Zrelost ISO 27005 · Obvladovanje tveganj na področju kibernetske varnosti
Vaša kibernetska tveganja, izmerjena po ISO 27005 in prevedena v akcijski načrt.
8 tematskih področij, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
8 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost ISO 27005 · Obvladovanje tveganj na področju kibernetske varnosti
8 tematskih področij, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika ISO/IEC 27005:2022 je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 8 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (raven, naslednja raven in akcija, ki ju povezuje) spremeni ugotovitev v pot napredka.
Ali so merila za sprejemljivost tveganja opredeljena in dosledno uporabljena?
- N1
Nobenih formaliziranih meril. Odločitve o sprejemljivosti se sprejemajo od primera do primera, brez skupne referenčne osnove.
- N2
Merila obstajajo v dokumentu, vendar so slabo poznana in se njihova uporaba med ekipami razlikuje.
- N3
Merila so dokumentirana, posredovana in splošno uporabljena. Odstopanja so občasna.
- N4
Merila se dosledno uporabljajo, sprejemi tveganj so sledljivi in potrjeni na ustrezni hierarhični ravni.
- N5
Merila se redno pregledujejo glede na spremembe konteksta in incidentov, s dokumentiranim sledenjem pregledom.
Akcija za prehod z N2 na N3
Posredovati merila za sprejemljivost vsem nosilcem tveganj, jih vključiti v predlogo kartice tveganja in preveriti njihovo uporabo ob četrtletnem pregledu.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritevna ISO 27005.
O čem govori ta referenčni okvir
ISO 27005 je standard, ki dopolnjuje ISO 27001 na določeni točki: način obvladovanja tveganj. Medtem ko 27001 določa zahteve sistema upravljanja varnosti informacij, 27005 pojasnjuje, kako izvesti presojo in obravnavo tveganj, ki napajajo ta sistem. Ni certificiran. Se uporablja.
Prav to ga naredi težko obvladljivega. Organizacija lahko trdi, da »sledi ISO 27005« , ne da bi obstajal element, ki bi dokazal, kako resnično strukturirane, ponovljive in sčasoma izboljšane so njene prakse. Ali so merila za sprejemljivost tveganja formalizirana, ali se odločajo od primera do primera? Ali presoja zajema celoten obseg, ali le sisteme, ki jih varnostna ekipa dobro pozna? Ali se načrti obravnave spremljajo do konca, ali se ustavijo pri registru?
Različica standarda iz leta 2022 je sicer premaknila poudarek: manj predpisujoče metode, več povezovanja z obvladovanjem tveganj podjetja v smislu ISO 31000. Konkretno kibernetsko tveganje ni več zadeva varnostnih strokovnjakov, temveč sestavni del celotnega tveganja, ki mora doseči upravni odbor v jeziku, razumljivem netehničnemu občinstvu. Mnoge organizacije so prevzele besedišče, ne da bi dejansko izvedle to spremembo.
Diagnostika zrelosti odgovarja na drugačno vprašanje kot presoja skladnosti. Presoja sprašuje: ali je skladno, da ali ne. Diagnostika sprašuje: na kateri ravni obvladovanja ste in katere konkretne aktivnosti vas pripeljejo na naslednjo raven.
V Datamensio je referenčni okvir pripravljen za takojšnjo uporabo. Prav tako ga lahko prilagodite svojemu kontekstu: umetna inteligenca prilagodi tematska področja, vprašanja in ravni, ali pa izdela prilagojeno različico na podlagi vaših lastnih dokumentov.
Referenčni standard: ISO/IEC 27005:2022
Ocenjevana tematska področja
Upravljanje in okvir obvladovanja tveganj
Obstoj formalizirane politike, opredelitev vlog in odgovornosti, povezanost s korporativnim upravljanjem, dodelitev virov.
Opredelitev konteksta in obsega
Obseg uporabe, merila za presojo, merila za sprejemljivost tveganja, upoštevanje deležnikov.
Prepoznavanje tveganj
Popis sredstev, prepoznavanje groženj in ranljivosti, uporabljeni viri informacij, pogostost pregledov.
Analiza in vrednotenje
Izbrana metoda in njena doslednost, ocena verjetnosti in vpliva, razlikovanje med neposrednim in preostalim tveganjem, prioritizacija.
Obravnava tveganj
Izbira možnosti obravnave, izbor ukrepov, formalizacija načrta, sprejem preostalih tveganj na ustrezni hierarhični ravni.
Komuniciranje in posvetovanje
Poročanje deležnikom, obveščanje upravnega odbora, ozaveščanje poslovnih enot, uporabljen jezik.
Spremljanje in pregled
Spremljanje razvoja tveganj, kazalniki, sprožitev ponovnih ocen, vključevanje incidentov in obveščevalnih podatkov o grožnjah.
Nenehno izboljševanje
Izkušnje iz prakse, posodabljanje metode, primerjava skozi čas, zrelost samega sistema.
Krajša različica referenčnega okvira je na voljo za spletno samoocenjevanje.
Pogosta vprašanja
Ali je ISO 27005 mogoče certificirati?
Ne. Gre za spremljevalni standard, ki podaja smernice za obvladovanje tveganj. Certifikacija se nanaša na ISO 27001, katerega sistem obvladovanja tveganj napaja prav 27005.
Kakšna je razlika med diagnostiko zrelosti in presojo skladnosti?
Presoja preverja prisotnost zahtev in se zaključi z vrzeljo ali skladnostjo. Diagnostika zrelosti umesti vaše prakse na postopno lestvico in pokaže pot napredka. Oboje se dopolnjuje: diagnostika pripravi na presojo, presoja potrdi.
Koliko časa traja ocenjevanje?
Kratka različica se izpolni v 20 do 30 minutah. Celovita različica, v sodelovalnem načinu z več sodelujočimi, se običajno razteza od enega do dveh tednov, pri čemer večina časa odpade na zbiranje podatkov pri različnih ekipah.
Ali je referenčni okvir mogoče prilagoditi?
Da. Vprašanja in ravni lahko spremenite, dodate lastna tematska področja ali začnete iz prazne osnove. Nadzor nad referenčnim okvirom ostane v vaših rokah: to je bistvena razlika od orodij, ki vsiljujejo svojo lestvico.
Kako se ta diagnostika povezuje z NIS2 ali DORA?
Ti predpisi določajo zahteve za obvladovanje tveganj, ki temeljijo na enakih načelih. Trdna diagnostika ISO 27005 predstavlja ponovno uporabno osnovo. Presečni načrt poti omogoča povezavo vseh treh brez podvajanja aktivnosti.
Ali je za odgovarjanje potrebno tehnično znanje?
Vprašanja se nanašajo na prakse obvladovanja, ne na tehnične konfiguracije. Nanje lahko odgovori vodja tveganj ali notranji presojevalec. Nekatera vprašanja zahtevajo prispevek tehničnega sogovornika: sodelovalni način omogoča dodelitev teh vprašanj pravi osebi.
Kje so shranjeni podatki?
V Franciji, pri ponudniku OVH, z varnostno kopijo pri Scaleway. Brez prenosa podatkov izven Evropske unije. Uporabljene modele umetne inteligence je mogoče izbrati, tudi med evropskimi rešitvami.