Chaque réglementation à laquelle votre organisation doit se conformer — qu’il s’agisse du RGPD, de la loi HIPAA ou de toute autre réglementation applicable à votre secteur — se présente sous la forme d’un texte juridique dense. Transformer ce texte en un programme de gouvernance opérationnel implique que quelqu’un mette en correspondance manuellement les exigences et les contrôles, suive cette mise en correspondance dans un tableur et espère que cette interprétation restera valable à mesure que la réglementation et l’environnement évoluent. Des lacunes se cachent dans ce processus. Les audits ne portent que sur un instant donné. Ils ne permettent pas de déterminer si le programme de gouvernance sous-jacent est réellement efficace.
C'est ce que RSA appelle le « paradoxe de l'audit sans faille » : une organisation réussit son audit tout en présentant des lacunes en matière de gouvernance et des risques que l'audit ne met jamais en évidence.
Compliance Advisor est la solution proposée par RSA : une fonctionnalité native d'IA qui établit un lien direct entre les réglementations et votre programme de gouvernance, et assure un suivi continu de ce dernier.
Il prend actuellement en charge cinq réglementations majeures : le Règlement général sur la protection des données (RGPD), la Politique de sécurité des services d’information de la justice pénale (CJIS), la loi sur la portabilité et la responsabilité en matière d’assurance maladie (HIPAA), le cadre de référence de l’Institut national des normes et des technologies (NIST) et la loi sur la protection des informations personnelles (POPIA), le tout détaillé jusqu’au niveau des exigences, d’autres réglementations devant être ajoutées dans les prochaines versions.
Pour chaque exigence, Compliance Advisor suit les indicateurs clés de performance (KPI) qui mesurent dans quelle mesure votre programme respecte les procédures associées à cette exigence, et recommande les changements à apporter là où vous présentez des lacunes, et ce de manière continue, et non sous la forme d’un rapport que vous générez une seule fois avant de le classer. Chaque exigence mise en correspondance renvoie directement au texte réglementaire correspondant, ce qui permet à votre équipe de vérifier elle-même cette mise en correspondance, sans avoir à se fier uniquement aux affirmations d’un prestataire.
RSA’s Gouvernance de la défense active Le document (ADG) explique pourquoi la gouvernance périodique, les revues trimestrielles et les certifications annuelles ne peuvent plus constituer le principal moyen de contrôle. Les accès évoluent constamment entre deux cycles de révision, mais ces cycles restent quant à eux inchangés. L’écart entre ce que stipulent les documents de politique statique d’une organisation et ce que font réellement ses systèmes dynamiques est ce que notre document qualifie de « Negligence Gap » (écart de négligence) : une vulnérabilité qui existe dès que les accès changent, mais qui reste invisible jusqu’à ce que la prochaine révision la détecte. Gouvernance et cycle de vie de l'ASR aide les organisations à combler ce fossé.
Compliance Advisor applique cette même approche à la cartographie de conformité. Une réglementation cartographiée une seule fois, puis vérifiée lors d’un cycle d’audit, présente le même angle mort. Compliance Advisor comble cette lacune en vous offrant une visibilité continue sur les performances réelles de votre programme de gouvernance par rapport à cette cartographie, et non un simple instantané issu du dernier cycle d’audit.
Aucune solution de gouvernance ne répond à toutes les dispositions de chaque réglementation, et Compliance Advisor ne prétend pas le contraire. Il vous indique précisément les exigences auxquelles RSA Governance & Lifecycle répond et celles qui ne relèvent pas du champ d’application habituel d’un programme IGA, telles que les exigences en matière de sécurité physique. En identifiant ce qui est couvert et ce qui ne l’est pas, votre équipe sait exactement ce qui nécessite encore une couverture de contrôle distincte.
Mettre fin au « paradoxe de l'audit sans réserve » ne signifie pas attendre le prochain audit pour savoir où vous en êtes. Cela signifie le savoir dès le jour où l'auditeur se présente, ainsi que tous les jours avant et après. C'est le passage d'un programme qui semble conforme une fois par an à un programme capable de démontrer son bon fonctionnement à tout moment entre deux audits.
Regarder une démonstration de l'outil « RSA Governance & Lifecycle Compliance Advisor » pour découvrir la mise en correspondance avec la réglementation, le suivi des indicateurs clés de performance (KPI) et les recommandations en action.
Pour découvrir l'analyse complète expliquant pourquoi la gouvernance périodique ne suffit plus et ce qu'il faut faire pour combler ce fossé, Télécharger le document « Active Defense Governance ».
Le « paradoxe de l’audit sans faille » désigne l’écart entre la réussite d’un audit de conformité et la mise en œuvre effective d’un programme de gouvernance solide. Les audits portant sur un instant précis, une organisation peut répondre favorablement à toutes les questions posées lors de l’audit tout en présentant des lacunes en matière de gouvernance et des risques liés à l’accès que l’audit ne met jamais en évidence — des lacunes qui restent invisibles jusqu’au prochain cycle d’évaluation.
RSA Compliance Advisor est une fonctionnalité native de l'IA intégrée à Gouvernance et cycle de vie de l'ASR qui établit un lien direct entre les réglementations et votre programme de gouvernance, et évalue en permanence dans quelle mesure ce programme respecte chaque exigence. Lorsque votre programme présente des lacunes, il recommande des modifications spécifiques ; chaque exigence mise en correspondance est accompagnée d’un lien vers le texte réglementaire correspondant, afin que votre équipe puisse vérifier elle-même cette mise en correspondance.
Compliance Advisor prend actuellement en charge cinq réglementations principales : le RGPD, la politique de sécurité CJIS, la loi HIPAA, le cadre NIST et la loi POPIA, chacune étant mise en correspondance avec le niveau d'exigence correspondant. D'autres réglementations sont prévues pour les prochaines versions. Pour chaque réglementation prise en charge, Compliance Advisor suit des indicateurs clés de performance (KPI) qui mesurent le respect du programme en continu, et non selon un cycle d'évaluation trimestriel ou annuel.
Un audit traditionnel évalue la conformité à un moment donné, ce qui signifie que les résultats sont obsolètes dès que des changements interviennent après la clôture de l'audit. La surveillance continue de la conformité permet de suivre en permanence les performances de votre programme de gouvernance par rapport à chaque exigence réglementaire, en mettant en évidence les lacunes dès leur apparition, plutôt qu'au moment où un auditeur vient les rechercher.
La « faille de négligence » désigne le risque qui existe entre deux cycles de vérification : il s'agit de la période durant laquelle les droits d'accès ont changé, mais où la vérification suivante n'a pas encore été effectuée pour le détecter. La solution de RSA Gouvernance de la défense active Ce cadre identifie cela comme la principale limite des modèles de gouvernance périodiques, et Gouvernance et cycle de vie de l'ASR est conçu pour y remédier grâce à une surveillance continue des identités.
Inclus