Zrelost · Emirska uredba o varovanju informacij
Vaš sistem varovanja informacij v Združenih arabskih emiratih, izmerjen po kontroli in preveden v številčno ovrednoten akcijski načrt.
10 tematskih področij, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost · Emirska uredba o varovanju informacij
10 tematskih področij, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika UAE Information Assurance Regulation (TDRA / Signature Trust Standard), različica 1.1 je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (raven, višja raven in dejanje, ki ju povezuje) ugotovitev spremeni v pot razvoja.
Ali so informacijska sredstva klasificirana in obravnavana v skladu z določeno shemo?
- N1
Veljavna shema klasifikacije ne obstaja. Dokumenti in podatki krožijo brez dodeljene ravni.
- N2
Shema obstaja v politiki, vendar se klasifikacija uporablja le za nekaj dokumentnih zbirk, pravila ravnanja pa poslovnim enotam ostajajo neznana.
- N3
Sredstva v obsegu so klasificirana, pravila ravnanja so razširjena in se na splošno uporabljajo. Vrzeli so posamične.
- N4
Klasifikacijo vodijo lastniki sredstev, pregleduje se ob vsaki spremembi in je orodno podprta v prostorih za shranjevanje in sporočanje. Kršitve se sledijo in obravnavajo.
- N5
Shema se periodično revidira glede na razvoj zakonodaje in ugotovljene incidente, z dokumentiranim spremljanjem revizij in vzorčnim nadzorom.
Dejanje za prehod z ravni 2 na raven 3
Dodelite lastnika vsakemu sredstvu v obsegu, poskrbite za klasifikacijo preostalih sredstev ob četrtletnem pregledu tveganj in vključite pravila ravnanja v program ozaveščanja novih zaposlenih.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritev
O čem govori ta referenčni okvir
Emirska uredba o varovanju informacij (Information Assurance Regulation) je nacionalni okvir za varnost informacij Združenih arabskih emiratov, ki ga vodi regulativni organ za telekomunikacije in digitalno vlado. Vzpostavlja nabor kontrol, razdeljenih med vodstvene in tehnične kontrole, od katerih ima vsaka določeno stopnjo prioritete. Entitete v sektorjih, opredeljenih kot kritični, jo morajo uporabljati in dokazati njeno izvajanje, pri čemer izhajajo iz pristopa, temelječega na tveganjih, in opredeljenega obsega sistemov in sredstev.
V praksi je vodenje bolj zahtevno kot branje besedila. Kontrol je veliko in se prekrivajo s tistimi, ki so že vzpostavljene na podlagi standarda ISO 27001 ali politik skupine. Trikrat se ponovi isto vprašanje: kakšen je natančen obseg zadevnih sistemov v emirski entiteti, kdo je odgovoren za posamezno kontrolo med lokalno hčerinsko družbo in matično družbo, in na katerih dokazih temeljijo izjave o izvajanju, ko regulator ali sektorska entiteta zahteva presojo. Brez dokumentiranega odgovora stanje napredka ostaja zgolj deklarativno.
Pogosta zmeda, ki jo velja razjasniti: uredba o varovanju informacij ni lokalna različica standarda ISO 27001, čeprav deli njegovo logiko in del besedišča. Dodaja zahteve, specifične za nacionalni kontekst, zlasti glede klasifikacije informacij, poročanja o incidentih organom oblasti in varnosti dobaviteljskih verig. Poleg tega je več sektorskih regulatorjev in organov posameznih emiratov na tej osnovi zgradilo lastne okvire: entiteta je lahko tako zavezana nacionalni uredbi in lokalnemu okviru, z različnimi pričakovanji glede dokazov.
Presoja skladnosti se zaključi z vrzeljo ali skladnostjo za vsako kontrolo posebej. Diagnostika zrelosti odgovarja na drugo vprašanje: na kateri ravni obvladovanja je posamezna praksa in katero natančno dejanje omogoči prehod na višjo raven. Prav ta razlika omogoča razporeditev programa na več poslovnih let, primerjavo entitet med seboj in številčno ovrednotenje preostalega napora, namesto zgolj ugotavljanja neskladnosti.
V Datamensiu je referenčni okvir pripravljen za takojšnjo uporabo, njegov nadzor pa ostane v vaših rokah. UI prilagodi tematska področja, vprašanja in ravni obsegu vaše emirske entitete ali zgradi različico na podlagi vaših internih politik in zahtev vašega sektorskega regulatorja. Ugotovljene vrzeli napajajo prioritiziran načrt poti, ki ga je mogoče združiti z drugimi kibernetskimi diagnostikami.
Referenčni standard: UAE Information Assurance Regulation (TDRA / Signature Trust Standard), različica 1.1
Ocenjevana tematska področja
Upravljanje varovanja informacij
Formalizirana in s strani vodstva potrjena politika, vloge in odgovornosti, krmilni odbor, usklajenost med hčerinsko družbo in upravljanjem skupine, dodeljevanje virov.
