Dojrzałość · Ochrona danych wrażliwych i zaawansowana kryptografia
Państwa praktyki szyfrowania i ochrony danych wrażliwych, zmierzone i przełożone na mapę drogową.
10 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość · Ochrona danych wrażliwych i zaawansowana kryptografia
10 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza Model referencyjny dojrzałości Datamensio, oparty na praktykach ochrony danych wrażliwych i zarządzania kryptograficznego (szyfrowanie, zarządzanie kluczami, anonimizacja, kryptografia postkwantowa) uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm (poziom, poziom wyższy i działanie łączące oba) przekształca stwierdzenie w trajektorię.
Czy cykl życia kluczy kryptograficznych jest opanowany, od generowania po unieważnienie?
- N1
Brak inwentarza kluczy. Są generowane i przechowywane przez zespoły projektowe, czasem w kodzie lub w plikach konfiguracyjnych.
- N2
Istnieje sejf sekretów, w którym przechowywana jest część kluczy. Rotacja odbywa się ręcznie, wywoływana przy okazji incydentu lub migracji.
- N3
Klucze są zinwentaryzowane, przechowywane we wspólnym sejfie z rozdzieleniem ról. Terminy rotacji są określone i zasadniczo przestrzegane.
- N4
Rotacja i unieważnianie są zautomatyzowane i rejestrowane. Dostępy do kluczy produkcyjnych są logowane i przeglądane. Procedury na wypadek kompromitacji są testowane.
- N5
Inwentarz kryptograficzny jest na bieżąco aktualizowany i zasila trajektorię migracji, w tym hybrydyzację postkwantową, z udokumentowanym okresowym przeglądem.
Działanie umożliwiające przejście z poziomu 2 do 3
Stworzyć inwentarz kluczy i sekretów znajdujących się jeszcze poza sejfem, wyznaczyć dla każdego z nich właściciela i termin rotacji, a następnie kontrolować te terminy podczas kwartalnego komitetu ds. bezpieczeństwa.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna null.
O czym jest ten model referencyjny
Ten model referencyjny ocenia, w jaki sposób organizacja identyfikuje, klasyfikuje i chroni swoje dane wrażliwe, a także jak zarządza mechanizmami kryptograficznymi, które je zabezpieczają. Obejmuje klasyfikację danych, szyfrowanie w spoczynku, podczas przesyłania i w trakcie przetwarzania, zarządzanie cyklem życia kluczy i sekretów, techniki anonimizacji i pseudonimizacji, bezpieczne udostępnianie danych podmiotom trzecim, a także przygotowanie na zmiany w kryptografii. Nie chodzi o techniczną kontrolę konfiguracji, lecz o ocenę praktyk zarządzania i nadzoru.
W praktyce tematy te są trudne do opanowania, ponieważ wiedza jest rozproszona. O szyfrowaniu decydują zespoły infrastruktury, o klasyfikacji jednostki biznesowe, o kluczach administratorzy, czasem zewnętrzni. Wystarczą trzy pytania, aby ujawnić lukę: czy wiedzą Państwo, które bazy danych zawierają dane wrażliwe i od kiedy ten spis nie był aktualizowany? Kto technicznie może uzyskać dostęp do klucza produkcyjnego i czy ten dostęp jest rejestrowany? Co się dzieje, jeśli dostawca posiada jednocześnie zaszyfrowane dane i klucze?
Warto przywołać kontekst. Przejście na kryptografię postkwantową już się rozpoczęło: organy bezpieczeństwa, w tym francuska ANSSI, zalecają hybrydyzację mechanizmów i budowę inwentarza kryptograficznego, aby przygotować migracje. Przesuwa to ten temat z rejestru technicznego w stronę programu transformacji, z inwentarzem do zbudowania, zależnościami od dostawców do zakwalifikowania i wieloletnią trajektorią do sfinansowania. Wiele organizacji zapoznało się z tym tematem, nie rozpoczynając jeszcze inwentaryzacji, która stanowi jego warunek wstępny.
Ocena dojrzałości odpowiada na inne pytanie niż audyt zgodności. Audyt kończy się stwierdzeniem luki lub zgodności wobec danego wymogu. Ocena umiejscawia każdą praktykę na skali progresywnej i wskazuje konkretne działanie prowadzące do wyższego poziomu: przejście od udokumentowanej klasyfikacji do klasyfikacji stosowanej w praktyce, od ręcznej rotacji kluczy do rotacji zautomatyzowanej i rejestrowanej. Wynik nie jest werdyktem, lecz skonkretyzowaną trajektorią, porównywalną między jednostkami biznesowymi i w czasie.
W Datamensio model referencyjny jest gotowy do użycia i w pełni edytowalny. Sztuczna inteligencja dostosowuje obszary tematyczne, przeformułowuje pytania zgodnie z Państwa wewnętrznym słownictwem, dopracowuje poziomy według logiki CMMI lub buduje wersję na podstawie Państwa polityki bezpieczeństwa i istniejących standardów kryptograficznych.
Norma referencyjna: Model referencyjny dojrzałości Datamensio, oparty na praktykach ochrony danych wrażliwych i zarządzania kryptograficznego (szyfrowanie, zarządzanie kluczami, anonimizacja, kryptografia postkwantowa)
Oceniane obszary tematyczne
Identyfikacja i klasyfikacja danych wrażliwych
Inwentarz danych do ochrony, poziomy wrażliwości, kryteria klasyfikacji, pokrycie rejestrów i przepływów, częstotliwość aktualizacji.
