Governance, Risk i Compliance: Domena 5 bez biurokratycznej mgły

Domena 5 stanowi 20% egzaminu SY0-701 i wywraca kandydatów, którzy traktują ją jako miękkie wypełnienie między domenami technicznymi. Nie ma tu numerów portów, trybów szyfrowania ani diagramów handshake. Znajdziesz za to polityki, które wygasają bez niczyjej wiedzy, właścicieli ryzyka podpisujących rzeczy, których nie do końca rozumieją, dostawców z raportami SOC 2 schowanymi w folderze zamówień i programy awareness mierzone tym, czy ktokolwiek kliknął symulowany link phishingowy w tym kwartale. Pytania scenariuszowe w Domenie 5 opisują organizacyjny bałagan i pytają, który dokument, rola lub treatment pasuje do sytuacji. Skrótem nie jest zapamiętywanie — to rozpoznawanie wzorców w biurokracji.

Hierarchia dokumentów

Organizacje wyrażają oczekiwania bezpieczeństwa przez warstwowy stos artefaktów. CompTIA chce, żebyś wiedział, co robi każdy artefakt i jak bardzo jest wiążący.

Klasyczną pułapką jest słowo „zalecany". Scenariusz opisujący zalecane — ale nie wymagane — ustawienia szyfrowania dla starszych systemów opisuje guideline, nie policy. Policy i standardy są obowiązkowe; guidelines pozostawiają miejsce na osąd profesjonalny. Drugą niezawodną pułapką jest rozróżnienie custodian vs. owner. Data owner klasyfikuje dane i akceptuje ryzyko. Data custodian — zazwyczaj operacje IT lub administrator bazy danych — implementuje kontrole w imieniu ownera, ale nie ma uprawnień do akceptacji ryzyka. Gdy menedżer marketingu chce wyeksportować listy emaili klientów i pytanie dotyczy tego, kto zatwierdza odejście od standardowego postępowania, odpowiedzią jest data owner — nie helpdesk i nie sam pracownik.

Separation of duties regularnie generuje pytania scenariuszowe. Zasada ta mówi, że żadna pojedyncza osoba nie powinna mieć wystarczającego dostępu zarówno do inicjowania, jak i kończenia wrażliwej transakcji bez zaangażowania drugiej strony. W systemach finansowych osoba tworząca fakturę dostawcy nie powinna być tą samą, która zatwierdza płatność. W IT programista piszący kod nie powinien być tym, który promuje go do produkcji. Gdy scenariusz opisuje jednego analityka aprowizującego konta, przypisującego uprawnienia i zatwierdzającego własne przeglądy dostępu, mamy do czynienia z naruszeniem separation of duties. Remediacją jest drugi zatwierdzający lub gate w workflow — nie silniejsza polityka haseł.

Ryzyko: od formuły do decyzji

Ryzyko istnieje tam, gdzie spotykają się zagrożenie, podatność i wpływ. CompTIA testuje dwa tryby analityczne: skale jakościowe — Niskie, Średnie, Wysokie — dla szybkiej priorytetyzacji, oraz formuły ilościowe, gdy w pytaniu pojawiają się liczby.

Najczęściej pojawiającą się formułą jest ALE = SLE × ARO. Single Loss Expectancy to koszt jednego incydentu, obliczany jako wartość zasobu pomnożona przez współczynnik ekspozycji. Annualized Rate of Occurrence to przewidywana częstotliwość zdarzenia w ciągu roku. Annualized Loss Expectancy to iloczyn: oczekiwany koszt rocznie z danego ryzyka.

Przykład: serwer bazodanowy wyceniony na 200 000 USD stoi w obliczu scenariusza ransomware z współczynnikiem ekspozycji 50% — skuteczny atak pochłonąłby mniej więcej połowę wartości zasobu w kosztach odtworzenia, utracie danych i przestoju. SLE wynosi 100 000 USD. Historycznie podobne organizacje doświadczają tego rodzaju zdarzenia raz na cztery lata, co daje ARO = 0,25. ALE wynosi 100 000 USD × 0,25, czyli 25 000 USD rocznie. Stack backupów i immutability eliminujący scenariusz kosztuje 18 000 USD rocznie i jest finansowo uzasadniony. Usługa managed detection poprawiająca szybkość reakcji, ale niezmniejszająca współczynnika ekspozycji, może kosztować 30 000 USD rocznie i nie przechodzi tego samego testu — chyba że czynniki regulacyjne lub reputacyjne zastępują czystą arytmetykę. Egzamin czasami podaje ALE i SLE i prosi o ARO. Przetransponuj: ARO = ALE ÷ SLE. Licz na kartce, nie zgaduj.

