Az audit után: a megállapításoktól a működő kontrollokig

Önök, vagy az, aki a rendszereiket üzemelteti. Mi meghatározzuk, mit jelent az „elkészült” minden egyes megállapításnál, sorrendbe tesszük a megállapításokat, megnevezzük a felelőst, és ellenőrizzük az eredményt, mielőtt bármi lezártként rögzülne — egy tűzfalszabály módosításához, egy felülvizsgálati ciklus elindításához vagy egy mentési ütemezés újraépítéséhez pedig hozzáférés kell, ami tanácsadói munkánál soha nem nálunk van. Két külön dologként érdemes tervezni: a megvalósítás ráfordítása Önöké, és az a nagyobb szám; a specifikáció, a sorrendezés, az ellenőrzés és a bizonyítékok a miénk. Ha a kapacitásuk nem viszi el a megvalósítást, ezt az első beszélgetésen érdemes tisztázni, nem a második hónapban.

Nem napidíj, és nincs óraelszámolás vagy hónap végi utólagos rendezés. A munkát megnevezett hatókörre megnevezett díjjal árazzuk, a kezdés előtt megállapodva, így az a szám, amit a pénzügyi vezetőjük elé tesznek, ugyanaz, ami a számlán lesz. Ha az, amire valóban szükségük van, tartósan és érdemben túlmutat ezen a hatókörön, a hatókört és a díjat együtt nyitjuk újra, nem nagyobb számlát küldünk ugyanarra a megállapodásra. Két dolog mozgatja a szintet: a létszám és a telephelyek száma. Amit nem teszünk meg: nem írunk le számot egy auditjelentésre, amelyet nem olvastunk — az ajánlat az első beszélgetés után jön, és harminc napig érvényes, ami elég egy döntési ciklushoz.

A nyilvántartás a jelentés minden megállapítását tartalmazza, bárhol is találta az auditor; egy üzemi hálózaton talált eltérés ugyanúgy rangsorolt, felelőssel és bizonyítékkal, mint egy a szerverszobában. Vállalunk ipari és üzemi rendszereket érintő munkát, és érdemes korán tudni, hogyan árazódik: ez egyszeri megvalósítási munka, külön árazva, és nem része sem a tanácsadói, sem a vCISO-átalánynak. Hozzák el az első beszélgetésre a gyártást érintő megállapításokat, és megmondjuk, melyik közülük mérnöki munka és melyik irányítási kérdés, mert a kettő nagyon eltérő számot jelent.

Három szerep, és a teher nem egyenlően oszlik. Egy vezetői szponzor kevés időt fordít rá, de kötött napokon: a rangsor jóváhagyása dátumhoz kötött mérföldkő, és ha az elmozdul, minden utána is elmozdul. Valaki belül napi szinten viszi, jellemzően az, akinél az IT van. Az IT-üzemeltetés viszi a legnagyobb részt, mert minden lezárt megállapítás egy változtatás, amit végre kell hajtani, majd be kell mutatni — és ez a szám dönti el, hogy ez megfizethető-e, nem a mi díjunk. Ezt a tényleges megállapításaik alapján számoljuk ki az aláírás előtt, és ahol a kapacitás nincs meg, megmondjuk, mely tételek vannak veszélyben, nem úgy tervezünk, mintha meglenne.

Az első beszélgetéshez semmire. Az azon fut, amit el tudnak mondani, és egyetlen dokumentumnak sem kell elhagynia a házat ahhoz, hogy megmondjuk, tudunk-e segíteni. Titoktartási megállapodást írunk alá, még mielőtt bármilyen dokumentumot átvennénk Önöktől, vagy a titoktartás magába a megbízási szerződésbe kerül — így vagy úgy, a jelentés mozgása előtt van a helyén, nem utána. A kapcsolatfelvételi űrlap szándékosan nem útja egy auditjelentésnek, és megállapításokat ne illesszenek bele; azt, hogy a dokumentum hogyan jut el hozzánk, akkor beszéljük meg, amikor van mit elolvasni. A saját ISO/IEC 27001 tanúsítványunk, UKAS-akkreditált tanúsító szervezettől, az információ kezelésére vonatkozik, amíg nálunk van, és a mögötte álló hatóköri nyilatkozat az, amit érdemes elkérni.

A jogszabályi felelősség a vezetésüknél marad, és ezt egyetlen tanácsadó sem tudja szerződéssel átvenni — inkább leírjuk az oldalon, mint hogy ennek hitében vásárolják meg. Amit mi vállalunk: hogy a kockázat korán és írásban látható. A rangsor kimondja, mi nem fér bele, az Önök jóváhagyása erről rögzítve van, és amit elhalasztunk, azt döntésként, kompenzáló intézkedéssel halasztjuk el, nem csendben hagyjuk el. Az auditorral egy megállapítás szövegéről vagy bizonyítékáról egyeztetni a munka része; a hatósággal való kapcsolat csak akkor, ha a megnevezett biztonsági felelős szerepét is mi töltjük be. Azt, hogy egy felügyeleti hatóság mit tesz egy kifutott határidő miatt, annak a végrehajtási jogszabálynak kell megmondania, amely szerint az auditjuk zajlott — ezt az Önök tényleges megállapításai mellett vesszük végig Önökkel, nem egyetlen ország következményeit írjuk le egy három országban olvasott oldalon. A kitettségükről kötelező erejű véleményt a jogi képviselőjük ad. Amit nem teszünk meg: nem hagyjuk, hogy úgy tervezzenek, mintha a dátumot mi mozgathatnánk.

Igen, és ez a szokásos belépés, nem engedmény. Egy körülhatárolt első szakasz saját megnevezett hatókörként vásárolható meg: a megállapításaik átolvasva azzal szemben, ami már megvan, ami félkész, és amelyik eltérés a jelentés félreolvasásán áll, nem hiányzó kontrollon. Olyan dokumentummal zárul, amelyet elvihetnek a testület elé — vagy egy másik céghez —, és utána nem tartoznak nekünk semmivel. Nem kellene programra kötelezniük magukat ahhoz, hogy megtudják, mekkora a probléma.

Egyik sem az Önök munkájának ütemterve. A 180 napos program külön szolgáltatás, azoknak, akiknek van dátumuk és még nincs auditjuk; az oldal alján lévő link oda vezet. Az Önök javítása a megállapításokat tartalmazó levélben szereplő határidőig tart, és itt ez az egyetlen óra. A példanyilvántartásban a napszámok relatívak, mert a példának nincs ügyfele és nincs határideje, amitől számolni lehetne — egy valódi nyilvántartásban azokban a mezőkben naptári dátumok állnak, az Önök dátumából visszafelé számolva és ahhoz mérve, amit az embereik teljesíteni tudnak. Hozzák el a dátumot az első beszélgetésre, és a példát ahhoz mérve olvassuk fel.

A megnevezett ügyfeleink ezen a honlapon vannak, nem elvont leírásban — a nyitólapon és a rólunk oldalon szereplő ügyfélfal hordozza őket —, az ágazatok pedig, amelyeket belülről ismerünk, a távközlés, az energetika és a közművek, valamint a bankszektor: itt telt az alapítóink pályája. Amit nem teszünk meg: nem adunk nevet és telefonszámot az Önök helyzetéhez, mielőtt beszéltünk volna. Az ajánlat azokat a referenciákat tartalmazza, amelyek ahhoz illeszkednek, amit valóban megvásárolnak, elég részletesen ahhoz, hogy érdemes legyen felhívni. Ha egy Önökhöz hasonló méretű gyártó referenciája dönti el ezt, mondják el az első beszélgetésen, és bekerül az ajánlatba.