Może mapować wymagania na kontrole, przypisywać właścicieli, zbierać lub testować dowody, monitorować zdefiniowane warunki, zarządzać wyjątkami i składać raporty. Termin opisuje szeroką praktykę, a nie ustandaryzowany poziom zapewnienia ani kategorię produktu o sztywnych zdolnościach.
Użyteczna automatyzacja łączy autorytatywne wymagania z jasno określonymi kontrolami i godnymi zaufania dowodami. Maszynowo-czytelne formaty, takie jak Open Security Controls Assessment Language (OSCAL) National Institute of Standards and Technology, mogą poprawiać wymianę i identyfikowalność, podczas gdy ludzcy właściciele zachowują odpowiedzialność za interpretację, decyzje ryzyka, remediację i attestacje.
Najważniejsze punkty
Wybieraj odpowiednie zadaniaAutomatyzuj stabilne, powtarzalne kontrole i zbieranie dowodów tam, gdzie granice systemu, pochodzenie danych, oczekiwany stan, timing i warunki awarii mogą być zdefiniowane.
Zachowuj identyfikowalnośćRejestruj wymaganie źródłowe, mapowanie kontroli, pokrycie zasobów i populacji, logikę testów, czas dowodów, wyjątki, zatwierdzenia oraz zmiany kodu lub konfiguracji.
Zarządzaj automatyzacjąChroń integracje i magazyny dowodów, testuj reguły, oddzielaj obowiązki, monitoruj nieudane zbieranie, przeglądaj nadpisania i ponownie waliduj mapowania przy zmianach systemów lub zobowiązań.
Istotne ograniczenieAutomatyzacja nie może ustalić każdego zobowiązania prawnego, ocenić każdej kontroli opartej na osądzie ani udowodnić, że dowody są kompletne i prawdziwe. Zielony pulpit może odzwierciedlać nieaktualne mapowania, brakujące zasoby, słabe testy lub nieprawidłowo określone środowisko.