Maturitate · Reglementul emiratian privind asigurarea informației
Dispozitivul dumneavoastră de asigurare a informației în Emirate, măsurat pe fiecare control și transpus într-un plan de acțiune cuantificat.
10 domenii tematice, undefined întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 10 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitate · Reglementul emiratian privind asigurarea informației
10 domenii tematice, undefined întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic UAE Information Assurance Regulation (TDRA / Signature Trust Standard), versiunea 1.1 lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 10 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior, și acțiunea care le leagă) este cel care transformă o constatare într-o traiectorie.
Activele informaționale sunt clasificate și manipulate conform unei scheme definite?
- N1
Nicio schemă de clasificare în vigoare. Documentele și datele circulă fără un nivel atribuit.
- N2
O schemă există într-o politică, dar clasificarea este aplicată doar câtorva cadre documentare, iar regulile de manipulare rămân necunoscute pentru departamentele operaționale.
- N3
Activele din perimetru sunt clasificate, regulile de manipulare sunt difuzate și aplicate în general. Decalajele sunt punctuale.
- N4
Clasificarea este susținută de proprietarii activelor, revizuită la fiecare schimbare, și integrată în spațiile de stocare și mesagerie. Neconformitățile sunt trasate și tratate.
- N5
Schema este revizuită periodic în funcție de evoluția reglementară și de incidentele constatate, cu o urmărire documentată a revizuirilor și un control prin eșantionare.
Acțiune pentru trecerea de la N2 la N3
Atribuiți un proprietar fiecărui activ din perimetru, clasificați activele rămase cu ocazia revizuirii trimestriale a riscurilor și integrați regulile de manipulare în parcursul de conștientizare al noilor angajați.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe null.
Despre ce vorbește acest cadru de referință
Reglementul emiratian privind asigurarea informației (Information Assurance Regulation) este cadrul național de securitate a informației al Emiratelor Arabe Unite, susținut de autoritatea de reglementare a telecomunicațiilor și digitalizării. Acesta organizează un ansamblu de controale repartizate între controale de management și controale tehnice, fiecare însoțit de un nivel de prioritate. Entitățile din sectoarele identificate ca fiind critice trebuie să îl aplice și să demonstreze implementarea lui, bazându-se pe o abordare prin riscuri și pe un perimetru definit de sisteme și active.
În practică, pilotarea este mai delicată decât lectura textului. Controalele sunt numeroase și se suprapun cu cele deja implementate conform ISO 27001 sau politicilor grupului. Trei întrebări revin constant: care este perimetrul exact al sistemelor vizate în entitatea emiratiană, cine răspunde de fiecare control între filiala locală și societatea-mamă, și pe ce dovezi se bazează declarațiile de implementare atunci când reglementatorul sau entitatea sectorială solicită o revizuire. Fără un răspuns documentat, stadiul de avansare rămâne declarativ.
O confuzie frecventă merită clarificată: reglementul de asigurare a informației nu este o versiune locală a ISO 27001, chiar dacă împărtășește aceeași logică și o parte din vocabular. Acesta adaugă cerințe proprii contextului național, în special privind clasificarea informației, raportarea incidentelor către autorități și securitatea lanțurilor de subcontractare. În plus, mai mulți reglementatori sectoriali și autorități de emirat și-au construit propriile cadre pe acest fundament: o entitate poate fi astfel supusă atât reglementului național, cât și unui cadru local, cu așteptări de probă diferite.
Un audit de conformitate se încheie cu un decalaj sau o conformitate, control cu control. Diagnosticul de maturitate răspunde unei alte întrebări: la ce nivel de stăpânire se situează fiecare practică, și ce acțiune precisă permite trecerea la nivelul superior. Această diferență este cea care permite eșalonarea unui program pe mai multe exerciții, compararea entităților între ele și cuantificarea efortului rămas, în loc de a constata o neconformitate.
În Datamensio, cadrul de referință este gata de utilizare și păstrați controlul asupra lui. Inteligența artificială ajustează domeniile tematice, întrebările și nivelurile la perimetrul entității dumneavoastră emiratiene, sau construiește o variantă pornind de la politicile dumneavoastră interne și cerințele reglementatorului dumneavoastră sectorial. Decalajele constatate alimentează o foaie de parcurs prioritizată, care poate fi consolidată cu celelalte diagnostice cibernetice ale dumneavoastră.
Standard de referință: UAE Information Assurance Regulation (TDRA / Signature Trust Standard), versiunea 1.1
Domeniile tematice evaluate
Guvernanța asigurării informației
Politică formalizată și validată de conducere, roluri și responsabilități, comitet de pilotaj, articularea între filială și guvernanța de grup, alocarea resurselor.
