Tuân thủ thất bại ở hai chỗ: chương trình chỉ tồn tại trên giấy, và kho lưu trữ chỉ tồn tại như một lời hứa. Chúng tôi xây cả hai thành hệ thống, với từng kiểm soát gắn cho một người chịu trách nhiệm và từng quy tắc lưu giữ được thực thi bởi tầng lưu trữ từ chối xóa sớm về mặt vật lý.
Chúng tôi tập trung vào đâu
- Chương trình HIPAA Business Associate: danh mục BAA, bản đồ luồng PHI, ma trận yêu cầu theo NIST SP 800-66.
- Lưu giữ và lưu trữ email theo chuẩn HIPAA, SOX, SEC 17a-4 và FINRA: lưu trữ WORM, giữ pháp lý, băm chống giả mạo, xuất eDiscovery kèm chuỗi lưu ký.
- Kiểm soát hạ tầng quản lý bằng Terraform để được phiên bản hóa, rà soát và tái tạo được.
- Chuẩn bị kiểm toán để lần kiểm toán tới là một truy vấn, không phải một dự án.
Cách chúng tôi làm việc
Chúng tôi bắt đầu từ câu hỏi kiểm toán viên sẽ đặt ra và đi ngược lại đến kiểm soát trả lời được nó. Điều gì hệ thống thực thi được thì để hệ thống thực thi. Phần còn lại được viết ra một lần, gắn cho một cái tên, và diễn tập trước khi có người bên ngoài bước vào phòng.