Conformité en TI pour les industries réglementées Services de conseil

Opérer dans un contexte réglementé signifie que votre technologie doit répondre à un ensemble de exigences externes, et non seulement à vos préférences internes. Cette tâche est continue : vous devez démontrer que vos contrôles, vos registres et vos décisions d'accès peuvent résister à un examen, et maintenir cette conformité dans le temps.

Ce que cela implique

• Contrôles documentés : les mesures de sécurité et de confidentialité que vous appliquez, rédigées de manière vérifiable par un auditeur ou une tierce partie.
• Registres et journaux d'audit : qui a fait quoi, quand, et à quoi il a accédé. La piste d'audit constitue la preuve, et elle doit exister et être lisible.
• Gestion des accès : qui peut accéder à quoi, accordé pour une raison valable, réévalué, et révoqué lorsque le rôle prend fin.
• Règles de gestion des données : la rétention, la localisation, la suppression et les conditions de transfert applicables aux données que vous détenez.

Ce que cela implique au quotidien

• Dossiers des fournisseurs : chaque fournisseur qui touche à vos données fait partie de l'équation. Leurs conditions, leurs sous-traitants et leurs régions comptent tous.
• Intégration et départ des employés : la création du compte pour un nouvel arrivant et sa fermeture lors de son départ. Les lacunes se trouvent souvent aux extrémités du processus, plutôt que dans le système principal.
• Cycles d'examen : la réévaluation périodique des contrôles et des accès pour garder la conformité à jour à mesure que l'environnement évolue.

Points à considérer pour les organisations

• Portée de la réglementation : ce qui s'applique exactement, à quelles données et dans quelles circonstances. L'exigence fixe le niveau d'exigence ; les efforts fixent le coût.
• Démontrer plutôt que promettre : une politique écrite est un engagement. Un journal qui prouve sa mise en œuvre est une preuve. Les auditeurs vérifient la deuxième.
• Discipline face aux changements : la plupart des lacunes apparaissent après un changement. Un nouveau fournisseur, un nouvel outil, une réorganisation. Le contrôle qui fonctionnait hier est celui qu'il faut revoir aujourd'hui.

Comment NobleConsul peut aider

Lorsqu'il y a lieu, NobleConsul peut aider à cartographier les exigences applicables à votre configuration, à identifier l'écart entre ce qui est en place et ce qui est requis, ainsi qu'à combler ces écarts, en tant qu'activités de consultation possibles.