Ο κλάδος της συμμόρφωσης πουλά τον αυτοματισμό όπως ο κλάδος της γυμναστικής πουλά εξοπλισμό: η αγορά μοιάζει με το αποτέλεσμα. Έχω δει οργανισμούς να ξοδεύουν περισσότερα σε μια πλατφόρμα συμμόρφωσης από όσα στους ελέγχους που υποτίθεται ότι παρακολουθούσε, και να φτάνουν στην επιθεώρηση με ένα dashboard γεμάτο πράσινα τικ και καμία ιδέα τι σήμαινε το καθένα. Ο αυτοματισμός δουλεύει. Δουλεύει σε στενότερο σύνολο πραγμάτων από όσο λέει το φυλλάδιο, και δουλεύει μόνο όταν κάποιος έχει πρώτα αποφασίσει τι τεκμήριο υποτίθεται ότι παράγει κάθε έλεγχος.

Μέρος έκτο της σειράς The Compliance Architect. Το προηγούμενο κείμενο έχτισε ένα μητρώο ελέγχων με στήλη τεκμηρίων. Αυτό αφορά το πώς γεμίζει αυτή η στήλη χωρίς κάποιος άνθρωπος να αντιγράφει στιγμιότυπα οθόνης σε έναν φάκελο κάθε τρίμηνο.

Ξεκίνα από το Τεκμήριο, Όχι από το Εργαλείο

Κάθε έλεγχος στο μητρώο σου πρέπει να απαντά σε μία ερώτηση πριν μιλήσει κανείς για αυτοματισμό: ποιο τεκμήριο αποδεικνύει ότι αυτός ο έλεγχος λειτούργησε σε μια δεδομένη περίοδο; Όχι «ποια πολιτική τον περιγράφει» αλλά τι αποδεικνύει ότι συνέβη. Για μια επισκόπηση πρόσβασης το τεκμήριο είναι η λίστα των λογαριασμών που επισκοπήθηκαν, ποιος τους επισκόπησε, η ημερομηνία, και οι λογαριασμοί που αφαιρέθηκαν. Για έναν έλεγχο backup είναι το αρχείο εργασιών και το αποτέλεσμα της δοκιμής αποκατάστασης. Για την εκπαίδευση του ΔΣ είναι το παρουσιολόγιο και το υλικό.

Γράψε το για όλους τους ενενήντα και κάτι ελέγχους και εμφανίζεται κάτι χρήσιμο: τα τεκμήρια χωρίζονται σε τρεις ομάδες, και μόνο η μία είναι καλός στόχος για αυτοματισμό.

Τι Αυτοματοποιείται Καλά

Τεκμήρια που είναι η κατάσταση ενός συστήματος, ή η έξοδος ενός συστήματος, σε μια χρονική στιγμή. Εδώ ο αυτοματισμός δεν είναι απλώς δυνατός αλλά αυστηρά καλύτερος από έναν άνθρωπο, γιατί η ανθρώπινη εκδοχή είναι ένα στιγμιότυπο οθόνης και το στιγμιότυπο δεν αποδεικνύει τίποτα για τις άλλες 364 μέρες.

  • Κατάσταση ταυτοτήτων και πρόσβασης. Η λίστα χρηστών, οι ρόλοι τους, η εγγραφή σε MFA, η τελευταία σύνδεση, η συμμετοχή σε προνομιούχες ομάδες, οι λογαριασμοί υπηρεσιών και οι ιδιοκτήτες τους. Αντλείται από τον πάροχο ταυτότητας καθημερινά και αποθηκεύεται. Εξυπηρετεί ISO A.5.15 έως 5.18 και 8.5, NIS2 21(2)(θ) και (ι), DORA 9(4)(γ), GDPR 32(1)(β).
  • Διαμόρφωση και απόκλιση. Η πραγματική διαμόρφωση servers, containers, πόρων cloud και δικτυακών συσκευών απέναντι στο εγκεκριμένο baseline, με τις διαφορές. Αυτό είναι το ISO 8.9 και είναι σχεδόν αδύνατο να τεκμηριωθεί με άλλον τρόπο.
  • Κατάσταση ευπαθειών και ενημερώσεων. Έξοδος σαρωτή, επίπεδα ενημερώσεων, χρόνος αποκατάστασης ανά σοβαρότητα. A.8.8, NIS2 21(2)(ε), DORA 9(4)(α).
  • Εκτέλεση backup και ανάκαμψης. Επιτυχία και αποτυχία εργασιών, διατήρηση, σημαίες αμεταβλητότητας, και, αν το γράψεις σε script, το αποτέλεσμα της δοκιμής αποκατάστασης. A.8.13, DORA άρθρο 12.
  • Κάλυψη καταγραφής και παρακολούθησης. Ποια συστήματα στέλνουν logs, αν η ροή είναι υγιής, όγκοι ειδοποιήσεων και χρόνοι απόκρισης. A.8.15 και 8.16, DORA άρθρο 10.
  • Κατάσταση κρυπτογράφησης. Εκδόσεις TLS και πιστοποιητικά σε χρήση, σημαίες κρυπτογράφησης δίσκων και βάσεων, ημερομηνίες εναλλαγής κλειδιών. A.8.24.
  • Στάση endpoints. Κρυπτογράφηση συσκευών, παρουσία και υγεία agent EDR, εκδόσεις λειτουργικού. Αρκετοί έλεγχοι ταυτόχρονα.
  • Αρχεία αλλαγών. Αν οι αλλαγές περνούν από έλεγχο εκδόσεων και σύστημα εισιτηρίων, το merge request, η έγκριση και το αρχείο εγκατάστασης είναι τα τεκμήρια για το A.8.32 και την παράγραφο 6.3, παραγόμενα ως παραπροϊόν της δουλειάς.

