Referenční rámec řízení kybernetických rizik · Vyspělost
Referenční rámec řízení kybernetických rizik měřený podle schopností, převedený do prioritizované roadmapy.
10 tematických oblastí, 159 otázek, škála o 5 úrovních. A akce, díky které postoupíte na další úroveň.
10 tematických oblastí referenčního rámce, již zpracovaných od N1 do N5. Jedna firma, jedna obchodní jednotka, nebo 300 najednou.
Referenční rámec řízení kybernetických rizik · Vyspělost
10 tematických oblastí, 159 otázek, škála o 5 úrovních.
Nordhavn Industries
53 / 100
Svou vyspělost měří s Datamensio
Příklad
Tato situace by mohla být i vaše.
Vezměme si příklad jedné firmy: tři pobočky, tři excelové tabulky, žádná společná odpověď.
Nikdo neumí konsolidovat.
Nordhavn Industries, 2 400 lidí v Hamburku, Lyonu a Portu. Zadavatel se ptá, jak na tom skupina je. Každá pobočka odpovídá ve své tabulce, s vlastními škálami.
Tři týdny, jedna jediná databáze.
Diagnostika podle Referenční rámec řízení kybernetických rizik (přístup podle schopností, inspirovaný rámcem NIST Cybersecurity Framework a normou ISO 31000) spuštěná na všech třech pobočkách současně, na základě poznámek z rozhovorů s odpovědnými osobami. Referenční rámec už byl napsaný, stejně jako 10 tematických oblastí a úrovně N1 až N5.
Dva výdaje, kterým se předešlo dřív, než vznikly.
Skóre 53 ze 100, mezera soustředěná do tří témat. AI asistent odhalil, že dvě akce plánu se zdvojují s plánem z jiného auditu. Prezentace výsledků pro výbor se připravila jednou větou.
Čemu se tím vyhnuli
- 3pobočky měřené na stejném základě, místo tří dotazníků k přepracování
- 2zdvojené akce odhalené před vznikem výdaje
- 1prezentace výsledků pro výbor, bez ručního dopracování
Tato čísla pocházejí z příkladu. Mohla by být i vaše.
Norma ukládá procesy. Datamensio řekne, kde se nacházíte.
01
Referenční rámec je už napsaný
Tematické oblasti, otázky i úrovně N1 až N5 jsou zpracované. Nezačínáte od prázdné tabulky.
02
Skóre máte ještě tentýž den
Online, přes odkaz na sebehodnocení nebo při rozhovoru. Téma po tématu, srovnatelné v čase.
03
Mezera se stává vyčísleným plánem
Každý přechod na vyšší úroveň má svou akci. Umělá inteligence určuje priority podle očekávaného efektu, ne podle pořadí v normě.
04
Pokrok se dá doložit
Kampaň po kampani, vůči vašemu cíli i vaší minulosti. Přesně to po vás chce vaše představenstvo.
Škála vyspělosti
Jedna úroveň, další úroveň, a akce, která je spojuje.
Právě tento mechanismus (úroveň, vyšší úroveň a akce, která obě propojuje) mění zjištění v trajektorii.
Jsou kybernetická rizika hodnocena podle stabilní metody a vázána na zdokumentovaná rozhodnutí?
- N1
Žádné formalizované hodnocení. Témata se řeší příležitostně při incidentu nebo externím požadavku.
- N2
Analýzy existují u několika oblastí, provádějí se různými postupy a bez zdokumentovaného rozhodnutí na závěr.
- N3
Je zdokumentována a uplatňována společná metoda na kritické oblasti. Hlavní rizika jsou projednávána ve výboru a rozhodnutí jsou zaznamenána.
- N4
Hodnocení pokrývá celý rozsah včetně třetích stran. Reziduální rizika jsou akceptována na odpovídající hierarchické úrovni a sledována v čase.
- N5
Metoda je revidována podle incidentů, cvičení a vývoje činností, s historií revizí a srovnáním úrovní mezi jednotkami.
Akce pro přechod z úrovně 2 na úroveň 3
Zvolte jednotnou metodu hodnocení, uplatněte ji nejprve na kritické procesy určené společně s byznysem a zařaďte na program čtvrtletního bezpečnostního výboru projednání hlavních rizik se zaznamenáním rozhodnutí.
