Maturitate · Protecția datelor sensibile și criptografie avansată
Practicile dumneavoastră de criptare și protecție a datelor sensibile, măsurate apoi transpuse într-o foaie de parcurs.
10 domenii tematice, undefined întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 10 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitate · Protecția datelor sensibile și criptografie avansată
10 domenii tematice, undefined întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic Cadru de referință de maturitate Datamensio, adosat practicilor de protecție a datelor sensibile și de gestionare criptografică (criptare, gestionarea cheilor, anonimizare, criptografie post-cuantică) lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 10 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior, și acțiunea care le leagă) este cel care transformă o constatare într-o traiectorie.
Ciclul de viață al cheilor criptografice este controlat, de la generare până la revocare?
- N1
Niciun inventar al cheilor. Acestea sunt generate și stocate de echipele de proiect, uneori în cod sau în fișiere de configurare.
- N2
Există un seif de secrete și o parte din chei sunt depuse acolo. Rotația este manuală, declanșată cu ocazia unui incident sau a unei migrări.
- N3
Cheile sunt inventariate, stocate într-un seif comun cu separarea rolurilor. Termenele de rotație sunt definite și în general respectate.
- N4
Rotația și revocarea sunt automatizate și urmărite. Accesurile la cheile de producție sunt înregistrate și revizuite. Procedurile de compromitere sunt testate.
- N5
Inventarul criptografic este menținut la zi și alimentează o traiectorie de migrare, inclusiv hibridizarea post-cuantică, cu revizuire periodică documentată.
Acțiune pentru trecerea de la N2 la N3
Constituirea inventarului cheilor și secretelor încă aflate în afara seifului, stabilirea pentru fiecare a unui proprietar și a unui termen de rotație, apoi controlul acestor termene în cadrul comitetului de securitate trimestrial.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe null.
Despre ce vorbește acest cadru de referință
Acest cadru de referință evaluează modul în care o organizație identifică, clasifică și protejează datele sale sensibile, precum și modul în care gestionează mecanismele criptografice care le protejează. Acoperă clasificarea datelor, criptarea în repaus, în tranzit și în uz, gestionarea ciclului de viață al cheilor și secretelor, tehnicile de anonimizare și pseudonimizare, partajarea securizată cu terți, precum și anticiparea evoluțiilor criptografice. Nu este vorba despre un control tehnic de configurare, ci despre o evaluare a practicilor de gestionare și guvernanță.
În practică, aceste subiecte sunt dificil de pilotat deoarece cunoștințele sunt dispersate. Criptarea este decisă de echipele de infrastructură, clasificarea de către unitățile de afaceri, cheile de administratori uneori externi. Trei întrebări sunt suficiente pentru a dezvălui decalajul: știți ce baze de date conțin date sensibile și de când nu a mai fost revizuit acest inventar? Cine poate accesa din punct de vedere tehnic o cheie de producție și acest acces este urmărit? Ce se întâmplă dacă un furnizor deține atât datele criptate, cât și cheile?
Un punct de context se impune. Tranziția către criptografia post-cuantică este în curs: autoritățile de securitate, printre care ANSSI, recomandă hibridizarea mecanismelor și construirea unui inventar criptografic pentru pregătirea migrărilor. Acest lucru deplasează subiectul din registrul tehnic către cel al programului de transformare, cu un inventar de constituit, dependențe de furnizori de calificat și o traiectorie multianuală de finanțat. Multe organizații au luat cunoștință de subiect fără să fi început inventarul, care este premisa acestuia.
Diagnosticul de maturitate răspunde la o întrebare diferită de un audit de conformitate. Auditul concluzionează printr-un decalaj sau o conformitate în raport cu o cerință. Diagnosticul situează fiecare practică pe o scală progresivă și indică acțiunea precisă care permite trecerea la nivelul superior: trecerea de la o clasificare documentată la o clasificare aplicată, de la o rotație de chei manuală la o rotație automatizată și urmărită. Rezultatul nu este un verdict, ci o traiectorie cuantificată, comparabilă între unitățile de afaceri și în timp.
În Datamensio, cadrul de referință este gata de utilizare și modificabil. IA ajustează domeniile tematice, reformulează întrebările în funcție de vocabularul dumneavoastră intern, rafinează nivelurile conform logicii CMMI sau construiește o variantă pornind de la politica dumneavoastră de securitate și de la standardele criptografice existente.
Standard de referință: Cadru de referință de maturitate Datamensio, adosat practicilor de protecție a datelor sensibile și de gestionare criptografică (criptare, gestionarea cheilor, anonimizare, criptografie post-cuantică)
Domeniile tematice evaluate
Identificarea și clasificarea datelor sensibile
Inventarul datelor de protejat, niveluri de sensibilitate, criterii de clasificare, acoperirea cadrelor de referință și a fluxurilor, frecvența revizuirii.
