Як використовувати ISMS Copilot з Drata

Огляд

Drata, це комплексна платформа автоматизації відповідності, яка забезпечує безперервний моніторинг, автоматизований збір доказів та налаштовувані робочі процеси відповідності для 20+ фреймворків, включаючи SOC 2, ISO 27001 та NIST 800-53. ISMS Copilot доповнює Drata, надаючи спеціалізовану експертизу з відповідності для критичних завдань, що потребують людського судження, які автоматизація не може повністю вирішити: розуміння нюансів вимог до контролю, оцінка якості політик, інтерпретація специфічних для фреймворків очікувань та отримання експертних рекомендацій щодо впровадження контролю у вашому унікальному організаційному контексті.

Для кого ця інструкція

Цей посібник призначений для:

• Команд з безпеки та відповідності, які керують розгортаннями Drata та потребують експертних рекомендацій щодо впровадження
• Організацій, що використовують адаптивну автоматизацію Drata та бажають отримати допомогу штучного інтелекту для розробки власних контролів
• Фахівців з відповідності, які використовують моніторинг Drata, але потребують допомоги у налаштуванні політик та оцінці якості доказів
• Консультантів, які підтримують клієнтів на Drata та потребують інструментів штучного інтелекту для забезпечення якості та консультаційної роботи

Як Drata та ISMS Copilot працюють разом

У чому Drata найкращий

Drata забезпечує безперервність, налаштовуваність та масштабованість відповідності:

• Безперервний моніторинг: цілодобовий моніторинг контрольних заходів безпеки у всій вашій технологічній інфраструктурі з можливістю перегляду статусу відповідності в реальному часі
• Автоматизований збір доказів: автоматично збирає докази відповідності з сотень інтегрованих систем, усуваючи ручне керування електронними таблицями
• Адаптивна автоматизація: створюйте власні тести за допомогою автоматизації без коду для моніторингу контрольних заходів, унікальних для вашої організації
• Заздалегідь зіставлені контролі: велика бібліотека заздалегідь зіставлених контрольних заходів GRC для 20+ фреймворків скорочує час налаштування
• Підтримка кількох фреймворків: керуйте кількома фреймворками відповідності одночасно з зіставленням перекриваючихся контрольних заходів для зменшення дублювання роботи
• Центр аудиту: централізоване спілкування з аудиторами, керування доказами та відстеження запитів для оптимізації аудитів
• Огляди доступу користувачів: автоматизує робочі процеси огляду доступу користувачів, відмовляючись від ручних процесів з електронними таблицями
• Центр політик: шаблони політик, схвалені аудиторами, з можливістю налаштування, контролем версій та автоматизованим розповсюдженням
• Центр довіри: публічний портал довіри для демонстрації статусу відповідності клієнтам та потенційним клієнтам
• Керування ризиками: інструменти для внутрішньої оцінки ризиків та моніторингу ризиків постачальників

Де ISMS Copilot додає цінності

ISMS Copilot доповнює автоматизацію Drata глибокою експертизою з відповідності для завдань, що потребують судження:

1. Розробка та впровадження власних контрольних заходів

Адаптивна автоматизація Drata дозволяє створювати власні контролі, але вам потрібно знати що моніторити та як:

• Рекомендації щодо власних контрольних заходів: "Мені потрібно створити власний контрольний захід у Drata для ISO 27001 A.8.28 (безпечне кодування). Що має перевіряти цей власний тест і які докази він має збирати?"
• Впровадження, специфічне для організації: "Ми використовуємо унікальний процес розгортання з Kubernetes та ArgoCD. Як мені розробити тести Drata для моніторингу контрольних заходів керування змінами для SOC 2 CC8.1?"
• Розробка логіки контролю: "Яка правильна логіка для автоматизованого тесту Drata, щоб перевірити, чи відповідає наш процес відновлення резервних копій вимогам ISO 27001 A.8.13?"
• Обробка крайніх випадків: "Drata моніторить нашу стандартну інфраструктуру, але у нас є одна застаріла система. Як мені розробити компенсуючі контролі та моніторинг для цього винятку?"

