Miksi toimittajien muutokset haittaavat verkkopelejä

Miksi toimittajien muutokset rikkovat nettipelejä (Live-Ops-johtaja / Tekninen johtaja – TOFU)

Toimittajavaihdokset usein katkaisevat verkkopelien toiminnan, koska pienetkin ylävirran muutokset nousevat esiin suurina pelin sisäisinä ongelmina, vaikka omat järjestelmäsi näyttäisivät terveiltä. Pelaajat näkevät jumiutumisia, viiveitä ja epäonnistuneita ostoksia, mutta kojelaudat raportoivat silti normaalista toiminnasta, joten kannat syyllisyyttä näkemättä todellista syytä riittävän ajoissa toimiaksesi.

Muutos, jota et näe, on muutos, jota et voi hallita – ja pelaajat pitävät sinua silti vastuullisena.

Hiljaiset muutokset pilvessä, CDN:ssä ja muilla toimittajilla voivat nousta esiin erittäin äänekkäinä ongelmina pelaajillesi. Pieni reitityksen säätö, alueen siirto tai SDK-päivitys ylävirtaan voi näkyä pelissä jumiutumisena, katkonaisuuden, epäonnistuneiden ostosten tai kirjautumissilmukoiden muodossa. Sisäiset kojelaudat voivat silti näyttää "vihreää" ydinpalveluille, joten pelaajan näkökulmasta ongelma on yksinkertainen: pelisi ei toimi.

Nykyaikaisessa pelipinossa yksittäinen ottelu voi olla riippuvainen pilvi-instansseista, hallituista tietokannoista, välimuisteista, CDN:stä, huijauksenestosta, identiteetistä, äänestä, analytiikasta, mainoksista ja maksuista. Useimmat näistä tasoista voivat muuttua itsenäisesti. Hieman aggressiivisempi nopeusrajoitus reunalla, väärin sovellettu palomuurisääntö tai uusi TLS-käytäntö voivat riittää nostamaan viiveen hyväksyttävän alueen yli yhdellä alueella, kun taas kaikki näyttää hyvältä muualla.

Haittaa ei ole vain itse tapaus, vaan myös sen ymmärtämiseen kuluva aika. Jos tapauskanavasi täyttyy "meidän puolellamme ei ole tapahtunut mitään" -viesteistä, mutta toimijoilla on selvästi ongelmia, toimittajanvaihdossignaalit jäävät lähes varmasti huomaamatta. Monet tiimit ovat edelleen riippuvaisia statussivujen, markkinointisähköpostien tai chat-ryhmien manuaalisista tarkistuksista selvittääkseen, mitä todella tapahtui, mikä on hidasta ja vaikeaa todentaa ISO 27001 -auditoinnissa.

Live-otteluissa vaikutus on välitön. Samanaikaisuus laskee, tukipyyntöjen määrä kasvaa, sosiaalisen median kanavat täyttyvät valituksista ja tiimit ohjautuvat suunnitellusta työstä muiden tekemien muutosten selvittämiseen. Kilpailu- tai esports-peleissä pienetkin viiveen tai pakettien menetyksen kasvut johtavat suoraan koettuun epäreiluuteen, syytöksiin "manipuloiduista" peleistä ja paineeseen yhteisötiimejä kohtaan.

Tiimit käsittelevät näitä tapauksia usein yksittäisinä tapauksina. Insinöörit korjaavat oireen – säätävät aikakatkaisua tai lisäävät uudelleenyrityksen – ja jatkavat eteenpäin kysymättä systemaattista kysymystä: mitkä kriittiset toimittajat vaihtuivat vähän ennen tätä ongelmaa, tiesittekö etukäteen ja miten estätte samanlaisen yllätyksen ensi kerralla? Ilman tätä näkökulmaa sama kaava toistuu hieman eri yksityiskohdilla.

ISO 27001 -standardin liitteen A vaatimus 5.22 on olemassa juuri tällaista ympäristöä varten. Siinä sanotaan, ettei voida vain luottaa siihen, että toimittajat toimivat aina samalla tavalla, vaan heidän palveluidensa muutoksia tulee aktiivisesti seurata, tarkastella säännöllisesti ja hallita, jotta tietoturva ja palvelutaso pysyvät odotetulla tasolla. Verkkopelien kohdalla "palvelutaso" ei ole abstrakti asia – se tarkoittaa sitä, voivatko pelaajat olla yhteydessä toisiinsa, kilpailla ja maksaa kitkattomasti.

Tässä kohtaa tietoturvallisuuden hallintajärjestelmällä (ISMS) on merkitystä. ISMS-alusta, kuten ISMS.online, ei korvaa havainnointipinoa tai pilvikonsoleita. Sen sijaan se auttaa sinua tallentamaan, jäsentämään ja hallitsemaan näiden tapahtumien taustalla olevaa sotkuista kerrosta: keistä toimittajista olet riippuvainen, mitä odotat heiltä, mitä muutoksia on tapahtunut, mitä riskejä olet hyväksynyt ja mitä olet oppinut. Tästä tulee silta live-ops-todellisuuden ja ISO 27001 A.5.22 -standardin odotusten välillä.

Kuinka pienistä toimittajan muutoksista tulee suuria ongelmia

Pienet toimittajien muutokset aiheuttavat vakavia ongelmia, kun ne työntävät jo ennestään tiukkoja integraatioita niiden rajojen yli tietyillä alueilla, tiloissa tai kohorteissa. Reitityksen muutos, tiukempi suojausasetus tai suurempi SDK-hyötykuorma voivat nostaa viivettä, virhemääriä tai pakettien kokoja juuri ja juuri pelilogiikan sietokyvyn yläpuolelle, jolloin pelaaminen tuntuu yhtäkkiä huonommalta, vaikka kukaan ei olisi muuttanut omaa koodiasi.

Hyvä tapa aloittaa on käydä läpi äskettäinen käyttökatkos tai "jännitteen lasku" ja listata kaikki ulkoiset riippuvuudet, joilla oli merkitystä. Ehkä CDN siirsi lähtöpalvelimesi uuteen sijaintipaikkaan, pilvialusta pakotti käyttöön tiukemmat oletusarvoiset salakirjoituspaketit tai huijauksenestomoduuli alkoi lähettää suurempia hyötykuormia. Mikä tahansa näistä voi viedä hauraan integraation reunan yli, erityisesti alueilla tai pelitiloissa, jotka olivat jo lähellä suorituskykyrajojaan.

Useimmat tiimit huomaavat nämä vasta jälkikäteen. Lokit näyttävät lisääntyneitä aikakatkaisuja tai virhekoodeja, mutta toimittajanvaihdosilmoituksen huomaaminen jonkun postilaatikossa tai tilannesivulla kestää tunteja. Tämä viive lisää seisokkiaikaa ja vaikeuttaa tapahtumien selittämistä johdolle, kumppaneille tai tilintarkastajille tavalla, joka yhdistää syyn ja seurauksen selvästi.

Perusperiaate on sama kaikissa peleissä ja studioissa. Omat koodin tarkistus- ja käyttöönottoprosessit voivat olla erinomaisia, mutta peli silti epäonnistuu, koska et seuraa toimittajien muutoksia samalla kurinalaisella menetelmällä. Tämän kaavan tunnistaminen on ensimmäinen askel kohti A.5.22:n käyttöä parannusten vipuvartena arvailuihin luottamisen sijaan.

Pelaajien luottamuksen ja tulojen piilokulut

Toimittajanvaihdokset vahingoittavat muutakin kuin vain käyttöaikaa; ne hiljaa syövät pelaajien luottamusta, tuloja ja mainettasi kumppaneiden silmissä. Joka kerta, kun ulkoiset muutokset häiritsevät tapahtumaa, turnausta tai kausittaista laskua, menetät vauhtia, lisäät tukipalvelun kuormitusta ja vaikeutat pelaajien vakuuttamista siitä, että seuraava kerta on erilainen.

Vaikka insinöörit keskittyvät teknisiin oireisiin, liiketoiminta- ja yhteisötiimit kokevat toimittajanvaihdoksen aiheuttamat ongelmat häiriöinä ydinmittareissa. Suunnittelemattomat seisokit tapahtumien, turnausten tai kausittaisten virheiden katoamisen aikana voivat mitätöidä kuukausien markkinointiponnistelut. Maksu- tai identiteettiongelmilla on erityisen pitkä häntä, sillä asianomaiset pelaajat saattavat epäillä tulevia maksutapahtumia jopa korjausten jälkeen.

Nämä vaikutukset kasaantuvat, jos ne toistuvat. Pelaajat kehittävät ajatusmallin pelistäsi epävakaana tai viiveisenä tietyillä alueilla, riippumatta taustalla olevasta syystä. Tämä ei ole ainoastaan luotettavuusongelma, vaan myös turvallisuus- ja oikeudenmukaisuusongelma: jos alustasi häiriintyy säännöllisesti kolmansien osapuolten tekemien muutosten vuoksi, on vaikeampi väittää, että sinulla on vakaa ja hyvin hallittu ympäristö.

Tällaiset vaikutukset tekevät toimittajariskistä hallituksen tasolla ja sääntelyviranomaisille näkyvän ongelman, ei pelkästään teknisen ongelman. Control A.5.22 tarjoaa jäsennellyn tavan yhdistää yksittäisten tapausten pisteet toimittajien järjestelmälliseen seurantaan ja muutoshallintaan, jotta voit osoittaa, että olet oppinut aiemmista ongelmista sen sijaan, että toistaisit niitä.

Varaa demo

Käyttöaikaongelmasta toimitusketjun tietoturvaongelmaksi (Turvallisuus- ja vaatimustenmukaisuuspäällikkö / Laki- ja riskienhallintapäällikkö – TOFU)

Toimittajien aiheuttamat häiriöt eivät ole pelkästään käyttöaikaongelmia, vaan ne paljastavat heikkouksia laajemmassa toimitusketjun turvallisuudessa. ISO 27001:2022 -standardi ryhmittelee toimittajien suhteisiin ja toimitusketjun riskeihin liittyvät valvontatoimet, koska monet nykyaikaiset tietomurrot ja käyttökatkokset ovat peräisin suoran ympäristösi ulkopuolelta, ja A.5.22 auttaa sinua käsittelemään näitä ulkoisia palveluita osana turvajärjestelmääsi.

