Maatregelautomatisering betekent dat software een maatregel volgens schema test en het bewijs vastlegt, in plaats van dat iemand dat met de hand doet in de weken voor een audit. De maatregel zelf verandert niet. Wat verandert, is hoe vaak je weet of hij werkt.
Wat je echt kunt automatiseren
Het bruikbare onderscheid is niet technisch versus organisatorisch. Het gaat erom of de maatregel ergens een machineleesbare status heeft. Is dat zo, dan kan een systeem hem elk uur toetsen; zit hij in een afweging of een gesprek, dan niet.
| Goed geschikt | Niet te automatiseren |
|---|---|
| MFA aan op elk account | Of een risicobeoordeling tot een zinnige conclusie kwam |
| Back-ups die slagen, en geteste restores | Of de antwoorden van een leverancier geloofwaardig zijn |
| Versleuteling in rust en tijdens transport | Of de directie de uitkomsten daadwerkelijk heeft beoordeeld |
| Toegang van vertrekkers binnen de afgesproken termijn ingetrokken | Of medewerkers de training hebben begrepen |
| Patchniveaus en endpointbescherming | Of een wijziging echt spoed was |
Eerlijk zijn over de rechterkolom doet ertoe. Een programma dat volledige automatisering claimt, heeft meestal de toetsbare helft geautomatiseerd en de rest stilletjes niet meer getest.
Waarom continu testen het bewijs verandert
Een handmatige controle levert één moment op: op de dag dat iemand keek, was de maatregel in orde. Een geautomatiseerde controle levert een reeks, en een reeks beantwoordt de vraag die een auditor werkelijk stelt, namelijk of de maatregel de hele periode heeft gewerkt.
Dat verschil zie je terug in hoe een storing eruitziet. Handmatig ontdek je aan het eind van het jaar dat een back-up maanden faalde. Met geautomatiseerd testen hoor je het op dag twee, en daarmee wordt een auditbevinding een operationele reparatie.
Waar automatisering stopt
Een geautomatiseerde test vertelt je de status van een systeem, niet of de maatregel goed is opgezet. Software kan vaststellen dat elk account MFA heeft; dat opdrachtnemers helemaal geen account hadden moeten krijgen, kan hij niet zeggen.
Laat het ontwerp dus door een mens beoordelen. Automatiseer het bewijs en de herhaling, en besteed de tijd die je overhoudt aan de vraag of je de juiste dingen toetst.
Bekijk hoe Tidal Control maatregelen test en het bewijs vastlegt als je de tooling wilt en niet de uitleg.