Zrelost · Zaščita občutljivih podatkov in napredna kriptografija
Vaše prakse šifriranja in zaščite občutljivih podatkov, izmerjene in prevedene v načrt poti.
10 tematskih področij, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost · Zaščita občutljivih podatkov in napredna kriptografija
10 tematskih področij, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika Referenčni okvir zrelosti Datamensio, naslonjen na prakse zaščite občutljivih podatkov in kriptografskega upravljanja (šifriranje, upravljanje ključev, anonimizacija, postkvantna kriptografija) je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (raven, višja raven in ukrep, ki ju povezuje) spremeni ugotovitev v trajektorijo.
Ali je življenjski cikel kriptografskih ključev obvladan, od generiranja do preklica?
- N1
Ni popisa ključev. Generirajo in shranjujejo jih projektne ekipe, včasih kar v kodi ali konfiguracijskih datotekah.
- N2
Obstaja trezor za skrivnosti, kamor je shranjen del ključev. Rotacija je ročna, sproži jo incident ali migracija.
- N3
Ključi so popisani in shranjeni v skupnem trezorju z ločitvijo vlog. Roki za rotacijo so določeni in večinoma upoštevani.
- N4
Rotacija in preklic sta avtomatizirana in sledljiva. Dostopi do produkcijskih ključev se beležijo in pregledujejo. Postopki ob kompromitaciji so testirani.
- N5
Kriptografski popis se sproti posodablja in napaja trajektorijo migracije, vključno s postkvantno hibridizacijo, z dokumentiranim periodičnim pregledom.
Ukrep za prehod z N2 na N3
Popisati ključe in skrivnosti, ki še niso v trezorju, vsakemu določiti lastnika in rok rotacije, nato te roke preverjati na četrtletnem varnostnem odboru.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritev
O čem govori ta referenčni okvir
Ta referenčni okvir ocenjuje, kako organizacija prepoznava, razvršča in ščiti svoje občutljive podatke ter kako upravlja kriptografske mehanizme, ki jih varujejo. Zajema razvrščanje podatkov, šifriranje podatkov v mirovanju, prenosu in uporabi, upravljanje življenjskega cikla ključev in skrivnosti, tehnike anonimizacije in psevdonimizacije, varno izmenjavo s tretjimi osebami ter predvidevanje kriptografskih sprememb. Ne gre za tehnični nadzor konfiguracije, temveč za ocenjevanje praks upravljanja in upravljanja (governance).
V praksi so ta področja težko obvladljiva, ker je znanje razpršeno. O šifriranju odločajo infrastrukturne ekipe, o razvrstitvi poslovni oddelki, o ključih pa včasih zunanji administratorji. Tri vprašanja zadostujejo za razkritje vrzeli: ali veste, katere baze vsebujejo občutljive podatke, in od kdaj ta popis ni bil pregledan? Kdo ima tehnično dostop do produkcijskega ključa in ali je ta dostop sledljiv? Kaj se zgodi, če ponudnik storitev hkrati hrani šifrirane podatke in ključe?
Potreben je kontekst. Prehod na postkvantno kriptografijo je že v teku: varnostni organi, med njimi francoska ANSSI, priporočajo hibridizacijo mehanizmov in izdelavo kriptografskega popisa za pripravo migracij. S tem se tema premika iz tehničnega registra v program preobrazbe, z izdelavo popisa, opredelitvijo odvisnosti od dobaviteljev in večletno trajektorijo, ki jo je treba financirati. Mnoge organizacije so se s to temo seznanile, ne da bi začele s popisom, ki je njen predpogoj.
Diagnoza zrelosti odgovarja na drugačno vprašanje kot presoja skladnosti. Presoja se konča z ugotovitvijo vrzeli ali skladnosti glede na zahtevo. Diagnoza vsako prakso umesti na postopno lestvico in pokaže natančno ukrepanje, ki omogoči prehod na višjo raven: iz dokumentirane v dejansko uporabljano razvrstitev, iz ročne v avtomatizirano in sledljivo rotacijo ključev. Rezultat ni razsodba, temveč številčno opredeljena trajektorija, primerljiva med poslovnimi enotami in skozi čas.
V Datamensiu je referenčni okvir pripravljen za takojšnjo uporabo in prilagodljiv. UI prilagaja tematska področja, preoblikuje vprašanja po vašem internem besednjaku, izpopolnjuje ravni po logiki CMMI ali zgradi različico na podlagi vaše varnostne politike in obstoječih kriptografskih standardov.
Referenčni standard: Referenčni okvir zrelosti Datamensio, naslonjen na prakse zaščite občutljivih podatkov in kriptografskega upravljanja (šifriranje, upravljanje ključev, anonimizacija, postkvantna kriptografija)
Ocenjevana tematska področja
Prepoznavanje in razvrščanje občutljivih podatkov
Popis podatkov za zaščito, stopnje občutljivosti, merila razvrščanja, pokritost registrov in tokov, pogostost pregledovanja.