Kun laajentaa näkökulmaansa palvelimista toimitusketjuun, vanhat mysteerikatkokset saavat yhtäkkiä järkeä.

Tietoturvaa aiemmin rajattiin pääasiassa omien rajapintojen ja infrastruktuurin kautta. Pilvinatiivisessa pelialustassa rajapinta on jo lähtökohtaisesti huokoinen. Olet riippuvainen ulkoisista verkoista, alustoista ja palveluista ydinpelaamisen, tietojenkäsittelyn, identiteetin ja maksujen osalta, joten riskipintasi on käytännössä koko toimittajaekosysteemisi riskipinta.

A.5.22 pyytää lopettamaan kyseisen ekosysteemin kohtelemisen staattisena taustana. Sen sijaan se edellyttää jatkuvaa, riskiperusteista valvontaa. Tämä menee sertifikaattien ja raporttien keräämistä pidemmälle perehdytysvaiheessa. Siihen sisältyy toimittajien suorituskyvyn ymmärtäminen ajan kuluessa, tietoturva- ja tietosuojavelvoitteiden hoitaminen ja palveluidensa muuttaminen.

Pelaamisessa tämä on erityisen tärkeää. Ajatellaanpa tilannetta, jossa CDN ohjaa liikennettä uuden lainkäyttöalueen läpi, pilvipalveluntarjoaja avaa tai sulkee alueita, chat-palvelu lisää uusia datakeskuksia tai maksuyhdyskäytävä käyttää uusia välittäjiä. Jokaisella näistä muutoksista voi olla vaikutuksia datan säilytyslupauksiin, ikärajoituksiin tai toimialakohtaisiin sääntöihin, kuten uhkapelisäännöksiin.

Jos nämä muutokset näkyvät vain silloin, kun sääntelyviranomainen esittää kysymyksiä tai kumppani suorittaa due diligence -tarkastuksen, olet jo ohittanut A.5.22:n tarkoituksen. Kontrolli kannustaa sinua rakentamaan yhteisen näkemyksen turvallisuuden, lakiosaston, operatiivisen toiminnan ja hankinnan välille siitä, mitkä toimittajat ovat kriittisiä, mistä on sovittu, mitä seurataan ja miten muutoksia käsitellään.

Samaan aikaan kontrolli ei pyydä sinua kohtelemaan kaikkia toimittajia samalla tavalla. Se on nimenomaisesti riskiperusteinen. Alueellinen markkinointityökalu, joka voidaan kytkeä pois päältä, ei ole sama asia kuin identiteetintarjoaja, joka hallitsee pääsyä, tai maksujen käsittelijä, joka käsittelee rahavirtoja. Näiden tasojen tunnistaminen ja seuranta- ja tarkistustyön osoittaminen vastaavasti on osa A.5.22:n käsittelyä toimitusketjun kontrollina pikemminkin kuin yleisenä käyttöaikatarkastuksena.

Käyttöaika on välttämätöntä, mutta ei riittävää

Pelkkä toimittajien käyttöaikaan keskittyminen ei riitä, koska palvelut voivat pysyä toiminnassa samalla, kun tehdään muutoksia, jotka vaikuttavat tietoturvaan, oikeudenmukaisuuteen tai vaatimustenmukaisuuteen tavoilla, jotka ovat toimijoillesi ja sääntelyviranomaisille tärkeitä. Sinun on ymmärrettävä, mitä käytettävyyslukujen alla tapahtuu ja vastaavatko nämä muutokset edelleen velvoitteitasi ja riskinottohalukkuuttasi.

Monet pelialan organisaatiot seuraavat jo toimittajiensa käyttöaikaa, vasteaikaa ja tapausten määrää. Nämä ovat välttämättömiä mittareita, mutta ne eivät kerro koko totuutta. Toimittaja voi saavuttaa käyttöaikatavoitteen muuttaen samalla hiljaa sitä, missä tietoja käsitellään, kenellä on pääsy tietoihin tai miten niitä suojataan. Tietoturvan ja vaatimustenmukaisuuden näkökulmasta näillä muutoksilla voi olla suurempi merkitys kuin lyhyellä käyttökatkoksella.

Samoin keskittyminen pelkästään käyttöaikaan voi johtaa sokeisiin pisteisiin oikeudenmukaisuuden ja väärinkäytösten suhteen. Esimerkiksi muutos matchmaking-infrastruktuurissa saattaa pitää palvelut saatavilla, mutta muuttaa pelaajien ryhmittelytapaa, mikä vaikuttaa kilpailun eheyteen. Huijauksenestopäivitys saattaa vähentää vääriä positiivisia määriä, mutta myös heikentää havaitsemiskattavuutta tietyissä tiloissa. Pelkät saatavuusmittarit eivät paljasta näitä muutoksia tai niiden vaikutusta riskiprofiiliisi, joten tarvitset laajemman näkökulman.

Kolmansien osapuolten pelikohtaiset uhat

Kolmannen osapuolen palvelut tuovat mukanaan uhkia, jotka näyttävät erilaisilta pelialalla kuin muissa verkkopalveluissa, erityisesti oikeudenmukaisuuden, petosten ja yhteisön turvallisuuden osalta. Toimittajien muutokset voivat hiljaisesti muuttaa tapaa, jolla havaitset huijareita, suojaat tilejä, käsittelet maksuja tai moderoit sisältöä, vaikka käyttöaika näyttäisi täydelliseltä.

Pelialustojen toimitusketjuissa on joitakin selkeitä uhkia:

Huijaus- ja bottihyökkäysriski, kun huijauksenesto- tai telemetriaintegraatiot muuttuvat.
Tilin kaappaaminen ja identiteettipetokset, kun todennus- tai palautusprosessit ovat riippuvaisia ulkoisista palveluista.
DDoS-altistuminen, kun lieventämispalvelut tai verkkoreitit muuttuvat odottamatta.
Petos- ja takaisinperintäriski, kun palveluntarjoajat säätävät maksuvirtoja tai riskipisteytystä.
Sääntelyyn liittyvä altistuminen, kun chat-, sisällön- tai analytiikkapalveluntarjoajat muuttavat pelaajatietojen käsittelytapaa.

A.5.22 tarjoaa kehyksen näiden käsittelemiseksi osana yhtenäistä riskikuvaa. Tämä tarkoittaa, että on otettava huomioon paitsi se, onko toimittaja "toiminnassa", myös se, täyttääkö sen kehittyvä toiminta edelleen turvallisuus-, yksityisyys- ja oikeudenmukaisuusodotukset kullakin pelillä ja alueella. Tapahtumien rajaaminen tällä tavalla auttaa laki-, riski- ja turvallisuustiimejä yhdenmukaistamaan näkemyksensä siitä, millä toimittajamuutoksilla on eniten merkitystä.

ISMS.online antaa sinulle 81 %:n etumatkan heti sisäänkirjautumisestasi lähtien.

ISO 27001 helposti

Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.

Aloita

Mitä ISO 27001 A.5.22 todella pyytää sinua tekemään (Vaatimustenmukaisuuden Kickstarterit / Tietoturva- ja vaatimustenmukaisuusjohtaja – TOFU)

ISO 27001:2022 -standardin liitteen A valvonnan kohta 5.22 edellyttää, että tiedät, mitkä toimittajat ovat todella tärkeitä, seuraat niitä suunnitelmallisesti ja hallitset, miten muutokset heidän palveluissaan vaikuttavat tietoturvaasi ja palvelutasoosi. Sinun odotetaan siirtyvän kertaluonteisesta huolellisuusvelvollisuudesta jatkuvaan, riskiperusteiseen valvontaan, jonka voit selittää ja todistaa tilintarkastajille.

Ytimessään standardin ISO 27001:2022 liitteen A mukainen kontrolli 5.22 voidaan ilmaista kolmella selkeällä velvoitteella. Ensinnäkin tunnistat, mitkä toimittajien palvelut ovat niin tärkeitä, että niiden epäonnistuminen tai muuttuminen vaikuttaisi olennaisesti tietoturvallisuuteen tai palvelutasoon. Toiseksi seuraat ja tarkastelet näitä palveluita ja niiden tarjoajia säännöllisesti sovittujen asioiden pohjalta. Kolmanneksi hallitset merkittäviä muutoksia näissä palveluissa hallitusti, jotta uudet riskit ymmärretään ja hyväksytään ennen kuin ne vaikuttavat sinuun.

Viralliset tekstit ja ohjeasiakirjat tarkentavat tätä, mutta ydin on yksinkertainen. Pidät ajan tasalla olevaa kuvaa kriittisistä toimittajista ja siitä, mitä he tekevät puolestasi, suunnittelet, miten valvot suorituskykyä, tietoturvatilannetta ja vaatimustenmukaisuutta, tarkistat, täyttävätkö toimittajat edelleen tarpeesi ja riskinottohalukkuutesi, ja arvioit, hyväksyt ja kirjaat merkittävät muutokset ennen niiden tapahtumista tai niiden tapahtuessa.

Pelialustan osalta "kriittisiin toimittajiin" kuuluvat lähes varmasti julkisen pilven tarjoajat, jotka ylläpitävät pelipalvelimia ja taustapalveluita, ensisijaiset CDN-palveluntarjoajat, keskeiset identiteetin ja käyttöoikeuksien tarjoajat, huijauksen ja petosten estokumppanit sekä maksuyhdyskäytävät. Arkkitehtuuristasi riippuen myös chat-, ääni-, analytiikka-, matchmaking- ja asiakastukialustat voivat kuulua soveltamisalaan, koska ne vaikuttavat turvallisuuteen, oikeudenmukaisuuteen tai sääntelyyn liittyvään altistumiseen.

A.5.22 ei korvaa muita toimittajan kontrolleja. Se toimii rinnakkain toimittajien valinnan ja perehdytyksen, toimittajasopimusten tietoturvan ja pilvipalveluiden käytön kontrolleiden kanssa. Yksi yleinen virhe on pitää due diligence -tarkastusta riittävänä suhteen alussa ja luottaa sitten sopimuksiin ja luottamukseen. ISO 27001 -standardin vuoden 2022 tarkistuksessa korostetaan, että jatkuva seuranta ja muutoshallinta ovat osa kontrollikokonaisuutta eivätkä valinnaisia lisätoimintoja.

