Vyspělost kyberodolnosti veřejných institucí
Schopnost vaší instituce pokračovat ve službě pod útokem, změřená a následně vyčíslená v akčním plánu.
10 tematických oblastí, škála o 5 úrovních. A akce, díky které postoupíte na další úroveň.
10 tematických oblastí referenčního rámce, již zpracovaných od N1 do N5. Jedna firma, jedna obchodní jednotka, nebo 300 najednou.
Vyspělost kyberodolnosti veřejných institucí
10 tematických oblastí, škála o 5 úrovních.
Nordhavn Industries
53 / 100
Svou vyspělost měří s Datamensio
Příklad
Tato situace by mohla být i vaše.
Vezměme si příklad jedné firmy: tři pobočky, tři excelové tabulky, žádná společná odpověď.
Nikdo neumí konsolidovat.
Nordhavn Industries, 2 400 lidí v Hamburku, Lyonu a Portu. Zadavatel se ptá, jak na tom skupina je. Každá pobočka odpovídá ve své tabulce, s vlastními škálami.
Tři týdny, jedna jediná databáze.
Diagnostika podle Rámec kyberodolnosti veřejného sektoru (NIS 2, referenční rámce ANSSI, ISO 22301) spuštěná na všech třech pobočkách současně, na základě poznámek z rozhovorů s odpovědnými osobami. Referenční rámec už byl napsaný, stejně jako 10 tematických oblastí a úrovně N1 až N5.
Dva výdaje, kterým se předešlo dřív, než vznikly.
Skóre 53 ze 100, mezera soustředěná do tří témat. AI asistent odhalil, že dvě akce plánu se zdvojují s plánem z jiného auditu. Prezentace výsledků pro výbor se připravila jednou větou.
Čemu se tím vyhnuli
- 3pobočky měřené na stejném základě, místo tří dotazníků k přepracování
- 2zdvojené akce odhalené před vznikem výdaje
- 1prezentace výsledků pro výbor, bez ručního dopracování
Tato čísla pocházejí z příkladu. Mohla by být i vaše.
Norma ukládá procesy. Datamensio řekne, kde se nacházíte.
01
Referenční rámec je už napsaný
Tematické oblasti, otázky i úrovně N1 až N5 jsou zpracované. Nezačínáte od prázdné tabulky.
02
Skóre máte ještě tentýž den
Online, přes odkaz na sebehodnocení nebo při rozhovoru. Téma po tématu, srovnatelné v čase.
03
Mezera se stává vyčísleným plánem
Každý přechod na vyšší úroveň má svou akci. Umělá inteligence určuje priority podle očekávaného efektu, ne podle pořadí v normě.
04
Pokrok se dá doložit
Kampaň po kampani, vůči vašemu cíli i vaší minulosti. Přesně to po vás chce vaše představenstvo.
Škála vyspělosti
Jedna úroveň, další úroveň, a akce, která je spojuje.
Právě tento mechanismus (úroveň, vyšší úroveň a akce, která obě spojuje) proměňuje zjištění v trajektorii.
Je prověřena schopnost obnovit základní služby ze záloh?
- N1
Žádný test obnovy není zdokumentován. Schopnost obnovy se opírá o přesvědčení, že zálohy fungují.
- N2
Obnovy se provádějí příležitostně, při incidentech nebo ojedinělých požadavcích, bez stanoveného rozsahu nebo zprávy.
- N3
Test obnovy je naplánován a zdokumentován na aplikacích základních služeb, s měřenou lhůtou obnovy.
- N4
Testy pokrývají scénář úplné rekonstrukce z izolovaných záloh, za účasti dotčených útvarů, přičemž lhůty jsou porovnávány se stanovenými cíli.
- N5
Mechanismus je přehodnocován po každém cvičení a každé změně architektury, odchylky v lhůtách spouštějí sledovaná a evidovaná opatření.
