چرخه عمر سیاست ها و رویه ها

1) چرا مدیریت چرخه عمر

سیاست ها و رویه ها «قوانین بازی» را تعیین می کنند: به حداقل رساندن خطرات، اطمینان از انطباق (GDPR/AML/PCI DSS/SOC 2 و غیره)، متحد کردن شیوه ها و افزایش قابلیت پیش بینی. چرخه عمر رسمی (چرخه عمر مدیریت سیاست، PML) ارتباط و قابلیت اجرای اسناد و همچنین وجود شواهد برای حسابرسان را تضمین می کند.

2) سلسله مراتب سند (طبقه بندی)

سیاست: چه چیزی اجباری است و چرا ؛ اصول و الزامات اجباری

استانداردهای قابل اندازه گیری (به عنوان مثال، رمزگذاری، TTL، SoD) را مشخص می کند.
روش/SOP: نحوه انجام گام به گام ؛ نقش ها، ماشه ها، چک لیست ها.
دستورالعمل/بهترین شیوه ها: توصیه می شود، اما به شدت مورد نیاز نیست.
Playbook (کتاب اجرای عملیاتی): سناریوهای پاسخ (حوادث، DR، DSAR).
دستورالعمل کار: جزئیات محلی برای یک فرمان/سرویس.

پیوندها: سیاست ها ↔ استانداردها ↔ رویه ها ↔ playbooks. هر سند دارای اظهارات و معیارهای کنترل است.

3) نقش ها و مسئولیت ها (RACI)

(R - مسئول ؛ الف - مسئولیت پذیری ؛ C - مشاوره ؛ من - مطلع)

4) نقاط عطف چرخه زندگی (PML)

1. شناسایی تقاضا

محرک ها: مقررات جدید، حوادث، نتایج حسابرسی، اجرای خدمات، انتقال به یک حوزه قضایی جدید.

2. پیش نویس و توجیه

محدوده، اهداف، تعاریف اصطلاحات.
اظهارات کنترل + اساس ریسک.
نورم نقشه برداری (GDPR/AML/PCI/SOC 2، و غیره).
معیارهای قابل اندازه گیری و SLO/SLA (به عنوان مثال، DSAR ≤ 30 روز).

3. بررسی همکار

حقوقی/DPO، امنیت، عملیات، داده ها/IAM ؛ ضبط نظرات، پروتکل تصمیم گیری.

4. برآورد امکان سنجی و هزینه ها

تجزیه و تحلیل تاثیر فرآیند/سیستم، نیاز به اتوماسیون، تغییر نقش.

5. تایید صلاحیت

هیئت مدیره یا حامی اجرایی اختصاص دادن شناسه و نسخه.

6. انتشارات و ارتباطات

پورتال سیاست (GRC/تلاقی) + اطلاعیه ها.
صلاحیت اجباری (خواندن و درک) از نقش هدف.
پرسش و پاسخ/کوتاه «یک پیجر» برای مخاطبان گسترده.

7. پیاده سازی و آموزش

برنامه های L&D، یادگیری الکترونیکی، پوستر/یادداشت ها، ورود به سیستم.

8. اجرا و نظارت

سیاست ها → استانداردها → روش ها → کنترل های خودکار (انطباق به عنوان کد). داشبورد، هشدار، اصلاح بلیط.

9. مدیریت استثنا (چشم پوشی)

درخواست رسمی با توجیه، ارزیابی ریسک، تاریخ انقضا، اقدامات جبرانی، ثبت استثنائات، بررسی دوره ای.

10. بازنگری و تغییر

بررسی منظم (معمولا سالانه یا همراه با محرک ها) کلاس های تغییر: عمده/جزئی/اضطراری. نسخه، تغییرات، سازگاری عقب مانده رویه ها.

11. ممیزی و نظارت بر عملکرد

حسابرسی داخلی/بررسی های خارجی: تست های طراحی و اثربخشی عملیاتی، نمونه گیری، تنظیمات قانون

12. بایگانی و انهدام (غروب آفتاب)

اعلامیه جایگزینی/اتحادیه، برنامه مهاجرت، انتقال لینک ها، آرشیو به WORM با خلاصه هش.