« Díky Datamensio plníme naše cíle mnohem efektivněji. Inspekční služby fondu FEDER i našeho nadřízeného ministerstva tento přístup zvlášť ocenily, protože jim poskytuje spolehlivá data. »
Ředitelka CCI 94CCI Île-de-France
« Považujeme toto řešení za nejvhodnější pro rozšíření našeho transformačního projektu a měření dopadu podle našich potřeb. »
Maja SucekChief Operating Officer, Interreg Danube
Zřídka sám
Referenční rámec se dá kombinovat. Spojte jich víc a pokryjte celou svou činnost, nebo nechte svůj vlastní napsat umělou inteligencí.
Získejte své první měřenína null.
O čem tento referenční rámec je
Referenční rámec řízení kybernetických rizik popisuje schopnosti, které musí organizace mít, aby zvládla svou digitální expozici: řídit toto téma, znát svá aktiva a závislosti, hodnotit rizika podle stabilní metody, vybírat ochranná opatření, detekovat události, reagovat a následně obnovit provoz. Nejpoužívanější referenční rámce, od Cybersecurity Framework po zásady normy ISO 31000, sdílejí tuto logiku rozdělenou do funkcí. Nejde o soupis vymahatelných požadavků: popisují systém a ponechávají na každé organizaci, aby jej přizpůsobila svému rizikovému profilu.
Právě to činí tento rámec obtížně řiditelným. Jeho používání deklaruje kdekdo, jen málokdo dokáže reálně určit svou úroveň. Pokrývá inventář aktiv cloud, průmyslová prostředí a dodavatele, nebo jen vybavení spravované IT oddělením? Vede hodnocení rizik k rozhodnutím projednaným ve výboru, nebo jen do registru, který mezi poradami nikdo neotevře? Stojí detekce na písemných postupech, nebo na třech lidech, kteří vědí, kam se dívat? Tyto otázky se neřeší odpovědí ano nebo ne, nachází se na škále.
Často se objevuje jedna záměna: referenční rámec řízení rizik není certifikovatelnou normou a nenahrazuje systém řízení bezpečnosti informací. Stojí o krok dříve. Strukturuje schopnosti, zásobuje systém řízení a slouží jako společný základ, pokud se na stejný rozsah vztahuje více předpisů, například odvětvová směrnice a referenční rámec zákazníka. Organizace, které jej přijaly jako společný jazyk mezi bezpečností, riziky a byznysem, získávají především srovnatelnost mezi jednotkami.
Diagnostika vyspělosti odpovídá na jinou otázku než audit. Audit končí mezerou nebo shodou. Diagnostika umísťuje každou schopnost na postupnou škálu, ukazuje mezeru oproti cíli, který si stanovíte, a pojmenovává akci, která posune na vyšší úroveň. V modulu Pilot generuje mezera mezi skóre a cílem akční plán a umělá inteligence jej seskupuje do prioritizované roadmapy. Benchmark porovnává obchodní jednotky mezi sebou a každou jednotku s její vlastní minulostí, což umožňuje měřit trajektorii transformačního programu, nejen jeho výchozí bod.
Referenční rámec je připraven k okamžitému použití a patří vám. Upravujete tematické oblasti, otázky i úrovně: umělá inteligence zpřesňuje formulace podle metody CMMI, nebo vytváří vlastní variantu na základě vaší bezpečnostní politiky a vlastních dokumentů řízení.
Referenční norma: Referenční rámec řízení kybernetických rizik (přístup podle schopností, inspirovaný rámcem NIST Cybersecurity Framework a normou ISO 31000)
Hodnocené tematické oblasti
Řízení kybernetického rizika
Formalizovaná politika, role a odpovědnosti, výborová struktura, provázanost s řízením podniku, přidělené zdroje, sklon k riziku vyjádřený vedením.
Znalost aktiv a závislostí
Inventář systémů, dat a toků, mapování vnitřních a vnějších závislostí, kritičnost pro byznys, pokrytí cloudu a průmyslových prostředí.
