Կազմակերպությունները սովորաբար ձախողում են իրենց առաջին ISO 27001 աուդիտը պատճառով, որը նրանց զարմացնում է։ Վերահսկողությունները իսկապես տեղում էին։ Մուտքն իսկապես սահմանափակված էր։ Պահուստավորումներն իսկապես կատարվում էին։
Պակասում էր ապացույցը, որ այդ ամենն իրոք տեղի է ունեցել։
ISO 27001-ը նույնքան ապացույցի ստանդարտ է, որքան վերահսկողության։ Աուդիտորի գործը Ձեր ճարտարապետությանը հիանալը չէ։ Նրա գործը գրառումներ ընտրանքով ստուգելն է և տեսնելը՝ արդյոք Ձեր նկարագրած վերահսկողություններն իրոք գործել են ժամանակահատվածի ընթացքում։ Վերահսկողությունը, որի մասին գրառում չկա, աուդիտի տեսանկյունից չտարբերվում է գոյություն չունեցող վերահսկողությունից։
Սա փոխում է այն, ինչ պետք է կառուցեք։ Նպատակը աուդիտի օրը անվտանգ լինելը չէ։ Նպատակն այնպիսի ենթակառուցվածք շահագործելն է, որը շարունակաբար ապացույց է արտադրում որպես սովորական աշխատանքի կողմնակի արդյունք։
Յոթ բան, որ աուդիտորները կանոնավոր ընտրանքով ստուգում են
1. Ակտիվների ցանկ, որը համապատասխանում է իրականությանը
Աուդիտորը վերցնում է Ձեր ցանկը և համեմատում այն իրականում աշխատողի հետ, և փնտրում է անհամապատասխանությունը երկու ուղղությամբ։
Խափանման տարբերակը սովորաբար բացակայող աղյուսակը չէ։ Դա ցանկն է, որը ճշգրիտ էր գրելու պահին և այդ ժամանակից ի վեր շեղվել է․ շահագործումից հանված սերվերները դեռ նշված են, և ավելի վտանգավորը՝ արտադրության մեջ գտնվող համակարգեր, որոնք ոչ մի տեղ չեն երևում։
Դարձրեք այն ավտոմատ։ Ձեռքով վարվող ցանկը միշտ շեղվելու է։ Հայտնաբերումից, կոնֆիգուրացիայի կառավարման բազայից կամ infrastructure-as-code-ի վիճակից ստեղծվածը՝ ոչ։
2. Ընդունման, տեղափոխման և հեռացման գրառումներ
Աուդիտորն ընտրում է մի քանի մարդ, ովքեր աուդիտի ժամանակահատվածում աշխատանքի են ընդունվել, փոխել են պաշտոնը կամ հեռացել, և հետագծում է, թե ինչ է եղել նրանց մուտքի հետ։
Հեռացածների դեպքում է, որ սա ջարդվում է։ Կոնկրետ հարցն այն է․ որքա՞ն ժամանակ է անցել մարդու հեռանալու և նրա մուտքը հեռացնելու միջև։ Եթե պատասխանը «անում ենք, երբ HR-ը տեղեկացնի» է, իսկ HR-ը տեղեկացնում է շաբաթը մեկ, ապա Դուք ունեք գտածո։
Ձեզ պետք է գրառում յուրաքանչյուր ինքնության համար, որը ցույց է տալիս՝ ինչ է տրամադրվել, երբ, ում կողմից, ինչ հիմքով և երբ է հետ կանչվել։
3. Պարբերական մուտքի վերանայման ապացույց
Ոչ թե քաղաքականությունը, որը նշում է, որ վերանայումներ են անցկացվում։ Տեղի ունեցած վերանայումների արդյունքը։
Հիմնավորելի վերանայման գրառումը ցույց է տալիս ամսաթիվը, կատարողին, շրջանակը, ինչ է հայտնաբերվել և ինչ է փոխվել դրա արդյունքում։ Վերանայումը, որը երբեք ոչ մի մուտք չի հեռացնում, դիտվում է կասկածանքով՝ դա հուշում է, որ վերանայումը ձևական է եղել։
4. Արտադրական համակարգերի փոփոխությունների գրառումներ
Արտադրական փոփոխությունների ընտրանքի համար աուդիտորն ուզում է տեսնել՝ ինչ է փոխվել, ով է հաստատել, երբ և ինչ էր հետդարձի պլանը։
Հենց այստեղ են infrastructure-as-code-ը և CI/CD pipeline-ները փոխհատուցում իրենց արժեքը աուդիտի պահին։ Եթե արտադրական փոփոխություններն անցնում են տարբերակների վերահսկողության և pipeline-ի միջով, Ձեր փոփոխությունների գրառումն արդեն գոյություն ունի․ commit-ը, վերանայողը, հաստատումը, տեղակայման գրառումը և տարբերությունը։ Դուք ապացույց չեք արտադրում աուդիտի համար։ Դուք արտահանում եք ապացույց, որն արդեն ունեիք։
