Digiturvamallissa on compliance-raportti jokaiselle vaatimuskehikolle. Raportti toimii kattavana yleiskatsauksena vaatimuskehikon sisältöihin ja organisaation tasoon sisältöäjen noudattamisessa. Tässä ohjeartikkelissa tietoa raporteista ja vinkkejä niiden käyttöön.
ISO 27001- vaatimuskehikon compliance-raportin nimi on Statement of Applicability (SoA).
Raportin yleisnäkymä
Mistä pääset tähän näkymään? Organisaation työpöytä -> Compliance-raportti (oikeassa yläkulmassa)
Pääset tarkastelemaan raportteja suoraan Organisaation työpöydältä tai Raportointi-sivulta.
Compliance-raportit on suunniteltu tarjoamaan selkeä kuva organisaation vaatimustenmukaisuudesta.
- Tummanvihreä: Kaikki suositellut tehtävät tehty
- Vihreä: Kaikki paitsi matalan prioriteetin tehtävät tehty
- Vaaleanvihreä: Tehtävät suoritettu
- Keltainen: Tehtävät käynnissä
- Harmaa: Tehtäviä ei ole aktivoitu
- Tummanharmaa: Ei relevantti (Ei vaikuta vaatimuksen statukseen eikä näy ulkopuolisille tarkastelijoille esim. auditoijalle)
Huom.! Jos merkitset tehtävän luokkaan 'Ei relevantti', se ei enää vaikuta tähän kategorisointiin.
Compliance-raportti on saatavilla kaikille vaatimuskehikoille Digiturvamallissa.
Klikkaamalla soluja pääset tarkastelemaan toteutusta tarkemmin.
Tarkemmat tiedot jokaisen yksittäisen vaatimuksen suhteen
Kunkin vaatimuksen raportin tiedot viittaavat raporttien yleisnäkymän alla näkyvään tehtävälistaan. Pääset sinne klikkaamalla mitä tahansa yleisnäkymän solua, esim. klikkaa "5.15" ISO 27001 -compliance-raportista. Siirryt suoraan seuraavanlaiseen näkymään (punaiset numerot selitetään alla):
- Pääset liikkumaan osien välillä klikkaamalla numeroita.
- Luo yhteenveto tilasta ja muokkaa vaatimusta. Vaatimusten arvot täytetään oletusarvoisesti automaattisesti, mutta voit muuttaa soveltuvuutta ja suoritustilaa manuaalisesti täällä. Esim. kerro, jos kyseinen vaatimus ei koske organisaatiotasi ja miksi. Valitse "Soveltuvuus"-kohdan vieressä olevasta avattavasta valikosta "ei sovelleta" ja kirjoita vapaa kuvaus. Osio näkyy tumman harmaana yleisnäkymässä raportin alussa.
- Täältä löydät listan tehtävistä, joita ehdotetaan vaatimukseen vaatimustenmukaisuuden saavuttamiseksi. Taulukosta näet tehtävän nimen, tehtävätyypin (joka kertoo tehtävän suorittamiseen vaadittavat toimenpiteet), varmuustiedot, prioriteettitason (esiasetettu, ellei sitä muutettu manuaalisesti) ja tilan. Klikkaamalla tehtävän vasemmalla puolella olevaa "+" -merkkiä saat lisätietoa tehtävästä, jos sellaisia on saatavilla. Tämä edellyttää, että tehtävällä on jo jotain sisältöä. Klikkaamalla tehtävän oikealla puolella olevaa "->" -painiketta pääset suoraan tehtäväkortille, jolloin voit aloittaa tai jatkaa tehtävän käsittelyä.
- Voit lisätä vaatimukselle vapaamuotoisen kuvauksen.
Compliance-raporteista saatava hyöty
Compliance-raportissa on useita erilaisia avainkohtia. Seuraavasta luettelosta löydät joitakin tärkeimmistä.
Nykytason ymmärtäminen
Raporttien avulla saat kuvan siitä, millä tasolla tietoturvasi tällä hetkellä on. Täyttääkö organisaatio 25 %, 50 % vai 75 % vaatimuksista, ja riittääkö se vai pitäisikö toimia paremmin?
