IT 규제 준수 관리
규정 준수 팀이 SOC 2와 같은 외부 프레임워크를 구조화된 레코드로 수집하고, 각 조항을 내부 정책 및 제어에 매핑하고, 규제 기관에서 수정 사항을 게시할 때 프레임워크를 최신 상태로 유지하는 방법을 따르십시오.
필수 Edition
| 지원 제품: Lightning Experience |
| 지원 제품: Agentforce IT 서비스가 포함된 Enterprise, Performance 및 Unlimited Edition. |
규제 레코드
효율적으로 규정을 관리하려면 수명 주기에 관련된 레코드를 검토합니다.
| 레코드 유형 | 상세 설명 |
|---|---|
| 규제 기관 | 정부 기관 또는 산업 표준 조직과 같이 규정을 발행하는 조직입니다. |
| 규정 | 규제 기관이 발행한 특정 프레임워크 또는 권한(예: SOC 2 또는 NIST CSF). |
| 규정 버전 | 규칙의 특정 반복입니다. 버전은 특정 시간에 적용된 요구 사항에 대한 감사 추적을 제공합니다. |
| 규정 조항 | 규정 내 특정 프로비저닝(예: 논리적 및 물리적 액세스 내 최소 권한). |
| 규정 조항 버전 | 특정 프로비저닝의 버전 제어 텍스트입니다. |
종단간 워크플로: SOC 2 예제
SOC 2 프레임워크의 수명 주기를 따라 규제 레코드가 IT 규정 준수 전반의 정책, 제어, 문제와 연결되는 방식을 확인합니다.
규제 콘텐츠 중앙 집중화
규정 준수 리드인 Sarah가 조직이 고객 계약에 대해 SOC 2와 같이 준수해야 하는 외부 프레임워크를 식별하면 워크플로가 시작됩니다. SOC 2에 대한 규제 기관 레코드를 만든 다음, 기관에서 발행한 각 규정을 기본 조항과 함께 수집합니다. SOC 2의 경우 일반 기준(예: 논리적 및 물리적 액세스)과 최소 권한, 물리적 보안, 자산 폐기와 같은 각 조항 내의 핵심 규정을 포함할 수 있습니다.
Sarah는 각 조항을 수동으로 생성하지 않도록 SOC 2 규정 문서를 업로드하고 생성형 AI를 사용하여 조항을 추출합니다. 추출된 조항을 검토하고 SOC 2 규정 버전과 연결된 규제 조항 레코드로 저장합니다.
버전 관리 및 수정
Sarah가 규정 또는 조항을 만들면 버전 레코드가 초안 상태로 자동으로 생성됩니다. 콘텐츠가 완료되면 버전을 게시하고 유효 날짜에 버전을 활성화하여 조직 전체에 적용합니다. 규제 기관이 수정 사항을 게시하면 Sarah가 활성 버전을 복제하여 새 버전을 만듭니다. 새 버전은 활성 버전의 모든 조항 매핑을 상속하므로 Sarah는 수정 사항이 변경된 조항만 업데이트해야 합니다. 새 버전이 적용되면 Sarah가 이전 활성 버전을 사용 중지합니다. 이 패턴은 언제든지 적용된 요구 사항에 대한 전체 감사 추적을 유지합니다.
내부 정책, 제어, 위험에 대한 매핑
규정 준수 팀은 각 규제 조항 버전을 조직 표준으로 번역하는 내부 정책 조항, 기술적으로 적용되는 규정 준수 제어, 완화되는 위험에 매핑합니다. 예를 들어 최소 권한 규제 절을 최소 권한 원칙 정책 절, 기술적으로 적용되는 데이터 누출 방지 제어, 제어가 완화하는 무단 데이터 액세스 위험에 매핑합니다.
다운스트림 매핑을 만들려면 다음을 참조하십시오.
- IT 규정 준수 정책 조항 버전을 증권 버전 및 규정 조항 버전에 매핑하여 내부 증권 조항을 구현하는 규제 조항에 연결합니다.
- IT 규정 준수에 대한 컨트롤 관리 워크플로우를 통해 규정 준수 제어를 규정 조항에 연결합니다.
- 위험을 정책 조항 및 IT 규정 준수 제어에 매핑하여 위반할 수 있는 정책 조항 및 경감 제어에 위험을 연결합니다.
규정 준수 격차 식별 및 해결
제어 테스트에 실패하거나 감사 결과에서 규제 조항에 대한 격차를 식별하면 규정 준수 팀이 규정 준수 문제를 기록하고 규제 조항에 소스로 연결합니다. 문제는 수정 과정을 거쳐 문제 소유자가 수정 사항을 확인한 후에만 마감됩니다. 규정 위반 문제를 추적하려면 IT 규정 준수를 위한 문제 관리를 참조하십시오.
추적성
구조화된 워크플로는 상호 연결된 레코드의 추적 가능한 맵을 만듭니다. 감사자가 SOC 2 요구 사항을 준수하는 증거를 요청할 경우 조직에서 다음과 같은 전체적인 증거 체인을 표시할 수 있습니다.
- 외부 요구 사항을 수집하는 규제 절입니다.
- 요구 사항을 조직 표준으로 번역하는 내부 정책 절입니다.
- 기술적으로 표준을 적용하는 규정 준수 제어입니다.
- 조항에 대해 제기된 규정 준수 문제 및 각 문제 해결 방법
