Jede Vorschrift, der Ihre Organisation unterliegt – einschließlich DSGVO, HIPAA oder was auch immer für Ihre Branche gilt –, liegt als komplexer Rechtstext vor. Um diesen Text in ein funktionierendes Governance-Programm umzusetzen, muss jemand die Anforderungen manuell den Kontrollmaßnahmen zuordnen, diese Zuordnung in einer Tabelle nachverfolgen und hoffen, dass die Auslegung auch dann noch Bestand hat, wenn sich sowohl die Vorschrift als auch das Umfeld ändern. In diesem Prozess verbergen sich Lücken. Audits überprüfen einen bestimmten Zeitpunkt. Sie messen nicht, ob das zugrunde liegende Governance-Programm tatsächlich funktioniert.
Das bezeichnet RSA als das „Clean-Audit-Paradoxon“: Ein Unternehmen besteht sein Audit, obwohl es Governance-Lücken und Risiken aufweist, die bei der Prüfung nie zutage treten.
Compliance Advisor ist die Lösung von RSA: eine KI-basierte Funktion, die Vorschriften direkt Ihrem Governance-Programm zuordnet und dieses kontinuierlich bewertet.
Derzeit werden fünf wichtige Vorschriften unterstützt: die Datenschutz-Grundverordnung (DSGVO), die Sicherheitsrichtlinie für Strafverfolgungsinformationsdienste (CJIS), das Gesetz zur Übertragbarkeit und Rechenschaftspflicht im Gesundheitswesen (HIPAA), das Rahmenwerk des National Institute of Standards and Technology (NIST) sowie das Gesetz zum Schutz personenbezogener Daten (POPIA), die bis auf die Ebene der einzelnen Anforderungen abgebildet sind; in zukünftigen Versionen werden weitere hinzukommen.
Für jede Anforderung erfasst der Compliance Advisor Kennzahlen (KPIs), die messen, inwieweit Ihr Programm die Verfahren dieser Anforderung einhält, und gibt Empfehlungen, was geändert werden sollte, wenn Sie die Anforderungen nicht erfüllen – und zwar kontinuierlich, nicht nur in Form eines Berichts, den Sie einmal abrufen und dann ablegen. Jede zugeordnete Anforderung ist direkt mit dem eigentlichen Gesetzestext verknüpft, sodass Ihr Team die Zuordnung selbst überprüfen kann, anstatt sich auf die Angaben eines Anbieters verlassen zu müssen.
RSA’s Steuerung der aktiven Verteidigung In dem (ADG)-Beitrag wird dargelegt, warum regelmäßige Governance-Maßnahmen, vierteljährliche Überprüfungen und jährliche Zertifizierungen nicht mehr als primäre Kontrollmaßnahme dienen können. Die Zugriffsverhältnisse ändern sich ständig zwischen den Überprüfungszyklen, doch die Überprüfungszyklen selbst bleiben unverändert. Die Diskrepanz zwischen dem, was in der statischen Richtliniendokumentation einer Organisation festgehalten ist, und dem, was ihre dynamischen Systeme tatsächlich tun, bezeichnen wir in unserem Papier als „Negligence Gap“ (Nachlässigkeitslücke): ein Sicherheitsrisiko, das in dem Moment entsteht, in dem sich die Zugriffsverhältnisse ändern, aber unsichtbar bleibt, bis es bei der nächsten Überprüfung entdeckt wird. RSA Governance & Lebenszyklus hilft Unternehmen dabei, diese Lücke zu schließen.
Der Compliance Advisor wendet denselben Ansatz auf das Compliance-Mapping an. Eine einmal zugeordnete Vorschrift, die dann im Rahmen eines Überprüfungszyklus abgeglichen wird, weist denselben blinden Fleck auf. Der Compliance Advisor schließt diese Lücke, indem er Ihnen einen kontinuierlichen Einblick in die tatsächliche Leistung Ihres Governance-Programms im Hinblick auf dieses Mapping bietet – und nicht nur eine Momentaufnahme aus dem letzten Prüfungszyklus.
