Аудит відповідності LADMF та сертифікація ACAB

Отримайте сертифікат аудиту DMF, щоб отримати доступ до основного файлу обмеженого доступу (LADMF).

У 2016 році Адміністрація соціального захисту почала вимагати сертифікацію безпеки для компаній, які мають доступ до головного файлу смерті SSA. У відповідь, Альянс Лазаря почали пропонувати компаніям оцінки аудиту ACAB DMF. Сьогодні ми залишаємося однією з найбільш досвідчених аудиторських сертифікаційних фірм LADMF DMF в країні.

Альянс Лазаря в основному використовує Структуру NIST для покращення кібербезпеки критичної інфраструктури та Публікацію 100 Програми сертифікації файлів смертей з обмеженим доступом NTIS (LADMF) як рекомендації для виконання вимог правила.

Як варіант, ми також розглянемо існуючі FedRAMP, StateRAMP, SOC 1, SOC 2або ISO 27001 сертифікати та атестації відповідно до NTIS Limited Access Death Master File Публікація програми сертифікації 100, Альянс Лазаря Security & Risk Services оцінює такі критерії, як:

Захищене зберігання інформації
Обмеження доступу до інформації LADMF
Утилізація інформації DMF з обмеженим доступом
Інструкції з інформаційної безпеки відповідно до вимог аудиту ACAB DMF

Крім того, ми проводимо початкову оцінку середовища, де визначимо, на основі того, як і де обробляється LADMF, наскільки ми можемо «витягти» результати тестування з будь-яких попередніх оцінок. Після завершення оцінки аудиту DMF та після задовільного завершення будь-яких пов'язаних з цим заходів з усунення недоліків, Альянс Лазаря подає заповнену форму атестації системних гарантій LADMF ACAB (форма NTIS FM100A) відповідно до процедур NTIS до NTIS від імені нашого клієнта.

Головний файл про смерть з обмеженим доступом – програма NTIS/SSA

Програма LADMF – це обов’язкова сертифікація на основі аудиту, яку вимагає NTIS з 2016 року для будь-якої організації, яка потребує постійного легального доступу до записів про смерть у системі соціального страхування. Без поточної сертифікації доступ буде анульовано, а штрафи можуть сягати 250 000 доларів США на рік.

Графік аудиту: чого очікувати від Lazarus Alliance

Досягнення Сертифікація LADMF ACAB не обов'язково має бути складним, стресовим чи тривати місяцями. Коли ви співпрацюєте з Lazarus Alliance, весь процес є структурованим, прозорим і зазвичай завершується 6-10 тижнів для більшості організацій.

Ось як саме виглядає весь шлях від початку до кінця. Lazarus Alliance дотримується цього структурованого 5-етапного процесу (діяльність, типова тривалість та результати наведено нижче):

Фаза	Діяльності	Типова тривалість	Ключові результати та інструменти
Фаза 0 – Попередня взаємодія та прийняття рішення	Початкова консультація, обговорення обсягу робіт, підписання листа про нерозголошення та листа про домовленість, узгодження роботи команди	1–2 тижні (до початку гри)	Підписаний технічний опис проекту, статут проекту та доступ до захищеного порталу Continuum GRC
Фаза 1 – Початок та визначення обсягу робіт	Зустріч з питань відкриття, визначення меж системи, відображення потоку даних LADMF, визначення застосовності керування	0–1 тиждень	Фіналізований документ про обсяг робіт, налаштований контрольний список, список запитів на документи
Фаза 2 – Збір та готовність доказів	Політики завантаження, процедури, журнали доступу, записи про навчання, звіти попередніх аудитів; аналіз прогалин та підтримка усунення недоліків	1–4 тижні	Повний пакет доказів у Continuum GRC, план усунення прогалин
Фаза 3 – Польова оцінка	Інтерв'ю, демонстрації систем, контрольне тестування, огляд журналів та конфігурації, перевірка доказів	4–7 тижні	Результати тестування, попередній звіт про висновки та інформаційні панелі стану
Фаза 4 – Звітування та атестація	Розгляд проекту звіту, вирішення висновків, підготовка та подання остаточної атестації ACAB	7–10 тижні	Заключний звіт, форма NTIS FM100A Атестація системних гарантій, безпосереднє подання до NTIS
Фаза 5 – Сертифікація та постійне обслуговування	Прийняття NTIS, видача сертифікатів та планування щорічної самооцінки	Негайно після схвалення NTIS + подальше	Офіційна 3-річна сертифікація LADMF ACAB, щорічна дорожня карта готовності

Чому клієнти швидше завершують роботу з Lazarus Alliance

Перевірена методологія — Ми є активним членом ACAB з 2017 року та спростили процес для сотень організацій.
Платформа Continuum GRC — Безпечний, централізований збір доказів, який скорочує обсяг обміну даними до 50%.
Використання кількох фреймворків — Існуюча робота за стандартами SOC 2, ISO 27001, FedRAMP або NIST 800-53 відображається та повторно використовується, де це можливо.
Віддана команда — Ви працюєте з тими самими експертами від початку до атестації — жодних передач повноважень чи несподіванок.

