Vyspělost · Nařízení SAE o zajištění informací
Váš systém zajišťování informační bezpečnosti ve Spojených arabských emirátech, měřený auditem a převedený do vyčísleného akčního plánu.
10 tematických oblastí, škála o 5 úrovních. A akce, díky které postoupíte na další úroveň.
10 tematických oblastí referenčního rámce, již zpracovaných od N1 do N5. Jedna firma, jedna obchodní jednotka, nebo 300 najednou.
Vyspělost · Nařízení SAE o zajištění informací
10 tematických oblastí, škála o 5 úrovních.
Nordhavn Industries
53 / 100
Svou vyspělost měří s Datamensio
Příklad
Tato situace by mohla být i vaše.
Vezměme si příklad jedné firmy: tři pobočky, tři excelové tabulky, žádná společná odpověď.
Nikdo neumí konsolidovat.
Nordhavn Industries, 2 400 lidí v Hamburku, Lyonu a Portu. Zadavatel se ptá, jak na tom skupina je. Každá pobočka odpovídá ve své tabulce, s vlastními škálami.
Tři týdny, jedna jediná databáze.
Diagnostika podle Nařízení SAE o zajištění informací (TDRA / Signature Trust Standard), verze 1.1 spuštěná na všech třech pobočkách současně, na základě poznámek z rozhovorů s odpovědnými osobami. Referenční rámec už byl napsaný, stejně jako 10 tematických oblastí a úrovně N1 až N5.
Dva výdaje, kterým se předešlo dřív, než vznikly.
Skóre 53 ze 100, mezera soustředěná do tří témat. AI asistent odhalil, že dvě akce plánu se zdvojují s plánem z jiného auditu. Prezentace výsledků pro výbor se připravila jednou větou.
Čemu se tím vyhnuli
- 3pobočky měřené na stejném základě, místo tří dotazníků k přepracování
- 2zdvojené akce odhalené před vznikem výdaje
- 1prezentace výsledků pro výbor, bez ručního dopracování
Tato čísla pocházejí z příkladu. Mohla by být i vaše.
Norma ukládá procesy. Datamensio řekne, kde se nacházíte.
01
Referenční rámec je už napsaný
Tematické oblasti, otázky i úrovně N1 až N5 jsou zpracované. Nezačínáte od prázdné tabulky.
02
Skóre máte ještě tentýž den
Online, přes odkaz na sebehodnocení nebo při rozhovoru. Téma po tématu, srovnatelné v čase.
03
Mezera se stává vyčísleným plánem
Každý přechod na vyšší úroveň má svou akci. Umělá inteligence určuje priority podle očekávaného efektu, ne podle pořadí v normě.
04
Pokrok se dá doložit
Kampaň po kampani, vůči vašemu cíli i vaší minulosti. Přesně to po vás chce vaše představenstvo.
Škála vyspělosti
Jedna úroveň, další úroveň, a akce, která je spojuje.
Právě tento mechanismus (úroveň, vyšší úroveň a opatření, které je spojuje) proměňuje zjištění v trajektorii.
Jsou informační aktiva klasifikována a nakládáno s nimi podle stanoveného schématu?
- N1
Žádné schéma klasifikace neexistuje. Dokumenty a data obíhají bez přiřazené úrovně.
- N2
Schéma existuje v rámci politiky, klasifikace je však uplatňována jen u několika dokumentových rámců a pravidla nakládání nejsou obchodním útvarům známa.
- N3
Aktiva v rozsahu jsou klasifikována, pravidla nakládání jsou šířena a obecně dodržována. Odchylky jsou ojedinělé.
- N4
Klasifikaci zajišťují vlastníci aktiv, je revidována při každé změně a podporována nástroji v úložištích i v e-mailové komunikaci. Nedostatky jsou zaznamenávány a řešeny.
- N5
Schéma je pravidelně revidováno podle vývoje předpisů a zjištěných incidentů, revize jsou dokumentovány a probíhá namátková kontrola.
Opatření pro posun z úrovně 2 na úroveň 3
Přiřadit vlastníka ke každému aktivu v rozsahu, nechat zbývající aktiva klasifikovat při čtvrtletní revizi rizik a zařadit pravidla nakládání do vzdělávacího programu pro nové zaměstnance.
