CISO Assistant: GRC pa varrezën e Excel-it

Në shumicën e kompanive GRC jeton në Excel: një tabelë për regjistrin e rreziqeve, një për çdo auditim, një për masat, të gjitha në versione të ndryshme, të gjitha të dërguara me email, asnjëra e përditësuar. CISO Assistant synon ta zëvendësojë pikërisht këtë: një platformë open-source që i bashkon qeverisjen, rrezikun dhe pajtueshmërinë në një model të vetëm të dhënash, self-hosted e pa kosto licence.

Shkurt: CISO Assistant është një platformë GRC open-source e kompanisë franceze intuitem. Ajo i lidh vlerësimet e pajtueshmërisë ndaj mbi 100 framework-eve, një regjistër rreziqesh, masat dhe dëshmitë në një model të vetëm të dhënash. Edicioni community funksionon me Docker në serverin tënd; SSO dhe raportet e avancuara janë në versionin Pro.

Çfarë është

CISO Assistant zhvillohet nga kompania franceze intuitem dhe është i disponueshëm falas në GitHub. Projekti është i ri, por po rritet shpejt: mbi 3600 yje dhe 80+ kontribues (gjendja gusht 2026) flasin vetë. Edicioni community mbulon thelbin: vlerësime, regjistër rreziqesh, menaxhim masash, dëshmi. Kush ka nevojë për SSO ose raporte të avancuara, kalon te versioni Pro.

Instalohet për pak minuta: një docker compose up dhe platforma funksionon lokalisht ose në serverin tënd. Për një vegël që nga natyra përmban të dhëna të ndjeshme, si dobësi, rreziqe e gjetje auditimesh, self-hosted nuk është luks, por argument.

Nga kaosi i tabelave të shpërndara te modeli i përbashkët i të dhënave. Fitimi i vërtetë nuk është vegla, por e vërteta e vetme e përbashkët.

Për kë përshtatet dhe për kë jo

CISO Assistant përshtatet kur një kompani duhet të dëshmojë seriozisht të paktën një framework (ISO 27001, NIS2, masat e nDSG-së, një pyetësor të madh klienti) dhe sot lufton me tabela. Përshtatet edhe kur të dhënat për arsye konfidencialiteti duhet të mbeten brenda shtëpisë. Përshtatet më pak kur askush s’ka kohë ta operojë veglën: një Docker host kërkon patch-e, databaza kërkon backup, update-i duhet instaluar. Dhe nuk përshtatet kur në fakt të duhet vetëm një regjistër rreziqesh me pesë zëra, se për këtë platforma është shumë e rëndë. Kush do t’i shohë alternativat, gjen në Vegla GRC open-source në krahasim katër kandidatë krah për krah.

Pse jo Excel?

Excel-i nuk dështon te GRC sepse është i dobët, por sepse puna e pajtueshmërisë përbëhet nga marrëdhënie: një rrezik varet nga një aset, një masë zbut disa rreziqe, një dëshmi mbështet një masë, një kërkesë e framework-ut i referohet gjithë kësaj. Në tabela secila prej këtyre marrëdhënieve kopjohet me dorë, dhe në auditimin e radhës është e vjetruar. Në CISO Assistant ato janë referenca: ndryshon një masë, dhe e shohin të gjitha vlerësimet që varen prej saj.

Veçoria më e fortë: framework mapping

Platforma vjen me mbi 100 framework-e, si ISO 27001, NIS2, DORA, NIST CSF, CIS Controls, BSI-Grundschutz dhe shumë të tjera. Interesante bëhet te mapping-u: një masë e dokumentuar për ISO 27001 llogaritet automatikisht edhe për kërkesat përkatëse të NIS2-së ose SOC 2-shit. Kush duhet t’u shërbejë disa framework-eve, u përgjigjet pyetjeve një herë në vend të tri herëve.

Dokumento një herë, dëshmo disa herë: mapping-u e lidh një masë me kërkesat e disa framework-eve.

Termat që duhen njohur

Modeli i të dhënave është arsyeja pse vegla funksionon dhe arsyeja pse fillimi çalon. Termat më të rëndësishëm:

• Domen: kuadri organizativ, zakonisht kompania ose një njësi biznesi. Të drejtat jepen për çdo domen.
• Perimetër: scope-i i një dëshmie: cilat vende, sisteme dhe procese mbulon një vlerësim.
• Framework: katalogu i kërkesave, p.sh. ISO 27001:2022 me requirement-et e tij.
• Compliance Assessment: vlerësimi i një perimetri ndaj një framework-u, requirement pas requirement-i, me gjendjen e zbatimit.
• Reference Control: një masë gjenerike nga një katalog («autentifikim me shumë faktorë»).
• Applied Control: zbatimi konkret në shtëpinë tënde («MFA për të gjitha llogaritë M365 përmes Conditional Access, që nga marsi»).
• Evidenca: dëshmia për masën: screenshot, eksport, protokoll.
• Risk Scenario: një zë në regjistrin e rreziqeve me probabilitetin e ndodhjes, ndikimin dhe masat që e zbusin.

