Vyspělost ISO 27005 · Řízení rizik kybernetické bezpečnosti
Vaše kybernetická rizika, změřená podle ISO 27005 a přepočtená na akční plán.
8 tematických oblastí, škála o 5 úrovních. A akce, díky které postoupíte na další úroveň.
8 tematických oblastí referenčního rámce, již zpracovaných od N1 do N5. Jedna firma, jedna obchodní jednotka, nebo 300 najednou.
Vyspělost ISO 27005 · Řízení rizik kybernetické bezpečnosti
8 tematických oblastí, škála o 5 úrovních.
Nordhavn Industries
53 / 100
Svou vyspělost měří s Datamensio
Příklad
Tato situace by mohla být i vaše.
Vezměme si příklad jedné firmy: tři pobočky, tři excelové tabulky, žádná společná odpověď.
Nikdo neumí konsolidovat.
Nordhavn Industries, 2 400 lidí v Hamburku, Lyonu a Portu. Zadavatel se ptá, jak na tom skupina je. Každá pobočka odpovídá ve své tabulce, s vlastními škálami.
Tři týdny, jedna jediná databáze.
Diagnostika podle ISO/IEC 27005:2022 spuštěná na všech třech pobočkách současně, na základě poznámek z rozhovorů s odpovědnými osobami. Referenční rámec už byl napsaný, stejně jako 8 tematických oblastí a úrovně N1 až N5.
Dva výdaje, kterým se předešlo dřív, než vznikly.
Skóre 53 ze 100, mezera soustředěná do tří témat. AI asistent odhalil, že dvě akce plánu se zdvojují s plánem z jiného auditu. Prezentace výsledků pro výbor se připravila jednou větou.
Čemu se tím vyhnuli
- 3pobočky měřené na stejném základě, místo tří dotazníků k přepracování
- 2zdvojené akce odhalené před vznikem výdaje
- 1prezentace výsledků pro výbor, bez ručního dopracování
Tato čísla pocházejí z příkladu. Mohla by být i vaše.
Norma ukládá procesy. Datamensio řekne, kde se nacházíte.
01
Referenční rámec je už napsaný
Tematické oblasti, otázky i úrovně N1 až N5 jsou zpracované. Nezačínáte od prázdné tabulky.
02
Skóre máte ještě tentýž den
Online, přes odkaz na sebehodnocení nebo při rozhovoru. Téma po tématu, srovnatelné v čase.
03
Mezera se stává vyčísleným plánem
Každý přechod na vyšší úroveň má svou akci. Umělá inteligence určuje priority podle očekávaného efektu, ne podle pořadí v normě.
04
Pokrok se dá doložit
Kampaň po kampani, vůči vašemu cíli i vaší minulosti. Přesně to po vás chce vaše představenstvo.
Škála vyspělosti
Jedna úroveň, další úroveň, a akce, která je spojuje.
Právě tento mechanismus (úroveň, vyšší úroveň a akce, která obě propojuje) proměňuje zjištění v trajektorii.
Jsou kritéria akceptace rizika definována a uplatňována konzistentně?
- N1
Žádná formalizovaná kritéria. O akceptaci se rozhoduje případ od případu, bez společného referenčního rámce.
- N2
Kritéria existují v dokumentu, jsou však málo známá a jejich uplatňování se mezi týmy liší.
- N3
Kritéria jsou zdokumentovaná, rozšířená a obecně uplatňovaná. Odchylky jsou ojedinělé.
- N4
Kritéria jsou systematicky uplatňována, akceptace jsou zaznamenány a schvalovány na příslušné hierarchické úrovni.
- N5
Kritéria jsou pravidelně revidována podle vývoje kontextu a incidentů, s dokumentovaným sledováním revizí.
Akce pro přechod z úrovně 2 na úroveň 3
Rozšířit kritéria akceptace mezi všechny vlastníky rizik, zařadit je do vzoru karty rizika a ověřovat jejich uplatňování při čtvrtletní revizi.
« Díky Datamensio plníme naše cíle mnohem efektivněji. Inspekční služby fondu FEDER i našeho nadřízeného ministerstva tento přístup zvlášť ocenily, protože jim poskytuje spolehlivá data. »
Ředitelka CCI 94CCI Île-de-France
« Považujeme toto řešení za nejvhodnější pro rozšíření našeho transformačního projektu a měření dopadu podle našich potřeb. »
Maja SucekChief Operating Officer, Interreg Danube
Zřídka sám
Referenční rámec se dá kombinovat. Spojte jich víc a pokryjte celou svou činnost, nebo nechte svůj vlastní napsat umělou inteligencí.
Získejte své první měřenína ISO 27005.
O čem tento referenční rámec je
ISO 27005 je norma, která doplňuje ISO 27001 v jednom konkrétním bodě: jak řídit rizika. Zatímco 27001 stanovuje požadavky na systém řízení bezpečnosti informací, 27005 vysvětluje, jak provádět posuzování a zpracování rizik, jež tento systém zásobují daty. Nelze ji certifikovat. Uplatňuje se v praxi.