5) ابرداده سیاست (حداقل ترکیب)

ID, Version, Status (Draft/Active/Deprecated/Archived), تاریخ انتشار/بازبینی, مالک, اطلاعات تماس.
محدوده (چه/کجا/برای چه کسی)، حوزه های قضایی و محرومیت.
تعاریف اصطلاحات و اختصارات.
الزامات اجباری (اظهارات کنترل) + شاخص های قابل اندازه گیری.
RACI توسط روش.
مراجع/وابستگی ها (استانداردها، رویه ها، playbooks).
روش مدیریت چشم پوشی.

ریسک های مرتبط و KRI/KPI

آموزش و صلاحیت مورد نیاز.
تاریخچۀ نسخه) changelog (.

6) مدیریت نسخه و تغییر

• عمده: تغییر اصول/الزامات اجباری ؛ requalification مورد نیاز است.
• جزئی: ویرایش جمله بندی/مثال ؛ اطلاع رسانی بدون صدور گواهینامه اجباری.
• اضطراری: ویرایش سریع به دلیل حادثه/تنظیم کننده ؛ بررسی کامل factum.

7) محلی سازی و همپوشانی های قضایی

نسخه اصلی در زبان شرکت + برنامه های محلی (ضمیمه کشور).

ترجمه ها - از طریق واژه نامه اصطلاحات ؛ اعتبار قانونی

کنترل اختلاف: نسخه محلی می تواند نیازهای Master را تقویت کند اما تضعیف نمی کند.

8) ادغام با سیستم ها و داده ها

پلت فرم GRC: رجیستری سند، وضعیت، صاحبان، چرخه بررسی، رجیستری چشم پوشی.

IAM/IGA: پیوند آموزش و ارزیابی به نقش ها ؛ انکار دسترسی بدون عبور

پلت فرم داده: دایرکتوری داده ها، سلسله، برچسب حساسیت ؛ کنترل TTL/retentions.
CI/CD/DevSecOps: دروازه های بازی ؛ تست سیاست به عنوان کد و جمع آوری شواهد.
SIEM/SOAR/DLP/EDRM: کنترل اجرا، هشدار و playbooks اصلاح.
HRIS/LMS: دوره ها، آزمون ها، اثبات تکمیل.

9) معیارهای عملکرد (KPI/KRI)

پوشش:٪ از کارکنان/نقش ها به موقع واجد شرایط هستند.
پذیرش سیاست: نسبت فرایندهایی که الزامات در استانداردها/رویه ها اجرا می شود.
نرخ استثنا تعداد چشم پوشی فعال و٪ منقضی شده است.
رانش/نقض: نقض کنترل های خودکار.
زمان آمادگی حسابرسی: زمان انتخاب شواهد برای یک سیاست خاص.
به روز رسانی کادنس - درصد اسنادی که مهلت تجدید نظر را گذرانده اند.
میانگین زمان به روز رسانی (MTTU) از ماشه به نسخه فعال.

10) مدیریت چشم پوشی - فرآیند

1. درخواست با شرح علت، خطرات، دوره، اقدامات جبرانی.
2. ارزیابی و تأیید ریسک (مالک + انطباق + حقوقی).

3. ثبت نام ؛ اتصال به کنترل ها و سیستم ها

4. نظارت و یادآوری بررسی/بسته شدن.
5. برداشت خودکار یا تمدید با تصمیم کمیته.

11) حسابرسی و بررسی عملکرد

طراحی در مقابل اثربخشی عملیاتی: در دسترس بودن الزامات و عملکرد واقعی

نمونه برداری/تجزیه و تحلیل: نمونه برداری از موارد، مقایسه IaC ↔ پیکربندی واقعی، تنظیم قوانین CaC.
پیگیری: کنترل زمان بندی اصلاح، نظارت بر یافته های تکراری.

