Dojrzałość bezpieczeństwa systemów informacyjnych · Rozporządzenie COBAC bezpieczeństwo SI
Bezpieczeństwo SI ocenione według wymogów COBAC, przełożone na wyceniony plan działania.
10 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość bezpieczeństwa systemów informacyjnych · Rozporządzenie COBAC bezpieczeństwo SI
10 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza Rozporządzenie COBAC dotyczące bezpieczeństwa systemów informacyjnych podmiotów podlegających nadzorowi (Komisja Bankowa Afryki Centralnej, CEMAC) uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm (poziom, poziom wyższy i działanie łączące oba) przekształca stwierdzenie w trajektorię.
Czy uprawnienia dostępu do wrażliwych aplikacji podlegają okresowemu przeglądowi?
- N1
Brak zorganizowanego przeglądu. Uprawnienia są nadawane przy objęciu stanowiska i rzadko odbierane przy zmianach lub odejściach.
- N2
Przeglądy odbywają się doraźnie, przy okazji misji kontrolnej lub incydentu. Zakres i metoda są zmienne.
- N3
Przegląd jest planowany w stałym terminie dla wrażliwych aplikacji. Odpowiedzialni biznesowi zatwierdzają uprawnienia swoich zespołów, a luki są korygowane.
- N4
Przegląd obejmuje wszystkie aplikacje, w tym konta uprzywilejowane i konta dostawców. Wyniki są rejestrowane i przekazywane do kontroli stałej.
- N5
Powtarzające się luki zasilają przegląd profili i procedur nadawania uprawnień, z udokumentowanym monitorowaniem rewizji i wskaźnikami przedstawianymi organowi nadzorującemu.
Działanie dla przejścia z poziomu 2 do poziomu 3
Ustalenie półrocznego harmonogramu przeglądu na liście wrażliwych aplikacji, wyznaczenie dla każdej z nich osoby zatwierdzającej po stronie biznesu oraz wpisanie prezentacji wyników dotyczących luk do porządku obrad kolejnego komitetu kontroli wewnętrznej.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna COBAC.
O czym jest ten model referencyjny
Rozporządzenie COBAC dotyczące bezpieczeństwa systemów informacyjnych nakłada na podmioty podlegające nadzorowi w strefie CEMAC obowiązek posiadania sformalizowanego systemu kontroli ryzyka informatycznego. Obejmuje ono ład zarządzania SI i odpowiedzialność organu nadzorującego, politykę bezpieczeństwa, klasyfikację aktywów i danych, zarządzanie dostępem i uprawnieniami, bezpieczeństwo infrastruktury i aplikacji, ciągłość i odtwarzanie działania, zarządzanie incydentami oraz ich zgłaszanie do Komisji Bankowej, a także nadzór nad dostawcami usług informatycznych. Okresowa kontrola i raportowanie do nadzorcy uzupełniają ten system.
W praktyce wymóg ten łatwiej sformułować niż wdrożyć w codziennym zarządzaniu. Instytucje regionu często łączą starszy system centralny (core banking), zewnętrzną obsługę kart płatniczych, niedawno wdrożone kanały bankowości cyfrowej oraz oddziały o zróżnicowanej jakości łączy. Trzy pytania powracają systematycznie. Czy polityka bezpieczeństwa jest rzeczywiście stosowana w spółkach zależnych i oddziałach, czy jedynie zatwierdzona w centrali? Czy uprawnienia są weryfikowane w ustalonych terminach, w tym konta dostawców i konta uprzywilejowane? Czy plan ciągłości działania został przetestowany na realnym scenariuszu, z protokołem możliwym do wykorzystania przez kontrolę okresową?
Warto rozwiać dwa nieporozumienia. Pierwsze polega na utożsamianiu zgodności z rozporządzeniem z posiadaniem budżetu informatycznego i zapory sieciowej: tekst dotyczy systemu kontroli, a więc ról, procedur, dowodów i przeglądów, a nie inwentarza sprzętu. Drugie polega na traktowaniu bezpieczeństwa SI jako kwestii czysto technicznej, podczas gdy rozporządzenie angażuje organ nadzorujący i łączy się z systemami kontroli wewnętrznej, ryzyka operacyjnego i outsourcingu już wymaganymi przez COBAC. Mapa ryzyk informatycznych powinna wpisywać się w mapę ryzyk całej instytucji.
Audyt zgodności kończy się stwierdzeniem binarnym: wymóg jest spełniony albo nie jest. Diagnoza dojrzałości odpowiada na inne pytanie. Umieszcza każdą praktykę na progresywnej skali, od działania doraźnego do systemu zarządzanego i poddawanego przeglądom, i wskazuje konkretne działanie prowadzące do wyższego poziomu. Takie podejście jest potrzebne dyrekcji generalnej, która musi dokonać wyboru priorytetów na dany rok i uzasadnić je przed komitetem audytu.
Model referencyjny jest gotowy do użycia w Datamensio i pozostaje w pełni modyfikowalny. Sztuczna inteligencja dostosowuje obszary tematyczne, pytania i poziomy do Państwa profilu, banku komercyjnego, instytucji mikrofinansowej lub instytucji płatniczej, lub buduje własną wersję na podstawie Państwa polityki bezpieczeństwa i raportów kontroli. Stwierdzone luki zasilają bezpośrednio priorytetową mapę drogową, którą można konsolidować dla wielu podmiotów grupy.