Todisteiden näkökulmasta A.5.22 tarkoittaa kykyä osoittaa, ei vain sanoa, että teet näitä asioita. Tämä tarkoittaa yleensä toimittajarekisteriä, joka sisältää riski- ja kriittisyysluokitukset, valvontamenettelyt, arviointien tiedot, muutoslokit ja linkit tapauksiin, joissa toimittajan suorituskyvyllä tai toiminnalla oli merkitystä. Tietoturvan hallintajärjestelmäalusta, kuten ISMS.online, voi auttaa kokoamaan kaiken tämän yhteen paikkaan, jotta se ei ole hajallaan sähköposteissa, laskentataulukoissa ja yksittäisissä postilaatikoissa.

Tekstin muuttaminen toimintaperiaatteiksi

Teet A.5.22:n toimivaksi muuttamalla sen sanamuodon muutamaksi toimintaperiaatteeksi, jotka tiimit voivat muistaa ja noudattaa. Näiden periaatteiden tulisi muuttaa riskiperusteinen toimittajien valvonta luonnolliseksi osaksi päivittäistä työtä erillisen vaatimustenmukaisuusharjoituksen sijaan.

A.5.22:n soveltamiseksi pelikontekstissa on hyödyllistä määritellä pieni joukko periaatteita, joita voit soveltaa johdonmukaisesti:

Ei kriittistä toimittajaa ilman omistajaa.
Ei valvontaa ilman selkeää tarkoitusta.
Ei merkittävää toimittajan vaihtoa ilman arviointia.
Ei tarkistusta ilman kirjattua tulosta.
Ei merkittäviä toimittajaonnettomuuksia ilman jäljitettäviä todisteita.

Nämä periaatteet voidaan sitten koodata menettelytapoihin, työnkulkuihin ja koontinäyttöihin. Tällä tavoin A.5.22:n noudattamisesta tulee järkevän operatiivisen kurin sivutuote eikä erillinen paperityö, joka ilmenee vain ennen auditointeja. Kun tiimit näkevät, että nämä periaatteet myös vähentävät tapausten aiheuttamaa kaaosta ja parantavat selityksiä kumppaneille, he todennäköisemmin omaksuvat ne.

Miltä hyvä evidenssi näyttää auditointeja varten

Hyvän A.5.22-todentavan aineiston avulla tilintarkastaja voi nähdä, ketkä ovat kriittiset toimittajasi, miten heitä valvotaan ja mitä tehdään, kun jokin muuttuu tai menee pieleen. Tavoitteena ei ole tuottaa lisää paperityötä, vaan tehdä todellisesta työstä näkyvää, jäljitettävää ja toistettavaa.

Käytännössä vahvaan näyttöön kuuluu usein:

Elävä toimittajarekisteri omistajineen, riskiluokituksineen ja yhteystietoineen.
Kunkin riskitason seurantasuunnitelmat ja kynnysarvot.
Säännöllisten arviointien tiedot päätöksineen ja jatkotoimineen.
Muutostietueet, jotka osoittavat, miten arvioit ja hyväksyit toimittajan aloittamat muutokset.
Tapahtumatietueet, joissa nimenomaisesti mainitaan mukana olleet toimittajat.

ISMS.online-työtila tarjoaa jäsennellyn toimittajarekisterin, tapauksiin linkitetyt muutostietueet sekä paikan arviointien ja päätösten tallentamiseen. Tämä muuttaa hajanaisen tiedon yhtenäiseksi kokonaisuudeksi, jota voit tarkastella sisäisille sidosryhmille ja tilintarkastajille aina, kun sinun on osoitettava, miten täytät A.5.22-vaatimukset. Se myös vähentää auditointeja edeltävää vaivaa, koska todisteet on kerätty osana normaalia työtä, eikä niitä ole tuotettu viime hetkellä.

A.5.22:n soveltaminen pilvi-, CDN- ja pelikohtaisiin toimittajiin (Live-Ops-johtaja / Tekninen johtaja – MOFU)

Jotta A.5.22-kohtaa voidaan soveltaa tehokkaasti, tarvitaan selkeä kuva siitä, mitkä pilvi-, CDN- ja erikoispelien toimittajat ovat tärkeimpiä, miten odotat heidän toimivan ja minkälaisten muutosten tulisi käynnistää perusteellisempi tarkastelu. Riskiporrastettu toimittajakartta muuttaa epämääräisen toimittajien luettelon kohdennetuksi prioriteettijoukoksi seurantaa ja muutostenhallintaa varten.

Kun ymmärrät, mitä A.5.22 edellyttää, seuraava vaihe on soveltaa sitä omaan toimittajakenttääsi. Lähtökohtana on selkeä kartta siitä, keitä toimittajat ovat, mitä he toimittavat ja kuinka paljon riskejä he tuovat mukanaan. Ilman sitä et voi mielekkäästi priorisoida valvontaa tai muutoshallintaa, ja lähestymistapasi selittäminen tilintarkastajille tai kumppaneille on vaikeuksia.

Käytännöllinen lähestymistapa on rakentaa riskiporrastettu toimittajakartta. Ylimmäiseksi sijoitat "alustan hapen" – palvelut, joiden vikaantuminen tai vaarantuminen estäisi pelaajia välittömästi muodostamasta yhteyttä, pelaamasta tai maksamasta. Tämä sisältää yleensä ensisijaiset pilvialustat, keskeiset CDN-palveluntarjoajat, kriittiset identiteetti- ja käyttöoikeusjärjestelmät sekä ensisijaiset maksuyhdyskäytävät. Seuraava taso sisältää toimittajat, jotka voivat vakavasti heikentää käyttökokemusta tai aiheuttaa sääntelyyn liittyviä ongelmia, kuten huijauksenesto-, chat-, ääni-, analytiikka- ja tukityökalut. Alemmat tasot voivat sisältää työkaluja ja palveluita, jotka ovat tärkeitä, mutta helpommin korvattavia.

Tämän porrastuksen avulla voit päättää, mihin investoida syvällisesti. Ykköstason toimittajat saattavat vaatia reaaliaikaista seurantaa, neljännesvuosittaisia virallisia arviointeja ja tiukkoja muutosilmoituslausekkeita. Alemman tason toimittajia voidaan seurata kevyemmin. A.5.22 tukee tätä riskiperusteista lähestymistapaa; se ei vaadi sinua kohtelemaan jokaista toimittajaa kriittisenä, vaan ainoastaan osoittamaan, että lähestymistapasi vastaa kunkin toimittajan vaikutustasoa.

Jokaiselle toimittajaluokalle määrittelet sitten, miltä "hyvä" näyttää omassa kontekstissasi. Pilvi- ja CDN-palveluissa tämä voi sisältää alueelliset viivealueet, virhebudjetit, kapasiteettimarginaalit, vikasietoisuusmallit ja tapausten käsittelyn. Huijauksen estämisessä se voi sisältää havaitsemiskattavuuden, tarkistusprosessit, päivitysten läpinäkyvyyden ja väärien positiivisten käsittelyn. Maksujen osalta voit keskittyä valtuutusasteisiin, takaisinperintöihin, riitautusaikoihin sekä tietosuoja- ja taloussäännösten noudattamiseen.

Tämä harjoitus muuttaa keskustelun "meillä on sopimus ja tilannekatsaus" -kohdasta "tiedämme mitä odotamme, miten noudatamme sitä ja mitä teemme, jos se poikkeaa odotuksista". Juuri tämä on kohdan A.5.22 tarkoitus ja auttaa sinua selittämään kollegoillesi, miksi jotkut toimittajat saavat paljon perusteellisempaa valvontaa kuin toiset.

Visuaalinen: Toimittajien porrastuksen kaavio, joka näyttää tason 1, tason 2 ja alempien tasojen palvelut suhteessa vaikuttavuuteen ja tarkastelun syvyyteen.

Riskiporrastetun toimittajakartan rakentaminen

Yksinkertainen tasomalli auttaa sinua selittämään kollegoille ja tilintarkastajille, miksi jotkut toimittajat saavat paljon perusteellisempaa valvontaa kuin toiset. Se myös estää sinua tuhlaamasta energiaa raskaiden prosessien soveltamiseen matalan riskin työkaluihin, jotka on helppo korvata, koska työsi kohdistuu toimittajiin, jotka voivat todella heikentää pelaajakokemusta tai turvallisuutta.

Lyhyt vertailutaulukko voi selventää tätä tasoitusta.

eläin	Vaikutus pelaajiin	Seurannan syvyys	Arvostelun poljinnopeus
Taso 1	Välitön pelikielto tai maksukielto	Reaaliaikaiset mittarit ja hälytykset	Neljännesvuosittain tai paremmin
Taso 2	Vakava heikkeneminen tai ongelmat	Kohdennetut mittarit ja tarkastukset	Kaksi kertaa vuodessa
Alempi taso	Ärsyttävää, mutta korvattavissa	Kevyet tarkastukset ja kohdennetut tarkastelut	Vuotuinen

Voit mukauttaa näitä nimikkeitä ja aikavälejä organisaatiosi tarpeisiin, mutta erojen pitäminen selkeinä auttaa sinua perustelemaan ajankäyttösi. Se myös helpottaa sisäisten sidosryhmien selittämistä, miksi ykköstason toimittaja käy läpi enemmän tarkastuksia ja tiukempia muutoshallintoja kuin vähemmän vaikuttava työkalu.

Toimittajanvaihdon merkityksen tunnistaminen

Toimittajanvaihdoksella on todella merkitystä silloin, kun se muuttaa datan virtauspaikkaa tai -tapaa, vaikuttaa tietoturvavalvontaan tai muuttaa ydinpeliä ja maksukäyttäytymistä tavoilla, jotka pelaajille tai sääntelyviranomaisille olisivat tärkeitä. Voit tehdä A.5.22:sta käytännöllisen määrittelemällä jokaiselle kriittiselle toimittajalle lyhyen joukon muutosten "laukaisimia", jotka ansaitsevat aina arvioinnin sen sijaan, että yrittäisit käsitellä jokaista pientä muutosta muodollisena muutoksena.