Polityka i standardy kryptograficzne
Istnienie wewnętrznego standardu, dopuszczone algorytmy i długości kluczy, wyraźne zakazy, odstępstwa, powiązanie z zaleceniami organów bezpieczeństwa.
Szyfrowanie w spoczynku i podczas przesyłania
Pokrycie baz danych, kopii zapasowych, stacji roboczych i nośników wymiennych, ochrona przepływów wewnętrznych i zewnętrznych, zakończenie sesji szyfrowanych, udokumentowane wyjątki.
Zarządzanie kluczami i sekretami
Generowanie, przechowywanie, rozdzielenie ról, rotacja, unieważnianie, wykorzystanie modułów sprzętowych, zarządzanie sekretami aplikacyjnymi i usuwanie sekretów zapisanych na stałe w kodzie.
Anonimizacja i pseudonimizacja
Techniki dobierane według zastosowań, ocena ryzyka ponownej identyfikacji, zbiory danych testowych, dane wykorzystywane do analizy i trenowania modeli.
Kontrola dostępu do danych wrażliwych
Uprawnienia i zasada najmniejszych przywilejów, konta uprzywilejowane, dynamiczne maskowanie, przeglądy dostępów, identyfikowalność odczytów.
Udostępnianie podmiotom trzecim i suwerenność
Umowne ramy transferów, lokalizacja danych i kluczy, odwracalność, szyfrowanie wnoszone przez klienta, zależności od dostawców.
Zaawansowana kryptografia i przygotowanie postkwantowe
Inwentarz kryptograficzny, elastyczność komponentów, hybrydyzacja mechanizmów, zastosowania szyfrowania w trakcie przetwarzania i obliczeń wielostronnych, trajektoria migracji.
Monitorowanie, incydenty i wycieki danych
Wykrywanie nietypowych dostępów i eksfiltracji, procedury na wypadek kompromitacji klucza, testy odtwarzania, powiadamianie i wnioski po incydencie.
Kompetencje i nadzór w czasie
Dostępna wiedza kryptograficzna, uświadamianie zespołów programistycznych, monitorowane wskaźniki, okresowy przegląd rozwiązania i porównanie postępów.
Krótsza wersja modelu referencyjnego, licząca undefined pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy ta ocena kończy się certyfikacją?
Nie. Datamensio mierzy dojrzałość Państwa praktyk i opracowuje plan działania. Żadna instytucja nie certyfikuje tego modelu referencyjnego, który dotyczy transformacji Państwa praktyk ochrony danych i zarządzania kryptograficznego. Wyniki mogą natomiast zasilić przygotowanie do audytu zewnętrznego.
Czym różni się to od technicznego audytu konfiguracji?
Audyt techniczny sprawdza parametry w danym momencie: wersję protokołu, długość klucza, wygasły certyfikat. Ocena bada zdolność organizacji do utrzymania tych parametrów w czasie: kto decyduje, kto kontroluje, kto naprawia. Oba podejścia się uzupełniają, ocena wskazuje trajektorię.
Ile czasu zajmuje ocena?
Wersja skrócona wypełniana jest podczas jednej sesji roboczej. Wersja pełna, prowadzona w trybie wspólnej pracy z udziałem kilku osób, trwa od tygodnia do dwóch, przy czym większość czasu pochłania zbieranie informacji od zespołów infrastruktury, programistów i jednostek biznesowych.
Czy do udzielenia odpowiedzi potrzebna jest wiedza kryptograficzna?
Pytania dotyczą praktyk zarządzania, a nie szczegółów implementacji. Odpowiedzialny za bezpieczeństwo lub architekt odpowie na nie bez trudności. Niektóre pytania techniczne można przypisać wyznaczonej osobie kontaktowej, przy czym asystent AI przeformułuje treść pytania odpowiednio do profilu odpowiadającego.
Czy można dostosować model referencyjny do naszego kontekstu?
Tak. Obszary tematyczne, pytania i poziomy można modyfikować, a Państwo mogą dodawać własne. Sztuczna inteligencja buduje również wersję na podstawie Państwa polityki bezpieczeństwa lub wewnętrznych standardów kryptograficznych. Kontrola nad modelem referencyjnym pozostaje w Państwa rękach.
Jak porównać kilka podmiotów?
Każda jednostka biznesowa przechodzi tę samą ocenę, a wyniki dla poszczególnych obszarów są porównywane między podmiotami oraz z wcześniejszymi ocenami. Przekrojowa mapa drogowa konsoliduje plany działania i grupuje wspólne działania zamiast je powielać.
Czy temat postkwantowy jest uwzględniony?
Tak, jako osobny obszar tematyczny modelu referencyjnego: inwentarz kryptograficzny, elastyczność komponentów, hybrydyzacja mechanizmów i trajektoria migracji. Ocena określa punkt wyjścia, co stanowi warunek wstępny dla każdego oszacowania kosztów programu.
Gdzie przechowywane są dane?
We Francji, u dostawcy OVH, z kopią zapasową u Scaleway. Żadnych transferów poza Unię Europejską. Wykorzystywane modele AI mogą być wybierane, w tym spośród rozwiązań europejskich.