Maturitate ISO 27001 și ISO 27032 · Securitate cibernetică
Securitatea informațiilor dumneavoastră măsurată pe ISO 27001 și 27032, tradusă într-un plan de acțiune cuantificat.
12 domenii tematice, undefined întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 12 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitate ISO 27001 și ISO 27032 · Securitate cibernetică
12 domenii tematice, undefined întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic ISO/IEC 27001:2022 și ISO/IEC 27032:2012 lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 12 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior, și acțiunea care le leagă) este cel care transformă o constatare într-o traiectorie.
Declarația de aplicabilitate reflectă măsurile efectiv implementate?
- N1
Nicio declarație de aplicabilitate formalizată, sau un document produs o singură dată și niciodată redeschis de atunci.
- N2
Declarația există și acoperă cele 93 de măsuri, dar descrie starea vizată. Decalajele față de implementarea reală nu sunt identificate.
- N3
Fiecare măsură este corelată cu o practică existentă și cu un responsabil. Excluderile sunt justificate, iar documentul este revizuit cel puțin o dată pe an.
- N4
Declarația este actualizată la fiecare schimbare semnificativă de domeniu de aplicare, de risc sau de organizare, cu un istoric al versiunilor și dovezi de implementare asociate.
- N5
Declarația este corelată cu planul de tratament al riscurilor și cu indicatorii de securitate. Decalajele constatate în auditul intern declanșează o revizuire trasabilă.
Acțiune pentru trecerea de la N2 la N3
Confruntați fiecare măsură din anexa A cu practica observată, numiți un responsabil pentru fiecare măsură și consemnați decalajele în planul de tratament. Includeți analiza declarației de aplicabilitate pe ordinea de zi a analizei anuale efectuate de management.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe ISO 27001.
Despre ce vorbește acest cadru de referință
ISO 27001 impune un sistem de management al securității informației: un domeniu de aplicare definit, o analiză a riscurilor, o declarație de aplicabilitate care justifică includerea sau excluderea fiecăreia dintre cele 93 de măsuri din anexa A, obiective măsurate, audituri interne și o analiză efectuată de management. Versiunea 2022 a restructurat această anexă în patru teme, organizațională, umană, fizică și tehnologică, și a introdus măsuri noi privind monitorizarea amenințărilor, securitatea serviciilor cloud și protecția datelor în dezvoltare. ISO 27032 nu se certifică: descrie practicile de securitate cibernetică ce depășesc domeniul de aplicare al organizației, coordonarea între părțile interesate, securitatea aplicațiilor expuse, schimbul de informații privind incidentele.
Aceste două texte sunt dificil de gestionat deoarece se pretează la declarativ. Un SMSI poate exista pe hârtie și să nu schimbe nimic în practicile zilnice. Întrebările care se pun în realitate sunt concrete: declarația de aplicabilitate reflectă măsurile efectiv implementate, sau starea dorită la momentul certificării inițiale? Indicatorii de securitate alimentează o decizie, sau completează un tabel? Măsurile din anexa A se aplică filialelor și prestatorilor, sau doar domeniului istoric al sediului central? Analiza efectuată de management produce decizii trasabile, sau un proces verbal?
Tranziția către ISO/IEC 27001:2022 a scos la iveală o confuzie frecventă: multe organizații și-au actualizat declarația de aplicabilitate fără a reexamina practicile subiacente. Trecerea de la 114 la 93 de măsuri este un exercițiu de corespondență, nu o dovadă de progres. O altă confuzie de clarificat: ISO 27032 nu este o versiune extinsă a 27001. Aceasta tratează un unghi pe care 27001 îl acoperă slab, securitatea interacțiunilor cu actori pe care nu îi controlați, furnizori, clienți, comunități de schimb de informații privind amenințările. Cele două se completează, una prin management, cealaltă prin spațiul cibernetic.
Diagnosticul de maturitate răspunde la o întrebare diferită de cea a auditului de certificare. Auditul concluzionează printr-o conformitate sau un decalaj, pe un domeniu de aplicare dat, la o dată dată. Diagnosticul situează fiecare practică pe o scală progresivă și indică acțiunea precisă care permite trecerea la nivelul următor. O organizație certificată poate avea un nivel de maturitate modest privind gestionarea terților sau sensibilizarea. O organizație necertificată poate fi solidă în exploatare. Scorul pe domeniu tematic face vizibile aceste decalaje înainte ca un auditor să le semnaleze.
În Datamensio, cadrul de referință ISO 27001 și 27032 este gata de utilizare. Îl puteți și adapta: IA ajustează domeniile tematice, întrebările și nivelurile de maturitate în funcție de sectorul și domeniul dumneavoastră de aplicare, sau construiește o variantă pornind de la propriile dumneavoastră documente, politica de securitate, declarația de aplicabilitate, rapoartele de audit intern.
Standard de referință: ISO/IEC 27001:2022 și ISO/IEC 27032:2012
Domeniile tematice evaluate
Context, domeniu de aplicare și guvernanța SMSI
Determinarea provocărilor interne și externe, așteptările părților interesate, domeniu de aplicare documentat și justificat, politică de securitate, roluri și responsabilități, angajamentul managementului.