Kaikki toimittajan muutokset eivät edellytä samaa vastausta. Osa A.5.22:n soveltamista on sen päättäminen, minkä tyyppisten muutosten on käynnistettävä tarkistus, testaus tai hyväksyntä. Esimerkkejä pelialustoista ovat:

Alueiden avaaminen tai sulkeminen tai tietojen siirtäminen alueiden välillä.
Reitityskäytäntöjen, vertaisliikenteen tai anycast-käyttäytymisen muuttaminen.
Todennusprosessien tai keskeisten käyttäjätietokenttien muuttaminen.
Huijauksenesto- tai telemetria-SDK:iden päivittäminen uusilla ominaisuuksilla.
Pelaajatietoja käyttävien alikuormittajien lisääminen tai muuttaminen.
Maksuriskimallien, tokenisaation tai selvitysreittien mukauttaminen.

Voit ylläpitää jokaiselle toimittajalle yksinkertaista joukkoa "muutosten laukaisimia", jotka vaativat huomiota. Kun laukaisin aktivoituu – ilmoituksen, tilapäivityksen tai oman valvonnan kautta – muutos voidaan tallentaa tietueeksi, sen vaikutus voidaan arvioida ja mahdollisuuksien mukaan testata vaiheittain ennen täydellistä käyttöönottoa.

Tässä kohtaa sopimuksilla ja jaetun vastuun malleilla on myös merkitystä. Jos järjestelyissäsi ei vaadita tällaisten muutosten ajoissa ilmoittamista, joudut aina perääntymään. Sopimusodotusten yhdenmukaistaminen operatiivisen todellisuuden kanssa on keskeinen osa A.5.22:n käytännön toimivuutta, ja ISMS.online voi auttaa sinua seuraamaan, mitkä toimittajat täyttävät nämä odotukset ja missä nykyisissä sopimuksissasi on aukkoja linkittämällä sopimukset, omistajat ja muutostietueet yhteen paikkaan.

Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.

Varaa esittelysi

Seurantakehys: Reaaliaikaisten pelien KPI-mittarit ja kojelaudat (Live-Ops-johtaja / Tietoturva- ja vaatimustenmukaisuusjohtaja – MOFU)

Reaaliaikaisten pelien A.5.22-valvonnan tulisi antaa live-operaattoritiimeille varhaisen varoituksen toimittajien ongelmista ja samalla antaa auditoijille selkeät todisteet siitä, että seuraat, ymmärrät ja reagoit toimittajien suorituskykyyn. Yksinkertainen mittareiden, koontinäyttöjen ja toimintojen ympärille rakennettu viitekehys antaa sinun palvella molempia yleisöjä ilman erillisten järjestelmien rakentamista.

Reaaliaikaisissa peleissä A.5.22:n mukaisen valvonnan on oltava enemmän kuin vuosittaisia kyselylomakkeita ja satunnaisia kokouksia. Sen on tuotettava merkityksellisiä ja oikea-aikaisia signaaleja, jotka auttavat suojaamaan pelaajakokemusta ja turvallisuutta. Samalla sen on tuotettava näyttöä, jota voit esittää tilintarkastajalle, joka haluaa tietää, miten valvot toimittajia ja miten käsittelet heidän muutoksiaan.

Yksinkertainen tapa suunnitella seurantakehys on ajatella kolmessa kerroksessa:

Mittarit: – kultakin kriittiseltä toimittajalta keräämäsi raaka-indikaattorit.
Luettu: – koontinäyttöjä ja raportteja, jotka yhdistävät mittarit luettavaan muotoon.
Toiminnot: – miten reagoit, kun indikaattorit ylittävät kynnysarvot tai muuttavat trendiä.

Mittarit ovat raaka-aineindikaattoreita, joita keräät kultakin kriittiseltä toimittajalta. Pilvi- ja CDN-palveluiden osalta näitä voivat olla viive, jitter, pakettien katoaminen, virheprosentit, aluetason käyttöaika, DDoS-tapahtumat ja kapasiteetin käyttöaste. Huijauksen estämiseksi voit seurata havaitun huijauksen määrää, kieltojen kiertämisen malleja ja telemetrian poikkeavuuksia. Maksujen osalta seuraisit valtuutusprosentteja, petosyrityksiä, takaisinperintöjä ja hylkäyksiä keskittyen trendeihin yksittäisten piikkien sijaan.

Näkymät ovat tapa, jolla yhdistät nämä mittarit kojelaudoiksi ja raporteiksi. Hyvä pelialan toimittajan suorituskyvyn ja muutosten kojelauta näyttää yhdellä silmäyksellä, miten keskeiset QoS-mittarit ovat käyttäytyneet ajan kuluessa, milloin toimittajapoikkeamia ilmoitettiin ja milloin merkittäviä toimittajamuutoksia tapahtui. Ihannetapauksessa se näyttää myös asiaankuuluvat pelaajakeskeiset indikaattorit, kuten jonotusajat, katkaisuprosentit ja tukipyynnöt, jotta live-operaattorit voivat nähdä toimittajien vaikutuksen pelaajien näkökulmasta eikä vain infrastruktuurikaavioina.

Toimenpiteet ovat sitä, mitä teet näkemälläsi. Tähän sisältyvät hälytyskynnykset ja reititys, eskalointipolut ja tarkistustahdit. A.5.22 edellyttää, että pystyt osoittamaan, ettet ainoastaan kerää tietoja, vaan toimit niiden pohjalta, kun toimittaja poikkeaa riskinottohalukkuutesi piiristä. Tämä voi tarkoittaa vaaratilanteen laukaisemista, sopimusehtojen vetoamista, peliasetusten muuttamista tai kyseisen toimittajan riskiluokituksen uudelleentarkastelua.

Visuaalinen: Esimerkki kojelaudan asettelusta, jossa on toimittajaruudut, alueelliset latenssikartat ja tapauksiin linjattu muutosaikajana.

ISMS.online voi yhdistää tämän valvontatyön hallintotasoosi antamalla sinun rekisteröidä toimittajat, kuvata valvontasuunnitelmasi, linkittää koontinäyttöihin ja tallentaa tarkastuspöytäkirjat yhteen ISMS-järjestelmään. Tällä tavoin samat pelaajakokemusta suojaavat mittarit toimivat todisteena siitä, että täytät A.5.22-vaatimukset, ilman että tiimejä pyydetään ylläpitämään erillistä "vaatimustenmukaisuusnäkymää", joka vanhenee nopeasti.

Sekä live-operaatioita että auditointeja palvelevien kojelaudan suunnittelu

Erinomainen A.5.22-koontinäyttö antaa live-operaatioille mahdollisuuden suojata pelaajakokemusta reaaliajassa ja antaa auditoijille yhdellä silmäyksellä kuvan siitä, miten valvot toimittajia. Jos suunnittelet molemmat ryhmät mielessä pitäen, päivittäiset työkalusi tuottavat automaattisesti tarvitsemasi todisteet.

Tehokas A.5.22-kohdenäyttö peliympäristössä sisältää tyypillisesti:

Yhteenveto kriittisistä toimittajista, mukaan lukien tila, viimeaikaiset tapahtumat ja keskeiset mittarit.
Toimittajakohtaiset yksityiskohdat, jotka näyttävät suorituskykytrendit ja alueelliset näkymät.
Paneeli, jossa luetellaan viimeaikaiset toimittajamuutokset ja suunnitellut muutosikkunat.
Linkit tarkastuspöytäkirjoihin, riskinarviointeihin ja toimenpide-ehdotuksiin.

Live-operaattoreille kojelauta vastaa kysymykseen ”mikä vahingoittaa pelaajia juuri nyt ja missä?”. Vaatimustenmukaisuus- ja tarkastustiimeille se vastaa kysymykseen ”mistä tiedämme, että tämä toimittaja on edelleen riskinottohalukkuutemme rajoissa, ja mitä teimme, kun se ei ollut?”. Kun linkität kojelaudat tarkistusmuistiinpanoihin ja riskirekistereihin, vältät erilliset ”vaatimustenmukaisuuskojelaudat”, joita kukaan ei tarkista tuotannossa, koska operatiivinen kojelauta sisältää jo vaatimustenmukaisuuskerroksen.

Auditoinneissa sinun ei tarvitse näyttää kaikkia teknisiä yksityiskohtia. Tarvitset vain todisteita siitä, että olet miettinyt, mitä seurata, että tarkastelet niitä säännöllisesti ja että reagoit niihin. Yleensä riittää, että vien tilannevedokset kojelaudoista yhdistettynä tietoturvanhallintajärjestelmään tallennettuihin tarkastustietueisiin selventämään asiaa ja pitämään valmistelutyön hallittavana.

Kojelaudan linkittäminen virallisiin tarkastuksiin ja auditointeihin

Kojelaudat auttavat A.5.22:ta vain, jos muutat niiden näyttämän päätökseksi, toimiksi ja tietueiksi. Samat näkymät, joita live-operaatiotiimit katsovat tapahtumien aikana, voivat syöttää jäsenneltyjä toimittajien arviointeja ja myöhemmin auditointitodisteita siitä, että valvontasi on enemmän kuin pelkkää ruutujen rastittamista.

Voit tehdä linkistä eksplisiittisen seuraavasti:

Säännöllisten toimittaja-arviointien aikatauluttaminen, jotka alkavat todellisista kojelaudan tiedoista.
Arviointien tulosten, päätösten ja toimenpiteiden kirjaaminen tietoturvan hallintajärjestelmään.
Tapahtumien yhdistäminen koontinäytöllä toimittajien muutostietoihin ja opittuihin kokemuksiin.

ISMS.online tukee tätä antamalla sinun yhdistää jokaisen kriittisen toimittajan omistajiin, riskiluokituksiin, seurantaodotuksiin ja arviointitietoihin. Tällä tavoin koontinäyttösi pysyvät keskittyneinä toimintaan, kun taas ISMS tallentaa niiden taustalla olevan hallintotason ja auttaa sinua vastaamaan luottavaisin mielin, kun tilintarkastajat tai kumppanit kysyvät, miten valvot kriittisiä kolmansia osapuolia. Ajan myötä tämä palautesilmukka parantaa myös seurantasuunnitteluasi, koska arviointikeskustelut korostavat, mitkä mittarit ja näkymät ovat todella hyödyllisiä.