2. Налаштування політик та покращення якості

Drata надає шаблони політик, схвалені аудиторами, але кожній організації потрібне налаштування:

• Вимоги, специфічні для галузі: "Я використовую шаблон Політики інформаційної безпеки Drata. Які додаткові вимоги мені слід додати для фінансової компанії, що регулюється FINRA?"
• Перевірка повноти політики: Завантажте політику Drata та запитайте: "Перевірте цю Політику контролю доступу на відповідність ISO 27001:2022. Чого не вистачає або що потребує більшої деталізації?"
• Узгодження з кількома фреймворками: "Ми підтримуємо політики SOC 2, ISO 27001 та HIPAA у Drata. Як мені структурувати політики, щоб відповідати всім трьом фреймворкам без дублювання документів?"
• Деталізація процедур: "Політика реагування на інциденти Drata охоплює вимоги, але не містить процедур. Які операційні деталі мені слід додати для аудитів SOC 2 Type II?"

3. Якість доказів та готовність до аудиту

Drata автоматично збирає докази, але очікування аудиторів потребують людського судження:

• Оцінка достатності доказів: "Drata зібрав журнали, що показують наші щоквартальні огляди доступу. Чи є це достатнім доказом для SOC 2 CC6.2, чи зазвичай аудитори очікують додаткової документації?"
• Визначення ручних доказів: "Які ручні докази можуть запитати аудитори, які автоматизація Drata не може зібрати для сертифікації ISO 27001?"
• Розробка опису доказів: "Мені потрібно написати описовий наратив контролю для нашого звіту SOC 2, що пояснює, як ми моніторимо контрольні заходи безпеки. Що має включати цей наратив, крім того, що відстежує Drata?"
• Оцінка тестових доказів: "Наш звіт про тестування на проникнення знаходиться в репозиторії доказів Drata. На що саме звертають увагу аудитори ISO 27001 у цих звітах?"

4. Інтерпретація та зіставлення фреймворків

Drata зіставляє контролі між фреймворками, але інтерпретація потребує експертизи:

• Розуміння нюансів контролю: "Drata зіставляє SOC 2 CC6.6 з ISO 27001 A.9.4.1. Які тонкі відмінності в очікуваннях аудиторів між цими контрольними заходами?"
• Рішення щодо застосовності: "Які контрольні заходи Додатку A ISO 27001 я можу законно виключити зі своєї Заяви про застосовність для повністю хмарної SaaS-компанії?"
• Вимоги, специфічні для фреймворків: "Drata показує, що ми відповідаємо критеріям довіри SOC 2. Які додаткові вимоги існують для SOC 2 + HITRUST, які не охоплені стандартним SOC 2?"
• Рекомендації щодо нових фреймворків: "Нам потрібно підготуватися до відповідності Директиві NIS2. Чи можна адаптувати наші існуючі програми Drata SOC 2 та ISO 27001, чи потрібні нові контрольні заходи?"

5. Оцінка та обробка ризиків

Drata надає інструменти керування ризиками, але аналіз ризиків потребує судження щодо відповідності:

• Визначення сценаріїв ризику: "Які типові сценарії ризиків інформаційної безпеки мені слід задокументувати в реєстрі ризиків Drata для B2B SaaS-компанії?"
• Планування обробки ризиків: "Drata виявив кілька середньоризикових елементів. Як мені визначити пріоритети обробки ризиків для вимог ISO 27001 порівняно з SOC 2?"
• Критерії прийняття ризиків: "Які критерії мені слід використовувати для визначення, коли прийняття ризику є доречним, а коли потрібні заходи з пом'якшення?"
• Оцінка ризиків постачальників: "Які конкретні питання безпеки мені слід ставити в оцінках ризиків постачальників Drata для SaaS-постачальників, які обробляють дані клієнтів?"

6. Підготовка та реагування на аудит

Drata оптимізує логістику аудиту, але успіх аудиту потребує розуміння мислення аудитора:

• Питання для пробного аудиту: "Згенеруйте 25 ймовірних питань для аудиту ISO 27001 Stage 2 для нашої сертифікації, зосереджуючись на областях, де аудитори зазвичай досліджують більше, ніж автоматизовані докази"
• Інтерпретація питань аудитора: "Аудитор запитав: 'Як ви забезпечуєте мінімально необхідний доступ?' Що вони насправді шукають, і на які докази Drata мені слід посилатися?"
• Документування винятків: "Drata позначив виняток контролю для одного додатку без MFA. Як мені задокументувати цей виняток та компенсуючі контролі для аудитора?"
• Демонстрація ефективності контролю: "Крім автоматизованого моніторингу Drata, які додаткові докази демонструють ефективність контролю аудиторам ISO 27001?"

