Vyspělost dle ISO 27001 a ISO 27032 · Kybernetická bezpečnost
Vaše bezpečnost informací změřená podle ISO 27001 a 27032, převedená do akčního plánu.
12 tematických oblastí, škála o 5 úrovních. A akce, díky které postoupíte na další úroveň.
12 tematických oblastí referenčního rámce, již zpracovaných od N1 do N5. Jedna firma, jedna obchodní jednotka, nebo 300 najednou.
Vyspělost dle ISO 27001 a ISO 27032 · Kybernetická bezpečnost
12 tematických oblastí, škála o 5 úrovních.
Nordhavn Industries
53 / 100
Svou vyspělost měří s Datamensio
Příklad
Tato situace by mohla být i vaše.
Vezměme si příklad jedné firmy: tři pobočky, tři excelové tabulky, žádná společná odpověď.
Nikdo neumí konsolidovat.
Nordhavn Industries, 2 400 lidí v Hamburku, Lyonu a Portu. Zadavatel se ptá, jak na tom skupina je. Každá pobočka odpovídá ve své tabulce, s vlastními škálami.
Tři týdny, jedna jediná databáze.
Diagnostika podle ISO/IEC 27001:2022 a ISO/IEC 27032:2012 spuštěná na všech třech pobočkách současně, na základě poznámek z rozhovorů s odpovědnými osobami. Referenční rámec už byl napsaný, stejně jako 12 tematických oblastí a úrovně N1 až N5.
Dva výdaje, kterým se předešlo dřív, než vznikly.
Skóre 53 ze 100, mezera soustředěná do tří témat. AI asistent odhalil, že dvě akce plánu se zdvojují s plánem z jiného auditu. Prezentace výsledků pro výbor se připravila jednou větou.
Čemu se tím vyhnuli
- 3pobočky měřené na stejném základě, místo tří dotazníků k přepracování
- 2zdvojené akce odhalené před vznikem výdaje
- 1prezentace výsledků pro výbor, bez ručního dopracování
Tato čísla pocházejí z příkladu. Mohla by být i vaše.
Norma ukládá procesy. Datamensio řekne, kde se nacházíte.
01
Referenční rámec je už napsaný
Tematické oblasti, otázky i úrovně N1 až N5 jsou zpracované. Nezačínáte od prázdné tabulky.
02
Skóre máte ještě tentýž den
Online, přes odkaz na sebehodnocení nebo při rozhovoru. Téma po tématu, srovnatelné v čase.
03
Mezera se stává vyčísleným plánem
Každý přechod na vyšší úroveň má svou akci. Umělá inteligence určuje priority podle očekávaného efektu, ne podle pořadí v normě.
04
Pokrok se dá doložit
Kampaň po kampani, vůči vašemu cíli i vaší minulosti. Přesně to po vás chce vaše představenstvo.
Škála vyspělosti
Jedna úroveň, další úroveň, a akce, která je spojuje.
Právě tento mechanismus (jedna úroveň, úroveň vyšší a krok, který obě spojuje) mění zjištění v trajektorii.
Odráží prohlášení o aplikovatelnosti skutečně zavedená opatření?
- N1
Prohlášení o aplikovatelnosti neexistuje, nebo byl dokument vytvořen jednou a od té doby znovu neotevřen.
- N2
Prohlášení existuje a pokrývá všech 93 opatření, popisuje však cílový stav. Mezery vůči skutečnému zavedení nejsou identifikovány.
- N3
Každé opatření je propojeno se skutečnou praxí a odpovědnou osobou. Výjimky jsou zdůvodněny a dokument je přezkoumáván nejméně jednou ročně.
- N4
Prohlášení se aktualizuje při každé významné změně rozsahu, rizika nebo organizace, s historií verzí a souvisejícími důkazy o zavedení.
- N5
Prohlášení je propojeno s plánem ošetření rizik a bezpečnostními ukazateli. Mezery zjištěné při interním auditu spouštějí sledovanou revizi.
Krok pro posun z úrovně 2 na úroveň 3
Porovnat každé opatření přílohy A se zjištěnou praxí, jmenovat odpovědnou osobu pro každé opatření a zaznamenat mezery do plánu ošetření rizik. Zařadit přezkoumání prohlášení o aplikovatelnosti na program každoročního přezkoumání vedením.
