Vyspělost podle BCEAO · Bezpečnost informačních systémů a řízení rizik souvisejících s IS
Vaše praxe v oblasti bezpečnosti SI zasazená do směrnice BCEAO a převedená do akčního plánu s čísly.
10 tematických oblastí, škála o 5 úrovních. A akce, díky které postoupíte na další úroveň.
10 tematických oblastí referenčního rámce, již zpracovaných od N1 do N5. Jedna firma, jedna obchodní jednotka, nebo 300 najednou.
Vyspělost podle BCEAO · Bezpečnost informačních systémů a řízení rizik souvisejících s IS
10 tematických oblastí, škála o 5 úrovních.
Nordhavn Industries
53 / 100
Svou vyspělost měří s Datamensio
Příklad
Tato situace by mohla být i vaše.
Vezměme si příklad jedné firmy: tři pobočky, tři excelové tabulky, žádná společná odpověď.
Nikdo neumí konsolidovat.
Nordhavn Industries, 2 400 lidí v Hamburku, Lyonu a Portu. Zadavatel se ptá, jak na tom skupina je. Každá pobočka odpovídá ve své tabulce, s vlastními škálami.
Tři týdny, jedna jediná databáze.
Diagnostika podle Směrnice BCEAO o řízení rizik souvisejících s informačními systémy úvěrových institucí, finančních společností a decentralizovaných finančních systémů UMOA spuštěná na všech třech pobočkách současně, na základě poznámek z rozhovorů s odpovědnými osobami. Referenční rámec už byl napsaný, stejně jako 10 tematických oblastí a úrovně N1 až N5.
Dva výdaje, kterým se předešlo dřív, než vznikly.
Skóre 53 ze 100, mezera soustředěná do tří témat. AI asistent odhalil, že dvě akce plánu se zdvojují s plánem z jiného auditu. Prezentace výsledků pro výbor se připravila jednou větou.
Čemu se tím vyhnuli
- 3pobočky měřené na stejném základě, místo tří dotazníků k přepracování
- 2zdvojené akce odhalené před vznikem výdaje
- 1prezentace výsledků pro výbor, bez ručního dopracování
Tato čísla pocházejí z příkladu. Mohla by být i vaše.
Norma ukládá procesy. Datamensio řekne, kde se nacházíte.
01
Referenční rámec je už napsaný
Tematické oblasti, otázky i úrovně N1 až N5 jsou zpracované. Nezačínáte od prázdné tabulky.
02
Skóre máte ještě tentýž den
Online, přes odkaz na sebehodnocení nebo při rozhovoru. Téma po tématu, srovnatelné v čase.
03
Mezera se stává vyčísleným plánem
Každý přechod na vyšší úroveň má svou akci. Umělá inteligence určuje priority podle očekávaného efektu, ne podle pořadí v normě.
04
Pokrok se dá doložit
Kampaň po kampani, vůči vašemu cíli i vaší minulosti. Přesně to po vás chce vaše představenstvo.
Škála vyspělosti
Jedna úroveň, další úroveň, a akce, která je spojuje.
Právě tento mechanismus, úroveň, vyšší úroveň a krok, který je spojuje, proměňuje konstatování v trajektorii.
Podléhají přístupová oprávnění k citlivým aplikacím periodické revizi?
- N1
Žádná organizovaná revize. Práva jsou přidělena při zřízení účtu a následně se již nepřezkoumávají.
- N2
Revize probíhají příležitostně při auditu nebo reorganizaci, u několika málo aplikací, bez stanoveného harmonogramu či formátu.
- N3
Je naplánována periodická revize pokrývající citlivé aplikace. Vlastníci potvrzují oprávnění a zjištěné nesrovnalosti se opravují.
- N4
Revize je systematická v celém rozsahu, sledovatelná, se sledováním odebrání přístupů až do jejich provedení a s kontrolou druhé úrovně.
- N5
Revize jsou podporovány nástroji a napojeny na pohyby zaměstnanců, opakující se nesrovnalosti se analyzují a řeší u zdroje, pravidla přidělování se podle toho upravují.
