Zrelost varnosti informacijskih sistemov · Pravilnik COBAC o varnosti IS
Vaša varnost IS, ocenjena po zahtevah COBAC, prevedena v ovrednoten akcijski načrt.
10 tematskih področij, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost varnosti informacijskih sistemov · Pravilnik COBAC o varnosti IS
10 tematskih področij, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika Pravilnik COBAC o varnosti informacijskih sistemov zavezanih institucij (Bančna komisija Centralne Afrike, CEMAC) je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (raven, višja raven in ukrep, ki ju povezuje) ugotovitev spremeni v smer razvoja.
Ali se pooblastila za dostop do občutljivih aplikacij periodično pregledujejo?
- N1
Noben pregled ni organiziran. Pravice se dodelijo ob nastopu dela in se redko odvzamejo ob premestitvah ali odhodih.
- N2
Pregledi potekajo priložnostno, ob presoji ali incidentu. Obseg in metoda se razlikujeta.
- N3
Pregled je načrtovan ob stalnem roku za občutljive aplikacije. Nosilci poslovnih področij potrjujejo pravice svojih ekip, vrzeli pa se odpravijo.
- N4
Pregled zajema vse aplikacije, vključno s privilegiranimi računi in računi izvajalcev. Rezultati so beleženi in sporočeni stalni kontroli.
- N5
Ponavljajoče se vrzeli napajajo revizijo profilov in postopkov za pooblastila, z dokumentiranim spremljanjem revizij in kazalniki, predstavljenimi organu upravljanja.
Ukrep za prehod z N2 na N3
Določite polletni koledar pregledov za seznam občutljivih aplikacij, za vsako imenujte poslovnega potrjevalca in uvrstite poročilo o vrzelih na dnevni red naslednjega odbora za notranjo kontrolo.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritevna COBAC.
O čem govori ta referenčni okvir
Pravilnik COBAC o varnosti informacijskih sistemov zavezanim institucijam na območju CEMAC nalaga formaliziran sistem obvladovanja informacijskega tveganja. Zajema upravljanje IS in odgovornost organa upravljanja, varnostno politiko, klasifikacijo sredstev in podatkov, upravljanje dostopov in pooblastil, varnost infrastrukture in aplikacij, neprekinjeno poslovanje in okrevanje po incidentu, obravnavo varnostnih incidentov in njihovo prijavo Bančni komisiji ter nadzor nad informacijskimi izvajalci. Dopolnjujeta ga periodični nadzor in poročanje nadzorniku.
V praksi je zahtevo lažje izreči kot izvajati. Institucije v podregiji pogosto združujejo starejše bančno jedro, zunanje izvajanje plačilnih kartic, novejše kanale digitalnega bančništva in poslovalnice s heterogenimi povezavami. Dosledno se pojavljajo tri vprašanja. Ali se varnostna politika dejansko izvaja v podružnicah in poslovalnicah, ali je le potrjena na sedežu? Ali se pooblastila pregledujejo ob stalnih rokih, vključno z računi izvajalcev in privilegiranimi računi? Ali je bil načrt neprekinjenega poslovanja preizkušen na realnem scenariju, z zapisnikom, uporabnim za periodični nadzor?
Razjasniti velja dve pogosti zamenjavi. Prva je enačenje skladnosti s pravilnikom z obstojem informacijskega proračuna in požarnega zidu: besedilo se nanaša na sistem obvladovanja, torej na vloge, postopke, dokaze in preglede, ne na seznam opreme. Druga je obravnavanje varnosti IS kot izključno tehnične teme, medtem ko pravilnik zavezuje organ upravljanja in se povezuje s sistemi notranje kontrole, operativnega tveganja in zunanjega izvajanja, ki jih COBAC že zahteva. Zemljevid informacijskih tveganj se mora brati znotraj zemljevida tveganj institucije.
Presoja skladnosti se zaključi z binarno ugotovitvijo: zahteva je izpolnjena ali ni. Diagnostika zrelosti odgovarja na drugo vprašanje. Vsako prakso umesti na postopno lestvico, od priložnostnega ukrepa do upravljanega in rednega pregledovanega sistema, ter pokaže natančen ukrep, ki omogoči prehod na višjo raven. Takšen pogled potrebuje poslovodstvo, ki mora med več projekti v istem poslovnem letu razporediti sredstva in svoje prioritete utemeljiti pred odborom za revizijo.
Referenčni okvir je v Datamensio pripravljen za takojšnjo uporabo in ga je mogoče prilagoditi. UI prilagodi tematska področja, vprašanja in ravni vašemu profilu, komercialni banki, mikrofinančni instituciji ali plačilni instituciji, ali pa na podlagi vaše varnostne politike in poročil nadzora pripravi prilagojeno različico. Ugotovljene vrzeli neposredno napajajo prioritiziran načrt poti, ki ga je mogoče konsolidirati za več poslovnih enot skupine.
