Dojrzałość ISO 27005 · Zarządzanie ryzykiem związanym z cyberbezpieczeństwem
Państwa ryzyko cyber, zmierzone według ISO 27005 i przełożone na plan działania.
8 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
8 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość ISO 27005 · Zarządzanie ryzykiem związanym z cyberbezpieczeństwem
8 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza ISO/IEC 27005:2022 uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 8 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm, poziom, poziom wyższy oraz działanie łączące oba, zamienia stwierdzenie faktu w trajektorię rozwoju.
Czy kryteria akceptacji ryzyka są określone i stosowane w sposób spójny?
- N1
Brak sformalizowanych kryteriów. Decyzje o akceptacji podejmowane są doraźnie, bez wspólnego punktu odniesienia.
- N2
Kryteria istnieją w dokumencie, ale są mało znane, a ich stosowanie różni się w zależności od zespołu.
- N3
Kryteria są udokumentowane, rozpowszechnione i stosowane w sposób ogólny. Odstępstwa mają charakter jednostkowy.
- N4
Kryteria są systematycznie stosowane, akceptacje są dokumentowane i zatwierdzane na odpowiednim szczeblu hierarchicznym.
- N5
Kryteria są okresowo weryfikowane w zależności od zmian kontekstu i incydentów, z udokumentowanym śledzeniem tych zmian.
Działanie umożliwiające przejście z poziomu 2 na poziom 3
Rozpowszechnić kryteria akceptacji wśród wszystkich właścicieli ryzyk, włączyć je do wzoru karty ryzyka i sprawdzać ich stosowanie podczas kwartalnego przeglądu.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna ISO 27005.
O czym jest ten model referencyjny
ISO 27005 to norma, która towarzyszy ISO 27001 w jednej konkretnej kwestii: sposobie zarządzania ryzykiem. O ile ISO 27001 określa wymagania dotyczące systemu zarządzania bezpieczeństwem informacji, o tyle ISO 27005 wyjaśnia, jak prowadzić ocenę i postępowanie z ryzykiem zasilające ten system. Nie podlega certyfikacji. Stosuje się ją w praktyce.
To właśnie czyni ją trudną do monitorowania. Organizacja może twierdzić, że „stosuje ISO 27005”, choć nic nie pozwala zweryfikować, na ile jej praktyki są rzeczywiście ustrukturyzowane, powtarzalne i doskonalone w czasie. Czy kryteria akceptacji ryzyka są sformalizowane, czy ustalane doraźnie? Czy ocena obejmuje cały zakres, czy tylko systemy dobrze znane zespołowi bezpieczeństwa? Czy plany postępowania z ryzykiem są monitorowane aż do ich zakończenia, czy kończą się na rejestrze?
Wersja normy z 2022 roku przesunęła ponadto akcent: mniej narzuconej metodyki, więcej integracji z zarządzaniem ryzykiem na poziomie całej organizacji zgodnie z ISO 31000. W praktyce ryzyko cyber przestaje być tematem wyłącznie dla ekspertów od bezpieczeństwa, a staje się elementem ryzyka globalnego, który musi trafiać do zarządu w języku zrozumiałym dla osób nietechnicznych. Wiele organizacji przyjęło to słownictwo, nie dokonując jednak tej zmiany.
Diagnoza dojrzałości odpowiada na inne pytanie niż audyt zgodności. Audyt pyta: czy jest zgodnie, tak czy nie. Diagnoza pyta: na jakim poziomie dojrzałości się Państwo znajdują i jakie konkretne działania pozwolą przejść na kolejny poziom.
W Datamensio model referencyjny jest gotowy do użycia. Mogą Państwo również dostosować go do własnego kontekstu: sztuczna inteligencja dopasowuje obszary tematyczne, pytania i poziomy albo buduje wersję uszytą na miarę na podstawie Państwa własnych dokumentów.
