Dojrzałość w zakresie wywiadu o cyberzagrożeniach
Państwa zdolność wywiadowcza w zakresie cyberzagrożeń, zmierzona dla poszczególnych obszarów tematycznych i przełożona na mapę drogową.
10 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość w zakresie wywiadu o cyberzagrożeniach
10 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza Model referencyjny dojrzałości Cyber Threat Intelligence (odniesienia CTI-CMM, MITRE ATT&CK, cykl wywiadowczy) uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm, poziom, poziom wyższy oraz działanie łączące oba, przekształca stwierdzenie stanu w ścieżkę rozwoju.
Czy priorytetowe potrzeby wywiadowcze są formalizowane z interesariuszami i regularnie weryfikowane?
- N1
Brak sformalizowanych potrzeb. Monitoring zagrożeń podąża za bieżącymi wydarzeniami i zainteresowaniami analityków.
- N2
Istnieje lista tematów ustalona wyłącznie przez zespół bezpieczeństwa. Nie jest ona udostępniana jednostkom biznesowym ani weryfikowana od momentu powstania.
- N3
Potrzeby są formalizowane z głównymi interesariuszami, hierarchizowane i weryfikowane w ustalonych terminach. Każdy produkt analityczny jest powiązany ze zidentyfikowaną potrzebą.
- N4
Potrzeby obejmują poziom strategiczny, operacyjny i techniczny, są zatwierdzane przez odbiorców i zarządzane za pomocą wskaźników pokrycia i terminowości.
- N5
Potrzeby ewoluują w sposób ciągły w zależności od incydentów, scenariuszy ryzyka i zmian w działalności, a historia weryfikacji i ich wpływu na produkty analityczne jest udokumentowana.
Działanie umożliwiające przejście z poziomu 2 na poziom 3
Zorganizowanie warsztatu z udziałem SOC, zarządzania podatnościami, zarządzania ryzykiem i przedstawiciela jednostki biznesowej w celu hierarchizacji potrzeb wywiadowczych, ich spisania w jednym dokumencie i wpisania ich weryfikacji do porządku obrad kwartalnego komitetu bezpieczeństwa.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna null.
O czym jest ten model referencyjny
Wywiad o cyberzagrożeniach, czyli CTI, jest zdolnością organizacyjną, a nie wymogiem normatywnym. Opiera się na znanym cyklu: określenie potrzeb przez interesariuszy, zbieranie danych, przetwarzanie, analiza, rozpowszechnianie, wnioski z doświadczeń. Działa na trzech poziomach: strategicznym dla kierownictwa, operacyjnym dla kampanii i aktorów zagrożeń, technicznym dla wskaźników i sposobów działania. Modele referencyjne tej dziedziny, od cyklu wywiadowczego po mapowanie MITRE ATT&CK, porządkują praktykę, nie narzucając poziomu docelowego. To organizacja sama określa swój cel.
W praktyce ta swoboda utrudnia zarządzanie tą zdolnością. Pytania, jakie zadają sobie zespoły, są konkretne. Kto sformułował priorytetowe potrzeby wywiadowcze i kiedy były one ostatnio weryfikowane? Czy produkty analityczne są czytane i wykorzystywane przez SOC, zarządzanie podatnościami i kierownictwo, czy też krążą jedynie między analitykami? Czy kupowane lub otwarte źródła wskaźników są oceniane pod kątem rzeczywistej wartości, czy też gromadzone tylko dlatego, że są dostępne? Bez mierzalnej odpowiedzi trudno uzasadnić inwestycję w CTI podczas dyskusji budżetowych.
Kontekst europejski przesunął ciężar tego zagadnienia. Dyrektywa NIS 2 oraz Rozporządzenie DORA wymagają udokumentowanej znajomości istotnych zagrożeń, a w przypadku sektora finansowego testów opartych na zagrożeniach typu TIBER-EU. Wywiad staje się oczekiwanym elementem wejściowym systemu zarządzania ryzykiem i przygotowania na sytuacje kryzysowe. Utrzymuje się częste nieporozumienie: subskrypcja źródła wskaźników nie jest zdolnością wywiadowczą. Źródło to dostawca danych. Wywiad to praca analityczna osadzona w kontekście, która prowadzi do decyzji.
Diagnoza dojrzałości nie odpowiada na pytanie o zgodność. Nie określa, czy praktyka jest zgodna, czy nie, ponieważ żadna jednostka nie certyfikuje zdolności CTI. Sytuuje każdy obszar tematyczny na progresywnej skali inspirowanej metodą CMMI, od stwierdzenia braku do praktyki zoptymalizowanej, i wskazuje działanie umożliwiające przejście na wyższy poziom. Państwo otrzymują stan obecny, cel oraz wycenioną lukę między nimi, możliwą do wykorzystania zarówno na komitecie bezpieczeństwa, jak i komitecie inwestycyjnym.
Model referencyjny jest gotowy do użycia w Datamensio i pozostaje Państwa własnością. SI dostosowuje obszary tematyczne, pytania i sformułowania poziomów do Państwa organizacji lub tworzy wersję na podstawie Państwa własnych dokumentów: karty CTI, procedur SOC, raportów z monitoringu. Wykorzystywane modele można wybierać, w tym spośród rozwiązań europejskich.