Referenčni standard: Pravilnik COBAC o varnosti informacijskih sistemov zavezanih institucij (Bančna komisija Centralne Afrike, CEMAC)
Ocenjevana tematska področja
Upravljanje informacijskega sistema
Vključenost organa upravljanja in izvršnega organa, potrjena strategija IS, posebni odbor, vloge in odgovornosti, imenovanje in položaj vodje varnosti, dodeljena sredstva.
Varnostna politika in dokumentacijski sklop
Formalizirana in potrjena varnostna politika, izvedbeni postopki, zajeto področje, posredovanje enotam in podružnicam, cikel pregledovanja.
Zemljevid sredstev in informacijskih tveganj
Popis sredstev in aplikacij, klasifikacija podatkov, prepoznavanje ranljivosti, ocena tveganj, povezanost z zemljevidom operativnih tveganj.
Upravljanje identitet in pooblastil
Dodeljevanje in odvzem pravic, ločevanje nalog, privilegirani računi, računi izvajalcev, avtentikacija, periodični pregled pooblastil in sledljivost.
Varnost infrastrukture in aplikacij
Zavarovanje omrežij in delovnih postaj, segmentacija, šifriranje, upravljanje popravkov, varnost kanalov digitalnega bančništva in plačilnih kartic, penetracijski testi.
Obratovanje in upravljanje sprememb
Obratovalni postopki, upravljanje uvajanja v produkcijo, ločena testna okolja, preverjene varnostne kopije in obnovitve, beleženje dogodkov in nadzor.
Neprekinjeno poslovanje in okrevanje po incidentu
Načrt neprekinjenega poslovanja in informacijski načrt pomoči, nadomestna lokacija, cilji okrevanja, preizkušeni scenariji, zapisniki vaj, posodobitev po preizkusu.
Obravnava varnostnih incidentov
Zaznavanje in opredelitev, evidenca incidentov, roki za obravnavo, prijava Bančni komisiji, analiza vzrokov, pridobljene izkušnje.
Izvajalci in zunanje izvajanje informacijskih storitev
Pogodbene določbe o varnosti in presoji, reverzibilnost, ravni storitev, nadzor nad izvajalci upravljanja infrastrukture in plačilnih kartic, lokacija in dostop do podatkov.
Nadzor, poročanje in nenehno izboljševanje
Pokritost IS s stalno in periodično kontrolo, spremljani kazalniki, poročanje organu upravljanja in nadzorniku, spremljanje priporočil, ozaveščanje zaposlenih.
Krajša različica referenčnega okvira je na voljo za spletno samoocenjevanje.
Pogosta vprašanja
Ali pravilnik COBAC o varnosti IS vodi do certifikacije?
Ne. Gre za bonitetni pravilnik, katerega izpolnjevanje preverja Bančna komisija Centralne Afrike prek poročanja in presoj. Datamensio meri zrelost vašega sistema in pripravlja na te roke, ne izdaja pa nobenega potrdila.
Kakšna je razlika med to diagnostiko in presojo skladnosti?
Presoja se zaključi zahtevo za zahtevo, izpolnjena ali ne. Diagnostika vsako prakso umesti na lestvico zrelosti in pokaže ukrep za prehod na višjo raven. Oba pristopa se dopolnjujeta: diagnostika pripravi presojo in razvrsti projekte po prioriteti, presoja pa potrdi stanje.
Koliko časa traja ocenjevanje?
Kratka različica se izpolni v eni delovni seji. Celovita različica, v sodelovalnem načinu s službo IS, vodjo varnosti in notranjo kontrolo, običajno traja od enega do dveh tednov, pri čemer večino časa vzame zbiranje dokazov pri ekipah.
Ali je referenčni okvir mogoče prilagoditi mikrofinančni ali plačilni instituciji?
Da. Tematska področja, vprašanja in ravni se lahko spremenijo, UI pa na podlagi vaših internih dokumentov pripravi različico, prilagojeno vaši velikosti in profilu dejavnosti. Referenčni okvir ostane vaša last.
Kako obravnavati več podružnic v različnih državah območja?
Vsaka enota izvede ocenjevanje po istem referenčnem okviru. Ocene so primerljive po poslovnih enotah in skozi čas, skupni načrt poti pa konsolidira skupne ukrepe, ne da bi jih podvajal za vsako enoto posebej.
Ali je za odgovarjanje potrebno tehnično znanje?
Vprašanja se nanašajo na sistem obvladovanja, ne na konfiguracije. Vodja notranje kontrole lahko izpolni velik del referenčnega okvira. Sodelovalni način omogoča dodelitev tehničnih vprašanj pristojnemu sogovorniku.
Kako se ta diagnostika povezuje z notranjo kontrolo in operativnim tveganjem?
Zahteve se v veliki meri prekrivajo: zemljevid tveganj, sistem kontrole, obravnava incidentov, nadzor nad izvajalci. Ocenjevanja, izvedena po teh referenčnih okvirih, se združijo v en sam načrt poti, kar prepreči podvajanje istega ukrepa.
Kje so gostovani podatki?
V Franciji, pri OVH, z varnostno kopijo pri Scaleway. Brez prenosa podatkov izven Evropske unije. Uporabljene modele UI je mogoče izbrati, tudi med evropskimi rešitvami.