« Díky Datamensio plníme naše cíle mnohem efektivněji. Inspekční služby fondu FEDER i našeho nadřízeného ministerstva tento přístup zvlášť ocenily, protože jim poskytuje spolehlivá data. »
Ředitelka CCI 94CCI Île-de-France
« Považujeme toto řešení za nejvhodnější pro rozšíření našeho transformačního projektu a měření dopadu podle našich potřeb. »
Maja SucekChief Operating Officer, Interreg Danube
Zřídka sám
Referenční rámec se dá kombinovat. Spojte jich víc a pokryjte celou svou činnost, nebo nechte svůj vlastní napsat umělou inteligencí.
Získejte své první měřenína null.
O čem tento referenční rámec je
Nařízení SAE o zajištění informací (Information Assurance Regulation) je národní rámec bezpečnosti informací Spojených arabských emirátů, který spravuje regulační úřad pro telekomunikace a digitální technologie. Upravuje soubor kontrolních opatření rozdělených na manažerská a technická, z nichž každé má přiřazenou úroveň priority. Subjekty z odvětví označených za kritická jej musí uplatňovat a prokázat jeho zavedení, a to na základě přístupu založeného na riziku a vymezeného rozsahu systémů a aktiv.
V praxi je řízení náročnější, než napovídá samotný text. Kontrolních opatření je mnoho a částečně se překrývají s těmi, která jsou již zavedena na základě ISO 27001 nebo skupinových politik. Opakovaně se objevují tři otázky: jaký je přesný rozsah dotčených systémů v rámci subjektu v SAE, kdo odpovídá za jednotlivá kontrolní opatření, zda místní pobočka nebo mateřská společnost, a o jaké důkazy se opírají prohlášení o zavedení, když si regulátor nebo odvětvový subjekt vyžádá revizi. Bez doloženého zdůvodnění zůstává stav zavedení pouze deklaratorní.
Je třeba vyvrátit jedno časté nedorozumění: nařízení o zajištění informací není místní obdobou ISO 27001, i když sdílí její logiku a část slovníku. Přidává vlastní požadavky specifické pro národní kontext, zejména pokud jde o klasifikaci informací, hlášení incidentů orgánům a bezpečnost dodavatelského řetězce. Řada odvětvových regulátorů a úřadů jednotlivých emirátů navíc na tomto základě vybudovala vlastní rámce: subjekt tak může podléhat jak národnímu nařízení, tak místnímu rámci, s odlišnými nároky na doklady.
Audit souladu končí u každého kontrolního opatření konstatováním mezery nebo souladu. Diagnostika vyspělosti odpovídá na jinou otázku: na jaké úrovni zvládnutí se každá praxe nachází a jaké konkrétní opatření posune organizaci na vyšší úroveň. Právě tento rozdíl umožňuje rozložit program do více období, porovnávat jednotlivé subjekty mezi sebou a vyčíslit zbývající úsilí, místo pouhého konstatování nedostatku.
V platformě Datamensio je referenční rámec připraven k okamžitému použití a zůstává plně ve vaší správě. Umělá inteligence přizpůsobuje tematické oblasti, otázky a úrovně rozsahu vašeho subjektu v SAE, nebo vytvoří vlastní verzi na základě vašich interních politik a požadavků vašeho odvětvového regulátora. Zjištěné mezery se promítají do prioritizované roadmapy, kterou lze konsolidovat s dalšími vašimi kybernetickými diagnostikami.
Referenční norma: Nařízení SAE o zajištění informací (TDRA / Signature Trust Standard), verze 1.1
Hodnocené tematické oblasti
Řízení zajištění informací
Formalizovaná a vedením schválená politika, role a odpovědnosti, řídicí výbor, provázanost mezi pobočkou a skupinovým řízením, alokace zdrojů.
Rozsah a řízení rizik
Vymezení rozsahu dotčených systémů, metoda posuzování rizik, kritéria akceptace, prioritizace kontrolních opatření podle zvolené úrovně rizika.
