Maturitatea cyber-rezilienței instituțiilor publice
Capacitatea instituției dumneavoastră de a continua să funcționeze sub atac, măsurată apoi cuantificată într-un plan de acțiune.
10 domenii tematice, undefined întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 10 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitatea cyber-rezilienței instituțiilor publice
10 domenii tematice, undefined întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic Cadrul de cyber-reziliență al sectorului public (NIS 2, cadre de referință ANSSI, ISO 22301) lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 10 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, nivelul superior, și acțiunea care leagă cele două) transformă o constatare într-o traiectorie.
Este dovedită capacitatea de a restaura serviciile esențiale pornind de la backup-uri?
- N1
Niciun test de restaurare documentat. Capacitatea de reluare se bazează pe convingerea că backup-urile funcționează.
- N2
Restaurări realizate punctual, cu ocazia incidentelor sau a solicitărilor izolate, fără perimetru definit sau raport.
- N3
Un test de restaurare este planificat și documentat pe aplicațiile serviciilor esențiale, cu un termen de reluare măsurat.
- N4
Testele acoperă un scenariu de reconstrucție completă pornind de la backup-uri izolate, cu activitățile vizate și termenele comparate cu obiectivele stabilite.
- N5
Dispozitivul este reevaluat după fiecare exercițiu și fiecare schimbare de arhitectură, decalajele de termen declanșează acțiuni trasate și urmărite.
Acțiune pentru trecerea de la N2 la N3
Selectarea celor două aplicații cele mai critice pentru cetățeni, planificarea unei restaurări complete pe un mediu de test la următorul comitet de securitate, măsurarea termenului obținut și compararea sa cu obiectivul de reluare anunțat.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe null.
Despre ce vorbește acest cadru de referință
Cyber-reziliența sectorului public se regăsește în mai multe texte care se suprapun: directiva NIS 2, care include administrațiile publice printre entitățile vizate, cadrele de referință ale ANSSI privind omologarea și securitatea sistemelor informatice ale statului, principiile de continuitate a activității din ISO 22301 și obligațiile specifice privind datele cetățenilor. Obiectul evaluat aici nu este doar protecția tehnică: este capacitatea unei colectivități, a unui spital, a unui minister sau a unui operator public de a-și menține serviciile esențiale în timpul unui incident, de a-l declara în termenele stabilite și de a reveni la o stare de funcționare controlată.
În practică, această gestionare este dificilă din motive structurale. Sistemul informatic este adesea moștenit, distribuit între direcții de activitate autonome și prestatori pe termen lung. Câteva întrebări concrete: știți care servicii pentru cetățeni trebuie repornite prioritar, și în ce ordine. Backup-urile dumneavoastră au fost restaurate cu adevărat, pe un scenariu complet, sau doar testate unitar. Cine decide oprirea unei aplicații de activitate într-o duminică, și această persoană a fost contactată la ultimul exercițiu.
Un aspect de context merită menționat: transpunerea NIS 2 extinde semnificativ perimetrul entităților publice vizate și introduce un lanț de declarare a incidentelor în mai multe etape, cu responsabilitatea organului de conducere. Multe instituții au început prin a-și cartografia obligațiile fără să fi tratat întrebarea operațională care urmează: dispozitivul lor de criză funcționează într-o zi de vacanță școlară, când serviciul informatic este redus iar alesul sau directorul general trebuie să comunice.
O confuzie frecventă trebuie clarificată: auditul de conformitate se încheie prin conform sau neconform, cerință cu cerință. Diagnosticul de maturitate răspunde la o altă întrebare: la ce nivel de control se situează fiecare practică, și ce acțiune concretă permite trecerea la nivelul superior. O instituție poate fi în regulă pe hârtie și incapabilă să își restaureze starea civilă în 48 de ore. Scara de maturitate face vizibil acest decalaj și îl transformă într-un plan de acțiune cuantificat, cu cost, termen și efect așteptat asupra scorului.
În Datamensio, cadrul de referință este gata de utilizare și rămâne al dumneavoastră. Ajustați domeniile tematice, întrebările și formulările nivelurilor în funcție de statutul, dimensiunea și serviciile dumneavoastră esențiale. IA rafinează nivelurile conform metodei CMMI, sau construiește o variantă pornind de la propriile dumneavoastră documente: plan de continuitate, analiză de riscuri, rapoarte de exercițiu.
