Vyspělost ISO/IEC 27000 · Systémy řízení bezpečnosti informací (ISMS)
Váš systém řízení bezpečnosti informací, zasazený do rodiny norem ISO 27000 a převedený do akčního plánu.
10 tematických oblastí, škála o 5 úrovních. A akce, díky které postoupíte na další úroveň.
10 tematických oblastí referenčního rámce, již zpracovaných od N1 do N5. Jedna firma, jedna obchodní jednotka, nebo 300 najednou.
Vyspělost ISO/IEC 27000 · Systémy řízení bezpečnosti informací (ISMS)
10 tematických oblastí, škála o 5 úrovních.
Nordhavn Industries
53 / 100
Svou vyspělost měří s Datamensio
Příklad
Tato situace by mohla být i vaše.
Vezměme si příklad jedné firmy: tři pobočky, tři excelové tabulky, žádná společná odpověď.
Nikdo neumí konsolidovat.
Nordhavn Industries, 2 400 lidí v Hamburku, Lyonu a Portu. Zadavatel se ptá, jak na tom skupina je. Každá pobočka odpovídá ve své tabulce, s vlastními škálami.
Tři týdny, jedna jediná databáze.
Diagnostika podle ISO/IEC 27000:2018 (rodina norem ISO/IEC 27000) spuštěná na všech třech pobočkách současně, na základě poznámek z rozhovorů s odpovědnými osobami. Referenční rámec už byl napsaný, stejně jako 10 tematických oblastí a úrovně N1 až N5.
Dva výdaje, kterým se předešlo dřív, než vznikly.
Skóre 53 ze 100, mezera soustředěná do tří témat. AI asistent odhalil, že dvě akce plánu se zdvojují s plánem z jiného auditu. Prezentace výsledků pro výbor se připravila jednou větou.
Čemu se tím vyhnuli
- 3pobočky měřené na stejném základě, místo tří dotazníků k přepracování
- 2zdvojené akce odhalené před vznikem výdaje
- 1prezentace výsledků pro výbor, bez ručního dopracování
Tato čísla pocházejí z příkladu. Mohla by být i vaše.
Norma ukládá procesy. Datamensio řekne, kde se nacházíte.
01
Referenční rámec je už napsaný
Tematické oblasti, otázky i úrovně N1 až N5 jsou zpracované. Nezačínáte od prázdné tabulky.
02
Skóre máte ještě tentýž den
Online, přes odkaz na sebehodnocení nebo při rozhovoru. Téma po tématu, srovnatelné v čase.
03
Mezera se stává vyčísleným plánem
Každý přechod na vyšší úroveň má svou akci. Umělá inteligence určuje priority podle očekávaného efektu, ne podle pořadí v normě.
04
Pokrok se dá doložit
Kampaň po kampani, vůči vašemu cíli i vaší minulosti. Přesně to po vás chce vaše představenstvo.
Škála vyspělosti
Jedna úroveň, další úroveň, a akce, která je spojuje.
Právě tento mechanismus (úroveň, vyšší úroveň a akce, která obě propojuje) mění zjištění ve směřování vpřed.
Je prohlášení o aplikovatelnosti udržováno aktuální a v souladu se skutečně zavedenými opatřeními?
- N1
Žádné použitelné prohlášení o aplikovatelnosti. Zavedená opatření nejsou propojena s referenčním seznamem.
- N2
Prohlášení existuje, vytvořené při původním certifikačním spisu. Od té doby nebylo přezkoumáno a několik položek již neodpovídá skutečnosti.
- N3
Prohlášení je pravidelně přezkoumáváno, každé zvolené či vyloučené opatření má odůvodnění a určeného odpovědného.
- N4
Přezkoumání probíhá systematicky, na základě posouzení rizik a interních auditů. Zjištěné mezery vedou k zaznamenané akci.
- N5
Prohlášení se aktualizuje při každé změně rozsahu nebo rizikového kontextu, s historií verzí a důvodů revizí.
