Zrelost kibernetske odpornosti javnih institucij
Zmožnost vaše institucije, da nadaljuje delovanje pod napadom, izmerjena in pretvorjena v akcijski načrt.
10 tematskih področij, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost kibernetske odpornosti javnih institucij
10 tematskih področij, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika Okvir kibernetske odpornosti javnega sektorja (NIS 2, referenčni okviri ANSSI, ISO 22301) je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (raven, naslednja raven in ukrep, ki ju povezuje) spremeni ugotovitev v pot napredka.
Ali je zmožnost obnove bistvenih storitev iz varnostnih kopij preizkušena?
- N1
Noben test obnove ni dokumentiran. Zmožnost obnove temelji na prepričanju, da varnostne kopije delujejo.
- N2
Obnove se izvajajo občasno, ob incidentih ali posameznih zahtevah, brez opredeljenega obsega ali zapisnika.
- N3
Test obnove je načrtovan in dokumentiran za aplikacije bistvenih storitev, z izmerjenim rokom obnove.
- N4
Testi zajemajo scenarij popolne obnove iz izoliranih varnostnih kopij, vključno s pristojnimi strokovnimi službami in primerjavo rokov z zastavljenimi cilji.
- N5
Sistem se ponovno oceni po vsaki vaji in vsaki spremembi arhitekture, odstopanja v rokih sprožijo sledene in spremljane ukrepe.
Ukrep za prehod z N2 na N3
Izberite dve za uporabnike najbolj kritični aplikaciji, na naslednjem varnostnem odboru načrtujte popolno obnovo na testnem okolju, izmerite dosežen rok in ga primerjajte z zastavljenim ciljem obnove.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritev
O čem govori ta referenčni okvir
Kibernetska odpornost javnega sektorja se odraža v več prepletenih besedilih: direktivi NIS 2, ki javne uprave uvršča med zavezane subjekte, referenčnih okvirih ANSSI o homologaciji in varnosti informacijskih sistemov države, načelih neprekinjenosti poslovanja ISO 22301 ter obveznostih glede podatkov uporabnikov. Predmet ocenjevanja tukaj ni zgolj tehnična zaščita: gre za zmožnost občine, bolnišnice, ministrstva ali javnega izvajalca, da med incidentom ohrani bistvene storitve, ga pravočasno prijavi in se vrne v obvladano stanje delovanja.
V praksi je to vodenje zahtevno iz strukturnih razlogov. Informacijski sistem je pogosto podedovan, razpršen med samostojnimi strokovnimi službami in dolgoletnimi zunanjimi izvajalci. Nekaj konkretnih vprašanj: ali veste, katere storitve za uporabnike se morajo zagnati prednostno in v kakšnem vrstnem redu. Ali so bile vaše varnostne kopije dejansko obnovljene po celovitem scenariju ali le testirane po posameznih delih. Kdo se odloči izklopiti strokovno aplikacijo v nedeljo in ali je bila ta oseba dosegljiva na zadnji vaji.
Velja omeniti pomemben kontekst: prenos direktive NIS 2 v nacionalno zakonodajo bistveno razširja krog zavezanih javnih subjektov in uvaja večstopenjsko verigo prijave incidentov, z odgovornostjo vodstvenega organa. Mnoge institucije so začele s popisom svojih obveznosti, niso pa še obravnavale operativnega vprašanja, ki sledi: ali njihov krizni sistem deluje na dan šolskih počitnic, ko je informacijska služba okrnjena in mora župan ali direktor komunicirati z javnostjo.
Pogosto nesporazum je treba razjasniti: presoja skladnosti se konča z ugotovitvijo skladno ali neskladno, zahteva po zahtevi. Diagnostika zrelosti odgovarja na drugačno vprašanje: na kateri ravni obvladovanja je posamezna praksa in katero konkretno ukrepanje omogoči prehod na višjo raven. Institucija je lahko na papirju v redu, a nesposobna v 48 urah obnoviti matičnih evidenc. Lestvica zrelosti to vrzel naredi vidno in jo pretvori v ovrednoten akcijski načrt, s stroškom, rokom in pričakovanim učinkom na oceno.
V Datamensiu je referenčni okvir pripravljen za takojšnjo uporabo in ostaja vaš. Prilagodite tematska področja, vprašanja in formulacije ravni glede na svoj status, velikost in bistvene storitve. UI izpopolni ravni po metodi CMMI ali zgradi različico na podlagi vaših lastnih dokumentov: načrta neprekinjenosti, analize tveganj, zapisnikov vaj.
