Maturidade BCEAO · Segurança dos sistemas de informação e gestão dos riscos ligados aos SI
Suas práticas de segurança dos SI situadas na diretiva BCEAO, e traduzidas em plano de ação com custos.
10 temas, undefined perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 10 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Maturidade BCEAO · Segurança dos sistemas de informação e gestão dos riscos ligados aos SI
10 temas, undefined perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico Diretiva do BCEAO relativa à gestão dos riscos ligados aos sistemas de informação das instituições de crédito, das sociedades financeiras e dos sistemas financeiros descentralizados da UMOA iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 10 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível superior, e a ação que liga os dois) que transforma uma constatação em trajetória.
As permissões de acesso às aplicações sensíveis são objeto de revisão periódica?
- N1
Nenhuma revisão organizada. Os direitos são concedidos na abertura da conta e não são reexaminados depois.
- N2
Revisões ocorrem por ocasião de uma auditoria ou reorganização, em algumas aplicações, sem cronograma nem formato definido.
- N3
Uma revisão periódica é planejada e cobre as aplicações sensíveis. Os responsáveis validam os direitos e as lacunas são corrigidas.
- N4
A revisão é sistemática em todo o escopo, registrada, com acompanhamento das revogações até sua execução e controle de segundo nível.
- N5
As revisões são automatizadas e alimentadas pelas movimentações do pessoal, as lacunas recorrentes são analisadas e corrigidas na origem, as regras de concessão são revisadas em consequência.
Ação para passar de N2 para N3
Elaborar a lista das aplicações sensíveis com seu responsável de negócio, fixar uma revisão semestral das permissões inscrita no cronograma do controle permanente, e exigir uma validação nominal dos direitos acompanhada de um prazo para revogação dos acessos não justificados.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem BCEAO.
Do que trata esse referencial
A diretiva do BCEAO relativa à gestão dos riscos ligados aos sistemas de informação se aplica às instituições de crédito, às sociedades financeiras e aos sistemas financeiros descentralizados da União Monetária do Oeste Africano. Ela exige um marco de governança dos SI aprovado pelo órgão deliberativo, uma política de segurança da informação, um mapeamento dos ativos e dos riscos de TI, uma função de segurança identificada e independente das equipes de operação, o controle dos prestadores de serviços de TI, a gestão de incidentes com notificação ao supervisor, e a continuidade das atividades de TI. O controle do cumprimento dessas exigências é de responsabilidade da Comissão Bancária da UMOA.
Na prática, o dispositivo é difícil de gerir porque atravessa várias diretorias. A política de segurança costuma existir, mas seu desdobramento em procedimentos aplicáveis e controles verificáveis permanece parcial. As questões concretas se repetem: o mapeamento dos ativos de TI cobre as aplicações de negócio hospedadas em terceiros, ou apenas o datacenter interno? As permissões são revisadas em prazo fixo, ou somente no desligamento de um colaborador? Os incidentes de segurança são classificados segundo critérios escritos que permitam decidir sobre uma notificação, ou tratados como simples incidentes de operação?
O crescimento dos serviços financeiros digitais na União deslocou o centro de gravidade do risco. A moeda eletrônica, a interoperabilidade dos pagamentos e o uso crescente de prestadores regionais ou internacionais expõem instituições cuja organização de TI foi dimensionada para um modelo de agências. Uma confusão frequente merece ser esclarecida: a diretiva não se limita à segurança técnica. Ela trata da governança do risco de TI, da qual a segurança é apenas um componente, ao lado da gestão de mudanças, da terceirização e da continuidade.
O diagnóstico de maturidade responde a uma pergunta diferente da do controle de conformidade. O controle pergunta se a exigência é atendida, sim ou não, e conclui com uma constatação. O diagnóstico situa cada prática em uma escala progressiva e indica a ação precisa que leva ao nível superior. Os dois se complementam: o diagnóstico prepara a missão da Comissão Bancária e o exame do controle interno, ele não os substitui.
No Datamensio, o referencial está pronto para uso e se aplica tal como está a várias entidades. Você também pode adaptá-lo: a IA ajusta os temas, reformula as perguntas conforme sua organização, refina os níveis, ou constrói uma versão a partir da sua política de segurança e dos seus procedimentos existentes.