Muutoshallinnan suunnitelma pilvi- ja CDN-palveluntarjoajien kanssa (Teknologiajohtaja / Operatiivinen johtaja – MOFU)

A.5.22:n mukainen muutoshallinta tarkoittaa merkittävien toimittajamuutosten käsittelyä oman ympäristösi muutoksina, ja siinä on selkeät vaiheet ilmoittamisesta oppimiseen. Et voi hallita pilvi- tai CDN-palveluntarjoajan sisäisiä prosesseja, mutta voit hallita sitä, miten valmistaudut, testaat ja seuraat heidän muutostensa vaikutusta peleihisi.

Seuranta kertoo, mitä tapahtuu; muutoshallinta muokkaa, mitä pitäisi tapahtua seuraavaksi. A.5.22 korostaa, että toimittajien palveluiden muutoksia on "hallittava", ei vain havainnoitava. Pilvi- ja CDN-toimittajille tämä voi tuntua haastavalta, koska et omista heidän sisäisiä prosessejaan. Voit hallita sitä, miten heidän muutoksensa ovat vuorovaikutuksessa ympäristösi kanssa ja miten tiimisi reagoivat, kun nämä muutokset ovat suunniteltuja tai odottamattomia.

Käytännöllinen suunnitelma on yhdenmukaistaa toimittajien muutosten käsittely olemassa olevien muutoshallinta- ja häiriötilanteisiin reagointiprosessien kanssa. Sen sijaan, että keksit erillisen prosessin ulkoisille muutoksille, voit käsitellä merkittäviä toimittajien muutoksia oman ympäristösi muutoksina, jotka sattuvat olemaan peräisin muualta. Tämä pitää live-operaattorisi ja suunnittelutiimisi työskentelemässä tuttujen käsitteiden kanssa ja vähentää kiusausta "kiertää" prosessia.

Toimittajien muutosten integrointi elinkaareen

Toimittajamuutosten kuvaaminen samalla elinkaarikielellä, jota jo käytät sisäisten muutosten kuvaamiseen. Yksinkertainen ja toistettava vaiheiden joukko helpottaa insinöörien, tuotepäälliköiden ja vaatimustenmukaisuustiimien työskentelyä saman käsikirjan pohjalta ja A.5.22:n sopivuuden ymmärtämistä.

Vaihe 1 – Ilmoitus

Sopikaa, miten vastaanotatte toimittajamuutostiedot, ja reitittäkää ne tiketti- tai muutosjärjestelmäänne, jotta ne eivät katoa henkilökohtaisiin postilaatikoihin.

Vaihe 2 – Triage

Päätä nopeasti, onko muutos merkityksellinen ja kuinka riskialtis se voi olla tietyille peleille, pelimuodoille tai alueille toimittajasi tasojen ja muutosten laukaisevien tekijöiden perusteella.

Vaihe 3 – Arviointi ja testaus

Suuremman riskin muutosten todennäköinen vaikutus arvioidaan ja mahdollisuuksien mukaan suoritetaan testejä ei-tuotantoympäristöissä, kuten testiympäristöissä, testialueilla tai kanarianlintujen kohorteissa.

Vaihe 4 – Hyväksyntä

Kirjaa selkeä päätös riskin jatkamisesta, rajoittamisesta, aikatauluttamisesta tai hyväksymisestä ja merkitse muistiin, kuka sen hyväksyi, jotta voit selittää perustelut myöhemmin, jos jokin menee pieleen.

Vaihe 5 – Toteutus ja seuranta

Seuraa muutosikkunaa ja keskeisiä mittareita, jotta voit peruuttaa muutokset tai lieventää toimenpiteitä, jos toiminta heikkenee pelaajien huomaamalla tavalla.

Vaihe 6 – Arviointi ja oppiminen

Kirjaa muistiin, mitä tapahtui, mikä toimi ja mitä aiot muuttaa seuraavalla kerralla, ja linkitä nämä opit toimittajien tietoihin ja toimintaohjeisiin.

Korkean riskin toimittajille saatat haluta sopimuksissa sovitut vakiomuotoiset ilmoitusajat ja muutosikkunat, joissa on selkeät odotukset siitä, mitä tietoja saat. Voit esimerkiksi vaatia ennakkoilmoitusta alueellisista muutoksista, uusista alihankkijoista tai reititykseen tai tietoturvakontrolleihin vaikuttavista muutoksista, jotta nämä vaiheet voidaan tehdä ennen kuin muutokset osuvat reaaliaikaiseen liikenteeseen.

Tekniset suojatoimet, jotka tekevät hallinnosta realistista

Tekniset suojatoimet tekevät toimittajamuutosten hallinnasta realistista tarjoamalla turvallisia tapoja testata, peruuttaa ja rajoittaa ylävirran muutosten räjähdysmäistä vaikutusta. Kun nämä vaihtoehdot ovat olemassa, hyväksyntävaiheistasi tulee todellisia riskiportteja hitaiden, byrokraattisten esteiden sijaan, joita kaikki yrittävät kiertää.

Jotta tämä toimisi hidastamatta tiimejäsi äärimmilleen, yleisiä toimintatapoja ovat:

Kanariansaarten alueiden tai pienten kohortien ajaminen uusilla reiteillä tai ympäristöissä ennen maailmanlaajuista käyttöönottoa.
Käytä sinisiä/vihreitä tai vastaavia käyttöönottostrategioita, jotta voit siirtyä nopeasti pois, jos toiminta heikkenee.
Ylläpidetään testattuja palautusrunbookeja, jotka eivät ole riippuvaisia yhden henkilön tietämyksestä.
Toimittajien muutosilmoitusten integrointi havainnointi- tai tiketöintijärjestelmiin, jotta ne ovat näkyvissä häiriötilanteissa.

Nämä suojatoimet tarkoittavat, että muutosprosessisi hyväksymisvaiheista tulee riskiportteja, joita tukevat todelliset vaihtoehdot, eivätkä tarkastuspisteitä, joilla ei ole käytännöllisiä vararatkaisuja. Ne antavat operaattoreille ja suunnittelupäälliköille luottamusta siihen, että hallittu riski ei tarkoita hidastettua prosessia, ja ne antavat vaatimustenmukaisuustiimeille parempia tarinoita kerrottavaksi tarkastajille siitä, miten hallitset toimittajamuutoksia.

ISMS-alusta voi auttaa tallentamaan ja linkittämään kokonaisuuden ei-tekniset osat: muutostietueet, hyväksynnät, arvioinnit ja katselmoinnit. Kun voit osoittaa tietyn toimittajan muutoksen osalta, kuka sen arvioi, mitä päätettiin ja miten se meni, olet hyvää vauhtia täyttämässä A.5.22-odotukset. ISMS.online tukee tätä antamalla sinun linkittää toimittajan muutostietueet tapauksiin ja riskinarviointeihin yhdessä, auditoitavassa työtilassa, josta tietoturva-, live-operaatio- ja vaatimustenmukaisuusvastaavasi voivat kaikki työskennellä.

ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.

Varaa esittelysi

Jaettu vastuu, sopimukset ja todisteet, jotka todella toimivat (Laki- ja riskipäällikkö / Tietoturva- ja vaatimustenmukaisuuspäällikkö – MOFU/BOFU)

Jaetun vastuun kaaviot auttavat vain, jos ne muuttuvat konkreettisiksi sopimusteksteiksi ja selkeäksi sisäiseksi omistajuudeksi. A.5.22 edellyttää, että tiedät, mitä toimittajien on tehtävä, mitä itse valvot ja miten molemmat osapuolet kommunikoivat ja todistavat merkittävät muutokset. Tämä osio on tarkoitettu vain tiedoksi eikä se ole oikeudellista neuvontaa; sinun tulee tehdä yhteistyötä pätevän neuvonantajan kanssa sopimusten laatimisessa tai tarkistamisessa.

Pilvi- ja CDN-palveluita kuvataan usein jaetun vastuun kaavioilla. Nämä ovat hyödyllisiä lähtökohtia, mutta A.5.22 edellyttää, että muutat ne konkreettisiksi vastuiksi ja todisteiksi. Tämä on erityisen tärkeää silloin, kun alustasi kattaa useita alueita ja sääntelyjärjestelmiä ja laki- ja riskienhallintatiimisi on puolustettava järjestelyjäsi sääntelyviranomaisille, alustan haltijoille tai kumppaneille.

Sopimuspuolella haluat kirjata ylös tärkeimmät odotuksesi kriittisille toimittajillesi. Esimerkkejä:

Toimittajamuutokset, jotka vaativat ennakkoilmoituksen ja sovitut irtisanomisajat.
Tuki testaukselle tai rinnakkaisajolle suurten muutosten aikana, jos se on mahdollista.
Pääsy ympäristöösi liittyviin lokeihin, raportteihin ja tapahtumatietoihin.
Tietojen sijaintia, alihankkijoita ja vähimmäisturvallisuuskäytäntöjä koskevat vaatimukset.

Näiden tulisi olla linjassa riskinarviointiesi ja toimintakykyjesi kanssa. Epärealistiset vaatimukset eivät auta ketään, mutta epämääräiset lausunnot eivät anna mitään pohjaa työskentelylle, kun jokin menee pieleen. Laki- ja hankintatiimit voivat auttaa kääntämään riskihavainnot täytäntöönpanokelpoisiksi sanamuodoiksi, jotka antavat sinulle merkityksellisiä vipuvarsia, kun toimittajat epäonnistuvat tai aiheuttavat uusia riskejä.

Sisäisellä puolella tarvitset selkeän vastuunjaon. Yksinkertainen vastuumatriisi voi määritellä kuka:

Vastaa toimittajasuhteista ja sopimusneuvotteluista.
Omistaa teknisen integroinnin ja reaaliaikaisen toiminnan seurannan.
Omistaa turvallisuus- ja yksityisyysriskien arvioinnit ja suositukset.
Hyväksyy korkean riskin muutokset ja riskien hyväksynnät.
Johtaa tapausten koordinointia, kun toimittaja on osallisena.

Tämä selkeys on olennaista sekä päivittäisen toiminnan että tilintarkastajien vakuuttamisen kannalta siitä, että toimittajien valvontaa ei jätetä sattuman varaan. Se auttaa myös uusia työntekijöitä ja korvaavia omistajia ymmärtämään, mihin he ovat ryhtymässä, sen sijaan, että he löytäisivät vastuunsa pala palalta tapahtumien kautta.

