Usted estĆ” aquĆ:
GestiĆ³n de normativas en cumplimiento de TI
Siga cĆ³mo un equipo de cumplimiento captura un marco externo, como SOC 2, como registros estructurados, asigna cada clĆ”usula a polĆticas y controles internos y mantiene el marco actualizado cuando la autoridad reguladora publica correcciones.
Ediciones necesarias
| Disponible en: Lightning Experience |
| Disponible en: Ediciones Enterprise, Performance y Unlimited con Agentforce IT Service. |
Registros de regulaciĆ³n
Para gestionar las leyes de forma efectiva, revise los registros implicados en el ciclo de vida.
| Tipo de registro | DescripciĆ³n |
|---|---|
| Autoridad reguladora | El organismo que emite una regulaciĆ³n, como una agencia gubernamental u organizaciĆ³n de estĆ”ndares de la industria. |
| Reglamento | Un marco o mandato especĆfico emitido por una autoridad reguladora (por ejemplo, SOC 2 o NIST CSF). |
| VersiĆ³n de regulaciĆ³n | IteraciĆ³n especĆfica de una normativa. Las versiones proporcionan un seguimiento de auditorĆa cuyos requisitos estaban en vigor en un momento especĆfico. |
| ClĆ”usula de regulaciĆ³n | Una disposiciĆ³n especĆfica en una regulaciĆ³n (por ejemplo, MĆnimo privilegio en acceso lĆ³gico y fĆsico). |
| VersiĆ³n de clĆ”usula de regulaciĆ³n | Texto controlado por versiĆ³n de una disposiciĆ³n especĆfica. |
El flujo de trabajo de extremo a extremo: Ejemplo de SOC 2
Siga el ciclo de vida del marco de trabajo de SOC 2 para ver cĆ³mo se conectan los registros de regulaciĆ³n con polĆticas, controles y problemas en Cumplimiento de TI.
CentralizaciĆ³n del contenido normativo
El flujo de trabajo comienza cuando una Prospecto de cumplimiento, Sarah, identifica un marco de trabajo externo que la organizaciĆ³n debe cumplir, como SOC 2, para un contrato de cliente. Crea un registro de autoridad reguladora para SOC 2, y luego captura cada regulaciĆ³n emitida por la autoridad junto con sus clĆ”usulas subyacentes. Para SOC 2, esto puede incluir regulaciones principales alineadas con los Criterios comunes, como Acceso lĆ³gico y fĆsico, y las clĆ”usulas en cada una, como MĆnimo privilegio, Seguridad fĆsica y EliminaciĆ³n de activos.
Para evitar crear manualmente cada clĆ”usula, Sarah carga el documento de regulaciĆ³n SOC 2 y utiliza la IA generativa para extraer las clĆ”usulas por ella. Revisa las clĆ”usulas extraĆdas y las guarda como registros de clĆ”usulas de regulaciĆ³n asociados con la versiĆ³n de regulaciĆ³n SOC 2.
VersiĆ³n y correcciones
Cuando Sarah crea un reglamento o una clĆ”usula, se crea automĆ”ticamente un registro de versiĆ³n en estado Borrador. Publica la versiĆ³n cuando su contenido es definitivo y activa la versiĆ³n en su fecha efectiva para aplicarla en toda la organizaciĆ³n. Cuando la autoridad reguladora publica una correcciĆ³n, Sarah duplica la versiĆ³n activa para crear una nueva versiĆ³n. La nueva versiĆ³n hereda todas las asignaciones de clĆ”usulas de la versiĆ³n activa, de modo que Sarah solo tiene que actualizar las clĆ”usulas que cambiĆ³ la correcciĆ³n. DespuĆ©s de que la nueva versiĆ³n entre en vigor, Sarah retira la versiĆ³n activa anterior. Este patrĆ³n mantiene un seguimiento de auditorĆa completo de quĆ© requisitos estaban en vigor en cualquier momento.
AsignaciĆ³n a polĆticas internas, controles y riesgos
El equipo de cumplimiento asigna cada versiĆ³n de clĆ”usula de regulaciĆ³n a las clĆ”usulas de polĆtica interna que la traducen en estĆ”ndares organizativos, a los controles de cumplimiento que la aplican tĆ©cnicamente y a los riesgos que mitiga. Por ejemplo, asignan la clĆ”usula de regulaciĆ³n MĆnimo privilegio a una clĆ”usula de polĆtica Principio de MĆnimo privilegio, a un control PrevenciĆ³n de fugas de datos que la aplica tĆ©cnicamente y al riesgo Acceso a datos no autorizado que el control mitiga.
Para crear estas asignaciones descendentes, consulte:
- Asigne versiones de clĆ”usulas de polĆticas de cumplimiento de TI a versiones de polĆticas y versiones de clĆ”usulas de regulaciĆ³n para vincular clĆ”usulas de polĆticas internas a las clĆ”usulas de regulaciĆ³n que implementan.
- Controla el flujo de trabajo de gestiĆ³n para Cumplimiento de TI para vincular controles de cumplimiento a las clĆ”usulas de regulaciĆ³n que aplican.
- Asigne riesgos a clĆ”usulas de pĆ³liza y controles para el cumplimiento de TI para vincular riesgos a las clĆ”usulas de pĆ³liza que podrĆan infringir y los controles que las mitigan.
IdentificaciĆ³n y resoluciĆ³n de brechas de cumplimiento
Cuando una prueba de control falla o un hallazgo de auditorĆa identifica una brecha en una clĆ”usula de regulaciĆ³n, el equipo de cumplimiento registra un problema de cumplimiento y lo vincula a la clĆ”usula de regulaciĆ³n como el origen. El problema pasa por la soluciĆ³n y se cierra solo despuĆ©s de que el propietario del problema valide la soluciĆ³n. Para realizar un seguimiento de los problemas con las leyes, consulte GestiĆ³n de problemas para cumplimiento de TI.
Trazabilidad
Este flujo de trabajo estructurado crea un mapa rastreable de registros interconectados. Si un auditor solicita pruebas de cumplimiento de un requisito de SOC 2, su organizaciĆ³n puede mostrar una cadena completa de pruebas:
- La clĆ”usula de regulaciĆ³n que captura el requisito externo.
- La clĆ”usula de polĆtica interna que traduce el requisito en un estĆ”ndar organizativo.
- El control de cumplimiento que aplica el estƔndar tƩcnicamente.
- Los problemas de cumplimiento planteados en la clĆ”usula y cĆ³mo se resolviĆ³ cada uno.
