Berhenti membeli alat kepatuhan sebelum Anda menulis kebijakan

Urutan yang sudah sering terjadi: perusahaan membutuhkan SOC 2 atau ISO 27001, seseorang mulai meneliti, dan pembelian pertama adalah sebuah alat: platform kepatuhan, suite endpoint, SIEM, atau generator kebijakan. Beberapa bulan kemudian alat itu baru setengah dikonfigurasi, peringatannya diabaikan, dan auditor mengajukan pertanyaan yang tidak bisa dijawabnya. Alatnya bukan masalahnya. Urutannya yang keliru.

Alat mengimplementasikan keputusan

Setiap kontrol membutuhkan beberapa keputusan sebelum alat mana pun dapat membantu: apa yang masuk ruang lingkup, siapa pemiliknya, seberapa sering dijalankan, seperti apa kondisi "baik" dan apa yang terjadi saat gagal. Keputusan-keputusan itulah kebijakan dan prosedur Anda. Membeli pemindai kerentanan tanpa keputusan tersebut berarti Anda mendapatkan ribuan temuan yang tidak ada pihak bertanggung jawab; membeli SIEM tanpa keputusan tersebut berarti Anda mendapatkan log yang tidak ada yang membacanya.

Kerangka kerja sepakat

Tidak ada kerangka kerja utama yang mensyaratkan produk tertentu. ISO 27001 meminta kebijakan, perlakuan risiko, dan kontrol yang berjalan. SOC 2 menilai apakah kontrol dirancang dan beroperasi secara efektif. PCI DSS memulai setiap dari dua belas persyaratannya dengan kebijakan dan prosedur terdokumentasi serta peran yang ditetapkan. Semuanya mengasumsikan pemikiran dilakukan lebih dulu.

Urutan yang lebih baik

1. Ruang lingkup dan risiko: apa yang kita lindungi, dari apa, dan kerangka kerja mana yang berlaku? Analisis kesenjangan menunjukkan apa yang ditambahkan kerangka kerja berikutnya terhadap apa yang sudah Anda miliki.
2. Putuskan setiap kontrol: pemilik, frekuensi, standar, dan bukti. Tuliskan secara ringkas; itulah kumpulan kebijakan Anda (lihat satu kumpulan kebijakan untuk banyak kerangka kerja).
3. Jalankan secara manual terlebih dahulu, jika memungkinkan. Tinjauan akses triwulanan dalam spreadsheet mengajarkan apa yang perlu dilakukan alat.
4. Kemudian beli alat yang mengotomatiskan keputusan yang sudah Anda buat, dan evaluasi alat tersebut berdasarkan keputusan itu.

Kapan alat boleh didahulukan

Ada pengecualian. Perlindungan endpoint, MFA, dan cadangan (backup) layak segera diterapkan karena nilainya tidak bergantung pada penyetelan halus. Platform kepatuhan yang membantu Anda menulis kebijakan dan melacak kontrol juga dapat mempercepat langkah kedua, selama Anda memperlakukan templat dan pemetaannya sebagai draf, bukan jawaban (kami telah menulis tentang crosswalk yang tidak bisa Anda periksa).

Tampilan dari memutuskan lebih dulu

Ambil manajemen kerentanan, kontrol yang paling sering dibeli sebagai produk. Sebelum memilih pemindai, putuskan:

• Ruang lingkup: aset mana yang dipindai (internal, eksternal, cloud, container) dan bagaimana Anda tahu daftar aset sudah lengkap.
• Frekuensi: PCI DSS mensyaratkan pemindaian internal setiap tiga bulan dan setelah perubahan signifikan; CIS Controls meminta pemindaian otomatis terhadap aset internal dan eksternal; risiko Anda sendiri mungkin menuntut lebih sering.
• Tingkat keparahan dan tenggat: bagaimana temuan diberi peringkat dan seberapa cepat setiap tingkat keparahan harus diperbaiki.
• Kepemilikan: siapa yang memilah temuan, siapa yang memperbaikinya, dan siapa yang menerima risiko ketika sesuatu tidak dapat diperbaiki.
• Bukti: laporan apa yang membuktikan kontrol dijalankan dan temuan ditangani.

Dengan lima jawaban itu tertulis, evaluasi alat menjadi sederhana: apakah alat mencakup ruang lingkup, berjalan sesuai frekuensi, memberi peringkat keparahan sesuai cara Anda, dan menghasilkan bukti? Tanpa itu, setiap demo terlihat mengesankan dan tidak satu pun menjawab audit Anda. Latihan yang sama berlaku untuk pencatatan log, perlindungan endpoint, dan manajemen akses. Halaman topik kami menunjukkan apa yang diminta setiap kerangka kerja untuk setiap kontrol, yang merupakan daftar periksa yang baik untuk keputusan tersebut, dan topik manajemen kerentanan adalah tempat yang baik untuk memulai.

Poin utama

• Alat mengimplementasikan keputusan; belilah setelah memutuskan ruang lingkup, pemilik, frekuensi, dan bukti.
• Tidak ada kerangka kerja utama yang mensyaratkan produk spesifik.
• Jalankan kontrol secara manual terlebih dahulu jika memungkinkan, lalu otomatiskan.

Ujinya

Sebelum membeli, tanyakan: kontrol mana yang diimplementasikan alat ini, siapa pemilik kontrol tersebut, dan bukti apa yang akan dihasilkannya? Jika tidak ada yang bisa menjawab, pembelian itu terlalu dini.

Pertanyaan

Mana yang harus didahulukan, kebijakan atau alat?

Putuskan dulu: ruang lingkup, risiko, dan cara organisasi akan menjalankan setiap kontrol (siapa, seberapa sering, dengan standar apa). Setelah dituliskan, keputusan tersebut menjadi kebijakan dan prosedur Anda; alat kemudian mengimplementasikannya.

Apakah auditor mensyaratkan alat tertentu?

Tidak ada kerangka kerja utama yang mensyaratkan produk tertentu. Auditor mencari kontrol yang berjalan dan menghasilkan bukti, apa pun cara implementasinya.

Apakah platform otomatisasi kepatuhan layak dibeli?

Bisa, setelah Anda tahu kontrol mana yang Anda jalankan dan siapa pemiliknya. Platform unggul dalam pengingat, pengumpulan bukti, dan pelacakan; mereka tidak dapat menentukan ruang lingkup atau selera risiko Anda untuk Anda.