Maturitate ISO/IEC 27000 · Sisteme de management al securității informației (SMSI)
Sistemul dumneavoastră de management al securității informației, situat pe familia de cadre de referință ISO 27000 și tradus într-un plan de acțiune.
10 domenii tematice, undefined întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 10 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitate ISO/IEC 27000 · Sisteme de management al securității informației (SMSI)
10 domenii tematice, undefined întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic ISO/IEC 27000:2018 (familia ISO/IEC 27000) lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 10 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior, și acțiunea care le conectează) este cel care transformă o constatare într-o traiectorie.
Declarația de aplicabilitate este menținută la zi și coerentă cu măsurile efectiv puse în practică ?
- N1
Nicio declarație de aplicabilitate exploatabilă. Măsurile puse în practică nu sunt raportate la o listă de referință.
- N2
Există o declarație, stabilită cu ocazia dosarului inițial. Nu a fost revizuită de atunci și mai multe mențiuni nu mai corespund realității.
- N3
Declarația este revizuită periodic, fiecare măsură reținută sau exclusă poartă o justificare și un responsabil identificat.
- N4
Revizuirile sunt sistematice, alimentate de aprecierea riscurilor și de auditurile interne. Decalajele constatate dau naștere unei acțiuni trasate.
- N5
Declarația este actualizată la fiecare evoluție a domeniului de aplicare sau a contextului de risc, cu istoric al versiunilor și al motivelor de revizuire.
Acțiune pentru trecerea de la N2 la N3
Reluați declarația de aplicabilitate măsură cu măsură împreună cu responsabilii vizați, înscrieți pentru fiecare o justificare și un titular, și conectați revizuirea sa la revizuirea de management semestrială.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe ISO 27000.
Despre ce vorbește acest cadru de referință
ISO/IEC 27000 este standardul de intrare al familiei consacrate securității informației. Acesta definește termenii și principiile comune pe care se bazează ISO 27001 pentru cerințe, ISO 27002 pentru măsuri, ISO 27005 pentru riscuri și textele sectoriale asociate. Acesta descrie ce înseamnă un SMSI: un domeniu de aplicare definit, o politică susținută de conducere, o apreciere a riscurilor, un ansamblu de măsuri selectate și justificate, dovezi de funcționare, revizuiri și o îmbunătățire continuă. Nu se auditează de sine stătător, ci oferă cadrul de lectură al întregului ansamblu.
În practică, un SMSI este greu de pilotat deoarece traversează întreaga organizație. Domeniul de aplicare declarat mai corespunde oare activităților reale, după reorganizări și noile servicii digitale ? Declarația de aplicabilitate reflectă oare măsuri efectiv puse în practică, sau intenții moștenite din dosarul de certificare inițial ? Revizuirile de management produc decizii trasate, sau doar un proces verbal de ședință ? Aceste întrebări se pun rareori în același loc, și nimeni nu deține răspunsul complet.
O confuzie frecventă merită clarificată: familia ISO 27000 nu este o stivă de standarde concurente. ISO 27000 oferă vocabularul, ISO 27001 poartă cerințele certificabile, ISO 27002 propune catalogul de măsuri reorganizat în patru teme începând cu versiunea 2022, ISO 27005 tratează aprecierea riscurilor. Un SMSI matur știe să spună ce standard servește la ce în dispozitivul său. Multe organizații folosesc vocabularul ISO 27000 fără să fi aliniat aceste elemente între ele.
Diagnosticul de maturitate răspunde la o întrebare diferită de cea a auditului de conformitate. Auditul concluzionează printr-un decalaj, o neconformitate minoră sau majoră, sau o conformitate. Diagnosticul situează fiecare practică pe o scală progresivă și indică acțiunea care permite trecerea la nivelul următor. Nu acordă nicio certificare: măsoară starea reală a dispozitivului și pregătește auditul, arătând unde SMSI-ul va rezista și unde nu va rezista.
În Datamensio, cadrul de referință este gata de utilizare și rămâne adaptabil. IA ajustează domeniile tematice, reformulează întrebările și rafinează nivelurile conform metodei CMMI, sau construiește o adaptare pornind de la propriile dumneavoastră documente: politica de securitate, declarația de aplicabilitate, procesele verbale de revizuire.
