Доказательства и отчётность

Недостаточно заявить, что вы защищены: это нужно доказать. Подтверждающие материалы и отчеты демонстрируют аудиторам, клиентам и регулирующим органам, что меры контроля существуют и работают заявленным образом.

В рамках аудита мера контроля без документации фактически считается несуществующей.

Подтверждающими материалами считается все, что объективно показывает работоспособность контрольной меры:

• Выгрузки конфигурации и системные настройки.
• Записи проверок доступа и утверждений.
• Журналы (входов в систему, изменений и аудита).
• Снимки экрана с отметками времени.
• Заявки, политики и протоколы совещаний.

Качественные подтверждающие материалы обладают следующими свойствами:

• Релевантность проверяемой контрольной мере.
• Достаточность по объему (охватывают весь период).
• Надежность и защищенность от незаметного изменения (автоматически созданные системой надежнее заявлений без подтверждения).
• Своевременность, то есть наличие в период аудита.

Для разных аудитов требуется разная глубина подтверждения:

• На момент проверки (SOC 2 Type I): контрольная мера существует сегодня.
• За определенный период (SOC 2 Type II): контрольная мера работала в течение нескольких месяцев, поэтому нужны регулярно создаваемые подтверждения, например ежемесячные проверки доступа.

Для материалов об инцидентах и судебной экспертизе поддерживайте цепочку хранения: документируйте, кто собрал, обрабатывал и хранил каждый объект. Нарушение цепочки может сделать материалы недопустимыми или ненадежными.

Аудиторы редко проверяют каждую запись. Они берут репрезентативную выборку. Ваша задача — предоставить полные данные по всей совокупности записей, чтобы выборка была достоверной (например, полный список новых сотрудников при проверке мер контроля оформления на работу).

Ручной сбор снимков экрана не подходит для больших объемов. Инструменты автоматизации соответствия требованиям непрерывно получают подтверждающие материалы из облачных систем и систем управления удостоверениями, поддерживая их актуальность и снижая авральную нагрузку перед аудитом.

Хороший отчет должен быть понятен как техническим специалистам, так и руководителям:

• Резюме для руководства: общее состояние защищенности и ключевые риски.
• Объем и методика проверки.
• Выявленные проблемы с указанием серьезности и подтверждающих материалов.
• Рекомендации и статус устранения проблем.

Адаптируйте сообщение к аудитории. Руководителям нужны сведения о рисках и влиянии на бизнес, а инженерам — конкретные детали и шаги воспроизведения. Избегайте жаргона в резюме и расплывчатости в технических деталях.

Храните подтверждающие материалы столько, сколько требуют нормативная база и ваша политика, часто год и более. Безопасно храните их с применением управления доступом, поскольку сами материалы могут содержать конфиденциальные настройки и персональные данные.

Отчет — это начало работы, а не ее конец. Передавайте выявленные проблемы в систему отслеживания устранения, исправляйте первопричины и учитывайте полученные уроки в следующем цикле. Зрелые программы демонстрируют со временем снижение числа повторных проблем.

Подтверждающие материалы и отчеты доказывают соответствие требованиям:

• Собирайте релевантные, достаточные, надежные и своевременные подтверждающие материалы.
• Соотносите глубину проверки с аудитом на момент проверки или за период.
• Поддерживайте цепочку хранения и обеспечивайте достоверность выборки.
• Составляйте понятные отчеты и передавайте выявленные проблемы в процесс устранения.