Norma referencyjna: Model referencyjny dojrzałości Cyber Threat Intelligence (odniesienia CTI-CMM, MITRE ATT&CK, cykl wywiadowczy)
Oceniane obszary tematyczne
Zarządzanie funkcją
Mandat i umiejscowienie zespołu, role i odpowiedzialności, dedykowany budżet, powiązanie z SOC, ryzykiem i kierownictwem, polityka dzielenia się informacjami.
Priorytetowe potrzeby wywiadowcze
Identyfikacja interesariuszy, formułowanie potrzeb, hierarchizacja, częstotliwość weryfikacji, identyfikowalność między zgłoszoną potrzebą a dostarczonym produktem.
Źródła i zbieranie danych
Mapowanie źródeł otwartych, komercyjnych, społecznościowych i wewnętrznych, pokrycie obszaru, ocena wiarygodności, zarządzanie dostępem i legalnością zbierania danych.
Przetwarzanie i zarządzanie danymi
Platforma do zarządzania wywiadem, normalizacja formatów, deduplikacja, cykl życia i wygasanie wskaźników, zautomatyzowane wzbogacanie danych.
Analiza i mapowanie sposobów działania
Metody analizy, uzasadniona atrybucja, wykorzystanie MITRE ATT&CK, monitorowanie istotnych aktorów i kampanii, rozróżnienie między hipotezą a ustalonym faktem, ocena poziomu pewności.
Rozpowszechnianie i produkty analityczne
Formaty strategiczny, operacyjny i techniczny, częstotliwość publikacji, dostosowanie do odbiorcy, alerty w trybie pilnym, pomiar odbioru i wykorzystania.
Integracja operacyjna
Zasilanie reguł detekcji, triażu alertów i dochodzeń, wkład w zarządzanie podatnościami i threat hunting, wykorzystanie podczas ćwiczeń i sytuacji kryzysowych.
Monitorowanie powierzchni zewnętrznej i marki
Ekspozycja internetowa, wycieki danych i danych uwierzytelniających, podszywanie się pod domeny i markę, monitorowanie łańcucha podwykonawców.
Wymiana informacji i współpraca
Udział w społecznościach sektorowych i zespołach CERT, wymiana z organami, zasady klasyfikacji i rozpowszechniania, wzajemność w dzieleniu się informacjami.
Pomiar i ciągłe doskonalenie
Wskaźniki trafności i terminowości, informacje zwrotne od odbiorców, przeglądy poincydentalne, aktualizacja metod, porównania w czasie i między podmiotami.
Krótsza wersja modelu referencyjnego, licząca undefined pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy wywiad o cyberzagrożeniach podlega certyfikacji?
Nie. Jest to zdolność organizacyjna, bez dedykowanej jednostki certyfikującej. Diagnoza mierzy poziom dojrzałości Państwa praktyk i wyznacza ścieżkę rozwoju. Może natomiast wspierać przygotowanie do audytu ISO 27001 lub wykazanie zgodności z wymogami dyrektywy NIS 2 i Rozporządzenia DORA.
Jaka jest różnica między tą diagnozą a audytem?
Audyt sprawdza spełnienie wymogów i kończy się stwierdzeniem niezgodności lub zgodności. Diagnoza sytuuje każdy obszar tematyczny na progresywnej skali i wskazuje działanie umożliwiające przejście na wyższy poziom. Rezultatem jest mapa drogowa, nie opinia.
Ile czasu zajmuje ocena?
Wersja skrócona wypełniana jest w 20 do 30 minut przez osobę odpowiedzialną, znającą funkcję CTI. Wersja pełna, w trybie współpracy, trwa zazwyczaj od jednego do dwóch tygodni, przy czym większość czasu poświęca się na zebranie informacji od SOC, zespołu CTI i jednostek biznesowych.
Czy można dostosować model referencyjny do naszej organizacji?
Tak. Obszary tematyczne, pytania i sformułowania poziomów można modyfikować, a SI może zbudować wersję na podstawie Państwa procedur i istniejących produktów analitycznych. Podmiot bez dedykowanego zespołu i grupa posiadająca komórkę CTI nie oceniają tych samych elementów.
Czy do udzielenia odpowiedzi potrzebny jest dedykowany zespół CTI?
Nie. Diagnoza działa również wtedy, gdy monitoring zagrożeń prowadzony jest w niepełnym wymiarze czasu lub zlecony dostawcy zewnętrznemu. Pytania dotyczą wówczas sposobu formułowania potrzeb, wykorzystania dostarczanych produktów i pomiaru ich wartości.
Jak porównać wyniki wielu podmiotów w grupie?
Ten sam model referencyjny jest przekazywany każdej jednostce biznesowej, a następnie wyniki porównuje się dla poszczególnych obszarów tematycznych, między podmiotami oraz z wcześniejszymi ocenami. SI grupuje luki w jedną przekrojową mapę drogową, co pozwala uniknąć powielania tych samych działań w wielu planach.
Gdzie przechowywane są dane?
We Francji, u dostawcy OVH, z kopią zapasową u Scaleway. Brak przekazywania danych poza Unię Europejską. Wykorzystywane modele SI można wybierać, w tym spośród rozwiązań europejskich.