Dojrzałość ISO 27001 i ISO 27032 · Cyberbezpieczeństwo
Bezpieczeństwo informacji w Państwa organizacji zmierzone względem ISO 27001 i 27032, przełożone na wyceniony plan działania.
12 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
12 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość ISO 27001 i ISO 27032 · Cyberbezpieczeństwo
12 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza ISO/IEC 27001:2022 oraz ISO/IEC 27032:2012 uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 12 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm (poziom, poziom wyższy i działanie łączące oba) przekształca stwierdzenie faktu w trajektorię rozwoju.
Czy deklaracja stosowania odzwierciedla faktycznie wdrożone zabezpieczenia
- N1
Brak sformalizowanej deklaracji stosowania, albo dokument sporządzony jednorazowo i od tego czasu nigdy nieaktualizowany.
- N2
Deklaracja istnieje i obejmuje 93 zabezpieczenia, ale opisuje stan docelowy. Luki względem rzeczywistego wdrożenia nie są identyfikowane.
- N3
Każde zabezpieczenie jest powiązane z istniejącą praktyką i osobą odpowiedzialną. Wyłączenia są uzasadnione, a dokument jest przeglądany co najmniej raz w roku.
- N4
Deklaracja jest aktualizowana przy każdej istotnej zmianie zakresu, ryzyka lub organizacji, z historią wersji i powiązanymi dowodami wdrożenia.
- N5
Deklaracja jest powiązana z planem postępowania z ryzykiem i wskaźnikami bezpieczeństwa. Luki stwierdzone podczas audytu wewnętrznego uruchamiają udokumentowaną rewizję.
Działanie umożliwiające przejście z poziomu 2 do poziomu 3
Zestawić każde zabezpieczenie załącznika A z obserwowaną praktyką, wyznaczyć osobę odpowiedzialną za każde zabezpieczenie i odnotować luki w planie postępowania z ryzykiem. Wprowadzić przegląd deklaracji stosowania do porządku obrad corocznego przeglądu zarządzania.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna ISO 27001.
O czym jest ten model referencyjny
ISO 27001 wymaga systemu zarządzania bezpieczeństwem informacji: zdefiniowanego zakresu, analizy ryzyka, deklaracji stosowania uzasadniającej włączenie lub wyłączenie każdego z 93 zabezpieczeń załącznika A, mierzonych celów, audytów wewnętrznych oraz przeglądu zarządzania. Wersja z 2022 roku przebudowała ten załącznik na cztery tematy: organizacyjny, ludzki, fizyczny i technologiczny, oraz wprowadziła nowe zabezpieczenia dotyczące monitorowania zagrożeń, bezpieczeństwa usług chmurowych i ochrony danych w fazie rozwoju. ISO 27032 nie podlega certyfikacji: opisuje praktyki cyberbezpieczeństwa wykraczające poza granice organizacji, koordynację między interesariuszami, bezpieczeństwo aplikacji eksponowanych na zewnątrz, wymianę informacji o incydentach.
Oba te teksty są trudne do wdrożenia, ponieważ łatwo poprzestać na deklaracjach. SZBI może istnieć na papierze i niczego nie zmieniać w codziennych praktykach. Pytania, które się naprawdę pojawiają, są konkretne: czy deklaracja stosowania odzwierciedla faktycznie wdrożone zabezpieczenia, czy stan pożądany w momencie pierwszej certyfikacji? Czy wskaźniki bezpieczeństwa zasilają decyzje, czy tylko wypełniają tabelę? Czy zabezpieczenia załącznika A obejmują spółki zależne i dostawców, czy jedynie historyczny zakres siedziby głównej? Czy przegląd zarządzania prowadzi do udokumentowanych decyzji, czy jedynie do protokołu?
