Контроль и анкета
Ответ «Нет» не теряется: он сам становится несоответствием
Проверка обычно ломается в одном месте — между «мы нашли проблему» и «кто-то её завёл». Здесь этого разрыва нет: отрицательный ответ в завершённой анкете автоматически превращается в необработанное несоответствие со своим жизненным циклом, и закрыть его можно только явным решением, а не забыванием.
Сквозной путь
От запуска проверки до проблемы, которую видно в реестре
Пять этапов, между которыми нет ручной пересылки. Каждый следующий забирает результат предыдущего, поэтому «потерялось в почте» перестаёт быть возможным объяснением.
Контроль
Проверка создаётся по одному из трёх сценариев и сразу получает дату начала и уровень в иерархии.
Статус: В процессе
Анкета
Набор вопросов собирается автоматически — по областям влияния, отмеченным на предыдущем шаге.
Статус: Заполнение
Несоответствие
Ответ «Нет» в завершённой анкете создаёт необработанное несоответствие. Оно остаётся в реестре до выполнения предусмотренных действий.
Статус: Необработан
Проблема
Несоответствия и ручные дефициты собираются в проблему с вероятностью и обоснованием.
Статус: Шаблон
Оценка риска
По связанным проблемам считается присущий и остаточный риск и уровень критичности.
Статус: Завершено
Три сценария проверки — потому что поводов проверять тоже три
Периодическая проверка по календарю, проверка под конкретный проект и внеплановая проверка по поводу — это разные процессы с разной подготовкой. Модуль не сводит их к одной кнопке: у каждого сценария свой порядок и свои обязательные поля.
- Когда применяется. Плановая проверка информационной системы, которую нужно повторять.
- Что происходит при создании. Анкета собирается сразу из всех активных вопросов — согласовывать область влияния не нужно.
- Что защищает. Для одной системы не может быть двух незавершённых периодических проверок: пока предыдущая не закрыта, новую создать нельзя.
- Какой риск снимает. Две параллельные проверки одной системы дают два разных результата и спор о том, какой из них настоящий.
- Когда применяется. Проверка в рамках проекта изменений: новая система, новая интеграция, переход на новую площадку.
- Что обязательно. Идентификатор проекта и наименование проекта — без них контроль не создаётся.
- Что происходит при создании. Сначала заполняется анкета определения области влияния, и только её одобрение раскрывает основную анкету.
- Какой риск снимает. Проверку «на всякий случай по всему списку» никто не заполняет до конца; здесь список сужается до того, что проект действительно затрагивает.
- Когда применяется. Внеплановая проверка: инцидент, обращение, наблюдение аудитора.
- Что происходит. Вопросы выбираются под повод, у выбора есть своя контрольная дата.
- Что остаётся. Внеплановая проверка идёт по тем же правилам несоответствий и проблем, что и плановая, и попадает в те же реестры.
- Какой риск снимает. Разбор «в переписке», после которого не остаётся ни следа, ни оценки.
Одна незакрытая проверка блокирует создание следующей
Новый контроль бизнес-единицы недоступен, пока есть незавершённый. Для информационной системы не может быть двух активных периодических контролей. Параллельные проверки одного объекта — главный источник расхождений в отчётности, и модуль их исключает.
Иерархия контролей: продолжение проверки не отрывается от начала
Проверка редко заканчивается одним заходом. Контроли выстраиваются в дерево: у дочерней проверки есть родитель и уровень, а систему и тип она наследует. Разорвать связь и «начать с чистого листа» не получится — история остаётся общей.
Периодический контроль информационной системы уровень 1 В процессе
Корневой контроль: статус выставляется «В процессе», дата начала — момент создания, уровень иерархии — первый.
-
Дочерний контроль уровень 2 Запланирован
Наследует информационную систему и тип родителя. Заводится, когда часть вопросов уходит на отдельную проработку.
-
Контроль следующего уровня уровень 3
Глубина не ограничена одним шагом: дерево строится по ссылке на родителя и номеру уровня.
-
Раскрывается мышью и с клавиатуры; на печати все ветки раскрыты.
Область влияния собирает анкету за вас
Самая дорогая ошибка проверки — не неправильный ответ, а неправильный список вопросов. Поэтому список не составляется руками: сначала отмечаются области влияния, а одобрение этой анкеты разворачивает их в конкретные вопросы.
Ответ «Да» разворачивается
В основную анкету попадают вопросы тех областей влияния, где ответ «Да». Остальные не занимают время исполнителя.
Признак «Включить все вопросы периодического контроля»
Если хотя бы в одной строке взведён этот флаг, в анкету включаются все активные вопросы — полная проверка одним признаком.
Без дублей
Один и тот же вопрос не попадёт в анкету дважды, даже если он относится сразу к нескольким областям.
Что считается активным вопросом
Активны вопросы с незаполненной датой закрытия. Библиотека вопросов не чистится удалением: вопрос закрывают датой, и он перестаёт попадать в новые анкеты, оставаясь в уже проведённых проверках. Дата закрытия не может быть раньше даты создания и не может быть в прошлом.
