Dowody i raportowanie

Samo stwierdzenie, że bezpieczeństwo jest zapewnione, nie wystarczy — trzeba to udowodnić. Dowody i raporty pokazują audytorom, klientom i organom regulacyjnym, że mechanizmy kontroli istnieją i działają zgodnie z deklaracjami.

W audycie mechanizm kontroli, którego nie udokumentowano, w praktyce nie istnieje.

Dowodem jest wszystko, co obiektywnie pokazuje, że mechanizm kontroli działa:

• Eksporty konfiguracji i ustawienia systemowe.
• Rejestry przeglądów dostępu i zatwierdzeń.
• Logi (logowania, zmian i audytowe).
• Zrzuty ekranu z sygnaturami czasowymi.
• Zgłoszenia, polityki i protokoły spotkań.

Wysokiej jakości dowody mają kilka cech:

• Istotność dla testowanego mechanizmu kontroli.
• Wystarczająca ilość (obejmują cały badany okres).
• Wiarygodność i odporność na manipulacje (dowody generowane przez system są lepsze niż same deklaracje).
• Aktualność, czyli pochodzenie z okna audytowego.

Różne audyty wymagają dowodów o różnym poziomie szczegółowości:

• Stan na konkretny moment (SOC 2 Type I): mechanizm kontroli istnieje dzisiaj.
• Cały okres (SOC 2 Type II): mechanizm kontroli działał przez wiele miesięcy, dlatego potrzebne są cykliczne dowody, takie jak comiesięczne przeglądy dostępu.

W przypadku dowodów dotyczących incydentów i analiz kryminalistycznych należy utrzymywać łańcuch dowodowy: udokumentowany rejestr osób, które zebrały, obsługiwały i przechowywały każdy element. Przerwany łańcuch dowodowy może sprawić, że dowód będzie niedopuszczalny lub niewiarygodny.

Audytorzy rzadko przeglądają każdy rekord. Pobierają reprezentatywną próbkę. Państwa zadaniem jest udostępnienie kompletnych danych całej populacji, aby próbka była prawidłowa (np. pełnej listy nowo zatrudnionych osób podczas testowania mechanizmów kontroli wdrażania pracowników).

Ręczne wykonywanie zrzutów ekranu nie skaluje się. Narzędzia do automatyzacji zgodności stale pobierają dowody z systemów chmurowych i tożsamości, utrzymując ich aktualność i ograniczając spiętrzenie prac przed audytem.

Dobry raport jasno komunikuje się zarówno z odbiorcami technicznymi, jak i kadrą zarządzającą:

• Podsumowanie dla kadry zarządzającej: ogólny stan bezpieczeństwa i najważniejsze zagrożenia.
• Zakres i metodologia.
• Ustalenia wraz z poziomem istotności i dowodami.
• Zalecenia i stan działań naprawczych.

Należy dostosować przekaz do odbiorców. Kadra zarządzająca potrzebuje informacji o ryzyku i wpływie na działalność, a inżynierowie — szczegółów i kroków odtworzenia problemu. W podsumowaniach należy unikać żargonu, a w szczegółach technicznych — ogólników.

Dowody należy przechowywać tak długo, jak wymagają tego dane ramy zgodności i Państwa polityka — często przez rok lub dłużej. Należy przechowywać je w bezpieczny sposób i stosować mechanizmy kontroli dostępu, ponieważ same dowody mogą zawierać wrażliwe informacje o konfiguracji i dane osobowe.

Raport jest punktem wyjścia, a nie końcem. Należy wprowadzać ustalenia do rejestru działań naprawczych, usuwać przyczyny źródłowe i wykorzystywać wnioski w kolejnym cyklu. Dojrzałe programy wykazują z czasem spadek liczby powtarzających się ustaleń.

Dowody i raporty potwierdzają zgodność:

• Należy gromadzić dowody istotne, wystarczające, wiarygodne i aktualne.
• Należy dopasować poziom szczegółowości do audytów obejmujących konkretny moment lub cały okres.
• Należy utrzymywać łańcuch dowodowy i zapewniać prawidłowe próbkowanie.
• Należy pisać jasne raporty i przekazywać ustalenia do procesu działań naprawczych.