« Díky Datamensio plníme naše cíle mnohem efektivněji. Inspekční služby fondu FEDER i našeho nadřízeného ministerstva tento přístup zvlášť ocenily, protože jim poskytuje spolehlivá data. »
Ředitelka CCI 94CCI Île-de-France
« Považujeme toto řešení za nejvhodnější pro rozšíření našeho transformačního projektu a měření dopadu podle našich potřeb. »
Maja SucekChief Operating Officer, Interreg Danube
Zřídka sám
Referenční rámec se dá kombinovat. Spojte jich víc a pokryjte celou svou činnost, nebo nechte svůj vlastní napsat umělou inteligencí.
Získejte své první měřenína ISO 27001.
O čem tento referenční rámec je
ISO 27001 vyžaduje systém řízení bezpečnosti informací: vymezený rozsah, analýzu rizik, prohlášení o aplikovatelnosti, které zdůvodňuje zahrnutí nebo vyloučení každého z 93 opatření přílohy A, měřené cíle, interní audity a přezkoumání vedením. Verze z roku 2022 restrukturalizovala tuto přílohu do čtyř témat, organizačního, lidského, fyzického a technologického, a zavedla nová opatření týkající se sledování hrozeb, bezpečnosti cloudových služeb a ochrany dat ve vývoji. ISO 27032 nelze certifikovat: popisuje postupy kybernetické bezpečnosti, které přesahují rozsah organizace, koordinaci mezi zainteresovanými stranami, bezpečnost veřejně přístupných aplikací, sdílení informací o incidentech.
Oba tyto texty je obtížné řídit, protože se snadno stávají pouze deklaratorními. ISMS může existovat na papíře a nic neměnit na každodenní praxi. Otázky, které se skutečně kladou, jsou konkrétní: odráží prohlášení o aplikovatelnosti skutečně zavedená opatření, nebo stav požadovaný v okamžiku počáteční certifikace? Slouží bezpečnostní ukazatele k rozhodování, nebo jen vyplňují tabulku? Platí opatření přílohy A pro dceřiné společnosti a dodavatele, nebo jen pro historický rozsah centrály? Vede přezkoumání vedením ke sledovaným rozhodnutím, nebo jen k zápisu?
Přechod na ISO/IEC 27001:2022 odhalil častý zmatek: mnoho organizací aktualizovalo prohlášení o aplikovatelnosti, aniž by znovu prověřily skutečné postupy. Přechod ze 114 na 93 opatření je úkon přiřazení, nikoli důkaz pokroku. Další nedorozumění, které je třeba rozptýlit: ISO 27032 není rozšířenou verzí normy 27001. Zabývá se úhlem pohledu, který norma 27001 pokrývá jen slabě, bezpečností interakcí s aktéry, které nekontrolujete, dodavateli, zákazníky, komunitami pro sdílení informací o hrozbách. Obě normy se vzájemně doplňují, jedna prostřednictvím řízení, druhá prostřednictvím kyberprostoru.
Diagnostika vyspělosti odpovídá na jinou otázku než certifikační audit. Audit končí zjištěním souladu, nebo neshody, v daném rozsahu a k danému datu. Diagnostika umísťuje každou praxi na postupnou škálu a uvádí konkrétní krok, který vede k vyšší úrovni. Certifikovaná organizace může mít skromnou úroveň vyspělosti v oblasti řízení třetích stran nebo osvěty. Necertifikovaná organizace může být silná v provozu. Skóre dle tematických oblastí zviditelňuje tyto mezery dříve, než je odhalí auditor.
V platformě Datamensio je referenční rámec ISO 27001 a 27032 připraven k okamžitému použití. Můžete jej také přizpůsobit: umělá inteligence upraví tematické oblasti, otázky a úrovně vyspělosti podle vašeho odvětví a rozsahu, nebo vytvoří vlastní variantu na základě vašich dokumentů, bezpečnostní politiky, prohlášení o aplikovatelnosti, zpráv z interních auditů.
Referenční norma: ISO/IEC 27001:2022 a ISO/IEC 27032:2012
Hodnocené tematické oblasti
Kontext, rozsah a řízení ISMS
Určení vnitřních a vnějších souvislostí, očekávání zainteresovaných stran, zdokumentovaný a zdůvodněný rozsah, bezpečnostní politika, role a odpovědnosti, zapojení vedení.
Posouzení a ošetření rizik
Metoda posuzování, kritéria přijetí, plán ošetření rizik, prohlášení o aplikovatelnosti a zdůvodnění výjimek, schválení zbytkových rizik.
Organizační opatření
Tematické politiky, správa aktiv, klasifikace informací, bezpečnost ve vztazích s dodavateli, řízení incidentů, kontinuita činnosti, soulad s právními předpisy.
Bezpečnost lidských zdrojů
Prověřování před nástupem, smluvní ustanovení, osvěta a školení, disciplinární řízení, řízení odchodů a změn pozic.