Kush i ka kuptuar këta tetë terma, e kupton veglën.

Në pesë hapa deri te vlerësimi i parë

1. Krijo domenin dhe caktoju përdoruesve rolet e tyre: kush lexon, kush vlerëson, kush miraton.
2. Përcakto perimetrin: çfarë hyn në scope? Te një NVM zakonisht gjithë kompania; te një certifikim ISO saktësisht ajo që duhet të shkruhet në certifikatë.
3. Importo framework-un. Biblioteka i sjell katalogët me vete, mjafton një klikim.
4. Nis vlerësimin dhe regjistro requirement pas requirement-i gjendjen e zbatimit: e pavlerësuar, e pazbatuar, pjesërisht, e zbatuar, e pazbatueshme.
5. Lidh masat dhe dëshmitë. Nga këtu vlerësimi bëhet program: çdo boshllëk merr një Applied Control me përgjegjës dhe afat, çdo dëshmi një evidencë.

Progresi është i dukshëm në çdo kohë: si numër, jo si ndjesi. Dhe në auditimin e radhës gjendja nuk është «diku në tabelë», por një klikim.

Operimi: çfarë vjen pas nisjes së parë

docker compose up është fillimi, jo fundi. Për operim produktiv duhen katër gjëra:

• HTTPS përmes një reverse proxy (Caddy, Traefik, nginx) me një certifikatë të vërtetë, sepse platforma administron të dhëna konfidenciale dhe nuk ka vend e paenkriptuar në rrjet.
• Backup-e të volume-it të databazës, rregullisht dhe të testuara. Një vegël GRC pa backup është një varrezë Excel-i me rrugë të tërthortë.
• Update-e në intervale të shkurtra: projekti publikon shpesh, dhe bibliotekat e framework-eve plotësohen vazhdimisht.
• Qasje vetëm nga rrjeti i kompanisë ose përmes VPN. Edhe kur hyrja është e sigurt, ndërfaqja nuk ka pse të jetë publike.

Si mund të dukej një tremujor i parë

Një fillim realist për një NVM që sot punon me tabela:

1. Muaji 1: inventari. Domen, perimetër, një framework (zakonisht ISO 27001 ose pyetësori më i rëndësishëm i klientit). Kaloje vlerësimin një herë sinqerisht deri në fund, pa zbukurime.
2. Muaji 2: masat. Për çdo boshllëk një Applied Control me përgjegjës dhe afat. Migro një herë masat ekzistuese nga Excel-i, pastaj fike tabelën.
3. Muaji 3: dëshmitë dhe rreziqet. Dhjetë masat më të rëndësishme pajisi me dëshmi, nis regjistrin e rreziqeve me pesë skenarët më të mëdhenj. Që nga tash dashboard-i tregon progresin, dhe drejtoria merr numra në vend të prozës.

Çfarë kushton dhe çfarë jo

Edicioni community është falas, dhe i tillë mbetet edhe me shumë përdorues: nuk ka kufi për kokë. Çfarë kushton para, është opërimi (një server i vogël virtual për 20 deri në 40 franga në muaj mjafton për një NVM) dhe koha për njohjen dhe mirëmbajtjen. Po të llogaritësh sinqerisht, në vitin e parë janë dy deri në katër ditë pune për ngritjen dhe migrimin, më pas një deri në dy orë në javë për mirëmbajtjen e vazhdueshme. Versioni Pro me SSO, raporte të avancuara dhe support jepet me kërkesë; për shumicën e mjediseve nën njëqind punonjës nuk është i nevojshëm. Për krahasim: suite-t komerciale GRC që zgjidhin të njëjtat detyra fillojnë zakonisht në zonën e lartë katërshifrore në vit dhe përfundojnë shumë më lart. Dallimi nuk është funksioni, por kush e bën punën: te suite-i ofruesi, te open source ti vetë.

Të qëndrojmë të sinqertë: kufijtë

Kurba e mësimit është reale. Modeli i të dhënave është i fuqishëm, por termat duhet t’i përvetësosh. Dokumentacioni ndihmon, por nuk e zëvendëson njohjen. Operimi ka nevojë për dikë që i ka nën kontroll Docker-in, backup-et dhe update-et; edicioni community vjen pa SSO, që në mjedise më të mëdha mungon shpejt. Dhe: një vegël GRC nuk krijon qeverisje. Kush nuk i njeh rreziqet e veta, pas saj thjesht i ka administruar më bukur. Dhe një vegël nuk e zëvendëson as buxhetin: sa mund të kushtojë siguria në tërësi, e tregon Security budget check si vlerë orientuese.

Për mjedise të vogla e të mesme që sot luftojnë me tabela dhe nesër ndoshta duhet të dëshmojnë kërkesa NIS2 ose ISO, CISO Assistant është, sipas meje, një nga kandidatët më interesantë në hapësirën open-source.