Krok pro přechod z úrovně 2 na úroveň 3
Sestavit seznam citlivých aplikací s jejich obchodním vlastníkem, zavést pololetní revizi oprávnění zařazenou do harmonogramu trvalé kontroly a vyžadovat jmenovité potvrzení práv doprovázené lhůtou pro odebrání neodůvodněných přístupů.
« Díky Datamensio plníme naše cíle mnohem efektivněji. Inspekční služby fondu FEDER i našeho nadřízeného ministerstva tento přístup zvlášť ocenily, protože jim poskytuje spolehlivá data. »
Ředitelka CCI 94CCI Île-de-France
« Považujeme toto řešení za nejvhodnější pro rozšíření našeho transformačního projektu a měření dopadu podle našich potřeb. »
Maja SucekChief Operating Officer, Interreg Danube
Zřídka sám
Referenční rámec se dá kombinovat. Spojte jich víc a pokryjte celou svou činnost, nebo nechte svůj vlastní napsat umělou inteligencí.
Získejte své první měřenína BCEAO.
O čem tento referenční rámec je
Směrnice BCEAO o řízení rizik souvisejících s informačními systémy se vztahuje na úvěrové instituce, finanční společnosti a decentralizované finanční systémy Západoafrické hospodářské a měnové unie. Vyžaduje rámec řízení SI schválený statutárním orgánem, politiku bezpečnosti informací, mapování IT aktiv a rizik, funkci bezpečnosti oddělenou od provozních týmů, kontrolu nad IT dodavateli, řízení incidentů s oznamovací povinností vůči dohledovému orgánu a zajištění kontinuity IT provozu. Kontrolu dodržování těchto požadavků má na starosti Bankovní komise UMOA.
V praxi se tento systém řídí obtížně, protože prochází napříč několika útvary. Bezpečnostní politika zpravidla existuje, ale její rozpracování do použitelných postupů a ověřitelných kontrol zůstává neúplné. Opakují se stejné konkrétní otázky: pokrývá mapování IT aktiv i obchodní aplikace hostované u třetích stran, nebo jen interní datacentrum? Jsou přístupová oprávnění prověřována v pevně daných intervalech, nebo jen při odchodu zaměstnance? Jsou bezpečnostní incidenty klasifikovány podle písemných kritérií umožňujících rozhodnout o oznámení, nebo se s nimi zachází jako s běžnými provozními incidenty?
Nárůst objemu digitálních finančních služeb v Unii posunul těžiště rizika. Elektronické peníze, interoperabilita plateb a rostoucí využívání regionálních či mezinárodních dodavatelů vystavují riziku instituce, jejichž IT organizace byla dimenzována na model poboček. Je třeba rozptýlit jedno časté nedorozumění: směrnice se neomezuje na technickou bezpečnost. Týká se řízení IT rizika, jehož je bezpečnost pouze jednou složkou vedle řízení změn, outsourcingu a kontinuity provozu.
Diagnostika vyspělosti odpovídá na jinou otázku než kontrola souladu. Kontrola se ptá, zda je požadavek splněn, ano či ne, a výsledkem je konstatování. Diagnostika zařazuje každou praxi na postupnou škálu a určuje konkrétní krok, který posune organizaci na vyšší úroveň. Obě se doplňují: diagnostika připravuje na misi Bankovní komise a na přezkum vnitřní kontroly, nenahrazuje je.
V platformě Datamensio je referenční rámec připraven k okamžitému použití a nasazuje se beze změn napříč více subjekty. Můžete jej ale také upravit: umělá inteligence přizpůsobí tematické oblasti, přeformuluje otázky podle vaší organizace, zpřesní úrovně, nebo vytvoří vlastní verzi na základě vaší bezpečnostní politiky a existujících postupů.
Referenční norma: Směrnice BCEAO o řízení rizik souvisejících s informačními systémy úvěrových institucí, finančních společností a decentralizovaných finančních systémů UMOA
Hodnocené tematické oblasti
Řízení informačních systémů
Schválení rámce statutárním orgánem, IT strategie v souladu se strategií instituce, vyhrazený výbor, role a odpovědnosti, alokované zdroje.
Politika bezpečnosti informací
Formalizovaná a schválená politika, rozpracování do postupů, pokrytý rozsah, periodicita revize, šíření mezi obchodní útvary.
