@rmostakin
VAI TRÒ
Bạn là một chuyên gia biên soạn tài liệu quản trị và tuân thủ CNTT cấp cao, chuyên về bộ tiêu chuẩn CIS Controls v8.1 dành cho các nhà cung cấp dịch vụ quản lý (MSP). Bạn chuyển hóa các chính sách dày đặc, mang nặng tính kiểm toán thành những tài liệu rõ ràng, thực tế mà nhân viên có thể làm theo và kiểm toán viên có thể xác minh.
BỐI CẢNH
Klos Consulting Inc. là một nhà cung cấp Dịch vụ Quản lý CNTT & An ninh mạng. Tôi đang đính kèm bản dự thảo hiện tại "Quy trình Quản lý Dữ liệu & Sổ tay Vận hành Datto" (bản nháp v2.0) của công ty. Tài liệu này đáp ứng CIS Control 3, Safeguard 3.1: Thiết lập và Duy trì Quy trình Quản lý Dữ liệu (Loại tài sản: Dữ liệu, Chức năng bảo mật: Quản trị).
Biện pháp bảo vệ (Safeguard) này yêu cầu một quy trình được lập thành văn bản giải quyết các vấn đề:
1. Độ nhạy cảm của dữ liệu
2. Chủ sở hữu dữ liệu
3. Xử lý dữ liệu
4. Giới hạn lưu trữ dữ liệu
5. Yêu cầu hủy bỏ dữ liệu
...dựa trên các tiêu chuẩn về độ nhạy cảm và lưu trữ của doanh nghiệp. Tài liệu này phải được rà soát và cập nhật hàng năm, hoặc khi có những thay đổi đáng kể trong doanh nghiệp.
Các hệ thống nơi dữ liệu tồn tại (cần được đề cập trong tài liệu):
- Microsoft 365: OneDrive, SharePoint
- Nhân sự/Tài chính: Bamboo HR, ADP, QuickBooks Online, Bank of America, Connectbooster
- Kinh doanh/Tiếp thị: HubSpot, Canva, MailerLite, Exclaimer, LinkedIn/Facebook/Instagram, Grasshopper
- Cung cấp dịch vụ khách hàng: Egnyte Portal, ScalePad, Lifecycle Insight, SkyKick, Pax8
- Sao lưu/RMM: Kaseya Datto (BCDR/RMM)
- Bảo mật/Định danh: Huntress, Cloudflare, HaveIBeenPwned, LastPass, Duo, Horizon3
- Mạng/Đám mây: Unifi, Nerdio, SonicWall Portal
- Nhà cung cấp: Ingram, Dell
NHIỆM VỤ
Viết lại tài liệu đính kèm sao cho đơn giản, dễ hiểu và được tổ chức tốt mà không làm mất đi bất kỳ thông tin nào mà kiểm toán viên cần. Không làm suy yếu hoặc bỏ sót bất kỳ yếu tố nào trong năm yếu tố bắt buộc.
YÊU CẦU
- Ngôn ngữ giản dị: câu ngắn, không dùng thuật ngữ chuyên ngành mà không có định nghĩa một dòng, và dùng thể chủ động ("Chủ sở hữu Dữ liệu phê duyệt việc hủy bỏ").
- Mở đầu bằng bản tóm tắt dài một trang: quy trình này là gì, ai làm việc gì và 5 quy tắc mọi người phải nhớ.
- Sử dụng cấu trúc rõ ràng, lặp lại nhất quán: Mục đích, Phạm vi, Vai trò, Phân loại, Xử lý, Lưu trữ, Hủy bỏ, Rà soát.
- Thay thế các đoạn văn dài bằng bảng biểu, danh sách kiểm tra (checklist) và luồng vòng đời đơn giản (Tạo > Phân loại > Lưu trữ/Sử dụng > Duy trì > Hủy bỏ).
- Rút gọn tiêu chuẩn phân loại 4 cấp độ thành một "tờ ghi chú nhanh" (cheat sheet) dài một trang (nó là gì, ví dụ, cách xử lý, thời gian giữ lại).
- Giữ lịch trình lưu trữ dưới dạng một bảng đơn giản (loại dữ liệu, phân lớp, chủ sở hữu, thời gian lưu giữ, hành động tiếp theo).
- Ánh xạ mọi nền tảng trong danh sách vị trí dữ liệu vào một miền (domain), một chủ sở hữu dữ liệu, một mức phân loại và một quy tắc lưu trữ. Đánh dấu bất kỳ nền tảng nào đang bị thiếu trong tài liệu.
- Giữ lại sổ tay vận hành (runbook) Datto, nhưng tách thành một danh sách kiểm tra từng bước riêng biệt (hàng ngày, hàng tháng, hàng quý và khi ngừng cung cấp dịch vụ cho khách hàng - client offboarding).
- Giữ nguyên chính xác các vai trò, tên, chức danh, thời hạn lưu trữ và tham chiếu CIS như đã cho, trừ khi tôi có yêu cầu khác. Không tự bịa ra dữ kiện, lời khuyên pháp lý hoặc con số. Đánh dấu những khoảng trống thông tin là to_confirm.
- Giữ lại các tài liệu tham khảo, nhưng chỉ trích dẫn chúng ở những nơi chúng được sử dụng.
- Dọn dẹp các phần nháp còn sót lại, lỗi chính tả, văn bản trùng lặp và các thuật ngữ không nhất quán.
ĐẦU RA
1. Tài liệu đã được viết lại, định dạng chuyên nghiệp và sẵn sàng để trình CEO phê duyệt, kèm theo khung thông tin phiên bản/chủ sở hữu/ngày rà soát.
2. Một danh sách ngắn "Những gì đã thay đổi và lý do".
3. Một danh sách ngắn các câu hỏi mở hoặc các mục tôi cần xác nhận lại.
GIỌNG ĐIỆU & ĐỘ DÀI
Chuyên nghiệp nhưng thân thiện, và ngắn gọn nhất có thể trong khi vẫn đảm bảo sẵn sàng cho kiểm toán. Hướng tới độ dài bằng khoảng một nửa so với bản hiện tại.