7. Стратегічне планування відповідності

Drata надає платформу, але стратегічні рішення потребують експертизи з відповідності:

• Вибір фреймворку: "У нас є SOC 2 у Drata, і нам потрібно вирішити між додаванням ISO 27001, HITRUST або FedRAMP для клієнтів у сфері охорони здоров'я. Який вибір правильний?"
• Визначення обсягу: "Як нам визначити обсяг нашої сертифікації ISO 27001 у Drata для компанії з кількома продуктами та географічними локаціями?"
• Планування термінів: "Які реалістичні віхи для сертифікації ISO 27001 при використанні Drata, і де організації зазвичай стикаються з затримками?"
• Розподіл ресурсів: "Які заходи з відповідності все ще потребують виділеного часу співробітників, а що автоматизація Drata обробляє самостійно?"

Робочий процес 1: Створення спеціальної адаптивної автоматизації

Сценарій: Вам потрібно створити спеціальний тест Drata для унікального контролю у вашому середовищі.

1. У ISMS Copilot: Визначте вимоги до контролю: "Мені потрібно впровадити ISO 27001 A.12.3.1 (резервне копіювання інформації) для даних нашого кластера Kubernetes. Що слід перевірити, щоб продемонструвати ефективність цього контролю?"
2. У ISMS Copilot: Розробіть логіку тесту: "Які автоматизовані перевірки слід впровадити для підтвердження повноти резервного копіювання, частоти та можливості відновлення для аудиторських доказів?"
3. У Drata: Створіть спеціальний тест за допомогою адаптивної автоматизації на основі рекомендацій ISMS Copilot
4. У Drata: Налаштуйте збір доказів із ваших систем резервного копіювання
5. У ISMS Copilot: Перевірте підхід: "Чи відповідає цей підхід моніторингу резервного копіювання вимогам як ISO 27001, так і SOC 2 щодо тестування резервних копій?"
6. У Drata: Розгорніть спеціальний тест і відстежуйте постійну відповідність

Робочий процес 2: Розширення відповідності до кількох стандартів

Сценарій: У вас є SOC 2 у Drata, і ви додаєте ISO 27001.

1. У Drata: Додайте стандарт ISO 27001 і перегляньте попередньо зіставлені контролі, що показують перетин із наявним SOC 2
2. У ISMS Copilot: Проаналізуйте прогалини: "У мене є SOC 2 Type II. Які контролі додатку A ISO 27001 вимагають додаткового впровадження, окрім моїх контролів SOC 2?"
3. У ISMS Copilot: Отримайте рекомендації щодо впровадження нових контролів: "Як мені впровадити ISO 27001 A.5.23 (безпека хмарних середовищ) для інфраструктури AWS?"
4. У Drata: Налаштуйте моніторинг і збір доказів для нових специфічних контролів ISO 27001
5. У ISMS Copilot: Перевірка узгодженості політик: "Перегляньте ці політики, щоб переконатися, що вони відповідають вимогам як SOC 2, так і ISO 27001:2022"
6. У Drata: Розгорніть оновлені політики та відстежуйте відповідність за обома стандартами

Робочий процес 3: Підготовка до аудиту

Сценарій: Ваш аудит SOC 2 Type II розпочинається через 30 днів.

1. У Drata: Перегляньте панель відповідності, усуньте будь-які прогалини в контролі, переконайтеся, що всі автоматизовані докази актуальні
2. У ISMS Copilot: Підготуйтеся до запитань: "Згенеруйте 30 ймовірних запитань аудитора SOC 2 Type II для хмарної SaaS-компанії, зосереджуючись на областях, які аудитори зазвичай досліджують поза автоматизованими доказами"
3. У ISMS Copilot: Перевірте повноту доказів: "Які ручні докази можуть запитати аудитори SOC 2, які автоматично не збираються Drata?"
4. У Drata: Організуйте всі докази в Audit Hub, запросіть аудитора, надайте відповідний доступ
5. Під час аудиту: Коли аудитори ставлять складні запитання, зверніться до ISMS Copilot за тлумаченням і рекомендаціями щодо формулювання відповідей
6. У Drata: Надсилайте запити на докази, відстежуйте прогрес аудиту до завершення

Робочий процес 4: Налаштування політик

Сценарій: Ви розгортаєте шаблони політик Drata, але вам потрібне галузеве налаштування.

