Dojrzałość BCEAO · Bezpieczeństwo systemów informacyjnych i zarządzanie ryzykiem związanym z SI
Praktyki bezpieczeństwa SI osadzone w dyrektywie BCEAO, przełożone na wyceniony plan działania.
10 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość BCEAO · Bezpieczeństwo systemów informacyjnych i zarządzanie ryzykiem związanym z SI
10 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza Dyrektywa BCEAO w sprawie zarządzania ryzykiem związanym z systemami informacyjnymi instytucji kredytowych, spółek finansowych i zdecentralizowanych systemów finansowych UMOA uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm (poziom, poziom wyższy i działanie łączące oba) zamienia stwierdzenie stanu w trajektorię rozwoju.
Czy uprawnienia dostępu do wrażliwych aplikacji podlegają okresowemu przeglądowi?
- N1
Brak zorganizowanego przeglądu. Uprawnienia są nadawane przy otwarciu konta i później nie są ponownie badane.
- N2
Przeglądy odbywają się przy okazji audytu lub reorganizacji, w odniesieniu do kilku aplikacji, bez ustalonego harmonogramu ani formatu.
- N3
Okresowy przegląd jest zaplanowany i obejmuje wrażliwe aplikacje. Właściciele zatwierdzają uprawnienia, a luki są korygowane.
- N4
Przegląd jest systematyczny w całym zakresie, udokumentowany, z monitorowaniem odebrania dostępu aż do jego wykonania i kontrolą drugiego poziomu.
- N5
Przeglądy są zinformatyzowane i zasilane danymi o ruchach personalnych, powtarzające się luki są analizowane i korygowane u źródła, zasady nadawania uprawnień są odpowiednio rewidowane.
Działanie do przejścia z N2 do N3
Sporządzić listę wrażliwych aplikacji wraz z ich właścicielem biznesowym, ustalić półroczny przegląd uprawnień wpisany do harmonogramu kontroli stałej oraz wymagać imiennego zatwierdzenia uprawnień wraz z terminem odebrania nieuzasadnionych dostępów.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna BCEAO.
O czym jest ten model referencyjny
Dyrektywa BCEAO w sprawie zarządzania ryzykiem związanym z systemami informacyjnymi obejmuje instytucje kredytowe, spółki finansowe oraz zdecentralizowane systemy finansowe Unii Monetarnej Afryki Zachodniej. Wymaga ona ram zarządzania SI zatwierdzonych przez organ zarządzający, polityki bezpieczeństwa informacji, mapowania aktywów i ryzyk informatycznych, wyodrębnionej funkcji bezpieczeństwa niezależnej od zespołów eksploatacyjnych, kontroli dostawców informatycznych, zarządzania incydentami z powiadamianiem nadzorcy oraz ciągłości działania systemów informatycznych. Kontrola przestrzegania tych wymagań należy do Komisji Bankowej UMOA.
W praktyce systemem trudno zarządzać, ponieważ przebiega on przez wiele działów. Polityka bezpieczeństwa często istnieje, lecz jej przełożenie na stosowane procedury i weryfikowalne kontrole pozostaje częściowe. Powracają konkretne pytania: czy mapa aktywów informatycznych obejmuje aplikacje biznesowe hostowane u podmiotów zewnętrznych, czy tylko wewnętrzne centrum danych? Czy uprawnienia są weryfikowane w stałych terminach, czy tylko przy odejściu pracownika? Czy incydenty bezpieczeństwa są kwalifikowane wedle pisemnych kryteriów pozwalających zdecydować o powiadomieniu, czy traktowane jako zwykłe incydenty eksploatacyjne?
Wzrost skali cyfrowych usług finansowych w Unii przesunął centrum ciężkości ryzyka. Pieniądz elektroniczny, interoperacyjność płatności i rosnące korzystanie z regionalnych lub międzynarodowych dostawców narażają instytucje, których organizacja informatyczna została zaprojektowana pod model oddziałowy. Warto rozwiać częste nieporozumienie: dyrektywa nie ogranicza się do bezpieczeństwa technicznego. Dotyczy zarządzania ryzykiem informatycznym, którego bezpieczeństwo jest jedynie jednym z elementów, obok zarządzania zmianami, outsourcingu i ciągłości działania.
Diagnoza dojrzałości odpowiada na inne pytanie niż kontrola zgodności. Kontrola pyta, czy wymóg jest spełniony, tak lub nie, i kończy się stwierdzeniem stanu. Diagnoza sytuuje każdą praktykę na progresywnej skali i wskazuje konkretne działanie prowadzące do wyższego poziomu. Obie się uzupełniają: diagnoza przygotowuje do kontroli Komisji Bankowej i badania przez kontrolę wewnętrzną, nie zastępuje ich.
W Datamensio model referencyjny jest gotowy do użycia i wdraża się go bez zmian w wielu podmiotach. Mogą Państwo również go dostosować: sztuczna inteligencja modyfikuje obszary tematyczne, przeformułowuje pytania zgodnie z Państwa organizacją, doprecyzowuje poziomy lub buduje wersję na podstawie Państwa polityki bezpieczeństwa i istniejących procedur.