Կազմակերպությունները, որոնք փոփոխություններ են անում ձեռքով սերվերների վրա, ստիպված են վերականգնել այս ամենը հիշողությունից և հայտերի համակարգից, ինչը թանկ է և հաճախ՝ թերի։
5. Խոցելիությունների սկանավորման արդյունքներ՝ վերացման հետևմամբ
Սկանավորումը հեշտ կեսն է։ Աուդիտորի իրական հետաքրքրությունն այն է, թե ինչ է եղել սկանից հետո։
Նրանք կփնտրեն՝ սկաներ, որոնք կատարվում են սահմանված ժամանակացույցով․ գտածոներ, դասակարգված ըստ կարևորության՝ փաստաթղթավորված ժամկետներով․ ապացույց, որ բարձր կարևորության գտածոները վերացվել են այդ ժամկետում․ և փաստաթղթավորված, հաստատված հիմնավորում այն ամենի համար, ինչն ընդունվել է, այլ ոչ թե շտկվել։
Սկանավորման պատմությունը, որը ցույց է տալիս նույն կրիտիկական գտածոն ութ ամիս բաց վիճակում, ավելի վատ է, քան ընդհանրապես չսկանավորելը, քանի որ ապացուցում է, որ Դուք գիտեիք։
6. Պահուստավորման վերականգնման թեստերի արդյունքներ
Պահուստավորումների կատարվելն ապացույց չէ, որ տվյալները կարելի է վերականգնել։ Միայն վերականգնումն է դա ապացուցում։
Աուդիտորն ուզում է թվագրված վերականգնման թեստերի գրառումներ՝ ինչ է վերականգնվել, որքան է տևել, արդյոք ամբողջական էր և ինչ է արվել ձախողվածի հետ։ NIST SP 800-34-ը նույն միտքն է հայտնում արտակարգ իրավիճակների պլանավորման մասին․ չթեստավորված պլանը ենթադրություն է։
Սա նաև այն վերահսկողությունն է, որն ամենայն հավանականությամբ իրական անակնկալ կմատուցի առաջին իսկ անգամ, երբ իսկապես թեստավորվի։
7. Լոգերի պահպանման ապացույց
Ձեզ կհարցնեն՝ արդյոք լոգերը պահվում են Ձեր հայտարարած ժամկետով և արդյոք դրանք պաշտպանված են այն մարդկանց կողմից փոփոխությունից, որոնց գործողություններն արձանագրում են։
Անհարմար հետևյալ հարցը․ կարո՞ղ է ադմինիստրատորը ջնջել իր իսկ գործողությունների լոգերը։ Եթե այո, ապա լոգերը ադմինիստրատորների վերաբերյալ ապացույց չեն։ Ադմինիստրատորի վերահսկողությունից դուրս գտնվող, միայն գրանցման համար նախատեսված պահոց փոխանցումը սովորական պատասխանն է։
Գործիքավորումը, որը ստեղծում է բոլոր յոթը
Վերը նշված գրեթե ամեն ինչ բխում է ենթակառուցվածքային նույն որոշումներից․
- Սրանցից ոչ մեկը
- համապատասխանության գործիք չէ
- Ապացույցը
- լավ շահագործվող ենթակառուցվածքի կողմնակի արդյունք է
- Հենց դրա համար էլ
- այն չի դադարում աուդիտի ավարտին
Այս դիագրամը՝ տեքստով
- Սովորական ենթակառուցվածքային պրակտիկա
- Ենթակառուցվածքը որպես կոդ, խողովակաշարերով
- Կենտրոնացված ինքնություն՝ ավտոմատ տրամադրումով
- Միայն-ավելացվող մատյանների ագրեգացիա
- Պլանավորված սկանավորում՝ տոմսերով
- Ավտոմատ վերականգնման փորձարկում
- Ավտոմատ հայտնաբերում
- Ինչ է նմուշառում աուդիտորը
- Փոփոխման գրառումներ, հաստատումներ, հետգլորման պլաններ
- Միացման, տեղափոխման և հեռացման գրառումներ
- Պահպանման ապացույց և միջադեպերի ժամանակագրություն
- Սկանավորման պատմություն՝ վերացումով, մեկ հետքում
- Թվագրված վերականգնման արդյունքներ՝ տևողությամբ
- Գույքագրում, որը չի կարող լուռ շեղվել
Կապեր
