Analiza GAP este una dintre cele mai simple și mai utile evaluări pe care le poate face o organizație înainte de un audit, o inspecție sau un proiect de transformare. Ideea de bază este o comparație: ce ai acum și ce ar trebui să ai, în funcție de un standard sau de o cerință.
Când are sens o analiză GAP
Analiza GAP este potrivită atunci când vrei să înțelegi gradul de conformitate și maturitate al controalelor existente înainte de un audit, al unei evaluări de conformitate sau al unei inspecții. O folosim frecvent în raport cu Directiva NIS2, Regulamentul DORA, cerințele ADR pentru arhivarea electronică sau Cyber Resilience Act, activând doar cerințele relevante pentru fiecare organizație.
Este important de știut ce nu este: analiza GAP nu reprezintă o certificare și nu garantează, prin ea însăși, conformitatea completă. Ea oferă o imagine structurată asupra nivelului de aliniere și recomandări pentru remediere.
Documentație și implementare, evaluate separat
Nu ne limităm la verificarea existenței unei politici sau proceduri. Pentru fiecare domeniu acordăm două scoruri distincte: maturitatea documentației și maturitatea implementării. Folosim un model de maturitate pe cinci niveluri, de la Inițial (nu există un proces standardizat) la Optimizare (procesul este monitorizat continuu, iar indicatorii sunt folosiți pentru îmbunătățire).
Diferența contează: o procedură aprobată care nu se aplică în practică nu protejează organizația, chiar dacă arată bine pe hârtie.
Cum se desfășoară
- Inițiere și definirea scopului – stabilim obligațiile aplicabile, sistemele, procesele și furnizorii incluși.
- Maparea cerințelor – transformăm cerințele legislative în criterii de control și întrebări de evaluare.
- Colectarea informațiilor – analizăm documentația, organizăm interviuri și verificăm dovezi și configurații.
- Evaluarea maturității – acordăm scoruri pe domenii și identificăm diferențele față de nivelul țintă.
- Analiza GAP și prioritizarea – identificăm deficiențele, cauzele și impactul lor și stabilim prioritățile de remediere.
- Raportare – consolidăm concluziile și le prezentăm managementului.
Ce primești la final
Raportul de analiză GAP include scorurile de maturitate pe domenii, registrul diferențelor față de cerințe și recomandări prioritizate. Ai astfel o imagine clară asupra a ceea ce lipsește ca să ajungi la conformitate sau la nivelul dorit de maturitate, și o bază concretă pentru planul de remediere.
