Ogrodje obvladovanja kibernetskih tveganj · Zrelost
Ogrodje obvladovanja kibernetskih tveganj, merjeno po zmožnostih, pretvorjeno v prioritiziran načrt poti.
10 tematskih področij, 159 vprašanj, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Ogrodje obvladovanja kibernetskih tveganj · Zrelost
10 tematskih področij, 159 vprašanj, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika Ogrodje obvladovanja kibernetskih tveganj (pristop po zmožnostih, navdihnjen po NIST Cybersecurity Framework in ISO 31000) je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem, en nivo, nivo nad njim, in ukrep, ki ju povezuje, spremeni ugotovitev v pot napredka.
Ali se kibernetska tveganja ocenjujejo po stabilni metodi in so povezana z dokumentiranimi odločitvami?
- N1
Ni formalizirane ocene. Teme pridejo na dan ob incidentu ali zunanji zahtevi.
- N2
Analize obstajajo za nekatera področja, izvedene po različnih pristopih, brez dokumentirane odločitve na koncu.
- N3
Dokumentirana je skupna metoda, ki se uporablja za kritična področja. O ključnih tveganjih odloča odbor, odločitve pa so zabeležene.
- N4
Ocenjevanje zajema celotno področje, vključno s tretjimi stranmi. Preostala tveganja se sprejemajo na ustrezni hierarhični ravni in se spremljajo skozi čas.
- N5
Metoda se pregleduje glede na incidente, vaje in razvoj dejavnosti, z zgodovino sprememb in primerjavo nivojev med enotami.
Ukrep za prehod z N2 na N3
Izbrati enotno metodo ocenjevanja, jo najprej uporabiti za kritične procese, opredeljene skupaj s poslovnimi funkcijami, in na dnevni red četrtletnega varnostnega odbora uvrstiti obravnavo ključnih tveganj z beleženjem odločitev.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritev
O čem govori ta referenčni okvir
Ogrodje obvladovanja kibernetskih tveganj opisuje zmožnosti, ki jih mora organizacija imeti, da obvladuje svojo digitalno izpostavljenost: upravljati področje, poznati svoja sredstva in odvisnosti, ocenjevati tveganja po stabilni metodi, izbrati zaščitne ukrepe, zaznavati dogodke, nanje odgovoriti in si nato opomoči. Najbolj uporabljani referenčni okviri, od Cybersecurity Framework do načel standarda ISO 31000, delijo to logiko funkcij. Ne nalagajo seznama zavezujočih zahtev: opisujejo sistem in prepuščajo vsaki organizaciji, da ga prilagodi svojemu profilu tveganja.
Zato je ogrodje težko voditi. Vsi se sklicujejo na njegovo uporabo, le malo jih zna oceniti svoj dejanski nivo. Ali popis sredstev zajema oblak, industrijska okolja in ponudnike, ali le opremo, ki jo upravlja IT oddelek? Ali ocenjevanje tveganj vodi do odločitev, o katerih se odloči vodstvo, ali do registra, ki ga med dvema sejama nihče ne odpre? Ali zaznavanje temelji na zapisanih postopkih, ali na treh osebah, ki vejo, kam pogledati? Na ta vprašanja ni mogoče odgovoriti z da ali ne, nahajajo se na lestvici.
Pogosto prihaja do zmede: ogrodje obvladovanja tveganj ni certifikacijski standard in ne nadomešča sistema upravljanja informacijske varnosti. Umešča se pred njim. Strukturira zmožnosti, napaja sistem upravljanja in služi kot skupna osnova, kadar se na isto področje nanaša več besedil, na primer sektorska direktiva in zahteva naročnika. Organizacije, ki so ga sprejele kot skupni jezik med varnostjo, tveganji in poslovnimi funkcijami, pridobijo predvsem primerljivost med enotami.
Diagnostika zrelosti odgovarja na drugo vprašanje kot presoja. Presoja se zaključi z vrzeljo ali skladnostjo. Diagnostika umesti vsako zmožnost na postopno lestvico, pokaže vrzel do cilja, ki ga določite, in poimenuje ukrep, ki omogoči prehod na naslednji nivo. V orodju Pilot vrzel med oceno in ciljem samodejno ustvari akcijski načrt, umetna inteligenca pa ga združi v prioritiziran načrt poti. Primerjalna analiza (benchmark) primerja poslovne enote med seboj in vsako enoto z njeno lastno preteklostjo, kar omogoča merjenje poti programa preobrazbe, ne le njegove izhodiščne točke.
Referenčni okvir je pripravljen za takojšnjo uporabo in ostaja v vaši lasti. Prilagodite lahko tematska področja, vprašanja in nivoje: umetna inteligenca izboljša formulacije po metodi CMMI ali zgradi različico na podlagi vaše varnostne politike in lastnih dokumentov upravljanja.