Norma referencyjna: Dyrektywa BCEAO w sprawie zarządzania ryzykiem związanym z systemami informacyjnymi instytucji kredytowych, spółek finansowych i zdecentralizowanych systemów finansowych UMOA
Oceniane obszary tematyczne
Zarządzanie systemami informacyjnymi
Zatwierdzenie ram przez organ zarządzający, strategia informatyczna spójna ze strategią instytucji, dedykowany komitet, role i odpowiedzialności, przydzielone zasoby.
Polityka bezpieczeństwa informacji
Sformalizowana i zatwierdzona polityka, przełożenie na procedury, zakres obowiązywania, częstotliwość przeglądu, rozpowszechnienie wśród jednostek biznesowych.
Mapowanie aktywów i ocena ryzyk SI
Inwentaryzacja aktywów informacyjnych i aplikacyjnych, klasyfikacja, identyfikacja podatności, metoda oceny, hierarchizacja i akceptacja ryzyka rezydualnego.
Zarządzanie tożsamością i dostępem
Nadawanie i odbieranie uprawnień, konta uprzywilejowane, rozdział obowiązków, okresowy przegląd uprawnień, śledzenie dostępu.
Bezpieczeństwo operacji i sieci
Hartowanie konfiguracji, zarządzanie poprawkami, segmentacja, ochrona stacji roboczych i serwerów, testowane kopie zapasowe i odtwarzanie, rejestrowanie zdarzeń.
Zarządzanie zmianami i projektami informatycznymi
Procedura wdrożeń produkcyjnych, oddzielone środowiska, testy i odbiory, uwzględnienie bezpieczeństwa już na etapie projektowania, zarządzanie wersjami i wycofaniem zmian.
Outsourcing i dostawcy informatyczni
Spis usług zlecanych na zewnątrz, klauzule bezpieczeństwa i audytu, poziomy usług, odwracalność, nadzór nad krytycznymi dostawcami i hostingiem.
Zarządzanie incydentami bezpieczeństwa
Wykrywanie, kwalifikacja i klasyfikacja incydentów, terminy i tryby powiadamiania organu nadzoru, analiza przyczyn, wyciąganie wniosków.
Ciągłość działania systemów informatycznych
Plan awaryjny IT, cele odtworzenia, ośrodek zapasowy, okresowe testy i wnioski z nich wynikające, powiązanie z planem ciągłości działania.
Kontrola, audyt i podnoszenie świadomości
Stałe kontrole w obszarze SI, misje audytu informatycznego, monitorowanie rekomendacji, wskaźniki przekazywane kierownictwu, szkolenie i podnoszenie świadomości personelu.
Krótsza wersja modelu referencyjnego, licząca undefined pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy ta dyrektywa prowadzi do certyfikacji?
Nie. Jest to tekst o charakterze ostrożnościowym, którego przestrzeganie kontroluje Komisja Bankowa UMOA, a nie norma certyfikowana przez akredytowaną jednostkę. Datamensio mierzy dojrzałość Państwa systemu i przygotowuje do kontroli nadzorcy, nie wydaje żadnego zaświadczenia.
Jaka jest różnica między tą diagnozą a kontrolą zgodności?
Kontrola weryfikuje spełnienie wymogu i kończy się stwierdzeniem stanu. Diagnoza sytuuje praktykę na skali dojrzałości i wskazuje działanie prowadzące do wyższego poziomu. Daje ona trajektorię tam, gdzie kontrola daje stan.
Ile czasu zajmuje ocena?
Wersja skrócona wypełniana jest podczas jednej sesji roboczej. Wersja pełna, w trybie współpracy z działem IT, CISO, kontrolą wewnętrzną i jednostkami biznesowymi, trwa zwykle od jednego do dwóch tygodni, przy czym większość czasu pochłania zbieranie dowodów.
Czy model referencyjny można dostosować do naszej instytucji?
Tak. Mogą Państwo zmieniać pytania, poziomy, dodawać własne obszary tematyczne lub wyjść od własnych procedur. Sztuczna inteligencja buduje wersję na podstawie Państwa polityki bezpieczeństwa, co jest przydatne dla zdecentralizowanego systemu finansowego, którego organizacja różni się od banku uniwersalnego.
Czy można porównać kilka spółek zależnych grupy?
Tak. Ten sam model referencyjny wdraża się w każdym podmiocie, z wynikiem wg obszaru tematycznego i porównaniem między jednostkami biznesowymi, a także z poprzednimi kampaniami. Przekrojowa mapa drogowa konsoliduje plany działania spółek zależnych i grupuje działania wspólne.
Jak ta diagnoza łączy się z kontrolą wewnętrzną i planem ciągłości działania?
Wymogi w dużej mierze się pokrywają: ciągłość informatyczna, outsourcing, kontrola stała. Wyniki można wykorzystywać między różnymi modelami referencyjnymi, a przekrojowa mapa drogowa pozwala zestawiać diagnozy bez powielania działań.
Czy odpowiadanie wymaga wiedzy technicznej?
Pytania dotyczą praktyk zarządzania i kontroli, nie konfiguracji. Niektóre wymagają wkładu osoby technicznej: tryb współpracy pozwala przypisać takie pytania właściwej osobie.
Gdzie przechowywane są dane?
We Francji, u OVH, z kopią zapasową u Scaleway. Żaden transfer poza Unię Europejską nie ma miejsca. Wykorzystywane modele sztucznej inteligencji można wybierać, również spośród rozwiązań europejskich.