Bitdefender GravityZone Compliance Manager

Dlaczego potrzebujesz zarządzania zgodnością na endpointach?

Audytor pyta o dowód, że kontrola działa - nie o to, czy została kupiona. Polityki mówią, że stacje mają włączony firewall, aktualne poprawki i wyłączone zbędne usługi; dowód na to, że tak jest dziś na każdej z kilkuset maszyn, zwykle powstaje ręcznie: eksport z jednej konsoli, arkusz z drugiej, zrzuty ekranu z trzeciej. Przy każdym przeglądzie od nowa.

Bitdefender GravityZone Compliance Manager to moduł konsoli GravityZone, który ocenia stan kontroli technicznych na stacjach roboczych i serwerach wobec wybranego standardu - w tym NIS2, DORA i ISO 27001 - pokazuje, które kontrole są niespełnione i na których zasobach, i generuje z tego raport. Zgodność obejmuje znacznie więcej niż stacje; ten moduł domyka jej techniczną, endpointową część.

Jak to działa?

Ocena kontroli wobec standardu

Compliance Manager korzysta z danych, które agent GravityZone i moduł Risk Management już zbierają ze stacji: konfiguracji systemu, stanu ochrony, aplikacji i ustawień. Każdy standard jest rozpisany na sekcje i kontrole; dla każdej kontroli moduł sprawdza, czy stacja spełnia wymagane warunki, i wylicza wynik dla całej organizacji. Wynik aktualizuje się przy kolejnych skanach ryzyka, więc nie trzeba uruchamiać osobnej inwentaryzacji przed przeglądem.

Strona Compliance: od wyniku do zasobu

W konsoli, w menu Risk Management, strona Compliance pokazuje standardy mające zastosowanie do środowiska i stopień ich spełnienia. Po wybraniu standardu widać listę kontroli, sekcję, do której należą, ich wynik i zasoby, których dotyczą; każda kontrola ma opis celu i wymagań, a tam, gdzie vendor je udostępnia, także wskazówki, jak ją spełnić. Widok da się zawęzić do standardów i kontroli istotnych dla organizacji.

Remediacja i raport

Wykryte luki, które da się zamknąć zmianą ustawień po stronie GravityZone, zamyka się z tej samej strony jednym kliknięciem. Raport w formacie PDF lub XLSX generuje się dla wybranego standardu i zawiera dane z pulpitu - ten sam dokument trafia do przeglądu wewnętrznego i do audytora.

Główne funkcje

Standardy

• Standard podstawowy dla stacji Windows dostępny od razu na każdej licencji z dostępem do modułu
• Standardy zaawansowane: NIS2, DORA, GDPR, ISO/IEC 27001, SOC 2, PCI DSS, HIPAA, CIS v8, CMMC 2.0, NIST CSF 2.0, Cyber Essentials i inne benchmarki krajowe
• Lista obsługiwanych standardów rośnie - aktualny zestaw widać w konsoli

Ocena i widoczność

• Wynik zgodności organizacji per standard, przeliczany po każdym skanie ryzyka
• Lista kontroli z sekcją standardu, wynikiem i zasobami, których dotyczy
• Opis każdej kontroli z wymaganiami i wskazówkami remediacji
• Standardy spoza licencji oznaczone w konsoli - widać, co odblokuje dodatek

Remediacja i dowody

• Zamykanie wykrytych luk jednym kliknięciem ze strony Compliance
• Raporty PDF i XLSX z pełnymi danymi pulpitu dla wybranego standardu
• Jedna konsola dla ochrony, ryzyka i zgodności - bez eksportów między narzędziami

Poziomy Basic i Premium - co masz, a co dokupujesz

Jeśli masz Business Security Premium albo Enterprise, poziom Basic już masz. Vendor udostępnia Compliance Manager automatycznie każdej organizacji, która ma moduł Risk Management w licencji:

• GravityZone Business Security Premium
• GravityZone Business Security Enterprise
• GravityZone EDR cloud
• Bitdefender MDR
• GravityZone Cloud MSP Security

Poziom Premium to licencja dodatku Compliance Manager (w dokumentacji vendora: „Compliance Manager add-on”), która odblokowuje standardy zaawansowane. Raport nazwany „NIS2” wymaga więc dodatku; sam poziom Basic pokazuje, jak daleko od niego jesteś. Dla dostawców usług zarządzanych dodatek dokłada się do rozwiązania bazowego niezależnie od tego, czy licencja jest à la carte, czy pakietowa.

