Dojrzałość cyber-odporności instytucji publicznych
Zdolność Państwa instytucji do dalszego świadczenia usług pod atakiem, zmierzona i przełożona na plan działania.
10 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość cyber-odporności instytucji publicznych
10 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza Ramy cyber-odporności sektora publicznego (NIS 2, modele referencyjne ANSSI, ISO 22301) uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm (poziom, poziom wyższy oraz działanie łączące oba) przekształca stwierdzenie faktu w trajektorię rozwoju.
Czy zdolność do przywrócenia usług kluczowych z kopii zapasowych jest sprawdzona
- N1
Brak udokumentowanych testów odtworzeniowych. Zdolność przywrócenia opiera się na przekonaniu, że kopie zapasowe działają.
- N2
Odtworzenia przeprowadzane są doraźnie, przy okazji incydentów lub pojedynczych wniosków, bez określonego zakresu ani sprawozdania.
- N3
Test odtworzeniowy jest zaplanowany i udokumentowany dla aplikacji usług kluczowych, z mierzonym czasem przywrócenia.
- N4
Testy obejmują scenariusz pełnej odbudowy z izolowanych kopii zapasowych, z udziałem zainteresowanych wydziałów merytorycznych, a terminy są porównywane z wyznaczonymi celami.
- N5
Procedura jest ponownie oceniana po każdym ćwiczeniu i każdej zmianie architektury, odchylenia terminowe uruchamiają działania śledzone i monitorowane.
Działanie, aby przejść z poziomu 2 na poziom 3
Wybrać dwie aplikacje najbardziej krytyczne dla obywateli, zaplanować pełne odtworzenie na środowisku testowym podczas najbliższego komitetu bezpieczeństwa, zmierzyć uzyskany czas i porównać go z zapowiedzianym celem przywrócenia.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna null.
O czym jest ten model referencyjny
Cyber-odporność sektora publicznego wynika z kilku nakładających się na siebie aktów prawnych: Dyrektywy (UE) 2022/2555, która zalicza instytucje publiczne do podmiotów objętych zakresem, modeli referencyjnych ANSSI dotyczących homologacji i bezpieczeństwa systemów informacyjnych państwa, zasad ciągłości działania z normy ISO 22301 oraz obowiązków dotyczących danych obywateli. Przedmiotem oceny nie jest wyłącznie ochrona techniczna: to zdolność samorządu, szpitala, ministerstwa czy operatora publicznego do utrzymania usług kluczowych w trakcie incydentu, zgłoszenia go w wymaganych terminach i powrotu do stanu kontrolowanego działania.
W praktyce takie zarządzanie jest trudne z przyczyn strukturalnych. System informacyjny jest często dziedziczony, rozproszony między autonomiczne wydziały merytoryczne i długoletnich dostawców. Kilka konkretnych pytań: czy wiedzą Państwo, które usługi dla obywateli muszą zostać przywrócone w pierwszej kolejności i w jakiej kolejności. Czy Państwa kopie zapasowe zostały naprawdę odtworzone, na pełnym scenariuszu, czy tylko testowane fragmentarycznie. Kto decyduje o wyłączeniu aplikacji merytorycznej w niedzielę i czy osoba ta była dostępna podczas ostatnich ćwiczeń.
Warto zaznaczyć pewien kontekst: transpozycja Dyrektywy (UE) 2022/2555 wyraźnie poszerza zakres objętych nią podmiotów publicznych i wprowadza wieloetapowy łańcuch zgłaszania incydentów, z odpowiedzialnością organu zarządzającego. Wiele instytucji zaczęło od zmapowania swoich obowiązków, nie zająwszy się jeszcze kwestią operacyjną, która następuje później: czy Państwa procedury kryzysowe działają w dniu wolnym od zajęć szkolnych, gdy dział informatyki pracuje w okrojonym składzie, a radny lub dyrektor generalny musi komunikować się z mediami.
Należy rozwiać częste nieporozumienie: audyt zgodności kończy się stwierdzeniem zgodności lub niezgodności, wymóg po wymogu. Diagnoza dojrzałości odpowiada na inne pytanie: na jakim poziomie opanowania znajduje się każda praktyka i jakie konkretne działanie pozwala przejść na poziom wyższy. Instytucja może być formalnie w porządku i jednocześnie niezdolna do odtworzenia rejestru stanu cywilnego w ciągu 48 godzin. Skala dojrzałości uwidacznia tę lukę i przekłada ją na wyceniony plan działania, z kosztem, terminem i oczekiwanym wpływem na wynik.
W Datamensio model referencyjny jest gotowy do użycia i pozostaje Państwa własnością. Mogą Państwo dostosować obszary tematyczne, pytania i sformułowania poziomów do swojego statusu, wielkości i usług kluczowych. Sztuka inteligentna precyzuje poziomy zgodnie z metodą CMMI albo buduje wariant na podstawie Państwa własnych dokumentów: planu ciągłości działania, analizy ryzyka, sprawozdań z ćwiczeń.