Jaetun vastuun kaavioiden yhdenmukaistaminen todellisten päätösten kanssa

Jaetun vastuun kaavioista tulee arvokkaita, kun ne ohjaavat todellisia päätöksiä riskien, seurannan ja eskaloinnin suhteen. Jos ne pysyvät ohjelmistopohjaisina, ne eivät auta sinua täyttämään A.5.22-vaatimusta tai suojaa pelaajiasi, jos toimitusketjussa tapahtuu häiriöitä.

Voit tehdä niistä hyödyllisiä seuraavasti:

Kunkin vastuualueen linkittäminen tiettyihin kontrolleihin, tarkastuksiin tai raportteihin.
Sovitaan, mikä tiimi tekee lopullisen päätöksen, kun riski ulottuu useille eri toiminnoille.
Kirjataan esimerkkejä aiemmista tapauksista, joissa vastuurajoja testattiin.

Kun nämä linkit ovat olemassa, oikeudelliset ja riskiin liittyvät vihjeet voivat viitata konkreettiseen näyttöön siitä, että jaetut vastuut ymmärretään ja niiden mukaisesti toimitaan. ISMS.online voi tukea tätä liittämällä jaetun vastuun mallit, sopimukset ja päätöstietueet jokaiseen rekisterissäsi olevaan toimittajaan, jotta kaaviot, velvoitteet ja todisteet pysyvät yhteydessä toisiinsa ja helposti löydettävissä tarvittaessa.

A.5.22-todistuskerroksen rakentaminen

ISO 27001 -standardin näkökulmasta kysymys ei ole ainoastaan siitä, teetkö oikeita asioita, vaan myös siitä, pystytkö osoittamaan tekeväsi ne. A.5.22-standardin osalta tämä tarkoittaa tyypillisesti pientä joukkoa linkitettyjä, ylläpidettyjä artefakteja eikä suurta kasaa papereita, joita kukaan ei lue.

Hyödyllisiä todisteiden kertomuselementtejä ovat:

Ajantasainen toimittajarekisteri, joka sisältää luokitukset, omistajat ja kriittisyysluokitukset.
Kunkin toimittajatason seuranta- ja arviointimenettelyt.
Toimittajien suorituskyvyn ja riskien tarkastelujen tiedot päätöksineen ja toimenpiteineen.
Muutostietueet, joissa toimittajan aloittamia muutoksia arvioitiin ja seurattiin.
Yhteydet toimittajien tapahtumien, sisäisten häiriöiden ja parannusten välillä.

Näiden tietojen kerääminen, linkittäminen ja säilyttäminen voi olla vaikeaa, jos ne ovat hajallaan eri työkaluissa ja tiimeissä. Tässä kohtaa keskitetystä tietoturvallisuuden hallintajärjestelmästä tulee enemmän kuin pelkkä vaatimustenmukaisuusarkisto. Siitä tulee paikka, jossa toimittajariskit, suorituskyky, muutokset ja todisteet yhdistyvät ja jossa laki- ja riskiasiantuntijat löytävät tarvitsemansa nopeasti, jopa aikapaineen alla.

ISMS.online on suunniteltu auttamaan juuri tässä. Voit ylläpitää toimittajarekisteriä omistajista ja riskiluokituksista, liittää seuranta- ja arviointisuunnitelmia, tallentaa muutostietueita ja hyväksyntöjä ja linkittää ne tapauksiin ja korjaaviin toimenpiteisiin. Laki- ja riskitiimit voivat sitten vastata sääntelyviranomaisten, kumppaneiden tai alustan haltijoiden kysymyksiin siitä, miten hallitset kolmannen osapuolen riskiä, viittaamalla yhteen jäsenneltyyn näkymään sen sijaan, että jahtaisit tietoa pala palalta.

Varaa esittely ISMS.onlinesta jo tänään (Kaikki persoonat – BOFU)

ISMS.online tarjoaa pelialan organisaatiollesi käytännöllisen tavan muuttaa ISO 27001 A.5.22 -standardi toimivaksi järjestelmäksi keskittämällä toimittajarekisterit, riskiluokitukset, muutostietueet ja tarkasteluaineiston yhteen paikkaan. Käytät edelleen olemassa olevia pilvi-, CDN- ja valvontatyökaluja, mutta lisäät tietoturvan selkärangan, joka selittää, keitä kriittiset toimittajat ovat, miten heitä valvotaan ja mitä tehtiin heidän vaihtuessaan.

Käytännöllinen tapa aloittaa on aloittaa pienestä. Ota yksi paljon liikevaihtoa tuottava live-peli ja sen muutamat kriittisimmät toimittajat – tyypillisesti pilvi-, CDN-, identiteetti- ja maksupalvelut – ja mallinna ne ISMS.online-työtilassa. Määritä vastuuhenkilöt, kirjaa odotuksesi, linkitä olemassa oleviin koontinäyttöihin ja määrittele, mikä lasketaan merkittäväksi muutokseksi. Käy sitten läpi jokin äskettäinen tapaus ja katso, kuinka hyvin nykyiset tietueesi selittävät tapahtunutta, kun tarkastelet niitä tuon linssin läpi.

Pilottihanke paljastaa nopeasti, missä manuaaliset laskentataulukot ja ad hoc -koontinäytöt ovat edelleen riittäviä ja missä keskittäminen lyhentäisi huomattavasti toimittajaan liittyvän ongelman ymmärtämiseen tai auditointiin valmistautumiseen kuluvaa aikaa. Se antaa myös johtajille ja tiiminvetäjille konkreettista reagointia varten abstraktin ehdotuksen sijaan toimittajien hallinnon parantamiseksi.

Lähestymistapasi tarkentuessa voit tuoda mukaan laki-, tietoturva-, live-operaattori- ja talousalan sidosryhmiä sopimaan siitä, miltä "hyvä" näyttää toimittajien hallinnoinnissa organisaatiossasi. Tämä yhteinen määritelmä tarkoittaa, että kaikki uudet työnkulut tai työkalut tukevat kaikkien keskeisten ryhmien prioriteetteja sen sijaan, että niitä pidettäisiin yhden tiimin asettamana taakkana. Se helpottaa myös budjetin ja tuen varmistamista, koska jokainen toiminto voi nähdä omat riskinsä ja tehokkuutensa.

Siitä lähtien voit laajentaa toimintaasi vähitellen eri nimikkeiden ja alueiden välillä. Varhaiset mittarit – vähemmän epäselviä tapauksia, nopeampi perussyyanalyysi, selkeämmät auditointipolut ja selkeämpi toimittajien omistajuus – osoittavat, että investointisi kannattaa. Ensimmäisen vuoden aikana voit asettaa yksinkertaisia, näkyviä tavoitteita, kuten kaikkien ykköstason toimittajien kartoittamisen ja omistamisen, muutosten laukaisevien tekijöiden määrittelyn ja käytön sekä ensimmäisen strukturoitujen toimittajien arviointien kierroksen suorittamisen.

Aloita kohdennetulla pilottihankkeella

Yhteen nimikkeeseen ja pieneen joukkoon kriittisiä toimittajia keskittyvällä pilottihankkeella aloittaminen tekee A.5.22:sta saavutettavan eikä liian vaikean. Voit osoittaa arvon nopeasti, tarkentaa lähestymistapaasi ja soveltaa mallia muuhun portfolioosi sitoutumatta mullistavaan, kerralla tapahtuvaan muutokseen.

Pilottikokeessasi voisit:

Valitse live-peli, jolla on selkeä merkitys tulojen tai maineen suhteen.
Määritä pilvi-, CDN-, identiteetti- ja maksupalveluntarjoajansa ensisijaisiksi ykköstason toimittajiksi.
Mallinna nämä ISMS.online-palvelussa omistajien, riskien ja seurantaodotusten kanssa.
Luo äskettäinen tapaus uudelleen testitapauksena ja linkitä se toimittajan tietueisiin ja muutoksiin.

Tuo harjoitus osoittaa, missä hallinto jo toimii, missä luotetaan henkilökohtaiseen tietoon tai vanhoihin sähköposteihin ja kuinka paljon itsevarmemmaksi olo on, kun kaikki on yhdessä paikassa. Se antaa myös realistisen vaivannäön tunteen, mikä auttaa seuraavien vaiheiden suunnittelussa.

Miten ISMS.online tukee A.5.22-pelitekniikkaa

ISMS.online tukee pelialustojen A.5.22-standardia tarjoamalla sinulle jäsenneltyjä rakennuspalikoita: toimittajarekisterit omistajineen ja riskiluokituksineen, tilaa valvonta- ja arviointisuunnitelmien tallentamiseen, tapauksiin linkitettyjä muutoslokeja ja auditointivalmiita raportteja, joita voit jakaa sisäisten ja ulkoisten sidosryhmien kanssa. Käytät edelleen olemassa olevaa teknistä pinoasi, mutta saat hallintakerroksen, joka on helppo selittää ja ylläpitää eri peleissä, alueilla ja viitekehyksissä.

Lyhyt tutustumispuhelu ja demo eivät sido sinua täyteen migraatioon; ne antavat sinun testata, sopiiko tämä pilottimalli todellisuuteenne ennen sen skaalaamista. Kun olet valmis siirtymään yhden pilottihankkeen jälkeen, demo näyttää, kuinka nämä rakennuspalikat ulottuvat useisiin nimikkeisiin, lisäävät yksityisyyden ja tekoälyn hallinnan hallintaa tietoturvan ohella ja auttavat sinua pitämään toimittajien riskit, suorituskyvyn ja todisteet linjassa.

Jos haluat tiimiesi käyttävän vähemmän aikaa toimittajatietojen jahtaamiseen ja enemmän aikaa vakaan, reilun ja turvallisen pelin tarjoamiseen, demon varaaminen ISMS.onlinen kautta on helppo seuraava askel. Se auttaa sinua näkemään, kuinka jäsennelty ISMS voi tukea ISO 27001 A.5.22 -standardia ja siihen liittyviä kontrolleja koko peliportfoliossasi ja samalla muuttaa toimittajamuutokset epämiellyttävistä yllätyksistä hallituiksi ja selitettävissä oleviksi tapahtumiksi.

Varaa demo

Usein Kysytyt Kysymykset

Miten pelistudion tulisi tulkita ISO 27001 A.5.22 -standardia tärkeimpien toimittajiensa osalta?