Keine Governance-Lösung erfüllt jede einzelne Klausel jeder Vorschrift, und Compliance Advisor gibt auch nicht vor, dies zu tun. Es zeigt Ihnen genau, wo RSA Governance & Lifecycle eine Anforderung abdeckt und welche Anforderungen über den typischen Geltungsbereich eines IGA-Programms hinausgehen, wie beispielsweise Anforderungen an die physische Sicherheit. Durch die Darstellung dessen, was abgedeckt ist und was nicht, weiß Ihr Team genau, was noch einer separaten Kontrollabdeckung bedarf.
Das „Clean-Audit-Paradoxon“ zu überwinden bedeutet nicht, auf das nächste Audit zu warten, um herauszufinden, wo man steht. Es bedeutet, dies bereits am Tag des Audits sowie an jedem Tag davor und danach zu wissen. Das ist der Wandel von einem Programm, das einmal im Jahr den Anschein der Konformität erweckt, hin zu einem Programm, das seine Arbeit jederzeit dazwischen nachweisen kann.
Sehen Sie sich eine Demo an des RSA Governance & Lifecycle Compliance Advisor, um sich die Zuordnung zu den Vorschriften, die KPI-Verfolgung und die Empfehlungen in der Praxis anzusehen.
Um einen umfassenden Überblick darüber zu erhalten, warum regelmäßige Governance-Maßnahmen nicht ausreichen und was erforderlich ist, um diese Lücke zu schließen, Laden Sie das Whitepaper zur „Active Defense Governance“ herunter.
Das „Clean-Audit-Paradoxon“ bezeichnet die Kluft zwischen dem Bestehen eines Compliance-Audits und der tatsächlichen Umsetzung eines soliden Governance-Programms. Da Audits nur einen bestimmten Zeitpunkt erfassen, kann eine Organisation zwar alle Audit-Fragen zufriedenstellend beantworten, gleichzeitig jedoch Governance-Lücken und Zugriffsrisiken aufweisen, die das Audit niemals aufdeckt – Lücken, die bis zum nächsten Prüfungszyklus unsichtbar bleiben.
RSA Compliance Advisor ist eine KI-basierte Funktion innerhalb von RSA Governance & Lebenszyklus das Vorschriften direkt Ihrem Governance-Programm zuordnet und kontinuierlich misst, inwieweit dieses Programm die einzelnen Anforderungen erfüllt. An den Stellen, an denen Ihr Programm Defizite aufweist, werden konkrete Änderungen empfohlen – und jede zugeordnete Anforderung ist mit dem eigentlichen Gesetzestext verlinkt, sodass Ihr Team die Zuordnung selbst überprüfen kann.
Der Compliance Advisor unterstützt derzeit fünf wichtige Vorschriften: DSGVO, CJIS-Sicherheitsrichtlinie, HIPAA, das NIST-Rahmenwerk und POPIA – jeweils zugeordnet auf der Ebene der Anforderungen. Weitere Vorschriften sind für zukünftige Versionen geplant. Für jede unterstützte Vorschrift erfasst der Compliance Advisor KPIs, die die Einhaltung der Vorgaben kontinuierlich messen, und nicht nur im Rahmen eines vierteljährlichen oder jährlichen Überprüfungszyklus.
Bei einer herkömmlichen Prüfung wird die Compliance zu einem bestimmten Zeitpunkt erfasst, was bedeutet, dass die Ergebnisse bereits veraltet sind, sobald sich nach Abschluss der Prüfung die Zugriffsrechte ändern. Bei der kontinuierlichen Compliance-Überwachung wird fortlaufend verfolgt, inwieweit Ihr Governance-Programm die einzelnen regulatorischen Anforderungen erfüllt, sodass Lücken bereits bei ihrem Entstehen aufgedeckt werden und nicht erst, wenn ein Prüfer vor Ort ist, um nach ihnen zu suchen.
Die „Negligence Gap“ ist das Sicherheitsrisiko, das zwischen den Überprüfungszyklen besteht – also in dem Zeitraum, in dem sich die Zugriffsrechte geändert haben, die nächste Zugriffsüberprüfung jedoch noch nicht durchgeführt wurde, um dies zu erkennen. Die Lösung von RSA Steuerung der aktiven Verteidigung Dieses Rahmenwerk identifiziert dies als die zentrale Einschränkung periodischer Governance-Modelle, und RSA Governance & Lebenszyklus soll diese Lücke durch eine kontinuierliche Identitätsüberwachung schließen.
Eingeschlossen