Zrelost BCEAO · Varnost informacijskih sistemov in upravljanje tveganj, povezanih z IS
Vaše prakse varovanja IS, umeščene na direktivo BCEAO in prevedene v akcijski načrt s stroškovno oceno.
10 tematskih področij, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost BCEAO · Varnost informacijskih sistemov in upravljanje tveganj, povezanih z IS
10 tematskih področij, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika Direktiva BCEAO o upravljanju tveganj, povezanih z informacijskimi sistemi kreditnih institucij, finančnih družb in decentraliziranih finančnih sistemov UMOA je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (raven, višja raven in dejanje, ki ju povezuje) spremeni ugotovitev v pot napredovanja.
Ali se pravice dostopa do občutljivih aplikacij periodično pregledujejo?
- N1
Noben organiziran pregled ne obstaja. Pravice se dodelijo ob odprtju računa in se kasneje ne preverjajo.
- N2
Pregledi potekajo ob presoji ali reorganizaciji, na nekaj aplikacijah, brez določenega urnika ali oblike.
- N3
Periodični pregled je načrtovan in zajema občutljive aplikacije. Lastniki potrdijo pravice, vrzeli pa se odpravijo.
- N4
Pregled je sistematičen na celotnem področju, sledljiv, z nadzorom odvzemov do njihove izvedbe in kontrolo druge stopnje.
- N5
Pregledi so podprti z orodji in napajani s kadrovskimi spremembami, ponavljajoče se vrzeli se analizirajo in odpravljajo pri viru, pravila dodeljevanja pa se ustrezno spreminjajo.
Dejanje za prehod z N2 na N3
Vzpostaviti seznam občutljivih aplikacij z njihovim poslovnim lastnikom, določiti polletni pregled pravic dostopa, vpisan v koledar stalne kontrole, ter zahtevati poimensko potrditev pravic skupaj z rokom za odvzem neupravičenih dostopov.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritevna BCEAO.
O čem govori ta referenčni okvir
Direktiva BCEAO o upravljanju tveganj, povezanih z informacijskimi sistemi, velja za kreditne institucije, finančne družbe in decentralizirane finančne sisteme Zahodnoafriške denarne unije. Zahteva okvir upravljanja IS, ki ga odobri upravni organ, politiko varovanja informacij, popis informacijskih sredstev in tveganj, funkcijo varovanja, ki je ločena od operativnih ekip, obvladovanje informacijskih izvajalcev, upravljanje incidentov z obveščanjem nadzornika ter neprekinjeno delovanje informacijskih sistemov. Nadzor nad izpolnjevanjem teh zahtev izvaja bančna komisija UMOA.
V praksi je sistem težko voditi, ker sega čez več oddelkov. Politika varovanja večinoma obstaja, vendar je njena razdelava v izvedljive postopke in preverljive kontrole pogosto nepopolna. Konkretna vprašanja se vedno znova pojavljajo: ali popis informacijskih sredstev zajema poslovne aplikacije, gostovane pri tretjih osebah, ali le interni podatkovni center? Ali se pravice dostopa pregledujejo ob določenih rokih, ali le ob odhodu zaposlenega? Ali se varnostni incidenti opredeljujejo po zapisanih merilih, ki omogočajo odločitev o obveščanju, ali se obravnavajo kot navadni operativni incidenti?
Rast digitalnih finančnih storitev v uniji je premaknila težišče tveganja. Elektronski denar, interoperabilnost plačil in vse večja odvisnost od regionalnih ali mednarodnih izvajalcev izpostavljajo institucije, katerih informacijska organizacija je bila zasnovana za model poslovalnic. Pogosto zmedo velja razjasniti: direktiva ni omejena na tehnično varnost. Nanaša se na upravljanje informacijskega tveganja, katerega del je varnost, poleg upravljanja sprememb, zunanjega izvajanja in neprekinjenega delovanja.
Diagnostika zrelosti odgovarja na drugačno vprašanje kot preverjanje skladnosti. Preverjanje skladnosti sprašuje, ali je zahteva izpolnjena, da ali ne, in se zaključi z ugotovitvijo. Diagnostika umesti vsako prakso na postopno lestvico in določi natančno dejanje, ki omogoči prehod na višjo raven. Oba pristopa se dopolnjujeta: diagnostika pripravi na presojo bančne komisije in na pregled notranje kontrole, ne nadomešča ju.
V Datamensiu je referenčni okvir pripravljen za takojšnjo uporabo in se v nespremenjeni obliki uvede na več subjektih. Lahko ga tudi prilagodite: UI prilagodi tematska področja, preoblikuje vprašanja glede na vašo organizacijo, izpopolni ravni ali izdela različico na podlagi vaše politike varovanja in obstoječih postopkov.
Referenčni standard: Direktiva BCEAO o upravljanju tveganj, povezanih z informacijskimi sistemi kreditnih institucij, finančnih družb in decentraliziranih finančnih sistemov UMOA
Ocenjevana tematska področja
Upravljanje informacijskih sistemov
Odobritev okvira s strani upravnega organa, informacijska strategija, usklajena s strategijo institucije, poseben odbor, vloge in odgovornosti, dodeljena sredstva.