1. У Drata: Згенеруйте набір політик із шаблонів Policy Center для ваших стандартів
2. Експорт політик: Завантажте політики для перегляду
3. У ISMS Copilot: Завантажте кожну політику: "Перегляньте цю політику захисту даних для компанії, що працює в галузі охорони здоров'я. Які вимоги HIPAA слід додати?"
4. Налаштування: Редагуйте політики на основі рекомендацій ISMS Copilot
5. У ISMS Copilot: Остаточна перевірка: "Чи відповідає ця переглянута політика вимогам HIPAA Security Rule, SOC 2 та ISO 27001 для SaaS-компаній у галузі охорони здоров'я?"
6. У Drata: Завантажте остаточні політики, розгорніть для співробітників, відстежуйте підтвердження

Робочий процес 5: Усунення прогалин у контролі

Сценарій: Безперервний моніторинг Drata виявив прогалину в контролі.

1. У Drata: Перегляньте сповіщення про невідповідність контролю та зрозумійте, який контроль не відповідає вимогам
2. У ISMS Copilot: Отримайте рекомендації щодо усунення: "Drata зазначила, що наше сканування вразливостей не проводиться щотижня. Які вимоги щодо SOC 2 CC7.2 та ISO 27001 A.12.6.1 щодо управління вразливостями?"
3. У ISMS Copilot: Планування впровадження: "Ми використовуємо AWS Inspector та Snyk. Як нам налаштувати ці інструменти, щоб відповідати вимогам щодо щотижневого сканування?"
4. Впровадження: Налаштуйте системи на основі рекомендацій
5. У Drata: Переконайтеся, що автоматизований моніторинг тепер показує відповідність, задокументуйте усунення в платформі
6. У Drata: Безперервний моніторинг підтверджує постійну відповідність

Практичні приклади

Приклад 1: Розробка адаптивної автоматизації

Ситуація: Вам потрібно створити спеціальний тест Drata для моніторингу конфігурації шифрування баз даних.

Запитайте ISMS Copilot: "Мені потрібно створити спеціальний тест Drata для перевірки того, що всі виробничі бази даних мають увімкнене шифрування даних у стані спокою. Що має перевіряти цей тест, щоб відповідати вимогам SOC 2 CC6.1 та ISO 27001 A.10.1.1?"

Рекомендації ISMS Copilot: Надає конкретні критерії перевірки (увімкнене шифрування, політика ротації ключів, стандарти алгоритмів шифрування), які докази збирати та як часто запускати тест для відповідності вимогам.

Приклад 2: Покращення шаблону політики

Ситуація: Шаблон політики реагування на інциденти Drata потребує налаштування для вашої організації.

Запитайте ISMS Copilot: Завантажте політику та запитайте: "Перегляньте цю політику реагування на інциденти для фінтех-компанії, що обробляє платіжні дані. Які вимоги PCI DSS та найкращі практики фінансових послуг слід додати до шаблону Drata?"

Рекомендації ISMS Copilot: Визначає необхідні доповнення до вимоги PCI DSS 12.10, зобов'язання щодо звітності перед фінансовими регуляторами, вимоги щодо повідомлення клієнтів та критерії класифікації серйозності інцидентів, специфічні для фінансових послуг.

Приклад 3: Зіставлення контролів для кількох стандартів

Ситуація: Drata показує зіставлення контролів між стандартами, але вам потрібно зрозуміти відмінності у впровадженні.

Запитайте ISMS Copilot: "Drata зіставляє SOC 2 CC7.3 з ISO 27001 A.16.1.2. Обидва стосуються реагування на інциденти, але які конкретні відмінності в тому, що очікують побачити аудитори для кожного стандарту?"

Рекомендації ISMS Copilot: Пояснює, що SOC 2 акцентує на безперервному моніторингу та впливі на доступність послуг, тоді як ISO 27001 зосереджується на документованих процедурах та доказах засвоєних уроків, допомагаючи вам налаштувати моніторинг Drata для задоволення обох вимог.

