https://newera17031.activehosted.com/index.php?action=social&chash=a60937eba57758ed45b6d3e91e8659f3.2219&nosocial=1
https://newera17031.activehosted.com/index.php?action=social&chash=a60937eba57758ed45b6d3e91e8659f3.2219&nosocial=1

觀點

法規控制專家

2009 / 07 / 07
ED MOYLE 、DIANA KELLEY 譯 ■ 編輯部
法規控制專家

GRC 產品可以幫助您通過如迷宮般的法規需求轟炸,消弭營運風險以及衡量廠商的成效。

  
幾十年下來,法規促使產業發展是毫無疑問的,唯一的例外就是該產業沒有相關法規,事實上,現今企業必須面對的法規像迷宮一樣的複雜。當法規的要求越臻完備,企業必須有一套辦法來因應,於是複雜的生態系統與資訊治理議題逐漸發燒,企業會拿法規去稽核承包商和客戶,然後本身則必須接受更高一層生態圈的稽核,環環相扣。

  當企業開始針對法規遵循進行安全控制與管理,就必須知道哪些是下游廠商必須被要求的,如果要在法規遵循上提高達成效率,便會有一堆的工具與安全控制方法列在你的工作清單上。要在安全控制、法規與承包關係的責任義務間制定風險決策,透過人工方式幾乎是一項不可能的任務。

  GRC(Governance, risk and compliance)工具是協助風控人員面對這項挑戰的好幫手。協助提供更好的資訊,以完成風險決策、管理法規遵循的成效以及統治各項安全控制項目,包含安全意識與技術控制。

  GRC大概是最新的資安術語,但是市場上已經把相關的產品與服務定位在組織的政策治理、風險管理與法規遵循這幾個矩陣中,大部分的產品承諾提供成熟的策略工具以解決相同的營運挑戰。

  我們的目的在於測試與驗證GRC產品所承諾的功能以及各種特殊的技術方法。測試項目包括GRC產品應有的核心功能,如下:

1. 制訂政策、政策控制與法規的實施與對應

2. 追蹤政策控制與法規的例外事件

3. 評估技術面與非技術面的作業控制

4. 適當地轉移/?矯正失去控制的作業項目

5. 協助量化、分析與轉移企業內的風險

  說實在的,要採購GRC產品真的很難,在測試時應該用一個虛擬的真實世界環境來對應企業的需求,很容易就可以從產品的功能辨識出其成熟度。因此,創造出一個假設的模擬環境,來佈署與使用GRC產品,當然也有實際的法規與科技的挑戰,當然,最終目的就是測試GRC產品是否真能實踐其承諾的功能。GRC最主要的三大核心如下所述。

法規遵循

  如何評估GRC產品做到法規遵循功能?我們的標準是GRC產品可以協助企業了解、記錄、針對法規要求的文件化,載明如何做到遵循與資料存放於何處。當然,如何協助制定政策以及對應法規要求,接著確認政策的各種技術控制項目,同時也評斷對於政策的合適性,以及控制項目的實際運作成效評估。

  我們制定了多項政策,以連結對應到法規需求,同時建立技術控制(technical controls)以實踐政策的統馭。換句話說,你必須可以透過這些工具追蹤法規遵循活動以及控制項目的實踐。

風險管理

  分析營運風險是一件難事,尤其是加上了法規遵循的複雜層面,正因此促使GRC工具的市場發展。想像一下你的公司,未來全公司在處理資料的方式與存放資料的裝置,都必須有風險管理,那是多麼複雜的工作流程。舉例來說,為了在舊有的系統上套用風險控制項目,你必須知道系統之間的相依性,包含資料在營運過程中的角色、IT作業流程與外部第三方參與的程度,當然還包括了法務部門的介入。

  如果有工具可以協助進行自動化蒐集資訊與風險分析,評定相關風險與相關系統的關聯,最後就可以做到記錄追蹤企業的技術面控制項目的實踐程度,並且分析相關的例外事件。

技術面控制

  最後,我們評斷GRC產品的功能方式,就是對於技術面控制的管理,如何對應到法規的需求項目,我們指派各種技術控制項目給不同產品以進行監控,例如:對於遠端裝置的資料定期輪詢(periodically poll)、資料的匯入以及對於系統面的弱點評估工具,以獲得系統控制與應用程式的控制結果。我們要求的底限是,這些工具能否提供實務上風險足夠的資訊。

