Dojrzałość w zarządzaniu kryzysami cybernetycznymi · Odporność po ataku
Zdolność do przetrwania i odtworzenia działania po ataku, zmierzona i przełożona na plan działania.
12 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
12 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość w zarządzaniu kryzysami cybernetycznymi · Odporność po ataku
12 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza Model referencyjny zarządzania kryzysem cybernetycznym, oparty na ISO 22301, ISO/IEC 27035 oraz przewodniku ANSSI dotyczącym zarządzania kryzysem cyber uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 12 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm (poziom, poziom wyższy i działanie łączące oba) zamienia stwierdzenie w trajektorię rozwoju.
Czy zdolność odtworzenia kluczowych systemów z kopii zapasowych jest weryfikowana?
- N1
Brak testów odtworzenia. Istnienie kopii zapasowych stwierdza się na podstawie dzienników, bez weryfikacji ich użyteczności.
- N2
Odtworzenia są realizowane doraźnie, przy okazji żądania użytkownika lub incydentu, bez określonego zakresu ani raportu.
- N3
Plan testów obejmuje zidentyfikowane kluczowe systemy, z okresowymi odtworzeniami i udokumentowanym raportem wyników.
- N4
Testy są przeprowadzane w izolowanym środowisku, obejmują odbudowę katalogu usług i mierzą uzyskane czasy, porównywane z czasami docelowymi zatwierdzonymi przez obszary biznesowe.
- N5
Testy uwzględniają scenariusz kompromitacji kopii zapasowych online, odchylenia czasowe zasilają plan inwestycyjny, a mechanizm jest weryfikowany po każdym ćwiczeniu i każdej zmianie architektury.
Działanie przechodzące z poziomu 2 na poziom 3
Ustalić wraz z obszarami biznesowymi listę kluczowych systemów, wpisać testowe odtworzenie raz na kwartał do istniejącego harmonogramu eksploatacji i sporządzić krótki raport, przedstawiany na komitecie bezpieczeństwa.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna null.
O czym jest ten model referencyjny
Zarządzanie kryzysem cyber to nie zarządzanie incydentem. Incydent obsługuje się w ramach istniejących procesów, przy pomocy zespołów będących na miejscu. Kryzys zaczyna się wtedy, gdy zdarzenie przekracza bieżące możliwości obsługi: dotkniętych jest kilka obszarów biznesowych, systemy są niedostępne, decyzje trzeba podejmować bez pełnej informacji, a komunikację trzeba utrzymać wobec klientów, władz i pracowników. Model referencyjny ocenia mechanizm, który przejmuje kontrolę w tym właśnie momencie: kryteria uruchomienia, zespół kryzysowy decyzyjny i zespół operacyjny, zapasowe środki komunikacji, procedury awaryjne, strategię odtworzenia działania oraz zdolność do wyciągania wniosków.
To obszar trudny do zarządzania, ponieważ dowodu brakuje, dopóki nic się nie wydarzy. Kilka konkretnych pytań szybko to rozstrzyga: kto decyduje o odizolowaniu systemu produkcyjnego i czy taka decyzja może zostać podjęta w niedzielę o trzeciej nad ranem, bez czekania na komitet zarządzający? Jak długo działalność może funkcjonować bez systemu informatycznego i czy ten czas został zweryfikowany z obszarami biznesowymi, czy jedynie oszacowany przez dział IT? Czy kopie zapasowe zostały faktycznie odtworzone, w osobnym środowisku, i w jakim czasie?
Częstym nieporozumieniem jest mylenie planu ciągłości działania z mechanizmem zarządzania kryzysem cyber. Klasyczny plan ciągłości działania zakłada, że system informatyczny pozostaje dostępny na zapasowej lokalizacji. Atak ransomware unieważnia to założenie, ponieważ dotyka katalogu usług, kopii zapasowych online, a czasem również narzędzi komunikacji wewnętrznej. Dodatkowo niedawne wymagania europejskie, NIS 2 i DORA, przeniosły temat z obszaru technicznego na obszar zarządczy, wprowadzając krótkie terminy zgłoszeń i wyraźną odpowiedzialność organów zarządzających.
Audyt zgodności kończy się odpowiedzią tak lub nie: plan istnieje, ćwiczenie zostało przeprowadzone. Diagnoza dojrzałości stawia inne pytanie: na jakim poziomie zaawansowania znajduje się dana praktyka i jakie konkretne działanie pozwala przejść na wyższy poziom. Między spisanym, nigdy nieprzećwiczonym planem kryzysowym, planem testowanym raz w roku przy stole a mechanizmem sprawdzonym poprzez ćwiczenia symulacyjne z rzeczywistym przełączeniem technicznym różnica jest ogromna, choć wszystkie trzy przypadki odpowiadają twierdząco na to samo pytanie audytowe.
W Datamensio model referencyjny jest gotowy do użycia. Mogą Państwo również dostosować go do swojego kontekstu: sztuczna inteligencja dopasowuje obszary tematyczne, pytania i poziomy, lub tworzy wersję na podstawie Państwa własnych dokumentów, planu kryzysowego, kart postępowania lub raportów z ćwiczeń.
Norma referencyjna: Model referencyjny zarządzania kryzysem cybernetycznym, oparty na ISO 22301, ISO/IEC 27035 oraz przewodniku ANSSI dotyczącym zarządzania kryzysem cyber
Oceniane obszary tematyczne
Zarządzanie mechanizmem kryzysowym
Polityka zarządzania kryzysem, podległość hierarchiczna, role i zastępstwa, zaangażowanie organów zarządzających, budżet i dedykowane środki.
