Model referencyjny zarządzania ryzykiem cybernetycznym · Dojrzałość

Model referencyjny zarządzania ryzykiem cybernetycznym opisuje zdolności, które organizacja musi posiadać, aby panować nad swoją ekspozycją cyfrową: zarządzać tym tematem, znać swoje zasoby i zależności, oceniać ryzyko według stabilnej metody, wybierać środki ochrony, wykrywać zdarzenia, reagować, a następnie się odbudowywać. Najczęściej stosowane modele referencyjne, od Cybersecurity Framework po zasady ISO 31000, dzielą tę samą logikę opartą na funkcjach. Nie narzucają listy wymagań podlegających weryfikacji: opisują dyspozytyw i pozostawiają każdej organizacji dostosowanie go do własnego profilu ryzyka.

To właśnie czyni ten model trudnym do zarządzania. Wszyscy deklarują jego stosowanie, niewielu potrafi określić swój rzeczywisty poziom. Czy inwentaryzacja zasobów obejmuje chmurę, środowiska przemysłowe i dostawców, czy tylko infrastrukturę zarządzaną przez dział IT. Czy ocena ryzyka prowadzi do decyzji podjętych przez odpowiednie gremia, czy do rejestru, którego nikt nie otwiera między kolejnymi komitetami. Czy wykrywanie opiera się na spisanych procedurach, czy na trzech osobach, które wiedzą, gdzie patrzeć. Na te pytania nie odpowiada się tak lub nie, lecz sytuuje się je na skali.

Często powraca pewne nieporozumienie: model zarządzania ryzykiem nie jest normą podlegającą certyfikacji i nie zastępuje systemu zarządzania bezpieczeństwem informacji. Znajduje się on wcześniej w łańcuchu. Strukturyzuje zdolności, zasila dyspozytyw zarządzania i stanowi wspólną podstawę, gdy na ten sam zakres nakłada się kilka tekstów, na przykład dyrektywa sektorowa i referencyjny wymóg klienta. Organizacje, które przyjęły go jako wspólny język między bezpieczeństwem, ryzykiem a biznesem, zyskują przede wszystkim porównywalność między jednostkami.

Diagnoza dojrzałości odpowiada na inne pytanie niż audyt. Audyt kończy się stwierdzeniem luki lub zgodności. Diagnoza sytuuje każdą zdolność na skali progresywnej, przedstawia lukę względem celu, który Państwo wyznaczają, i wskazuje działanie, które pozwala przejść na wyższy poziom. W Pilot luka między wynikiem a celem generuje plan działania, a sztuczna inteligencja grupuje go w mapę drogową z priorytetami. Analiza porównawcza zestawia ze sobą jednostki biznesowe oraz każdą jednostkę z jej własną przeszłością, co pozwala mierzyć trajektorię programu transformacji, a nie tylko jego punkt wyjścia.

Model referencyjny jest gotowy do użycia i należy do Państwa. Dostosowują Państwo obszary tematyczne, pytania i poziomy: sztuczna inteligencja doprecyzowuje sformułowania według metody CMMI lub buduje odrębną wersję na podstawie Państwa polityki bezpieczeństwa i własnych dokumentów zarządczych.