Maturidade Gestão de crises cibernéticas · Resiliência após um ataque
A sua capacidade de resistir e de reiniciar após um ataque, medida e traduzida em plano de ação.
12 domínios, uma escala de 5 níveis. E a ação que faz passar de um nível para o seguinte.
Os 12 domínios do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 de uma vez.
Maturidade Gestão de crises cibernéticas · Resiliência após um ataque
12 domínios, escala de 5 níveis.
Nordhavn Industries
53 / 100
Medem a sua maturidade com a Datamensio
Um exemplo
Esta situação podia ser a sua.
Vejamos o exemplo de uma empresa: três instalações, três folhas de cálculo, nenhuma resposta comum.
Ninguém sabe consolidar.
Nordhavn Industries, 2 400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta em que ponto está o grupo. Cada instalação responde na sua folha de cálculo, com as suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico Quadro de gestão de crise cibernética, alinhado com a ISO 22301, ISO/IEC 27035 e o guia ANSSI de gestão de crise cibernética lançado nas três instalações ao mesmo tempo, a partir das notas de entrevista dos responsáveis. O referencial já estava escrito, os 12 domínios e os níveis N1 a N5 também.
Duas despesas evitadas antes de serem assumidas.
Uma pontuação de 53 em 100, um desvio concentrado em três domínios. O assistente de IA detetou que duas ações do plano duplicavam as de outro diagnóstico. O relatório de resultados para a comissão foi pedido numa frase.
O que isto lhes evitou
- 3instalações medidas na mesma base, em vez de três questionários a retrabalhar
- 2ações duplicadas detetadas antes da despesa
- 1relatório de resultados para a comissão, sem retrabalho manual
Estes números são os de um exemplo. Podiam ser os seus.
A norma impõe processos. A Datamensio diz onde está.
01
O referencial já está escrito
Domínios, perguntas e níveis N1 a N5 redigidos. Não parte de uma folha de cálculo em branco.
02
A pontuação sai no próprio dia
Online, por link de autoavaliação ou em entrevista. Domínio a domínio, comparável ao longo do tempo.
03
O desvio transforma-se num plano com custos
Cada passagem de nível tem a sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A progressão demonstra-se
Campanha após campanha, face ao seu objetivo e ao seu histórico. É isso que a sua comissão executiva pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É este mecanismo (um nível, um nível superior, e a ação que liga os dois) que transforma uma constatação em trajetória.
A capacidade de restaurar os sistemas essenciais a partir das cópias de segurança é verificada?
- N1
Nenhum teste de restauro. A existência das cópias de segurança é constatada pelos registos, sem verificação da sua utilidade.
- N2
São realizados restauros pontuais, por ocasião de um pedido de utilizador ou de um incidente, sem âmbito definido nem relatório.
- N3
Um plano de testes cobre os sistemas essenciais identificados, com restauros periódicos e um relatório documentado dos resultados.
- N4
Os testes são realizados num ambiente isolado, incluem a reconstrução do diretório e medem as durações obtidas, comparadas com as durações-alvo validadas pelas áreas de negócio.
- N5
Os testes integram um cenário de comprometimento das cópias de segurança em linha, os desvios de duração alimentam o plano de investimento, e o dispositivo é revisto após cada exercício e cada evolução de arquitetura.
Ação para passar de N2 a N3
Estabelecer a lista dos sistemas essenciais com as áreas de negócio, inscrever um restauro de teste por trimestre no calendário de exploração existente e produzir um relatório curto, apresentado em comité de segurança.
« Graças à Datamensio, cumprimos os nossos objetivos com muito mais eficácia. Os serviços de inspeção do FEDER e do nosso ministério de tutela apreciaram particularmente esta abordagem, que lhes fornece dados fiáveis. »
Diretora da CCI 94CCI Île-de-France
« Consideramos que é a solução mais adequada para levar o nosso projeto de transformação à escala e medir o impacto de acordo com as nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial combina-se. Associe vários para cobrir a sua atividade, ou peça à IA para escrever o seu.
Faça a sua primeira medição
Sobre o que trata este referencial
A gestão de crise cibernética não é a gestão de incidentes. O incidente trata-se nos processos existentes, com as equipas em funções. A crise começa quando o acontecimento ultrapassa as capacidades de tratamento correntes: várias áreas de negócio afetadas, sistemas indisponíveis, decisões a tomar sem informação completa, comunicação a manter perante clientes, autoridades e colaboradores. O referencial avalia o dispositivo que assume o controlo nesse momento preciso: critérios de acionamento, célula de crise decisória e célula operacional, meios de comunicação de reserva, procedimentos degradados, estratégia de retoma e capacidade de retirar ensinamentos.
É um domínio difícil de gerir porque a prova falta enquanto nada acontece. Algumas perguntas concretas resolvem rapidamente a questão: quem decide isolar um sistema de produção, e essa decisão pode ser tomada num domingo às três da manhã sem esperar pela comissão executiva? Durante quanto tempo pode a atividade funcionar sem o sistema de informação, e essa duração foi verificada com as áreas de negócio ou apenas estimada pela DSI? As cópias de segurança foram restauradas de facto, num ambiente separado, e em quanto tempo?
Há uma confusão frequente: confundir o plano de continuidade de negócio com o dispositivo de crise cibernética. O PCN clássico pressupõe que o sistema de informação permanece disponível num local de reserva. Um ataque de ransomware invalida essa hipótese, pois atinge o diretório, as cópias de segurança em linha e por vezes as ferramentas de comunicação interna. As exigências europeias recentes, NIS 2 e DORA, deslocaram também o tema do domínio técnico para o da governação, com prazos de notificação curtos e uma responsabilidade explícita dos órgãos de direção.