Fyzická a environmentální bezpečnost
Vymezené prostory a kontrola fyzického přístupu, ochrana proti environmentálním hrozbám, bezpečnost zařízení, pracovní stanice a nosiče dat, likvidace.
Technologická opatření
Řízení přístupů a identit, ochrana proti škodlivému kódu, logování a monitoring, řízení technických zranitelností, kryptografie, bezpečnost sítí a cloudových služeb.
Bezpečnost vývoje a aplikací
Bezpečnostní požadavky v projektech, oddělená prostředí, testování, řízení změn, ochrana dat používaných při vývoji a testování, bezpečnost aplikací přístupných z internetu.
Sledování hrozeb a sdílení informací
Využívané zdroje informací o hrozbách, provozní využití signálů, účast na odvětvových výměnných platformách, koordinace s úřady a CERT týmy, ústřední téma ISO 27032.
Bezpečnost ekosystému a třetích stran
Mapování závislostí, smluvní požadavky, hodnocení a sledování dodavatelů, bezpečnost digitálního dodavatelského řetězce, řízení vzdálených přístupů třetích stran.
Řízení incidentů a kontinuita činnosti
Detekce, kvalifikace, eskalace, řešení a vyhodnocení zkušeností, plány kontinuity a obnovy, testy a cvičení, příprava externích zainteresovaných stran.
Měření výkonnosti a interní audit
Bezpečnostní ukazatele a cíle, program interních auditů, odbornost auditorů, sledování zjištění, přezkoumání vedením a sledovaná rozhodnutí.
Neustálé zlepšování
Řešení neshod, nápravná opatření, aktualizace ISMS, srovnání výsledků v čase a mezi jednotlivými subjekty.
Zkrácená verze referenčního rámce je k dispozici pro online sebehodnocení.
Často kladené otázky
Uděluje tato diagnostika certifikaci ISO 27001?
Ne. Certifikaci uděluje akreditovaný certifikační orgán na základě dvoufázového auditu. Datamensio měří vyspělost vašich postupů, identifikuje mezery a vytváří akční plán, který tento audit připraví. ISO 27032 navíc není certifikovatelná: jedná se o průvodce osvědčenými postupy.
Jaký je rozdíl mezi touto diagnostikou a auditem souladu?
Audit ověřuje přítomnost požadavků a končí zjištěním souladu, nebo neshody. Diagnostika umísťuje každou praxi na pětistupňovou škálu vyspělosti a uvádí krok, který vede k vyšší úrovni. Certifikovaná organizace může vykazovat velmi nerovnoměrné úrovně podle tematických oblastí.
Proč hodnotit normy 27001 a 27032 společně?
ISO 27001 organizuje bezpečnost uvnitř rozsahu organizace. ISO 27032 řeší to, co se odehrává vně: třetí strany, veřejně přístupné aplikace, sdílení informací o incidentech. Jejich společné hodnocení předchází klasickému slepému místu, silnému ISMS uvnitř a slabému vůči vlastnímu ekosystému.
Jak dlouho hodnocení trvá?
Krátká verze se vyplní za 20 až 30 minut. Úplná verze, v kolaborativním režimu s více přispěvateli, se obvykle rozloží na jeden až dva týdny. Většina času se věnuje sběru informací od provozních týmů, lidských zdrojů a nákupu.
Lze referenční rámec přizpůsobit našemu rozsahu?
Ano. Můžete upravit otázky, úrovně, přidat vlastní tematické oblasti nebo omezit rozsah na jednu obchodní jednotku. Umělá inteligence může také vytvořit variantu na základě vaší bezpečnostní politiky a prohlášení o aplikovatelnosti. Kontrolu nad referenčním rámcem máte vy.
Jak porovnat více jednotek?
Každá jednotka provádí hodnocení na stejném referenčním rámci. Benchmark porovnává skóre dle tematických oblastí mezi obchodními jednotkami a oproti předchozím kampaním. Napříčoborová roadmapa konsoliduje akční plány z více auditů, což brání dvojímu financování téhož opatření.
Je k zodpovězení otázek potřeba technická odbornost?
Otázky se týkají praxe řízení a zavedení, nikoli konfigurací. Odpovědět na ně může bezpečnostní manažer nebo interní auditor. Otázky týkající se provozu nebo vývoje se v kolaborativním režimu přiřazují správnému přispěvateli.
Kde jsou uložena data?
Ve Francii, u OVH, se zálohou u Scaleway. Žádný přenos mimo Evropskou unii. Použité modely umělé inteligence lze vybrat, včetně evropských řešení.