Evaluarea și tratamentul riscurilor
Metoda de evaluare, criterii de acceptare, plan de tratament, declarație de aplicabilitate și justificarea excluderilor, validarea riscurilor reziduale.
Măsuri organizaționale
Politici tematice, gestionarea activelor, clasificarea informației, securitate în relațiile cu furnizorii, gestionarea incidentelor, continuitate, conformitate legală.
Securitatea resurselor umane
Verificare înainte de angajare, clauze contractuale, sensibilizare și formare, proces disciplinar, gestionarea plecărilor și a mobilităților.
Securitate fizică și de mediu
Perimetre și controale de acces fizic, protecție împotriva amenințărilor de mediu, securitatea echipamentelor, stațiilor de lucru și suporturilor, casarea.
Măsuri tehnologice
Gestionarea accesurilor și identităților, protecție împotriva codurilor malițioase, jurnalizare și supraveghere, gestionarea vulnerabilităților tehnice, criptografie, securitatea rețelelor și a serviciilor cloud.
Securitatea dezvoltării și a aplicațiilor
Cerințe de securitate în proiecte, medii separate, teste, gestionarea schimbărilor, protecția datelor utilizate în dezvoltare și testare, securitatea aplicațiilor expuse pe Internet.
Monitorizarea amenințărilor și schimbul de informații
Surse de informații mobilizate, exploatarea operațională a semnalelor, participarea la dispozitivele sectoriale de schimb, coordonare cu autoritățile și CERT-urile, temă centrală a ISO 27032.
Securitatea ecosistemului și a terților
Cartografierea dependențelor, cerințe contractuale, evaluarea și monitorizarea prestatorilor, securitatea lanțului de aprovizionare digital, gestionarea accesurilor la distanță ale terților.
Gestionarea incidentelor și continuitate
Detectare, calificare, escaladare, tratare și retur de experiență, planuri de continuitate și de recuperare, teste și exerciții, pregătirea părților interesate externe.
Măsurarea performanței și audit intern
Indicatori și obiective de securitate, program de audit intern, competența auditorilor, urmărirea constatărilor, analiza efectuată de management și decizii trasabile.
Îmbunătățire continuă
Tratamentul neconformităților, acțiuni corective, actualizarea SMSI, compararea rezultatelor în timp și între entități.
O versiune scurtă a cadrului de referință, cu undefined întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 12 domenii tematice și undefined întrebări.
Întrebări frecvente
Acest diagnostic acordă o certificare ISO 27001?
Nu. Certificarea este acordată de un organism acreditat, în urma unui audit în două etape. Datamensio măsoară maturitatea practicilor dumneavoastră, identifică decalajele și produce planul de acțiune care pregătește acest audit. ISO 27032, la rândul său, nu este certificabil: este un ghid de bune practici.
Ce diferență există între acest diagnostic și un audit de conformitate?
Auditul verifică prezența cerințelor și concluzionează printr-o conformitate sau un decalaj. Diagnosticul situează fiecare practică pe o scală de maturitate cu cinci niveluri și indică acțiunea care permite trecerea la nivelul următor. O organizație certificată poate afișa niveluri foarte inegale în funcție de domeniul tematic.
De ce să evaluăm 27001 și 27032 împreună?
ISO 27001 organizează securitatea în interiorul domeniului de aplicare al organizației. ISO 27032 tratează ceea ce se joacă în exterior: terții, aplicațiile expuse, schimbul de informații privind incidentele. Evaluarea lor împreună evită punctul orb clasic al unui SMSI solid intern și lipsit de resurse în fața ecosistemului său.
Cât timp durează evaluarea?
Versiunea scurtă se completează în 20 până la 30 de minute. Versiunea completă, în mod colaborativ cu mai mulți contribuitori, se întinde în general pe una până la două săptămâni. Cea mai mare parte a timpului este dedicată colectării de la echipele de exploatare, de resurse umane și de achiziții.
Se poate adapta cadrul de referință la domeniul nostru de aplicare?
Da. Puteți modifica întrebările, nivelurile, adăuga propriile dumneavoastră domenii tematice sau restrânge domeniul de aplicare la o unitate de afaceri. IA poate de asemenea genera o variantă pornind de la politica dumneavoastră de securitate și de la declarația de aplicabilitate. Controlul cadrului de referință vă aparține.
Cum se compară mai multe entități?
Fiecare entitate conduce evaluarea pe același cadru de referință. Benchmark-ul compară scorurile pe domeniu tematic între unitățile de afaceri și față de campaniile anterioare. O foaie de parcurs transversală consolidează planurile de acțiune ale mai multor audituri, ceea ce evită finanțarea de două ori a aceleiași măsuri.
Este necesară o expertiză tehnică pentru a răspunde?
Întrebările privesc practicile de management și de implementare, nu configurațiile. Un responsabil de securitate sau un auditor intern poate răspunde. Întrebările care țin de exploatare sau de dezvoltare sunt atribuite contribuitorului potrivit în modul colaborativ.
Unde sunt găzduite datele?
În Franța, la OVH, cu backup la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de IA mobilizate pot fi selectate, inclusiv dintre soluții europene.