断片化されたデータに基づくコンプライアンスでは信頼性を維持できません
企業はサイバー脅威の検知と防止に多額の投資を行っていますが、規制および契約上のコンプライアンス管理は、依然として断片化され、分断されたデータに依存しています。コンプライアンスフレームワークは運用の実態から乖離し、リスク評価はある一時点の概算に基づいて構築されています。監査準備には、クエリで済むはずの作業ではなく、何週間にも及ぶ照合作業が必要になります。
ガバナンス、リスク、コンプライアンスが運用データレイヤーの外側に置かれていると、チームは自社の態勢を信頼できません。コントロールは陳腐化し、評価は疑義を受け、監査サイクルは大規模なプロジェクトになってしまいます。
その結果、ガバナンス機能は常に後追いとなり、分断されたツール間でデータを手作業で照合し、評価を一からやり直し、監査サイクルのたびにエビデンスの作成に追われることになります。
あらゆるコントロール、評価、監査のガバナンスは、信頼できるデータから始まります
Ivanti Governance, Risk and Compliance（GRC）は、ITおよびセキュリティ運用の記録システムであるIvanti Neurons Platform上に構築されています。すべてのGRCワークフローは、エンドポイント管理、ITサービス管理、セキュリティ運用を支えるものと同じ、信頼できるデータ基盤を活用します。
すべてのコントロール、すべての条項、すべてのリスク評価が信頼でき、追跡可能で、すぐに行動に移せる状態になります。コンプライアンス態勢は、前回の監査時点の状況ではなく、IT環境全体における現在の実態を反映します。
Ivanti GRCはこのギャップを解消し、手作業で断片化されたコンプライアンス業務を、ガバナンスされた運用データに基づく、自動化され説明責任を果たせるワークフローへと置き換えます。
Governance, Risk and Complianceの機能と能力
Ivanti GRCは、フレームワーク設計や規制マッピングから、リスク評価、ベンダー監視、監査対応準備まで、ガバナンス、リスク、コンプライアンスのライフサイクル全体をカバーします。これらはすべて、単一の信頼できるデータ基盤を活用します。
適応型ガバナンスフレームワーク
認定スペシャリストによる管理や保守を必要とせずに、独自のガバナンス活動とコンプライアンスワークフローを定義できます。規制要件の変化に合わせてフレームワークも進化し、運用データ基盤によってコントロールの正確性と態勢の最新性を維持します。
複数フレームワークのコンプライアンス管理
あらゆる規制当局文書を直接インポートし、ガバナンスされた監査可能な記録システム内で、条項をセキュリティおよびコンプライアンスコントロールにマッピングできます。条項、評価、是正措置、証明を含むコンプライアンスプログラムのすべての要素を、単一の記録システムに統合します。要件の変化に合わせて常に最新の状態を維持でき、一からやり直す必要はありません。対応フレームワークには、ISO、SOC 2、NIST、GDPRなどが含まれます。
説明責任を果たせるリスク評価
リスク評価の精度は、その基盤となるデータの正確性に左右されます。Ivanti GRCは評価プロセスを自動化・標準化し、Ivanti Neurons Platformで継続的に維持される資産データと構成データを活用します。これにより、すべての評価が環境の実態を反映し、ある一時点の概算ではなく、正確で再現可能な結果を提供します。
自動化され説明責任を果たせるガバナンスワークフロー
反復的な手作業のガバナンス業務を、自動化され説明責任を果たせるワークフローに置き換えます。GRCプロセスが信頼できる記録システム上で実行されると、自動化は単に時間を節約するだけでなく、確信を持って機能します。すべてのアクションはガバナンスされ、追跡可能で、ロールベースで実行されるため、各ステップの正当性を説明できるという安心感のもと、チームは戦略的な意思決定に集中できます。
サードパーティおよびベンダーリスク管理
ガバナンスを組織の外部にも拡張します。Ivanti GRCは、サードパーティのサービス、製品、潜在的な脆弱性を、コンプライアンスコントロールとリスクフレームワークにマッピングし、ベンダーリスクを構造化された一貫性のある形で可視化します。信頼できる資産データと運用データを基盤とすることで、ベンダーリスク評価は常に最新の状態に保たれ、運用の実態と結び付き、より広範なコンプライアンス態勢と整合します。
継続的な監査対応準備
すべてのコントロール、変更、評価についてガバナンスされた記録を保持し、継続的な監査対応準備を維持します。監査人から質問されたときには、回答はすでにそこにあり、追跡可能で、タイムスタンプ付きで、説明可能です。監査準備はプロジェクトではなく、クエリで完了する作業になります。
GRCがガバナンスされたデータ上で稼働すると何が変わるのか
GRCがガバナンスされたデータ上で稼働すると、成果は具体的なものになります。常に最新のコントロール、説明責任を果たせる評価、そして万全の準備で臨める監査を実現します。
- 実態を反映するコントロール。すべてのGRCコントロールは、継続的に維持される資産データと構成データを活用するため、態勢は前四半期に文書化された内容ではなく、今日の実態を反映します。
- 信頼に耐えるリスク評価。自動化・標準化されたワークフローにより、手作業の照合やヒューマンエラーを排除します。結果は一貫性と再現性があり、ガバナンスされたデータに裏付けられます。
- 慌てずに対応できるコンプライアンス。あらゆる規制フレームワークを直接インポートし、条項を一度コントロールにマッピングします。要件の変化に合わせて、フレームワークも進化します。
- 拡張できるガバナンス。ロールベースの自動化されたワークフローにより、人員や専門管理者を追加することなく、GRCを組織全体およびサプライチェーン全体に拡張できます。
- 常に整った監査対応準備。すべてのコントロール、評価、是正措置について、ガバナンスされたタイムスタンプ付きの記録があるため、監査準備が慌ただしい対応になることはありません。
実践におけるガバナンス
「Ivantiによって、私たちは最善の患者ケアを提供するためにシステムを管理できています。Ivantiが患者に直接関わることはありませんが、その間接的な影響は非常に重要です。強力なサポート運用により、HIPAAのような規制要件を遵守し、資産の追跡と管理を通じてエンドデバイスをより適切に管理しているという安心感のもと、より良い患者ケアを提供できています。」
Bill Weyrick、Dartmouth-Hitchcock 情報システム担当ディレクター