Gdy ryzyko jest skwantyfikowane, organizacje wybierają treatment. Mitigation stosuje kontrole, by zmniejszyć prawdopodobieństwo lub wpływ — EDR, patchowanie, wymuszone MFA. Transfer przenosi finansowe konsekwencje na stronę trzecią, najczęściej przez ubezpieczenie cybernetyczne; ubezpieczenie nie zmienia prawdopodobieństwa naruszenia, zmienia tylko to, kto płaci. Avoidance całkowicie eliminuje ryzykowną działalność — zaprzestanie przetwarzania kart kredytowych, wycofanie linii produktowej, wycofanie systemu legacy przed stworzeniem zobowiązania. Acceptance dokumentuje, że organizacja jest świadoma ryzyka i zdecydowała się z nim żyć, poparte podpisem właściciela i datą przeglądu. Klinika, która nie może sobie pozwolić na pełne wdrożenie SIEM i dokumentuje tę lukę z podpisem kierownictwa, praktykuje ważną akceptację ryzyka. Zwykłe ignorowanie ryzyka bez dokumentacji to nie akceptacja — to zaniedbanie z brakującym papierem.

Kontrole zmniejszają ryzyko, ale go nie eliminują. Residual risk to to, co pozostaje po zastosowaniu środków ograniczających, i kierownictwo musi je explicite zaakceptować. Pytanie mówiące „po wdrożeniu firewalla, jakie ryzyko pozostaje?" dotyczy residual risk, nie pierwotnego krajobrazu zagrożeń. Każdy zestaw kontroli pozostawia residual, a egzamin chce kandydatów rozumiejących, że bezpieczeństwo to ciągła negocjacja, a nie ćwiczenie z checklistą, które się kończy.

Strony trzecie, supply chain i SOC 2

Każdy dostawca, provider chmurowy i platforma SaaS mająca dostęp do Twoich danych rozszerza Twoją powierzchnię ataku poza granice, które kontrolujesz. Due diligence przed onboardingiem dostawcy obejmuje kwestionariusze bezpieczeństwa, przegląd umowy pod kątem terminów powiadamiania o naruszeniach i klauzul prawa do audytu, oraz Data Processing Agreement, gdy dane osobowe przekraczają granicę. Po podpisaniu umowy due diligence przeradza się w ciągłe monitorowanie — bo naruszenia dostawców przychodzą po tym, gdy wstępna ocena jest już za nami, a relacja wydaje się komfortowa.

SOC 2 to framework audytowy, z którym spotyka się większość dostawców SaaS, a egzamin rozróżnia dwa typy raportów, które kandydaci regularnie mylą. Raport Type I opisuje projekt kontroli dostawcy w jednym punkcie czasu. Mówi, że kontrole zostały dobrze zaprojektowane we wrześniu. Raport Type II obejmuje skuteczność operacyjną przez określony okres — zazwyczaj sześć do dwunastu miesięcy — i mówi, że te kontrole faktycznie działały na rzeczywistych transakcjach i zdarzeniach dostępowych przez cały okno obserwacyjne. Gdy procurement otrzyma Type I, mocnym follow-upem jest pytanie o termin Type II lub czy w ogóle istnieje. Sam Type I mówi „zaprojektowaliśmy dobre kontrole"; nie mówi „te kontrole działały bez przerw".

Rodzaje umów generują niezawodny typ pytania dopasowującego definicje. Memorandum of Understanding sygnalizuje intencję współpracy, ale nie ma mocy egzekucyjnej. Master Service Agreement definiuje ogólne warunki umowy. SLA określa metryki wydajności i kary za ich niespełnienie. NDA chroni poufne informacje udostępniane podczas zaangażowania. Data Processing Agreement jest wymagany przez regulacje dotyczące prywatności, gdy controller udostępnia dane osobowe procesorowi.

Prawa do prywatności i programy awareness

Regulacje dotyczące prywatności dodają warstwę obowiązków, którą wykorzystują pytania compliance. Zgodnie z GDPR osoby fizyczne mają prawo dostępu do danych, które organizacja na nich przechowuje, oraz prawo do usunięcia — czasem zwane prawem do bycia zapomnianym — w kwalifikujących się warunkach. Rozważ taki scenariusz: były klient wysyła email do Twojego supportu z żądaniem listy każdego fragmentu danych osobowych, które firma na nim przechowuje. To data subject access request, a GDPR wymaga odpowiedzi w ciągu jednego miesiąca kalendarzowego. Inny były klient żąda usunięcia swojego rekordu. To uruchamia prawo do usunięcia, które organizacja musi uhonorować, chyba że istnieje prawna podstawa do przechowywania — toczące się postępowanie sądowe, obowiązek prawny, hold compliance. Egzamin nie testuje numerów artykułów; testuje, czy rozpoznajesz realizowane prawo i właściwą reakcję organizacyjną.