Όλα σε αυτή τη λίστα έχουν το ίδιο σχήμα: ένα σύστημα-πηγή εκθέτει ένα API, ένας συλλέκτης το ρωτά με χρονοπρογραμματισμό, το αποτέλεσμα αποθηκεύεται με χρονοσήμανση, και ένας κανόνας το συγκρίνει με ό,τι απαιτεί ο έλεγχος. Αυτή είναι ολόκληρη η αρχιτεκτονική κάθε προϊόντος αυτοματισμού συμμόρφωσης. Μπορείς να την αγοράσεις, και για πολλούς οργανισμούς αυτή είναι η σωστή απόφαση, ή μπορείς να χτίσεις μια μετριοπαθή εκδοχή με scripts και ένα αποθετήριο, που είναι αυτό που κάνω για μικρότερους πελάτες.

Τι Αυτοματοποιείται Άσχημα

Τεκμήρια που είναι ανθρώπινη κρίση ή ανθρώπινη πράξη. Τα εργαλεία θα προσφερθούν να τα αυτοματοποιήσουν· αυτοματοποιούν τη γραφειοκρατία γύρω από την κρίση, όχι την κρίση, και αν αφήσεις το checkbox του εργαλείου να αντικαταστήσει την κρίση έχεις χτίσει μια μηχανή παραγωγής ψευδούς διαβεβαίωσης.

  • Εκτίμηση κινδύνου. Ένα εργαλείο μπορεί να κρατά το μητρώο και να υπενθυμίζει στον ιδιοκτήτη. Δεν μπορεί να αποφασίσει ποιος είναι ο κίνδυνος ή αν η αντιμετώπιση επαρκεί. Το τεκμήριο είναι η συλλογιστική του ιδιοκτήτη, με ημερομηνία.
  • Αποφάσεις πεδίου και εφαρμοσιμότητας. Ποιες λειτουργίες είναι κρίσιμες κατά DORA, ποια επεξεργασία είναι υψηλού κινδύνου κατά GDPR, αν ένα περιστατικό είναι σημαντικό κατά NIS2. Είναι αποφάσεις με νομικές συνέπειες, και το αρχείο πρέπει να δείχνει ποιος τις πήρε και γιατί.
  • Αξιολόγηση προμηθευτών. Μια πλατφόρμα ερωτηματολογίων συλλέγει απαντήσεις. Κάποιος πρέπει ακόμη να τις διαβάσει, και το τεκμήριο είναι αυτή η ανάγνωση: το συμπέρασμα του αξιολογητή και η συνέχεια.
  • Ταξινόμηση περιστατικών και ανασκόπηση μετά το περιστατικό. Η ανίχνευση αυτοματοποιείται· η απόφαση ότι αυτό είναι μείζον περιστατικό, και τα διδάγματα που ακολουθούν, όχι.
  • Ανασκόπηση διοίκησης. Τα πρακτικά είναι το τεκμήριο και κανένα εργαλείο δεν τα γράφει ειλικρινά.
  • Αποτελεσματικότητα εκπαίδευσης. Τα ποσοστά ολοκλήρωσης αυτοματοποιούνται. Το αν έμαθε κανείς κάτι είναι κρίση (και αποτέλεσμα προσομοίωσης phishing, που αυτοματοποιείται).

Η παγίδα είναι λεπτή. Οι πλατφόρμες τα παρουσιάζουν ως «ελέγχους» με κατάσταση, και η κατάσταση γίνεται πράσινη όταν ανεβαίνει ένα έγγραφο. Ένας επιθεωρητής, και όλο και περισσότερο μια εποπτική αρχή, θα ανοίξει το έγγραφο. Αν είναι πρότυπο με αλλαγμένη ημερομηνία, το πράσινο τικ σου κόστισε αξιοπιστία για κάθε άλλο έλεγχο στο dashboard.

