Problem z Dowodami
Większość organizacji traktuje dowody zgodności jako ćwiczenie w zbieraniu – gromadzenie artefaktów z wielu źródeł w strukturę folderów przed każdym audytem. Takie podejście jest kruche, czasochłonne i podatne na błędy. Dowody się przedawniają, źródła się zmieniają, formatowanie jest różne, a przed-auditowe zamieszanie pochłania tygodnie.
Ciągłe Gromadzenie Dowodów
Alternatywa: wbuduj gromadzenie dowodów w swoje operacyjne procesy, tak aby artefakty były tworzone i organizowane jako produkt uboczny wykonywanej pracy. Testy bezpieczeństwa automatycznie generują raporty mapowane na zgodność. Przeglądy dostępu generują dowody w systemie zarządzania tożsamością. Zarządzanie zmianami rejestruje zapisy zatwierdzeń w systemie zgłoszeń. Dowody są zawsze aktualne, ponieważ są stale generowane.
Specyficzne Dowody z Penetration Testing
W przypadku dowodów z "pentestów" potrzebujesz: dokumentacji metodologii, zgodności zakresu z granicami zgodności, wyników o określonej skali ważności wraz z dowodami reprodukcji, działań naprawczych z harmonogramami, dowodów ponownego testowania potwierdzających poprawki oraz kompletnego raportu datowanego w okresie audytu. Raporty Penetrify zawierają wszystkie sześć elementów jako standardowe elementy dostarczane – nie jest wymagane przetwarzanie końcowe.
Przechowywanie i Organizacja
Przechowuj dowody zgodności przez okres wymagany przez ramy (zazwyczaj 1–7 lat, w zależności od ram). Organizuj według kontroli ram, a nie według systemu źródłowego. Oznacz dowody okresem audytu, który obsługują. Utrzymuj aktualny indeks dowodów, który mapuje każdą kontrolę na jej artefakty pomocnicze.
Podsumowanie
Zarządzanie dowodami nie powinno być kwartalną próbą ogniową. Gdy platformy testowe generują raporty gotowe do zgodności, a systemy operacyjne generują dowody w sposób ciągły, przygotowanie do audytu skraca się z tygodni do godzin.