Maturitate Gestionarea crizelor cibernetice · Reziliență după un atac
Capacitatea dumneavoastră de a rezista și de a reporni după un atac, măsurată și tradusă într-un plan de acțiune.
12 domenii tematice, undefined întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 12 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitate Gestionarea crizelor cibernetice · Reziliență după un atac
12 domenii tematice, undefined întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic Cadru de gestionare a crizelor cibernetice, aliniat la ISO 22301, ISO/IEC 27035 și ghidul ANSSI de gestionare a crizelor cibernetice lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 12 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior și acțiunea care leagă cele două) este cel care transformă o constatare într-o traiectorie.
Este verificată capacitatea de a restaura sistemele esențiale pornind de la copiile de siguranță?
- N1
Niciun test de restaurare. Existența copiilor de siguranță este constatată prin jurnale, fără verificarea exploatabilității lor.
- N2
Restaurări sunt realizate punctual, cu ocazia unei cereri a utilizatorilor sau a unui incident, fără perimetru definit și fără raport.
- N3
Un plan de teste acoperă sistemele esențiale identificate, cu restaurări periodice și un raport documentat al rezultatelor.
- N4
Testele sunt realizate pe un mediu izolat, includ reconstrucția directorului de utilizatori și măsoară duratele obținute, comparate cu duratele țintă validate de unitățile de afaceri.
- N5
Testele integrează un scenariu de compromitere a copiilor de siguranță online, decalajele de durată alimentează planul de investiții, iar dispozitivul este revizuit după fiecare exercițiu și fiecare evoluție de arhitectură.
Acțiune pentru trecerea de la N2 la N3
Stabiliți lista sistemelor esențiale împreună cu unitățile de afaceri, înscrieți o restaurare de test pe trimestru în calendarul de exploatare existent și produceți un raport scurt, prezentat în comitetul de securitate.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe null.
Despre ce vorbește acest cadru de referință
Gestionarea crizelor cibernetice nu este gestionarea incidentelor. Incidentul se tratează în procesele existente, cu echipele în funcțiune. Criza începe când evenimentul depășește capacitățile curente de tratare: mai multe unități de afaceri afectate, sisteme indisponibile, decizii de luat fără informații complete, comunicare de susținut față de clienți, autorități și angajați. Cadrul de referință evaluează dispozitivul care preia controlul exact în acest moment: criterii de declanșare, celulă de criză decizională și celulă operațională, mijloace de comunicare de rezervă, proceduri degradate, strategie de reluare și capacitatea de a trage învățăminte.
Este un domeniu dificil de condus pentru că dovada lipsește atâta timp cât nimic nu s-a întâmplat. Câteva întrebări concrete tranșează rapid situația: cine decide izolarea unui sistem de producție, și poate fi luată această decizie într-o duminică la ora trei dimineața fără a aștepta comitetul de direcție? Cât timp poate funcționa activitatea fără sistemul informatic, și a fost această durată verificată împreună cu unitățile de afaceri sau doar estimată de departamentul IT? Au fost restaurate cu adevărat copiile de siguranță, pe un mediu separat, și în cât timp?
O confuzie revine adesea: confundarea planului de continuitate a activității cu dispozitivul de criză cibernetică. PCA-ul clasic presupune că sistemul informatic rămâne disponibil pe un site de rezervă. Un atac cu ransomware invalidează această ipoteză, pentru că afectează directorul de utilizatori, copiile de siguranță online și uneori instrumentele de comunicare internă. Cerințele europene recente, NIS 2 și DORA, au deplasat de altfel subiectul din domeniul tehnic către cel al guvernanței, cu termene de notificare scurte și o responsabilitate explicită a organelor de conducere.
Un audit de conformitate se încheie prin da sau nu: planul există, exercițiul a fost realizat. Diagnosticul de maturitate pune o altă întrebare: la ce nivel de stăpânire se situează practica, și ce acțiune precisă permite trecerea la nivelul superior. Între un plan de criză scris și niciodată jucat, un plan testat o dată pe an pe hârtie și un dispozitiv dovedit prin exerciții de simulare cu comutare tehnică reală, decalajul este considerabil, deși toate trei cazurile răspund da la aceeași întrebare de audit.
În Datamensio, cadrul de referință este gata de utilizare. Îl puteți de asemenea adapta la contextul dumneavoastră: inteligența artificială ajustează domeniile tematice, întrebările și nivelurile, sau construiește o variantă pornind de la propriile dumneavoastră documente, plan de criză, fișe reflexe sau rapoarte de exerciții.
Standard de referință: Cadru de gestionare a crizelor cibernetice, aliniat la ISO 22301, ISO/IEC 27035 și ghidul ANSSI de gestionare a crizelor cibernetice
Domeniile tematice evaluate
Guvernanța dispozitivului de criză
Politică de gestionare a crizelor, subordonare ierarhică, roluri și supleanți, angajamentul organelor de conducere, buget și resurse dedicate.
