Samræmiskröfur upplýsingakerfa fyrirtækja

Þegar viðskiptavinur, endurskoðandi eða stjórn biður um staðfestingu á því að gögn séu örugg, dugar ekki að svara því að fyrirtækið noti Microsoft 365 eða vírusvörn. Samræmiskröfur upplýsingakerfa fyrirtækja snúast um að geta sýnt fram á hvernig aðgangi er stýrt, gögnum er varið, atvikum er brugðist við og rekstri er haldið gangandi ef eitthvað fer úrskeiðis.

Fyrir lítil og meðalstór fyrirtæki er þetta ekki fyrst og fremst fræðilegt verkefni fyrir regluvörð. Þetta er rekstrarverkefni. Óskýrar reglur, gamlar notendaaðgangsstillingar eða óprófuð afrit geta valdið töpuðum samningum, rekstrarstöðvun og kostnaði sem hefði verið hægt að forðast. Markmiðið er ekki að bæta flækju við tæknina heldur að skapa skýra stjórn, minni áhættu og sannanleg vinnubrögð.

Hvað felst í samræmiskröfum upplýsingakerfa fyrirtækja?

Samræmi merkir að upplýsingakerfi og verklag uppfylli þær kröfur sem eiga við um fyrirtækið. Kröfurnar geta komið úr lögum og persónuverndarreglum, samningum við viðskiptavini, kröfum tryggingafélaga eða eigin áhættustefnu fyrirtækisins. Fyrirtæki sem vinnur með persónuupplýsingar þarf til dæmis að hafa stjórn á því hverjir fá aðgang að þeim, hversu lengi gögn eru varðveitt og hvernig brugðist er við öryggisbresti.

Ekki eru allar kröfur eins. Heilbrigðisþjónusta, fjármálafyrirtæki og fyrirtæki sem vinna fyrir opinbera aðila geta þurft að fylgja sértækum reglum. Önnur fyrirtæki standa frekar frammi fyrir kröfum frá stærri viðskiptavinum, svo sem spurningalistum um netöryggi, afritun, fjölþáttaauðkenningu og viðbragðsáætlanir.

Þar liggur mikilvægur munur: Samræmi er ekki það sama og öryggi, en gott samræmisstarf styrkir öryggi. Hægt er að merkja við atriði á lista án þess að hafa raunverulega stjórn á umhverfinu. Aftur á móti verður erfitt að sanna samræmi ef öryggisráðstafanir eru tilviljanakenndar og óskráðar.

Byrjið á rekstraráhættu, ekki skjalabunka

Algeng mistök eru að hefja vinnuna á því að safna stefnum og eyðublöðum. Slík skjöl eru nauðsynleg, en þau leysa ekki vandann ef enginn veit hvar mikilvæg gögn eru, hvaða tæki tengjast kerfunum eða hver ber ábyrgð á aðgangsstýringu.

Betri upphafspunktur er að spyrja einfaldra rekstrarspurninga. Hvaða gögn myndu skaða fyrirtækið mest ef þau lækju? Hvaða kerfi myndu stöðva sölu, þjónustu eða launavinnslu ef þau féllu niður? Hverjir þurfa í raun aðgang að þessum kerfum? Og hversu lengi má reksturinn standa niðri áður en áhrifin verða alvarleg?

Svörin forgangsraða vinnunni. Fyrirtæki með dreift starfsfólk þarf mögulega að leggja sérstaka áherslu á stjórnun fartölva, örugga innskráningu og stuðning við notendur. Fyrirtæki sem byggir tekjur á viðskiptavinagögnum þarf að setja gagnavernd, aðgangsstýringu og endurheimt gagna í forgang. Það fer því eftir starfsemi, samningum og áhættu hvaða ráðstafanir eiga að koma fyrst.

Fjórar stoðir sem þurfa að haldast saman

Samræmisvinna verður viðráðanlegri þegar hún er byggð upp í kringum fá, tengd rekstrarsvið:

• Yfirsýn yfir eignir og gögn: Fyrirtækið þarf að vita hvaða tölvur, notendur, hugbúnaður, skýjaþjónustur og gagnasöfn eru í notkun.
• Aðgangs- og öryggisstýring: Réttir notendur þurfa réttan aðgang, en ekki meiri aðgang en hlutverkið krefst. Fjölþáttaauðkenning, lykilorðastýring og uppfærð tæki eru grunnatriði.
• Afritun og rekstrarþol: Afrit verða að vera varin, vöktuð og prófuð. Afrit sem ekki er hægt að endurheimta þegar á reynir er ekki raunveruleg vörn.
• Sannanir og ábyrgð: Skráning, regluleg yfirferð og skýr ábyrgð gera fyrirtækinu kleift að sýna hvað er gert og hvenær.

Þessar stoðir eiga ekki að verða fjögur aðskilin verkefni. Þegar nýr starfsmaður er ráðinn þarf til dæmis að búa til aðgang í samræmi við hlutverk, tryggja tækið hans, skrá það í umsýslu og geta síðar sýnt að ferlið hafi verið fylgt. Þegar starfsmaður hættir þarf sama ferli að fjarlægja aðgang hratt og örugglega.

Aðgangsstýring er oft veikasti hlekkurinn

Mörg fyrirtæki eiga við sama vandamál að stríða: Aðgangar safnast upp með tímanum. Starfsmaður fær aukin réttindi fyrir tímabundið verkefni. Ráðgjafi fær aðgang að sameiginlegu pósthólfi. Fyrrverandi starfsmaður er enn með virkt notandanafn eða tengt einkatæki. Enginn ætlar sér að skapa áhættu, en án reglulegrar yfirferðar verður aðgangsumhverfið óskiljanlegt.

