иесін, қолданылу мерзімін және тәуекелді қабылдайтын тұлғаны көрсетіңіз. Содан кейін шешімді өзгертіп, келісу тарихының сақталғанын тексеріңіз. Сенімді audit trail жазбаны кім және қашан жасағанын, өзгерткенін, мақұлдағанын немесе жапқанын көрсетуі тиіс.
Есептілікті басшылық шешімдерімен салыстырыңыз
Шоғырландырылған есеп оның ішінен егжей-тегжейлі деректерге өтуге мүмкіндік болған жағдайда пайдалы. Компаниялар тобы бойынша жиынтық есеп қалыптастыруды сұраңыз, содан кейін көрсеткішті заңды тұлға, тәуекел, бақылау шарасы және дәлелдеме деңгейіне дейін ашып қараңыз. Тек «жабылған» тапсырмалар санын ғана емес, мерзімі өткен тексерулерді, қолданыстағы ерекшеліктерді, иесі белгіленбеген тәуекелдерді және өзекті растаулары жоқ бақылау шараларын да тексеріңіз.
Есептеу қағидаларын алдын ала келісіп алыңыз. Егер бір ортақ бақылау шарасы бес филиалда қолданылса, есепте бақылау шарасының өзі мен оны орындаудың бес нәтижесі нақты ажыратылуы тиіс. Әйтпесе жақсы көрінетін жиынтық көрсеткіш бір бөлімшедегі мәселені жасырып қалуы мүмкін.
Пилоттық жобаны қалай өткізуге және short list қалай жасауға болады
Бір-бірінен ерекшеленетін екі бөлімшені, 10–15 тәуекелді және бірнеше ортақ бақылау шарасын таңдаңыз. Толық циклді өткізіңіз: жауапты иелерді тағайындау, дәлелдемелерді жинау, ерекшелікті келісу, бақылау шарасын өзгерту және есеп дайындау. Әр платформаны бірдей сценарийлер бойынша бағалаңыз: қолжетімділікті шектеу, жергілікті командалар үшін пайдалану ыңғайлылығы, өзгерістердің қадағалану мүмкіндігі, деректерді экспорттау және жүйені сүйемелдеуге кететін еңбек шығындары.
Шешімдердің алдын ала тізімін жасау үшін пайдалануға болады GRCfit GRC-платформаларының каталогы мен матрицасынал мәлімделген мүмкіндіктерді пилоттық жоба барысында растаған жөн. GRCfit өзін платформаларды салыстыру сервисі ретінде сипаттайды және функционалдық мүмкіндіктер туралы ақпаратты жеткізушілерден қосымша тексеру қажет екенін ескертеді.
Егер бастапқы процестер әлі сипатталмаған болса, baltum.ai жүйесіндегі дайындықты бағалау ISO/IEC 27001 бойынша бағалау талаптарды әзірлеуге дейінгі олқылықтарды анықтауға көмектесуі мүмкін. Бұл — өзін-өзі бағалау құралы, тәуелсіз аудиттің немесе GRC-платформаның орнын алмастырмайды.
Өзбекстанда, Грузияда немесе Қырғызстанда да жұмыс істейтін компаниялар тобы үшін пилоттық жобаға жергілікті рөлдерді, құжаттардың тілдерін, деректерге қол жеткізу ережелерін және оларды сақтау талаптарын қосыңыз. Қорытынды таңдау қарапайым сұраққа жауап беруі тиіс: басшылық жиынтық есепке сене ала ма, ал әрбір филиал оның артында тұрған әрекеттерді растай ала ма.