Akce pro přechod z úrovně 2 na úroveň 3
Vybrat dvě nejkritičtější aplikace pro občany, naplánovat úplnou obnovu v testovacím prostředí na příštím bezpečnostním výboru, změřit dosaženou lhůtu a porovnat ji s vyhlášeným cílem obnovy.
« Díky Datamensio plníme naše cíle mnohem efektivněji. Inspekční služby fondu FEDER i našeho nadřízeného ministerstva tento přístup zvlášť ocenily, protože jim poskytuje spolehlivá data. »
Ředitelka CCI 94CCI Île-de-France
« Považujeme toto řešení za nejvhodnější pro rozšíření našeho transformačního projektu a měření dopadu podle našich potřeb. »
Maja SucekChief Operating Officer, Interreg Danube
Zřídka sám
Referenční rámec se dá kombinovat. Spojte jich víc a pokryjte celou svou činnost, nebo nechte svůj vlastní napsat umělou inteligencí.
Získejte své první měřenína null.
O čem tento referenční rámec je
Kyberodolnost veřejného sektoru se promítá do několika textů, které se vzájemně prolínají: směrnice NIS 2, která řadí veřejné instituce mezi dotčené subjekty, referenční rámce ANSSI k homologaci a bezpečnosti informačních systémů státu, zásady kontinuity provozu podle normy ISO 22301 a povinnosti týkající se dat občanů. Předmětem hodnocení zde není pouze technická ochrana: jde o schopnost územního celku, nemocnice, ministerstva nebo veřejného provozovatele udržet základní služby v průběhu incidentu, nahlásit jej ve stanovených lhůtách a vrátit se do řízeného provozního stavu.
V praxi je toto řízení obtížné z několika strukturálních důvodů. Informační systém je často zděděný, rozdělený mezi samostatné věcně příslušné útvary a dlouhodobé dodavatele. Několik konkrétních otázek: víte, které služby pro občany musí naběhnout jako první a v jakém pořadí. Byly vaše zálohy skutečně obnoveny, v rámci úplného scénáře, nebo pouze testovány jednotlivě. Kdo rozhoduje o odstavení provozní aplikace v neděli a byla tato osoba zastižitelná při posledním cvičení.
Je třeba zmínit jeden kontextový bod: transpozice NIS 2 výrazně rozšiřuje okruh dotčených veřejných subjektů a zavádí vícestupňový řetězec hlášení incidentů, s odpovědností statutárního orgánu. Řada institucí začala zmapováním svých povinností, aniž by vyřešila následnou provozní otázku: funguje jejich krizový mechanismus ve dni školních prázdnin, kdy je IT oddělení omezené a radní nebo ředitel musí komunikovat.
Je třeba rozptýlit častou nejasnost: audit souladu končí závěrem shoda nebo neshoda, požadavek po požadavku. Diagnostika vyspělosti odpovídá na jinou otázku: na jaké úrovni zvládnutí se nachází každá praxe a jaká konkrétní akce posune na vyšší úroveň. Instituce může být formálně v pořádku a přitom neschopná obnovit matriku do 48 hodin. Škála vyspělosti tuto mezeru zviditelňuje a převádí ji na vyčíslený akční plán, s nákladem, lhůtou a očekávaným dopadem na skóre.
V platformě Datamensio je referenční rámec připravený k okamžitému použití a zůstává vaším vlastnictvím. Upravujete tematické oblasti, otázky i formulace úrovní podle svého postavení, velikosti a základních služeb. Umělá inteligence upřesňuje úrovně podle metodiky CMMI, nebo vytváří variantu na základě vašich vlastních dokumentů: plánu kontinuity, analýzy rizik, zpráv z cvičení.
Referenční norma: Rámec kyberodolnosti veřejného sektoru (NIS 2, referenční rámce ANSSI, ISO 22301)
Hodnocené tematické oblasti
Řízení a odpovědnost za odolnost
Angažovanost vedení nebo volených představitelů, role a zastupitelnost, návaznost mezi věcným útvarem, IT a komunikací, vyčleněné zdroje.