Politika in kriptografski standardi
Obstoj internega standarda, dovoljeni algoritmi in dolžine ključev, izrecne prepovedi, odstopanja, usklajenost s priporočili varnostnih organov.
Šifriranje podatkov v mirovanju in prenosu
Pokritost baz, varnostnih kopij, delovnih postaj in izmenljivih nosilcev, zaščita notranjih in zunanjih tokov, zaključevanje šifriranih sej, dokumentirane izjeme.
Upravljanje ključev in skrivnosti
Generiranje, shranjevanje, ločitev vlog, rotacija, preklic, uporaba strojnih varnostnih modulov, upravljanje aplikacijskih skrivnosti in odstranitev trdo zakodiranih skrivnosti.
Anonimizacija in psevdonimizacija
Izbrane tehnike glede na namen uporabe, ocena tveganja ponovne identifikacije, testni nabori podatkov, podatki za analizo in urjenje modelov.
Nadzor dostopa do občutljivih podatkov
Pooblastila in načelo najmanjših privilegijev, privilegirani računi, dinamično maskiranje, pregledi dostopov, sledljivost vpogledov.
Izmenjava s tretjimi osebami in suverenost
Pogodbena ureditev prenosov, lokacija podatkov in ključev, reverzibilnost, šifriranje, ki ga zagotavlja naročnik, odvisnosti od dobaviteljev.
Napredna kriptografija in priprava na postkvantno dobo
Kriptografski popis, agilnost komponent, hibridizacija mehanizmov, uporaba šifriranja med obdelavo podatkov in večstranskega računanja, trajektorija migracije.
Spremljanje, incidenti in uhajanje podatkov
Zaznavanje neobičajnih dostopov in eksfiltracije, postopki ob kompromitaciji ključa, testi obnovitve, obveščanje in analiza izkušenj.
Kompetence in dolgoročno upravljanje
Razpoložljivo kriptografsko strokovno znanje, ozaveščanje razvojnih ekip, spremljani kazalniki, periodičen pregled sistema in primerjava napredka.
Krajša različica referenčnega okvira je na voljo za spletno samoocenjevanje.
Pogosta vprašanja
Ali ta diagnoza prinaša certifikat?
Ne. Datamensio meri zrelost vaših praks in pripravi akcijski načrt. Noben organ ne certificira tega referenčnega okvira, ki se nanaša na preobrazbo vaših praks zaščite podatkov in kriptografskega upravljanja. Rezultati pa lahko koristijo pri pripravi na zunanjo presojo.
Kakšna je razlika v primerjavi s tehnično presojo konfiguracije?
Tehnična presoja preveri parametre v določenem trenutku: različico protokola, dolžino ključa, pretečeno potrdilo. Diagnoza ocenjuje sposobnost organizacije, da te parametre vzdržuje skozi čas: kdo odloča, kdo nadzoruje, kdo popravlja. Oboje se dopolnjuje, diagnoza pa daje trajektorijo.
Koliko časa traje ocenjevanje?
Kratka različica se izpolni v eni delovni seji. Celovita različica, v sodelovalnem načinu z več sodelujočimi, traja od enega do dveh tednov, pri čemer večino časa zavzame zbiranje podatkov pri infrastrukturnih, razvojnih in poslovnih ekipah.
Ali je za odgovarjanje potrebno kriptografsko strokovno znanje?
Vprašanja se nanašajo na prakse upravljanja, ne na podrobnosti izvedbe. Vodja varnosti ali arhitekt nanje odgovori brez težav. Nekatera tehnična vprašanja se lahko dodelijo posebnemu sogovorniku, pri čemer pomočnik UI prilagodi besedilo vprašanja glede na profil odgovarjajočega.
Ali je referenčni okvir mogoče prilagoditi našemu kontekstu?
Da. Tematska področja, vprašanja in ravni je mogoče spreminjati, lahko jih tudi dodajate. UI prav tako zgradi različico na podlagi vaše varnostne politike ali internih kriptografskih standardov. Obvladovanje referenčnega okvira ostaja v vaših rokah.
Kako primerjati več subjektov?
Vsaka poslovna enota opravi isto diagnozo, ocene po tematskih področjih se primerjajo med subjekti in s prejšnjimi ocenjevanji. Medsektorski načrt poti združuje akcijske načrte in skupne ukrepe, namesto da bi jih podvajal.
Ali je obravnavana postkvantna tematika?
Da, kot eno od tematskih področij referenčnega okvira: kriptografski popis, agilnost komponent, hibridizacija mehanizmov in trajektorija migracije. Ocenjevanje opredeli vaše izhodišče, kar je predpogoj za vsako številčno opredelitev programa.
Kje so podatki gostovani?
V Franciji, pri OVH, z varnostno kopijo pri Scalewayju. Ni prenosov izven Evropske unije. Uporabljene modele UI je mogoče izbrati, tudi med evropskimi rešitvami.