12) چک لیست

ایجاد/به روز رسانی سیاست

• اهداف و محدوده تعریف شده ؛ تعاریف اصطلاحات داده شده است.
• الزامات و معیارهای اجباری تجویز می شوند.
• تنظیم مقررات/استاندارد نقشه برداری انجام شده است.
• بررسی همکار گذشت (حقوقی/SecOps/عملیات/داده ها).
• برآورد تلاش و برنامه اجرا.
• تصویب کمیته/حامی.
• انتشار در پورتال + ارتباطات.
• آموزش/ارزیابی تنظیم شده است.
• به روز شده استانداردهای مرتبط/روش/playbooks.
• کنترل و جمع آوری شواهد تنظیم شده است.

بازنگری سالانه

• تغییرات قانونی و ریسک بررسی شده است.
• تجزیه و تحلیل نقض/چشم پوشی/یافته های حسابرسی در نظر گرفته می شود.
• معیارهای به روز شده و SLO/SLA.
• Requalification انجام (اگر عمده).
• به روز رسانی تغییرات و وضعیت محلی سازی.

13) الگوی ساختار سیاست (مثال)

1. هدف و دامنه

2. تعاریف و اختصارات

3. اظهارات کنترل

4. نقشها و مسئولیتها (RACI)

5. استانداردها/روش ها/کتاب های بازی (لینک ها)

6. معیارهای اجرایی و نظارت

7. چشم پوشی و اقدامات جبرانی

8. نقشه برداری

9. آموزش و صدور گواهینامه

10. مدیریت اسناد (نسخه ها، تجدید نظر، مخاطبین)

14) مدیریت اسناد و شماره گذاری

فرمت شناسه: 'POL-SEC-001'، 'STD-DATA-021'، 'SOP-DSAR-005'.
قوانین نامگذاری یکنواخت و برچسب ها برای پورتال: دامنه، استاندارد، موضوعات حسابرسی.
کنترل «لینک های خراب»، تغییر مسیر خودکار هنگام غروب آفتاب/ادغام اسناد.

15) خطرات و ضد آفات

«بدون سیاست اجرایی»: هیچ استاندارد/روش/کنترل → رشد چشم پوشی و نقض.
فرمول های کلامی بدون اندازه گیری: قابل حسابرسی و اتوماسیون نیست.
تکراری و برخورد بین اسناد: هیچ مالک/دایرکتوری واحد وجود ندارد.

عدم آموزش و صدور گواهینامه: رضایت رسمی بدون درک

بدون نسخه و کنترل محلی سازی: اختلافات، خطرات قانونی.

16) مدل بلوغ PML (M0-M4)

مستند M0: فایل های پراکنده، به روز رسانی نادر، ارسال نامه های دستی.
کاتالوگ M1: رجیستری یکپارچه، ابرداده اساسی، نسخه های دستی.
M2 مدیریت: RACI رسمی، ممیزی به طور منظم، ارزیابی، چشم پوشی ثبت نام.
M3 یکپارچه: GRC + IAM/LMS، سیاست به عنوان کد، کنترل خودکار و شواهد.
M4 تضمین مداوم: چک و گزارش دکمه، محلی سازی/نسخه ها به طور خودکار هماهنگ، خطر باعث بروز رسانی ماشه.

17) مقالات ویکی مرتبط

نظارت بر انطباق مداوم (CCM)

اتوماسیون انطباق و گزارش دهی

نگهداری قانونی و انجماد داده ها

حریم خصوصی توسط طراحی و به حداقل رساندن داده ها

DSAR: درخواست کاربر برای داده ها

برنامه تداوم کسب و کار (BCP) و DRP

PCI DSS/SOC 2 کنترل و صدور گواهینامه

مجموع

یک چرخه عمر سیاست موثر یک سیستم مدیریت شده است: یک طبقه بندی واحد، نقش های شفاف، الزامات قابل اندازه گیری، تجدید نظر منظم و کنترل خودکار. در چنین سیستمی، اسناد گرد و غبار را جمع نمی کنند - آنها کار می کنند، آموزش می دهند، خطرات را مدیریت می کنند و در برابر هر حسابرسی مقاومت می کنند.