ISO 27001 A.5.22 edellyttää, että seurata, tarkastella ja hallita aktiivisesti toimittajien palveluiden muutoksia ajan kuluessa, erityisesti silloin, kun ne vaikuttavat live-peliin tai pelaajatietoihin. Sopimus on vasta lähtökohta; sinun on kyettävä osoittamaan johdonmukainen tapa ymmärtää toimittajan riski ja toimia sen mukaisesti.

Mitkä toimittajat kuuluvat suoraan A.5.22-kohdan piiriin peliympäristössä?

Nykyaikaisessa peliohjelmistossa A.5.22 soveltuu yleensä toimittajiin, kuten:

Pilvi-infrastruktuuri ja hosting
CDN ja liikenteenhallinta
Identiteetti, käyttöoikeudet ja huijauksenesto
Maksut, petokset ja takaisinperintöjen käsittely
Chat, ääni, moderointi ja sosiaaliset kerrokset
Analytiikka, telemetria ja virheraportointi
Asiakastuki, tiketöinti ja yhteisötyökalut

Jokaisen näistä osalta sinun tulee pystyä osoittamaan, että:

Ylläpitää a nykyinen toimittajarekisteri kriittisyyden, riskiluokituksen ja porrastuksen kanssa.
luovuttaa nimetyt sisäiset omistajat kaupallisiin, operatiivisiin ja turvallisuustehtäviin.
Määritellä miten ja kuinka usein seuraat ja tarkastelet suorituskykyä ja riskejä (KPI:t/KRI:t, vaaratilanteet, raportit, auditoinnit).
Hoitaa materiaalitoimittajan muutokset (alueet, SDK:t, alihankkijat, tietovirrat) muutoksina omaan tuotantoympäristöösi, arvioinnilla ja hyväksynnällä.
kaapata näyttökokousmuistiinpanot, riskipäivitykset, tiketit, muutoslokit, päätökset ja jatkotoimenpiteet.

Tietoturvallisuuden hallintajärjestelmä (ISMS) tai liitteen L mukainen integroitu hallintajärjestelmä (IMS) auttaa sinua muuttamaan sen toistettavaksi rutiiniksi vuosittaisen kamppailun sijaan. ISMS.online-palvelun avulla voit säilyttää toimittajatiedot, riskit, arvioinnit ja muutospäätökset yhdessä paikassa, joten kun tilintarkastaja kysyy "näytä minulle, miten hallitset tätä toimittajaa", näytät selkeän tarinan sen sijaan, että kokoaisit sen yhteen postilaatikoista ja laskentataulukoista.

Jos vielä jonglööraat toimittajien valvontaa irrallisissa työkaluissa, tämä on käytännöllinen hetki tuoda tiimisi tietoturvan hallintajärjestelmään (ISMS) ja sopia, miltä "hyvä" näyttää kunkin kriittisen toimittajan kohdalla seuraavien 12 kuukauden aikana.

Miten valitsemme KPI-mittarit ja riski-indikaattorit, jotka ovat tärkeitä sekä toimijoille että ISO 27001 A.5.22 -standardin mukaisille tekijöille?

Tehokkaimmat indikaattorit A.5.22:lle ovat pelaajakeskeinen ja riskiperusteinenAloita siitä, mikä voi vahingoittaa kokemusta tai jatkuvuutta, ja palaa sitten toimittajan mittareihin, jotka varoittavat sinua varhaisessa vaiheessa.

Mitkä ovat hyödyllisiä KPI- ja KRI-mittareita yleisille pelialan toimittajille?

Korkeamman tason toimittajien osalta monet pelialan organisaatiot seuraavat mittareita, kuten:

Pilvi ja CDN:
Aluetason käyttöaika ja virheprosentit
Latenssi, jitter ja pakettien menetys alueen, internet-palveluntarjoajan ja alustan mukaan
Kapasiteettirajoitukset, tapahtumien rajoittaminen ja palvelunestohyökkäysten lieventäminen
Identiteetti, turvallisuus ja huijauksenesto:
Kirjautumisten onnistumis- ja epäonnistumisasteet maantieteellisesti ja laitteella
Aika epäilyttävästä tapahtumasta tutkintaan tai täytäntöönpanoon
Väärien positiivisten tulosten määrät ja toistuvat kieltojen välttelymallit
Maksut ja kaupankäynti:
Valtuutus-/hylkäysprosentit palveluntarjoajan ja maan mukaan
Petosyritykset, takaisinperinnät ja riitautusprosessien kesto
Maksuihin liittyvät tukipyynnöt ja pelaajavalitukset

Näiden teknisten signaalien pitäisi näkyä pelaaja- ja liiketoimintatulokset, kuten samanaikaiset käyttäjät, poistuminen matchmakingin aikana tai myymälän konvertointi. ISO 27001 -standardin kannalta ratkaisevaa on, että voit osoittaa selkeän rajan toimittajan kriittisyys ja riskiluokitus → valitut KPI:t/KRI:t → kynnysarvot ja hälytykset → toteutetut ja kirjatut toimenpiteet.

Yksinkertainen vertailu voi auttaa sinua suunnittelemaan ensimmäisen indikaattorisarjan:

Toimittajan tyyppi	Pelaajakeskeinen riski	Esimerkki KRI:stä
Pilvi / CDN	Viiveet, katkokset, käyttökatkokset	Latenssi ja virheprosentti avainalueittain
Identiteetti / huijauksen esto	Työsulut, epäreilut kiellot, hyväksikäytöt	Väärät positiiviset, täytäntöönpanoaika
Maksut	Epäonnistuneet ostokset, petosriidat	Hylkäysprosentti ja takaisinperintämäärä

Monet tiimit näyttävät nämä mittarit keskitetyllä kojelaudalla ja kirjaavat sitten ne muistiin. tietoturvaloukkaukset, päätökset ja jatkotoimet heidän tietoturvan hallintajärjestelmässäänKun käytät ISMS.online-järjestelmää yhdistääksesi mittarit toimittajiin, riskeihin, kontrolleihin ja tapahtumiin, samasta koontinäytöstä, joka pitää reaaliaikaiset operaatiot ajan tasalla, tulee myös selkeä ja toistettava todiste siitä, että A.5.22-valvonta on riskiperusteista ja todella ohjaa päätöksiä.

Jos nykyiset toimittajamittarisi eivät ole selvästi yhteydessä toimijoiden vaikutus- ja riskiluokituksiin, se on vahva merkki siitä, että ne kannattaa keskeyttää ja suunnata uudelleen ennen seuraavaa johdon arviointia.

Miten voimme rakentaa toimittajan koontinäytön, johon live-operaattorit luottavat ja jonka tilintarkastajat hyväksyvät A.5.22-todisteena?

A.5.22-vaatimusta täyttävän kojelaudan on tehtävä kaksi tehtävää samanaikaisesti: autettava toimijoita havaitsemaan ongelmat nopeasti ja annettava riskienhallinnan ja auditoinnin sidosryhmille luottamusta siihen, että toimittajia hallitaan järjestelmällisesti. Vähennät kitkaa, kun säilyttää yhden yhtenäisen näkemyksen erillisten ”operaatioiden” ja ”vaatimustenmukaisuuden” koontinäyttöjen sijaan, jotka ajautuvat erilleen toisistaan.

Mitä kuuluu A.5.22-yhteensopivaan toimittajan koontinäyttöön?

Peli- ja live-palvelutiimeille käytännöllinen kojelauta sisältää yleensä seuraavat:

A ylimmän tason näkymä kunkin ykköstason toimittajan osalta, jolla on:
Nykyinen tila ja aktiiviset tapaukset
Tarkka joukko KPI-mittareita/KRI-mittareita (esimerkiksi viive, virheprosentti, petokset, kirjautumisvirheet)
Kokonaisriskiluokitus, viimeisin tarkistuspäivämäärä ja seuraava suunniteltu tarkistus
Porautumisnäkymät: toimittajaa kohden, jaoteltuna mittarit seuraavasti:
Alue ja alusta (PC, konsoli, mobiili)
Aikaikkunat viimeaikaisten tapahtumien tai merkittävien toimittajavaihdosten ympärillä
Pelaajien vaikutukset, kuten yhteyskatkokset, parinmuodostuksen epäonnistumiset tai lippupiikit
A muutosten ja tapahtumien aikajana joka riviin:
Toimittajien ilmoitukset, SDK/API-muutokset, reititys- tai aluesiirrot
Sisäiset muutostietueet, hyväksynnät ja käyttöönottotiedot
Havaittu vaikutus pelattavuuteen, kaupan toimintaan ja tukijonoihin

ISO 27001 A.5.22 -standardin mukaisesti jokaisen toimittajalaatan tulisi toimia sisäänkäyntinä yritykseesi. ISMS-tietueetsopimukset, riskienarvioinnit, suoritusarvioinnit, tapahtumat ja muutoslokit. ISMS.online tukee tätä mallia antamalla sinun linkittää toimittajat, riskit, kontrollit ja tietueet yhteen tietoturvallisuuden hallintajärjestelmään. Kun tilintarkastaja kysyy "miten valvotte ja arvioitte tätä toimittajaa?", voit ensin näyttää kojelaudan ja siirtyä sitten suoraan sen takana oleviin dokumentoituihin päätöksiin.

Jos nykyinen näkemyksesi toimittajista on hajautettu NOC-työkaluihin, laskentataulukoihin ja sähköpostiketjuihin, jaetun koontinäytön suunnittelu, johon tietoturvanhallintajärjestelmäsi linkittyy, on yksi nopeimmista tavoista lisätä luottamusta sekä operatiivisissa että varmennustiimeissä.

Kuinka otamme toimittajien aloittamat muutokset osaksi muutosprosessiamme hidastamatta julkaisuja indeksointivaiheeseen?

Toimittajien aloittamat muutokset saapuvat usein tilannepäivityksinä, uutiskirjeinä tai julkaisutiedotteina, ja niitä on helppo käsitellä epävirallisesti. ISO 27001 A.5.22 edellyttää materiaalitoimittajan muutokset hoidettava normaalien muutoshallinta- ja riskinarviointiprosessien kautta, mutta se ei tarkoita toisen, raskaamman työnkulun rakentamista vain toimittajille.

