Zrelost obvladovanja kibernetskih kriz · Odpornost po napadu
Vaša sposobnost vzdržati in ponovno zagnati delovanje po napadu, izmerjena in prevedena v akcijski načrt.
12 tematskih področij, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
12 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost obvladovanja kibernetskih kriz · Odpornost po napadu
12 tematskih področij, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika Okvir obvladovanja kibernetskih kriz, usklajen z ISO 22301, ISO/IEC 27035 in smernico ANSSI za obvladovanje kibernetskih kriz je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 12 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (ena raven, višja raven in ukrep, ki ju povezuje) spremeni ugotovitev v pot napredka.
Ali je preverjena sposobnost obnove ključnih sistemov iz varnostnih kopij?
- N1
Nobenega testa obnove. Obstoj varnostnih kopij se ugotavlja iz dnevnikov, brez preverjanja njihove uporabnosti.
- N2
Obnove se izvajajo občasno, ob uporabniški zahtevi ali incidentu, brez določenega obsega ali poročila.
- N3
Načrt testiranja pokriva opredeljene ključne sisteme, z rednimi obnovami in dokumentiranim poročilom o rezultatih.
- N4
Testi se izvajajo v izoliranem okolju, vključujejo obnovo imenika in merijo dosežene čase, primerjane s ciljnimi časi, potrjenimi s poslovnimi področji.
- N5
Testi vključujejo scenarij ogroženosti spletnih varnostnih kopij, odstopanja v časih napajajo investicijski načrt, dispozitiv pa se preveri po vsaki vaji in vsaki spremembi arhitekture.
Ukrep za prehod z N2 na N3
S poslovnimi področji določite seznam ključnih sistemov, v obstoječi operativni koledar vnesite testno obnovo vsako četrtletje in pripravite kratko poročilo, predstavljeno na varnostnem odboru.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritev
O čem govori ta referenčni okvir
Obvladovanje kibernetske krize ni obvladovanje incidenta. Incident se rešuje znotraj obstoječih procesov, z obstoječimi ekipami. Kriza se začne, ko dogodek preseže običajne zmogljivosti obravnave: prizadetih je več poslovnih področij, sistemi niso na voljo, odločitve je treba sprejemati brez popolnih informacij, komunikacija pa mora potekati tako do strank kot do organov in zaposlenih. Referenčni okvir ocenjuje dispozitiv, ki prevzame vodenje v tem trenutku: merila za sprožitev, odločevalski in operativni krizni štab, rezervna komunikacijska sredstva, postopke za oslabljen način delovanja, strategijo okrevanja in sposobnost pridobivanja izkušenj.
To je področje, ki ga je težko voditi, saj dokaz manjka, dokler se nič ne zgodi. Nekaj konkretnih vprašanj hitro razjasni stanje: kdo odloči o izolaciji produkcijskega sistema, in ali je to odločitev mogoče sprejeti v nedeljo ob treh zjutraj, ne da bi čakali na upravni odbor? Koliko časa lahko dejavnost poteka brez informacijskega sistema, in ali je bilo to trajanje preverjeno s poslovnimi področji, ali ga je zgolj ocenil IT oddelek? Ali so bile varnostne kopije dejansko obnovljene, na ločenem okolju, in v kolikšnem času?
Pogosto prihaja do zmede: enačenja načrta neprekinjenega poslovanja z dispozitivom za kibernetske krize. Klasičen PNP predpostavlja, da informacijski sistem ostaja na voljo na nadomestni lokaciji. Napad z izsiljevalsko programsko opremo to predpostavko izniči, saj prizadene imenik, spletne varnostne kopije in včasih tudi orodja za notranjo komunikacijo. Nedavne evropske zahteve, NIS 2 in DORA, so poleg tega temo premaknile s tehničnega področja na področje upravljanja, s kratkimi roki za obveščanje in jasno odgovornostjo vodstvenih organov.
Presoja skladnosti se konča z da ali ne: načrt obstaja, vaja je bila izvedena. Ocena zrelosti postavlja drugačno vprašanje: na kateri ravni obvladovanja je praksa in katero konkretno dejanje omogoči prehod na višjo raven. Med zapisanim krizim načrtom, ki ni bil nikoli preizkušen, načrtom, testiranim enkrat letno za mizo, in dispozitivom, preverjenim s simulacijskimi vajami z dejanskim tehničnim preklopom, je razlika velika, čeprav vsi trije primeri na isto presojno vprašanje odgovorijo pritrdilno.
V Datamensiu je referenčni okvir pripravljen za takojšnjo uporabo. Lahko ga tudi prilagodite svojemu kontekstu: UI prilagodi tematska področja, vprašanja in ravni, ali pa na podlagi vaših lastnih dokumentov, kriznega načrta, refleksnih kartic ali poročil z vaj izdela svojo različico.
Referenčni standard: Okvir obvladovanja kibernetskih kriz, usklajen z ISO 22301, ISO/IEC 27035 in smernico ANSSI za obvladovanje kibernetskih kriz
Ocenjevana tematska področja
Upravljanje kriznega dispozitiva
Politika obvladovanja kriz, hierarhična umestitev, vloge in namestniki, zaveza vodstvenih organov, namenski proračun in sredstva.