Norma referencyjna: Ramy cyber-odporności sektora publicznego (NIS 2, modele referencyjne ANSSI, ISO 22301)
Oceniane obszary tematyczne
Zarządzanie i odpowiedzialność za odporność
Zaangażowanie dyrekcji generalnej lub władzy wykonawczej, role i zastępstwa, powiązanie między wydziałem merytorycznym, informatyką a komunikacją, przydzielone zasoby.
Identyfikacja usług kluczowych
Inwentaryzacja usług świadczonych obywatelom, krytyczność, terminy przywrócenia i dopuszczalne straty danych, zależności aplikacyjne i ludzkie.
Opanowanie ryzyka i zakresu technicznego
Mapowanie systemu informacyjnego, zarządzanie dziedziczonymi zasobami, aktualizowana analiza ryzyka, homologacja systemów wrażliwych.
Ochrona i higiena cyfrowa
Zarządzanie dostępami uprzywilejowanymi, segmentacja sieci, zarządzanie poprawkami, zabezpieczenie stacji roboczych i dostępu zdalnego.
Wykrywanie i nadzór
Rejestrowanie zdarzeń, zasięg nadzoru, zdolność wykrywania poza godzinami pracy, korzystanie z usługi wspólnej lub zewnętrznej.
Zarządzanie kryzysowe i ciągłość usługi publicznej
Procedury kryzysowe możliwe do uruchomienia, tryby działania awaryjnego, procedury papierowe, łańcuch decyzyjny i dyżury.
Kopie zapasowe i zdolność odtworzeniowa
Izolacja i niezmienność kopii zapasowych, zakres objęty, pełne testy odtworzeniowe, zdolność odbudowy środowiska od zera.
Zgłaszanie incydentów i relacje z organami władzy
Punkty kontaktowe, terminy i etapy zgłaszania, informowanie obywateli, koordynacja z właściwymi organami i partnerami.
Łańcuch podwykonawstwa i zamówienia
Wymogi bezpieczeństwa w zamówieniach publicznych, zobowiązania dostawców do przywrócenia usług, odwracalność, nadzór nad dostawcami hostingu i oprogramowania merytorycznego.
Ćwiczenia, wnioski z doświadczeń i postęp
Częstotliwość i realizm ćwiczeń, zaangażowanie wydziałów merytorycznych i radnych, monitorowanie działań naprawczych, porównanie ocen w czasie.
Krótsza wersja modelu referencyjnego, licząca undefined pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy ta diagnoza wydaje certyfikat lub homologację
Nie. Datamensio mierzy dojrzałość Państwa praktyk i tworzy powiązany plan działania. Homologacja systemu lub certyfikacja na zgodność z normą należą do kompetencji organu władzy lub akredytowanej jednostki certyfikującej. Diagnoza przygotowuje te działania i dokumentuje punkt wyjścia.
Jaka jest różnica względem audytu zgodności z Dyrektywą (UE) 2022/2555
Audyt sprawdza obecność wymogów i kończy się stwierdzeniem luki lub zgodności. Diagnoza umieszcza każdą praktykę na skali progresywnej i wskazuje działanie pozwalające przejść na wyższy poziom. Oba podejścia się uzupełniają: diagnoza buduje trajektorię, audyt potwierdza osiągnięty stan.
Ile czasu zajmuje ocena
Samoocena przeprowadzona przez odpowiedzialnego za bezpieczeństwo zajmuje jedną sesję roboczą. W trybie zespołowym, z udziałem informatyki, wydziałów merytorycznych i działu ciągłości działania, należy liczyć od tygodnia do dwóch, przy czym większość czasu pochłania zbieranie i uzgadnianie odpowiedzi.
Czy model referencyjny można dostosować do niewielkiego samorządu
Tak. Mogą Państwo usunąć obszary tematyczne poza zakresem, przeformułować pytania i dostosować poziomy. Sztuczna inteligencja proponuje spójny wariant odpowiadający Państwa statusowi i liczebności zatrudnienia albo wykorzystuje jako podstawę Państwa istniejące dokumenty. Model referencyjny pozostaje pod Państwa kontrolą.
Czy można porównać kilka podmiotów ze sobą
Tak. Ten sam model referencyjny zastosowany do kilku jednostek biznesowych, placówek lub gmin w ramach związku pozwala na wewnętrzny benchmark oraz porównanie z wcześniejszymi ocenami. Przekrojowa mapa drogowa konsoliduje następnie plany działania z kilku diagnoz.
Jak wyceniany jest plan działania
Różnica między uzyskanym wynikiem a celem generuje działania do podjęcia. Katalog usług proponuje rozwiązanie dla każdego działania, wraz z kosztem, terminem i oczekiwanym wpływem na wynik. Sztuczna inteligencja łączy całość w priorytetyzowaną mapę drogową.
Gdzie przechowywane są dane
We Francji, u dostawcy OVH, z kopią zapasową u Scaleway. Brak przekazywania danych poza Unię Europejską. Wykorzystywane modele sztucznej inteligencji mogą być wybierane, w tym spośród ofert europejskich.