Správa aktiv a klasifikace informací
Evidence informačních a technických aktiv, schéma klasifikace, pravidla označování, nakládání a uchovávání, zacházení s citlivými daty.
Bezpečnost lidských zdrojů a povědomí
Prověření před nástupem, smluvní ustanovení, program zvyšování povědomí, povinnosti při mobilitě a odchodu, správa privilegovaných přístupů zaměstnanců.
Fyzická a environmentální bezpečnost
Zabezpečené zóny, kontrola přístupu do technických prostor, ochrana zařízení, napájení a klimatizace, likvidace nosičů dat.
Technická kontrolní opatření a provoz
Správa přístupů a autentizace, zpevňování konfigurací, správa oprav, protokolování a monitoring, ochrana proti škodlivému kódu, šifrování.
Bezpečnost komunikací a cloudu
Segmentace sítě, filtrování a brány, výměna dat s třetími stranami, požadavky na hostované služby a umístění dat.
Pořízení, vývoj a údržba
Bezpečnostní požadavky v projektech, revize kódu a testování, oddělení prostředí, řízení změn a nasazení do produkce.
Třetí strany a dodavatelský řetězec
Kvalifikace dodavatelů, smluvní požadavky, sledování úrovní bezpečnostních služeb, kontrola vzdálených přístupů, reverzibilita.
Incidenty, kontinuita a zlepšování
Detekce a kvalifikace incidentů, hlášení příslušným orgánům, plány kontinuity a obnovy, cvičení, poučení ze zkušeností a pravidelná revize kontrolních opatření.
Zkrácená verze referenčního rámce je k dispozici pro online sebehodnocení.
Často kladené otázky
Vydává tato diagnostika osvědčení o souladu s nařízením?
Ne. Datamensio měří vyspělost vašich praxí a připravuje vás na revizi souladu. Posouzení souladu přísluší regulátorovi nebo auditorskému subjektu určenému pro vaše odvětví.
Jaký je rozdíl mezi diagnostikou vyspělosti a auditem souladu?
Audit u každého kontrolního opatření konstatuje mezeru nebo soulad. Diagnostika zařazuje každou praxi na postupnou škálu a uvádí opatření, které posune organizaci o úroveň výš. Diagnostika připravuje audit a umožňuje rozložit program, audit jej potvrzuje.
Jsme již certifikováni podle ISO 27001. Má pro nás diagnostika smysl?
Ano. Nařízení sdílí část logiky ISO 27001, ale přidává vlastní požadavky, zejména ohledně klasifikace informací, hlášení incidentů orgánům a dodavatelského řetězce. Diagnostika zdůrazní právě tento rozdíl, místo aby opakovala již odvedenou práci.
Jak dlouho hodnocení trvá?
Zkrácenou verzi vyplníte za 20 až 30 minut. Úplná verze v kolaborativním režimu s více přispěvateli se obvykle rozloží na jeden až dva týdny, přičemž většina času připadá na sběr podkladů od technických a obchodních týmů.
Lze referenční rámec přizpůsobit našemu odvětvovému regulátorovi?
Ano. Otázky, úrovně i tematické oblasti lze upravovat a lze doplnit požadavky vašeho dohledového orgánu. Umělá inteligence také vytvoří vlastní verzi na základě vašich interních politik. Správa referenčního rámce zůstává ve vašich rukou.
Jak porovnat více subjektů ve skupině?
Audity provedené na stejném referenčním rámci lze porovnávat mezi obchodními jednotkami i v čase. Průřezová roadmapa konsoliduje mezery z více subjektů a seskupuje duplicitní opatření, čímž zamezuje dvojímu financování stejného projektu.
Je k vyplnění potřeba technická odbornost?
Otázky se týkají praxí řízení a stavu zavedení kontrolních opatření, nikoli konfigurací. Některé vyžadují zapojení technického kontaktu nebo místního odpovědného pracovníka: kolaborativní režim umožňuje přiřadit tyto otázky správné osobě.
Kde jsou data diagnostiky uložena?
Ve Francii, u OVH, se zálohou u Scaleway. Žádný přenos mimo Evropskou unii. Použité modely umělé inteligence lze vybrat, včetně evropských řešení.