Zrelost ISO 27001 in ISO 27032 · Kibernetska varnost
Vaša varnost informacij, izmerjena po ISO 27001 in 27032, prevedena v ovrednoten akcijski načrt.
12 tematskih področij, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
12 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost ISO 27001 in ISO 27032 · Kibernetska varnost
12 tematskih področij, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika ISO/IEC 27001:2022 in ISO/IEC 27032:2012 je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 12 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (stopnja, višja stopnja in ukrep, ki ju povezuje) spremeni ugotovitev v pot napredka.
Ali izjava o uporabnosti odraža dejansko izvedene ukrepe?
- N1
Nobene formalizirane izjave o uporabnosti, ali dokument, izdelan enkrat in od takrat nikoli ponovno odprt.
- N2
Izjava obstaja in pokriva 93 ukrepov, vendar opisuje zaželeno stanje. Vrzeli z dejanskim izvajanjem niso opredeljene.
- N3
Vsak ukrep je povezan z obstoječo prakso in odgovorno osebo. Izključitve so utemeljene, dokument pa se pregleda vsaj enkrat letno.
- N4
Izjava se posodobi ob vsaki pomembnejši spremembi področja uporabe, tveganja ali organizacije, z zgodovino različic in pripadajočimi dokazi o izvajanju.
- N5
Izjava je povezana z načrtom obravnave tveganj in varnostnimi kazalniki. Vrzeli, ugotovljene pri notranji presoji, sprožijo sledljivo revizijo.
Ukrep za prehod z N2 na N3
Vsak ukrep priloge A soočiti z opaženo prakso, imenovati odgovorno osebo za vsak ukrep in zabeležiti vrzeli v načrtu obravnave. Pregled izjave o uporabnosti uvrstiti na dnevni red letnega vodstvenega pregleda.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritevna ISO 27001.
O čem govori ta referenčni okvir
ISO 27001 zahteva sistem upravljanja varovanja informacij: opredeljeno področje uporabe, analizo tveganj, izjavo o uporabnosti, ki utemelji vključitev ali izključitev vsakega od 93 ukrepov iz priloge A, merljive cilje, notranje presoje in vodstveni pregled. Različica 2022 je to prilogo prestrukturirala v štiri teme, organizacijsko, kadrovsko, fizično in tehnološko, ter uvedla nove ukrepe o spremljanju groženj, varnosti storitev v oblaku in zaščiti podatkov pri razvoju. ISO 27032 ni certifikacijski standard: opisuje prakse kibernetske varnosti, ki presegajo področje uporabe organizacije, usklajevanje med deležniki, varnost izpostavljenih aplikacij, izmenjavo informacij o incidentih.
Ta dva standarda je težko voditi, ker omogočata zgolj deklarativno izpolnjevanje. SUVI lahko obstaja na papirju in ne spremeni ničesar v vsakodnevnih praksah. Vprašanja, ki se resnično postavljajo, so konkretna: ali izjava o uporabnosti odraža dejansko izvedene ukrepe, ali stanje, zaželeno ob prvotni certifikaciji? Ali varnostni kazalniki napajajo odločitev, ali zgolj polnijo preglednico? Ali se ukrepi priloge A nanašajo na hčerinske družbe in ponudnike, ali samo na zgodovinsko področje sedeža? Ali vodstveni pregled proizvede sledljive odločitve, ali le zapisnik?
Prehod na ISO/IEC 27001:2022 je razkril pogosto zmedo: mnoge organizacije so posodobile izjavo o uporabnosti, ne da bi ponovno preverile osnovne prakse. Prehod s 114 na 93 ukrepov je naloga ujemanja, ne dokaz napredka. Še ena zmeda, ki jo je treba razjasniti: ISO 27032 ni razširjena različica standarda 27001. Obravnava vidik, ki ga 27001 slabo pokriva, varnost interakcij z deležniki, ki jih ne nadzorujete, dobavitelji, stranke, skupnosti za izmenjavo informacij o grožnjah. Oba se dopolnjujeta, eden z upravljanjem, drugi s kibernetskim prostorom.
Diagnostika zrelosti odgovarja na drugačno vprašanje kot certifikacijska presoja. Presoja se zaključi s skladnostjo ali odstopanjem, na danem področju, na dani datum. Diagnostika umesti vsako prakso na postopno lestvico in pokaže natančno ukrepanje, ki vodi na naslednjo stopnjo. Certificirana organizacija je lahko na skromni stopnji zrelosti pri upravljanju tretjih strani ali pri ozaveščanju. Necertificirana organizacija je lahko trdna pri delovanju. Ocena po tematskih področjih razkrije te vrzeli, preden jih opazi presojevalec.
V Datamensiu je referenčni okvir ISO 27001 in 27032 pripravljen za takojšnjo uporabo. Lahko ga tudi prilagodite: UI prilagodi tematska področja, vprašanja in stopnje zrelosti glede na vašo panogo in področje uporabe, ali pa izdela različico na podlagi vaših lastnih dokumentov, varnostne politike, izjave o uporabnosti, poročil notranje presoje.
Referenčni standard: ISO/IEC 27001:2022 in ISO/IEC 27032:2012
Ocenjevana tematska področja
Okvir, področje uporabe in upravljanje SUVI
Opredelitev notranjih in zunanjih vprašanj, pričakovanja zainteresiranih strani, dokumentirano in utemeljeno področje uporabe, varnostna politika, vloge in odgovornosti, zavezanost vodstva.
