Zrelost ISO/IEC 27000 · Sistemi upravljanja informacijske varnosti (SMSI)
Vaš sistem upravljanja informacijske varnosti, umeščen na družino ISO 27000 in preveden v akcijski načrt.
10 tematskih področij, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost ISO/IEC 27000 · Sistemi upravljanja informacijske varnosti (SMSI)
10 tematskih področij, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika ISO/IEC 27000:2018 (družina ISO/IEC 27000) je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (stopnja, višja stopnja in ukrep, ki ju povezuje) spremeni ugotovitev v pot naprej.
Ali se izjava o uporabnosti redno posodablja in je skladna z dejansko vzpostavljenimi ukrepi?
- N1
Ni uporabne izjave o uporabnosti. Vzpostavljeni ukrepi niso povezani s seznamom referenčnih kontrol.
- N2
Izjava obstaja in je bila pripravljena ob prvotni dokumentaciji. Od takrat ni bila pregledana in več navedb ne ustreza več dejanskemu stanju.
- N3
Izjava se redno pregleduje, vsak sprejet ali izločen ukrep ima utemeljitev in določenega odgovornega.
- N4
Pregledi so sistematični in temeljijo na oceni tveganj ter notranjih presojah. Ugotovljene vrzeli sprožijo sledljiv ukrep.
- N5
Izjava se posodobi ob vsaki spremembi področja uporabe ali tveganjskega konteksta, z zgodovino različic in razlogov za spremembe.
Ukrep za prehod z N2 na N3
Skupaj z odgovornimi osebami po posameznih ukrepih pregledati izjavo o uporabnosti, za vsak ukrep zapisati utemeljitev in nosilca ter njen pregled vključiti v polletni vodstveni pregled.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritevna ISO 27000.
O čem govori ta referenčni okvir
ISO/IEC 27000 je vstopni standard družine, namenjene informacijski varnosti. Opredeljuje izraze in načela, ki jih delijo ISO 27001 za zahteve, ISO 27002 za ukrepe, ISO 27005 za tveganja in pripadajoča panožna besedila. Opisuje, kaj je SMSI: opredeljeno področje uporabe, politiko, ki jo podpira vodstvo, oceno tveganj, nabor izbranih in utemeljenih ukrepov, dokaze o delovanju, preglede in nenehne izboljšave. Sam po sebi se ne presoja, daje pa okvir za branje celote.
V praksi je SMSI težko obvladovati, ker prečka celotno organizacijo. Ali razglašeno področje uporabe še vedno ustreza dejanskim dejavnostim po reorganizacijah in novih digitalnih storitvah? Ali izjava o uporabnosti odraža dejansko vzpostavljene ukrepe ali namere, podedovane iz prvotne dokumentacije za certificiranje? Ali vodstveni pregledi prinašajo sledljive odločitve ali zgolj zapisnik seje? Ta vprašanja se redko postavljajo na istem mestu in nihče nima celotnega odgovora.
Razjasniti velja pogosto zmedo: družina ISO 27000 ni kup konkurenčnih standardov. ISO 27000 daje besednjak, ISO 27001 nosi zahteve, ki jih je mogoče certificirati, ISO 27002 ponuja katalog ukrepov, od različice 2022 razvrščenih v štiri teme, ISO 27005 obravnava oceno tveganj. Zrel SMSI zna povedati, kateri standard v njegovem sistemu čemu služi. Mnoge organizacije uporabljajo besednjak ISO 27000, ne da bi te gradnike med seboj uskladile.
Diagnostika zrelosti odgovarja na drugačno vprašanje kot presoja skladnosti. Presoja se zaključi z vrzeljo, manjšo ali večjo neskladnostjo ali skladnostjo. Diagnostika umesti vsako prakso na postopno lestvico in pokaže ukrep, ki omogoči prehod na naslednjo stopnjo. Ne podeljuje nobenega certifikata: meri dejansko stanje sistema in pripravlja na presojo, pri čemer pokaže, kje bo SMSI zdržal in kje ne.
V Datamensiu je referenčni okvir pripravljen za takojšnjo uporabo in ostaja prilagodljiv. UI prilagodi tematska področja, preoblikuje vprašanja in izpopolni stopnje po metodi CMMI, lahko pa tudi zgradi različico na podlagi vaših lastnih dokumentov: varnostne politike, izjave o uporabnosti, zapisnikov pregledov.
Referenčni standard: ISO/IEC 27000:2018 (družina ISO/IEC 27000)
Ocenjevana tematska področja
Kontekst in področje uporabe SMSI
Opredelitev področja uporabe, zajetih dejavnosti in lokacij, vmesnikov in odvisnosti, prepoznavanje deležnikov in njihovih zahtev.