Τι Μισο-αυτοματοποιείται

Μια τρίτη ομάδα όπου το εργαλείο κάνει τη συλλογή και ένας άνθρωπος μια σύντομη, πραγματική επισκόπηση: αποδοχές πολιτικών (αυτόματη συλλογή, ανθρώπινος έλεγχος ότι η πολιτική είναι επίκαιρη), επισκοπήσεις πρόσβασης (αυτόματη λίστα υποψηφίων, ανθρώπινη απόφαση ανά λογαριασμό, αυτόματη αφαίρεση), παρακολούθηση προμηθευτών (αυτόματη λήξη πιστοποιητικών και ειδήσεις παραβιάσεων, ανθρώπινη αξιολόγηση όταν κάτι αλλάξει), μητρώο πληροφοριών DORA (αυτόματη συμπλήρωση από το σύστημα συμβάσεων, ανθρώπινη επικύρωση πριν την υποβολή). Αυτοί είναι οι στόχοι υψηλότερης αξίας, γιατί ο αυτοματισμός αφαιρεί την αγγαρεία που έκανε τους ανθρώπους να παραλείπουν την επισκόπηση, και η επισκόπηση είναι αυτό που θέλει ο ρυθμιστής.

Μια Αρχιτεκτονική Αναφοράς

Είτε αγοράζεις είτε χτίζεις, τα κομμάτια είναι τα ίδια, και το να τα ονομάσεις σου επιτρέπει να αξιολογήσεις ένα προϊόν ειλικρινά.

  1. Πηγές. Πάροχος ταυτότητας, λογαριασμοί cloud, διαχείριση endpoints, σαρωτής ευπαθειών, σύστημα backup, σύστημα εισιτηρίων, έλεγχος εκδόσεων, σύστημα HR, αποθετήριο συμβάσεων. Κάθε πηγή χρειάζεται διαπιστευτήριο μόνο ανάγνωσης με ελάχιστο εύρος, και αυτό το διαπιστευτήριο είναι το ίδιο έλεγχος.
  2. Συλλέκτες. Χρονοπρογραμματισμένες εργασίες που αντλούν κατάσταση από κάθε πηγή. Η συχνότητα μετράει: καθημερινά για ταυτότητες και διαμόρφωση, ωριαία για υγεία backup και καταγραφής, εβδομαδιαία για ευπάθειες είναι μια λογική αρχή.
  3. Αποθετήριο τεκμηρίων. Μόνο προσθήκης, με χρονοσήμανση, με διατήρηση τουλάχιστον για τον κύκλο πιστοποίησης (τρία χρόνια) και για DORA και NIS2 όσο μπορεί να ζητήσει η εποπτική αρχή (υπολόγισε πέντε). Αποθήκευση αντικειμένων με εκδόσεις και κλείδωμα, ή ένα αποθετήριο git, δουλεύουν και τα δύο. Το ζητούμενο είναι κανείς να μην μπορεί να επεξεργαστεί αθόρυβα τον περασμένο Μάρτιο.
  4. Αντιστοίχιση ελέγχων. Κάθε συλλεγμένο τεκμήριο σημαίνεται με τους ελέγχους που τεκμηριώνει, με το μητρώο του προηγούμενου κειμένου. Ένα τεκμήριο, πολλοί έλεγχοι· εκεί συμβαίνει αυτόματα το «τεκμηρίωσε τέσσερις φορές».
  5. Κανόνες και ειδοποιήσεις. Ένας κανόνας ανά έλεγχο που μετατρέπει το τεκμήριο σε επιτυχία, αποτυχία ή παλιό. Το παλιό είναι το σημαντικό: τεκμήριο παλαιότερο από τη συχνότητα του ελέγχου είναι αποτυχία του συλλέκτη, και κάποιος πρέπει να το μάθει σήμερα, όχι στην επιθεώρηση.
  6. Ουρά ανθρώπινης επισκόπησης. Τα μισο-αυτοματοποιημένα στοιχεία εμφανίζονται εδώ με προθεσμία και ιδιοκτήτη. Αυτό είναι το κομμάτι που κάνει το σύστημα έλεγχο και όχι αναφορά.
  7. Εξαγωγές. Όψεις ανά πλαίσιο για τον επιθεωρητή ISO, την ΕΑΚ, την Τράπεζα της Ελλάδος, την ΑΠΔΠΧ. Παράγονται από το ίδιο αποθετήριο, ποτέ δεν συντηρούνται ξεχωριστά.

