Môže mapovať požiadavky na kontroly, priraďovať vlastníkov, zbierať alebo testovať dôkazy, monitorovať definované podmienky, riadiť výnimky a skladať správy. Pojem opisuje širokú prax, nie štandardizovanú úroveň assurance ani produktovú kategóriu s fixnými schopnosťami.
Užitočná automatizácia spája autoritatívne požiadavky s jasne ohraničenými kontrolami a dôveryhodnými dôkazmi. Strojovo čitateľné formáty ako Open Security Controls Assessment Language (OSCAL) National Institute of Standards and Technology môžu zlepšiť výmenu a sledovateľnosť, zatiaľ čo ľudskí vlastníci si ponechávajú zodpovednosť za interpretáciu, rizikové rozhodnutia, remedáciu a atestácie.
Kľúčové body
Vyberať vhodné úlohyAutomatizovať stabilné, opakovateľné kontroly a zber dôkazov tam, kde môžu byť definované hranice systému, proveniencia údajov, očakávaný stav, časovanie a podmienky zlyhania.
Zachovať sledovateľnosťZaznamenávať zdrojovú požiadavku, mapovanie kontroly, pokrytie aktív a populácie, logiku testu, čas dôkazu, výnimky, schválenia a zmeny kódu alebo konfigurácie.
Riadiť automatizáciuChrániť integrácie a úložiská dôkazov, testovať pravidlá, oddeliť povinnosti, monitorovať zlyhaný zber, kontrolovať prepísania a revalidovať mapovania, keď sa systémy alebo povinnosti menia.
Dôležité obmedzenieAutomatizácia nedokáže určiť každú právnu povinnosť, hodnotiť každú kontrolu založenú na úsudku ani dokázať, že dôkazy sú kompletné a pravdivé. Zelený dashboard môže reflektovať zastarané mapovania, chýbajúce aktíva, slabé testy alebo nesprávne ohraničené prostredie.