Управління ризиками
Виявляйте, оцінюйте, опрацьовуйте та переглядайте ризики в одному місці. Штучний інтелект допоможе кожному провести повноцінну оцінку, а за кожним рішенням залишиться доказова база.
Ведіть живий реєстр ризиків, з яким може працювати вся команда. Оцінюйте ризики за єдиною шкалою, визначайте заходи реагування та переглядайте записи за графіком, який відстежує сама система. Оцінки завжди готові до аудиту.
Перетворіть оцінку ризиків на рішення, які можна довести до кінця
Більшість реєстрів ризиків - це таблиця, яку заповнили один раз для аудиту й більше не відкривали. Модуль Risk Management робить роботу з ризиками постійною. Кожен ризик має власника, оцінюється за зрозумілою для всіх шкалою, отримує план обробки з відповідальними та строками і переглядається за графіком, який система веде за вас. На виході ви маєте не документ, а доказ того, як ви дійшли до рішення.
Ризики надходять із різних джерел. Їх можуть виявити оцінювання, перегляди із зацікавленими сторонами та робота з якості. Ризик, створений із такого джерела, потрапляє на розгляд, а не вважається одразу затвердженим. Бізнес-домени, категорії та збережені подання роблять читабельним навіть реєстр, який охоплює всю організацію.
Як це виглядає
Тримайте ризики, оцінки та дати перегляду в одному реєстрі. Це збережені чернетки ризиків із розрахованими показниками первинного ризику. Залишкову оцінку для них ще не зроблено, і реєстр це показує.
Сценарії використання
Кожен може провести належне оцінювання
Вбудований ШІ-помічник пояснює терміни й посилається на відповідний стандарт, готує чернетки відповідей на основі даних, які ви вже маєте, і вказує на прогалини ще до подання. Так DPIA чи оцінку ризиків ISMS зроблено як належить, а не залишено на одного фахівця, який розуміє ці питання.
Доведіть, як ви визначили свої ризики
Оцінювання перетворює виявлення ризиків на процедуру з датою й підписом. Той, хто його заповнює, не може його затвердити. Затвердження блокує запис. Кожен ризик, який пропонує AI, зберігається у справі разом з обґрунтуванням і посиланням на відповідний пункт, а поруч видно, хто його підтвердив.
Re-assess without starting over
Коли надходить час чергової оцінки, наступний раунд уже заповнено останніми затвердженими відповідями. Ви правите лише те, що змінилося. Після затвердження AI обчислює різницю за кожним ризиком окремо і подає її вашому рецензенту на підтвердження.
Докази активного управління
Перегляди плануються за рівнем ризику, а щодо прострочених система нагадує автоматично. Кожне рішення про опрацювання чи прийняття ризику фіксується. Журнал прийняття (Acceptance Log) одразу показує аудитору всі узгоджені рішення: обґрунтування, хто прийняв і коли. Шукати нічого не доведеться.
Управління ризиками, яке витримає аудит
ШІ, який допомагає, а не вирішує за вас
Помічник дає нефахівцям змогу правильно проводити оцінювання і пропонує ризики, які з нього випливають. Але кожен бал - це число, яке ввела людина, а кожну пропозицію має схвалити людина.
Оцінювання, яке ви зможете обґрунтувати
Відкалібрована модель 5x5 (ймовірність x вплив), побудована на NIST SP 800-30. Рівень, колір і рекомендований спосіб реагування ви бачите одразу під час оцінювання. А коли потрібна власна модель, її можна створити у вбудованому конструкторі.
Регулярний перегляд, готовність до аудиту
Перегляди плануються за рівнем ризику, а коли настає термін, система нагадує про них. Прийняття залишкового ризику фіксується з підписом відповідальної особи. Затверджені оцінки запечатуються остаточно. Аудитор попросить показати ланцюжок доказів - він уже готовий.
Методології
Використовуйте методологію, якої потребує ваше рішення
Продукт постачається з повністю відкаліброваною моделлю 5x5 "Ймовірність x Вплив", що спирається на NIST SP 800-30. Тож на питання "чому тут четвірка?" є письмова відповідь. Ця модель - один із варіантів, а не єдиний. Рушій методологій дає вашому адміністратору змогу створити власну систему оцінювання: багатофакторну, зважену або за найвищим ступенем тяжкості. Він задає пороги, версіонує модель і публікує її.
Суть у тому, щоб зробити метод явним. Фактори, шкали та порогові значення діапазонів - це конфігурація, яку ви можете показати аудитору. А правила обробки й перегляду, що випливають із діапазону, прив'язані до методології, а не залишені на волю звички. Наведені вище значення - це конфігурація саме цього робочого простору, а не фіксована шкала, яку отримують усі.
- Оцінювання на основі факторів зі шкалами та порогами, які можна переглянути і змінити
- Правила обробки та перегляду залежно від категорії, визначені разом із методологією
- Версійність методологій: зміна шкали не переписує історію
Оцінка та обробка
Відокремте початковий ризик від того, що вже під контролем
Запис про ризик зберігає окремо початкову оцінку, аналіз, на якому вона ґрунтується, контрольні заходи, на які він спирається, і заплановане реагування. Початковий і залишковий ризики - це різні числа. Запропонований контроль - це не той самий контроль, що вже працює, і зв'язок між ними сам собою не знижує рівень ризику.
Ризик, показаний вище, - це збережена чернетка: він описаний, отримав оцінку початкового ризику, має контекст перегляду та реагування, але залишкову оцінку ще не проведено. Реагування обов'язкове для рівнів вище Medium і перевіряється під час збереження. Якщо залишковий ризик лишається на рівні Medium або вище, для його прийняття потрібне задокументоване погодження.
- Оцінка притаманного та залишкового ризику ведеться окремо, з прив'язкою до впроваджених засобів контролю
- Плани обробки ризиків із відповідальними особами, термінами виконання та підтвердженням
- Перегляди за рівнями критичності: критичні та високі - щомісяця, середні - щокварталу, низькі - щороку
- Журнал прийняття ризиків із обґрунтуванням, зазначенням, хто прийняв ризик і коли