Norma referencyjna: Rozporządzenie COBAC dotyczące bezpieczeństwa systemów informacyjnych podmiotów podlegających nadzorowi (Komisja Bankowa Afryki Centralnej, CEMAC)
Oceniane obszary tematyczne
Ład zarządzania systemem informacyjnym
Zaangażowanie organu nadzorującego i organu wykonawczego, zatwierdzona strategia SI, dedykowany komitet, role i odpowiedzialności, wyznaczenie i umiejscowienie odpowiedzialnego za bezpieczeństwo, przydzielone środki.
Polityka bezpieczeństwa i dokumentacja
Sformalizowana i zatwierdzona polityka bezpieczeństwa, procedury wdrożeniowe, zakres objęty, rozpowszechnienie w podmiotach i spółkach zależnych, cykl przeglądu.
Mapa aktywów i ryzyk informatycznych
Inwentaryzacja aktywów i aplikacji, klasyfikacja danych, identyfikacja podatności, ocena ryzyka, powiązanie z mapą ryzyk operacyjnych.
Zarządzanie tożsamościami i uprawnieniami
Nadawanie i odbieranie uprawnień, rozdzielenie obowiązków, konta uprzywilejowane, konta dostawców, uwierzytelnianie, okresowy przegląd uprawnień i identyfikowalność.
Bezpieczeństwo infrastruktury i aplikacji
Zabezpieczenie sieci i stacji roboczych, segmentacja, szyfrowanie, zarządzanie poprawkami, bezpieczeństwo kanałów bankowości cyfrowej i kart płatniczych, testy penetracyjne.
Eksploatacja i zarządzanie zmianami
Procedury eksploatacyjne, zarządzanie wdrożeniami produkcyjnymi, odseparowane środowiska testowe, zweryfikowane kopie zapasowe i odtwarzanie, rejestrowanie zdarzeń i nadzór.
Ciągłość i odtwarzanie działania
Plan ciągłości działania i plan awaryjny IT, lokalizacja zapasowa, cele odtwarzania, przetestowane scenariusze, protokoły z ćwiczeń, aktualizacja po teście.
Zarządzanie incydentami bezpieczeństwa
Wykrywanie i kwalifikacja, rejestr incydentów, terminy obsługi, zgłaszanie do Komisji Bankowej, analiza przyczyn, wnioski z doświadczeń.
Dostawcy i outsourcing informatyczny
Klauzule umowne dotyczące bezpieczeństwa i audytu, odwracalność, poziomy usług, kontrola dostawców infogérance i kart płatniczych, lokalizacja i dostęp do danych.
Kontrola, raportowanie i ciągłe doskonalenie
Objęcie SI kontrolą stałą i okresową, monitorowane wskaźniki, raportowanie do organu nadzorującego i do nadzorcy, śledzenie zaleceń, uświadamianie pracowników.
Krótsza wersja modelu referencyjnego, licząca undefined pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy rozporządzenie COBAC o bezpieczeństwie SI prowadzi do certyfikacji?
Nie. Jest to rozporządzenie ostrożnościowe, którego przestrzeganie jest weryfikowane przez Komisję Bankową Afryki Centralnej poprzez raportowanie i misje weryfikacyjne. Datamensio mierzy dojrzałość Państwa systemu i przygotowuje do tych terminów, nie wydaje żadnego zaświadczenia.
Jaka jest różnica między tą diagnozą a audytem zgodności?
Audyt kończy się oceną wymóg po wymogu, spełniony lub nie. Diagnoza umieszcza każdą praktykę na skali dojrzałości i wskazuje działanie prowadzące do wyższego poziomu. Oba podejścia się uzupełniają: diagnoza przygotowuje misję i porządkuje priorytety, audyt zatwierdza.
Ile czasu zajmuje ocena?
Wersja skrócona wypełniana jest podczas jednej sesji roboczej. Wersja pełna, w trybie wspólnej pracy z DSI, odpowiedzialnym za bezpieczeństwo i kontrolą wewnętrzną, trwa zazwyczaj od jednego do dwóch tygodni, przy czym większość czasu zajmuje zebranie dowodów od zespołów.
Czy model referencyjny można dostosować do instytucji mikrofinansowej lub płatniczej?
Tak. Obszary tematyczne, pytania i poziomy można modyfikować, a sztuczna inteligencja tworzy wersję dostosowaną do Państwa wielkości i profilu działalności na podstawie wewnętrznych dokumentów. Pozostają Państwo właścicielami swojego modelu referencyjnego.
Jak postępować z wieloma spółkami zależnymi w różnych krajach strefy?
Każdy podmiot przeprowadza ocenę na tym samym modelu referencyjnym. Wyniki porównuje się między jednostkami biznesowymi i w czasie, a przekrojowa mapa drogowa konsoliduje wspólne działania bez powielania ich w każdym podmiocie.
Czy odpowiadanie wymaga wiedzy technicznej?
Pytania dotyczą systemu kontroli, a nie konfiguracji technicznych. Odpowiedzialny za kontrolę wewnętrzną może wypełnić dużą część modelu referencyjnego. Tryb wspólnej pracy pozwala przypisać pytania techniczne właściwemu osobie.
Jak ta diagnoza łączy się z kontrolą wewnętrzną i ryzykiem operacyjnym?
Wymogi w dużej mierze się pokrywają: mapa ryzyk, system kontroli, zarządzanie incydentami, nadzór nad dostawcami. Oceny prowadzone na tych modelach referencyjnych łączą się w jedną mapę drogową, co pozwala uniknąć podwójnego traktowania tego samego działania.
Gdzie są przechowywane dane?
We Francji, u OVH, z kopią zapasową u Scaleway. Brak transferu poza Unię Europejską. Wykorzystywane modele sztucznej inteligencji mogą być wybierane, w tym spośród rozwiązań europejskich.