Norma de referência: Diretiva do BCEAO relativa à gestão dos riscos ligados aos sistemas de informação das instituições de crédito, das sociedades financeiras e dos sistemas financeiros descentralizados da UMOA
Os temas avaliados
Governança dos sistemas de informação
Aprovação do marco pelo órgão deliberativo, estratégia de TI alinhada com a estratégia da instituição, comitê dedicado, papéis e responsabilidades, recursos alocados.
Política de segurança da informação
Política formalizada e validada, desdobramento em procedimentos, escopo abrangido, periodicidade de revisão, divulgação junto às áreas de negócio.
Mapeamento dos ativos e avaliação dos riscos de SI
Inventário dos ativos de informação e aplicacionais, classificação, identificação das vulnerabilidades, metodologia de avaliação, priorização e aceitação dos riscos residuais.
Gestão de identidades e acessos
Concessão e revogação de direitos, contas privilegiadas, segregação de funções, revisão periódica das permissões, rastreabilidade dos acessos.
Segurança das operações e das redes
Hardening das configurações, gestão de correções, segmentação, proteção de estações de trabalho e servidores, backups e restaurações testados, registro de logs.
Gestão de mudanças e projetos de TI
Procedimento de implantação em produção, ambientes separados, testes e homologações, consideração da segurança desde a concepção, gestão de versões e rollback.
Terceirização e prestadores de serviços de TI
Levantamento dos serviços terceirizados, cláusulas de segurança e auditoria, níveis de serviço, reversibilidade, monitoramento dos prestadores críticos e da hospedagem.
Gestão de incidentes de segurança
Detecção, qualificação e classificação dos incidentes, prazos e fluxos de notificação ao órgão supervisor, análise das causas, capitalização do aprendizado.
Continuidade das atividades de TI
Plano de contingência de TI, objetivos de recuperação, site alternativo, testes periódicos e lições aprendidas, articulação com o plano de continuidade de negócios.
Controle, auditoria e conscientização
Controles permanentes no escopo de SI, missões de auditoria de TI, acompanhamento das recomendações, indicadores reportados à diretoria, treinamento e conscientização do pessoal.
Uma versão curta do referencial, com undefined perguntas, está disponível para autoavaliação on-line. A versão completa tem 10 temas e undefined perguntas.
Perguntas frequentes
Essa diretiva dá origem a uma certificação?
Não. Trata-se de um texto prudencial cujo cumprimento é fiscalizado pela Comissão Bancária da UMOA, não de uma norma certificável por um organismo acreditado. O Datamensio mede a maturidade do seu dispositivo e prepara o exame do supervisor, ele não emite nenhum atestado.
Qual a diferença entre esse diagnóstico e um controle de conformidade?
O controle verifica o atendimento de uma exigência e conclui com uma constatação. O diagnóstico situa a prática em uma escala de maturidade e indica a ação que leva ao nível seguinte. Ele produz uma trajetória, enquanto o controle produz um retrato.
Quanto tempo leva a avaliação?
A versão curta é preenchida em uma sessão de trabalho. A versão completa, em modo colaborativo com a TI, o responsável pela segurança, o controle interno e as áreas de negócio, geralmente leva de uma a duas semanas, sendo a maior parte do tempo dedicada à coleta de evidências.
O referencial é adaptável à nossa instituição?
Sim. Você modifica as perguntas, os níveis, adiciona seus temas ou parte dos seus próprios procedimentos. A IA constrói uma versão a partir da sua política de segurança, útil para um sistema financeiro descentralizado cuja organização difere da de um banco tradicional.
É possível comparar várias filiais do grupo?
Sim. O mesmo referencial se aplica a cada entidade, com uma pontuação por tema e um comparativo entre unidades de negócio, além de comparação com os ciclos anteriores. Um roteiro transversal consolida os planos de ação das filiais e agrupa as ações comuns.
Como esse diagnóstico se articula com o controle interno e o PCN?
As exigências se sobrepõem amplamente: continuidade de TI, terceirização, controle permanente. Os resultados são reaproveitáveis entre referenciais e o roteiro transversal permite cruzar os diagnósticos sem duplicar as ações.
É preciso ter expertise técnica para responder?
As perguntas tratam de práticas de governança e gestão, não de configurações. Algumas exigem a contribuição de um ponto focal técnico: o modo colaborativo permite atribuir essas perguntas à pessoa certa.
Onde os dados são armazenados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.