Wymagania dotyczące zgodności systemów informatycznych firm

Kiedy klient, audytor lub zarząd prosi o potwierdzenie bezpieczeństwa danych, nie wystarczy odpowiedzieć, że firma korzysta z Microsoft 365 lub programu antywirusowego. Wymagania dotyczące zgodności systemów informatycznych firmy polegają na możliwości wykazania, w jaki sposób zarządzany jest dostęp, chronione są dane, reaguje się na incydenty i utrzymuje ciągłość działania, jeśli coś pójdzie nie tak.

Dla małych i średnich firm nie jest to przede wszystkim zadanie teoretyczne dla inspektora ochrony danych. Jest to zadanie operacyjne. Niejasne przepisy, stare ustawienia dostępu użytkowników lub nieprzetestowane kopie zapasowe mogą prowadzić do utraty umów, przerw w działalności i kosztów, których można było uniknąć. Celem nie jest dodawanie złożoności do technologii, ale stworzenie jasnej kontroli, zmniejszenie ryzyka i udokumentowanych praktyk.

Co oznaczają wymagania dotyczące zgodności systemów informatycznych firmy?

Zgodność oznacza, że systemy informatyczne i procedury spełniają wymagania mające zastosowanie do firmy. Wymagania mogą pochodzić z przepisów prawa i ochrony danych osobowych, umów z klientami, wymagań towarzystw ubezpieczeniowych lub własnej polityki ryzyka firmy. Firma, która przetwarza dane osobowe, musi na przykład kontrolować, kto ma do nich dostęp, jak długo dane są przechowywane i jak reaguje się na naruszenia bezpieczeństwa.

Nie wszystkie wymagania są takie same. Służba zdrowia, firmy finansowe i firmy współpracujące z podmiotami publicznymi mogą podlegać szczególnym przepisom. Inne firmy częściej spotykają się z wymaganiami ze strony większych klientów, takimi jak kwestionariusze dotyczące bezpieczeństwa sieci, tworzenia kopii zapasowych, uwierzytelniania wieloskładnikowego i planów reagowania.

Jest tu ważna różnica: zgodność to nie to samo co bezpieczeństwo, ale dobre praktyki zgodności wzmacniają bezpieczeństwo. Można zaznaczyć pozycje na liście, nie mając faktycznej kontroli nad środowiskiem. Z drugiej strony, udowodnienie zgodności będzie trudne, jeśli środki bezpieczeństwa są przypadkowe i niezarejestrowane.

Zacznij od ryzyka operacyjnego, a nie od sterty dokumentów

Częstym błędem jest rozpoczynanie pracy od zbierania polityk i formularzy. Takie dokumenty są niezbędne, ale nie rozwiązują problemu, jeśli nikt nie wie, gdzie znajdują się ważne dane, jakie urządzenia są podłączone do systemów ani kto jest odpowiedzialny za kontrolę dostępu.

Lepszym punktem wyjścia jest zadawanie prostych pytań operacyjnych. Jakie dane najbardziej zaszkodziłyby firmie w przypadku ich wycieku? Które systemy zatrzymałyby sprzedaż, usługi lub przetwarzanie wynagrodzeń w przypadku ich awarii? Kto faktycznie potrzebuje dostępu do tych systemów? I jak długo działalność może być wstrzymana, zanim skutki staną się poważne?

Odpowiedzi priorytetyzują pracę. Firmy z rozproszonym personelem mogą potrzebować szczególnego nacisku na zarządzanie laptopami, bezpieczne logowanie i wsparcie użytkowników. Firma, której przychody opierają się na danych klientów, musi priorytetyzować ochronę danych, kontrolę dostępu i odzyskiwanie danych. Dlatego to, jakie środki należy podjąć w pierwszej kolejności, zależy od działalności, umów i ryzyka.

