每個(gè)研究信息安然和IT合規(guī)性的專家都知道，其實(shí)IT合規(guī)性文檔對(duì)正在進(jìn)行的IT合規(guī)性項(xiàng)目標(biāo)可行性是相當(dāng)首要的。那么，為甚么這個(gè)首要的任務(wù)常常被忽視，被回類于那些“今后再做”的工作列表中，并被像垃圾一樣扔在各美國企業(yè)的桌面上?
記實(shí)合規(guī)性文檔其實(shí)不麻煩。我們都知道在大年夜型組織中，安然節(jié)制的書面申明對(duì)確保合規(guī)性工作的延續(xù)性是很是首要的。在大年夜型組織中，責(zé)任總在部門和部門之間改變，而跟著人事的勾當(dāng)，小我之間的責(zé)任也在變換。與此同時(shí)，良多律例都明白劃定需要正式的安然節(jié)制文件。但是，保護(hù)這個(gè)合規(guī)性文檔是IT合規(guī)性勾當(dāng)中最常常被忽視的環(huán)節(jié)之一。
在這篇文章中，我們會(huì)商一些企業(yè)可以用來改良合規(guī)性節(jié)制文檔的編制，開辟一個(gè)可延續(xù)成長的打算來保護(hù)安然文檔，并體味良多組織需要順從的具體文檔要求。
記實(shí)安然節(jié)制
肆意合規(guī)性文檔的根基方針都是保護(hù)一個(gè)組織必需遵循的各項(xiàng)規(guī)章軌制所授權(quán)的所有節(jié)制方針列表，然后按照這個(gè)有具體節(jié)制描述的列表來實(shí)現(xiàn)節(jié)制目標(biāo)。組織所利用的一種常見編制是經(jīng)由過程逐點(diǎn)臚陳的根本要求來為項(xiàng)目標(biāo)各項(xiàng)規(guī)章軌制指定一份書面合規(guī)性打算。這份文檔的復(fù)雜性取決于包含在每個(gè)規(guī)章要求里面的細(xì)節(jié)程度。一般來講，合規(guī)性文檔中應(yīng)當(dāng)包含一個(gè)需求描述，節(jié)制描述，最后一次驗(yàn)證節(jié)制安然的節(jié)制與信息負(fù)責(zé)人的聯(lián)系信息。
好比，一份PCI DSS(數(shù)據(jù)安然尺度)合規(guī)性打算關(guān)于措置要求的 12.1節(jié)應(yīng)當(dāng)包含以下三個(gè)部門內(nèi)容：
要求：擬定、發(fā)布、保護(hù)和傳播一個(gè)安然策略，以解決所有PCI DSS要求。
節(jié)制描述：企業(yè)信息安然策略(可在SharePoint上獲得的策略文件夾)的第3節(jié)中包含解決每個(gè)PCI DSS要求的具體描述。
負(fù)責(zé)人：Mary Jones， IT策略辦公室，x51242
引文來歷：PCI DSS 12.1.1
最后驗(yàn)證人：2013年6月1日 Tom Abrams
要求：指定、發(fā)布、保護(hù)和傳播一個(gè)安然策略，包含一個(gè)年度威脅和縫隙辨認(rèn)過程，并生成一份正式的風(fēng)險(xiǎn)評(píng)估陳述。
節(jié)制描述：企業(yè)信息安然策略(可在SharePoint上獲得的策略文件夾)的4.1節(jié)中包含年度正式的風(fēng)險(xiǎn)評(píng)估要求。這個(gè)風(fēng)險(xiǎn)評(píng)估在每年5月進(jìn)行，成果保留在IT合規(guī)內(nèi)網(wǎng)的風(fēng)險(xiǎn)評(píng)估文件夾中。
負(fù)責(zé)人：Robert Smith，IT安然辦公室，x58294
引文來歷：PCI DSS 12.1.2
最后驗(yàn)證人：2013年6月1日 Tom Abrams
要求：擬定、發(fā)布、保護(hù)和傳播一個(gè)安然策略，包含起碼每年一次的評(píng)審陳述，或環(huán)境改變時(shí)的評(píng)審陳述。
節(jié)制描述：企業(yè)信息安然策略(可在SharePoint上獲得的策略文件夾)的5.2節(jié)中包含年度或環(huán)境改變的評(píng)審要求。這個(gè)評(píng)審陳述用備忘錄情勢(shì)記實(shí)并保留在IT合規(guī)內(nèi)網(wǎng)的策略評(píng)審文件夾中。
