Atlassian Trust Management System (ATMS)

Introduzione al nostro Atlassian Trust Management System (ATMS)

In Atlassian siamo molto orgogliosi dei valori della nostra azienda, che guidano tutto ciò che facciamo. Un valore specifico che si distingue dagli altri è Promuovi un'azienda aperta, non solo a parole. Ciò che questo specifico valore rappresenta corrisponde esattamente al modo in cui lo definiamo nella nostra pagina Valori.

Sappiamo che per poter dare voce ai propri pensieri servono idee (cosa dire), riflessione (quando dirlo) e attenzione (come dirlo).

Dal feedback dei nostri clienti emerge molto spesso l'esigenza di maggiori informazioni su come conduciamo il nostro business e gestiamo le nostre operazioni. Vorremmo spendere qualche parola sul nostro Trust Management Program, definito anche Atlassian Trust Management System (ATMS) ai sensi dello standard ISO 27001 per la gestione della sicurezza.

In Atlassian, possiamo affermare con orgoglio di essere un po' diversi, in termini di approccio esclusivo alle vendite, di valori aziendali o di approccio alle attività filantropiche. Abbiamo esteso questo approccio al nostro Trust Management Program.

L'importanza di un programma di gestione strutturato

I sistemi di gestione offrono un valore elevato, che si tratti di valutare sistemi di gestione della qualità, sistemi di gestione dei difetti, il metodo Kaizen per il miglioramento continuo o una metodologia strutturata per stimare la maturità delle funzionalità. Questi programmi di gestione sono stati testati sul campo, pubblicati, sottoposti a peer review e perfezionati. Il nostro Atlassian Trust Management Program è basato sullo standard ISO 27001 - Sistema di gestione per la sicurezza delle informazioni, che si fonda sui seguenti principi:

Questo standard internazionale può essere utilizzato da parti interne ed esterne per valutare la capacità dell'organizzazione di soddisfare i propri requisiti di sicurezza delle informazioni.

Il valore degli standard internazionali come linee guida (non obbligatorie)

Come per qualsiasi organizzazione, in particolare quelle che hanno la responsabilità dell'hosting e della gestione dei dati dei clienti, sono numerose le domande che i clienti ci pongono riguardo al fatto che Atlassian, in qualità di provider di servizi cloud, adotti le necessarie misure di protezione e riservatezza dei loro dati. Qualsiasi cliente che stia valutando l'utilizzo di servizi cloud deve affrontare decisioni simili nella scelta di ospitare applicazioni o servizi chiave.

Il Trust Management Program di Atlassian tiene conto degli specifici requisiti di sicurezza di ciascun cliente e definisce una serie di requisiti specifici per la nostra azienda e il nostro ambiente. L'approccio ISO 27001 alla pianificazione, all'operatività, alla valutazione delle prestazioni e al miglioramento consente una valutazione continua del funzionamento del nostro programma e permette di migliorarlo nel corso del tempo per tenere conto delle nuove minacce e dei nuovi requisiti o per migliorare le prestazioni complessive delle nostre operazioni.

Valutiamo gli standard internazionali come una serie di linee guida ben strutturate, ma consideriamo ciascuno dei controlli e ne valutiamo l'adeguatezza al nostro ambiente specifico. Adottiamo un approccio simile all'applicabilità complessiva di questi standard internazionali per il nostro ambiente.

Policy Management Program

Alla base del Trust Management System c'è il Policy Management Program (PMP). Abbiamo strutturato le nostre policy in modo da tenere conto dei domini inclusi sia nello standard ISO 27001 che nella Cloud Controls Matrix (CCM) di Cloud Security Alliance (CSA). Per il Policy Management Program abbiamo sviluppato alcuni principi fondamentali:

• Essere informati e disponibili: la nostra attività non è un gioco e indichiamo in modo molto chiaro lo standard che ci aspettiamo venga raggiunto dai nostri team.
• Essere supportati dal team di sicurezza per semplificare il rispetto della conformità: siamo qui per aiutare i nostri team ad aiutarci.
• Definire i nostri obiettivi di sicurezza: ci piace avere degli obiettivi e comunicarli in modo chiaro.
• Dare prova di impegno nel rispettare gli obblighi normativi per evitare qualsiasi problema di natura legale.
• Essere concentrati sull'iterazione e sul miglioramento continui: continuiamo a valutare i rischi nel nostro ambiente e nel nostro programma e a tenerne conto nelle nostre policy.
• Fornire un processo per la gestione delle eccezioni: per le situazioni in cui i nostri team sono impossibilitati a rispettare le policy per un breve periodo.
• Condurre una revisione annuale, che includa l'aggiornamento delle nostre policy man mano che emergono nuove minacce e nuovi rischi.