Zakres i ograniczenia

Monitorowany obszar: stacje robocze i serwery z agentem GravityZone - Compliance Manager nie ocenia sieci, chmury ani aplikacji SaaS. Zgodność środowisk chmurowych mierzy osobno GravityZone CSPM+.

Systemy: standard podstawowy dotyczy Windows; zakres pozostałych standardów per system określa dokumentacja vendora.

Co to nie jest: narzędzie ocenia kontrole techniczne. Nie ocenia polityk, procesów, umów z dostawcami ani szkoleń - a sam vendor zastrzega, że moduł nie gwarantuje zaliczenia audytu, i zaleca pracę z akredytowanym audytorem.

Dla kogo?

• Podmioty kluczowe i ważne w rozumieniu uKSC - bieżący dowód stanu kontroli technicznych na stacjach zamiast arkusza aktualizowanego przed przeglądem
• Instytucje finansowe pod DORA - ten sam moduł, inny standard w filtrze
• Organizacje z ISO 27001 lub w drodze do certyfikacji - kontrole z załącznika A dotyczące stacji mierzone automatycznie
• Klienci Premium i Enterprise - poziom Basic już jest w konsoli; warto go włączyć, zanim zapadnie decyzja o dodatku
• Firmy korzystające z doradztwa compliance nFlo - moduł dostarcza dane o stacjach do gap analysis, a doradcy domykają część organizacyjną

Jak GravityZone Compliance Manager wspiera NIS2 i uKSC?

Compliance Manager jest w mapie NIS2/uKSC modułem od dowodów: mierzy, czy kontrole techniczne na stacjach są spełnione, i dokumentuje stan - dwa z dwunastu obszarów art. 8 uKSC i art. 21 NIS2, których pełne mapowanie opisujemy w artykule jak GravityZone wspiera NIS2 i uKSC:

• Zarządzanie ryzykiem i ocena skuteczności kontroli - ocena wobec standardu NIS2 pokazuje, które kontrole są niespełnione i na których stacjach; raport ze strony Compliance dokumentuje stan na dzień przeglądu i pozwala porównać go z poprzednim. Narzędzie ocenia kontrole techniczne, nie zastępuje SZBI, formalnego zarządzania ryzykiem ani audytu.
• Cyberhigiena i redukcja powierzchni ataku - standard podstawowy to baza cyberhigieny dla Windows, a wśród zaawansowanych są benchmarki CIS; niespełnione kontrole konfiguracji zamyka się z konsoli, więc lista luk zamienia się w listę wykonanych utwardzeń.

Które kontrole liczą się dla Twojego podmiotu i jak przełożyć wynik z konsoli na dokumentację SZBI, ustalimy w ramach usługi Compliance NIS2 i DORA.

Kto podlega ustawie, terminy i kary - zbiera nasz hub NIS2. GravityZone nie zastępuje SZBI, formalnego zarządzania ryzykiem, audytu ani odpowiedzialności organizacji za obowiązki z NIS2 i uKSC - wspiera ich techniczną część.

Dlaczego wdrożyć z nFlo?

• Sprawdzamy, czy poziom Basic jest już aktywny w Twojej konsoli, i uruchamiamy go, zanim zdecydujesz o dodatku
• Dobieramy standardy do obowiązków podmiotu: NIS2, DORA, ISO 27001 - bez płacenia za benchmarki, których nikt nie przeczyta
• Przekładamy wynik ze strony Compliance na język audytu: które kontrole są pokryte technicznie, a które wymagają działań organizacyjnych
• Łączymy moduł z doradztwem compliance nFlo, żeby dowody techniczne i dokumentacja SZBI mówiły to samo