Referenčni standard: Okvir kibernetske odpornosti javnega sektorja (NIS 2, referenčni okviri ANSSI, ISO 22301)
Ocenjevana tematska področja
Upravljanje in odgovornost za odpornost
Vključenost vodstva ali izvršne oblasti, vloge in nadomeščanja, usklajevanje med strokovno službo, informatiko in komunikacijo, dodeljena sredstva.
Prepoznavanje bistvenih storitev
Popis storitev za uporabnike, kritičnost, roki za obnovitev in dopustne izgube podatkov, aplikacijske in kadrovske odvisnosti.
Obvladovanje tveganj in tehničnega obsega
Kartiranje informacijskega sistema, upravljanje podedovanih sredstev, posodobljena analiza tveganj, homologacija občutljivih sistemov.
Zaščita in digitalna higiena
Upravljanje privilegiranega dostopa, omrežna segmentacija, upravljanje popravkov, zavarovanje delovnih postaj in oddaljenega dostopa.
Zaznavanje in nadzor
Beleženje dnevnikov, pokritost nadzora, zmožnost zaznavanja izven delovnega časa, uporaba skupne ali zunanje storitve.
Krizno upravljanje in neprekinjenost javne storitve
Aktivirabilen krizni sistem, okrnjeni načini delovanja, papirni postopki, odločevalska veriga in dežurstva.
Varnostne kopije in zmožnost obnove
Izolacija in nespremenljivost varnostnih kopij, pokrit obseg, popolni testi obnove, zmožnost obnove okolja iz nič.
Prijava incidentov in odnosi z organi
Kontaktne točke, roki in faze prijave, obveščanje uporabnikov, usklajevanje s pristojnimi organi in partnerji.
Veriga podizvajalcev in nabave
Varnostne zahteve v javnih naročilih, zaveze izvajalcev glede obnove, reverzibilnost, spremljanje gostiteljev in strokovnih ponudnikov programske opreme.
Vaje, izkušnje in napredek
Pogostost in realističnost vaj, vključenost strokovnih služb in izvoljenih predstavnikov, spremljanje korektivnih ukrepov, primerjava ocenjevanj skozi čas.
Krajša različica referenčnega okvira je na voljo za spletno samoocenjevanje.
Pogosta vprašanja
Ali ta diagnostika podeli certifikat ali homologacijo?
Ne. Datamensio meri zrelost vaših praks in pripravi pripadajoči akcijski načrt. Homologacija sistema ali certifikacija po standardu je v pristojnosti organa ali akreditirane organizacije. Diagnostika pripravi te postopke in dokumentira izhodiščno stanje.
Kakšna je razlika v primerjavi s presojo skladnosti z NIS 2?
Presoja preveri prisotnost zahtev in se konča z ugotovitvijo vrzeli ali skladnosti. Diagnostika umesti vsako prakso na postopno lestvico in pokaže ukrep, ki omogoči prehod na višjo raven. Oboje se dopolnjuje: diagnostika gradi pot napredka, presoja potrdi doseženo stanje.
Koliko časa traja ocenjevanje?
Samoocenjevanje, ki ga vodi odgovorni za varnost, se opravi v eni delovni seji. V skupinskem načinu, z informatiko, strokovnimi službami in neprekinjenostjo poslovanja, računajte en do dva tedna, pri čemer gre večina časa za zbiranje in usklajevanje odgovorov.
Ali je referenčni okvir prilagodljiv za manjšo občino?
Da. Odstranite tematska področja izven obsega, preoblikujete vprašanja in prilagodite ravni. UI predlaga skladno različico glede na vaš status in število zaposlenih ali povzame vaše obstoječe dokumente kot osnovo. Referenčni okvir ostaja pod vašim nadzorom.
Ali je mogoče primerjati več subjektov med seboj?
Da. Isti referenčni okvir, uporabljen za več poslovnih enot, ustanov ali občin istega združenja, omogoča notranji primerjalni pregled in primerjavo s preteklimi ocenjevanji. Medpodročni načrt poti nato združi akcijske načrte več diagnostik.
Kako je akcijski načrt ovrednoten?
Vrzel med doseženo oceno in ciljem ustvari ukrepe, ki jih je treba izvesti. Katalog storitev vsakemu ukrepu dodeli rešitev, z njenim stroškom, rokom in pričakovanim učinkom na oceno. UI vse to združi v prednostno urejen načrt poti.
Kje so shranjeni podatki?
V Franciji, pri OVH, z varnostno kopijo pri Scalewayju. Noben prenos izven Evropske unije. Uporabljene modele UI je mogoče izbrati, tudi med evropskimi ponudniki.