Akce pro posun z úrovně 2 na úroveň 3
Projít prohlášení o aplikovatelnosti opatření po opatření s dotčenými odpovědnými osobami, u každého zaznamenat zdůvodnění a nositele, a jeho přezkoumání napojit na pololetní přezkoumání vedením.
« Díky Datamensio plníme naše cíle mnohem efektivněji. Inspekční služby fondu FEDER i našeho nadřízeného ministerstva tento přístup zvlášť ocenily, protože jim poskytuje spolehlivá data. »
Ředitelka CCI 94CCI Île-de-France
« Považujeme toto řešení za nejvhodnější pro rozšíření našeho transformačního projektu a měření dopadu podle našich potřeb. »
Maja SucekChief Operating Officer, Interreg Danube
Zřídka sám
Referenční rámec se dá kombinovat. Spojte jich víc a pokryjte celou svou činnost, nebo nechte svůj vlastní napsat umělou inteligencí.
Získejte své první měřenína ISO 27000.
O čem tento referenční rámec je
ISO/IEC 27000 je vstupní norma rodiny věnované bezpečnosti informací. Definuje pojmy a principy, které sdílí ISO 27001 pro požadavky, ISO 27002 pro opatření, ISO 27005 pro rizika a související oborové texty. Popisuje, co je ISMS: definovaný rozsah, politiku prosazovanou vedením, posouzení rizik, soubor vybraných a odůvodněných opatření, důkazy o fungování, přezkoumání a neustálé zlepšování. Sama o sobě se neauditu je, ale dává rámec pro čtení celku.
V praxi se ISMS obtížně řídí, protože prochází celou organizací. Odpovídá deklarovaný rozsah skutečným činnostem po reorganizacích a nových digitálních službách? Odráží prohlášení o aplikovatelnosti opatření, která jsou skutečně zavedena, nebo záměry zděděné z původního certifikačního spisu? Vedou přezkoumání vedením k zaznamenaným rozhodnutím, nebo jen k zápisu ze schůze? Tyto otázky se zřídka řeší na jednom místě a nikdo nemá úplnou odpověď.
Je třeba rozptýlit jedno časté nedorozumění: rodina ISO 27000 není hromadou konkurenčních norem. ISO 27000 dává slovník, ISO 27001 nese certifikovatelné požadavky, ISO 27002 nabízí katalog opatření přeorganizovaný do čtyř témat od verze 2022, ISO 27005 se věnuje posouzení rizik. Vyspělý ISMS dokáže říct, která norma slouží k čemu v jeho rámci. Mnoho organizací používá slovník ISO 27000, aniž by tyto stavební kameny vzájemně sladily.
Diagnostika vyspělosti odpovídá na jinou otázku než audit souladu. Audit končí zjištěním mezery, menší či větší neshody, nebo shody. Diagnostika umísťuje každou praxi na postupnou škálu a uvádí akci, která umožní postoupit na vyšší úroveň. Nevydává žádnou certifikaci: měří skutečný stav systému a připravuje na audit tím, že ukazuje, kde ISMS obstojí a kde ne.
V platformě Datamensio je referenční rámec připraven k okamžitému použití a zůstává přizpůsobitelný. AI upravuje tematické oblasti, přeformulovává otázky a zpřesňuje úrovně podle metody CMMI, nebo vytváří vlastní variantu na základě vašich dokumentů: bezpečnostní politiky, prohlášení o aplikovatelnosti, zápisů z přezkoumání.
Referenční norma: ISO/IEC 27000:2018 (rodina norem ISO/IEC 27000)
Hodnocené tematické oblasti
Kontext a rozsah ISMS
Vymezení oblasti působnosti, pokryté činnosti a pracoviště, rozhraní a závislosti, identifikace zainteresovaných stran a jejich požadavků.
Vedení a politika
Angažovanost vedení, formalizovaná a šířená bezpečnostní politika informací, přidělené role a odpovědnosti, vyčleněné zdroje.
