Tóm tắt
Bảy công việc compliance thủ công nên đưa lên platform, từ giao owner, thu evidence, access review đến audit request, và phần vẫn cần con người quyết định.
Công việc compliance thủ công nên tự động hóa là những việc lặp lại, có owner, deadline, nguồn dữ liệu và tiêu chí hoàn thành rõ ràng: giao việc và nhắc hạn, thu evidence, phát hiện evidence cũ, access review, review policy, mapping nhiều framework và xử lý audit request. Đánh giá rủi ro, chấp nhận exception và phê duyệt policy vẫn cần con người quyết định.
Bảy công việc nào nên đưa lên platform?
Bảng dưới tóm tắt từng công việc, phần platform đảm nhận và phần vẫn thuộc về con người. Các mục sau giải thích chi tiết.
| Công việc | Platform đảm nhận | Con người vẫn làm |
|---|---|---|
| Tạo task định kỳ, nhắc việc, hiển thị việc quá hạn | Chọn đúng owner và ưu tiên |
| Lấy dữ liệu theo lịch, ghi nguồn và thời điểm | Xác nhận evidence phù hợp control |
| Theo dõi chu kỳ, mở lại task khi đến kỳ review | Thay evidence bằng bản mới đúng phạm vi |
| Lập danh sách tài khoản, giao reviewer, nhắc và leo thang | Quyết định giữ hay thu hồi quyền |
| Giữ phiên bản, người duyệt, lịch review tiếp theo | Duyệt nội dung policy |
| Dùng chung control và evidence | Kiểm tra phần khác biệt giữa các requirement |
| Gắn request với evidence đã duyệt, giới hạn quyền xem | Trả lời câu hỏi của auditor |
1. Giao owner và theo dõi deadline
Một control ghi trong spreadsheet không tự nhắc người chịu trách nhiệm. Platform tạo task theo kỳ, gửi nhắc việc và giữ trạng thái xử lý, nên người quản lý thấy việc quá hạn mà không phải hỏi từng phòng ban.
2. Thu evidence từ hệ thống nguồn
Danh sách tài khoản, cấu hình MFA, pull request, kết quả scan và ticket thay đổi thường đã có sẵn trong công cụ vận hành. Tích hợp lấy dữ liệu theo lịch và giữ nguồn, thời điểm thu thập. Owner vẫn phải xác nhận evidence phù hợp với control. Xem thêm cách làm trong bài thu thập bằng chứng compliance tự động.
3. Phát hiện evidence đã cũ
Một ảnh chụp cấu hình từ sáu tháng trước có thể không còn phản ánh trạng thái hiện tại. Platform theo dõi chu kỳ của từng evidence, mở lại task khi đến kỳ review và nhắc owner trước hạn.
4. Access review định kỳ
Access review (rà soát quyền truy cập) là yêu cầu chung của SOC 2, ISO 27001 và HIPAA. Workflow nên lập danh sách người dùng, giao reviewer, ghi quyết định giữ hay thu hồi quyền và theo dõi việc thu hồi đến khi xong. Một file danh sách là chưa đủ nếu thiếu bằng chứng đã review và đã xử lý.
5. Review và phê duyệt policy
Platform giữ phiên bản hiện hành, owner, người phê duyệt, ngày hiệu lực và lần review tiếp theo. Tự động hóa phù hợp với việc khởi tạo chu kỳ và ghi lịch sử, không phù hợp với việc tự duyệt nội dung thay lãnh đạo.
6. Mapping giữa nhiều framework
Một control truy cập có thể đáp ứng nhiều requirement. Platform nối control và evidence dùng chung để tránh upload cùng file vào nhiều folder. Mapping không có nghĩa hai requirement giống hệt nhau; team vẫn phải kiểm tra phần khác biệt.
7. Chuẩn bị audit request
Khi auditor gửi request list, team gắn từng yêu cầu với evidence đã review, giới hạn quyền xem và theo dõi câu hỏi còn mở. Cách này tránh phải dựng data room mới cho mỗi kỳ audit.
Vì sao những việc này đáng tự động hóa trước?
Chúng lặp lại theo chu kỳ và auditor kiểm tra chính tính đều đặn đó. Với SOC 2 Type II, công ty CPA đánh giá control có vận hành trong cả một kỳ, dựa trên bộ Trust Services Criteria của AICPA. Một access review bị bỏ lỡ giữa kỳ có thể bị ghi nhận là ngoại lệ (exception) trong báo cáo, dù tháng audit mọi thứ đều ổn. Vì vậy việc nhắc hạn và giữ lịch sử thường mang lại giá trị sớm nhất. Nếu bạn chưa chắc doanh nghiệp đã cần platform, đọc khi nào doanh nghiệp cần compliance platform.
Công việc nào không nên giao hoàn toàn cho tự động hóa?
Những quyết định cần phán đoán và chịu trách nhiệm vẫn thuộc về con người:
- Xác định phạm vi và mục tiêu của chương trình.
- Đánh giá tác động hoặc mức rủi ro trong bối cảnh doanh nghiệp.
- Chấp nhận rủi ro còn lại.
- Phê duyệt policy và exception.
- Kết luận evidence có đủ cho một cuộc đánh giá cụ thể hay không.
Mục tiêu của platform là giảm thao tác điều phối, không loại con người khỏi quyết định. Phân vai đầy đủ có trong bài compliance platform làm được gì và không thay thế ai.
pTrackly xử lý bảy việc này thế nào?
Trong pTrackly, evidence task có tần suất và ngày review; khi đến kỳ, task mở lại và người phụ trách được nhắc trước 7, 3 và 1 ngày. Access review lấy danh sách tài khoản từ con người trong hệ thống, ứng dụng kết nối qua Google Workspace hoặc tài khoản ứng dụng ghi theo từng người, giao cho quản lý của từng người hoặc một reviewer chung, và không ai tự duyệt quyền của chính mình. Policy đi qua bước gửi duyệt và người duyệt được chỉ định. Audit có request list, auditor portal riêng và khi khóa thì evidence được đóng băng kèm dấu vân tay SHA-256. Xem managed compliance của pTrackly và trách nhiệm giữa pTrackly với khách hàng.
Câu hỏi thường gặp
Nên tự động hóa công việc compliance nào đầu tiên?
Thường là giao owner, nhắc deadline và thu evidence định kỳ, vì đây là phần lặp lại nhiều nhất và auditor kiểm tra tính đều đặn của nó. Access review là ứng viên tiếp theo vì xuất hiện ở hầu hết framework.
Tự động hóa evidence có làm thay việc của owner không?
Không. Tích hợp lấy dữ liệu và ghi thời điểm thu thập, còn owner vẫn xác nhận evidence phù hợp control và đúng phạm vi trước khi gửi duyệt.
Access review có tự động hóa hoàn toàn được không?
Phần lập danh sách, giao reviewer, nhắc và leo thang có thể tự động. Quyết định giữ hay thu hồi quyền và việc thu hồi thực tế vẫn do người phụ trách thực hiện và ghi nhận.
Có nên tự động phê duyệt policy không?
Không. Platform có thể khởi tạo chu kỳ review và lưu lịch sử phiên bản, nhưng nội dung policy phải được người có thẩm quyền đọc và phê duyệt.
