Maturidade em matéria de informações sobre ciberameaças
A sua capacidade de informações sobre ciberameaças, medida por domínio e traduzida num roteiro.
10 domínios, uma escala de 5 níveis. E a ação que faz passar de um nível para o seguinte.
Os 10 domínios do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 de uma vez.
Maturidade em matéria de informações sobre ciberameaças
10 domínios, escala de 5 níveis.
Nordhavn Industries
53 / 100
Medem a sua maturidade com a Datamensio
Um exemplo
Esta situação podia ser a sua.
Vejamos o exemplo de uma empresa: três instalações, três folhas de cálculo, nenhuma resposta comum.
Ninguém sabe consolidar.
Nordhavn Industries, 2 400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta em que ponto está o grupo. Cada instalação responde na sua folha de cálculo, com as suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico Referencial de maturidade Cyber Threat Intelligence (referências CTI-CMM, MITRE ATT&CK, ciclo de informações) lançado nas três instalações ao mesmo tempo, a partir das notas de entrevista dos responsáveis. O referencial já estava escrito, os 10 domínios e os níveis N1 a N5 também.
Duas despesas evitadas antes de serem assumidas.
Uma pontuação de 53 em 100, um desvio concentrado em três domínios. O assistente de IA detetou que duas ações do plano duplicavam as de outro diagnóstico. O relatório de resultados para a comissão foi pedido numa frase.
O que isto lhes evitou
- 3instalações medidas na mesma base, em vez de três questionários a retrabalhar
- 2ações duplicadas detetadas antes da despesa
- 1relatório de resultados para a comissão, sem retrabalho manual
Estes números são os de um exemplo. Podiam ser os seus.
A norma impõe processos. A Datamensio diz onde está.
01
O referencial já está escrito
Domínios, perguntas e níveis N1 a N5 redigidos. Não parte de uma folha de cálculo em branco.
02
A pontuação sai no próprio dia
Online, por link de autoavaliação ou em entrevista. Domínio a domínio, comparável ao longo do tempo.
03
O desvio transforma-se num plano com custos
Cada passagem de nível tem a sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A progressão demonstra-se
Campanha após campanha, face ao seu objetivo e ao seu histórico. É isso que a sua comissão executiva pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É este mecanismo (um nível, um nível superior, e a ação que liga os dois) que transforma uma constatação numa trajetória.
As necessidades de informação prioritárias estão formalizadas com as partes interessadas e são revistas regularmente?
- N1
Nenhuma necessidade formalizada. A vigilância segue a atualidade e os interesses dos analistas.
- N2
Existe uma lista de temas, elaborada apenas pela equipa de segurança. Não é partilhada com as áreas de negócio e não foi revista desde a sua criação.
- N3
As necessidades estão formalizadas com as principais partes interessadas, priorizadas e revistas em prazo fixo. Cada produção está ligada a uma necessidade identificada.
- N4
As necessidades abrangem os níveis estratégico, operacional e técnico, são validadas pelos destinatários e geridas por indicadores de cobertura e de prazo.
- N5
As necessidades evoluem continuamente segundo os incidentes, os cenários de risco e as mudanças de atividade, com um histórico documentado das revisões e dos seus efeitos nas produções.
Ação para passar de N2 a N3
Organizar um workshop com o SOC, a gestão de vulnerabilidades, os riscos e um representante de negócio para priorizar as necessidades de informação, registá-las num documento único e incluir a sua revisão na ordem do dia do comité de segurança trimestral.
« Graças à Datamensio, cumprimos os nossos objetivos com muito mais eficácia. Os serviços de inspeção do FEDER e do nosso ministério de tutela apreciaram particularmente esta abordagem, que lhes fornece dados fiáveis. »
Diretora da CCI 94CCI Île-de-France
« Consideramos que é a solução mais adequada para levar o nosso projeto de transformação à escala e medir o impacto de acordo com as nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial combina-se. Associe vários para cobrir a sua atividade, ou peça à IA para escrever o seu.
Faça a sua primeira medição
Sobre o que trata este referencial
As informações sobre ciberameaças, ou CTI, são uma capacidade, não um requisito normativo. Baseiam-se num ciclo conhecido: expressão das necessidades pelas partes interessadas, recolha, tratamento, análise, difusão, retorno de experiência. Desenvolvem-se em três horizontes: estratégico para a direção, operacional para as campanhas e os agentes, técnico para os indicadores e os modos de operação. Os referenciais do domínio, do ciclo de informações à cartografia MITRE ATT&CK, estruturam a prática sem imporem um nível a atingir. Cabe à organização definir o seu objetivo.
Na prática, esta liberdade torna a capacidade difícil de gerir. As questões que as equipas colocam são concretas. Quem formulou as necessidades de informação prioritárias, e quando foram revistas pela última vez? As produções são lidas e utilizadas pelo SOC, pela gestão de vulnerabilidades e pela direção, ou circulam apenas entre analistas? Os fluxos de indicadores comprados ou abertos são avaliados quanto ao seu contributo real, ou acumulados apenas porque estão disponíveis? Sem resposta mensurável, o investimento em CTI dificilmente se justifica em decisões orçamentais.