Hodnocení a prioritizace rizik
Zvolená metoda, rizikové scénáře, hodnocení pravděpodobnosti a dopadu, rozlišení vlastního a reziduálního rizika, frekvence revizí.
Ošetření rizik a ochranná opatření
Možnosti ošetření, výběr a sledování opatření, řízení identit a přístupů, zpevňování systémů, řízení zranitelností a oprav.
Riziko spojené s třetími stranami a dodavatelským řetězcem
Kvalifikace dodavatelů, bezpečnostní doložky, pravidelné hodnocení, kritické závislosti, reverzibilita a plány ukončení spolupráce.
Detekce a monitorování
Zdroje logování, případy použití detekce, prahové hodnoty upozornění, časové pokrytí, využití informací o hrozbách.
Reakce na incidenty
Postupy kvalifikace a eskalace, krizový štáb, interní a externí komunikace, oznamování úřadům a klientům, provedená cvičení.
Kontinuita a obnova provozu
Cíle obnovy, testované zálohy a obnovy, plány kontinuity byznysu, scénáře rekonstrukce informačního systému.
Kultura a kompetence
Osvěta podle skupin uživatelů, školení technických týmů, začlenění bezpečnosti do projektů, systémy pro hlášení.
Měření a neustálé zlepšování
Sledované ukazatele, přezkoumání vedením, poučení po incidentu nebo cvičení, srovnání v čase a mezi jednotkami.
Zkrácená verze referenčního rámce, s 34 otázkami, je k dispozici pro online sebehodnocení. Úplná verze obsahuje 10 tematických oblastí a 159 otázek.
Často kladené otázky
Je tento rámec certifikovatelný?
Ne. Referenční rámec řízení kybernetických rizik popisuje schopnosti, bez certifikačního orgánu v pozadí. Certifikace spadá pod ISO 27001 nebo SOC 2. Diagnostika měří vaši úroveň zvládnutí a připravuje na tyto kroky, nevydává žádné osvědčení.
Jaký je rozdíl oproti auditu shody?
Audit ověřuje přítomnost požadavků a končí mezerou nebo shodou. Diagnostika umísťuje každou schopnost na postupnou škálu a uvádí akci, která posune o úroveň výš. Diagnostika audit připravuje, audit potvrzuje.
Jak dlouho hodnocení trvá?
Krátká verze se vyplní během jediného pracovního setkání. Úplná verze, ve společném režimu s více přispěvateli, trvá jeden až dva týdny, přičemž většinu času zabere sběr podkladů od dotčených týmů.
Lze referenční rámec přizpůsobit naší organizaci?
Ano. Upravujete otázky, úrovně i tematické oblasti, nebo vycházíte z vlastních dokumentů: umělá inteligence pak vytvoří vlastní variantu a zpřesní úrovně podle metody CMMI. Referenční rámec zůstává plně pod vaší kontrolou.
Jak porovnat více obchodních jednotek?
Každá jednotka provádí hodnocení na stejném referenčním rámci, díky čemuž jsou skóre srovnatelná podle tematické oblasti. Benchmark umísťuje jednotky vůči sobě navzájem a každou vůči jejím předchozím hodnocením. Průřezová roadmapa poté konsoliduje akční plány.
Je k vyplnění potřeba technická odbornost?
Otázky se týkají praxe řízení a správy, ne konfigurací. Vedoucí bezpečnosti nebo rizik dokáže zodpovědět většinu z nich. Společný režim umožňuje přiřadit technické otázky správnému kontaktu.
Lze tuto diagnostiku využít i pro NIS 2 nebo DORA?
Ano, do velké míry. Tyto předpisy stojí na stejných schopnostech: řízení, hodnocení rizik, správa třetích stran, detekce, oznamování, kontinuita. Zde změřený základ se tak dá znovu využít a průřezová roadmapa brání zdvojování akcí mezi jednotlivými referenčními rámci.
Kde jsou data uložena?
Ve Francii, u poskytovatele OVH, se zálohou u Scaleway. Žádný přenos mimo Evropskou unii. Použité modely umělé inteligence lze vybírat, včetně evropských nabídek.