Referenčni standard: Ogrodje obvladovanja kibernetskih tveganj (pristop po zmožnostih, navdihnjen po NIST Cybersecurity Framework in ISO 31000)
Ocenjevana tematska področja
Upravljanje kibernetskega tveganja
Formalizirana politika, vloge in odgovornosti, struktura odborov, povezava z upravljanjem podjetja, dodeljena sredstva, nagnjenost k tveganju, ki jo izrazi vodstvo.
Poznavanje sredstev in odvisnosti
Popis sistemov, podatkov in tokov, kartiranje notranjih in zunanjih odvisnosti, poslovna kritičnost, pokritost oblaka in industrijskih okolij.
Ocenjevanje in prioritizacija tveganj
Izbrana metoda, scenariji tveganja, ocena verjetnosti in vpliva, razlikovanje med inherentnim in preostalim tveganjem, pogostost pregledov.
Obravnava in zaščitni ukrepi
Možnosti obravnave, izbira in spremljanje ukrepov, upravljanje identitet in dostopov, utrjevanje sistemov, upravljanje ranljivosti in popravkov.
Tveganje tretjih strani in dobavne verige
Kvalifikacija dobaviteljev, varnostne klavzule, periodično ocenjevanje, kritične odvisnosti, reverzibilnost in načrti izstopa.
Zaznavanje in nadzor
Viri beleženja dogodkov, primeri uporabe za zaznavanje, pragovi opozarjanja, časovna pokritost, izkoriščanje obveščevalnih podatkov o grožnjah.
Odzivanje na incidente
Postopki kvalifikacije in eskalacije, krizna skupina, notranje in zunanje komuniciranje, prijava organom in strankam, izvedene vaje.
Neprekinjeno poslovanje in okrevanje
Cilji obnove, testirana varnostna kopiranja in obnove, načrti neprekinjenega poslovanja, scenariji ponovne vzpostavitve informacijskega sistema.
Kultura in kompetence
Ozaveščanje po skupinah zaposlenih, usposabljanje tehničnih ekip, vključevanje varnosti v projekte, mehanizmi za prijavo incidentov.
Merjenje in nenehno izboljševanje
Spremljani kazalniki, vodstveni pregled, povratne izkušnje po incidentu ali vaji, primerjava skozi čas in med enotami.
Krajša različica referenčnega okvira obsega 34 vprašanj in je na voljo za spletno samoocenjevanje. Celotna različica obsega 10 tematskih področij in 159 vprašanj.
Pogosta vprašanja
Ali je to ogrodje certifikacijsko?
Ne. Ogrodje obvladovanja kibernetskih tveganj opisuje zmožnosti, brez certifikacijskega organa v ozadju. Certificiranje spada pod ISO 27001 ali SOC 2. Diagnostika meri vašo raven obvladovanja in pripravlja na te postopke, ne izda pa nobenega potrdila.
Kakšna je razlika v primerjavi s presojo skladnosti?
Presoja preverja prisotnost zahtev in se zaključi z vrzeljo ali skladnostjo. Diagnostika umesti vsako zmožnost na postopno lestvico in navede ukrep za prehod na višji nivo. Diagnostika pripravlja na presojo, presoja potrjuje.
Koliko časa traje ocenjevanje?
Kratka različica se izpolni v enem samem delovnem srečanju. Celovita različica, v skupinskem načinu z več sodelujočimi, traja od enega do dveh tednov, pri čemer večino časa vzame zbiranje podatkov pri vpletenih ekipah.
Ali je referenčni okvir mogoče prilagoditi naši organizaciji?
Da. Spremenite lahko vprašanja, nivoje in tematska področja, ali pa izhajate iz lastnih dokumentov: umetna inteligenca nato zgradi prilagojeno različico in izboljša nivoje po metodi CMMI. Referenčni okvir ostaja pod vašim nadzorom.
Kako primerjati več poslovnih enot?
Vsaka enota izvede ocenjevanje na istem referenčnem okviru, kar omogoča primerjavo ocen po tematskih področjih. Primerjalna analiza (benchmark) umesti enote med seboj in vsako glede na njene prejšnje ocene. Presečni načrt poti nato združi akcijske načrte.
Ali je za odgovarjanje potrebno tehnično znanje?
Vprašanja se nanašajo na prakse upravljanja in vodenja, ne na tehnične nastavitve. Odgovorni za varnost ali tveganja lahko odgovori na večino vprašanj. Skupinski način omogoča, da se tehnična vprašanja dodelijo pravi osebi.
Ali je to diagnostiko mogoče ponovno uporabiti za NIS 2 ali DORA?
Da, v veliki meri. Ta besedila temeljijo na istih zmožnostih: upravljanje, ocenjevanje tveganj, obvladovanje tretjih strani, zaznavanje, prijava, neprekinjeno poslovanje. Tukaj izmerjena osnova se lahko ponovno uporabi, presečni načrt poti pa preprečuje podvajanje ukrepov med posameznimi referenčnimi okviri.
Kje so podatki gostovani?
V Franciji, pri ponudniku OVH, z varnostno kopijo pri ponudniku Scaleway. Brez prenosa podatkov zunaj Evropske unije. Uporabljene modele umetne inteligence je mogoče izbrati, tudi med evropskimi ponudniki.