Ocena in obravnava tveganj
Metoda ocenjevanja, merila sprejemljivosti, načrt obravnave, izjava o uporabnosti in utemeljitev izključitev, potrditev preostalih tveganj.
Organizacijski ukrepi
Tematske politike, upravljanje sredstev, razvrščanje informacij, varnost v odnosih z dobavitelji, obvladovanje incidentov, neprekinjeno poslovanje, pravna skladnost.
Varnost kadrovskih virov
Preverjanje pred zaposlitvijo, pogodbene klavzule, ozaveščanje in usposabljanje, disciplinski postopek, upravljanje odhodov in notranjih premestitev.
Fizična in okoljska varnost
Varnostna območja in nadzor fizičnega dostopa, zaščita pred okoljskimi grožnjami, varnost opreme, delovnih postaj in nosilcev podatkov, varno odstranjevanje.
Tehnološki ukrepi
Upravljanje dostopov in identitet, zaščita pred zlonamerno kodo, beleženje dogodkov in nadzor, upravljanje tehničnih ranljivosti, kriptografija, varnost omrežij in storitev v oblaku.
Varnost razvoja in aplikacij
Varnostne zahteve v projektih, ločena okolja, testiranje, upravljanje sprememb, zaščita podatkov, uporabljenih pri razvoju in testiranju, varnost aplikacij, izpostavljenih na internetu.
Spremljanje groženj in izmenjava informacij
Uporabljeni viri obveščevalnih podatkov, operativna uporaba signalov, sodelovanje v panožnih mehanizmih izmenjave, usklajevanje z organi in CERT, osrednja tema ISO 27032.
Varnost ekosistema in tretjih strani
Mapiranje odvisnosti, pogodbene zahteve, ocenjevanje in spremljanje ponudnikov, varnost digitalne dobavne verige, upravljanje oddaljenih dostopov tretjih strani.
Obvladovanje incidentov in neprekinjeno poslovanje
Odkrivanje, razvrščanje, eskalacija, obravnava in analiza po incidentu, načrti neprekinjenega poslovanja in okrevanja, testi in vaje, pripravljenost zunanjih deležnikov.
Merjenje uspešnosti in notranja presoja
Varnostni kazalniki in cilji, program notranjih presoj, usposobljenost presojevalcev, spremljanje ugotovitev, vodstveni pregled in sledljive odločitve.
Nenehno izboljševanje
Obravnava neskladnosti, korektivni ukrepi, posodabljanje SUVI, primerjava rezultatov skozi čas in med enotami.
Krajša različica referenčnega okvira je na voljo za spletno samoocenjevanje.
Pogosta vprašanja
Ali ta diagnostika podeli certifikat ISO 27001?
Ne. Certifikat podeli akreditiran organ po dvostopenjski presoji. Datamensio meri zrelost vaših praks, opredeli vrzeli in izdela akcijski načrt, ki pripravi na to presojo. ISO 27032 pa ni certifikacijski standard: gre za vodnik dobrih praks.
Kakšna je razlika med to diagnostiko in presojo skladnosti?
Presoja preveri prisotnost zahtev in se zaključi s skladnostjo ali odstopanjem. Diagnostika umesti vsako prakso na petstopenjsko lestvico zrelosti in pokaže ukrep, ki vodi na naslednjo stopnjo. Certificirana organizacija lahko izkazuje zelo neenake stopnje po posameznih tematskih področjih.
Zakaj oceniti 27001 in 27032 skupaj?
ISO 27001 ureja varnost znotraj področja uporabe organizacije. ISO 27032 obravnava tisto, kar se dogaja zunaj: tretje strani, izpostavljene aplikacije, izmenjavo informacij o incidentih. Skupna ocena preprečuje klasično slepo pego, trden SUVI navznoter in nemočen do lastnega ekosistema.
Koliko časa traja ocenjevanje?
Kratka različica se izpolni v 20 do 30 minutah. Celovita različica, v sodelovalnem načinu z več udeleženci, običajno traja od enega do dveh tednov. Večina časa gre za zbiranje podatkov pri ekipah za delovanje, kadrovski službi in nabavi.
Ali lahko referenčni okvir prilagodimo svojemu področju uporabe?
Da. Vprašanja in stopnje lahko spremenite, dodate lastna tematska področja ali omejite področje uporabe na eno poslovno enoto. UI lahko tudi izdela različico na podlagi vaše varnostne politike in izjave o uporabnosti. Nadzor nad referenčnim okvirom ostaja v vaših rokah.
Kako primerjati več enot?
Vsaka enota izvede ocenjevanje po istem referenčnem okviru. Primerjalna analiza primerja ocene po tematskih področjih med poslovnimi enotami in glede na prejšnje cikle. Prečni načrt poti združi akcijske načrte iz več presoj, kar prepreči dvojno financiranje istega ukrepa.
Ali je za odgovarjanje potrebno tehnično znanje?
Vprašanja se nanašajo na prakse upravljanja in izvajanja, ne na konfiguracije. Nanje lahko odgovori vodja varnosti ali notranji presojevalec. Vprašanja, povezana z delovanjem ali razvojem, se v sodelovalnem načinu dodelijo ustreznemu sodelavcu.
Kje so shranjeni podatki?
V Franciji, pri OVH, z varnostno kopijo pri Scalewayu. Brez prenosa podatkov izven Evropske unije. Uporabljene modele UI je mogoče izbrati, tudi med evropskimi rešitvami.