Gerenciar controles

Controles são implementações específicas de um objetivo de controle. Controles desativados não aparecem na lista. Antes de definir controles, reserve um tempo para racionalizar, consolidar e definir os controles importantes em sua organização.

Racionalize seus controles

Se você carregar todos os controles em massa, perderá a oportunidade de refinar e simplificar o conjunto de controles. À medida que seus negócios mudam E seus dados, processos e tecnologia DE TI melhoram, substituem controles e procedimentos desatualizados quando você implementa seu GRC aplicação. Considere o seguinte:

• Como este controle afeta meu objetivo de negócios?
• Este controle está realmente impedindo ou detectando risco?
• Você pode colocar um controle diferente que proteja melhor o seu negócio?
• Há um controle que você pode implementar que reduz a sobrecarga do processo e melhora o desempenho DE TI, além de reduzir os riscos?
• Um controle complicado pode ser substituído por um controle mais simples e eficaz?

Nota:

Quando você define controles manualmente ou quando os importa do Unified Compliance Framework (UCF), uma entidade é associada aos controles. É um campo obrigatório no formulário Controle. No entanto, se você importar controles de uma origem diferente do UCF, poderá encontrar controles que não tenham entidades associadas. É importante que você retorne ao formulário de controle e adicione uma entidade ao controle . Entidades ausentes podem causar resultados não confiáveis nos cálculos. Além disso, se você encontrar um controle com uma entidade que foi desabilitada, o controle deverá ser descontinuado.

Consolide seus controles

Procure oportunidades para consolidar controles. Por exemplo, você pode l procure controles comuns e repetidos em várias autoridades regulatórias de estruturas ( como SOX , GLBA , E AML). Evite operar um único controle várias vezes para cada regulamento mapeando controles cruzados e eliminando os redundantes. Este processo estabelece um único conjunto consolidado de controles: Estrutura de controle . P erformar e preservar o mapeamento cruzado de controles é essencial para auditorias.

Figura 1. Regulamentações e requisitos do setor se sobrepõem

Defina controles e regras de negócios

As regras de negócio isso você define antecipadamente estabelecer o. GRC definições de configuração mais tarde. Esteja preparado para execute as tarefas a seguir :

• Identificar . controles e responsáveis pelo controle
• Definir . testes de controle e resultados esperados
• Estabelecer . frequências de teste e controle
• Identificar . riscos: I mpact e probabilidade
• Preparar . certificações, avaliações, questionários e evidências necessárias
• Compor . uso provável (quem precisa interagir com ou exibir o conteúdo do GRC e para que finalidades)
• Mapa . fontes autorizadas para políticas, procedimentos, controles, ou riscos

EBA (Entity Based Access, acesso baseado em entidade)

EBA fornece uma estrutura para . abordagem mais granular para gestão ing acesso a dados a objetos que são associado a uma entidade. Os administradores podem conceder acesso aos registros relacionados de uma entidade adicionando usuários ou grupos de usuários ou usando campos de usuário de entidade para configuração de acesso baseada em entidade. Para obter mais informações, consulte Acesso baseado em entidade.

Quando um usuário é qualificado com base nessas configurações e tem as funções mínimas necessárias, ele terá acesso às seguintes tabelas:

• Controle
• Atestado
• Exceção de política a ser controlada

EBA regras

Quando as regras de acesso de registro baseadas em entidade estão habilitadas na página Propriedades da configuração de acesso baseado em entidade, qualquer novo controles , certificações de controle, indicadores e tarefas de indicador associadas a uma entidade configurada Herde automaticamente o valor de acesso baseado em entidade (EBA) dessa entidade. Anteriormente, os usuários precisavam executar atualizações de acesso em massa para aplicar restrições de EBA sempre que novos objetos eram criados.

Para obter mais informações, consulte Regras de acesso de registro baseadas em entidade para proteger novos registros .