Skýr regla um minnsta nauðsynlega aðgang er hagkvæm vörn. Hún þýðir ekki að starfsfólk þurfi að bíða dögum saman eftir heimildum. Hún þýðir að aðgangur er veittur með skilgreindu ferli, samþykktur af ábyrgðaraðila og endurskoðaður þegar hlutverk breytist.

Lykilorð eru hluti af þessu, en ekki öll lausnin. Sameiginleg eða endurnotuð lykilorð skapa óþarfa áhættu og gera rekjanleika lélegan. Lykilorðastjóri, fjölþáttaauðkenning og miðlæg stjórnun notenda gefa betri yfirsýn án þess að gera daglegt starf óþarflega þungt.

Tæki, uppfærslur og endapunktar þurfa stöðuga umsýslu

Samræmiskröfur ná ekki aðeins til skýjaþjónusta. Fartölvur, farsímar, netþjónar og jafnvel prentarar geta geymt eða opnað leið að viðkvæmum upplýsingum. Þegar tæki er ekki undir miðlægri umsýslu er erfitt að vita hvort það hafi nýjustu öryggisuppfærslur, dulkóðun, virka endpoint-vörn eða óviðkomandi hugbúnað.

Hér skiptir samfella máli. Staða tækja þarf að vera sýnileg daglega, ekki aðeins þegar starfsmaður hringir vegna vandamáls. Regluleg vöktun getur bent á vélar sem hafa ekki tengst neti, misheppnaðar afritanir eða uppfærslur sem ekki hafa farið í gegn. Slík vinna kemur í veg fyrir smávægileg frávik áður en þau verða rekstrar- eða öryggisatvik.

Þetta er jafnframt kostnaðarmál. Óstýrður hugbúnaður, ónotuð notendaleyfi og tæki sem eru farin úr notkun geta skapað bæði beinan kostnað og óþarfa áhættu. Góð eignaskrá og regluleg yfirferð hjálpa stjórnendum að greiða fyrir það sem nýtist og verja það sem skiptir máli.

Afritun verður að standast raunverulegt próf

Ransomware, mannleg mistök og tæknibilanir eiga það sameiginlegt að geta gert gögn óaðgengileg á skömmum tíma. Þess vegna er ekki nóg að afritun sé stillt upp. Fyrirtækið þarf að vita hvaða gögn eru afrituð, hvar afritin eru geymd, hvort þau séu varin gegn breytingum og hversu hratt hægt sé að endurheimta kerfi.

Endurheimtarpróf er þar lykilatriði. Prófið þarf ekki alltaf að fela í sér að endurheimta allt fyrirtækið, en það þarf að staðfesta að hægt sé að sækja mikilvægar skrár, póst eða kerfisgögn þegar á reynir. Þá koma einnig í ljós ósamræmi milli væntinga stjórnenda og raunverulegs endurheimtutíma.

Ef fyrirtækið þolir ekki tveggja daga stöðvun, má endurheimtaráætlunin ekki byggja á tveimur dögum. Þetta er ákvörðun um áhættu og kostnað sem þarf að taka áður en atvik verður, ekki í miðri krísu.

Sönnunargögn eiga að verða eðlilegur hluti rekstursins

Margar samræmiskröfur snúast í reynd um að geta sýnt fram á framkvæmd. Það getur falist í skrá yfir notendur og tæki, staðfestingu á öryggisfræðslu, niðurstöðum úr varnar- og veikleikayfirferðum, skýrslum um afritun eða skráningu á því hvenær aðgangar voru samþykktir og fjarlægðir.

Best er að safna þessum gögnum sem hluta af reglulegri umsýslu. Ef beðið er með allt þar til viðskiptavinur sendir spurningalista eða úttekt stendur fyrir dyrum, verður vinnan dýr, tímafrek og óviss. Regluleg mánaðarleg eða ársfjórðungsleg yfirferð gefur stjórnendum betri mynd af stöðunni og skapar sönnunargögn á sama tíma.

Stefnur þurfa einnig að endurspegla raunveruleikann. Það gagnast lítið að eiga glæsilegt skjal um öryggisviðbrögð ef starfsfólk veit ekki hvert það á að leita þegar grunsamlegur tölvupóstur berst. Stutt, framkvæmanleg ferli sem eru prófuð reglulega eru verðmætari en flókið skjal sem enginn opnar.

Þegar innri IT-deild er lítil eða engin

Smærri fyrirtæki þurfa ekki að byggja upp stórt teymi til að ná stjórn á samræmismálum. Þau þurfa hins vegar skýra ábyrgð. Einhver þarf að fylgjast með tækjum, notendum, afritum, öryggisviðvörunum og breytingum á kröfum. Ef ábyrgðin er dreifð milli starfsfólks sem hefur önnur aðalstörf, verða mikilvæg verkefni oft að aukaverkum.

Þar getur rekstrarumsýsla frá samstarfsaðila skapað einfaldari leið. Hjá nexIT vinnum við með fyrirtækjum að því að tengja daglega kerfisstjórnun, netöryggi, afritun og ráðgjöf í eina ábyrgðarkeðju. Það dregur úr þörfinni á mörgum ósamræmdum verkfærum og gerir auðveldara að sjá hvar áhættan liggur.

Skynsamlegasta næsta skrefið er ekki að kaupa fleiri lausnir. Byrjið á heiðarlegri stöðugreiningu: Vitið þið hvaða kerfi og gögn skipta mestu, hverjir hafa aðgang og hvort þið getið endurheimt reksturinn? Þegar svörin eru skýr verður mun auðveldara að byggja samræmi sem ver bæði fyrirtækið, starfsfólkið og fjárhagsáætlunina.