Dziesięcioosobowy zespół stawiający czoła pierwszemu SOC 2 lub ISO 27001 nie może prowadzić compliance tak, jak robi to firma zatrudniająca sto osób, i nie powinien tego próbować. Przewaga w małej skali tkwi w nawykach, które są tanie w utrzymaniu, ale drogie w wdrażaniu wstecznym. Kilka z nich, wprowadzonych wcześnie, poniesie większość ciężaru.
Wybierz frameworki, a potem zapomnij o segregatorze
Zdecyduj, które frameworki naprawdę Cię dotyczą (B2B SaaS sprzedający na rynek UE zwykle patrzy na SOC 2 lub ISO 27001 plus RODO, czasem DORA lub NIS 2, w zależności od klienta) i zapisz to raz. Następnie opieraj się pokusie życia w ogromnym arkuszu kontroli. W Twojej skali arkusz starzeje się szybciej, niż system się zmienia.
Zamiast tego chcesz, aby garstka kontroli związanych z kodem była sprawdzana tam, gdzie już pracujesz: w pull request.
Nawyki, które się kumulują
Trzy nawyki robią większość pracy. Rejestruj zdarzenia związane z bezpieczeństwem (uwierzytelnianie, zmiany uprawnień, dostęp do wrażliwych danych) od pierwszego dnia, ponieważ wsteczne dodawanie śladu audytu jest bolesne. Utrzymuj domyślnie zasadę najmniejszych uprawnień, ponieważ cofanie zbyt szerokich przyznań później jest gorsze. I nigdy nie rejestruj tajemnic ani danych osobowych, ponieważ czyszczenie magazynu logów po fakcie to najgorsza wersja tej pracy.
Żaden z tych nawyków nie wymaga narzędzia GRC. Muszą być zauważane podczas code review, a to dokładnie tam, gdzie mały zespół już ma oczy na każdej zmianie.
Gdzie automatyzacja najbardziej pomaga małemu zespołowi
To, czego brakuje małemu zespołowi, to nie staranność, ale wiedza o frameworkach, aby rozpoznać, że konkretny diff dotyczy konkretnej kontroli. To właśnie tę lukę ma za zadanie wypełnić heygrc: odczytywać zmianę w kontekście wybranych frameworków i identyfikować kontrolę, dzięki czemu mały zespół zyskuje świadomość frameworków typową dla dużo większej organizacji, bez konieczności zatrudniania dodatkowych osób.