Zaznava in opredelitev
Viri zaznave, veriga alarmiranja, merila za opredelitev incidenta kot krize, pragi za sprožitev, dežurstvo izven delovnega časa.
Krizni štabi in aktivacija
Sestava odločevalskega in operativnega kriznega štaba, pooblastila za odločanje, imenik za aktivacijo, fizična in nadomestna kriznih prostor.
Postopki in refleksne kartice
Pokriti scenariji, refleksne kartice po vlogah, postopki izolacije in zajezitve, razpoložljivost dokumentov v brezpovezavni različici.
Komuniciranje v krizi
Imenovani govorci, pripravljena sporočila po ciljnih skupinah, rezervni komunikacijski kanali, neodvisni od informacijskega sistema, koordinacija s strankami in partnerji.
Regulativno obveščanje in odnosi z organi
Prepoznavanje veljavnih obveznosti, roki za obveščanje, vzpostavljeni stiki s pristojnimi organi, vložitev kazenske ovadbe in kibernetsko zavarovanje.
Neprekinjeno poslovanje v oslabljenem načinu
Analiza vpliva na poslovanje, sprejemljivi časi prekinitve, potrjeni s poslovnimi področji, ročni postopki, razvrščanje ključnih dejavnosti po prioriteti.
Varnostne kopije in zmožnost obnove
Izolacija in nespremenljivost varnostnih kopij, pokrit obseg, dejanski testi obnove, načrt obnove imenika in tehničnih osnov.
Okrevanje in vrnitev v normalno stanje
Merila za zaključek krize, zaporedje ponovne vzpostavitve storitev, ukrepi za utrditev pred ponovno priključitvijo, poostren nadzor po incidentu.
Vaje in usposabljanje
Pogostost in oblika vaj, realističnost scenarijev, vključenost vodstva in poslovnih področij, dejanski tehnični preklop, spremljanje ukrepov iz vaj.
Ekosistem in odvisnosti
Kritični ponudniki in zunanje izvajanje IT, pogodbene klavzule o aktivaciji, evidentirani ponudniki odziva na incidente, koordinacija z dobavno verigo.
Pregled izkušenj in izboljševanje
Zbiranje dejstev med krizo, dnevnik dogodkov, strukturiran razbor, sledenje korektivnim ukrepom skozi čas, posodabljanje dispozitiva.
Krajša različica referenčnega okvira je na voljo za spletno samoocenjevanje.
Pogosta vprašanja
Ali ta ocena vodi do certifikacije?
Ne. Datamensio meri zrelost kriznega dispozitiva in pripravlja na regulativne roke, ne izdaja pa certifikatov. Ocena služi kot dokumentirana osnova, če se kasneje odločite za postopek ISO 22301 ali pregled tretje strani.
Kakšna je razlika v primerjavi s presojo skladnosti kriznega načrta?
Presoja preveri obstoj dokumentov in se konča z ugotovitvijo vrzeli ali skladnosti. Ocena umesti vsako prakso na postopno lestvico in pokaže ukrep, ki omogoči prehod na višjo raven. Zapisan, a nikoli preizkušen načrt in dispozitiv, preverjen z vajami, pri presoji dobita enak rezultat, nikoli pa enako oceno zrelosti.
Koliko časa traja ocenjevanje?
Kratka različica se izpolni v 20 do 30 minutah. Celovita različica, v sodelovalnem načinu, vključuje varnost, informacijsko produkcijo, neprekinjeno poslovanje in komuniciranje. Večino časa predstavlja zbiranje podatkov pri teh sodelavcih.
Ali je treba že doživeti krizo, da lahko odgovorite?
Ne. Vprašanja se nanašajo na obstoječe dispozitive in razpoložljive dokaze, poročila z vaj, refleksne kartice, teste obnove. Organizacija, ki je nedavno doživela krizo, ima preprosto več gradiva za objektiviziranje svojih odgovorov.
Ali je referenčni okvir mogoče prilagoditi?
Da. Lahko spremenite vprašanja, ravni, dodate tematska področja, specifična za vaš sektor ali vašo organizacijo z več lokacijami. UI prav tako izdela svojo različico na podlagi vašega kriznega načrta in poročil z vaj. Nadzor nad referenčnim okvirom ostaja v vaših rokah.
Kako primerjati več entitet znotraj skupine?
Isti referenčni okvir se posreduje vsaki poslovni enoti, kar omogoča primerljive ocene po tematskih področjih. Prečni načrt poti združuje presoje in skupne ukrepe, UI pa jih razvrsti po vplivu na oceno.
Kako se ta ocena povezuje z NIS 2 in DORA?
Ta besedila nalagajo obveznosti obveščanja, neprekinjenega poslovanja in testiranja, ki se neposredno prekrivajo s tematskimi področji referenčnega okvira. Ocena predstavlja ponovno uporabljivo osnovo za oba regulativna roka, brez podvajanja zbiranja podatkov.
Kje so gostovani podatki?
V Franciji, pri ponudniku OVH, z varnostno kopijo pri Scaleway. Brez prenosa izven Evropske unije. Uporabljene modele UI je mogoče izbrati, tudi med evropskimi rešitvami.