Ein Team mit zehn Personen, das sich dem ersten SOC 2- oder ISO 27001-Audit stellt, kann Compliance nicht so betreiben wie ein Unternehmen mit hundert Mitarbeitern – und sollte es auch nicht versuchen. Der Hebel bei kleinerem Umfang liegt in Gewohnheiten, die günstig umzusetzen, aber teuer nachzurüsten sind. Einige davon, früh eingeführt, tragen den Großteil der Last.
Wählen Sie die Frameworks, dann vergessen Sie den Ordner
Entscheiden Sie, welche Frameworks tatsächlich auf Sie zutreffen (ein B2B-SaaS-Anbieter, der in der EU verkauft, betrachtet in der Regel SOC 2 oder ISO 27001 plus GDPR, manchmal DORA oder NIS 2, abhängig vom Kunden) und schreiben Sie das einmal auf. Widerstehen Sie dann dem Drang, in einer riesigen Kontrolltabelle zu leben. In Ihrer Größe veraltet die Tabelle schneller, als sich das System ändert.
Was Sie stattdessen brauchen, ist, dass die wenigen codebezogenen Kontrollen dort überprüft werden, wo Sie bereits arbeiten: im Pull Request.
Die Gewohnheiten, die sich auszahlen
Drei Gewohnheiten erledigen den Großteil der Arbeit. Protokollieren Sie sicherheitsrelevante Ereignisse (Authentifizierung, Berechtigungsänderungen, Zugriff auf sensible Daten) von Anfang an, denn das nachträgliche Einrichten eines Audit-Trails ist schmerzhaft. Halten Sie standardmäßig das Prinzip der minimalen Berechtigungen ein, denn das Zurücknehmen zu breiter Zugriffsrechte ist später schlimmer. Und speichern Sie niemals Geheimnisse oder personenbezogene Daten in Logs, denn das Bereinigen eines Log-Speichers im Nachhinein ist die unangenehmste Variante dieser Arbeit.
Keine davon erfordert ein GRC-Tool. Sie müssen nur bei der Code-Review auffallen, und genau dort hat ein kleines Team bereits alle Änderungen im Blick.
Wo Automatisierung einem kleinen Team am meisten hilft
Was einem kleinen Team fehlt, ist nicht Sorgfalt, sondern das Framework-Wissen, um zu erkennen, dass eine bestimmte Diff eine bestimmte Kontrolle betrifft. Genau diese Lücke schließt heygrc: Es liest die Änderung im Kontext Ihrer ausgewählten Frameworks und benennt die Kontrolle, sodass ein kleines Team das Framework-Wissen eines viel größeren Teams erhält, ohne dafür einstellen zu müssen.