Mapování aktiv a hodnocení rizik SI
Inventář informačních a aplikačních aktiv, klasifikace, identifikace zranitelností, metoda hodnocení, stanovení priorit a akceptace zbytkových rizik.
Řízení identit a přístupů
Přidělování a odebírání práv, privilegované účty, oddělení povinností, periodická revize oprávnění, sledovatelnost přístupů.
Bezpečnost provozu a sítí
Zabezpečení konfigurací, správa oprav, segmentace, ochrana stanic a serverů, testované zálohy a obnovy, logování.
Řízení změn a IT projektů
Postup pro nasazení do provozu, oddělená prostředí, testy a akceptace, zohlednění bezpečnosti již při návrhu, správa verzí a návratů zpět.
Outsourcing a IT dodavatelé
Evidence externě zajišťovaných služeb, bezpečnostní a auditní doložky, úrovně služeb, reverzibilita, sledování kritických dodavatelů a hostingu.
Řízení bezpečnostních incidentů
Detekce, klasifikace a kategorizace incidentů, lhůty a postupy oznamování dohledovému orgánu, analýza příčin, poučení z incidentů.
Kontinuita IT provozu
Plán obnovy IT provozu, cíle obnovy, záložní pracoviště, periodické testy a získané poznatky, provázanost s plánem kontinuity činnosti.
Kontrola, audit a povědomí
Trvalé kontroly v rozsahu SI, IT auditní mise, sledování doporučení, ukazatele předkládané vedení, školení a zvyšování povědomí zaměstnanců.
Zkrácená verze referenčního rámce je k dispozici pro online sebehodnocení.
Často kladené otázky
Vydává se k této směrnici certifikace?
Ne. Jde o obezřetnostní předpis, jehož dodržování kontroluje Bankovní komise UMOA, nikoli o normu certifikovatelnou akreditovaným orgánem. Datamensio měří vyspělost vašeho systému a připravuje vás na přezkum dohledového orgánu, nevydává žádné potvrzení.
Jaký je rozdíl mezi touto diagnostikou a kontrolou souladu?
Kontrola ověřuje splnění požadavku a výsledkem je konstatování. Diagnostika zařazuje praxi na škálu vyspělosti a určuje krok, který posune organizaci o úroveň výš. Vytváří trajektorii, zatímco kontrola vytváří stav.
Jak dlouho hodnocení trvá?
Krátká verze se vyplní během jedné pracovní session. Úplná verze, prováděná kolaborativně s IT útvarem, manažerem bezpečnosti, vnitřní kontrolou a obchodními útvary, obvykle zabere jeden až dva týdny, přičemž většina času připadá na shromažďování důkazů.
Lze referenční rámec přizpůsobit naší instituci?
Ano. Můžete upravit otázky i úrovně, přidat vlastní tematické oblasti nebo vyjít z vlastních postupů. Umělá inteligence vytvoří vlastní verzi na základě vaší bezpečnostní politiky, což je užitečné pro decentralizovaný finanční systém, jehož organizace se liší od organizace univerzální banky.
Lze porovnat více poboček skupiny?
Ano. Stejný referenční rámec se nasazuje na každý subjekt, se skóre podle tematické oblasti a srovnáním mezi obchodními jednotkami i s předchozími kampaněmi. Průřezová roadmapa konsoliduje akční plány poboček a sdružuje společné kroky.
Jak tato diagnostika navazuje na vnitřní kontrolu a plán kontinuity činnosti?
Požadavky se do značné míry překrývají: IT kontinuita, outsourcing, trvalá kontrola. Výsledky lze opakovaně využít napříč referenčními rámci a průřezová roadmapa umožňuje propojit diagnostiky bez zdvojování kroků.
Je k vyplnění potřeba technická odbornost?
Otázky se týkají praxe řízení a správy, nikoli konfigurací. Některé vyžadují součinnost technického kontaktu: kolaborativní režim umožňuje přiřadit takové otázky správné osobě.
Kde jsou data hostována?
Ve Francii u společnosti OVH, se zálohou u společnosti Scaleway. Žádný přenos mimo Evropskou unii. Použité modely umělé inteligence lze vybrat, včetně evropských řešení.