Vodenje in politika
Zavezanost vodstva, formalizirana in objavljena politika informacijske varnosti, dodeljene vloge in odgovornosti, dodeljeni viri.
Ocena in obravnava tveganj
Metoda ocenjevanja, merila ocenjevanja in sprejemanja, načrt obravnave, izjava o uporabnosti ter utemeljitev sprejetih ali izločenih ukrepov.
Organizacijski ukrepi
Upravljanje sredstev, razvrščanje informacij, upravljanje dostopov, odnosi z dobavitelji, pogodbene zahteve in varnostne klavzule.
Varnost osebja
Preverjanja pred zaposlitvijo, ozaveščanje in usposabljanje, zaveze o zaupnosti, postopki ob odhodu in mobilnosti, delo na daljavo.
Fizična in okoljska varnost
Varovana območja, nadzor fizičnih dostopov, zaščita opreme, upravljanje nosilcev podatkov in njihova odstranitev.
Tehnološki ukrepi
Utrjevanje konfiguracij, beleženje dogodkov in nadzor, upravljanje ranljivosti in popravkov, kriptografija, varnostne kopije, varnost razvoja.
Obvladovanje incidentov in neprekinjeno poslovanje
Odkrivanje in opredelitev, postopki odzivanja, obveščanje zadevnih deležnikov, zbrane izkušnje, neprekinjeno poslovanje in z njim povezano testiranje.
Dokumentacija in dokazi
Obvladovanje dokumentiranih informacij, upravljanje različic, hramba zapisov, sledljivost varnostnih odločitev.
Nadzor, pregled in izboljševanje
Kazalniki učinkovitosti, notranje presoje, vodstveni pregledi, obravnava neskladnosti, korektivni ukrepi in spremljanje skozi čas.
Krajša različica referenčnega okvira obsega 27 vprašanj in je na voljo za spletno samoocenjevanje.
Pogosta vprašanja
Ali se ISO 27000 certificira?
Ne. ISO/IEC 27000 določa besednjak in načela družine. Certificiranje zadeva ISO/IEC 27001, za katerega ISO 27000 daje okvir za branje. Diagnostika meri zrelost vašega SMSI in pripravlja na presojo, ne podeljuje pa nobenega certifikata.
Kakšna je razlika med to diagnostiko in presojo skladnosti?
Presoja preverja prisotnost zahtev in se zaključi s skladnostjo ali vrzeljo. Diagnostika umesti vsako prakso na lestvico zrelosti in pokaže ukrep za napredovanje. Oba pristopa se dopolnjujeta: diagnostika pripravlja, presoja potrjuje.
Koliko časa traja ocenjevanje?
Kratka različica se izpolni v eni sami delovni seji. Celovita različica, v sodelovalnem načinu z več sodelujočimi, traja od enega do dveh tednov, pri čemer večino časa vzame zbiranje podatkov pri ustreznih ekipah.
Ali je treba biti že certificiran za uporabo tega referenčnega okvira?
Ne. Namenjen je tako organizacijam, ki gradijo svoj SMSI, kot tistim, ki so že certificirane in želijo med dvema presojama objektivno oceniti dejansko stopnjo ali razširiti področje uporabe.
Ali je referenčni okvir mogoče prilagoditi naši organizaciji?
Da. Vprašanja, stopnje in tematska področja lahko spremenite ali začnete iz prazne osnove. UI lahko tudi zgradi različico na podlagi vaše varnostne politike in izjave o uporabnosti. Obvladovanje referenčnega okvira ostaja v vaših rokah.
Kako primerjati več enot?
Vsaka poslovna enota opravi isto diagnostiko. Ocene po tematskih področjih se primerjajo med enotami in s predhodnimi ocenjevanji. Presečni načrt poti združuje presoje in skupne ukrepe.
Kako se ta diagnostika povezuje z NIS 2 ali DORA?
Ta besedila v veliki meri temeljijo na enakih načelih upravljanja varnosti. Ocenjen SMSI predstavlja temelj, ki ga je mogoče ponovno uporabiti. Presečni načrt poti omogoča prekrivanje referenčnih okvirov brez podvajanja ukrepov.
Kje so shranjeni podatki?
V Franciji, pri OVH, z varnostno kopijo pri Scaleway. Brez prenosa podatkov zunaj Evropske unije. Uporabljene modele UI je mogoče izbrati, tudi med evropskimi rešitvami.