Maturitate BCEAO · Securitatea sistemelor informaționale și gestiunea riscurilor legate de SI
Practicile dumneavoastră de securitate a SI situate pe directiva BCEAO, și traduse într-un plan de acțiune cuantificat.
10 domenii tematice, undefined întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 10 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitate BCEAO · Securitatea sistemelor informaționale și gestiunea riscurilor legate de SI
10 domenii tematice, undefined întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic Directiva BCEAO privind gestiunea riscurilor legate de sistemele informaționale ale instituțiilor de credit, ale companiilor financiare și ale sistemelor financiare descentralizate din UMOA lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 10 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior, și acțiunea care leagă cele două) este cel care transformă o constatare într-o traiectorie.
Habilitările de acces la aplicațiile sensibile fac obiectul unei revizuiri periodice?
- N1
Nicio revizuire organizată. Drepturile sunt atribuite la deschiderea contului și nu sunt reexaminate ulterior.
- N2
Revizuiri au loc cu ocazia unui audit sau a unei reorganizări, pe câteva aplicații, fără calendar sau format definit.
- N3
O revizuire periodică este planificată și acoperă aplicațiile sensibile. Proprietarii validează drepturile și decalajele sunt corectate.
- N4
Revizuirea este sistematică pe întregul perimetru, trasată, cu urmărirea retragerilor până la execuția lor și control de nivelul doi.
- N5
Revizuirile sunt instrumentate și alimentate de mișcările de personal, decalajele recurente sunt analizate și corectate la sursă, regulile de atribuire sunt revizuite în consecință.
Acțiune pentru trecerea de la N2 la N3
Stabilirea listei aplicațiilor sensibile cu proprietarul lor din domeniul de afaceri, fixarea unei revizuiri semestriale a habilitărilor înscrisă în calendarul controlului permanent, și solicitarea unei validări nominale a drepturilor însoțită de un termen de retragere a accesurilor nejustificate.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe BCEAO.
Despre ce vorbește acest cadru de referință
Directiva BCEAO privind gestiunea riscurilor legate de sistemele informaționale se aplică instituțiilor de credit, companiilor financiare și sistemelor financiare descentralizate din Uniunea Monetară Vest-Africană. Aceasta impune un cadru de guvernanță a SI aprobat de organul deliberativ, o politică de securitate a informației, o cartografiere a activelor și a riscurilor informatice, o funcție de securitate identificată și independentă de echipele de exploatare, controlul prestatorilor informatici, gestiunea incidentelor cu notificare către supraveghetor, și continuitatea activităților informatice. Controlul respectării acestor cerințe este de competența Comisiei Bancare a UMOA.
În practică, dispozitivul se pilotează cu dificultate pentru că traversează mai multe direcții. Politica de securitate există adesea, dar transpunerea sa în proceduri aplicabile și în controale verificabile rămâne parțială. Întrebările concrete revin: cartografierea activelor informatice acoperă aplicațiile de business găzduite la terți, sau doar centrul de date intern? Habilitările sunt revizuite la termene fixe, sau doar la plecarea unui angajat? Incidentele de securitate sunt calificate conform unor criterii scrise care permit decizia unei notificări, sau tratate ca simple incidente de exploatare?
Creșterea rapidă a serviciilor financiare digitale în cadrul Uniunii a deplasat centrul de greutate al riscului. Moneda electronică, interoperabilitatea plăților și recurgerea tot mai mare la prestatori regionali sau internaționali expun instituții a căror organizare informatică a fost dimensionată pentru un model de agenții. O confuzie frecventă merită clarificată: directiva nu se reduce la securitatea tehnică. Ea privește guvernanța riscului informatic, din care securitatea este doar o componentă, alături de gestiunea schimbărilor, de externalizare și de continuitate.
Diagnosticul de maturitate răspunde la o întrebare diferită de cea a controlului de conformitate. Controlul întreabă dacă cerința este satisfăcută, da sau nu, și se încheie printr-o constatare. Diagnosticul situează fiecare practică pe o scală progresivă și indică acțiunea precisă care permite trecerea la nivelul superior. Cele două se completează: diagnosticul pregătește misiunea Comisiei Bancare și examinarea controlului intern, nu se substituie acesteia.
În Datamensio, cadrul de referință este gata de utilizare și se desfășoară ca atare pe mai multe entități. Îl puteți de asemenea adapta: IA ajustează domeniile tematice, reformulează întrebările în funcție de organizația dumneavoastră, rafinează nivelurile, sau construiește o declinare pornind de la politica dumneavoastră de securitate și de la procedurile dumneavoastră existente.
