Maturitate ISO 27005 · Gestionarea riscurilor de securitate cibernetică
Riscurile dumneavoastră cibernetice, măsurate conform ISO 27005 și transpuse într-un plan de acțiune.
8 domenii tematice, undefined întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 8 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitate ISO 27005 · Gestionarea riscurilor de securitate cibernetică
8 domenii tematice, undefined întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic ISO/IEC 27005:2022 lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 8 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior și acțiunea care leagă cele două) este cel care transformă o constatare într-o traiectorie.
Sunt criteriile de acceptare a riscului definite și aplicate în mod coerent?
- N1
Niciun criteriu formalizat. Deciziile de acceptare sunt luate de la caz la caz, fără o referință comună.
- N2
Există criterii într-un document, dar sunt puțin cunoscute și aplicarea variază în funcție de echipe.
- N3
Criteriile sunt documentate, difuzate și aplicate în mod general. Abaterile sunt punctuale.
- N4
Criteriile sunt aplicate sistematic, acceptările sunt trasate și validate la nivelul ierarhic adecvat.
- N5
Criteriile sunt revizuite periodic în funcție de evoluția contextului și a incidentelor, cu o urmărire documentată a revizuirilor.
Acțiune pentru a trece de la N2 la N3
Difuzarea criteriilor de acceptare către toți deținătorii de riscuri, integrarea lor în modelul de fișă de risc și verificarea aplicării lor în cadrul revizuirii trimestriale.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe ISO 27005.
Despre ce vorbește acest cadru de referință
ISO 27005 este standardul care însoțește ISO 27001 pe un aspect precis: modul de gestionare a riscurilor. Acolo unde 27001 stabilește cerințele unui sistem de management al securității informației, 27005 explică modul de desfășurare a aprecierii și tratării riscurilor care alimentează acest sistem. Nu se certifică. Se aplică.
Tocmai acest lucru îl face dificil de pilotat. O organizație poate afirma că „urmează ISO 27005” fără ca niciun element să permită verificarea gradului real de structurare, repetabilitate și îmbunătățire în timp a practicilor sale. Sunt criteriile de acceptare a riscului formalizate, sau decise de la caz la caz? Acoperă aprecierea întregul perimetru, sau doar sistemele pe care echipa de securitate le cunoaște bine? Sunt planurile de tratare urmărite până la final, sau se opresc la registru?
Versiunea din 2022 a standardului a mutat de altfel accentul: mai puțină metodă prescriptivă, mai multă integrare cu gestionarea riscurilor de întreprindere în sensul ISO 31000. Concret, riscul cibernetic nu mai este un subiect al experților în securitate, ci o componentă a riscului global, care trebuie prezentată comitetului de direcție într-un limbaj inteligibil pentru non-tehnicieni. Multe organizații au adoptat vocabularul fără să fi operat această schimbare.
Diagnosticul de maturitate răspunde la o întrebare diferită de cea a auditului de conformitate. Auditul întreabă: este conform, da sau nu. Diagnosticul întreabă: la ce nivel de control vă aflați și ce acțiuni precise vă fac să treceți la nivelul următor.
În Datamensio, cadrul de referință este gata de utilizare. Îl puteți de asemenea adapta la contextul dumneavoastră: IA ajustează domeniile tematice, întrebările și nivelurile, sau construiește o versiune personalizată pornind de la propriile dumneavoastră documente.
Standard de referință: ISO/IEC 27005:2022
Domeniile tematice evaluate
Guvernanță și cadru de gestionare a riscurilor
Existența unei politici formalizate, definirea rolurilor și responsabilităților, articularea cu guvernanța de întreprindere, alocarea resurselor.
Definirea contextului și a perimetrului
Perimetru de aplicare, criterii de apreciere, criterii de acceptare a riscului, luarea în considerare a părților interesate.
Identificarea riscurilor
Inventarul activelor, identificarea amenințărilor și vulnerabilităților, surse de informații mobilizate, frecvența revizuirilor.
Analiză și evaluare
Metoda reținută și coerența sa, evaluarea probabilității și impactului, distincția între riscul inerent și cel rezidual, ierarhizare.
Tratarea riscurilor
Alegerea opțiunilor de tratare, selectarea măsurilor, formalizarea planului, acceptarea riscurilor reziduale de către nivelul ierarhic adecvat.
Comunicare și consultare
Prezentarea rezultatelor către părțile interesate, raportarea către comitetul de direcție, sensibilizarea unităților de afaceri, limbajul utilizat.
Monitorizare și revizuire
Urmărirea evoluției riscurilor, indicatori, declanșarea reevaluărilor, integrarea incidentelor și a informațiilor privind amenințările.
Îmbunătățire continuă
Lecții învățate, actualizarea metodei, comparație în timp, maturitatea dispozitivului însuși.
O versiune scurtă a cadrului de referință, cu undefined întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 8 domenii tematice și undefined întrebări.
Întrebări frecvente
Este ISO 27005 certificabilă?
Nu. Este un standard de însoțire care oferă linii directoare pentru gestionarea riscurilor. Certificarea privește ISO 27001, al cărui dispozitiv de gestionare a riscurilor este alimentat de 27005.
Ce diferență există între un diagnostic de maturitate și un audit de conformitate?
Auditul verifică prezența cerințelor și concluzionează printr-un decalaj sau o conformitate. Diagnosticul de maturitate situează practicile dumneavoastră pe o scară progresivă și indică traiectoria pentru a progresa. Cele două sunt complementare: diagnosticul pregătește auditul, auditul validează.
Cât timp durează evaluarea?
Versiunea scurtă se completează în 20 până la 30 de minute. Versiunea completă, în mod colaborativ cu mai mulți contribuitori, se desfășoară în general pe o perioadă de una până la două săptămâni, cea mai mare parte a timpului fiind dedicată colectării de la diferitele echipe.
Se poate adapta cadrul de referință?
Da. Puteți modifica întrebările, nivelurile, adăuga propriile domenii tematice sau porni de la o bază goală. Controlul cadrului de referință vă aparține: este o diferență de fond față de instrumentele care impun propria grilă.
Cum se articulează acest diagnostic cu NIS2 sau DORA?
Aceste reglementări impun cerințe de gestionare a riscurilor care se bazează pe aceleași principii. Un diagnostic ISO 27005 solid constituie un fundament reutilizabil. Foaia de parcurs transversală permite încrucișarea celor trei fără duplicarea acțiunilor.
Este necesară o expertiză tehnică pentru a răspunde?
Întrebările privesc practicile de gestionare, nu configurațiile tehnice. Un responsabil de riscuri sau un auditor intern poate răspunde. Unele întrebări necesită contribuția unui corespondent tehnic: modul colaborativ permite alocarea acestor întrebări persoanei potrivite.
Unde sunt găzduite datele?
În Franța, la OVH, cu salvare de rezervă la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de IA mobilizate pot fi selectate, inclusiv dintre soluții europene.