Uma auditoria de conformidade conclui com sim ou não: o plano existe, o exercício foi realizado. O diagnóstico de maturidade coloca outra questão: em que nível de domínio se situa a prática, e que ação precisa faz passar ao nível seguinte. Entre um plano de crise escrito e nunca ensaiado, um plano testado uma vez por ano em mesa, e um dispositivo comprovado por exercícios de simulação com comutação técnica real, a diferença é considerável, apesar de os três casos responderem sim à mesma pergunta de auditoria.
No Datamensio, o referencial está pronto a usar. Também pode adaptá-lo ao seu contexto: a IA ajusta os domínios, as perguntas e os níveis, ou constrói uma versão a partir dos seus próprios documentos, plano de crise, fichas de resposta rápida ou relatórios de exercícios.
Norma de referência: Quadro de gestão de crise cibernética, alinhado com a ISO 22301, ISO/IEC 27035 e o guia ANSSI de gestão de crise cibernética
Os domínios avaliados
Governação do dispositivo de crise
Política de gestão de crise, dependência hierárquica, papéis e suplências, compromisso dos órgãos de direção, orçamento e meios dedicados.
Deteção e qualificação
Fontes de deteção, cadeia de alerta, critérios de qualificação de um incidente em crise, limiares de acionamento, permanência fora do horário laboral.
Células de crise e mobilização
Composição da célula decisória e da célula operacional, delegações de decisão, diretório de mobilização, sala de crise física e de reserva.
Procedimentos e fichas de resposta rápida
Cenários cobertos, fichas de resposta rápida por papel, procedimentos de isolamento e contenção, disponibilidade dos documentos em versão offline.
Comunicação de crise
Porta-vozes designados, mensagens preparadas por público, canais de reserva independentes do sistema de informação, coordenação com clientes e parceiros.
Notificação regulamentar e relações com as autoridades
Identificação das obrigações aplicáveis, prazos de notificação, contactos estabelecidos com as autoridades competentes, apresentação de queixa e seguro cibernético.
Continuidade de negócio em modo degradado
Análise de impacto nas atividades, durações de interrupção aceitáveis validadas pelas áreas de negócio, procedimentos manuais, priorização das atividades essenciais.
Cópias de segurança e capacidade de reconstrução
Isolamento e imutabilidade das cópias de segurança, âmbito coberto, testes de restauro reais, plano de reconstrução do diretório e das bases técnicas.
Retoma e regresso à normalidade
Critérios de saída de crise, sequência de reposição em serviço, medidas de reforço antes da reconexão, vigilância reforçada pós-incidente.
Exercícios e treino
Frequência e formato dos exercícios, realismo dos cenários, envolvimento dos dirigentes e das áreas de negócio, comutação técnica efetiva, acompanhamento das ações resultantes dos exercícios.
Ecossistema e dependências
Prestadores críticos e outsourcing, cláusulas contratuais de mobilização, prestadores de resposta a incidentes referenciados, coordenação com a cadeia de fornecimento.
Retorno de experiência e melhoria
Recolha dos factos durante a crise, registo cronológico, debriefing estruturado, ações corretivas acompanhadas ao longo do tempo, atualização do dispositivo.
Está disponível uma versão curta do referencial para a auto-avaliação online.
Perguntas frequentes
Este diagnóstico conduz a uma certificação?
Não. O Datamensio mede a maturidade do dispositivo de crise e prepara os prazos, não certifica. O diagnóstico serve de base documentada se depois avançar para uma abordagem ISO 22301 ou uma revisão por um terceiro.
Qual a diferença em relação a uma auditoria de conformidade do plano de crise?
A auditoria verifica a existência dos documentos e conclui com um desvio ou uma conformidade. O diagnóstico situa cada prática numa escala progressiva e indica a ação que faz subir um nível. Um plano escrito e nunca ensaiado e um dispositivo comprovado por exercícios obtêm o mesmo resultado em auditoria, nunca a mesma pontuação de maturidade.
Quanto tempo demora a avaliação?
A versão curta preenche-se em 20 a 30 minutos. A versão completa, em modo colaborativo, mobiliza a segurança, a produção informática, a continuidade de negócio e a comunicação. A maior parte do tempo é dedicada à recolha junto destes contribuidores.
É preciso já ter vivido uma crise para responder?
Não. As perguntas incidem sobre os dispositivos existentes e sobre as provas disponíveis, relatórios de exercícios, fichas de resposta rápida, testes de restauro. Uma organização que viveu uma crise recente dispõe simplesmente de mais material para objetivar as suas respostas.
É possível adaptar o referencial?
Sim. Pode modificar as perguntas, os níveis, acrescentar domínios próprios do seu setor ou da sua organização multi-locais. A IA constrói também uma versão a partir do seu plano de crise e dos seus relatórios de exercícios. O domínio do referencial pertence-lhe.
Como comparar várias entidades do grupo?
O mesmo referencial é distribuído a cada unidade de negócio, o que torna as pontuações comparáveis por domínio. Um roteiro transversal consolida as auditorias e agrupa as ações comuns, sendo priorizadas pela IA em função do seu impacto na pontuação.
Como se articula este diagnóstico com a NIS 2 e a DORA?
Estes diplomas impõem obrigações de notificação, continuidade e teste que se cruzam diretamente com os domínios do referencial. O diagnóstico constitui uma base reutilizável para estes dois prazos, sem duplicar a recolha.
Onde estão alojados os dados?
Em França, na OVH, com cópia de segurança na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, incluindo entre soluções europeias.