Більшість клієнтів описують цей досвід як «напрочуд гладкий» та «набагато менш болісний, ніж очікувалося».

Готові почати? Зателефонуйте нам сьогодні за номером +1 (888) 896-7580 або заповніть форму нижче, щоб запланувати безкоштовний дзвінок для оцінки LADMF. Ми надамо вам реалістичні терміни, виходячи з розміру вашої організації та поточного стану відповідності вимогам, протягом 24 годин.

Поширені запитання

Що таке LADMF і чому організаціям потрібен аудит ACAB?

Команда Головний файл смерті з обмеженим доступом (LADMF) – це обмежена версія Головного файлу смертей (DMF) Адміністрації соціального забезпечення, доступна через NTIS. Доступ до нього отримують лише організації, які пройшли ретельний незалежний аудит Акредитованого органу з оцінки відповідності (ACAB). Без поточної сертифікації ACAB доступ буде анульовано, а організації можуть бути оштрафовані на суму до 250 000 доларів США на рік.

Кому потрібно пройти сертифікаційний аудит LADMF (NTIS)?

Будь-яка особа чи організація (включаючи фінансові установи, страхові компанії, пенсійні фонди, слідчі фірми, бюро кредитних історій та групи з запобігання шахрайству), якій потрібен постійний доступ до даних про смерть у системі соціального страхування для законних бізнес-цілей, що вимагаються або дозволені законом, повинні проходити сертифікацію кожні три роки затвердженим органом. ACAB.

Як часто потрібен аудит відповідності LADMF?

NTIS вимагає повної незалежної атестації кожні три роки, а також щорічної самооцінки та системних оглядів у проміжні роки. Багато організацій обирають щорічні сторонні аудити, щоб бути готовими до аудиту та зменшити зусилля, пов'язані з трирічним аудитом.

Які основні відмінності між повним DMF та DMF з обмеженим доступом (LADMF)?

Повний доступ до DMF було припинено у 2016 році. LADMF – єдина версія, доступна зараз і обмежена сертифікованими організаціями. Вона містить ті самі записи про смерть, але доступ суворо контролюється суворими вимогами безпеки, реєстрації доступу та обмеження цілей, що застосовуються через ACAB процес аудиту.

Скільки зазвичай триває процес сертифікації ACAB LADMF?

Співпрацюючи з досвідченим ACAB, таким як Lazarus Alliance, більшість клієнтів проходять повний аудит та отримують лист-підтвердження протягом 6–10 тижнів. Організації, які користуються нашими послугами Континуум GRC Платформа та методологія критичного шляху зазвичай завершуються на 40–50% швидше, ніж у середньому по галузі.

Які штрафи існують за доступ до основного файлу смерті або його використання без чинного сертифіката?

NTIS може накладати цивільні грошові штрафи у розмірі 1,000 доларів США за кожне несанкціоноване розголошення, але не більше 250 000 доларів США на календарний рік. Кримінальне стягнення також може застосовуватися за навмисні порушення.

Чи можна зіставити засоби контролю відповідності LADMF із SOC 2, ISO 27001, NIST 800-53 або FedRAMP?

Так. Lazarus Alliance регулярно картографує та тестує вимоги LADMF разом із SOC2 Критерії довірчих послуг, ISO 27001 Контрольні елементи Додатку А, NIST 800-53 ред.5, та FedRAMP Помірні/Високі базові показники, що дозволяють клієнтам поєднувати аудити та значно скорочувати витрати та зусилля.

Скільки коштує аудит ACAB LADMF, і чи є способи зменшити витрати?

Витрати залежать від розміру та складності організації, але клієнти, які проводять проактивні щорічні оцінки готовності з Lazarus Alliance, зазвичай зменшують витрати на трирічний аудит на 40–60% та уникають витрат на виправлення в останню хвилину.

Переваги сертифікації LA DMF

Сертифікація LADMF — це не просто регуляторний прапорець, вона захищає ваш доступ до даних про критичні смерті, усуває шестизначні штрафи, скорочує довгострокові витрати на аудит до 60% і дозволяє вам використовувати один аудит для задоволення потреб. СОК 2, ISO 27001, FedRAMP, та багато іншого — і все це одночасно зміцнюючи запобігання шахрайству та довіру до регуляторних органів.