Leggi la panoramica e gli estratti delle nostre policy tecnologiche.

Risk Management Program

Per valutare continuamente i rischi per i nostri ambienti e i nostri prodotti, conduciamo valutazioni continue dei rischi. In molti casi, specialmente per i nostri prodotti, vengono eseguite come valutazioni tecniche del rischio o revisioni del codice. Tuttavia, effettuiamo anche una valutazione di ogni prodotto del nostro intero stack o di una parte della nostra organizzazione per scoprire rischi aziendali di livello superiore. In generale, abbiamo adottato la metodologia ISO 27005 o ISO 31010 relativa alla gestione dei rischi e la applichiamo a un determinato ambito. Il nostro approccio alla gestione dei rischi comprende:

• Condurre attività di valutazione dei rischi, tra cui l'esecuzione delle valutazioni stesse e la facilitazione delle decisioni sul trattamento del rischio. Ciò include l'identificazione dell'ambito e degli asset compresi nell'ambito, l'identificazione dei rischi, la valutazione del loro impatto e della probabilità che si verifichino, la revisione e la creazione di report sui rischi.
• Monitorare ed eseguire report sui progetti destinati a gestire i rischi per la sicurezza: continuiamo a monitorare e a creare report su programmi o progetti concepiti per gestire i rischi per la sicurezza.
• Sostenere l'SMP attraverso una valutazione continua dei rischi come meccanismo per migliorare l'ambiente e garantire che i controlli di sicurezza implementati gestiscano efficacemente i rischi per la sicurezza identificati.

Per ulteriori informazioni, consulta il nostro Enterprise Risk Management Program.

Atlassian Trust Management Forum (ATMF)

Infine, gestiamo un Trust Management Forum strutturato che include rappresentanti di ciascuno dei pilastri del nostro Trust Program per garantire l'applicazione non solo dei controlli di sicurezza, ma anche dei controlli di affidabilità, privacy e conformità e della modalità di gestione dei rischi in ciascuno di questi pilastri. Abbiamo creato riunioni di forum separate per garantire la copertura di argomenti specifici e indirizzare i contributi alla sede appropriata.

Lo scopo dell'ATMF è di:

• Concordare le priorità e le azioni necessarie per proteggere Atlassian e i clienti dalle minacce alla sicurezza.
• Promuovere le attività all'interno di ciascuna divisione aziendale per risolvere lacune o vulnerabilità che potrebbero esporre al rischio di attacchi.
• Fornire ai gruppi di lavoro indicazioni e assistenza sui rischi critici per la sicurezza e sui programmi di conformità.
• Promuovere una cultura della consapevolezza della sicurezza in tutta l'organizzazione.

Gestiamo le seguenti riunioni del forum:

• ATMF: revisione della gestione (cadenza annuale, in linea con il bilancio).
• ATMF: revisione delle risorse (cadenza annuale, in linea con il bilancio).
• ATMF: revisione del rischio (cadenza trimestrale).
• ATMF: revisione dell'integrità della sicurezza (cadenza mensile).
• ATMF: analisi dello stato di conformità (cadenza mensile).
• ATMF: revisioni della gestione (cadenza settimanale; ogni team funzionale conduce una revisione della gestione).

La struttura e la frequenza delle riunioni assicurano una revisione continua del nostro profilo di minaccia, nonché della nostra risposta a tali minacce.

Gli approcci per gestire un'organizzazione di sicurezza sono innumerevoli. In Atlassian crediamo di aver creato un programma flessibile e reattivo, ma anche adeguatamente strutturato, in modo da garantire la capacità di valutare e gestire le nuove minacce e i nuovi rischi sia per noi che per i nostri clienti.