Norma referencyjna: ISO/IEC 27005:2022
Oceniane obszary tematyczne
Ład organizacyjny i ramy zarządzania ryzykiem
Istnienie sformalizowanej polityki, określenie ról i odpowiedzialności, powiązanie z ładem korporacyjnym, alokacja zasobów.
Określenie kontekstu i zakresu
Zakres stosowania, kryteria oceny, kryteria akceptacji ryzyka, uwzględnienie stron zainteresowanych.
Identyfikacja ryzyka
Inwentaryzacja aktywów, identyfikacja zagrożeń i podatności, wykorzystywane źródła informacji, częstotliwość przeglądów.
Analiza i ocena
Przyjęta metoda i jej spójność, ocena prawdopodobieństwa i skutków, rozróżnienie między ryzykiem nieodłącznym a szczątkowym, ustalanie priorytetów.
Postępowanie z ryzykiem
Wybór opcji postępowania, dobór środków, sformalizowanie planu, akceptacja ryzyka szczątkowego na odpowiednim szczeblu hierarchicznym.
Komunikacja i konsultacje
Prezentacja wyników interesariuszom, przekazywanie informacji zarządowi, uświadamianie jednostek biznesowych, stosowany język.
Monitorowanie i przegląd
Śledzenie zmian ryzyka, wskaźniki, uruchamianie ponownych ocen, uwzględnianie incydentów i danych o zagrożeniach.
Ciągłe doskonalenie
Wnioski z doświadczeń, aktualizacja metody, porównania w czasie, dojrzałość samego systemu.
Krótsza wersja modelu referencyjnego, licząca undefined pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 8 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy ISO 27005 podlega certyfikacji?
Nie. To norma towarzysząca, która dostarcza wytycznych dotyczących zarządzania ryzykiem. Certyfikacji podlega ISO 27001, której system zarządzania ryzykiem zasila ISO 27005.
Jaka jest różnica między diagnozą dojrzałości a audytem zgodności?
Audyt sprawdza obecność wymagań i kończy się stwierdzeniem luki lub zgodności. Diagnoza dojrzałości umieszcza Państwa praktyki na progresywnej skali i wskazuje trajektorię dalszego rozwoju. Oba podejścia się uzupełniają: diagnoza przygotowuje do audytu, audyt go potwierdza.
Ile czasu zajmuje ocena?
Wersja skrócona wypełniana jest w 20 do 30 minut. Wersja pełna, prowadzona w trybie wspólnym z udziałem kilku osób, trwa zazwyczaj od jednego do dwóch tygodni, przy czym większość czasu pochłania zbieranie informacji od poszczególnych zespołów.
Czy można dostosować model referencyjny?
Tak. Mogą Państwo zmieniać pytania, poziomy, dodawać własne obszary tematyczne lub zacząć od pustej bazy. Kontrola nad modelem referencyjnym należy do Państwa, co stanowi istotną różnicę w stosunku do narzędzi narzucających własny schemat.
Jak ta diagnoza łączy się z NIS2 lub DORA?
Te regulacje nakładają wymagania dotyczące zarządzania ryzykiem oparte na tych samych zasadach. Solidna diagnoza ISO 27005 stanowi bazę do dalszego wykorzystania. Wspólna mapa drogowa pozwala zestawić te trzy obszary bez powielania działań.
Czy do udzielenia odpowiedzi potrzebna jest wiedza techniczna?
Pytania dotyczą praktyk zarządczych, a nie konfiguracji technicznych. Może na nie odpowiedzieć osoba odpowiedzialna za ryzyko lub audytor wewnętrzny. Niektóre pytania wymagają udziału osoby kontaktowej od strony technicznej: tryb wspólny pozwala przypisać takie pytania właściwej osobie.
Gdzie przechowywane są dane?
We Francji, u OVH, z kopią zapasową u Scaleway. Żaden transfer poza Unię Europejską nie ma miejsca. Wykorzystywane modele sztucznej inteligencji mogą być wybierane, również spośród rozwiązań europejskich.