  常見的G R C產品包含A r c h e r T e c h n o l o g i e s的S m a r t S u i t e  F r a m e w o r k 4 . 1、S y m a n t e c的C o n t r o l Compliance Suite 8.60 與Modulo''s Risk Manager 5.0,從不同的功能涵蓋到技術面的提供都是大不同的。有的產品核心是一個中央集中管制的架構(framework),允許用戶採用多種不同的模組,針對不同的資安實務與法規需求。例如:

. 政策管理:資安從業人員可透過此功能制定政策、組織與發布政策。

. 廠商管理:提供管理廠商關係的工具,追蹤各種合約違反的事件。

. 事件管理:建立資安事件或資料外洩問題的處理流程並管理之。

  而相關遵循的法規也依照產業而有所不同,像是FTC 16 CFR Part 314 (GLBA, Gramm-Leach-BlileyAct, 美國金融服務法)、FFIEC(美國聯邦金融機構檢查委員會)、HIPAA、PCI-DSS,或是COBIT 與ISO17799(已經改版為ISO 27001)等資安的實作指引與稽核要求。雖然有現成的範本可套用,不過一般企業能按需要做修正,符合實際環境。在例外管理方面,則應該能夠選定相關控制項目之後,指派對應的處置控制方式(compensating controls),可以協助定期追蹤資安審視與例外事件處置的時程追蹤。

  一般常見的GRC相關產品比較缺乏的則是自動化的自動探索機制(auto-discovery)與自動化的控制項目監控。

ARCHER SMARTSUITE FRAMEWORK 4.1

  主要針對非技術面的GRC管理,產品核心是一個集中化的架構(framework),讓客戶可以自行增加模組,包含政策管理、廠商管理與事件管理。此產品可以透過ASP線上服務模式運作,其強項在於政策管理,提供許多法規遵循的現成範本,如:GLBA、FFIEC、PCI及HIPAA等。比較缺乏的是在自動探索(auto discovery)功能上,必須搭配其他弱點評估與管理工具來完成。

SYMANTEC CONTROL COMPLIANCE SUITE

  其Response Assessment Module可以讓用戶自行新增給用戶填寫的問卷,來評估特定的安全需求議題。Control Compliance Suite 8.60 (CCS)就比較偏向於科技面的控制與監控,像是網路節點探索、自動驗證用戶端的組態等。其優點在於管理介面的親和度與政策的版本管理功能,更透過視覺化的關連表示方法,對於政策、安全架構與法規的關係一目了然。但是反觀在風險管理上的功能就顯得不足,對於非技術面的控制必須透過問卷的方式獲得資料來源。

MODULO RISK MANAGER 5.0

  Modulo Risk Manager可以整合AD與XML資料來源,對於風險管理有非常大的彈性,但是缺乏網頁式的用戶操作介面是美中不足的地方,透過資料匯入功能可以讓企業體系中的流程、應用系統、技術元件與設備等,建構基本的風險管理標的,再透過問卷的方式蒐集相關的評估資訊彙整,提供稽核人員一個證據連結(evidence link)可以協助稽核工作的進行。其缺點在於客製化不易,彈性不足。

GRC沒有萬靈丹

  每一家的方案都有各自解決IT治理、風險管理與法規遵循的藥方,在其功能面上儘可能地滿足以上所述的功能,不過,企業在考慮評估GRC方案時必須衡量實際商業營運需求面與企業環境,有些方案是針對特定產業而設計,如醫療、金融服務、顧問服務等。再者,可以從市場面來看不同產品的市場區隔,涵蓋哪些範圍與分析其資訊,嚴格來說,各家方案訴求真的大不相同。對於GRC市場而言,產業也剛開始在做出區隔,而沒有一家是所謂的領導廠商,不過有一點要確認的是,你的需求與想法,只要能和廠商所想的一樣,這樣就能夠選到你所適合的GRC方案。