Arvioi erilaisten vaatimusten toteuttamista
Raporteissa luetellaan ehdottamamme tehtävät, joita voit käyttää valittujen vaatimusten toteuttamiseen. Nämä ovat ehdotuksia ja niillä on prioriteetit Kriittinen / Korkea / Normaali / Matala, joten sinun tulee aloittaa ylhäältä ja pohtia omaa riskilähtöistä ajatteluasi siitä, kuinka pitkälle haluat kussakin aiheessa mennä.
Voit varmasti täydentää tehtäväeluetteloa myös manuaalisilla tehtävälisäyksillä. Yhteenvetona voidaan todeta, että compliance-raportin avulla voit saada ideoita toteutuksen parantamiseksi tiettyjen vaatimusten / kontrollien osalta entisestään, esim. jos analyysisi paljastaa suuria riskejä tai niihin liittyviä läheltä piti -tapahtumia.
Hanki näyttöä vaatimustenmukaisuudesta
Compliance-raportti hoitaa puitteiden rakenteen niin, että se auttaa mm. auditoijaa, joka tuntee tietyn kehyksen, katsomaan ISMS-järjestelmääsi. Esim. auditoinnissa auditoijan on saatava sinulta näyttöä kunkin viitekehyksen vaatimuksen täytäntöönpanosta. Compliance-raportti auttaa sinua keräämään nämä tiedot yhteen paikkaan.
Mihin Compliance-raportteja kannattaa käyttää?
- Sisäiset arvioinnit: Organisaatiot käyttävät näitä raportteja sisäisesti arvioidakseen tietoturvaa, tunnistaakseen osat, joita ei ole vielä käsitelty, ja priorisoidakseen parannustoimia.
- Sisäiset ja ulkoiset auditoinnit: Auditoijat voivat tarkastella näitä raportteja varmistaakseen, että organisaatio noudattaa alan standardeja, lakisääteisiä vaatimuksia tai sopimusvelvoitteita. Voit myös käyttää auditointiominaisuuttamme tehdäksesi auditoinnit suoraan Digiturvamallissa.
- Riskien hallinta: Kun toiminta on selkeää, se auttaa hallitsemaan tietoturvaan liittyviä riskejä. Paranna organisaation turvallisuutta puuttumalla tunnistettuihin uhkiin ja haavoittuvuuksiin sekä dokumentoimalla ja käsittelemällä riskejäsi suoraan ISMS:ssä. Voit jopa aktivoida työntekijöillesi häiriöstä raportoinnin, jotta tapahtumat raportoidaan ja dokumentoidaan ISMS:llesi reaaliajassa, jolloin voit aloittaa häiriöiden- ja riskienhallintaprosessit suoraan Digiturvamallissa.
- Tietoturvaviestintä: Se auttaa viestimään organisaation sitoutumisesta tietoturvaan sidosryhmille, asiakkaille ja kumppaneille ja siten luomaan luottamusta ja läpinäkyvyyttä.
- Jatkuva parantaminen: Raportti toimii etenemissuunnitelmana jatkuvalle tietoturvan parantamiselle ja ohjaa organisaatiota ylläpitämään tai parantamaan tietoturvaa. Digiturvamalli ehdottaa sinulle lisätehtäviä, jotka vahvistavat turvallisuutta entisestään.
Pohjimmiltaan compliance-raportti, kuten ISO 27001:n soveltuvuuslausunto (SoA), on keskeinen työkalu organisaatioille osoittaakseen omistautumisensa arkaluonteisten tietojensa suojaamiseen, säännösten noudattamisen varmistamiseen ja tietoturvaan liittyvien toimenpiteiden jatkuvaan parantamiseen.
Palautetta tai kysyttävää?
Jos sinulla on lisää kysyttävää, tiimiimme voi olla yhteydessä chatin kautta tai sähköpostitse tiimi@digiturvamalli.fi. Otamme myös mielellämme vastaan palautetta Digiturvamallin käytöstä.