Приклад 4: Перевірка повноти доказів

Ситуація: Наближається аудит, і ви хочете перевірити якість доказів.

Запитайте ISMS Copilot: "Drata зібрав 6 місяців доказів перевірки доступу. Яку додаткову документацію або докази можуть запитати аудитори сертифікації ISO 27001, окрім того, що Drata збирає автоматично?"

Рекомендації ISMS Copilot: Визначає ручні докази, такі як зведені звіти з перевірки доступу, схвалення винятків, процедури надання/скасування доступу та документацію щодо визначення ролей, які можуть не автоматизуватися в Drata.

Коли використовувати кожен інструмент

Завдання

Використовуйте Drata

Використовуйте ISMS Copilot

Безперервний моніторинг безпекових контролів

✓

Автоматичний збір доказів відповідності

✓

Розробка логіки для спеціальних тестів контролю

✓

Управління комунікацією та запитами аудиторів

✓

Налаштування політик для галузевих вимог

✓

Автоматизація перевірок доступу користувачів

✓

Розуміння нюансів контролю для конкретних стандартів

✓

Відстеження статусу відповідності за кількома стандартами

✓

Перевірка адекватності доказів перед аудитом

✓

Створення спеціальних тестів відповідності без коду

✓

Отримання рекомендацій щодо підходу до впровадження контролю

✓

Розгортання та управління політиками відповідності

✓

Підготовка до запитань та сценаріїв аудиторів

✓

Оцінка та моніторинг ризиків постачальників

✓

Тлумачення складних нормативних вимог

✓

Найкращі практики інтеграції

1. Використовуйте налаштовуваність Drata з експертними знаннями ISMS Copilot

• Проектуйте перед створенням: Використовуйте ISMS Copilot для розробки логіки спеціального контролю перед створенням адаптивної автоматизації в Drata
• Перевіряйте покриття тестів: Запитайте ISMS Copilot, чи достатньо ваші спеціальні тести Drata покривають вимоги стандартів
• Оптимізуйте автоматизацію: Використовуйте ISMS Copilot для визначення, які контролі можна повністю автоматизувати, а які потребують ручних доказів

2. Покращуйте якість політик

• Початкова точка шаблону: Використовуйте затверджені аудиторами шаблони Drata як основу
• Налаштування за допомогою ШІ: Завантажуйте політики до ISMS Copilot для отримання рекомендацій щодо галузевих покращень
• Узгодження за кількома стандартами: Перевіряйте, чи відповідають політики вимогам усіх стандартів при підтримці кількох сертифікацій

3. Максимізуйте якість доказів

• Автоматизована основа: Дозвольте Drata збирати всі докази, які він може автоматично
• Виявлення прогалин: Використовуйте ISMS Copilot для визначення потреб у ручних доказах, які Drata не може автоматизувати
• Перевірка перед аудитом: Завантажуйте зразки доказів до ISMS Copilot для перевірки адекватності перед поданням на аудит

4. Організуйте роботу за кількома стандартами

• У Drata: Керуйте всіма стандартами, контролями та доказами в одній платформі
• У ISMS Copilot: Створюйте робочі простори для конкретних стандартів ("Компанія - ISO 27001", "Компанія - SOC 2") для цілеспрямованих рекомендацій без плутанини в контексті
• Перехресні посилання: Коли ISMS Copilot надає рекомендації щодо впровадження, виконуйте та відстежуйте їх у Drata

Розгляд витрат і ресурсів

Огляд інвестицій

• Drata: Корпоративна платформа відповідності з ціноутворенням, як правило, залежно від розміру компанії та стандартів, починаючи від десятків тисяч доларів на рік
• ISMS Copilot: Спеціалізований ШІ для відповідності, починаючи від $20/місяць для індивідуальних або командних планів для організацій

Комбінована ціннісна пропозиція

Організації, які використовують обидва інструменти, повідомляють про:

• Зменшення залежності від зовнішніх консультантів: Вирішуйте складні питання відповідності внутрішніми силами замість залучення консультантів за $150-300/годину
• Кращий дизайн користувацьких контролів: Створюйте ефективнішу адаптивну автоматизацію за допомогою експертних рекомендацій, зменшуючи кількість хибних спрацьовувань та зауважень під час аудиту
• Вища якість політик: Галузева кастомізація політик зменшує кількість запитань аудиторів та зауважень
• Швидше розширення рамкових стандартів: Впевнено додавайте нові стандарти за допомогою планування впровадження на базі штучного інтелекту
• Менші спеціалізовані команди: Команди з 1-2 осіб керують відповідністю до багатьох стандартів, що раніше вимагало більших команд або зовнішньої підтримки

