Ostatnio dużo mówi się o odporności cybernetycznej. Nie ma wątpliwości, że zdolność do odreagowania po wystąpieniu zdarzenia zagrażającego bezpieczeństwu jest ważna, jednak wydaje się, że wszystkie te dyskusje na temat odporności odbywają się kosztem solidnych procesów zarządzania ryzykiem. Można śmiało powiedzieć, że droga do odporności jest wybrukowana zarządzaniem ryzykiem.

Zarządzanie ryzykiem może być trudnym przedsięwzięciem. Zbyt wielu specjalistów ds. bezpieczeństwa wpadło w zasadzkę podczas spotkań z kierownikiem ds. ryzyka, który popadł w szalone rozmyślania. Tego typu nieokiełznane, katastroficzne wyobrażenia mijają się z celem solidnego zarządzania ryzykiem. Jednym ze sposobów na opanowanie tych "nieprawdopodobnych podróży" jest zastosowanie solidnych ram zapewniania wiarygodności. Jedną z najbardziej godnych uwagi ram poświadczania w zakresie zarządzania ryzykiem jest HITRUST.

Czym jest HITRUST?
Wiele osób z branży opieki zdrowotnej zna HITRUST, ale podejście to nie jest specyficzne ani ograniczone do opieki zdrowotnej. W rzeczywistości jest ono niezależne od branży. Oferowane podejście jest przydatne dla wszystkich branż, które muszą zapewnić zgodność z przepisami i zarządzać ryzykiem. Co sprawia, że jest ono lepsze od innych dostępnych modeli? Odpowiedź leży w sposobie, w jaki uwzględnia on profil ryzyka organizacji.

Bazując na Capability Maturity Model (CMM) i PRISMA NIST, podejście HITRUST wykorzystuje najlepsze w swojej klasie komponenty do kompleksowego zarządzania ryzykiem informacyjnym i programu zgodności, który integruje i dostosowuje następujące elementy:

• HITRUST CSF - solidne ramy kontroli prywatności i bezpieczeństwa, które harmonizują dziesiątki autorytatywnych źródeł, takich jak HIPAA, ISO 27001 i NIST 800-171.
• HITRUST Assurance Program - skalowalny i przejrzysty sposób dostarczania wiarygodnych zapewnień dla wewnętrznych i zewnętrznych interesariuszy.
• HITRUST MyCSF - platforma do zarządzania operacjami zgodności z CSF HITRUST i audytem używana przez organizacje przyjmujące CSF HITRUST, ich zewnętrznych asesorów oraz HITRUST.
• HITRUST Shared Responsibility Program - zestaw matryc i inherentnych przepływów pracy wyjaśniających obowiązki dostawców usług i klientów oraz umożliwiających dzielenie się wynikami oceny między dostawcami usług i ich klientami.
• HITRUST Assessment XChange - rozwiązanie do zarządzania ryzykiem strony trzeciej.

HITRUST Third Party Assurance Program - proces zarządzania ryzykiem przez stronę trzecią.
Obecnie wiele ocen luk w zgodności (w tym HITRUST, ISO 27001 itp.) stanowi ocenę "w czasie" w celu określenia, czy osiągnięto określony wzorzec wdrożenia i działania kontroli. Czynności związane z oceną są następnie okresowo (np. co roku) przeglądane i ponownie przeprowadzane. Niestety, metoda ta wymaga od oceniających i jednostek certyfikujących ekstrapolacji na przyszły okres czasu w oparciu o wyniki oceny stanu obecnego.

HITRUST pracuje nad włączeniem koncepcji Ciągłego Monitorowania Bezpieczeństwa Informacji do metodologii i oferty swojego programu zapewnienia jakości. Celem końcowym wysiłków HITRUST jest zmiana charakteru tradycyjnych ocen bezpieczeństwa z "punktowego w czasie" na bieżący, perspektywiczny, poprzez zapewnienie ocenianym podmiotom, asesorom HITRUST i samej organizacji wglądu w stan kontroli z częstotliwością wystarczającą do podejmowania bieżących decyzji opartych na ryzyku. Rezultatem końcowym jest jeszcze większa wiarygodność HITRUST, jak również możliwość ciągłego uzyskiwania certyfikatów HITRUST ważnych przez znacznie dłuższy okres czasu niż dzisiejsze oferty certyfikacji HITRUST.

Jedyną rzeczą gorszą od odkrycia luk w programie bezpieczeństwa jest znalezienie kontroli, które zostały zaniedbane do tego stopnia, że stara luka została ponownie otwarta. Podejście ISCM zapobiega temu zjawisku, ponieważ powoduje mniejszą degradację w czasie niż tradycyjny przegląd okresowy. Inne wymierne korzyści obejmują:

• Dłuższe okresy pomiędzy kompleksowymi ocenami luk kontrolnych.
• Skrócenie czasu i wysiłku potrzebnego do utrzymania certyfikacji.
• Zmniejszone koszty cyklu życia związane z utrzymaniem certyfikacji.
• wyższy poziom pewności i zaufania w stosunku do i wśród interesariuszy zewnętrznych, takich jak organy regulacyjne, partnerzy biznesowi i klienci.

Certyfikacja jest ważna, ponieważ umożliwia obiektywne sprawdzenie, czy program bezpieczeństwa działa zgodnie z parametrami przewidzianymi w jego założeniach. Ma to konsekwencje wykraczające poza komfort udanego cyklu audytu. Poprzez ISCM, program HITRUST CSF Assurance Program pozwoli, aby ustalenia zawarte w Raporcie Oceny CSF były naprawdę perspektywiczne.

Wiele inicjatyw związanych z bezpieczeństwem jest postrzeganych jako "centra kosztów", które nie wnoszą wartości dodanej do organizacji. Z perspektywy pieniężnej, certyfikat HITRUST stanowi wartość dodaną, nie tylko pomagając firmie spełnić standardy ubezpieczenia od cyberbezpieczeństwa, ale może również obniżyć składki ubezpieczeniowe. Dzieje się tak dlatego, że standard HITRUST budzi duże zaufanie w branży. Jest to również uznawane przez takie podmioty, jak amerykański Government Accountability Office (GAO), którego zadaniem jest oszczędzanie pieniędzy podatników.

HITRUST i Tripwire
Ciągłe monitorowanie nie jest całkowicie nową koncepcją, jednak wyzwanie związane z jej realizacją wymaga narzędzi, które mogą ułatwić osiągnięcie tego ideału. Metodologia HITRUST ISCM doskonale integruje się z Tripwire, umożliwiając organizacji przejście w stan ciągłej zgodności i bezpieczeństwa. Niezależnie od tego, czy chodzi o monitorowanie, czy zarządzanie konfiguracją, wszystkie te elementy składają się na świadomość profilu ryzyka organizacji w czasie zbliżonym do rzeczywistego.

Dzięki HITRUST ISCM, w połączeniu z Tripwire, organizacja może odejść od corocznej "ciężkiej oceny" na rzecz podstawowego zrozumienia i ciągłej zgodności przez cały okres czasu, aby zrozumieć, czy dana kontrola przestała działać. Tripwire może pomóc organizacji zmienić sposób uzyskiwania, utrzymywania i komunikowania pewności.

Zapewnienie bezpieczeństwa i zgodności może być osiągnięte i utrzymane dzięki podejściu HITRUST ISCM w połączeniu z Tripwire. W ten sposób bezpieczeństwo staje się mierzalną, opartą na metrykach dyscypliną, co jest istotnym krokiem w kierunku odporności na zagrożenia bezpieczeństwa.

Autor: MAURICE UENUMA