אנשי אבטחת המידע והצד העסקי לא מצליחים להסכים. מי מחליט, ואיך?

מייצרים דף עבודה אחיד: מה המערכת מבצעת בגרסה הראשונית, איזה החלטות היא מקבלת לבד, ואיזה בקרות קיימות לכל פעולה. רוב התקיעויות נפתרות כשמצמצמים גרסה ראשונה לגבול שסיכונים יכולים לאשר והעסק עדיין מרוויח ממנו. השאלה היא אם המערכת מקבלת החלטות או רק ממליץ, ומה הרגולטור מחפש באינטראקציות לקוח אוטונומיות.

שניהם צודקים בזווית שלהם, אז הכיוון הוא גישה מנוטרת במקום לנתק או להשאיר כמו שהוא: חיבורים של הספק באישור המוסד לכל חיבור, עם תיעוד, הגבלת זמן ונתיב מבודד. ספקי ציוד מסכימים לתנאים כאלה כשהדרישות ברורות. זה תלוי אילו מערכות חייבות תמיכה מרחוק ומה החוזה מול הספק סוגר.

אישורים במקומות אחרים מראים שהתהליך בר-אישור. הם לא מוכיחים שהוא מתאים לפרשנות הרגולטור שלכם או לרמת הסיכון שאתם לוקחים. בקשו מהאחראים על הציות להגדיר דרישות ספציפיות ותנו לספק להראות צעד-אחר-צעד איך הוא מכסה אותן. תעלו קודם על סגמנט לקוחות פחות רגיש אם התהליך המלא דורש עוד עבודה. זה תלוי ברגולציית הזיהוי שלכם ובקהל היעד.

מפרידים בין מה שהרשות דורשת הלכה למעשה, לרוב נתוני רכב ונסיעה, לבין מה שהספק דחף לאפליקציה, לרוב ציונים אישיים; על החלק הראשון קל יותר לגשר מול הנהגים כשמוותרים על השני או חותכים אותו. אז מגבשים כללים על מה אוספים, למי מותר לצפות במידע ולאיזו מטרה. הכל תלוי בדרישות המדויקות של הרשות ובהסכמי העבודה אצלכם.

מגדירים גורם אחד שאחראי לכך שהלקוח יקבל את ההחזר ומפרקים את שלבי העבודה שבמחלוקת. הפתרון נשען על מעקב של נקודות מסירה וההתחייבויות שכבר סוכמו, עם בחינה חוזית מסודרת במקומות הבעייתיים.

בדרך כלל מסתתרת שם דרישה שלא נאמרה, אז שמים את שתי הגישות מול רשימה אחת של סיכונים ומשימות משתמש. בודקים כל גישה מול שלושת התרחישים הכי נפוצים ומול שני מקרי הקיצון המסוכנים ביותר. זה יושב על מה שחוקי הפרטיות דורשים לאימות מזהה ועל קבוצות המטופלים שהמערכת משרתת.

מדרגים את חומרת כל ממצא לפי מה שתוקף יכול להוציא מזה דרך שותף, כי חלק זה עניין של גימורים וחלק זו דליפת מידע מלאה. מתקנים או מגדרים סעיפים שנוגעים בדאטה של לקוחות, ועולים עם לוח זמנים מוגדר לטיפול בשאר. זה תלוי בסעיפים שנוגעים באימות, הרשאות וחשיפת מידע.

מצמצמים את ההיקף לחיבור אחד או שניים שמייצרים את הערך הכי גדול לשני הצדדים, וסוגרים הסכם תמציתי על מי מפתח, מי מאחסן ומי מתחזק. ממשקים בתקן אחיד חותכים ויכוחים כי כל צד אחראי על ה-endpoint שלו. זה תלוי בחשיבות הקלינית ובשאלה אם יש כבר תשתית סנכרון מגזרית שאפשר להשתמש בה.