Intern Revisjon Sjekkliste For Din Produksjonsbedrift
produksjonsindustrien står overfor økende gransking fra tilsynsorganer. Etter hvert som cyberkriminelle øker SVAKHETER i SCADA-systemet, blir organisasjonens cybersikkerhetsstilling viktigere for evnen til å beskytte data og oppnå viktige kontrakter. Ved å starte med en sikkerhet-først tilnærming til cybersikkerhet beskytter ofte data, men for å oppfylle samsvarskrav, må organisasjonen dokumentere effektiviteten av sine interne kontroller.
Hva er de primære cybersecurity bekymringer overfor industrien?
SCADA-nettverk er en kombinasjon av maskinvare og programvare som styrer og overvåker industrielle prosesser. De gjør det mulig for produsenter å samhandle med enheter, logge data og kontrollere eksterne og lokale prosesser. Mange av disse enhetene var imidlertid ikke ment for tilkoblingen som nå er nødvendig for å opprettholde en moderne forretningsmodell. Derfor kommer de med betydelig cybersikkerhetsrisiko som gjør produksjonsindustrien til et primært mål for ondsinnede aktører.
scada-risiko kan imidlertid føre til ikke bare produksjonstap, MEN enda viktigere, tap av liv. SIDEN SCADA-systemer kontrollerer kritisk infrastruktur, målretter cyberkriminelle dem i økende grad mer enn de gjør standard forretningssystemer.
hva er forskriftskravene for produksjonsindustrien?
regulatoriske krav i produksjon er generelt diktert av den føderale regjeringen. Disse kravene angir regler for å sikre at nasjonale hemmeligheter er beskyttet. De tillater ikke-statlige enheter muligheten til å lage elementer for offentlig bruk mens de fortsatt eksisterer som private bedrifter.
INTERNATIONAL Traffic In Arms Regulation (ITAR)
ITAR dekker både varer og teknologi, og kombinerer kommersielle og forskningsmål med nasjonale sikkerhetskrav. Det regulerer elementer designet for kommersielle formål som militæret også kan ta i bruk, for eksempel datamaskiner og programvare.
Dfars (Defense Federal Acquisition Regulation Supplement)
DFARS Sikring av regler og klausuler etablerer minimumsstandarder for sikkerhet for informasjonssystemer som behandler, lagrer eller overfører Føderal kontraktsinformasjon. Disse grunnleggende kontrollene må implementeres i hele forsyningskjeden. Nist Spesiell Publikasjon SP 800-171 satt for retningslinjer for samsvar.
Hva er de primære industristandardene som påvirker produksjonsindustrien?
produksjonsindustrien trenger tradisjonelt å implementere kontroller basert På Iso-standardene (International Organization For Standardization).
ISO/IEC 27001: 2013
denne risikobaserte tilnærmingen gjør DET mulig FOR EN rekke organisasjoner og bransjer å anvende ISO 27001. Denne fleksibiliteten gjør det til en av de mest brukte informasjonssikkerhetsstandardene. VIDERE viser ISO/iec 27001 en rekke kontroller I Vedlegg A som fungerer mer som en meny som skaper en egen-eventyrstilstilnærming til sikkerhet. Disse utvidede kontrollsettene gir ledelsen muligheten til å unngå, overføre eller akseptere risikoer i stedet for å redusere dem gjennom kontroller.
ISO 9001
ISO 9001 støtter angir kravene til et kvalitetsstyringssystem (QMS). Kvalitetsstyringssystemer dokumenterer prosesser, prosedyrer og ansvar over kvalitets-og kontrollmål.
ISO 9001-revisjoner inneholder tre typer gjennomgang: produkt, prosess og system. Den lange listen over dokumentasjon som kreves inkluderer både obligatorisk og ikke-obligatorisk informasjon. Listen over obligatoriske dokumenter inkluderer dokumentkontrollprosedyrer, registerprosedyrer, internrevisjonsprosedyrer, kontroll av avviksprosedyrer, korrigerende tiltak og forebyggende tiltak. Selv om det ikke føles overveldende i begynnelsen, viser hver av disse kategoriene flere dokumenter som trengs for å bevise at prosessen fungerer i aksjon.
5 Trinn Til En Intern Revisjon I Produksjon
selv om interne revisjoner kan føle byrdefulle, fungerer de effektivt som en «pretest» før eksterne revisorer ankommer. En vellykket og omfattende internrevisjon kan fungere som en «praksis» som lar deg løse problemer før ekstern revisjon og forhindre offisielle funn.
Identifiser Fageksperter (Smb)
Selv om dette er en intern revisjon, må du kanskje inkludere interessenter fra hele organisasjonen. FOR EKSEMPEL MÅ SCADA-eksperter og interne IT-eksperter kommunisere og samarbeide for å skape en helhetlig tilnærming til sikkerhet først.
Dokumenter dine interne kontrollprosedyrer og årsakene til dem
Uansett modenhetsnivå, må du sørge for å etablere en risikoanalyse, retningslinjer, prosedyrer og prosesser. Denne dokumentasjonen fungerer som veikart for compliance program som bidrar til å skape revisjon omfang.
kontinuerlig overvåke for kontroll effektivitet
Cyberkriminelle kontinuerlig utvikle sine trussel metoder som betyr at en kontroll effektivitet kan svekkes når som helst. Du må kontinuerlig overvåke kontrollene og rette opp eventuelle svakheter så snart som mulig.
kontinuerlig dokumentere overvåking
Revisjoner stole på dokumentasjon. Selv om du kontinuerlig overvåker, kan revisor returnere funn hvis du ikke har dokumentasjonen. Dokumentasjon beviser styring over programmet som gjør Det Mulig For Styret å overvåke programmet.
Opprette en intern revisjonsarbeidsflyt
Kommunikasjon før, under og etter revisjonen bidrar til å opprettholde sikkerhet og samsvar. Du må opprette en prosess for å forberede, gjennomgå og svare på internrevisjonen for å sikre at alle oppgaver er fullført i tide.
Hvordan ZenGRC Muliggjør Intern Revisjon I Produksjonsindustrien
Compliance-programmer krever kommunikasjon mellom interne og eksterne interessenter og et revisjonssystem som muliggjør dette.
ZenGRC tilbyr arbeidsflytmerking slik at du kan delegere samsvarsoppgaver og overvåke fremdriften og ferdigstillelsen. Videre kan du prioritere oppgaver slik at gruppemedlemmene vet hvordan de skal planlegge sine aktiviteter.
zengrcs arbeidsflytadministrasjonsfunksjoner inkluderer et sentralisert dashbord som kontinuerlig dokumenterer kontrolleffektiviteten din, noe som gjør samsvarsdokumentasjonen enklere.
i Tillegg hjelper det deg å opprette et revisjonsspor ved å dokumentere og utbedring aktiviteter for å støtte dine svar på revisor spørsmål.