Cadrul de gestionare a riscurilor cibernetice · Maturitate
Un cadru de gestionare a riscurilor cyber măsurat pe capabilitate, tradus într-o foaie de parcurs prioritizată.
10 domenii tematice, 159 întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 10 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Cadrul de gestionare a riscurilor cibernetice · Maturitate
10 domenii tematice, 159 întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic Cadru de gestionare a riscurilor cibernetice (abordare bazată pe capabilități, inspirată din NIST Cybersecurity Framework și ISO 31000) lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 10 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, nivelul superior și acțiunea care leagă cele două) este cel care transformă o constatare într-o traiectorie.
Riscurile cyber sunt apreciate conform unei metode stabile și legate de decizii trasate?
- N1
Nicio apreciere formalizată. Subiectele apar cu ocazia unui incident sau a unei cereri externe.
- N2
Există analize pe câteva perimetre, realizate conform unor abordări diferite, fără decizie trasată la final.
- N3
O metodă comună este documentată și aplicată perimetrelor critice. Riscurile majore sunt arbitrate în comitet și deciziile sunt consemnate.
- N4
Aprecierea acoperă întregul perimetru, inclusiv terții. Riscurile reziduale sunt acceptate la nivelul ierarhic corespunzător și monitorizate în timp.
- N5
Metoda este revizuită în funcție de incidente, exerciții și evoluția activităților, cu un istoric al revizuirilor și o comparație a nivelurilor între entități.
Acțiune pentru trecerea de la N2 la N3
Adoptarea unei metode unice de apreciere, aplicarea acesteia mai întâi proceselor critice identificate împreună cu unitățile de afaceri, și includerea pe ordinea de zi a comitetului de securitate trimestrial a arbitrajului riscurilor majore cu consemnarea deciziilor.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe null.
Despre ce vorbește acest cadru de referință
Un cadru de gestionare a riscurilor cibernetice descrie capabilitățile pe care o organizație trebuie să le dețină pentru a-și controla expunerea digitală: guvernarea subiectului, cunoașterea activelor și dependențelor sale, aprecierea riscurilor conform unei metode stabile, alegerea măsurilor de protecție, detectarea evenimentelor, reacția și apoi redresarea. Cadrele de referință cele mai utilizate, de la Cybersecurity Framework la principiile ISO 31000, împărtășesc această logică pe funcții. Acestea nu impun o listă de cerințe opozabile: descriu un dispozitiv și lasă fiecărei organizații sarcina de a-l adapta la propriul profil de risc.
Acest lucru face cadrul dificil de pilotat. Toată lumea îi revendică utilizarea, puțini știu să își situeze nivelul real. Inventarul activelor acoperă cloud-ul, mediile industriale și prestatorii, sau doar parcul gestionat de direcția IT? Aprecierea riscurilor duce la decizii arbitrate, sau la un registru pe care nimeni nu îl redeschide între două comitete? Detectarea se bazează pe proceduri scrise, sau pe trei persoane care știu unde să caute? Aceste întrebări nu se tranșează prin da sau nu, ele se situează pe o scală.
O confuzie apare adesea: cadrul de gestionare a riscurilor nu este un standard certificabil și nu înlocuiește un sistem de management al securității informației. Acesta se situează în amonte. Structurează capabilitățile, alimentează dispozitivul de management și servește drept bază comună atunci când mai multe texte se aplică aceluiași perimetru, de exemplu o directivă sectorială și un cadru de referință al clientului. Organizațiile care l-au adoptat ca limbaj comun între securitate, riscuri și unitățile de afaceri câștigă mai ales în comparabilitate între entități.
Diagnosticul de maturitate răspunde la o altă întrebare decât auditul. Auditul se încheie cu un decalaj sau o conformitate. Diagnosticul situează fiecare capabilitate pe o scală progresivă, expune decalajul față de ținta pe care o stabiliți și denumește acțiunea care permite trecerea la nivelul următor. În Pilot, decalajul dintre scor și țintă generează planul de acțiune, iar IA îl grupează într-o foaie de parcurs prioritizată. Comparația (benchmark) compară unitățile de afaceri între ele și fiecare entitate cu propriul trecut, ceea ce permite măsurarea traiectoriei unui program de transformare, nu doar punctul său de plecare.
Cadrul de referință este gata de utilizare și vă aparține. Ajustați domeniile tematice, întrebările și nivelurile: IA rafinează formulările conform metodei CMMI, sau construiește o adaptare pornind de la politica dumneavoastră de securitate și de la propriile dumneavoastră documente de guvernanță.