Wykrywanie i kwalifikacja
Źródła wykrywania, łańcuch alarmowania, kryteria kwalifikacji incydentu jako kryzysu, progi uruchomienia, dyżur poza godzinami pracy.
Zespoły kryzysowe i uruchomienie
Skład zespołu decyzyjnego i zespołu operacyjnego, delegacje decyzyjne, spis kontaktów do mobilizacji, fizyczna sala kryzysowa i lokalizacja zapasowa.
Procedury i karty postępowania
Objęte scenariusze, karty postępowania dla poszczególnych ról, procedury izolacji i zabezpieczenia, dostępność dokumentów w wersji offline.
Komunikacja kryzysowa
Wyznaczeni rzecznicy, przygotowane komunikaty dla poszczególnych odbiorców, zapasowe kanały niezależne od systemu informatycznego, koordynacja z klientami i partnerami.
Zgłoszenia regulacyjne i relacje z organami
Identyfikacja obowiązujących wymogów, terminy zgłoszeń, nawiązane kontakty z właściwymi organami, zgłoszenie do prokuratury i ubezpieczenie cyber.
Ciągłość działania w trybie awaryjnym
Analiza wpływu na działalność, akceptowalne czasy przerwy zweryfikowane przez obszary biznesowe, procedury manualne, priorytetyzacja działań kluczowych.
Kopie zapasowe i zdolność odtworzenia
Izolacja i niezmienność kopii zapasowych, objęty zakres, rzeczywiste testy odtworzenia, plan odbudowy katalogu usług i podstawowej infrastruktury technicznej.
Odtworzenie działania i powrót do normalności
Kryteria zakończenia kryzysu, kolejność przywracania usług, działania wzmacniające bezpieczeństwo przed ponownym podłączeniem, wzmożony monitoring po incydencie.
Ćwiczenia i szkolenia
Częstotliwość i forma ćwiczeń, realizm scenariuszy, zaangażowanie kierownictwa i obszarów biznesowych, rzeczywiste przełączenie techniczne, monitorowanie działań wynikających z ćwiczeń.
Ekosystem i zależności
Kluczowi dostawcy i outsourcing IT, klauzule umowne dotyczące mobilizacji, zweryfikowani dostawcy reagowania na incydenty, koordynacja z łańcuchem dostaw.
Wnioski i doskonalenie
Zbieranie faktów w trakcie kryzysu, dziennik zdarzeń, ustrukturyzowane podsumowanie, działania naprawcze monitorowane w czasie, aktualizacja mechanizmu.
Krótsza wersja modelu referencyjnego, licząca undefined pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 12 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy ta diagnoza prowadzi do certyfikacji?
Nie. Datamensio mierzy dojrzałość mechanizmu kryzysowego i przygotowuje do nadchodzących terminów regulacyjnych, ale nie certyfikuje. Diagnoza stanowi udokumentowaną podstawę, jeśli zdecydują się Państwo później na proces ISO 22301 lub przegląd przez stronę trzecią.
Jaka jest różnica względem audytu zgodności planu kryzysowego?
Audyt sprawdza istnienie dokumentów i kończy się stwierdzeniem luki lub zgodności. Diagnoza umiejscawia każdą praktykę na skali progresywnej i wskazuje działanie, które pozwala przejść na wyższy poziom. Spisany, nigdy nieprzećwiczony plan oraz mechanizm sprawdzony poprzez ćwiczenia uzyskują ten sam wynik audytu, nigdy ten sam wynik dojrzałości.
Ile czasu zajmuje ocena?
Wersja skrócona wypełnia się w 20 do 30 minut. Wersja pełna, w trybie wspólnej pracy, angażuje dział bezpieczeństwa, produkcję informatyczną, ciągłość działania i komunikację. Większość czasu poświęca się na zbieranie informacji od tych uczestników.
Czy trzeba było już przejść przez kryzys, aby odpowiedzieć?
Nie. Pytania dotyczą wdrożonych mechanizmów oraz dostępnych dowodów, raportów z ćwiczeń, kart postępowania, testów odtworzenia. Organizacja, która niedawno przeszła kryzys, ma po prostu więcej materiału, by obiektywnie udzielić odpowiedzi.
Czy można dostosować model referencyjny?
Tak. Mogą Państwo modyfikować pytania, poziomy, dodawać obszary tematyczne właściwe dla swojej branży lub struktury wielooddziałowej. Sztuczna inteligencja tworzy również wersję na podstawie Państwa planu kryzysowego i raportów z ćwiczeń. Kontrola nad modelem referencyjnym pozostaje w Państwa rękach.
Jak porównać kilka podmiotów w grupie?
Ten sam model referencyjny jest udostępniany każdej jednostce biznesowej, co czyni wyniki porównywalnymi w ramach poszczególnych obszarów tematycznych. Przekrojowa mapa drogowa konsoliduje audyty i grupuje wspólne działania, a sztuczna inteligencja nadaje im priorytety według wpływu na wynik.
Jak ta diagnoza wiąże się z NIS 2 i DORA?
Te akty prawne nakładają obowiązki zgłoszeniowe, dotyczące ciągłości działania i testowania, które bezpośrednio pokrywają się z obszarami tematycznymi modelu referencyjnego. Diagnoza stanowi wielokrotnie wykorzystywaną podstawę dla obu tych terminów regulacyjnych, bez powielania zbierania danych.
Gdzie przechowywane są dane?
We Francji, u OVH, z kopią zapasową u Scaleway. Brak transferu poza Unię Europejską. Wykorzystywane modele sztucznej inteligencji mogą być wybierane, w tym spośród rozwiązań europejskich.