Cztery filary, które muszą się trzymać razem

Praca nad zgodnością staje się łatwiejsza do zarządzania, gdy jest zbudowana wokół kilku powiązanych obszarów operacyjnych:

• Przegląd zasobów i danych: Firma musi wiedzieć, jakie komputery, użytkownicy, oprogramowanie, usługi w chmurze i zbiory danych są w użyciu.
• Kontrola dostępu i bezpieczeństwa: Właściwi użytkownicy potrzebują właściwego dostępu, ale nie większego niż wymaga tego ich rola. Uwierzytelnianie wieloskładnikowe, zarządzanie hasłami i aktualne urządzenia są podstawą.
• Kopie zapasowe i odporność operacyjna: Kopie zapasowe muszą być chronione, monitorowane i testowane. Kopia zapasowa, której nie można odzyskać w razie potrzeby, nie jest prawdziwą ochroną.
• Dowody i odpowiedzialność: Rejestrowanie, regularne przeglądy i jasna odpowiedzialność pozwalają firmie wykazać, co zostało zrobione i kiedy.

Te filary nie powinny stać się czterema oddzielnymi zadaniami. Na przykład, gdy zatrudniany jest nowy pracownik, należy utworzyć konto zgodnie z jego rolą, zabezpieczyć jego urządzenie, zarejestrować je do zarządzania i być w stanie później wykazać, że proces został przestrzegany. Kiedy pracownik odchodzi, ten sam proces musi szybko i bezpiecznie usunąć dostęp.

Kontrola dostępu jest często najsłabszym ogniwem

Wiele firm boryka się z tym samym problemem: dostęp gromadzi się z czasem. Pracownik otrzymuje dodatkowe uprawnienia do tymczasowego zadania. Konsultant uzyskuje dostęp do wspólnej skrzynki pocztowej. Były pracownik nadal ma aktywne konto użytkownika lub powiązane prywatne urządzenie. Nikt nie zamierza tworzyć ryzyka, ale bez regularnych przeglądów środowisko dostępu staje się niezrozumiałe.

Jasna zasada minimalnych niezbędnych uprawnień jest opłacalną ochroną. Nie oznacza to, że pracownicy muszą czekać dniami na uprawnienia. Oznacza to, że dostęp jest udzielany w ramach zdefiniowanego procesu, zatwierdzany przez osobę odpowiedzialną i ponownie weryfikowany, gdy zmienia się rola.

Hasła są częścią tego, ale nie całym rozwiązaniem. Wspólne lub wielokrotnie używane hasła stwarzają niepotrzebne ryzyko i utrudniają śledzenie. Menedżer haseł, uwierzytelnianie wieloskładnikowe i scentralizowane zarządzanie użytkownikami zapewniają lepszy przegląd, nie utrudniając zbytnio codziennej pracy.

Urządzenia, aktualizacje i punkty końcowe wymagają ciągłego zarządzania

Wymagania dotyczące zgodności dotyczą nie tylko usług w chmurze. Laptopy, telefony komórkowe, serwery, a nawet drukarki mogą przechowywać lub otwierać drogę do wrażliwych informacji. Gdy urządzenie nie jest pod centralnym zarządzaniem, trudno wiedzieć, czy ma najnowsze aktualizacje bezpieczeństwa, szyfrowanie, aktywną ochronę punktu końcowego lub nieautoryzowane oprogramowanie.

Ciągłość ma znaczenie. Stan urządzeń musi być widoczny codziennie, nie tylko wtedy, gdy pracownik dzwoni z powodu problemu. Regularne monitorowanie może wskazywać na maszyny, które nie połączyły się z siecią, nieudane kopie zapasowe lub aktualizacje, które nie zostały zainstalowane. Taka praca zapobiega drobnym odchyleniom, zanim staną się incydentami operacyjnymi lub bezpieczeństwa.

