Du måler cyberrobusthet ved å finne ut hvor moden din kapasitet er på tvers av deteksjon, respons og gjenoppretting, ikke ved å telle kontrollene du har aktivert. En kontroll eksisterer enten eller den gjør det ikke. Modenhet er forskjellig: den beskriver hvor konsekvent kontrollen brukes, om den avhenger av én persons hukommelse, og om den forbedres etter hver hendelse eller forblir nøyaktig slik den ble installert. Den mest brukte skalaen for dette er NISTs fire implementeringsnivåer, og denne siden beskriver hvordan hvert nivå ser ut i praksis, hva du skal sjekke for å plassere deg på det, og hvordan du kan gå opp ett nivå.
- Et modenhetsnivå, ikke en prosentandel, fordi motstandskraft forbedres i etapper i stedet for ved å oppnå en poengsum.
- Deteksjon og gjenoppretting er funksjonene en modenhetsvurdering oftest avslører som svakere enn antatt.
- Nivåene gjelder for hele cyber motstandskraft rammeverket, ikke til én enkelt kontroll isolert.
- Å vurdere ærlig er viktigere enn å vurdere ofte: et nivå du ikke kan forsvare overfor en revisor er ikke et reelt resultat.
- Resultatet er ett input til den bredere robusthetspoengsummen, ikke en erstatning for den.
Hvorfor måle cyberrobusthet separat fra bedriftsrobusthet?
Fordi de svarer på forskjellige spørsmål. Resiliens-score måler hele organisasjonen din på tvers av de tre domenene i Resiliens-løkken: informasjonssikkerhet, databeskyttelse og AI-styring. Det er en porteføljevisning. Denne siden måler én del av denne porteføljen i dybden: hvor moden din spesifikt er i forhold til cyberangrep, på tvers av funksjonene som er angitt i rammeverket for cyberrobusthet.
Skillet er viktig fordi gjennomsnittsanalysen skjuler svaret du trenger. En organisasjon kan ha en respektabel samlet robusthetsposisjon, mens dens deteksjons- og gjenopprettingsfunksjoner ligger år bak forebyggingen. En porteføljescore vil ikke avdekke det. En modenhetsvurdering som er spesifikt rettet mot cyber vil det, fordi den ser på hver funksjon for seg i stedet for å blande dem sammen til ett tall.
Behandle denne siden som det detaljerte instrumentet og motstandskraftspoengsummen som dashbordet. Kjør denne vurderingen først hvis cyber er der risikoen din er konsentrert, og mat deretter resultatet oppover når du har det.
Hva er modenhetsnivåene, og hvordan vet du hvor du befinner deg?
NISTs rammeverk for cybersikkerhet definerer fire implementeringsnivåer for å beskrive hvordan en organisasjon håndterer cyberrisiko, fra ad hoc-praksis til et program som tilpasser seg selv. De er en modenhetsskala lagt oppå funksjonene, ikke en femte funksjon eller en erstatning for dem.
- DelvisPraksiser finnes, men de brukes ad hoc, vanligvis reaktivt, og håndteres ikke som et organisasjonsomfattende program. Risiko håndteres fra sak til sak i stedet for mot en oppgitt risikoappetitt.
- RisikoinformertLedelsen har godkjente risikostyringspraksiser, men de er ikke etablert som organisasjonsomfattende policy, og anvendelsen er inkonsekvent på tvers av team.
- repeterbarePraksiser er formelt godkjent, uttrykt som retningslinjer og anvendt konsekvent i hele organisasjonen. De ansatte har kunnskapen og ferdighetene til å gjennomføre dem, og retningslinjene gjennomgås regelmessig.
- AdaptiveOrganisasjonen tilpasser praksisen sin basert på erfaringer og trusselinformasjon, og forbedrer seg kontinuerlig gjennom aktiv risikostyring i stedet for en fast årlig syklus.
De fleste organisasjoner som aldri har gjennomført en formell vurdering, sitter på Delvis eller Risikoinformert nivå uten å være klar over det, fordi forebyggingskontroller skaper en følelse av modenhet som deteksjon og gjenoppretting ikke støtter. Et nivå teller bare hvis du kan vise til bevis for det, noe som er temaet for neste avsnitt.
