효율성 제어가 위험 점수 매기기를 촉진하는 방법

제어 효율성 등급이 잔차 위험 계산을 촉진하는 방법, 제어 실패가 자동으로 위험 점수를 높이는 방법, 위험 소유자가 위험을 보호하는 컨트롤을 모니터링하는 방법을 확인합니다.

지원 제품: Lightning Experience

지원 제품: Agentforce IT 서비스가 포함된 Enterprise, Performance 및 Unlimited Edition.

규정 준수 제어 버전 위험 레코드

규정 준수 관리 버전 위험 접속 레코드를 만들 때 다음과 같은 세 가지 중요 정보를 문서화합니다.

제어하는 특정 위협 또는 취약성 주소입니다. 단일 제어는 여러 위험을 완화할 수 있으며, 단일 위험은 여러 제어를 통해 완화할 수 있습니다.
제어가 위험에 미치는 영향을 얼마나 줄이는지 수량화하는 등급(0~100%)입니다. 이 등급은 테스트 결과를 기반으로 제어의 설계 효과 및 운영 효과를 반영합니다.
테스트를 통과하는 컨트롤은 효율성 평가를 유지합니다. 테스트에 실패한 컨트롤의 효율성이 0%로 낮아 위험이 더 이상 보호되지 않음을 나타냅니다.

비즈니스 규칙 엔진은 효율성 평가를 사용하여 잔차 위험 점수를 계산합니다. 수식은 다음과 같습니다.

Residual Risk = Inherent Risk × (1 - Control Effectiveness)

위험을 완화하는 단일 제어의 경우:
기본 위험 점수가 12(중간 가능성 × 높은 영향)이고 제어 효과가 80%인 경우 잔차 위험은 다음과 같습니다. 12 × (1 - 0.80) = 12 × 0.20 = 2.4 (Low)를 참조하세요.
이 계산은 제어가 상당한 위험을 높음에서 낮음으로 줄이는 것을 보여줍니다. 나머지 20%는 제어가 있는 경우에도 잔차 노출을 나타냅니다.
동일한 위험을 완화하는 다중 제어의 경우:
영향이 큰 위험은 적절한 보호를 위해 여러 가지 예방, 감지, 수정 제어가 필요합니다. 두 개 이상의 컨트롤이 단일 위험을 보호하는 경우 비즈니스 규칙 엔진에서 순차적으로 적용합니다. 수식이 Residual Risk = Inherent Risk × (1 - Control A Effectiveness) × (1 - Control B Effectiveness)가 됩니다.
위험의 기본 점수는 20(높은 가능성 × 매우 높은 영향)입니다. 컨트롤 A(예방 RBAC 검사)는 80% 유효하며 컨트롤 B(탐정 액세스 로그 검토)는 60% 유효합니다. 잔차 위험은 다음과 같습니다. 20 × (1 - 0.80) × (1 - 0.60) = 20 × 0.20 × 0.40 = 1.6 (Low)를 참조하세요.
이 계층화된 방어는 위험을 매우 높음에서 낮음으로 줄여 여러 컨트롤이 함께 작동하는 가치를 보여줍니다.

위험 평가 후가 아닌 제어 생성 시 위험에 제어를 연결합니다.

순서	Task
1	규정 준수 위험 레코드를 만들고 내재적인 위험 점수를 정의합니다.
2	위험을 완화할 규정 준수 관리 및 규정 준수 관리 버전을 정의합니다.
3	규정 준수 제어 버전 위험 접속 레코드를 만들고 효율성 등급을 할당합니다.
4	제어가 올바르게 작동하는지 확인하는 규정 준수 테스트를 만듭니다.
5	테스트를 실행하여 기준선 통과/실패 결과를 설정합니다.
6	비즈니스 규칙 엔진이 제어 효과를 기반으로 잔차 위험을 올바르게 계산했는지 확인합니다.

이 워크플로는 첫 번째 위험 평가 전에 제어-위험 연결이 설정되어 이해당사자에게 처음부터 정확한 잔차 위험 점수를 제공합니다.

이 기사를 통해 문제를 해결했습니까?

개선을 위한 의견을 보내주세요.