Jest to również kwestia kosztów. Niezarządzane oprogramowanie, niewykorzystane licencje i wycofane z użytku urządzenia mogą generować zarówno bezpośrednie koszty, jak i niepotrzebne ryzyko. Dobry spis zasobów i regularne przeglądy pomagają menedżerom w podejmowaniu decyzji o tym, co jest użyteczne i w ochronie tego, co ważne.

Kopia zapasowa musi przejść rzeczywisty test

Ransomware, błędy ludzkie i awarie techniczne mają wspólną cechę: mogą sprawić, że dane staną się niedostępne w krótkim czasie. Dlatego nie wystarczy skonfigurować kopii zapasowej. Firma musi wiedzieć, jakie dane są kopiowane, gdzie są przechowywane kopie, czy są chronione przed zmianami i jak szybko można odzyskać systemy.

Test odzyskiwania jest kluczowym elementem. Test nie musi zawsze obejmować odzyskania całego przedsiębiorstwa, ale musi potwierdzić, że ważne pliki, poczta lub dane systemowe można pobrać w razie potrzeby. Wówczas ujawniają się również niespójności między oczekiwaniami kierownictwa a rzeczywistym czasem odzyskiwania.

Jeśli firma nie może sobie pozwolić na dwudniowy przestój, plan odzyskiwania nie może opierać się na dwóch dniach. Jest to decyzja dotycząca ryzyka i kosztów, którą należy podjąć przed wystąpieniem incydentu, a nie w środku kryzysu.

Dowody powinny stać się normalną częścią działalności

Wiele wymogów dotyczących zgodności w praktyce sprowadza się do możliwości wykazania wdrożenia. Może to obejmować listę użytkowników i urządzeń, potwierdzenie szkoleń z zakresu bezpieczeństwa, wyniki przeglądów obronnych i podatności, raporty dotyczące kopii zapasowych lub rejestr czasu zatwierdzania i usuwania dostępu.

Najlepiej jest gromadzić te dane jako część regularnego zarządzania. Jeśli wszystko zostanie odłożone na później, aż klient prześle kwestionariusz lub rozpocznie się audyt, praca stanie się kosztowna, czasochłonna i niepewna. Regularne miesięczne lub kwartalne przeglądy dają kierownictwu lepszy obraz sytuacji i jednocześnie tworzą dowody.

Polityki muszą również odzwierciedlać rzeczywistość. Niewiele pożytku przyniesie posiadanie wspaniałego dokumentu dotyczącego reakcji na incydenty, jeśli personel nie wie, gdzie szukać pomocy, gdy otrzyma podejrzany e-mail. Krótkie, wykonalne procesy, które są regularnie testowane, są cenniejsze niż skomplikowany dokument, którego nikt nie otwiera.

Gdy wewnętrzny dział IT jest mały lub nie istnieje

Mniejsze firmy nie muszą tworzyć dużego zespołu, aby zarządzać zgodnością. Potrzebują jednak jasnej odpowiedzialności. Ktoś musi monitorować narzędzia, użytkowników, kopie zapasowe, alerty bezpieczeństwa i zmiany wymagań. Jeśli odpowiedzialność jest rozproszona między pracowników, którzy mają inne główne obowiązki, ważne zadania często stają się dodatkowymi.

Zarządzanie operacyjne od partnera może stworzyć prostszą ścieżkę. W nexIT współpracujemy z firmami, aby połączyć codzienne zarządzanie systemem, bezpieczeństwo sieci, tworzenie kopii zapasowych i doradztwo w jedną łańcuchową odpowiedzialność. Zmniejsza to potrzebę wielu niespójnych narzędzi i ułatwia zobaczenie, gdzie leży ryzyko.

Najrozsądniejszym następnym krokiem nie jest kupowanie kolejnych rozwiązań. Zacznij od uczciwej oceny stanu: Czy wiecie, które systemy i dane są najważniejsze, kto ma dostęp i czy możecie odzyskać operacje? Gdy odpowiedzi będą jasne, znacznie łatwiej będzie zbudować zgodność, która ochroni zarówno firmę, personel, jak i budżet.