| Nivået | Hva du kan vise til som bevis | Der de fleste små og mellomstore bedrifter faktisk befinner seg |
|---|---|---|
| Delvis | Ingenting skrevet ned. Den som håndterte den siste hendelsen gjorde det på sin egen måte. | Vanlig før noe formelt arbeid med cyberrobusthet har startet. |
| Risikoinformert | Det finnes en policy, og ledelsen har godkjent den, men to team kan beskrive den på forskjellige måter. | Den vanligste posisjonen for organisasjoner midtveis i et sikkerhetsprogram. |
| repeterbare | Den samme politikken, anvendt på samme måte, av den som er på vakt, med en gjennomgangsdato i dagboken. | Typisk for en organisasjon som er sertifisert i henhold til ISO 27001 og som holder systemet levende i stedet for å legge det på hylla. |
| Adaptive | En endringslogg som viser at policyen ble oppdatert etter en reell hendelse eller en spesifikk trusselinformasjon. | Sjelden, og nås vanligvis funksjon for funksjon i stedet for på tvers av hele rammeverket samtidig. |
Les midterste kolonne bokstavelig. Et nivå er ikke en selvvurdering mot en beskrivelse. Det er en påstand som må overleve når noen ber om å se beviset.
Det er et større bilde bak dette.
Denne siden dekker én del av forretningsrobusthet. Real Resilience – IOs rammeverk for å koble sammen sikkerhet, personvern og AI-styring – er der hele bildet kommer sammen.
Hva bør du egentlig vurdere?
Å vurdere cyberrobusthet som én enkelt ting gir et vagt svar. Å vurdere det etter funksjon, mot de seks som er angitt i rammeverket for cyberrobusthet , gir et nivå per funksjon og viser deg nøyaktig hvor gapet ligger i stedet for et gjennomsnitt som skjuler det.
| Område | Signalér at du fortsatt er på delvis | Signal om at du har nådd Repeterbar eller høyere |
|---|---|---|
| Synlighet og deteksjon | Logging finnes, men ingen vurderer den med mindre noe allerede har gått galt. | Varsler blir vurdert etter en definert tidsplan av en navngitt person, uavhengig av om noe har skjedd eller ikke. |
| Hendelsesrespons | Planen er et dokument ingen har lest siden den ble skrevet. | Planen har blitt øvd inn i det siste året, og øvelsen endret noe i den. |
| Gjenoppretting | Sikkerhetskopier finnes. Ingen har tidsbestemt en gjenoppretting. | En gjenoppretting har blitt tidsbestemt mot et oppgitt gjenopprettingsmål og oppfylt det. |
| Tredjepart og forsyningskjede | Leverandører blir onboardet én gang og aldri vurdert på nytt. | Kritiske leverandører vurderes på nytt i en syklus, og tilgangen deres gjennomgås mot den. |
| Styring og rapportering | Styret hører om cyberrisiko først etter en hendelse. | Styret mottar en stående rapport om dekning og åpne mangler, testet mot planen. |
Fem områder, og et mønster verdt å nevne: hvert delvise signal i den midterste kolonnen beskriver noe som finnes på papiret. Hvert repeterbart signal beskriver noe som faktisk har blitt utøvd eller kontrollert. Det er hele forskjellen mellom de to endene av skalaen.
Hvordan gjør man en vurdering om til en målprofil?
NISTs egen tilnærming til bruk av nivåene er å score en gjeldende profil, bestemme en målprofil og behandle avstanden mellom de to som planen. Målet bør settes ut fra risiko, ikke ambisjon. Sikt mot tilpasningsdyktighet overalt når den faktiske eksponeringen ikke rettferdiggjør det, bruker budsjettet, argumenterer siden om strategi for cyberrobusthet, for at det bør gå andre steder. En regulert organisasjon som håndterer sensitive data har en annen målprofil enn en liten bedrift med et enkelt areal, og begge kan plasseres helt riktig på forskjellige nivåer.
I praksis betyr dette å score der du er, funksjon for funksjon, ærlig og mot bevis snarere enn intensjon; velge et målnivå per funksjon basert på hva den funksjonen faktisk beskytter; og behandle gapet mellom de to som etterslepet snarere enn hele programmet. For en fullstendig gjennomgang av NISTs egne trinn for omfang og gapanalyse, se vår veiledning til NIST CSF 2.0.
Start din gratis prøveperiode
Vil du utforske?
Registrer deg for din gratis prøveversjon i dag og få hands on med alle samsvarsfunksjonene som ISMS.online har å tilby
Hvordan kobles modenhet innen cyberrobusthet til robusthetsløkken?
Nesten alle bevisene et modenhetsnivå ber om, blir også etterspurt av noe annet. En gjennomgått policy, en navngitt eier, en testet gjenoppretting: de samme postene som flytter deg fra risikoinformert til repeterbar på cyberskalaen, er postene en informasjonssikkerhetsrevisjon ønsker å se.