Przejście na ISO/IEC 27001:2022 ujawniło częste nieporozumienie: wiele organizacji zaktualizowało deklarację stosowania, nie weryfikując leżących u jej podstaw praktyk. Przejście ze 114 do 93 zabezpieczeń to ćwiczenie z dopasowania, a nie dowód postępu. Kolejne nieporozumienie do wyjaśnienia: ISO 27032 nie jest rozszerzoną wersją 27001. Zajmuje się aspektem, który 27001 pokrywa słabo, czyli bezpieczeństwem relacji z podmiotami, których Państwo nie kontrolują: dostawcami, klientami, społecznościami wymiany informacji o zagrożeniach. Obie normy się uzupełniają, jedna poprzez zarządzanie, druga poprzez cyberprzestrzeń.
Diagnoza dojrzałości odpowiada na inne pytanie niż audyt certyfikujący. Audyt kończy się stwierdzeniem zgodności lub niezgodności, w danym zakresie, w danym dniu. Diagnoza umieszcza każdą praktykę na skali progresywnej i wskazuje konkretne działanie, które pozwala przejść na kolejny poziom. Organizacja certyfikowana może znajdować się na skromnym poziomie dojrzałości w obszarze zarządzania dostawcami lub podnoszenia świadomości. Organizacja niecertyfikowana może być silna w obszarze eksploatacji. Wynik według obszarów tematycznych ujawnia te luki, zanim zrobi to audytor.
W Datamensio model referencyjny ISO 27001 i 27032 jest gotowy do użycia. Mogą Państwo również go dostosować: sztuczna inteligencja dopasowuje obszary tematyczne, pytania i poziomy dojrzałości do Państwa branży i zakresu, lub buduje wariant na podstawie Państwa własnych dokumentów: polityki bezpieczeństwa, deklaracji stosowania, raportów z audytów wewnętrznych.
Norma referencyjna: ISO/IEC 27001:2022 oraz ISO/IEC 27032:2012
Oceniane obszary tematyczne
Kontekst, zakres i zarządzanie SZBI
Określenie zagadnień wewnętrznych i zewnętrznych, oczekiwań stron zainteresowanych, udokumentowany i uzasadniony zakres, polityka bezpieczeństwa, role i odpowiedzialności, zaangażowanie kierownictwa.
Szacowanie i postępowanie z ryzykiem
Metoda szacowania, kryteria akceptacji, plan postępowania z ryzykiem, deklaracja stosowania i uzasadnienie wyłączeń, zatwierdzenie ryzyka szczątkowego.
Zabezpieczenia organizacyjne
Polityki tematyczne, zarządzanie aktywami, klasyfikacja informacji, bezpieczeństwo w relacjach z dostawcami, zarządzanie incydentami, ciągłość działania, zgodność prawna.
Bezpieczeństwo zasobów ludzkich
Weryfikacja przed zatrudnieniem, klauzule umowne, podnoszenie świadomości i szkolenia, postępowanie dyscyplinarne, zarządzanie odejściami i zmianami stanowisk.
Bezpieczeństwo fizyczne i środowiskowe
Strefy i kontrola dostępu fizycznego, ochrona przed zagrożeniami środowiskowymi, bezpieczeństwo sprzętu, stanowisk pracy i nośników, bezpieczne niszczenie.
Zabezpieczenia technologiczne
Zarządzanie dostępem i tożsamościami, ochrona przed szkodliwym oprogramowaniem, rejestrowanie zdarzeń i monitorowanie, zarządzanie podatnościami technicznymi, kryptografia, bezpieczeństwo sieci i usług chmurowych.
Bezpieczeństwo rozwoju i aplikacji
Wymagania bezpieczeństwa w projektach, odseparowane środowiska, testy, zarządzanie zmianami, ochrona danych wykorzystywanych w fazie rozwoju i testów, bezpieczeństwo aplikacji eksponowanych w internecie.
Monitorowanie zagrożeń i wymiana informacji
Wykorzystywane źródła analizy zagrożeń, operacyjne wykorzystanie sygnałów, udział w sektorowych mechanizmach wymiany, koordynacja z organami i zespołami CERT, obszar centralny dla ISO 27032.
Bezpieczeństwo ekosystemu i stron trzecich
Mapowanie zależności, wymagania umowne, ocena i monitorowanie dostawców, bezpieczeństwo cyfrowego łańcucha dostaw, zarządzanie zdalnym dostępem stron trzecich.
