Dojrzałość · Emirackie rozporządzenie w sprawie bezpieczeństwa informacji

Emirackie rozporządzenie w sprawie bezpieczeństwa informacji (Information Assurance Regulation) to krajowe ramy bezpieczeństwa informacji Zjednoczonych Emiratów Arabskich, nadzorowane przez urząd regulacji telekomunikacji i cyfryzacji. Organizuje ono zestaw kontroli podzielonych na kontrole zarządcze i techniczne, z których każda ma przypisany poziom priorytetu. Podmioty z sektorów uznanych za krytyczne muszą go stosować i wykazać jego wdrożenie, opierając się na podejściu opartym na ryzyku oraz na określonym zakresie systemów i aktywów.

W praktyce zarządzanie tym procesem jest trudniejsze niż sama lektura tekstu. Kontroli jest wiele i pokrywają się one z tymi już wdrożonymi w ramach ISO 27001 lub polityk grupy. Powracają trzy pytania: jaki jest dokładny zakres systemów objętych regulacją w emirackim podmiocie, kto odpowiada za każdą kontrolę, lokalna spółka zależna czy spółka matka, oraz na jakich dowodach opierają się deklaracje wdrożenia, gdy regulator lub organ sektorowy wymaga przeglądu. Bez udokumentowanej odpowiedzi stan zaawansowania pozostaje deklaratywny.

Warto rozwiać częste nieporozumienie: rozporządzenie o bezpieczeństwie informacji nie jest lokalną odmianą ISO 27001, choć dzieli z nią logikę i część słownictwa. Dodaje ono wymagania właściwe dla kontekstu krajowego, dotyczące w szczególności klasyfikacji informacji, zgłaszania incydentów władzom oraz bezpieczeństwa łańcucha podwykonawców. Ponadto kilku regulatorów sektorowych i władz poszczególnych emiratów zbudowało na tej podstawie własne ramy: dany podmiot może więc podlegać jednocześnie rozporządzeniu krajowemu i ramom lokalnym, z różnymi oczekiwaniami co do dowodów.

Audyt zgodności kończy się stwierdzeniem luki lub zgodności, kontrola po kontroli. Diagnoza dojrzałości odpowiada na inne pytanie: na jakim poziomie opanowania znajduje się każda praktyka i jakie konkretne działanie pozwala przejść na wyższy poziom. To właśnie ta różnica pozwala rozłożyć program na kilka okresów, porównywać ze sobą jednostki oraz wycenić pozostały wysiłek, zamiast jedynie stwierdzić uchybienie.

W Datamensio model referencyjny jest gotowy do użycia, a Państwo zachowują nad nim pełną kontrolę. Sztuczna inteligencja dostosowuje obszary tematyczne, pytania i poziomy do zakresu Państwa emirackiego podmiotu albo buduje odmianę na podstawie Państwa wewnętrznych polityk i wymagań właściwego regulatora sektorowego. Stwierdzone luki zasilają spriorytetyzowaną mapę drogową, którą można konsolidować z pozostałymi diagnozami cyberbezpieczeństwa.