Politika varovanja informacij
Formalizirana in potrjena politika, razdelava v postopke, zajeto področje, pogostost pregledovanja, posredovanje poslovnim enotam.
Popis sredstev in ocena tveganj IS
Popis informacijskih in aplikativnih sredstev, razvrstitev, prepoznavanje ranljivosti, metoda ocenjevanja, razvrščanje in sprejemanje preostalih tveganj.
Upravljanje identitet in dostopov
Dodeljevanje in odvzem pravic, povlaščeni računi, ločitev nalog, periodični pregled pravic dostopa, sledljivost dostopov.
Varnost delovanja in omrežij
Utrjevanje nastavitev, upravljanje popravkov, segmentacija, zaščita delovnih postaj in strežnikov, preverjene varnostne kopije in obnovitve, beleženje dogodkov.
Upravljanje sprememb in informacijskih projektov
Postopek uvajanja v produkcijo, ločena okolja, testiranja in prevzemi, upoštevanje varnosti že pri zasnovi, upravljanje različic in vračanja.
Zunanje izvajanje in informacijski izvajalci
Popis zunanje izvedenih storitev, varnostne in revizijske klavzule, ravni storitev, reverzibilnost, nadzor nad kritičnimi izvajalci in gostovanjem.
Upravljanje varnostnih incidentov
Odkrivanje, opredelitev in razvrstitev incidentov, roki in postopki obveščanja nadzornega organa, analiza vzrokov, pridobivanje izkušenj.
Neprekinjeno delovanje informacijskega sistema
Načrt informacijske pomoči v sili, cilji obnovitve, nadomestno mesto, periodična testiranja in pridobljena spoznanja, povezava z načrtom neprekinjenega poslovanja.
Kontrola, presoja in ozaveščanje
Stalni nadzor nad področjem IS, presoje informacijskih sistemov, spremljanje priporočil, kazalniki, posredovani vodstvu, usposabljanje in ozaveščanje zaposlenih.
Krajša različica referenčnega okvira je na voljo za spletno samoocenjevanje.
Pogosta vprašanja
Ali ta direktiva omogoča pridobitev certifikata?
Ne. Gre za bonitetni predpis, katerega izpolnjevanje nadzoruje bančna komisija UMOA, ne pa za standard, ki bi ga certificiral akreditiran organ. Datamensio meri zrelost vašega sistema in pripravlja na presojo nadzornika, ne izdaja pa nobenega potrdila.
Kakšna je razlika med to diagnostiko in preverjanjem skladnosti?
Preverjanje skladnosti ugotavlja, ali je zahteva izpolnjena, in se zaključi z ugotovitvijo. Diagnostika umesti prakso na lestvico zrelosti in določi dejanje, ki omogoči napredovanje za eno raven. Prinese pot napredovanja, medtem ko preverjanje skladnosti prinese stanje.
Koliko časa traje ocenjevanje?
Kratka različica se izpolni v eni delovni seji. Celovita različica, izvedena skupno z vodjo informacijskih sistemov, varnostnim vodjo, notranjo kontrolo in poslovnimi enotami, običajno traja od enega do dveh tednov, pri čemer večino časa zavzame zbiranje dokazov.
Ali je referenčni okvir mogoče prilagoditi naši instituciji?
Da. Vprašanja in ravni lahko spremenite, dodate lastna tematska področja ali izhajate iz svojih postopkov. UI izdela različico na podlagi vaše politike varovanja, kar je koristno za decentraliziran finančni sistem, katerega organizacija se razlikuje od polnopravne banke.
Ali je mogoče primerjati več podružnic skupine?
Da. Isti referenčni okvir se uvede na vsakem subjektu, z oceno po tematskih področjih in primerjavo med poslovnimi enotami ter s predhodnimi kampanjami. Skupni načrt poti združuje akcijske načrte podružnic in zbira skupna dejanja.
Kako se ta diagnostika povezuje z notranjo kontrolo in NND?
Zahteve se v veliki meri prekrivajo: informacijska neprekinjenost, zunanje izvajanje, stalna kontrola. Rezultati so uporabni med različnimi referenčnimi okviri, skupni načrt poti pa omogoča povezovanje diagnostik brez podvajanja dejanj.
Ali je za odgovarjanje potrebno tehnično znanje?
Vprašanja se nanašajo na prakse upravljanja in vodenja, ne na tehnične nastavitve. Nekatera zahtevajo vključitev tehničnega sodelavca: skupni način dela omogoča dodelitev teh vprašanj ustrezni osebi.
Kje so podatki gostovani?
V Franciji, pri OVH, z varnostno kopijo pri Scalewayu. Noben prenos zunaj Evropske unije. Uporabljene modele UI je mogoče izbrati, tudi med evropskimi rešitvami.