Standard de referință: ISO/IEC 27000:2018 (familia ISO/IEC 27000)
Domeniile tematice evaluate
Context și domeniu de aplicare al SMSI
Definirea domeniului de aplicare, activităților și siturilor acoperite, interfețe și dependențe, identificarea părților interesate și a cerințelor acestora.
Leadership și politică
Angajamentul conducerii, politica de securitate a informației formalizată și difuzată, roluri și responsabilități atribuite, resurse alocate.
Aprecierea și tratarea riscurilor
Metodă de apreciere, criterii de evaluare și acceptare, plan de tratare, declarație de aplicabilitate și justificarea măsurilor reținute sau excluse.
Măsuri organizaționale
Gestiunea activelor, clasificarea informației, gestiunea accesului, relații cu furnizorii, cerințe contractuale și clauze de securitate.
Securitatea persoanelor
Verificări înainte de angajare, sensibilizare și formare, angajamente de confidențialitate, proceduri de plecare și mobilitate, muncă la distanță.
Securitate fizică și de mediu
Zone securizate, controlul accesului fizic, protecția echipamentelor, gestiunea suporturilor și casare.
Măsuri tehnologice
Întărirea configurațiilor, jurnalizare și supervizare, gestiunea vulnerabilităților și a corecțiilor, criptografie, salvări de rezervă, securitatea dezvoltării.
Gestiunea incidentelor și continuitate
Detectare și calificare, proceduri de răspuns, notificarea părților vizate, retururi de experiență, continuitatea activității și testele asociate.
Documentație și dovezi
Controlul informațiilor documentate, gestiunea versiunilor, păstrarea înregistrărilor, trasabilitatea deciziilor de securitate.
Supraveghere, revizuire și îmbunătățire
Indicatori de performanță, audituri interne, revizuiri de management, tratarea neconformităților, acțiuni corective și urmărire în timp.
O versiune scurtă a cadrului de referință, cu 27 întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 10 domenii tematice și undefined întrebări.
Întrebări frecvente
ISO 27000 se certifică ?
Nu. ISO/IEC 27000 furnizează vocabularul și principiile familiei. Certificarea privește ISO/IEC 27001, căreia ISO 27000 îi oferă cadrul de lectură. Diagnosticul măsoară maturitatea SMSI-ului dumneavoastră și pregătește auditul, nu acordă nicio atestare.
Ce diferență există între acest diagnostic și un audit de conformitate ?
Auditul verifică prezența cerințelor și concluzionează printr-o conformitate sau un decalaj. Diagnosticul situează fiecare practică pe o scală de maturitate și indică acțiunea care permite progresul. Cele două se completează: diagnosticul pregătește, auditul validează.
Cât timp durează evaluarea ?
Versiunea scurtă se completează într-o singură sesiune de lucru. Versiunea completă, în mod colaborativ cu mai mulți contribuitori, se desfășoară pe o perioadă de una până la două săptămâni, cea mai mare parte a timpului fiind consacrată colectării de la echipele vizate.
Trebuie să fiți deja certificați pentru a utiliza acest cadru de referință ?
Nu. Se adresează atât organizațiilor care își construiesc SMSI-ul, cât și celor deja certificate care doresc să obiectiveze nivelul lor real între două audituri, sau să își extindă domeniul de aplicare.
Se poate adapta cadrul de referință organizației noastre ?
Da. Modificați întrebările, nivelurile și domeniile tematice, sau porniți de la o bază neutră. IA poate de asemenea construi o adaptare pornind de la politica dumneavoastră de securitate și de la declarația dumneavoastră de aplicabilitate. Controlul cadrului de referință vă aparține.
Cum se compară mai multe entități ?
Fiecare unitate de afaceri parcurge același diagnostic. Scorurile pe domeniu tematic se compară între entități și cu evaluările anterioare. O foaie de parcurs transversală consolidează auditurile și regrupează acțiunile comune.
Cum se articulează acest diagnostic cu NIS 2 sau DORA ?
Aceste texte se bazează în mare parte pe aceleași principii de management al securității. Un SMSI evaluat constituie un soclu reutilizabil. Foaia de parcurs transversală permite încrucișarea cadrelor de referință fără a duplica acțiunile.
Unde sunt găzduite datele ?
În Franța, la OVH, cu salvare de rezervă la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de IA utilizate pot fi selectate, inclusiv dintre soluții europene.