Standard de referință: Cadru de gestionare a riscurilor cibernetice (abordare bazată pe capabilități, inspirată din NIST Cybersecurity Framework și ISO 31000)
Domeniile tematice evaluate
Guvernanța riscului cyber
Politică formalizată, roluri și responsabilități, comitologie, articulare cu guvernanța întreprinderii, resurse alocate, apetitul pentru risc exprimat de conducere.
Cunoașterea activelor și dependențelor
Inventarul sistemelor, datelor și fluxurilor, cartografierea dependențelor interne și externe, criticitatea de afaceri, acoperirea cloud-ului și a mediilor industriale.
Aprecierea și prioritizarea riscurilor
Metoda reținută, scenarii de risc, evaluarea probabilității și a impactului, distincția risc inerent și rezidual, frecvența revizuirilor.
Tratarea și măsurile de protecție
Opțiuni de tratare, selecția și monitorizarea măsurilor, gestionarea identităților și accesurilor, întărirea securității (hardening), gestionarea vulnerabilităților și a corecțiilor.
Riscul legat de terți și de lanțul de aprovizionare
Calificarea furnizorilor, clauze de securitate, evaluare periodică, dependențe critice, reversibilitate și planuri de ieșire.
Detectare și supraveghere
Surse de jurnalizare, cazuri de utilizare pentru detectare, praguri de alertă, acoperire orară, exploatarea informațiilor despre amenințări.
Reacția la incidente
Proceduri de calificare și escaladare, celulă de criză, comunicare internă și externă, notificare către autorități și clienți, exerciții realizate.
Continuitate și redresare
Obiective de recuperare, backup-uri și restaurări testate, planuri de continuitate a activității, scenarii de reconstrucție a sistemului informatic.
Cultură și competențe
Sensibilizare pe categorii de populație, formarea echipelor tehnice, integrarea securității în proiecte, dispozitive de semnalare.
Măsurare și îmbunătățire continuă
Indicatori urmăriți, revizuire de conducere, retururi de experiență după incident sau exercițiu, comparație în timp și între entități.
O versiune scurtă a cadrului de referință, cu 34 întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 10 domenii tematice și 159 întrebări.
Întrebări frecvente
Acest cadru este certificabil?
Nu. Un cadru de gestionare a riscurilor cibernetice descrie capabilități, fără un organism de certificare în spate. Certificarea ține de ISO 27001 sau de SOC 2. Diagnosticul măsoară nivelul dumneavoastră de control și pregătește aceste demersuri, nu eliberează nicio atestare.
Care este diferența față de un audit de conformitate?
Auditul verifică prezența cerințelor și se încheie cu un decalaj sau o conformitate. Diagnosticul situează fiecare capabilitate pe o scală progresivă și indică acțiunea care permite urcarea cu un nivel. Diagnosticul pregătește auditul, auditul validează.
Cât timp durează evaluarea?
Versiunea scurtă se completează într-o singură sesiune de lucru. Versiunea completă, în mod colaborativ cu mai mulți contributori, se desfășoară pe o perioadă de una până la două săptămâni, cea mai mare parte a timpului fiind dedicată colectării de la echipele implicate.
Se poate adapta cadrul de referință la organizația noastră?
Da. Modificați întrebările, nivelurile și domeniile tematice, sau porniți de la propriile dumneavoastră documente: IA construiește atunci o adaptare și rafinează nivelurile conform metodei CMMI. Cadrul de referință rămâne sub controlul dumneavoastră.
Cum se compară mai multe unități de afaceri?
Fiecare entitate își realizează evaluarea pe același cadru de referință, ceea ce face scorurile comparabile pe domeniu tematic. Comparația (benchmark) situează entitățile între ele și fiecare în raport cu evaluările sale anterioare. O foaie de parcurs transversală consolidează apoi planurile de acțiune.
Este necesară o expertiză tehnică pentru a răspunde?
Întrebările vizează practicile de gestionare și guvernanță, nu configurările. Un responsabil cu securitatea sau riscurile poate răspunde la cea mai mare parte. Modul colaborativ permite alocarea întrebărilor tehnice către corespondentul potrivit.
Acest diagnostic este reutilizabil pentru NIS 2 sau DORA?
Da, în mare măsură. Aceste texte se bazează pe aceleași capabilități: guvernanță, apreciere a riscurilor, gestionarea terților, detectare, notificare, continuitate. Baza măsurată aici se reutilizează, iar foaia de parcurs transversală evită duplicarea acțiunilor de la un cadru de referință la altul.
Unde sunt găzduite datele?
În Franța, la OVH, cu backup la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de IA utilizate pot fi selectate, inclusiv dintre ofertele europene.