Dojrzałość ISO/IEC 27000 · Systemy zarządzania bezpieczeństwem informacji (SMSI)
Państwa system zarządzania bezpieczeństwem informacji, osadzony w rodzinie norm ISO 27000 i przełożony na plan działania.
10 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość ISO/IEC 27000 · Systemy zarządzania bezpieczeństwem informacji (SMSI)
10 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza ISO/IEC 27000:2018 (rodzina norm ISO/IEC 27000) uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm (poziom, poziom wyższy i działanie łączące oba) zamienia stwierdzenie stanu w trajektorię rozwoju.
Czy deklaracja stosowania jest aktualizowana i spójna z rzeczywiście wdrożonymi zabezpieczeniami?
- N1
Brak użytecznej deklaracji stosowania. Wdrożone zabezpieczenia nie są powiązane z żadną listą referencyjną.
- N2
Deklaracja istnieje, sporządzona w ramach pierwotnej dokumentacji. Nie była od tego czasu aktualizowana i wiele zapisów nie odpowiada już rzeczywistości.
- N3
Deklaracja jest okresowo przeglądana, każde przyjęte lub odrzucone zabezpieczenie posiada uzasadnienie i wyznaczonego odpowiedzialnego.
- N4
Przeglądy są systematyczne, zasilane szacowaniem ryzyka i audytami wewnętrznymi. Stwierdzone luki skutkują udokumentowanym działaniem.
- N5
Deklaracja jest aktualizowana przy każdej zmianie zakresu lub kontekstu ryzyka, z historią wersji i powodów rewizji.
Działanie umożliwiające przejście z poziomu 2 do poziomu 3
Przeanalizować deklarację stosowania zabezpieczenie po zabezpieczeniu z odpowiedzialnymi osobami, wpisać dla każdego uzasadnienie i osobę odpowiedzialną, a jej przegląd powiązać z półrocznym przeglądem zarządzania.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna ISO 27000.
O czym jest ten model referencyjny
ISO/IEC 27000 jest normą wprowadzającą do rodziny poświęconej bezpieczeństwu informacji. Definiuje terminy i zasady wspólne dla ISO 27001 w zakresie wymagań, ISO 27002 w zakresie zabezpieczeń, ISO 27005 w zakresie ryzyka oraz powiązanych norm sektorowych. Opisuje, czym jest SMSI: określony zakres, politykę wspieraną przez kierownictwo, szacowanie ryzyka, zbiór dobranych i uzasadnionych zabezpieczeń, dowody funkcjonowania, przeglądy oraz ciągłe doskonalenie. Nie podlega audytowi jako taka, lecz stanowi klucz do odczytu całości.
W praktyce SMSI trudno jest ocenić, ponieważ obejmuje całą organizację. Czy zadeklarowany zakres nadal odpowiada rzeczywistym działaniom, po reorganizacjach i wdrożeniu nowych usług cyfrowych? Czy deklaracja stosowania odzwierciedla zabezpieczenia faktycznie wdrożone, czy raczej zamierzenia odziedziczone po początkowej dokumentacji certyfikacyjnej? Czy przeglądy zarządzania skutkują udokumentowanymi decyzjami, czy jedynie protokołem ze spotkania? Pytania te rzadko pojawiają się w jednym miejscu i nikt nie posiada pełnej odpowiedzi.
Warto rozwiać częste nieporozumienie: rodzina norm ISO 27000 nie jest zbiorem konkurujących ze sobą norm. ISO 27000 wprowadza słownictwo, ISO 27001 określa wymagania podlegające certyfikacji, ISO 27002 proponuje katalog zabezpieczeń uporządkowany w czterech tematach od wersji z 2022 roku, ISO 27005 dotyczy szacowania ryzyka. Dojrzały SMSI potrafi wskazać, do czego służy każda norma w ramach jego systemu. Wiele organizacji posługuje się słownictwem ISO 27000, nie powiązawszy ze sobą tych elementów.
Diagnoza dojrzałości odpowiada na inne pytanie niż audyt zgodności. Audyt kończy się stwierdzeniem luki, niezgodności drobnej lub poważnej, albo zgodności. Diagnoza umiejscawia każdą praktykę na skali progresywnej i wskazuje działanie prowadzące do kolejnego poziomu. Nie prowadzi do żadnej certyfikacji: mierzy rzeczywisty stan systemu i przygotowuje do audytu, pokazując, gdzie SMSI się obroni, a gdzie nie.
W Datamensio model referencyjny jest gotowy do użycia, a jednocześnie w pełni dostosowywalny. Sztuczna inteligencja dostosowuje obszary tematyczne, przeformułowuje pytania i precyzuje poziomy zgodnie z metodą CMMI, a także może zbudować odmianę modelu na podstawie Państwa własnych dokumentów: polityki bezpieczeństwa, deklaracji stosowania, protokołów z przeglądów.