Zarządzanie incydentami i ciągłość działania
Wykrywanie, kwalifikacja, eskalacja, obsługa i wnioski po incydencie, plany ciągłości i odtwarzania, testy i ćwiczenia, przygotowanie zewnętrznych interesariuszy.
Pomiar skuteczności i audyt wewnętrzny
Wskaźniki i cele bezpieczeństwa, program audytów wewnętrznych, kompetencje audytorów, monitorowanie ustaleń, przegląd zarządzania i udokumentowane decyzje.
Ciągłe doskonalenie
Postępowanie z niezgodnościami, działania korygujące, aktualizacja SZBI, porównanie wyników w czasie i między jednostkami.
Krótsza wersja modelu referencyjnego, licząca undefined pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 12 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy ta diagnoza prowadzi do certyfikacji ISO 27001
Nie. Certyfikację wydaje akredytowana jednostka certyfikująca po przeprowadzeniu dwuetapowego audytu. Datamensio mierzy dojrzałość Państwa praktyk, identyfikuje luki i opracowuje plan działania przygotowujący do tego audytu. ISO 27032 z kolei nie podlega certyfikacji: jest przewodnikiem dobrych praktyk.
Jaka jest różnica między tą diagnozą a audytem zgodności
Audyt weryfikuje obecność wymagań i kończy się stwierdzeniem zgodności lub niezgodności. Diagnoza umieszcza każdą praktykę na pięciostopniowej skali dojrzałości i wskazuje działanie umożliwiające przejście na wyższy poziom. Organizacja certyfikowana może wykazywać bardzo nierówne poziomy w zależności od obszaru tematycznego.
Dlaczego oceniać 27001 i 27032 razem
ISO 27001 organizuje bezpieczeństwo wewnątrz zakresu organizacji. ISO 27032 dotyczy tego, co rozgrywa się na zewnątrz: stron trzecich, eksponowanych aplikacji, wymiany informacji o incydentach. Wspólna ocena pozwala uniknąć klasycznego martwego punktu, czyli SZBI silnego wewnętrznie, lecz bezbronnego wobec otoczenia.
Ile czasu zajmuje ocena
Skrócona wersja wypełniana jest w 20 do 30 minut. Pełna wersja, w trybie współpracy z udziałem kilku osób, rozkłada się zazwyczaj na jeden do dwóch tygodni. Większość czasu poświęcona jest na zbieranie danych od zespołów eksploatacji, działu kadr i działu zakupów.
Czy można dostosować model referencyjny do naszego zakresu
Tak. Mogą Państwo modyfikować pytania, poziomy, dodawać własne obszary tematyczne lub ograniczyć zakres do jednej jednostki biznesowej. Sztuczna inteligencja może również wygenerować wariant na podstawie Państwa polityki bezpieczeństwa i deklaracji stosowania. Kontrola nad modelem referencyjnym pozostaje po Państwa stronie.
Jak porównać kilka jednostek
Każda jednostka przeprowadza ocenę na tym samym modelu referencyjnym. Benchmark porównuje wyniki według obszarów tematycznych między jednostkami biznesowymi oraz względem wcześniejszych kampanii. Przekrojowa mapa drogowa konsoliduje plany działania z wielu audytów, co pozwala uniknąć podwójnego finansowania tego samego zabezpieczenia.
Czy odpowiadanie wymaga wiedzy technicznej
Pytania dotyczą praktyk zarządzania i wdrożenia, a nie konfiguracji technicznych. Odpowiedzieć na nie może odpowiedzialny za bezpieczeństwo lub audytor wewnętrzny. Pytania dotyczące eksploatacji lub rozwoju przypisywane są właściwemu uczestnikowi w trybie współpracy.
Gdzie przechowywane są dane
We Francji, u operatora OVH, z kopią zapasową u Scaleway. Żaden transfer poza Unię Europejską nie ma miejsca. Wykorzystywane modele sztucznej inteligencji mogą być wybierane, w tym spośród rozwiązań europejskich.