Att lägga till sitt andra efterlevnadsramverk känns som att börja om. Du har precis tagit dig igenom slitet med SOC 2, bevisen är äntligen aktuella, och så frågar en kund i Tyskland om ISO 27001, eller så landar en ny reglering som NIS2 eller DORA på ditt bord. Instinkten är att öppna ett nytt kalkylark, lista varje krav och bygga om hela programmet från grunden.

Det behöver du inte. De stora ramverken överlappar långt mer än de skiljer sig åt, och arbetet du gjorde för det första bär största delen av vägen genom det andra. Det här inlägget förklarar varför överlappet finns, hur en gemensam kontrolluppsättning gör det till återanvändning, och hur OptiTech mappar ett kontrollbibliotek mot många ramverk så att ditt tredje ramverk mest handlar om att peka på bevis du redan har.

Var ramverken faktiskt överlappar

Läs ISO 27001, SOC 2, NIS2, GDPR och DORA sida vid sida och samma teman dyker upp gång på gång. De är skrivna av olika organ av olika skäl, men de försöker alla svara på samma fråga: kan den här organisationen skydda informationen den hanterar och fortsätta fungera när något går fel?

Några kontrollområden återkommer i vartenda ett av dem:

• Åtkomstkontroll. Vem som når vad, hur du beviljar och återkallar åtkomst, och hur du granskar den. ISO 27001 kallar det en sak, SOC 2 en annan, men den underliggande kontrollen är identisk: minsta möjliga behörighet, upprätthållen och granskad.
• Riskhantering. Varje ramverk vill att du identifierar risker, värderar dem och behandlar dem. Metoden varierar, disciplinen gör det inte.
• Incidenthantering. Upptäck, agera, rapportera, lär. GDPR sätter en 72-timmarsklocka på anmälan, NIS2 och DORA lägger till egna rapporteringskrav, men incidentprocessen bakom dem är en process.
• Leverantörshantering. Vet vilka du är beroende av, bedöm deras risk och håll dem till avtal. DORA är strikt kring IKT-tredjeparter, ISO 27001 har en hel leverantörsdomän, men du hanterar samma leverantörslista.

När du väl ser det här ser dubbelarbetet i de flesta efterlevnadsprogram absurt ut. Team skriver en åtkomstpolicy för SOC 2, skriver sedan en nästan identisk för ISO 27001, och besvarar sedan en GDPR-fråga om samma åtkomstkontroller med ett tredje dokument. Samma kontroll, tre beskrivningar, tre ställen att hålla aktuella.

Den gemensamma kontrolluppsättningen

Lösningen är att sluta organisera programmet efter ramverk och börja organisera det efter kontroll. Du bygger en uppsättning kontroller som beskriver hur ditt företag faktiskt arbetar, och mappar sedan varje kontroll mot varje ramverkskrav den uppfyller. Det är den gemensamma kontrolluppsättningen, och det är den enda idé som gör efterlevnad över flera ramverk hållbar.

En kontroll, många krav

Ta en enda kontroll: "Användaråtkomst granskas kvartalsvis och återkallas inom 24 timmar efter en rolländring." Den kontrollen talar till ISO 27001:s krav på åtkomsthantering, SOC 2:s kriterier för logisk åtkomst, GDPR:s förväntan att åtkomst till personuppgifter är begränsad, och NIS2:s krav på åtkomstkontroll. Du skriver den en gång. Du utser en ägare. Du mappar den mot fyra ramverk.

När en revisor för något av de ramverken frågar hur du hanterar åtkomstgranskningar pekar du på samma kontroll. När kontrollen ändras uppdaterar du den på ett ställe och varje ramverksmappning förblir aktuell automatiskt.

Ett bevis, många kontrollpunkter

Bevis fungerar likadant. Exporten från din kvartalsvisa åtkomstgranskning är inte SOC 2-bevis eller ISO 27001-bevis, det är bevis på att en kontroll fungerade. Koppla det till kontrollen, så uppfyller det varje ramverkskrav som kontrollen är mappad mot.

Det är här dubbelarbetet verkligen försvinner. I stället för att samla samma skärmbild tre gånger för tre revisioner samlar du den en gång och den räknas överallt. Multiplicera det över dussintals kontroller och flera beviscykler per år, och den sparade insatsen är enorm.

Vad en korsreferens är och varför den spelar roll

Kartan mellan dina kontroller och ramverkskraven kallas en korsreferens, eller mappning. Det är en enkel idé med stor utdelning: för varje krav i ett ramverk namnger korsreferensen kontrollen eller kontrollerna som uppfyller det, och för varje kontroll namnger den varje krav den täcker.

