Gérer les contrôles à l’aide de Conformité de l'espace de travail

Les contrôles sont des implémentations spécifiques d’un objectif de contrôle. Les contrôles mis hors service n’apparaissent pas dans la liste. Avant de définir des contrôles, prenez le temps de rationaliser, consolider et définir les contrôles importants de votre organisation.

Rationaliser vos contrôles

Si vous chargez tous vos contrôles en bloc, vous manquez l’occasion d’affiner et de rationaliser votre ensemble de contrôles.

• Comment ce contrôle affecte-t-il mon objectif business ?
• Ce contrôle prévient-il ou détecte-t-il réellement le risque ?
• Y a-t-il un contrôle différent que vous pouvez placer qui protège mieux votre entreprise ?
• Y a-t-il un contrôle que vous pouvez mettre en place pour réduire les frais généraux de processus et améliorer les performances informatiques tout en atténuant les risques ?
• Un contrôle compliqué peut-il être remplacé par un contrôle plus simple et plus efficace ?

Au fur et à mesure que votre entreprise évolue et que vos données informatiques, vos processus et votre technologie s’améliorent, remplacez les contrôles et procédures obsolètes.

Remarque :

Lorsque vous définissez manuellement des contrôles ou lorsque vous les importez à partir d’UCF (Unified Compliance Framework Cadre de travail de la conformité unifiée), une entité est associée aux contrôles. Il s’agit d’un champ obligatoire du formulaire de contrôle. Toutefois, si vous importez des contrôles à partir d’une source autre que l’UCF, vous risquez de rencontrer des contrôles qui n’ont pas d’entités associées. Il est important que vous reveniez au formulaire Contrôle et que vous ajoutiez une entité au contrôle. Les entités manquantes peuvent entraîner des résultats peu fiables dans les calculs. En outre, si vous rencontrez un contrôle avec une entité qui a été désactivée, le contrôle doit être mis hors service.

Consolidez vos contrôles

Recherchez des occasions de consolider les contrôles. Recherchez des contrôles communs et répétés entre plusieurs autorités réglementaires des cadres (par exemple, SOX, GLBA et AML). Évitez d’utiliser une seule commande plusieurs fois pour chaque régulation en croisant les contrôles et en éliminant les contrôles redondants. Ce processus établit un ensemble consolidé unique de contrôles = cadre de contrôle, l’exécution et la préservation de la cartographie croisée des contrôles sont essentielles pour les audits.

Figure 1. Les réglementations et les exigences du secteur se chevauchent

Définir des contrôles et des règles métier

Les règles métier que vous définissez à l’avance établissent les paramètres de GRC configuration ultérieurement. Soyez prêt à :

• Identifier les contrôles et les propriétaires de contrôle
• Définir les tests de contrôle et les résultats attendus
• Établir les fréquences de test et de contrôle
• Identifier les risques : impact et probabilité
• Préparer les attestations, les évaluations, les questionnaires et les preuves requises
• Composer les cas d’utilisation probables (qui a besoin d’interagir avec le GRC système ou de l’afficher et à quelles fins)
• Mappez les sources d’autorité aux politiques, aux procédures, aux contrôles et aux risques

Exigences de contrôle

Lorsque l’option Créer des exigences de contrôle est activée pour un objectif de contrôle, des exigences de contrôle sont également créées automatiquement pour chaque contrôle généré sous un type d’entité. Auparavant, seuls des contrôles étaient créés pour les types d’entité. Le nombre d’exigences de contrôle est égal au nombre d’exigences d’objectifs de contrôle.

Attestation au niveau du besoin de contrôle

La fonctionnalité Attestation au niveau des besoins de contrôle permet une attestation à un niveau granulaire pour les exigences de contrôle individuelles au sein d’un contrôle. Les administrateurs peuvent activer l’attestation au niveau des besoins, affecter des personnes chargées de répondre et générer des tâches d’évaluation pour chaque exigence de contrôle. Les répondants attestent ensuite des exigences en indiquant si elles sont mises en œuvre ou non, en fournissant des preuves ou des explications au besoin. Les attestations ayant échoué génèrent automatiquement des problèmes, marquent le contrôle parent comme non conforme et déploient l’état sur l’entité et l’objectif de contrôle associés.

Accès basé sur l’entité (EBA)

L’accès basé sur l’entité fournit un cadre pour une approche plus granulaire de la gestion de l’accès aux données aux objets associés à une entité. Les administrateurs peuvent accorder l’accès aux enregistrements connexes d’une entité en ajoutant des utilisateurs ou des groupes d’utilisateurs, ou en utilisant les champs d’utilisateur d’entité pour la configuration de l’accès basée sur l’entité. Pour plus d'informations, consultez . Lorsqu’un utilisateur est qualifié en fonction de ces configurations et qu’il dispose des rôles minimaux requis, il a accès aux tables suivantes :

• Contrôle
• Attestation
• Exception de politique pour le contrôle

Règles d’accès basées sur l’entité (EBA)

Lorsque les règles d’accès aux enregistrements basés sur des entités sont activées sur la page Propriétés de configuration de l’accès basé sur l’entité, tous les contrôles, attestations de contrôle, indicateurs et tâches d’indicateur nouvellement créés associés à une entité configurée hériteront automatiquement de cette entité la valeur d’accès basé sur l’entité (EBA). Auparavant, les utilisateurs devaient exécuter des mises à jour d’accès en bloc pour appliquer les restrictions EBA chaque fois que de nouveaux objets étaient créés.