Обмеження та межі

Що ця комбінація не замінює

• Зовнішніх аудиторів: Вам все одно потрібні незалежні аудитори для сертифікації SOC 2, ISO 27001 та сторонніх оцінок
• Власність керівництва: Керівництво все одно має володіти стратегією відповідності, апетитом до ризиків та приймати рішення щодо розподілу ресурсів
• Юридичну експертизу: Складні тлумачення нормативних актів можуть вимагати залучення адвокатів з питань відповідності, а не рекомендацій штучного інтелекту
• Технічну реалізацію: Обидва інструменти надають рекомендації та моніторинг, але ваша команда впроваджує контролюючі заходи та підтримує системи

Коли вам все ще можуть знадобитися консультанти

• Первинні сертифікації: Організації, які вперше проходять сертифікацію ISO 27001 або SOC 2, часто отримують користь від нагляду консультантів
• Надзвичайно складні середовища: Багатонаціональні операції з різноманітними нормативними вимогами можуть потребувати спеціалізованих юридичних та комплаєнс-радників
• Значні прогалини у відповідності: Організації з серйозними недоліками або невдалими попередніми аудитами можуть потребувати ремедіації під керівництвом консультантів
• Галузеві нюанси: Деякі регульовані галузі (охорона здоров'я, фінанси, державний сектор) можуть потребувати спеціалізованих консультантів для складних сценаріїв

Початок роботи

Якщо ви вже використовуєте Drata

1. Визначте прогалини в експертизі: Які питання ви зараз ставите консультантам або довго досліджуєте?
2. Спробуйте покращити політику: Експортуйте політику з Drata та завантажте її в ISMS Copilot для отримання рекомендацій щодо кастомізації
3. Створіть користувацький тест: Використовуйте ISMS Copilot для розробки логіки вашого наступного адаптивного автоматизованого контролю перед його створенням у Drata
4. Підготуйтеся до аудиту: Попросіть ISMS Copilot згенерувати ймовірні запитання аудиторів для ваших стандартів
5. Оцініть цінність: Відстежуйте, як часто ISMS Copilot відповідає на запитання, які інакше вимагали б часу консультантів

Якщо ви оцінюєте обидва інструменти

1. Почніть з Drata: Drata забезпечує операційну основу, безперервний моніторинг, автоматизацію збору доказів, управління робочими процесами
2. Додайте ISMS Copilot для експертизи: Накладіть ISMS Copilot для розробки користувацьких контролів, покращення політик та отримання рекомендацій щодо впровадження
3. Визначте робочий процес інтеграції: Встановіть, коли ви використовуєте кожен інструмент і як вони доповнюють один одного у вашій програмі відповідності

Що далі

• Ласкаво просимо до ISMS Copilot - Почніть роботу з ISMS Copilot
• Організація роботи за допомогою робочих просторів - Створюйте робочі простори для конкретних стандартів для структурованого керівництва
• Як створити політики ISO 27001 за допомогою штучного інтелекту - Покращуйте політики Drata за допомогою штучного інтелекту
• Як провести аналіз прогалин ISO 27001 за допомогою ISMS Copilot - Доповнюйте картування контролів Drata детальним аналізом стандартів
• Як підготуватися до аудиту SOC 2 за допомогою ISMS Copilot - Готуйтеся до аудитів за допомогою сценаріїв та рекомендацій, згенерованих штучним інтелектом

Отримання допомоги

Маєте запитання щодо використання ISMS Copilot разом з Drata?

• Зверніться до служби підтримки ISMS Copilot за рекомендаціями щодо інтеграції експертних знань штучного інтелекту з робочими процесами Drata
• Приєднуйтесь до спільноти ISMS Copilot, щоб спілкуватися з іншими фахівцями з комплаєнсу, які використовують обидва інструменти
• Відвідайте Центр допомоги, щоб знайти шаблони робочих процесів та рекомендації щодо інтеграції