Právě to z ní dělá obtížně řiditelnou normu. Organizace může tvrdit, že „se řídí ISO 27005“, aniž by cokoli dokládalo, nakolik jsou její postupy skutečně strukturované, opakovatelné a v čase zlepšované. Jsou kritéria akceptace rizika formalizovaná, nebo se rozhoduje případ od případu? Pokrývá posuzování celý rozsah, nebo jen systémy, které bezpečnostní tým dobře zná? Jsou plány zpracování rizik sledovány až do konce, nebo končí u registru rizik?
Verze normy z roku 2022 navíc posunula důraz: méně preskriptivní metodiky, více integrace s podnikovým řízením rizik ve smyslu ISO 31000. Kybernetické riziko tak už není záležitostí bezpečnostních expertů, ale součástí celkového rizika, kterou je třeba předkládat vedení společnosti srozumitelným jazykem pro netechnické publikum. Mnoho organizací přijalo terminologii, aniž by tuto změnu skutečně provedlo.
Diagnostika vyspělosti odpovídá na jinou otázku než audit souladu. Audit se ptá: je to v souladu, ano nebo ne. Diagnostika se ptá: na jaké úrovni zvládnutí se nacházíte a jaké konkrétní kroky vás posunou na další úroveň.
V platformě Datamensio je referenční rámec připraven k okamžitému použití. Můžete si jej také přizpůsobit svému kontextu: umělá inteligence upraví tematické oblasti, otázky a úrovně, nebo vytvoří zcela vlastní variantu na základě vašich dokumentů.
Referenční norma: ISO/IEC 27005:2022
Hodnocené tematické oblasti
Governance a rámec řízení rizik
Existence formalizované politiky, vymezení rolí a odpovědností, provázanost s podnikovou governance, alokace zdrojů.
Vymezení kontextu a rozsahu
Rozsah působnosti, kritéria posuzování, kritéria akceptace rizika, zohlednění zainteresovaných stran.
Identifikace rizik
Inventarizace aktiv, identifikace hrozeb a zranitelností, využívané zdroje informací, četnost revizí.
Analýza a hodnocení
Zvolená metoda a její konzistence, hodnocení pravděpodobnosti a dopadu, rozlišení mezi inherentním a reziduálním rizikem, prioritizace.
Zpracování rizik
Volba možností zpracování, výběr opatření, formalizace plánu, akceptace reziduálních rizik na příslušné hierarchické úrovni.
Komunikace a konzultace
Prezentace výsledků zainteresovaným stranám, předkládání vedení společnosti, osvěta napříč obchodními jednotkami, používaný jazyk.
Monitorování a revize
Sledování vývoje rizik, ukazatele, spouštění přehodnocení, zapojení incidentů a threat intelligence.
Neustálé zlepšování
Zpětná vazba ze zkušeností, aktualizace metodiky, porovnávání v čase, vyspělost samotného systému.
Zkrácená verze referenčního rámce je k dispozici pro online sebehodnocení.
Často kladené otázky
Je ISO 27005 certifikovatelná?
Ne. Jde o doprovodnou normu poskytující směrnice pro řízení rizik. Certifikace se vztahuje na ISO 27001, jejíž systém řízení rizik norma 27005 zásobuje daty.
Jaký je rozdíl mezi diagnostikou vyspělosti a auditem souladu?
Audit ověřuje přítomnost požadavků a uzavírá se zjištěním mezery, nebo souladu. Diagnostika vyspělosti umísťuje vaše postupy na postupnou škálu a ukazuje trajektorii dalšího rozvoje. Obě se doplňují: diagnostika připravuje na audit, audit potvrzuje výsledek.
Jak dlouho hodnocení trvá?
Zkrácená verze se vyplní za 20 až 30 minut. Úplná verze, v kolaborativním režimu s více přispěvateli, se obvykle rozloží na jeden až dva týdny, přičemž většina času připadá na sběr podkladů od jednotlivých týmů.
Lze referenční rámec přizpůsobit?
Ano. Můžete upravit otázky, úrovně, přidat vlastní tematické oblasti nebo začít od prázdné šablony. Kontrola nad referenčním rámcem zůstává ve vašich rukou, což je zásadní rozdíl oproti nástrojům, které vnucují svou vlastní mřížku.
Jak se tato diagnostika propojuje s NIS2 nebo DORA?
Tyto předpisy stanovují požadavky na řízení rizik vycházející ze stejných principů. Solidní diagnostika ISO 27005 tvoří znovupoužitelný základ. Průřezová roadmapa umožňuje propojit všechny tři oblasti bez duplikace akcí.
Je k odpovědím potřeba technická expertiza?
Otázky se týkají postupů řízení, nikoli technických konfigurací. Odpovědět může risk manažer nebo interní auditor. Některé otázky vyžadují vstup technického kontaktu: kolaborativní režim umožňuje přiřadit tyto otázky správné osobě.
Kde jsou data uložena?
Ve Francii, u poskytovatele OVH, se zálohou u Scaleway. Žádný přenos mimo Evropskou unii. Použité modely umělé inteligence lze vybírat, včetně evropských řešení.