Efektywne programy security awareness to nie coroczne ćwiczenia z checklistą. Najsilniejsze programy są dostosowane do roli — deweloperzy otrzymują treści dotyczące bezpiecznego kodowania, zespoły finansowe szkolenia ze scenariuszy BEC, kadra kierownicza symulacje ukierunkowanego podszywania się pod kadrę. Działają ciągle, a nie raz w roku, bo dwunastomiesięczna przerwa między przypomnieniami oznacza jedenaście miesięcy dryfu. I mierzą wyniki. Wskaźnik kliknięć w phishingowej symulacji śledzony kwartał do kwartału to najczęściej przywoływany KPI. Organizacja, która zanotowała 35% wskaźnik kliknięć w Q1 i 12% w Q3, ma dowód skuteczności programu. Właściwą reakcją na 35% wskaźnik kliknięć jest ukierunkowany coaching dla osób, które kliknęły, z follow-up symulacjami weryfikującymi poprawę — nie publiczne napiętnowanie, nie natychmiastowe zwolnienie. Egzamin konsekwentnie preferuje konstruktywne, mierzone odpowiedzi nad karnymi.

Oceny, audyty i linie między nimi

CompTIA wyznacza celowe rozróżnienia między typami ocen, które praktycy czasem rozmywają w rozmowie. Vulnerability assessment identyfikuje słabości w szerokości — narzędzia skanujące przeczesują środowisko i produkują listę znalezisk uszeregowanych według powagi. Penetration test waliduje eksploatowalność w głębokości przez symulowany atak w określonych ramach zaangażowania. Uruchomienie komercyjnego skanera przeciwko wszystkim serwerom to vulnerability assessment niezależnie od tego, co zawiera nazwa narzędzia. Test zatrzymujący się na skanowaniu bez próby łączenia znalezisk w działające exploity to również vulnerability assessment, niezależnie od nagłówka raportu.

Audyty wewnętrzne oceniają kontrole względem własnych polityk i standardów organizacji. Audyty zewnętrzne przynoszą niezależną weryfikację względem uznanego frameworku — ISO 27001, SOC 2, PCI DSS. Znalezisko PCI DSS, że sieci bezprzewodowe używają WPA2-PSK zamiast WPA2-Enterprise, to znalezisko audytu compliance; remediation wymaga udokumentowanego planu działań naprawczych z nazwanym właścicielem, terminami i dowodem retestu. Pytania compliance często kończą się „co powinna zrobić organizacja w następnej kolejności?" Odpowiedź to prawie zawsze: udokumentuj, przypisz własność, napraw znalezisko i zbierz dowody do retestu.

Tabletop exercise przeprowadza scenariusz incydentu w rozmowie — żadne systemy nie są dotykane, nie uruchamia się prawdziwego containment. Jego wartość leży w znajdowaniu luk procesowych i awarii komunikacyjnych przed zdarzeniem rzeczywistym, który uczyni ich odkrycie kosztownym. Pytanie egzaminacyjne opisujące dyrektorów i członków zespołu IR omawiających scenariusz ransomware w sali konferencyjnej opisuje tabletop, nie penetration test i nie drill.

Podsumowanie pułapek egzaminacyjnych

Rama końcowa

Domena 5 to nie miękka domena. Źle sformułowane polityki, nieudokumentowane decyzje o ryzyku i nieprzetestowane relacje z dostawcami regularnie pojawiają się w post-mortemach naruszeń jako przyczyny źródłowe. Governance utrzymuje kontrole połączone z intencją kierownictwa. Risk management wymusza skwantyfikowane decyzje zamiast emocjonalnych. Compliance utrzymuje organizację w uczciwości względem zewnętrznych standardów i regulatorów. Przestudiuj starannie hierarchię dokumentów, cztery treatmenty ryzyka, formułę ALE z jej transpozycjami i rozróżnienia typów audytów — a pytania scenariuszowe zaczną brzmieć mniej jak biurokracja, a bardziej jak framework decyzyjny, który już umiesz nawigować.

Uzupełniające lektury: wpis o IAM, monitorowaniu i hardeningu w zakresie kontroli operacyjnych, które dokumenty governance ostatecznie wymagają, oraz wpis o incident response w zakresie tego, co się dzieje, gdy udokumentowana akceptacja ryzyka okazuje się zbyt optymistyczna.