Posouzení a zvládání rizik
Metoda posouzení, kritéria hodnocení a akceptace, plán zvládání rizik, prohlášení o aplikovatelnosti a zdůvodnění zvolených či vyloučených opatření.
Organizační opatření
Správa aktiv, klasifikace informací, řízení přístupů, vztahy s dodavateli, smluvní požadavky a bezpečnostní doložky.
Bezpečnost lidských zdrojů
Prověřování před nástupem, zvyšování povědomí a školení, závazky mlčenlivosti, postupy při odchodu a interní mobilitě, práce na dálku.
Fyzická a environmentální bezpečnost
Zabezpečené prostory, kontrola fyzického přístupu, ochrana zařízení, správa nosičů a likvidace.
Technologická opatření
Zpevnění konfigurací, logování a monitoring, správa zranitelností a oprav, kryptografie, zálohování, bezpečnost vývoje.
Řízení incidentů a kontinuita
Detekce a kvalifikace, postupy reakce, oznamování dotčeným stranám, poučení z incidentů, kontinuita činnosti a související testy.
Dokumentace a důkazy
Řízení dokumentovaných informací, správa verzí, uchovávání záznamů, sledovatelnost bezpečnostních rozhodnutí.
Monitorování, přezkoumání a zlepšování
Ukazatele výkonnosti, interní audity, přezkoumání vedením, řešení neshod, nápravná opatření a sledování v čase.
Zkrácená verze referenčního rámce, s 27 otázkami, je k dispozici pro online sebehodnocení.
Často kladené otázky
Lze ISO 27000 certifikovat?
Ne. ISO/IEC 27000 poskytuje slovník a principy celé rodiny norem. Certifikace se vztahuje k ISO/IEC 27001, jejíž rámec čtení ISO 27000 dává. Diagnostika měří vyspělost vašeho ISMS a připravuje na audit, nevydává žádné osvědčení.
Jaký je rozdíl mezi touto diagnostikou a auditem souladu?
Audit ověřuje přítomnost požadavků a končí shodou nebo zjištěnou mezerou. Diagnostika umísťuje každou praxi na škálu vyspělosti a uvádí akci, která umožní postup vpřed. Obě se doplňují: diagnostika připravuje, audit potvrzuje.
Jak dlouho hodnocení trvá?
Krátká verze se vyplní během jediného pracovního setkání. Úplná verze, v kolaborativním režimu s více přispěvateli, se rozloží na jeden až dva týdny, přičemž většinu času zabere sběr podkladů od dotčených týmů.
Musíte být již certifikováni, abyste mohli tento referenční rámec použít?
Ne. Je určen jak organizacím, které svůj ISMS teprve budují, tak těm již certifikovaným, které chtějí objektivně zjistit svou skutečnou úroveň mezi dvěma audity nebo rozšířit svůj rozsah.
Lze referenční rámec přizpůsobit naší organizaci?
Ano. Můžete upravit otázky, úrovně i tematické oblasti, nebo vyjít z čistého základu. AI dokáže také vytvořit vlastní variantu na základě vaší bezpečnostní politiky a prohlášení o aplikovatelnosti. Kontrola nad referenčním rámcem zůstává na vás.
Jak porovnat více entit?
Každá obchodní jednotka absolvuje stejnou diagnostiku. Skóre podle tematické oblasti lze porovnávat mezi entitami i s předchozími hodnoceními. Průřezová roadmapa konsoliduje audity a sdružuje společné akce.
Jak tato diagnostika souvisí s NIS 2 nebo DORA?
Tyto texty stojí z velké části na stejných principech řízení bezpečnosti. Hodnocený ISMS tvoří znovupoužitelný základ. Průřezová roadmapa umožňuje provázat referenční rámce bez zdvojování akcí.
Kde jsou data uložena?
Ve Francii, u OVH, se zálohou u Scaleway. Žádný přenos mimo Evropskou unii. Použité modely AI lze vybírat, včetně evropských řešení.