En bra korsreferens ger dig två vyer på köpet. Ser du på den per ramverk ser du din täckning: vilka krav som är uppfyllda, var luckorna finns och vilka bevis som backar varje krav. Ser du på den per kontroll ser du hävstången: hur många krav som vilar på en enda kontroll, så att du vet vilka kontroller som är värda att investera i först.

Korsreferensen är också hur du lägger till ett ramverk billigt. När DORA kommer börjar du inte från noll. Du lägger dess krav bredvid dina befintliga kontroller och de flesta mappar redan. Det som återstår är en kort lista med verkliga luckor, inte ett helt nytt program.

Fällan med parallella kalkylark

De flesta team hamnar här utan att bestämma sig för det. Varje ramverk får sitt eget kalkylark för att varje ramverk kom som sitt eget projekt, drivet av den som ägde det just då. SOC 2-spårningen ligger hos en person, ISO 27001-spårningen hos en annan, och GDPR-registren någon helt annanstans.

Problemet är inte kalkylarken, det är glidningen. När du skärper en åtkomstkontroll måste du komma ihåg att uppdatera den på tre ställen. När bevis förnyas måste någon kopiera in det i varje spårning. Missa ett, och dina ramverk säger tyst emot varandra. En revisor hittar luckan före dig, och nu förklarar du varför din ISO 27001-kontroll säger en sak och din SOC 2-kontroll en annan.

Parallella kalkylark döljer också din hävstång. Eftersom ramverken är åtskilda kan du inte se att en enda kontrollåtgärd skulle stänga luckor i tre av dem samtidigt. Du prioriterar efter ramverkets deadline i stället för efter effekt.

Utdelningen kommer på ramverk två och tre

Det första ramverket är alltid mest arbete, för då bygger du kontrolluppsättningen för första gången. Det går inte att komma runt. Avkastningen kommer senare.

Vid ditt andra ramverk mappar en stor andel av kraven redan mot kontroller du skrivit och bevis du redan samlar. Ditt jobb krymper till att hitta skillnaden: den handfull krav som det nya ramverket lägger till som inget ännu täcker. Vid det tredje ramverket är överlappet så högt att lägga till det känns mindre som ett projekt och mer som en förlängning av programmet du redan driver.

Det förändrar också hur du säljer. När en kund frågar om du uppfyller ett ramverk du inte formellt certifierat dig mot kan du ofta visa att de underliggande kontrollerna redan finns på plats och är mappade. Du inleder inte ett samtal, du avslutar ett.

Så hanterar OptiTech det

OptiTech är byggt kring ett kontrollbibliotek, inte ett bibliotek per ramverk. Du definierar dina kontroller en gång i OptiTech Console, kopplar bevis till dem, och mappar varje kontroll mot ramverkskraven den uppfyller över SOC 2 Type II, ISO 27001, GDPR, NIS2 och DORA.

Därifrån ger konsolen dig ramverksvyn och kontrollvyn från samma data. Du kan se din SOC 2-täckning idag och, med samma kontroller, se hur nära du redan är ISO 27001 eller DORA. Att lägga till ett ramverk blir en mappningsövning över kontroller du redan äger, med en tydlig lista över de få verkliga luckor som ska stängas. Ditt trust center publicerar sedan resultatet, så att köpare ser vilka ramverk du täcker utan ett enda dubblerat kalkylark bakom kulisserna.

Kom igång

Du behöver inte ha varje ramverk mappat dag ett. En praktisk första omgång ser ut så här:

1. Skriv dina kontroller utifrån hur du faktiskt arbetar. Börja med områdena med störst hävstång: åtkomstkontroll, riskhantering, incidenthantering och leverantörshantering.
2. Koppla bevis till varje kontroll, inte till ett ramverk, så att det räknas överallt kontrollen är mappad.
3. Korsreferera ditt första ramverk, lägg sedan ett andra bredvid samma kontroller och markera bara de verkliga luckorna.
4. Publicera täckningen till ditt trust center så att mappningen du byggt börjar besvara säkerhetsgranskningar på egen hand.

Ramverk belönar de företag som behandlar efterlevnad som ett sammankopplat program i stället för en trave parallella projekt. Bygg kontrolluppsättningen en gång, mappa den väl, så är varje ramverk du lägger till mestadels återanvändning.

Redo att mappa många ramverk mot ett kontrollbibliotek? Boka en demo och se hur OptiTech gör ditt andra och tredje ramverk till återanvändning i stället för omarbete.