O contexto europeu deslocou o tema. A NIS 2 e a DORA exigem um conhecimento documentado das ameaças pertinentes e, para o setor financeiro, testes baseados na ameaça do tipo TIBER-EU. As informações passam a ser um contributo esperado do dispositivo de gestão de riscos e de preparação para crises. Persiste uma confusão frequente: uma subscrição a um fluxo de indicadores não é uma capacidade de informações. O fluxo é uma fonte. As informações são o trabalho de análise contextualizado que produz uma decisão.
O diagnóstico de maturidade não responde à questão da conformidade. Não diz se a prática está conforme ou não, uma vez que nenhum organismo certifica uma capacidade de CTI. Situa cada domínio numa escala progressiva inspirada no método CMMI, desde a constatação de ausência até à prática otimizada, e indica a ação que permite passar ao nível seguinte. Obtém um retrato da situação, um objetivo, e a lacuna quantificada entre os dois, utilizável tanto em comité de segurança como em comité de investimento.
O referencial está pronto a usar no Datamensio e continua a ser seu. A IA ajusta os domínios, as questões e a formulação dos níveis à sua organização, ou constrói uma versão a partir dos seus próprios documentos: carta CTI, procedimentos SOC, relatórios de vigilância. Os modelos utilizados podem ser selecionados, incluindo entre soluções europeias.
Norma de referência: Referencial de maturidade Cyber Threat Intelligence (referências CTI-CMM, MITRE ATT&CK, ciclo de informações)
Os domínios avaliados
Governação da capacidade
Mandato e enquadramento da equipa, funções e responsabilidades, orçamento dedicado, articulação com o SOC, os riscos e a direção, política de partilha.
Necessidades de informação prioritárias
Identificação das partes interessadas, formulação das necessidades, priorização, frequência de revisão, rastreabilidade entre necessidade expressa e produção entregue.
Fontes e recolha
Cartografia das fontes abertas, comerciais, comunitárias e internas, cobertura do âmbito, avaliação da fiabilidade, gestão dos acessos e da legalidade da recolha.
Tratamento e gestão dos dados
Plataforma de gestão das informações, normalização dos formatos, deduplicação, ciclo de vida e caducidade dos indicadores, enriquecimento automatizado.
Análise e cartografia dos modos de operação
Métodos de análise, atribuição fundamentada, uso do MITRE ATT&CK, acompanhamento dos agentes e campanhas pertinentes, distinção entre hipótese e facto estabelecido, notação de confiança.
Difusão e produções
Formatos estratégico, operacional e técnico, cadência de publicação, adaptação ao destinatário, alertas urgentes, medição da leitura e do uso.
Integração operacional
Alimentação das regras de deteção, da triagem de alertas e das investigações, contributo para a gestão de vulnerabilidades e a caça a ameaças, uso durante exercícios e crises.
Vigilância da superfície externa e da marca
Exposição na internet, fugas de dados e credenciais, usurpação de domínios e de marca, vigilância da cadeia de subcontratação.
Partilha e cooperação
Participação em comunidades setoriais e em CERT, trocas com as autoridades, regras de classificação e difusão, reciprocidade das contribuições.
Medição e melhoria contínua
Indicadores de pertinência e de prazo, retornos dos destinatários, revisões pós-incidente, atualização dos métodos, comparação ao longo do tempo e entre entidades.
Está disponível uma versão curta do referencial para a auto-avaliação online.
Perguntas frequentes
As informações sobre ciberameaças são certificáveis?
Não. Trata-se de uma capacidade, sem organismo de certificação dedicado. O diagnóstico mede o nível de maturidade das suas práticas e produz a trajetória de progressão. Pode, no entanto, alimentar a preparação de uma auditoria ISO 27001 ou a demonstração de requisitos NIS 2 e DORA.
Qual é a diferença entre este diagnóstico e uma auditoria?
Uma auditoria verifica a presença de requisitos e conclui por uma lacuna ou uma conformidade. O diagnóstico situa cada domínio numa escala progressiva e indica a ação que permite passar ao nível seguinte. O resultado é um roteiro, não um parecer.
Quanto tempo demora a avaliação?
A versão curta é preenchida em 20 a 30 minutos por um responsável que conhece o dispositivo. A versão completa, em modo colaborativo, estende-se geralmente por uma a duas semanas, sendo a maior parte do tempo dedicada a recolher elementos junto do SOC, da CTI e das áreas de negócio.
É possível adaptar o referencial à nossa organização?
Sim. Domínios, questões e formulação dos níveis são modificáveis, e a IA pode construir uma versão a partir dos seus procedimentos e das suas produções existentes. Uma entidade sem equipa dedicada e um grupo com uma célula CTI não avaliam os mesmos objetos.
É necessária uma equipa CTI dedicada para responder?
Não. O diagnóstico funciona também quando a vigilância é assegurada a tempo parcial ou delegada num prestador. As questões incidem então sobre a forma como expressa as suas necessidades, explora os entregáveis e mede o seu contributo.
Como comparar várias entidades do grupo?
O mesmo referencial é distribuído a cada unidade de negócio, e os resultados são depois comparados por domínio, entre entidades e com as avaliações anteriores. A IA agrupa as lacunas num roteiro transversal que evita duplicar as mesmas ações em vários planos.
Onde são alojados os dados?
Em França, na OVH, com cópia de segurança na Scaleway. Nenhuma transferência fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, incluindo entre soluções europeias.