Norma referencyjna: ISO/IEC 27000:2018 (rodzina norm ISO/IEC 27000)
Oceniane obszary tematyczne
Kontekst i zakres SMSI
Określenie zakresu stosowania, obejmowanych działań i lokalizacji, interfejsów i zależności, identyfikacja zainteresowanych stron i ich wymagań.
Przywództwo i polityka
Zaangażowanie kierownictwa, sformalizowana i rozpowszechniona polityka bezpieczeństwa informacji, przypisane role i odpowiedzialności, przydzielone zasoby.
Szacowanie i postępowanie z ryzykiem
Metoda szacowania, kryteria oceny i akceptacji, plan postępowania z ryzykiem, deklaracja stosowania i uzasadnienie przyjętych lub odrzuconych zabezpieczeń.
Zabezpieczenia organizacyjne
Zarządzanie aktywami, klasyfikacja informacji, zarządzanie dostępem, relacje z dostawcami, wymagania umowne i klauzule bezpieczeństwa.
Bezpieczeństwo związane z zasobami ludzkimi
Weryfikacje przed zatrudnieniem, uświadamianie i szkolenia, zobowiązania do poufności, procedury odejścia i zmiany stanowiska, praca zdalna.
Bezpieczeństwo fizyczne i środowiskowe
Strefy zabezpieczone, kontrola dostępu fizycznego, ochrona urządzeń, zarządzanie nośnikami i ich utylizacja.
Zabezpieczenia technologiczne
Utwardzanie konfiguracji, rejestrowanie zdarzeń i nadzór, zarządzanie podatnościami i poprawkami, kryptografia, kopie zapasowe, bezpieczeństwo wytwarzania oprogramowania.
Zarządzanie incydentami i ciągłość działania
Wykrywanie i kwalifikacja, procedury reagowania, zgłaszanie zainteresowanym stronom, wyciąganie wniosków, ciągłość działania i związane z nią testy.
Dokumentacja i dowody
Nadzór nad informacjami udokumentowanymi, zarządzanie wersjami, przechowywanie zapisów, identyfikowalność decyzji dotyczących bezpieczeństwa.
Monitorowanie, przegląd i doskonalenie
Wskaźniki wydajności, audyty wewnętrzne, przeglądy zarządzania, postępowanie z niezgodnościami, działania korygujące i monitorowanie w czasie.
Krótsza wersja modelu referencyjnego, licząca 27 pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy ISO 27000 podlega certyfikacji?
Nie. ISO/IEC 27000 dostarcza słownictwo i zasady rodziny norm. Certyfikacji podlega ISO/IEC 27001, dla którego ISO 27000 stanowi klucz do odczytu. Diagnoza mierzy dojrzałość Państwa SMSI i przygotowuje do audytu, nie wydając żadnego zaświadczenia.
Jaka jest różnica między tą diagnozą a audytem zgodności?
Audyt sprawdza obecność wymagań i kończy się stwierdzeniem zgodności lub luki. Diagnoza umiejscawia każdą praktykę na skali dojrzałości i wskazuje działanie prowadzące do postępu. Oba podejścia się uzupełniają: diagnoza przygotowuje, audyt potwierdza.
Ile czasu zajmuje ocena?
Wersja skrócona wypełniana jest podczas jednego spotkania roboczego. Wersja pełna, prowadzona w trybie wspólnej pracy z udziałem kilku osób, trwa od jednego do dwóch tygodni, przy czym większość czasu zajmuje zbieranie danych od zaangażowanych zespołów.
Czy trzeba już posiadać certyfikat, aby korzystać z tego modelu referencyjnego?
Nie. Model jest przeznaczony zarówno dla organizacji budujących swój SMSI, jak i dla tych już certyfikowanych, które chcą obiektywnie określić swój rzeczywisty poziom między audytami lub rozszerzyć zakres.
Czy można dostosować model referencyjny do naszej organizacji?
Tak. Mogą Państwo zmieniać pytania, poziomy i obszary tematyczne albo rozpocząć od pustej podstawy. Sztuczna inteligencja może również zbudować odmianę modelu na podstawie Państwa polityki bezpieczeństwa i deklaracji stosowania. Pełna kontrola nad modelem referencyjnym należy do Państwa.
Jak porównać kilka jednostek?
Każda jednostka biznesowa przechodzi tę samą diagnozę. Wyniki w poszczególnych obszarach tematycznych można porównywać między jednostkami oraz z wcześniejszymi ocenami. Przekrojowa mapa drogowa konsoliduje audyty i grupuje wspólne działania.
Jak ta diagnoza wiąże się z NIS 2 lub DORA?
Te akty prawne opierają się w dużej mierze na tych samych zasadach zarządzania bezpieczeństwem. Oceniony SMSI stanowi fundament możliwy do ponownego wykorzystania. Przekrojowa mapa drogowa pozwala zestawiać modele referencyjne bez powielania działań.
Gdzie przechowywane są dane?
We Francji, u OVH, z kopią zapasową u Scaleway. Żaden transfer poza Unię Europejską nie ma miejsca. Wykorzystywane modele sztucznej inteligencji mogą być wybierane, w tym spośród rozwiązań europejskich.