Identifikace základních služeb
Soupis služeb poskytovaných občanům, kritičnost, lhůty obnovy a přípustné ztráty dat, aplikační a lidské závislosti.
Řízení rizik a technického rozsahu
Mapování informačního systému, správa zděděných aktiv, aktuálně vedená analýza rizik, homologace citlivých systémů.
Ochrana a digitální hygiena
Správa privilegovaných přístupů, síťová segmentace, správa oprav, zabezpečení koncových stanic a vzdálených přístupů.
Detekce a dohled
Logování, pokrytí dohledu, schopnost detekce mimo pracovní dobu, využití sdílené nebo externí služby.
Krizové řízení a kontinuita veřejné služby
Aktivovatelný krizový mechanismus, omezené provozní režimy, papírové postupy, rozhodovací řetězec a pohotovostní služby.
Zálohy a schopnost obnovy
Izolace a neměnnost záloh, pokrytý rozsah, úplné testy obnovy, schopnost znovu vybudovat prostředí od nuly.
Hlášení incidentů a vztahy s úřady
Kontaktní místa, lhůty a etapy oznamování, informování občanů, koordinace s příslušnými úřady a partnery.
Řetězec subdodavatelů a zadávání zakázek
Bezpečnostní požadavky ve veřejných zakázkách, závazky dodavatelů k obnově, reverzibilita, sledování hostingových poskytovatelů a dodavatelů aplikací.
Cvičení, zpětná vazba a postup
Četnost a realističnost cvičení, zapojení věcných útvarů a volených představitelů, sledování nápravných opatření, porovnání hodnocení v čase.
Zkrácená verze referenčního rámce je k dispozici pro online sebehodnocení.
Často kladené otázky
Vydává tato diagnostika certifikaci nebo homologaci?
Ne. Datamensio měří vyspělost vašich praktik a vytváří k ní odpovídající akční plán. Homologace systému nebo certifikace podle normy spadá do pravomoci úřadu nebo akreditovaného subjektu. Diagnostika tyto kroky připravuje a dokumentuje výchozí bod.
Jaký je rozdíl oproti auditu souladu s NIS 2?
Audit ověřuje přítomnost požadavků a končí závěrem o mezeře nebo souladu. Diagnostika zařazuje každou praxi na postupnou škálu a uvádí akci, která posune o úroveň výš. Obojí se doplňuje: diagnostika buduje trajektorii, audit potvrzuje dosažený stav.
Jak dlouho hodnocení trvá?
Sebehodnocení vedené odpovědným za bezpečnost se zvládne za jednu pracovní session. V kolaborativním režimu, s IT oddělením, věcnými útvary a kontinuitou provozu, počítejte s jedním až dvěma týdny, přičemž většina času jde na sběr a odsouhlasení odpovědí.
Je referenční rámec přizpůsobitelný menšímu územnímu celku?
Ano. Odstraníte tematické oblasti mimo rozsah, přeformulujete otázky a upravíte úrovně. Umělá inteligence navrhne konzistentní variantu podle vašeho postavení a počtu zaměstnanců, nebo vyjde z vašich stávajících dokumentů. Referenční rámec zůstává pod vaší kontrolou.
Lze porovnávat několik subjektů mezi sebou?
Ano. Stejný referenční rámec aplikovaný na několik obchodních jednotek, zařízení nebo obcí v rámci sdružení umožňuje interní benchmark i porovnání s dřívějšími hodnoceními. Průřezová roadmapa pak konsoliduje akční plány z několika diagnostik.
Jak se vyčíslí akční plán?
Mezera mezi dosaženým skóre a cílem generuje akce, které je třeba provést. Katalog služeb nabízí ke každé akci odpovídající řešení, s nákladem, lhůtou a očekávaným dopadem na skóre. Umělá inteligence vše sdružuje do prioritizované roadmapy.
Kde jsou data uchovávána?
Ve Francii, u OVH, se zálohou u Scaleway. Žádný přenos mimo Evropskou unii. Použité modely umělé inteligence lze vybrat, včetně evropských nabídek.