Αγορά ή Κατασκευή

Οι πλατφόρμες (υπάρχουν καμιά δωδεκαριά, και τα ονόματά τους αλλάζουν με κάθε γύρο χρηματοδότησης) αξίζουν την τιμή τους όταν έχεις πολλές ενσωματώσεις cloud και SaaS να συνδέσεις, αρκετά πλαίσια να αναφέρεις, και κανέναν στο προσωπικό που να θέλει να συντηρεί scripts. Είναι ακριβές και σε κλειδώνουν στις δικές τους αντιστοιχίσεις ελέγχων, που είναι συνήθως ρηχότερες από τον πίνακα αυτής της σειράς και που δεν μπορείς εύκολα να διορθώσεις. Πριν υπογράψεις, κάνε τρεις ερωτήσεις: μπορώ να εξαγάγω όλα τα τεκμήριά μου σε χρησιμοποιήσιμη μορφή αν φύγω· μπορώ να προσθέσω δικούς μου ελέγχους και δικές μου αντιστοιχίσεις· και αντλεί πραγματικά η ενσωμάτωση διαμόρφωση ή απλώς ελέγχει ότι υπάρχει ενσωμάτωση. Η τρίτη ερώτηση εξαλείφει περίπου τα μισά demos που έχω παρακολουθήσει.

Η κατασκευή είναι σωστή όταν οι πηγές σου είναι λίγες και γνωστές, έχεις μηχανικούς που αντιμετωπίζουν τη συμμόρφωση ως πρόβλημα μηχανικής, και θέλεις τα τεκμήρια να ζουν σε υποδομή που ελέγχεις. Μερικές εκατοντάδες γραμμές scripts, ένας χρονοπρογραμματιστής, αποθήκευση αντικειμένων και ένα μητρώο σε λογιστικό φύλλο ή μικρή βάση καλύπτουν εκπληκτικά μεγάλο μέρος όσων κάνουν οι πλατφόρμες. Το κόστος συντήρησης είναι πραγματικό, και ανήκει στην περιγραφή εργασίας κάποιου.

Τρεις Τρόποι Αποτυχίας

Βλέπω τους ίδιους τρεις κάθε χρόνο.

Πράσινο εξ ορισμού. Το εργαλείο είναι ρυθμισμένο ώστε ένας έλεγχος να είναι συμμορφωμένος εκτός αν κάτι αποτύχει. Τα ελλείποντα τεκμήρια εμφανίζονται πράσινα. Αντίστρεψέ το: ένας έλεγχος αποτυγχάνει μέχρι να φτάσει τεκμήριο και να περάσει.

Τεκμήρια χωρίς αναγνώστη. Terabytes συλλεγμένης κατάστασης που κανείς δεν κοιτά μέχρι την επιθεώρηση, οπότε οι ανωμαλίες οκτώ μηνών πριν αναδύονται χωρίς εξήγηση. Οι κανόνες και οι ειδοποιήσεις παλαιότητας υπάρχουν για να επιβάλουν έναν αναγνώστη.

Ο αυτοματισμός ως ο έλεγχος. Το «έχουμε εργαλείο» γίνεται η απάντηση σε κάθε ερώτηση. Το εργαλείο τεκμηριώνει τον έλεγχο· δεν είναι ο έλεγχος. Αν η εργασία backup αποτυγχάνει επί έναν μήνα και το εργαλείο καταγράφει ευσυνείδητα τριάντα αποτυχίες για τις οποίες κανείς δεν ενήργησε, έχεις τέλειο τεκμήριο ενός σπασμένου ελέγχου, που είναι αυτό που θα γράψει ο επιθεωρητής.

Κλείσιμο

Ο αυτοματισμός συμμόρφωσης που δουλεύει είναι βαρετός: μια λίστα τεκμηρίων ανά έλεγχο, συλλέκτες που φέρνουν όσα μπορούν να φερθούν, ένα αποθετήριο που δεν μπορεί να επεξεργαστεί, κανόνες που φωνάζουν όταν τα τεκμήρια παλιώνουν, και μια σύντομη ουρά πραγμάτων που ένας άνθρωπος πρέπει πραγματικά να αποφασίσει. Αφαιρεί το τριμηνιαίο τελετουργικό των στιγμιότυπων οθόνης, κάνει τα τεκμήρια συνεχή αντί για ετήσια, και αφήνει τους ανθρώπους ελεύθερους να κάνουν τη δουλειά της κρίσης που κανένας ρυθμιστής δεν θα δεχτεί από μηχανή. Το επόμενο κείμενο αφορά το τι συμβαίνει όταν αυτά τα τεκμήρια συναντούν έναν επιθεωρητή.