- Ենթակառուցվածքը որպես կոդ, խողովակաշարերով → Փոփոխման գրառումներ, հաստատումներ, հետգլորման պլաններ
- Կենտրոնացված ինքնություն՝ ավտոմատ տրամադրումով → Միացման, տեղափոխման և հեռացման գրառումներ
- Միայն-ավելացվող մատյանների ագրեգացիա → Պահպանման ապացույց և միջադեպերի ժամանակագրություն
- Պլանավորված սկանավորում՝ տոմսերով → Սկանավորման պատմություն՝ վերացումով, մեկ հետքում
- Ավտոմատ վերականգնման փորձարկում → Թվագրված վերականգնման արդյունքներ՝ տևողությամբ
- Ավտոմատ հայտնաբերում → Գույքագրում, որը չի կարող լուռ շեղվել
Նկատեք, որ սրանցից ոչ մեկը համապատասխանության գործիք չէ։ Սրանք սովորական լավ ենթակառուցվածքային պրակտիկա են։ Ապացույցը կողմնակի արդյունք է, ինչն էլ հենց այն դիրքն է, որում ուզում եք լինել, քանի որ հատուկ աուդիտորի համար արտադրված ապացույցը թանկ է, դժգոհություն է առաջացնում և դադարում է աուդիտի ավարտի պահին։
Երկու բան, որոնք տեխնոլոգիայի մասին չեն
Շրջանակը։ Շրջանակը սխալ որոշելը ամենաթանկ վաղ սխալն է։ Չափազանց լայն՝ և Դուք պաշտպանում ու ապացուցում եք համակարգեր, որոնք շրջանակում լինելու կարիք չունեին։ Չափազանց նեղ՝ և սերտիֆիկատը չի ծածկում այն, ինչի մասին հարցնում են Ձեր հաճախորդները, ինչը զրոյացնում է ամբողջ նպատակը։ Շրջանակը որոշեք ըստ այն բանի, թե ինչ պետք է իրականում տեսնեն Ձեր հաճախորդները և կարգավորողները։
Ժամանակը։ Առաջին սերտիֆիկացումների մեծ մասը սահմանափակված չէ վերացման արագությամբ։ Դրանք սահմանափակված են վերահսկողությունների գործելու բավարար ժամանակի պահանջով, որպեսզի դրանք կարելի լինի ընտրանքով ստուգել։ Սա չեք կարող սեղմել ավելի շատ աշխատելով, միայն՝ ավելի շուտ սկսելով։ Ցանկացած ոք, ով խոստանում է սերտիֆիկացում մի քանի շաբաթում՝ զրոյից, նկարագրում է ինչ-որ այլ բան, ոչ թե իրական աուդիտ։
Իրատեսական հաջորդականություն
- Բացերի գնահատում՝ ազնվորեն պարզել, թե ինչ կա ստանդարտի համեմատ
- Շրջանակի որոշում՝ ինչ պետք է ծածկի սերտիֆիկատը և ինչու
- Վերացում՝ ըստ աուդիտի ռիսկի, ոչ թե ըստ հեշտության
- Գործիքավորում՝ ապացույցը դարձնել կողմնակի արդյունք, ըստ վերևի աղյուսակի
- Գործելու ժամանակահատված՝ թույլ տալ վերահսկողություններին աշխատել և գրառումներ կուտակել
- Ներքին աուդիտ՝ գտնել սեփական գտածոները նախքան աուդիտորը
- Սերտիֆիկացման աուդիտ՝ Փուլ 1՝ փաստաթղթերի վերանայում, ապա Փուլ 2՝ ապացույցների ընտրանք
6-րդ քայլն ամենից հաճախ բաց է թողնվում և ունի լավագույն արդյունավետությունը։ Ներքին աուդիտը, որը գտնում է հինգ խնդիր, հինգ գտածո է, որը կարող եք լուռ շտկել։
Որտեղ է «ԷՍ ԹԻ ՓԻ»-ի դերը
Հստակ ասենք․ «ԷՍ ԹԻ ՓԻ»-ն ISO 27001 սերտիֆիկացված չէ։ Մենք ներդնում, աուդիտի ենք ենթարկում և փաստաթղթավորում ենթակառուցվածքը, որպեսզի մեր հաճախորդները կարողանան ստանալ և պահպանել սերտիֆիկացումը, իսկ մեր ներքին պրակտիկան համապատասխանեցված է ստանդարտին։ Մենք երբեք չենք ցուցադրի չվաստակած նշան՝ տե՛ս մեր վստահության կենտրոնը։
Այն, ինչ անում ենք, վերը նշված ցանկի ենթակառուցվածքային կողմն է․ բացերի գնահատում, վերացում՝ առաջնահերթված ըստ աուդիտի ռիսկի, ապացույցների ավտոմատացում և աուդիտորի հետ աշխատանք վերահսկողությունների ցուցադրման ընթացքում։
Ավելին՝ աուդիտ և համապատասխանության ապահովում, կամ կապվեք մեզ հետ։