Detectare și calificare
Surse de detectare, lanț de alertă, criterii de calificare a unui incident în criză, praguri de declanșare, permanență în afara orelor de program.
Celule de criză și mobilizare
Componența celulei decizionale și a celulei operaționale, delegări de decizie, registru de mobilizare, sală de criză fizică și de rezervă.
Proceduri și fișe reflexe
Scenarii acoperite, fișe reflexe pe rol, proceduri de izolare și de izolare a daunelor, disponibilitatea documentelor în versiune offline.
Comunicare de criză
Purtători de cuvânt desemnați, mesaje pregătite pe audiență, canale de rezervă independente de sistemul informatic, coordonare cu clienții și partenerii.
Notificare de reglementare și relații cu autoritățile
Identificarea obligațiilor aplicabile, termene de notificare, contacte stabilite cu autoritățile competente, depunerea plângerii și asigurare cibernetică.
Continuitatea activității în regim degradat
Analiza impactului asupra activităților, durate de întrerupere acceptabile validate de unitățile de afaceri, proceduri manuale, prioritizarea activităților esențiale.
Copii de siguranță și capacitate de reconstrucție
Izolarea și imutabilitatea copiilor de siguranță, perimetrul acoperit, teste de restaurare reale, plan de reconstrucție a directorului de utilizatori și a soclurilor tehnice.
Reluare și revenire la normal
Criterii de ieșire din criză, secvență de repunere în funcțiune, măsuri de consolidare înainte de reconectare, supraveghere sporită post-incident.
Exerciții și antrenament
Frecvența și formatul exercițiilor, realismul scenariilor, implicarea conducerii și a unităților de afaceri, comutare tehnică efectivă, urmărirea acțiunilor rezultate din exerciții.
Ecosistem și dependențe
Prestatori critici și externalizare IT, clauze contractuale de mobilizare, prestatori de răspuns la incident referențiați, coordonare cu lanțul de aprovizionare.
Retur de experiență și îmbunătățire
Culegerea faptelor în timpul crizei, jurnal de bord, debriefing structurat, acțiuni corective urmărite în timp, actualizarea dispozitivului.
O versiune scurtă a cadrului de referință, cu undefined întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 12 domenii tematice și undefined întrebări.
Întrebări frecvente
Acest diagnostic duce la o certificare?
Nu. Datamensio măsoară maturitatea dispozitivului de criză și pregătește termenele de reglementare, nu certifică. Diagnosticul servește drept bază documentată dacă angajați ulterior un demers ISO 22301 sau o revizuire de către un terț.
Ce diferență există față de un audit de conformitate al planului de criză?
Auditul verifică existența documentelor și se încheie printr-un decalaj sau o conformitate. Diagnosticul situează fiecare practică pe o scală progresivă și indică acțiunea care permite urcarea cu un nivel. Un plan scris și niciodată jucat și un dispozitiv dovedit prin exerciții obțin același rezultat în audit, dar niciodată același scor de maturitate.
Cât timp durează evaluarea?
Versiunea scurtă se completează în 20 până la 30 de minute. Versiunea completă, în regim colaborativ, mobilizează securitatea, producția informatică, continuitatea activității și comunicarea. Cea mai mare parte a timpului este dedicată colectării de la acești contribuitori.
Trebuie să fi trecut deja printr-o criză pentru a răspunde?
Nu. Întrebările privesc dispozitivele existente și dovezile disponibile, rapoarte de exerciții, fișe reflexe, teste de restaurare. O organizație care a trecut recent printr-o criză dispune pur și simplu de mai multă materie pentru a-și obiectiva răspunsurile.
Se poate adapta cadrul de referință?
Da. Puteți modifica întrebările, nivelurile, adăuga domenii tematice proprii sectorului dumneavoastră sau organizației dumneavoastră multi-sit. Inteligența artificială construiește de asemenea o variantă pornind de la planul dumneavoastră de criză și de la rapoartele dumneavoastră de exerciții. Stăpânirea cadrului de referință vă aparține.
Cum se compară mai multe entități ale grupului?
Același cadru de referință este difuzat către fiecare unitate de afaceri, ceea ce face scorurile comparabile pe domeniu tematic. O foaie de parcurs transversală consolidează auditurile și regrupează acțiunile comune, inteligența artificială prioritizându-le în funcție de impactul lor asupra scorului.
Cum se articulează acest diagnostic cu NIS 2 și DORA?
Aceste texte impun obligații de notificare, de continuitate și de testare care se suprapun direct cu domeniile tematice ale cadrului de referință. Diagnosticul constituie un soclu reutilizabil pentru aceste două termene, fără a duplica colectarea.
Unde sunt găzduite datele?
În Franța, la OVH, cu copie de siguranță la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de inteligență artificială mobilizate pot fi selectate, inclusiv dintre soluții europene.