Hoeveel Documentatie en Bewijs Vraagt CyFun Basic? We Telden Het
Iedereen vraagt hoe lang CyFun Basic duurt. Minder mensen vragen wat je uiteindelijk overhoudt: een geheel aan documenten en bewijs dat je moet opbouwen, en daarna levend houden. We instrumenteerden een echte implementatie en telden het, read-only, uit de event log.
Hoeveel je echt moet bijhouden
Mensen stellen zich compliance voor als een formulier dat je invult. Het lijkt meer op een kleine bibliotheek die je opbouwt en daarna levend houdt. Vierendertig controls, elk met een document en het bewijs dat het onderbouwt.
| Wat je opbouwt | In deze implementatie |
|---|---|
| Documenten (beleid, procedures, registers, assessments) | ~38 |
| Woorden die de persoon echt schreef | ~7.000 |
| Herzieningen over die documenten | ~950 |
| Bewijsstukken | 123 |
| Verschillende bewijstypes | 11 |
| Koppelingen bewijs aan control | 294 |
| Controls, elk op twee assen gescoord | 34 |
Aantallen uit de event log van een organisatie, afgerond. Het platform leverde de frameworktekst en templates; de ~7.000 woorden zijn wat de uitvoerder echt schreef en op maat maakte.
Wat een control echt nodig heeft
Drie controls die de spreiding tonen, van bewijs dat een tool je aanreikt tot een oordeel dat alleen een mens kan vellen.
Toegang en multifactor-login
Een kort geschreven beleid dat zegt welke systemen MFA vereisen en welke uitzonderingen mogen, plus live bewijs dat het aanstaat, een enrolment-export uit je identiteitssysteem. Het beleid is kort. Het bewijs kan automatisch worden opgehaald.
Back-ups
Een back-up- en herstelprocedure die dekt wat er wordt geback-upt, hoe vaak, en hoe een herstel wordt getest, plus een echt hersteltestresultaat. Zo'n procedure klopt zelden in een keer; ze vraagt meerdere passages om aan te sluiten op hoe de zaak echt werkt.
Wettelijk en regelgevend register
Een lijst van de wetten en verplichtingen die op je organisatie van toepassing zijn. Niets eraan is automatisch. Bepalen welke wetten gelden is een oordeel, en het is waar een niet-specialist het vaakst een expert moet raadplegen.
Het deel waar niemand je voor waarschuwt: weten wat er nog rest
Het bewijs en de documenten maken is maar de helft van het werk. De andere helft is een levend antwoord houden op drie vragen: welke controls zijn af, welke missen bewijs, en wat is er verschoven sinds vorig kwartaal. Met de hand is dat een spreadsheet die je eeuwig blijft nakijken, en die fout is zodra een laptop wordt toegevoegd of een beleid verloopt. Hier verdient het platform zijn plaats. Het is een scorebord, niet de sportschool.
- Het stelt de documenten op. Elk gekoppeld aan de control die het onderbouwt, zodat je bewerkt en beslist in plaats van van een blanco pagina te schrijven. Het beslist niet wat een beleid moet zeggen. Dat blijft van jou.
- Het verzamelt het bewijs. Uit de tools die je al draait. Hier eindigden 19 van de 34 controls volledig gedragen door geautomatiseerd bewijs, en 1.321 bewijsstukken materialiseerden op eigen kracht over het project.
- Het toont wat er nog rest. Control per control, en het laat je een control niet audit-klaar zetten zolang het bewijs ontbreekt. Je ziet de to-do; je gokt hem niet.
- Het houdt het beeld actueel. Het automatisch verzamelde bewijs ververst na go-live, dus de score beweegt wanneer de realiteit beweegt. Bouwwerk gebeurt een keer; versheid is voor altijd.
Wie doet wat
Het platform neemt de sleur van opstellen, oogsten en bijhouden weg. Het oordeel blijft mensenwerk: wat een beleid zegt, welk bewijs telt, welke wetten gelden. Daarom kon een niet-specialist het meeste hiervan dragen, en daarom hadden de delen die een expert nodig hadden er nog steeds een nodig. Het is een scorebord, niet de sportschool.
Veelgestelde Vragen
Is dit veel documentatie voor een klein bedrijf?
Het is meer dan de meesten verwachten en minder dan een consultancyofferte suggereert. Ongeveer 38 documenten en 123 bewijsstukken, waarvan het meeste bewijs automatisch verzameld zodra je tools verbonden zijn.
Moet ik het allemaal zelf schrijven?
Nee. Het platform stelt elk document op, gekoppeld aan de control die het onderbouwt. Jij beslist de inhoud en tekent. Het bewijs voor routine-controls wordt uit de tools gehaald die je al draait.
Wat is het moeilijkste?
Niet het schrijven. Weten wat er nog ontbreekt en het actueel houden naarmate de zaak verandert. Daar zijn de audit-readinessweergave en het geautomatiseerde bewijs voor.
Is audit-klaar hetzelfde als conform?
Nee. Audit-klaar betekent dat het bewijs aannemelijk standhoudt bij een CAB-auditor. De CAB voert de audit uit en reikt het certificaat uit.