Perimetru și managementul riscurilor
Definirea perimetrului sistemelor vizate, metoda de evaluare a riscurilor, criterii de acceptare, prioritizarea controalelor în funcție de nivelul de risc reținut.
Managementul activelor și clasificarea informației
Inventarul activelor informaționale și tehnice, schemă de clasificare, reguli de marcare, manipulare și păstrare, tratarea datelor sensibile.
Securitatea resurselor umane și conștientizare
Verificări înainte de angajare, clauze contractuale, program de conștientizare, obligații la mobilitate și la plecare, gestionarea accesurilor privilegiate ale personalului.
Securitate fizică și de mediu
Zone securizate, control al accesului în spațiile tehnice, protecția echipamentelor, alimentare și climatizare, casarea suporturilor.
Controale tehnice și exploatare
Gestionarea accesurilor și a autentificării, întărirea configurațiilor, gestionarea corecțiilor, jurnalizare și supraveghere, protecție împotriva codurilor malițioase, criptare.
Securitatea comunicațiilor și a mediului cloud
Segmentare rețea, filtrare și pasarele, schimburi cu terții, cerințe aplicabile serviciilor găzduite și localizării datelor.
Achiziție, dezvoltare și mentenanță
Cerințe de securitate în proiecte, revizuiri de cod și teste, separarea mediilor, gestionarea schimbărilor și a punerilor în producție.
Terți și lanțul de subcontractare
Calificarea furnizorilor, cerințe contractuale, urmărirea nivelurilor de servicii de securitate, controlul accesurilor la distanță, reversibilitate.
Incidente, continuitate și îmbunătățire
Detectarea și calificarea incidentelor, raportare către autoritățile competente, planuri de continuitate și de recuperare, exerciții, lecții învățate și revizuire periodică a controalelor.
O versiune scurtă a cadrului de referință, cu undefined întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 10 domenii tematice și undefined întrebări.
Întrebări frecvente
Acest diagnostic eliberează un atestat de conformitate cu reglementul?
Nu. Datamensio măsoară maturitatea practicilor dumneavoastră și pregătește revizuirea de conformitate. Evaluarea conformității revine reglementatorului sau entității de audit desemnate pentru sectorul dumneavoastră.
Care este diferența între un diagnostic de maturitate și un audit de conformitate?
Auditul se încheie, control cu control, cu un decalaj sau o conformitate. Diagnosticul situează fiecare practică pe o scară progresivă și indică acțiunea care permite urcarea unui nivel. Diagnosticul pregătește auditul și permite eșalonarea programului, auditul validează.
Suntem deja certificați ISO 27001. Diagnosticul prezintă interes?
Da. Reglementul împărtășește o parte din logica ISO 27001, dar adaugă cerințe proprii, în special privind clasificarea informației, raportarea incidentelor către autorități și lanțul de subcontractare. Diagnosticul evidențiază acest decalaj, în loc să refacă munca deja realizată.
Cât timp durează evaluarea?
Versiunea scurtă se completează în 20 până la 30 de minute. Versiunea completă, în mod colaborativ cu mai mulți contribuitori, se derulează în general pe o săptămână până la două săptămâni, cea mai mare parte a timpului fiind dedicată colectării datelor de la echipele tehnice și operaționale.
Se poate adapta cadrul de referință la reglementatorul nostru sectorial?
Da. Întrebările, nivelurile și domeniile tematice pot fi modificate, și puteți adăuga cerințele proprii autorității dumneavoastră de tutelă. Inteligența artificială construiește de asemenea o variantă pornind de la politicile dumneavoastră interne. Controlul asupra cadrului de referință vă aparține.
Cum se compară mai multe entități ale grupului?
Evaluările realizate pe același cadru de referință se compară între unitățile de afaceri și în timp. O foaie de parcurs transversală consolidează decalajele mai multor entități și regrupează acțiunile redundante, ceea ce evită finanțarea de două ori a aceluiași șantier.
Este necesară o expertiză tehnică pentru a răspunde?
Întrebările vizează practicile de management și stadiul implementării controalelor, nu configurațiile. Unele necesită aportul unui corespondent tehnic sau al responsabilului local: modul colaborativ permite atribuirea acestor întrebări persoanei potrivite.
Unde sunt găzduite datele diagnosticului?
În Franța, la OVH, cu salvare de rezervă la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de inteligență artificială utilizate pot fi selectate, inclusiv dintre soluțiile europene.