Аудит соответствия требованиям не должен быть хаотичным.

Эпидемия утечки данных в сочетании с требованиями клиентов усилить контроль над тем, как компании обрабатывают их персональные данные, породила постоянно расширяющуюся нормативно-правовую среду, направленную на обязательное наличие у организаций определенных средств контроля безопасности и привлечение их к ответственности за утечку данных. Вот лишь несколько нормативных и отраслевых стандартов, которым должны соответствовать организации:

• Закон о переносимости и подотчетности медицинского страхования (HIPAA) от 1996 г. — это федеральный закон, защищающий конфиденциальную информацию о здоровье пациента от раскрытия без согласия или ведома пациента.
• Стандарт безопасности данных индустрии платежных карт (PCI DSS) — это набор стандартов безопасности, обязательных для использования основными брендами кредитных карт. Любая компания, которая принимает, обрабатывает, хранит или передает информацию о кредитных картах, должна соответствовать стандарту PCI DSS.
• Закон Сарбейнса-Оксли (SOX) предписывает систему сдержек и противовесов для обеспечения точности и прозрачности раскрытия корпоративной информации, а также защиты акционеров предприятий и широкой общественности от бухгалтерских ошибок и мошенничества.

Любой, кто работает в сфере GRC (управление, риски и соответствие требованиям), в курсе типичной ситуации. Несмотря на то, что организационные риски взаимозависимы, а элементы управления безопасностью являются общими для всех подразделений, планирование и управление соблюдением требований обычно осуществляется изолированно. В дополнение к увеличению риска несоблюдения требований — или, что еще хуже, нарушения — такой разрозненный подход к соблюдению требований порождает отчаянный рывок в работе, когда начинаются ежегодные аудиты соответствия. Персонал GRC тратит так много времени и энергии на поиск подтверждающей документации и гонку за соблюдением сроков, что соблюдение сроков и прохождение аудита становятся более важным делом, чем сам контроль безопасности.

Однако соблюдение требований не является разовым событием. Ожидается, что организации будут поддерживать соответствие требованиям круглый год. Кроме того, многие средства контроля, предусмотренные системами соответствия требованиям, отражают передовые методы обеспечения безопасности, которым организации должны следовать в любом случае, чтобы снизить риск утечки данных.

Поскольку каждый пользователь в корпоративной сети вносит потенциальный фактор риска, защита учетных данных пользователей и реализация доступа с нулевым доверием к корпоративным сетям необходимы организациям для соблюдения требований PCI DSS, HIPAA, SOX, GDPR и других нормативных требований. Поскольку большинству организаций необходимо соблюдать несколько систем требований, очень важно автоматизировать как можно больше процессов соответствия требованиям, чтобы избежать дополнительной нагрузки на уже и так перегруженный ИТ-персонал и GRC-персонал.

Высокорейтинговая платформа управления корпоративными паролями Keeper упрощает мониторинг соответствия и отчетность, предоставляя ИТ-администраторам полную видимость и контроль над использованием паролей сотрудниками, а также сетевой доступ с нулевым доверием на основе ролей во всех средах данных. Keeper поддерживает надежный внутренний контроль посредством делегированного администрирования, политик применения, отслеживания и мониторинга событий с помощью настраиваемых журналов аудита и отчетов о событиях.

Поскольку секреты ИТ-сети открывают доступ к системам и данным с высоким уровнем привилегий, защита секретов так же важна для предотвращения кибератак, как и защита паролей конечных пользователей. Однако расползание секретов, а также жестко запрограммированные и встроенные пароли делают управление секретами еще более сложным делом, чем управление паролями пользователей.

Интегрированный непосредственно в Keeper EPM, а также в Keeper Connection Manager, Keeper Secrets Manager представляет собой полностью управляемую облачную платформу с нулевым разглашением для защиты секретов инфраструктуры, таких как ключи API, пароли баз данных, ключи доступа, сертификаты и любые другие типы конфиденциальных данных.

Благодаря Keeper Secrets Manager все серверы, конвейеры CI/CD, среды разработки и исходный код извлекают секреты из защищенной конечной точки API. Каждый секрет шифруется 256-битным ключом AES, который в свою очередь шифруется другим ключом приложения AES-256. Клиентское устройство извлекает зашифрованные данные из облака Keeper, а секреты расшифровываются и используются локально на устройстве, а не на серверах Keeper.