Politică și standarde criptografice
Existența unui standard intern, algoritmi și lungimi de chei autorizate, interdicții explicite, derogări, articulare cu recomandările autorităților de securitate.
Criptarea în repaus și în tranzit
Acoperirea bazelor de date, copiilor de siguranță, stațiilor de lucru și suporturilor amovibile, protecția fluxurilor interne și externe, terminarea sesiunilor criptate, excepții documentate.
Gestionarea cheilor și secretelor
Generare, stocare, separarea rolurilor, rotație, revocare, utilizarea modulelor hardware, gestionarea secretelor aplicative și eliminarea secretelor codificate direct.
Anonimizare și pseudonimizare
Tehnici reținute în funcție de utilizări, evaluarea riscului de reidentificare, seturi de date de test, date utilizate pentru analiză și antrenarea modelelor.
Controlul accesului la datele sensibile
Abilitări și principiul privilegiului minim, conturi cu privilegii, mascare dinamică, revizuiri de acces, trasabilitatea consultărilor.
Partajarea cu terți și suveranitate
Reglementarea contractuală a transferurilor, localizarea datelor și cheilor, reversibilitate, criptare adusă de client, dependențe de furnizori.
Criptografie avansată și anticipare post-cuantică
Inventar criptografic, agilitatea componentelor, hibridizarea mecanismelor, utilizări ale criptării în uz și ale calculului multipartit, traiectorie de migrare.
Supraveghere, incidente și scurgere de date
Detectarea accesurilor anormale și a exfiltrărilor, proceduri în caz de compromitere a cheii, teste de restaurare, notificare și retur de experiență.
Competențe și pilotare în timp
Expertiza criptografică disponibilă, sensibilizarea echipelor de dezvoltare, indicatori urmăriți, revizuire periodică a dispozitivului și compararea progreselor.
O versiune scurtă a cadrului de referință, cu undefined întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 10 domenii tematice și undefined întrebări.
Întrebări frecvente
Acest diagnostic oferă o certificare?
Nu. Datamensio măsoară maturitatea practicilor dumneavoastră și produce un plan de acțiune. Niciun organism nu certifică acest cadru de referință, care privește transformarea practicilor dumneavoastră de protecție a datelor și de gestionare criptografică. Rezultatele pot însă alimenta pregătirea unui audit extern.
Care este diferența față de un audit tehnic de configurare?
Un audit tehnic verifică parametri la un moment dat: versiune de protocol, lungime de cheie, certificat expirat. Diagnosticul evaluează capacitatea organizației de a menține acești parametri în timp: cine decide, cine controlează, cine corectează. Cele două se completează, diagnosticul oferă traiectoria.
Cât timp durează evaluarea?
Versiunea scurtă se completează într-o singură ședință de lucru. Versiunea completă, în mod colaborativ cu mai mulți contribuitori, se întinde pe una până la două săptămâni, cea mai mare parte a timpului fiind alocată colectării de informații de la echipele de infrastructură, dezvoltare și unități de afaceri.
Este necesară o expertiză criptografică pentru a răspunde?
Întrebările privesc practicile de gestionare, nu detaliile de implementare. Un responsabil de securitate sau un arhitect poate răspunde fără dificultate. Anumite întrebări tehnice pot fi atribuite unui corespondent dedicat, asistentul IA reformulând formularea în funcție de profilul respondentului.
Se poate adapta cadrul de referință la contextul nostru?
Da. Domeniile tematice, întrebările și nivelurile sunt modificabile și puteți adăuga altele. IA construiește de asemenea o variantă pornind de la politica dumneavoastră de securitate sau de la standardele criptografice interne. Controlul asupra cadrului de referință vă aparține.
Cum se compară mai multe entități?
Fiecare unitate de afaceri parcurge același diagnostic, scorurile pe domeniu tematic sunt comparate între entități și cu evaluările anterioare. O foaie de parcurs transversală consolidează planurile de acțiune și grupează acțiunile comune în loc să le dubleze.
Este tratat subiectul post-cuantic?
Da, ca un domeniu tematic al cadrului de referință: inventar criptografic, agilitatea componentelor, hibridizarea mecanismelor și traiectorie de migrare. Evaluarea situează punctul dumneavoastră de plecare, ceea ce este premisa oricărei cuantificări de program.
Unde sunt găzduite datele?
În Franța, la OVH, cu copie de siguranță la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de IA utilizate pot fi selectate, inclusiv dintre soluții europene.