Standard de referință: Directiva BCEAO privind gestiunea riscurilor legate de sistemele informaționale ale instituțiilor de credit, ale companiilor financiare și ale sistemelor financiare descentralizate din UMOA
Domeniile tematice evaluate
Guvernanța sistemelor informaționale
Aprobarea cadrului de către organul deliberativ, strategie informatică aliniată la strategia instituției, comitet dedicat, roluri și responsabilități, mijloace alocate.
Politica de securitate a informației
Politică formalizată și validată, transpunere în proceduri, perimetru acoperit, periodicitate de revizuire, difuzare către domeniile de activitate.
Cartografierea activelor și evaluarea riscurilor SI
Inventarul activelor informaționale și aplicative, clasificare, identificarea vulnerabilităților, metodă de evaluare, ierarhizare și acceptarea riscurilor reziduale.
Gestiunea identităților și a accesurilor
Atribuirea și retragerea drepturilor, conturi cu privilegii, separarea sarcinilor, revizuirea periodică a habilitărilor, trasabilitatea accesurilor.
Securitatea operațiunilor și a rețelelor
Întărirea configurațiilor, gestiunea corecțiilor, izolare, protecția posturilor și a serverelor, backup-uri și restaurări testate, jurnalizare.
Gestiunea schimbărilor și a proiectelor informatice
Procedură de punere în producție, medii separate, teste și recepții, luarea în considerare a securității încă din concepție, gestiunea versiunilor și a revenirilor.
Externalizare și prestatori informatici
Recensământul prestațiilor externalizate, clauze de securitate și de audit, niveluri de serviciu, reversibilitate, supravegherea prestatorilor critici și a găzduirii.
Gestiunea incidentelor de securitate
Detectare, calificare și clasificare a incidentelor, termene și circuite de notificare către autoritatea de supraveghere, analiza cauzelor, capitalizare.
Continuitatea activităților informatice
Plan de recuperare informatică, obiective de reluare, sit de rezervă, teste periodice și lecții învățate, articulare cu planul de continuitate a activității.
Control, audit și sensibilizare
Controale permanente pe perimetrul SI, misiuni de audit informatic, urmărirea recomandărilor, indicatori raportați către direcție, formare și sensibilizare a personalului.
O versiune scurtă a cadrului de referință, cu undefined întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 10 domenii tematice și undefined întrebări.
Întrebări frecvente
Această directivă dă naștere unei certificări?
Nu. Este vorba despre un text prudențial a cărui respectare este controlată de Comisia Bancară a UMOA, nu despre un standard certificabil de către un organism acreditat. Datamensio măsoară maturitatea dispozitivului dumneavoastră și pregătește examinarea supraveghetorului, nu eliberează nicio atestare.
Ce diferență există între acest diagnostic și un control de conformitate?
Controlul verifică satisfacerea unei cerințe și se încheie printr-o constatare. Diagnosticul situează practica pe o scală de maturitate și desemnează acțiunea care permite progresul cu un nivel. Acesta produce o traiectorie, acolo unde controlul produce o stare.
Cât timp durează evaluarea?
Versiunea scurtă se completează într-o singură sesiune de lucru. Versiunea completă, în mod colaborativ cu DSI, RSSI, controlul intern și domeniile de activitate, se desfășoară în general pe una până la două săptămâni, cea mai mare parte a timpului fiind consacrată colectării probelor.
Cadrul de referință este adaptabil la instituția noastră?
Da. Puteți modifica întrebările, nivelurile, adăuga domeniile dumneavoastră tematice sau porni de la propriile proceduri. IA construiește o declinare pornind de la politica dumneavoastră de securitate, utilă pentru un sistem financiar descentralizat a cărui organizare diferă de cea a unei bănci de drept comun.
Se pot compara mai multe filiale ale grupului?
Da. Același cadru de referință se desfășoară pe fiecare entitate, cu un scor pe domeniu tematic și un comparativ între unitățile de afaceri, precum și cu campaniile precedente. O foaie de parcurs transversală consolidează planurile de acțiune ale filialelor și regrupează acțiunile comune.
Cum se articulează acest diagnostic cu controlul intern și cu PCA?
Cerințele se suprapun în mare măsură: continuitate informatică, externalizare, control permanent. Rezultatele sunt reutilizabile de la un cadru de referință la altul, iar foaia de parcurs transversală permite încrucișarea diagnosticelor fără a duplica acțiunile.
Este necesară o expertiză tehnică pentru a răspunde?
Întrebările privesc practicile de guvernanță și de gestiune, nu configurațiile. Unele necesită contribuția unui corespondent tehnic: modul colaborativ permite atribuirea acestor întrebări persoanei potrivite.
Unde sunt găzduite datele?
În Franța, la OVH, cu backup la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de IA utilizate pot fi selectate, inclusiv dintre soluții europene.