GRC

GRC (governance, risk and compliance) to podejście, które łączy ład organizacyjny, zarządzanie ryzykiem i zapewnianie zgodności w jeden spójny proces. OCEG, organizacja, która według własnych materiałów stworzyła to pojęcie ^[1], definiuje GRC jako zintegrowany zbiór zdolności pozwalających organizacji niezawodnie osiągać cele, radzić sobie z niepewnością i działać uczciwie ^[1]. Stan, w którym to się udaje, OCEG nazywa „Principled Performance” ^[1]. GRC nie jest według OCEG ani technologią, ani działem firmy, tylko zestawem ludzi, procesów, technologii i informacji ^[1].

Składniki

Skrót składa się z trzech liter, ale OCEG zaznacza, że GRC obejmuje więcej obszarów: audyt wewnętrzny, compliance, ryzyko, dział prawny, finanse, IT, kadry, linie biznesowe, kierownictwo i radę nadzorczą ^[1]. Trzy litery wybrano, bo te obszary wymagały najwięcej pracy przy integracji ^[1].

W bezpieczeństwie informacji litera G odpowiada funkcji GOVERN z ram NIST Cybersecurity Framework. Jej wynikiem jest strategia, oczekiwania i polityka zarządzania ryzykiem, które są ustalone, komunikowane i monitorowane ^[3]. NIST podkreśla, że działania nadzorcze są kluczowe dla włączenia cyberbezpieczeństwa do szerszej strategii zarządzania ryzykiem przedsiębiorstwa (ERM) ^[3].

Jak działa

Istotą GRC jest wspólny obieg informacji. Wymagania, ryzyka i zabezpieczenia opisuje się raz, a z tych samych danych korzystają zarząd, audyt i zespół techniczny. Schemat poniżej pokazuje uproszczony przebieg.

RYS. 1Obieg informacji w GRC

NIST uzasadnia to tym, że rosnąca częstotliwość, pomysłowość i dotkliwość ataków sprawiają, iż każde przedsiębiorstwo powinno zadbać o należytą uwagę dla ryzyka cyberbezpieczeństwa w programie ERM ^[2]. Funkcja GOVERN obejmuje w tym celu kontekst organizacji, strategię, zarządzanie ryzykiem w łańcuchu dostaw, role i odpowiedzialności, politykę oraz nadzór nad strategią ^[3].

Łącznikiem jest zwykle rejestr ryzyk. NIST w raporcie IR 8286 z października 2020 roku opisuje, jak przekazywać informacje o ryzyku cyberbezpieczeństwa do procesów ERM ^[2]. Dokument skupia się na rejestrach ryzyk i wyjaśnia wartość agregowania miar ryzyka z poziomu systemów do poziomu całego przedsiębiorstwa ^[2]. Ramy CSF 2.0 również wskazują rejestr ryzyk jako jedną z form planu działań po analizie luk ^[3].

W małej firmie GRC nie wymaga osobnego systemu. Poradnik NIST dla małych firm radzi zrozumieć wymagania prawne, regulacyjne i umowne dotyczące cyberbezpieczeństwa ^[4]. Radzi też wyznaczyć osobę odpowiedzialną za strategię i zarządzać ryzykiem cyberbezpieczeństwa razem z innymi ryzykami biznesowymi ^[4]. Poradnik zaleca też ocenić, czy firmie potrzebne jest ubezpieczenie od ryzyk cybernetycznych ^[4]. To typowa decyzja z pogranicza ładu i ryzyka: przenosi część skutków na ubezpieczyciela, ale nie zwalnia z zabezpieczeń. W większej organizacji za całość odpowiada często CISO, a ramą formalną bywa system zarządzania bezpieczeństwem informacji zgodny z ISO/IEC 27001.

W WordPressie

Dla strony firmowej na WordPressie GRC sprowadza się do tego, żeby decyzje o stronie były świadome, zapisane i sprawdzalne.

• Ład. Wiadomo, kto jest właścicielem strony, kto ma konto administratora i kto odpowiada za aktualizacje. Dokumentacja WordPressa przypomina, że starsze wersje nie dostają poprawek bezpieczeństwa ^[6], więc brak osoby odpowiedzialnej za aktualizacje jest ryzykiem samym w sobie.
• Ryzyko. W rejestrze ryzyk strony znajdują się między innymi porzucone wtyczki, zależność od jednego hostingu i utrata danych. Dokumentacja zaleca regularne kopie, w tym bazy danych, oraz dbałość o ich integralność ^[6].
• Zgodność. Formularze kontaktowe i sklepy przetwarzają dane osobowe, co wiąże się z wymaganiami RODO. Dostawcy, tacy jak hosting i autorzy wtyczek, podlegają zarządzaniu ryzykiem dostawców, a dowodem ich zabezpieczeń bywa raport SOC 2.

Przy tworzeniu własnych wtyczek i motywów ład obejmuje też proces wytwarzania oprogramowania. Model OWASP OpenSAMM definiuje 12 praktyk bezpieczeństwa w czterech funkcjach biznesowych: Governance, Construction, Verification i Deployment ^[5]. Każda praktyka ma trzy poziomy zaawansowania ^[5], co pozwala ocenić dojrzałość zespołu także w obszarze ładu.

Znaczenie

OCEG wskazuje, że programy zarządzania ryzykiem, zgodnością, audytem wewnętrznym i bezpieczeństwem informacji robią podobne rzeczy na różne sposoby i często działają w oderwanych od siebie silosach ^[1]. Według OCEG prowadzi to do kilku problemów ^[1]:

• wysokich kosztów z powodu dublowania pracy;
• braku widoczności ryzyk;
• niezdolności do zarządzania ryzykiem stron trzecich;
• trudności w mierzeniu wyników z uwzględnieniem ryzyka;
• zbyt wielu przykrych niespodzianek.

OCEG uważa, że silosy powstają naturalnie, gdy firma rośnie i dla każdego nowego problemu tworzy osobny dział ^[1]. GRC ma je połączyć, a nie zastąpić. Skrót pojawia się w nazwach narzędzi, na przykład „platforma GRC”, ale OCEG podkreśla, że GRC nie jest technologią ^[1]. Samo oprogramowanie nie usuwa więc silosów.

Historia

Według OCEG idee stojące za GRC powstały w tej organizacji w 2003 roku, a pierwsze badania naukowe na ten temat opublikowano w 2007 roku ^[1]. Panel ekspertów OCEG sformalizował definicję GRC jako skrótowe określenie zdolności potrzebnych do niezawodnego osiągania celów przy niepewności i uczciwym działaniu ^[1]. W bezpieczeństwie informacji ład ma osobne miejsce w wydaniu NIST CSF 2.0 z 26 lutego 2024 roku, w którym funkcja GOVERN stoi obok pięciu pozostałych ^[3].