Er gap-analys ska vara levande
Den klassiska gap-analysen går till så här: boka en workshop, gå igenom kontrollerna, färga cellerna gröna, gula och röda, och spara kalkylbladet på ett säkert ställe. Sex månader senare minns ingen varför kontroll 8.16 var gul, vem som jobbade med att åtgärda den, eller om svaret fortfarande skulle vara detsamma.
Problemet är mediet, inte analysen. Ett kalkylblad är en ögonblicksbild. Efterlevnad är en rörlig bild.
Alla 93 kontroller på ett och samma ställe
Aquils Compliance Assistant håller koll på hela bilaga A till ISO 27001:2022: alla 93 kontroller inom de organisatoriska, personalrelaterade, fysiska och tekniska temaområdena. Varje kontroll har sin status, sina anteckningar och länkar till de dokument och processer som implementerar den, så att frågan ”varför är den här gul” alltid har ett svar kopplat till sig.
Eftersom bedömningen ligger sida vid sida med er dokumentation i stället för i en separat fil blir det samma handling att stänga ett gap och att styrka det: skriv rutinen, länka den till kontrollen, klart.
Överblick över ramverken – i stället för att börja om
Få organisationer förhåller sig till bara ett enda ramverk. Aquil har inbyggda ramverksövergripande mappningar som visar hur arbete i ett ramverk kommer till nytta i ett annat: vilka krav som är helt uppfyllda, delvis uppfyllda eller bara relaterade. Mappningarna är medvetet informativa: de markerar aldrig automatiskt en kontroll som klar, eftersom bedömningen av vad som täcks är er sak, inte en uppslagstabells uppgift.
Den praktiska effekten är att ert andra ramverk börjar utifrån vad ert första ramverk redan har uppnått, i stället för från ännu ett tomt kalkylblad.
Från gap till åtaganden
Gap är inte bara interna. Kundavtal och frågeformulär i upphandlingar bär på egna säkerhetskrav, och Aquils Requirement Tracker låter er matcha dessa externa krav mot era kontroller och status per tjänst, inklusive att flagga när ett kundkrav rakt av strider mot hur er plattform fungerar. Det samtalet är mycket billigare att ha innan avtalet är påskrivet än efteråt.
En levande gap-analys betyder inte mer arbete. Den betyder att arbetet ni redan gör (skriva rutiner, driva processer, svara revisorer) samlas på ett ställe, så att analysen helt enkelt alltid är klar.