Standard de referință: Cadrul de cyber-reziliență al sectorului public (NIS 2, cadre de referință ANSSI, ISO 22301)
Domeniile tematice evaluate
Guvernanța și responsabilitatea rezilienței
Susținerea de către conducerea generală sau executiv, roluri și supleanțe, articularea între direcția de activitate, informatică și comunicare, resurse alocate.
Identificarea serviciilor esențiale
Inventarul serviciilor oferite cetățenilor, criticitate, termene de reluare și pierderi de date admisibile, dependențe aplicative și umane.
Controlul riscurilor și al perimetrului tehnic
Cartografierea sistemului informatic, gestionarea activelor moștenite, analiză de riscuri actualizată, omologarea sistemelor sensibile.
Protecție și igienă digitală
Gestionarea accesurilor privilegiate, segmentarea rețelei, gestionarea corecțiilor, securizarea stațiilor de lucru și a accesurilor la distanță.
Detecție și supraveghere
Jurnalizare, acoperirea supravegherii, capacitate de detecție în afara orelor de program, recurs la un serviciu partajat sau externalizat.
Gestionarea crizelor și continuitatea serviciului public
Dispozitiv de criză activabil, moduri de funcționare degradată, proceduri pe hârtie, lanț de decizie și gărzi de permanență.
Backup-uri și capacitate de reconstrucție
Izolarea și imutabilitatea backup-urilor, perimetrul acoperit, teste de restaurare complete, capacitatea de a reconstrui un mediu de la zero.
Declararea incidentelor și relațiile cu autoritățile
Puncte de contact, termene și etape de notificare, informarea cetățenilor, coordonarea cu autoritățile competente și partenerii.
Lanțul de subcontractare și achiziții
Cerințe de securitate în achizițiile publice, angajamente de reluare ale prestatorilor, reversibilitate, monitorizarea furnizorilor de găzduire și editorilor de aplicații.
Exerciții, lecții învățate și progres
Frecvența și realismul exercițiilor, implicarea activităților și a aleșilor, urmărirea acțiunilor corective, compararea evaluărilor în timp.
O versiune scurtă a cadrului de referință, cu undefined întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 10 domenii tematice și undefined întrebări.
Întrebări frecvente
Acest diagnostic emite o certificare sau o omologare?
Nu. Datamensio măsoară maturitatea practicilor dumneavoastră și produce planul de acțiune asociat. Omologarea unui sistem sau certificarea pe un standard revin unei autorități sau unui organism acreditat. Diagnosticul pregătește aceste demersuri și documentează punctul de plecare.
Ce diferență există față de un audit de conformitate NIS 2?
Auditul verifică prezența cerințelor și se încheie printr-un decalaj sau o conformitate. Diagnosticul situează fiecare practică pe o scară progresivă și indică acțiunea care permite urcarea cu un nivel. Cele două se completează: diagnosticul construiește traiectoria, auditul validează starea atinsă.
Cât timp durează evaluarea?
O autoevaluare realizată de responsabilul securității se tratează într-o sesiune de lucru. În mod colaborativ, cu informatica, direcțiile de activitate și continuitatea activității, calculați una până la două săptămâni, cea mai mare parte a timpului fiind consacrată colectării și arbitrajului răspunsurilor.
Cadrul de referință este adaptabil unei colectivități de dimensiune mică?
Da. Eliminați domeniile tematice din afara perimetrului, reformulați întrebările și ajustați nivelurile. IA propune o variantă coerentă în funcție de statutul și efectivele dumneavoastră, sau preia documentele dumneavoastră existente ca bază. Cadrul de referință rămâne sub controlul dumneavoastră.
Se pot compara mai multe entități între ele?
Da. Același cadru de referință aplicat mai multor unități de afaceri, instituții sau comune ale unui grup permite un benchmark intern și o comparare cu evaluările anterioare. O foaie de parcurs transversală consolidează apoi planurile de acțiune ale mai multor diagnostice.
Cum este cuantificat planul de acțiune?
Decalajul dintre scorul obținut și țintă generează acțiunile de întreprins. Catalogul de prestații deschide o soluție în fața fiecărei acțiuni, cu costul, termenul și efectul așteptat asupra scorului. IA regrupează ansamblul într-o foaie de parcurs prioritizată.
Unde sunt găzduite datele?
În Franța, la OVH, cu backup la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de IA utilizate pot fi selectate, inclusiv dintre ofertele europene.