Miltä realistinen toimittajanvaihdoksen hallintamalli näyttää?

Useimmat peli- ja SaaS-organisaatiot menestyvät seuraavanlaisella kaavalla:

Tallenna päivitykset siellä, missä tiimit jo työskentelevät:

Syötä toimittajien ilmoitukset, webhookit tai sähköpostit olemassa olevaan tiketöinti- tai muutoshallintajärjestelmääsi, jotta ne näkyvät samassa jonossa sisäisten muutosten kanssa.

Merkitse toimittajan ja riskin mukaan:

Merkitse jokainen tuote toimittajalla, palvelutyypillä, ympäristöllä ja riskitasolla, jotta korkeamman riskin muutokset ovat selvästi näkyvissä ja ne voidaan arvioida ensin.

Käytä vakioelinkaariasi:

Suorita toimittajan muutokset samojen perusvaiheiden mukaisesti kuin sisäiset muutokset:

Alustava vaikutusten triage (vaikuttaako tämä tuotantoon, alueisiin, datan sijaintiin tai palvelutasosopimuksiin?)
Riskien- tai testiarviointi tarvittaessa
Asianmukaisen muutosviranomaisen hyväksyntä
Hallittu käyttöönotto ja kohdennettu valvonta
Lyhyt toteutuksen jälkeinen arviointi, jossa kerrotaan, mikä meni hyvin ja mikä ei
Käytä teknisiä suojatoimia pysyäksesi nopeana ja turvallisena:

Yhdistä kanarianvyöhykkeitä, pieniä pelaajaryhmiä, ominaisuuslippuja ja harjoiteltuja palautussuunnitelmia, jotta joukkueet voivat edetä nopeasti säilyttäen silti hallinnan.

Vaatimustenmukaisuuden näkökulmasta keskeinen vaatimus on, että merkittävät toimittajavaihdokset jättävät selkeän jäljen: tiketti- tai muutostietue, vaikutustenarviointi, hyväksynnät, seurantahuomautukset ja mahdolliset riskien päivitykset. Jos yhdistät nämä tietueet integroituun tietoturvan hallintajärjestelmään (ISMS) tai liitteen L mukaiseen integroituun hallintajärjestelmään, kuten ISMS.online, voit osoittaa, että toimittajien muutosten hallinta on systemaattista eikä ad hoc -pohjaista, samalla kun insinöörit ja operaattorit jatkavat työskentelyä tuttujen työkalujen sisällä.

Jos tällä hetkellä käsittelet toimittajamuutoksia "vain tiedoksi", nyt on aika päättää, minkä tyyppisten muutosten tulisi aina käynnistää virallinen kirjaus tietoturvanhallintajärjestelmässäsi, jotta julkaisun nopeus ja auditointitaso pysyvät linjassa.

Miten meidän tulisi sovittaa yhteen sopimukset ja jaetut vastuut, jotta A.5.22 toimisi päivittäin pelialalla?

Suurille toimittajille, kuten pilvipalveluille, CDN-palveluille, identiteetti- ja maksupalveluille, sopimukset ja jaetun vastuun mallit ovat tärkeimmät vipuvarret. ISO 27001 A.5.22 edellyttää, että käytät näitä vipuvarsia harkitusti ja tuet niitä selkeällä sisäisellä omistajuudella, ei pelkästään korkean tason palvelukuvauksilla.

Mitä sopimusten tulisi kattaa, ja mitä omien tiimiesi on omattava?

Kriittisten tai korkean riskin toimittajien kohdalla on yleensä syytä varmistaa, että sopimuksiin sisältyy:

Muutosilmoitukset:

Alueiden, datan sijaintien, alihankkijoiden, API-rajapintojen/SDK-rajapintojen tai ydinpalvelun toiminnan muutosten ilmoitusajat ja viestintäkanavat.

Tuki korkean riskin toiminnoissa:

Yhteistyö testauksessa, palautuksissa ja viestinnässä migraatioiden, suurten live-tapahtumien tai tietoturvarajoitusten aikana.

Pääsy tietoihin:

Lokit, raportit ja nimetyt yhteyshenkilöt, joita tarvitset suorituskykyongelmien tai mahdollisten tietoturvapoikkeamien tutkimiseen.

Turvallisuuden ja jatkuvuuden vähimmäisstandardit:

Salausodotukset, tapausten raportointiajat, sertifioinnit, tietojen säilytys, liiketoiminnan jatkuvuutta koskevat sitoumukset ja alihankkijavaatimukset ISMS-järjestelmäsi mukaisesti.

Sisäisesti tarvitset ainakin tiiviin vastuumatriisi jossa esitetään:

Kuka omistaa kunkin toimittajan kaupallisesti ja operatiivisesti?
Kuka valvoo palvelua, tietoturvaa ja vaatimustenmukaisuuden suorituskykyä ja minkä koontinäyttöjen tai raporttien kautta.
Kenellä on valtuudet hyväksyä, vähentää tai välttää toimittajiin liittyvää riskiä, ja miten nämä päätökset kirjataan ja tarkistetaan.

Kun säilytät sopimukset, vastuullisuusilmoitukset, riskinarvioinnit ja arviointien tulokset yhdessä tietoturvan hallintajärjestelmässäsi tai integroidussa johtamisjärjestelmässäsi, on paljon helpompi osoittaa, että toimittajien valvonta on tehokasta. harkittu, johdonmukainen ja skaalautuva eri alueiden ja nimikkeiden välilläISMS.online on suunniteltu tallentamaan ja linkittämään nämä artefaktit yhteen paikkaan, jotta tilintarkastajat, kumppanit ja sisäiset sidosryhmät voivat nähdä, että jaetun vastuun mallisi on toteutettu implisiittisen sijaan.

Jos toimittajien vastuut löytyvät edelleen enimmäkseen otsikoista ja diaesityksistä, niiden kirjaaminen tietoturvanhallintajärjestelmään on yksi tehokkaimmista askeleista, joita voit tehdä ennen seuraavaa merkittävää julkaisua tai auditointia.

Kuinka ISMS.onlinen kaltainen tietoturvan hallintajärjestelmä voi muuttaa ISO 27001 A.5.22 -standardin jokapäiväisiksi tavoiksi vuosittaisen auditointiprojektin sijaan?

Monilla organisaatioilla on toimittajapolitiikat, jotka näyttävät vakuuttavilta käsikirjassa, mutta ovat liian abstrakteja noudatettavaksi käytännön toiminnassa, suunnittelussa, hankinnassa ja lakiasioissa todellisen paineen alla. Tietoturvallisuuden hallintajärjestelmä tekee A.5.22:sta konkreettisen muuttamalla odotukset yksinkertaisia, näkyviä rutiineja jotka sopivat tiimiesi jo olemassa olevaan työskentelytapaan.

Miltä näyttää käytännön A.5.22-toteutus tietoturvan hallintajärjestelmän (ISMS) tai integroidun hallintajärjestelmän (IMS) sisällä?

Nykyaikaisessa tietoturvan hallintajärjestelmässä tai liitteen L mukaisessa integroidussa johtamisjärjestelmässä tyypillisesti:

Rakenna elävä toimittajarekisteri

Kirjaa ylös jokaisen toimittajan rooli, käsitellyt tiedot, kriittisyys, riskiluokitus ja kartoitetut kontrollit ja pidä tiedot ajan tasalla palveluiden kehittyessä.

Linkitä toimittajat riskit, tapahtumat ja muutostietueet

Voit siis jäljittää koko polun peliongelmasta tai valituksesta toimittajan tapauksen kautta korjaaviin toimenpiteisiin ja päivitettyihin riskipäätöksiin.

Määrittele ja aikatauluta toimittajien suorituskyky- ja riskiarvioinnit

Selkeät esityslistat, sovitut mittarit ja nimetyt osallistujat, liitteenä pöytäkirjat, päätökset ja toimien seuranta todisteina.

Asiakirja muutosten laukaisevat tekijät ja työnkulut

Näin toimittajalähtöiset muutokset siirtyvät johdonmukaisesti samoihin muutos- ja tapahtumaprosesseihin, joihin tiimisi jo luottavat sisäisessä työssä.

Käytä rakenteita uudelleen eri standardien välillä integroitu hallintajärjestelmä

Jos työskentelet myös ISO 9001-, ISO 22301- tai muiden liitteen L standardien parissa, yhdenmukaista konteksti, johtajuus, suunnittelu, toiminta ja parantaminen niin, että toimittajien hallinta tuntuu yhdeltä yhtenäiseltä järjestelmältä eikä pelkältä turvallisuuspultilta.

Käytännöllinen tapa aloittaa on mallintaa yksi tärkeä palvelu – esimerkiksi ensisijainen pilvipalvelusi tai maksupalvelusi – ja kourallinen keskeisiä toimittajia ISMS.online-järjestelmässä ja sitten toistaa äskettäinen reaaliaikainen tapaus tai monimutkainen muutos kyseisen mallin avulla. Tämä harjoitus yleensä tuo esiin omistajuusvajeet, puuttuvat tiedot ja epäjohdonmukaiset päätökset tavalla, jonka perusteella johto voi toimia. Siitä eteenpäin voit laajentaa mallia useampiin toimittajiin, alueisiin ja tuotteisiin käyttämällä näkyviä virstanpylväitä – kaikki ykköstason toimittajat rekisteröity, tarkistustahti reaaliajassa, muutosten jäljitettävyys käytössä – osoittaaksesi, että organisaatiosi on toimittajien valvonnan tiukentamista, kestävyyden vahvistamista ja tietoturvan hallintajärjestelmän (ISMS) kypsentämistä.

Jos haluat, että studiosi tai alustasi tunnustetaan sellaisena, joka käsittelee toimittajariskiä osana pelaajakokemusta ja liiketoiminnan jatkuvuutta pelkkien hankintatietojen sijaan, A.5.22:n sisällyttäminen jokapäiväisiin työkaluihin ja rutiineihin ISMS.online-alustan kaltaisen alustan kautta on uskottava tapa osoittaa tätä johtajuutta niin auditoinneissa, tarjouskilpailuissa kuin kumppanikeskusteluissakin.

ISO 27001 A.5.22 – Pilvi-, CDN- ja toimittajien muutosten seuranta, jotka vaikuttavat pelialustoihin