Ogni normativa a cui la vostra organizzazione deve attenersi — tra cui il GDPR, l’HIPAA o qualsiasi altra applicabile al vostro settore — si presenta come un denso testo giuridico. Trasformare quel testo in un programma di governance funzionante significa che qualcuno deve mappare manualmente i requisiti ai controlli, tenere traccia di tale mappatura in un foglio di calcolo e sperare che l’interpretazione rimanga valida nonostante i cambiamenti sia della normativa che del contesto. In questo processo si nascondono delle lacune. Gli audit verificano una situazione in un determinato momento. Non valutano se il programma di governance sottostante sia effettivamente valido.
È ciò che RSA definisce il “paradosso dell’audit pulito”: un’organizzazione supera l’audit pur presentando lacune nella governance e rischi che l’audit non riesce mai a portare alla luce.
Compliance Advisor è la risposta di RSA: una funzionalità nativa basata sull’intelligenza artificiale che mette in relazione le normative direttamente con il vostro programma di governance e ne monitora costantemente l’attuazione.
Attualmente supporta cinque principali normative: il Regolamento generale sulla protezione dei dati (GDPR), la Politica sulla sicurezza dei servizi informativi della giustizia penale (CJIS), la Legge sulla portabilità e la responsabilità nell’assicurazione sanitaria (HIPAA), il quadro normativo del National Institute of Standards and Technology (NIST) e la legge sulla protezione dei dati personali (POPIA), con una mappatura dettagliata fino al livello dei requisiti; ulteriori normative saranno aggiunte nelle versioni future.
Per ogni requisito, Compliance Advisor monitora gli indicatori chiave di prestazione (KPI) che misurano il grado di conformità del vostro programma alle procedure previste da quel requisito e fornisce raccomandazioni su cosa modificare laddove si riscontrano delle carenze, in modo continuo, non come un semplice rapporto da generare una volta sola e poi archiviare. Ogni requisito mappato rimanda direttamente al testo normativo effettivo, in modo che il vostro team possa verificare autonomamente la mappatura, anziché affidarsi alle sole dichiarazioni del fornitore.
RSA’s Governance della difesa attiva Il documento (ADG) illustra perché la governance periodica, le revisioni trimestrali e le certificazioni annuali non possono più fungere da controllo primario. L’accesso cambia costantemente tra un ciclo di revisione e l’altro, ma i cicli di revisione rimangono invariati. Il divario tra ciò che è stabilito dalla documentazione statica delle politiche di un’organizzazione e ciò che i suoi sistemi dinamici stanno effettivamente facendo è ciò che il nostro documento descrive come il “Negligence Gap”: un’esposizione che esiste nel momento in cui l’accesso cambia, ma che rimane invisibile fino a quando la revisione successiva non la rileva. Governance e ciclo di vita RSA aiuta le organizzazioni a colmare tale divario.
Compliance Advisor applica lo stesso approccio alla mappatura della conformità. Una normativa mappata una sola volta e poi verificata nell’ambito di un ciclo di revisione presenta lo stesso punto cieco. Compliance Advisor colma questa lacuna fornendo una visibilità continua sulle prestazioni effettive del vostro programma di governance rispetto a tale mappatura, anziché limitarsi a un’istantanea dell’ultimo ciclo di audit.
Nessuna soluzione di governance soddisfa ogni singola clausola di ogni normativa, e Compliance Advisor non pretende il contrario. Ti mostra esattamente in quali ambiti RSA Governance & Lifecycle soddisfa un requisito e quali requisiti esulano dall’ambito tipico di un programma IGA, come ad esempio i requisiti di sicurezza fisica. Mappando ciò che è coperto e ciò che non lo è, il tuo team sa esattamente quali aspetti necessitano ancora di una copertura di controllo separata.
Risolvere il paradosso dell’audit “pulito” non significa aspettare il prossimo audit per scoprire a che punto si è. Significa saperlo già, il giorno stesso in cui arriva l’auditor, e ogni giorno prima e dopo. È questo il passaggio da un programma che appare conforme una volta all’anno a uno in grado di dimostrare il proprio operato in qualsiasi momento nel corso dell’anno.
Guarda una demo di RSA Governance & Lifecycle Compliance Advisor per vedere in azione la mappatura normativa, il monitoraggio dei KPI e i consigli.
Per una panoramica completa sui motivi per cui la governance periodica non riesce a stare al passo e su cosa sia necessario fare per colmare tale divario, scarica il documento sulla governance della difesa attiva.
Il “paradosso dell’audit pulito” è il divario che esiste tra il superamento di un audit di conformità e l’effettiva attuazione di un programma di governance solido. Poiché gli audit verificano una singola istantanea nel tempo, un’organizzazione può rispondere correttamente a tutte le domande dell’audit pur presentando lacune di governance e rischi di accesso che l’audit non riesce a individuare — lacune che rimangono invisibili fino al ciclo di revisione successivo.
RSA Compliance Advisor è una funzionalità nativa dell'intelligenza artificiale integrata in Governance e ciclo di vita RSA che mette in relazione diretta le normative con il vostro programma di governance e misura costantemente il grado di conformità di tale programma a ciascun requisito. Laddove il vostro programma presenti delle lacune, il sistema suggerisce modifiche specifiche; inoltre, ogni requisito associato rimanda al testo effettivo della normativa, in modo che il vostro team possa verificare autonomamente la corrispondenza.
Compliance Advisor supporta attualmente cinque principali normative: GDPR, CJIS Security Policy, HIPAA, il quadro di riferimento NIST e POPIA, ciascuna delle quali è associata al relativo livello di requisito. Per le versioni future è prevista l’integrazione di ulteriori normative. Per ciascuna normativa supportata, Compliance Advisor monitora gli indicatori chiave di prestazione (KPI) che misurano l’aderenza al programma in modo continuo, senza limitarsi a cicli di revisione trimestrali o annuali.
Un audit tradizionale valuta la conformità in un determinato momento, il che significa che i risultati risultano obsoleti non appena si verificano cambiamenti nell’accesso dopo la chiusura dell’audit. Il monitoraggio continuo della conformità tiene traccia, su base costante, delle prestazioni del vostro programma di governance rispetto a ciascun requisito normativo, individuando le lacune man mano che si presentano, anziché quando un revisore interviene per individuarle.
Il “Negligence Gap” è il rischio che si crea tra un ciclo di revisione e l’altro, ovvero il periodo in cui l’accesso è cambiato ma la successiva revisione degli accessi non è ancora stata eseguita per rilevarlo. RSA’s Governance della difesa attiva Il quadro teorico individua in questo il limite fondamentale dei modelli di governance periodici, e Governance e ciclo di vita RSA è progettato per risolverlo attraverso un monitoraggio continuo delle identità.
Incluso