Законний, постійний доступ до даних про смерть від SSA: Без поточної сертифікації NTIS миттєво скасовує доступ. Сертифікація – це єдиний спосіб продовжувати використовувати LADMF для запобігання шахрайству, перевірки бенефіціарів або необхідної звітності регуляторних органів.
Уникайте великих штрафів: Цивільні штрафи NTIS = 1,000 доларів США за несанкціоноване розголошення, обмежені 250 000 доларів США на календарний рік. За навмисні порушення можливе кримінальне стягнення. Сертифікація усуває цей ризик.
Зниження витрат на аудит на 40–60% з часом: Організації, які проводять проактивні щорічні перевірки готовності (замість того, щоб зубрити кожні 3 роки), регулярно скорочують витрати на трирічний аудит та виправлення майже вдвічі.
Різке скорочення часу аудиту та зменшення збоїв: Клієнти, які використовують платформу Lazarus Alliance + Continuum GRC, зазвичай завершують повний аудит ACAB за 6–10 тижнів та скорочують внутрішні зусилля на 40–50% порівняно із середнім показником по галузі.
Єдиний аудит відповідає кільком рамкам: Контрольні елементи LADMF безпосередньо відповідають SOC 2, ISO 27001, NIST 800-53, FedRAMP, HIPAA, PCI тощо. Один комбінований аудит = відповідність 5–10 стандартам одночасно → величезна економія коштів та часу.
Покращена профілактика шахрайства та точність: Негайна ідентифікація померлих осіб, зазначених у DMF, зменшує неналежні виплати, переплати пенсій, збитки від крадіжки особистих даних та страхове шахрайство (багато клієнтів повідомляють про 6- та 7-значну річну економію).
Покращена довіра клієнтів та регуляторні відносини: Здатність довести, що ви є сертифікованою, перевіреною організацією, покращує репутацію серед регуляторних органів, аудиторів, державних страхових комісарів та федеральних агентств (особливо для державних підрядників).
Програма відповідності, орієнтована на майбутнє: Щорічні або дворічні сторонні перевірки забезпечують постійний розвиток політик, журналів, засобів контролю доступу та навчання, замість того, щоб їх змінювати кожні три роки.

Більш детальна інформація про програму

LADMF або Master File обмеженого доступу містить конфіденційну інформацію, яка не може бути розголошена протягом трьох років після смерті особи, зокрема:

Номер соціального страхування
ІМ'Я
Дата народження
Дата смерті

Починаючи з 28 листопада 2016 року, організації стикаються з більш суворою процедурою сертифікації, щоб отримати доступ до DMF. Щоб отримати доступ до DMF, фізична або юридична особа повинна:

Мати законний інтерес у запобіганні шахрайству; або
Мають законну ділову мету для виконання закону, державного правила, нормативного акту або фідуціарного обов'язку

Основні зміни, до яких організації повинні бути готові:

Щорічна повторна сертифікація організацією, яка бажає отримати доступ
Атестація відповідності третьою стороною кожні три роки
Угода про планові та позапланові аудити, що проводяться Національною службою технічної інформації (NTIS) або Акредитованим органом з оцінки відповідності (ACAB) на запит NTIS
Штрафи до 250,000 XNUMX доларів на рік за недотримання

Організація, яка бажає отримати доступ до DMF, повинна подати письмове підтвердження від ACAB, щоб підтвердити, що відповідні системи, засоби та процедури впроваджені для захисту інформації та підтримки конфіденційності, безпеки та належного використання інформації.

Щоб краще зрозуміти вимоги, організації можуть знайти зразки форм сертифікації тут:

Форма підтвердження абонента – Зразок
Форма атестації систем безпеки акредитованого органу з оцінки відповідності – Зразок
Форма атестації генерального ревізора чи генерального інспектора державного або місцевого уряду із захисту систем – Зразок

Сертифікація абонента повинна проходити щорічно. Форму атестації систем безпеки LADMF необхідно заповнювати кожні три роки.

Національна служба технічної інформації (NTIS) Міністерства торгівлі США, керівний орган DMF, може проводити як планові, так і позапланові аудити відповідності та штрафувати організації на суму до 250 000 доларів США за недотримання вимог, з ще вищими покараннями за навмисні порушення. Через можливість значних штрафів важливо, щоб організації могли впроваджувати відповідні системи, засоби та процедури для захисту інформації.

Як Альянс Лазаря Може допомогти

Lazarus Alliance — це ACAB, який може засвідчити наявність систем і процедур організацій. Альянс Лазаря використовує різні опубліковані стандарти безпеки інформації, включаючи NIST 800-53, AICPA SOC2, та ISO 27001, щоб задовольнити вимоги правила аудиту.

«Lazarus Alliance» є провідною фірмою ACAB вже понад 8 років. — Майкл Пітерс, Генеральний директор та засновник

З 2017, Альянс Лазаря працює над тим, щоб допомогти нашим клієнтам виконати вимоги аудиту DMF, і успішно подала відповідні форми атестації до NTIS, що призвело до сертифікації наших клієнтів. Ми маємо великий досвід тестування контролю, що вимагається LADMF, і розуміємо процес і вимоги сертифікації.

Послуги з аудиту відповідності LADMF: Отримайте сертифікацію ACAB за допомогою оцінок, узгоджених з NIST. Зателефонуйте +1 (888) 896-7580 сьогодні.