Resilience Loop kjører informasjonssikkerhet under ISO 27001 , databeskyttelse under ISO 27701 og AI-styring under ISO 42001 som ett sammenkoblet system. En modenhetsvurdering som er rettet mot cybersikkerhet, sitter inne i det delte systemet i stedet for ved siden av det. Bevisene som et repeterbart nivå krever, er de samme bevisene som en ISO 27001-revisor ber om, og de samme bevisene som mater sikkerhetsdomenet til din Resilience Score. Kjør vurderingen én gang, og den svarer på begge spørsmålene.
Hvorfor velge ISMS.online for å måle cyberrobusthet?
En påstand om modenhet er bare så god som bevisene bak den, og bevisene råtner i det øyeblikket de ikke lenger vedlikeholdes. ISMS.online holder vurderingen oppdatert i stedet for å behandle den som en engangsøvelse.
- Poengsum etter funksjon, ikke gjennomsnittSe nivået for deteksjon, respons og gjenoppretting separat, slik at et sterkt gjennomsnitt ikke kan skjule en svak funksjon.
- Bevis knyttet til hver påstandØvelser, gjenopprettingstester og gjennomganger registreres etter hvert som de skjer, ikke rekonstrueres for en revisjon.
- Ett kontrollsett, hver standard: den samme bevisen støtter NIST CSF, ISO 27001 og den bredere Resilience Score uten å gjenta arbeidet.
- Målprofiler med eiereHver funksjon får et målnivå og en navngitt eier som er ansvarlig for å lukke gapet.
- Leverandørnivåer vurdert sammen med dine egneTredjepartsrisiko ligger i samme system i stedet for et separat regneark.
- Bygget for britiske og regulerte markeder: utviklet for organisasjoner som må vise sitt modenhetskrav til en revisor eller en kunde, ikke bare hevde det.
Se hvordan det passer sammen på plattformen for forretningsrobusthet , eller bestill en demonstrasjon.
Spørsmål og svar
Hva er den raskeste måten å gå opp et nivå på?
Fiks den svakeste funksjonen i stedet for å finpusse den sterkeste. De fleste organisasjoner er allerede nær Repeterbar når det gjelder forebygging, og år bak det når det gjelder deteksjon og gjenoppretting. Derfor flytter en skriftlig policy, en navngitt eier og én utført test av den svakeste funksjonen nivået raskere enn noen mengde ekstra arbeid med kontroller som allerede fungerer. Bevisene i tabellene ovenfor viser mønsteret: det handler alltid om hva som er kontrollert, ikke hva som er kjøpt.
Hvilket nivå bør en liten bedrift sikte mot?
Uansett hvilken som samsvarer med den faktiske eksponeringen, ikke den høyeste tilgjengelige. En liten bedrift med et enkelt selskapskapital og lav regulatorisk eksponering kan være riktig posisjonert som risikoinformert for noen funksjoner. Å sikte mot tilpasningsdyktighet overalt, uavhengig av risiko, krever innsats som ville gjort mer gagn ved å lukke et reelt gap i deteksjon eller gjenoppretting.
Er en modenhetsvurdering det samme som en risikovurdering?
Nei, og de to blir ofte forvekslet. En risikovurdering identifiserer hva som kan gå galt og hvor galt det kan gå. En modenhetsvurdering spør hvor godt håndtert responsen din på den risikoen faktisk er, om den er dokumentert, anvendt konsekvent og dokumentert. De fleste programmer trenger begge deler: risikovurderingen setter målprofilen, og modenhetsvurderingen viser den nåværende.
Hvor ofte bør du revurdere modenhetsnivået ditt?
Minst én gang i året, og umiddelbart etter enhver hendelse som testet respons eller gjenoppretting på reell vis. Et nivå som ikke har blitt revurdert etter en reell hendelse er ikke aktuelt, uansett hva den siste formelle gjennomgangen sa. Noen funksjoner, spesielt deteksjon og gjenoppretting, er verdt å sjekke oftere fordi det er de som mest sannsynlig har forsvunnet i det stille.
Garanterer ISO 27001-sertifisering et høyt modenhetsnivå?
Nei, selv om det gjør det mye enklere å nå og bevise et høyt nivå. Sertifisering bekrefter at det finnes et styringssystem og at det revideres uavhengig, noe som støtter Repeatable. Å nå Adaptive trenger i tillegg bevis på at praksis endres som svar på erfaringer og trusselinformasjon, noe som er et spørsmål om hvordan systemet drives snarere enn om det er sertifisert.
