בהיערכות ל־SOC 2 או ל־ISO 27001, הקושי הוא לא תמיד מחסור בנהלים. לעיתים הנהלים קיימים, אבל אין ראיות עדכניות שמראות איך הם מיושמים. כשלקוח או צוות רכש מבקש לבדוק את הדברים, הפער מתגלה.
מה צריך לתעד בשגרה?
סקירות הרשאות, תיעוד שינויים, בדיקות גיבוי, תרגילי תגובה לאירוע ובדיקות ספקים צריכים להתבצע בתדירות מוגדרת. לכל בקרה נדרשים אחראי ומקום מסודר לשמירת התוצרים, כך שאפשר יהיה לעקוב אחרי העבודה.
את התדירות קובעים לפי הסיכון, קצב השינויים והדרישות החוזיות. בחלק מהתחומים תתאים בדיקה חודשית או רבעונית. גישה למערכות ייצור ושינויים משמעותיים עשויים להצדיק מעקב תכוף יותר. אין לוח זמנים אחד שמתאים לכל ארגון.
מחברים בין ISO ל־SOC 2
אותה מערכת קריאות, אותה סקירת הרשאות ואותו יומן אירועים יכולים לתמוך בדרישות שונות. ממפים את הבקרות למסגרות הרלוונטיות, ומנהלים רשימה מבוקרת של סיכונים, פעולות טיפול ואחראים. כך מצמצמים גיליונות מקבילים שסותרים זה את זה.
בארגונים הפועלים בקנדה צריך להביא בחשבון גם את דיני הפרטיות הפדרליים, הפרובינציאליים והענפיים החלים על הפעילות. מפת המידע ורשימת הספקים צריכות לשקף את המציאות כדי שההצהרות ללקוחות יהיו מדויקות.
צעד מעשי להתחלה
בחרו הצהרה אחת באתר או במסמך ללקוח ובדקו אילו ראיות תומכות בה. אם אין ראיות מספקות, צמצמו את ההצהרה או השלימו את העבודה הנדרשת. חזרו על הבדיקה כחלק מהשגרה.
שאלות שעולות בדרך
באיזו תדירות אוספים ראיות? בהתאם לפעולת הבקרה ולסיכון, ולא רק לתאריך הביקורת. האם אפשר להשתמש באותן ראיות בשתי מסגרות? כן, כשממפים אותן לדרישות ושומרים על ההקשר והתקופה הנכונים. איך משלבים פרטיות? בודקים את חובות הארגון ואת זרימת המידע כחלק מבדיקת הבקרות.