負(fù)責(zé)人：Robert Smith，IT安然辦公室，x58294
引文來歷：PCI DSS 12.1.3
最后驗(yàn)證人：2013年6月1日 Tom Abrams
這些文檔的成立需要合規(guī)性打算項(xiàng)目標(biāo)所有負(fù)責(zé)人之間的協(xié)同盡力。在良多大年夜型組織中，成立這些文檔多是一個(gè)已存在的合規(guī)性或風(fēng)險(xiǎn)治理委員會(huì)的責(zé)任。小我好處相干者可能包含信息安然專業(yè)人士、政策闡發(fā)師、合規(guī)專家和法令參謀。一旦合規(guī)性文檔完成，它就是可以驗(yàn)證組織正在進(jìn)行時(shí)項(xiàng)目標(biāo)合規(guī)性的貴重資本，也能夠在肆意審計(jì)標(biāo)題問題呈現(xiàn)時(shí)大年夜大年夜減小解決標(biāo)題問題標(biāo)難度。
評(píng)審合規(guī)打算
一個(gè)組織的各類合規(guī)性打算的年度評(píng)審都應(yīng)當(dāng)在IT合規(guī)性日程表上被放置作為常常性的勾當(dāng)，并且和其它首要的合規(guī)刻日和里程碑一樣首要。每個(gè)評(píng)審過程都應(yīng)當(dāng)順從小我“保持距離”狀況，起碼，不該該由負(fù)責(zé)合規(guī)打算的人來指導(dǎo)評(píng)審過程。
評(píng)審工作是一個(gè)審核IT合規(guī)性打算上每個(gè)元素的一個(gè)簡單過程，驗(yàn)證安然節(jié)制列表上的節(jié)制目標(biāo)是不是到位，是不是有效地知足合規(guī)性要求。一旦每個(gè)驗(yàn)證完成，評(píng)審者需要更新合規(guī)性打算上的“最后驗(yàn)證人”的日期。
年度評(píng)審的第二項(xiàng)工作是將合規(guī)性打算和今朝的監(jiān)管要求進(jìn)行對(duì)比。年度評(píng)審是一個(gè)很好的查抄和均衡項(xiàng)目，可以確保節(jié)制要求自前次評(píng)審以來并沒有產(chǎn)生改變，并且IT合規(guī)性打算已合適每個(gè)要求。任何不足的處所應(yīng)當(dāng)整治修復(fù)，并記其實(shí)更新的合規(guī)打算中。
律例劃定的具體安然文檔要求
當(dāng)開辟企業(yè)的合規(guī)性文檔項(xiàng)目時(shí)，必然要咨詢每個(gè)監(jiān)管該勾當(dāng)?shù)穆衫齽澏ǖ木唧w文檔要求。這些律例可能包含你需要納進(jìn)項(xiàng)目標(biāo)具體文件要求。
例如，HIPAA(健康保險(xiǎn)暢通與責(zé)任法案)和PCI DSS合規(guī)性打算都包含一個(gè)律例，其要求組織進(jìn)行正式的風(fēng)險(xiǎn)評(píng)估來確保受呵護(hù)資料的安然。一個(gè)合規(guī)性打算應(yīng)確保的不但僅是評(píng)審過程已完成，并且評(píng)審的成果需要記實(shí)并保留下來，當(dāng)合規(guī)審計(jì)需要的時(shí)辰，相干人員可以很快獲得評(píng)審成果。一個(gè)常常利用的編制是利用SharePoint站點(diǎn)來保留此文檔。
別的，大年夜大都信息安然律例要求組織具有一個(gè)包含特定元素的書面信息安然打算。事實(shí)的確如斯，乃至一些恍惚的律例，如馬薩諸塞州的201 CMR 17.00律例，監(jiān)管匯集馬薩諸塞州居平易近小我信息的各機(jī)構(gòu)。這條律例列舉了大年夜量需要書面打算記實(shí)下來的特定要求。是以，你可能發(fā)現(xiàn)你需要調(diào)劑你的文檔來知足各類不合的律例要求。
雖然記實(shí)IT合規(guī)必定很古板，可是對(duì)確保合規(guī)性項(xiàng)目標(biāo)順利和有效運(yùn)行是相當(dāng)首要的。文檔打算除作為律例順從項(xiàng)目所需的組件以外，它讓組織可以簡單地驗(yàn)證今朝合規(guī)性項(xiàng)目是不是知足所有律例，并且簡化組織和監(jiān)管機(jī)構(gòu)、設(shè)計(jì)師和其他第三方關(guān)于合規(guī)性打算交換的過程。