Obseg in obvladovanje tveganj
Opredelitev obsega zadevnih sistemov, metoda ocenjevanja tveganj, merila sprejemljivosti, prioritizacija kontrol glede na izbrano raven tveganja.
Upravljanje sredstev in klasifikacija informacij
Popis informacijskih in tehničnih sredstev, shema klasifikacije, pravila označevanja, ravnanja in hrambe, obravnava občutljivih podatkov.
Varnost kadrovskih virov in ozaveščanje
Preverjanja pred zaposlitvijo, pogodbene klavzule, program ozaveščanja, obveznosti ob premestitvi in odhodu, upravljanje privilegiranih dostopov zaposlenih.
Fizična in okoljska varnost
Varovana območja, nadzor dostopa do tehničnih prostorov, zaščita opreme, napajanje in klimatizacija, uničevanje nosilcev podatkov.
Tehnične kontrole in obratovanje
Upravljanje dostopov in avtentikacije, utrjevanje konfiguracij, upravljanje popravkov, beleženje in nadzor, zaščita pred zlonamerno kodo, šifriranje.
Varnost komunikacij in okolja v oblaku
Segmentacija omrežja, filtriranje in prehodi, izmenjava s tretjimi stranmi, zahteve za gostovane storitve in lokacijo podatkov.
Pridobivanje, razvoj in vzdrževanje
Varnostne zahteve v projektih, pregledi kode in testiranje, ločitev okolij, upravljanje sprememb in uvajanja v produkcijo.
Tretje strani in dobaviteljska veriga
Kvalifikacija dobaviteljev, pogodbene zahteve, spremljanje varnostnih ravni storitev, nadzor oddaljenih dostopov, reverzibilnost.
Incidenti, neprekinjeno poslovanje in izboljševanje
Zaznavanje in opredelitev incidentov, poročanje pristojnim organom, načrti neprekinjenega poslovanja in okrevanja, vaje, izkušnje in periodični pregled kontrol.
Krajša različica referenčnega okvira je na voljo za spletno samoocenjevanje.
Pogosta vprašanja
Ali ta diagnostika izda potrdilo o skladnosti z uredbo?
Ne. Datamensio meri zrelost vaših praks in pripravi presojo skladnosti. Presojo skladnosti izvede regulator ali presojevalni organ, pristojen za vaš sektor.
Kakšna je razlika med diagnostiko zrelosti in presojo skladnosti?
Presoja se za vsako kontrolo posebej zaključi z vrzeljo ali skladnostjo. Diagnostika umesti posamezno prakso na postopno lestvico in navede dejanje, ki omogoči prehod na višjo raven. Diagnostika pripravi presojo in omogoči razporeditev programa, presoja pa potrdi.
Že imamo certifikat ISO 27001. Ali ima diagnostika smisel?
Da. Uredba deli del logike standarda ISO 27001, vendar dodaja specifične zahteve, zlasti glede klasifikacije informacij, poročanja o incidentih organom oblasti in dobaviteljske verige. Diagnostika izpostavi to razliko, namesto da bi ponavljala že opravljeno delo.
Koliko časa traja ocenjevanje?
Kratka različica se izpolni v 20 do 30 minutah. Celovita različica, v sodelovalnem načinu z več sodelujočimi, se običajno razteza na enega do dva tedna, pri čemer večino časa zavzame zbiranje podatkov pri tehničnih in poslovnih ekipah.
Ali je referenčni okvir mogoče prilagoditi našemu sektorskemu regulatorju?
Da. Vprašanja, ravni in tematska področja je mogoče spreminjati, dodate pa lahko tudi zahteve, specifične za vaš nadzorni organ. UI prav tako zgradi različico na podlagi vaših internih politik. Nadzor nad referenčnim okvirom ostane v vaših rokah.
Kako primerjati več entitet skupine?
Presoje, izvedene na istem referenčnem okviru, se med poslovnimi enotami in skozi čas medsebojno primerjajo. Medentitetni načrt poti združi vrzeli več entitet in zbere podvojena dejanja, kar prepreči dvojno financiranje istega projekta.
Ali je za odgovarjanje potrebno tehnično znanje?
Vprašanja se nanašajo na prakse upravljanja in stanje izvajanja kontrol, ne na konfiguracije. Nekatera zahtevajo vključitev tehničnega sodelavca ali lokalnega odgovornega: sodelovalni način omogoča dodelitev teh vprašanj pravi osebi.
Kje so shranjeni podatki diagnostike?
V Franciji, pri ponudniku OVH, z varnostno kopijo pri Scalewayu. Brez prenosa izven Evropske unije. Uporabljene modele UI je mogoče izbrati, tudi med evropskimi rešitvami.