Разделы контроля
- Определение области влияния
- Анкета
- Ручные дефициты
- Проблемы
- Оценка риска
- История согласований
| № | Область влияния | Вопрос | Ответ | Несоответствие |
|---|---|---|---|---|
| 1 | Управление доступом | Пересматриваются ли права после перевода сотрудника? | Да | — |
| 2 | Управление доступом | Отзываются ли учётные записи подрядчиков по окончании работ? | Нет | Необработан |
| 3 | Электронные носители | Ведётся ли учёт съёмных носителей? | Не применимо | — |
| 4 | Мониторинг контента | Настроен ли контроль передачи защищаемых сведений вовне? | Нет | Необработан |
Колонки — из состава представления «Оценка риска ИБ»: номер вопроса, область влияния, порядок, вопрос, информация о соответствии, выдержка, комментарий, даты создания и закрытия.
Таблица прокручивается вбок внутри рамки.
Что можно править, определяет статус, а не договорённость
Самая частая претензия к анкетам — «после согласования кто-то поменял ответ». Здесь право на правку привязано к состоянию: закрытая анкета закрыта для всех, включая автора.
| Статус | Анкета | Ответы |
|---|---|---|
| Шаблон | Редактируется | Нет |
| Заполнение | Редактируется | Да |
| Шаблон (с дополнением) | Редактируется | Да |
| На согласовании | Закрыта | Нет |
| Завершено | Закрыта | Нет |
| Одобрено | Закрыта | Нет |
Ответ «Нет» становится несоответствием без чьего-либо участия
Это ключевой механизм страницы. Строка завершённой анкеты с ответом «Нет» автоматически получает статус необработанного несоответствия. Дальше у него ровно четыре исхода, и «ничего» среди них нет: каждый исход — осознанное решение, которое остаётся в журнале.
Необработан
Состояние по умолчанию: несоответствие ждёт решения и видно в реестре.
Отменён
Решение «это не несоответствие» — но принятое явно, с автором и записью в журнале.
Дубликат
Уже учтено в другом месте: повтор не раздувает статистику и не теряется.
Связан с проблемой
Вошло в проблему, у которой есть вероятность, обоснование и оценка риска.
Условие ровно одно, и его нельзя обойти вручную
Несоответствие возникает, когда ответ в строке — «Нет», статус несоответствия — «Необработан», а сама анкета завершена. Отмена и признание дубликатом — отдельные аудируемые действия, а не удаление строки.
Ручные дефициты: то, что нашли не анкетой
Не всякая слабость обнаруживается вопросом. Инцидент, наблюдение аудитора, самостоятельная находка команды — всё это заводится как дефицит с указанием типа и попадает в тот же путь к проблеме и оценке риска.
Мониторинг контента
Контроль содержимого
Электронные носители информации
Электронные носители данных
Управление идентификацией и доступом
Управление учётными записями и доступом
Самостоятельно обнаруженный
Выявлено самостоятельно
Инцидент информационной безопасности
Инцидент информационной безопасности
Справочник типов дефицита поставляется в двух языках.
Проблема: место, где несоответствия перестают быть списком
Проблема объединяет несоответствия и дефициты, получает описание, сценарий угрозы, существующие меры, факторы влияния по трём осям и вероятность. Именно к проблеме привязывается оценка риска — поэтому целостность её состава защищена правилами.
Что модуль не позволит сделать с проблемой
- смешать в одной проблеме источники несоответствий — анкетные и ручные дефициты;
- привязать несоответствие, которое уже связано с другой проблемой;
- сохранить расхождение расчётной и итоговой вероятности без обоснования.
Состояния проблемы внутри модуля
Шаблон Завершено
Редактировать можно только незакрытый черновик.
Закрытие
Проблема считается закрытой, когда завершён её внутренний статус либо когда закрыта или отменена связанная с ней запись во внешнем модуле управления проблемами.
Связь с внешним модулем управления проблемами
В составе модуля есть поля идентификатора и статуса записи внешнего модуля управления проблемами и правило их учёта при закрытии: проблема закрывается вслед за закрытой или отменённой внешней записью.
Что это даёт ИТ-директору
Меньше ручных стыков — меньше поводов для расследования, «кто не передал»
- Нет второго списка задач. Несоответствие возникает внутри того же объекта, где заполнялась анкета; заводить его в отдельном трекере не требуется.
- Библиотека вопросов версионируется датами. Закрытый вопрос перестаёт попадать в новые анкеты, но не исчезает из уже проведённых проверок — старые результаты остаются читаемыми.
- Обязательные поля не дают закрыть работу формально. Для проектного контроля обязательны идентификатор и наименование проекта; без них контроль не создаётся.
- Границы модуля предсказуемы. Контроль, анкета, несоответствие, дефицит, проблема и оценка риска — сущности одного модуля с собственной схемой базы данных.
Как из проблемы получается число Кто и что может согласовать
Посмотреть, как это считается на ваших данных
Показываем расчёт на модельной информационной системе: анкета, несоответствия, присущий и остаточный риск, уровень критичности и маршрут согласования.
Запросить демонстрацию Как проходит пилот
ООО «Ланселот-ИТ» · +7 (499) 380-74-23 · info@lancelot-it.ru