SimpleRisk Governance

Uma parte crítica de todo programa GRC é gerenciar as estruturas às quais você deve aderir e todos os controles associados. O SimpleRisk fala com muitas organizações diferentes e geralmente descobrimos que essas organizações se enquadram em uma das seguintes categorias:

ASSISTÊNCIA MÉDICA

As organizações de assistência médica geralmente são obrigadas a cumprir a HIPAA com base na posse de informações pessoais de saúde (PHI). Vimos vários deles procurarem estruturas proprietárias como HITRUST para ajudá-los a demonstrar conformidade. Além disso, muitas organizações de saúde processam cartões de crédito e, portanto, estão sujeitas ao PCI DSS.

GOVERNO

Normalmente, as organizações governamentais são obrigadas a cumprir vários requisitos do NIST. Isso inclui o NIST Cybersecurity Framework (CSF), bem como estruturas como o NIST SP 800-53 Security and Privacy Controls for Federal Information Systems and Organizations.

EDUCAÇÃO

As organizações educacionais incluem instituições de ensino fundamental e médio e de ensino superior, como universidades. Essas organizações geralmente mantêm muitas informações de identificação pessoal (PII) sobre seus alunos, professores e funcionários. Embora existam alguns requisitos locais sobre PII, como o Regulamento Geral de Proteção de Dados (GDPR) ou California S.B. 1386, normalmente vemos essas organizações optando por estruturas de conformidade mais amplas, como NIST Cybersecurity Framework (CSF) ou ISO 27001.

UTILIDADE PÚBLICA

Algumas organizações de utilidade pública são administradas por seus governos locais e estão sujeitas a requisitos semelhantes aos descritos acima. Também trabalhamos frequentemente com organizações de serviços públicos neste espaço que são obrigadas a cumprir os requisitos de Proteção de Infraestrutura Crítica (NERC CIP) da North American Electric Reliability Corporation.

TECNOLOGIA

As organizações de tecnologia geralmente procuram adotar estruturas de conformidade mais amplas, como ISO27001 ou NIST Cybersecurity Framework (CSF). Muitos também estarão sujeitos à conformidade com o Regulamento Geral de Proteção de Dados (GDPR) se estiverem fazendo negócios na União Europeia (UE) e à conformidade com o PCI DSS se processarem cartões de crédito de clientes. Onde essas organizações atendem diretamente os clientes, também vemos frequentemente requisitos para atestados de conformidade de terceiros que geralmente são baseados no AICPA SOC 2 Trusted Services Criteria (TSC).

SEM FINS LUCRATIVOS

As organizações sem fins lucrativos normalmente não têm muitos requisitos regulamentares. Embora alguns possam aceitar cartões de crédito e estejam sujeitos à conformidade com o PCI DSS, a maioria geralmente procura adotar estruturas de conformidade mais amplas, como ISO27001 ou NIST Cybersecurity Framework (CSF). Gerenciando Frameworks e Controles.