אתם מודדים חוסן קיברנטי על ידי גילוי מידת הבשלות של היכולת שלכם בכל הנוגע לגילוי, תגובה והתאוששות, לא על ידי ספירת הבקרות שהפעלתם. בקרה קיימת או שלא. בגרות היא שונה: היא מתארת עד כמה הבקרה מיושמת באופן עקבי, האם היא תלויה בזיכרון של אדם אחד, והאם היא משתפרת לאחר כל אירוע או נשארת בדיוק כפי שהותקנה. הסולם הנפוץ ביותר לכך הוא ארבע רמות היישום של NIST, ודף זה מציג כיצד נראית כל רמה בפועל, מה לבדוק כדי למקם את עצמכם בה, וכיצד להתקדם אחת למעלה.
- רמת בגרות, לא אחוז, משום שהחוסן משתפר בשלבים ולא על ידי השגת ציון.
- גילוי ושחזור הן הפונקציות שהערכת בגרות חושפת לרוב כחלשות מההנחה.
- הרמות חלות על כולו חוסן ברשת מסגרת, לא לבקרה בודדת בפני עצמה.
- הערכה כנה חשובה יותר מהערכה תכופה: רמה שלא ניתן להגן עליה בפני רואה חשבון אינה תוצאה אמיתית.
- התוצאה היא קלט אחד לציון החוסן הרחב יותר, לא תחליף לו.
מדוע למדוד חוסן סייבר בנפרד מחוסן עסקי?
מכיוון שהם עונים על שאלות שונות. ציון החוסן מודד את כל הארגון שלך על פני שלושת התחומים של לולאת החוסן: אבטחת מידע, פרטיות נתונים וממשל בינה מלאכותית. זוהי תצוגת תיק עבודות. דף זה מודד פרוסה אחת של תיק עבודות זה לעומק: עד כמה היכולת שלך בוגרת במיוחד כנגד מתקפות סייבר, על פני הפונקציות שנקבעו במסגרת החוסן הקיברנטי.
ההבחנה חשובה משום שממוצע מסתיר את התשובה שאתם צריכים. ארגון יכול לשאת עמדה מכובדת בחוסן כללי, בעוד שפונקציות הגילוי וההחלמה שלו מפגרות שנים אחרי פונקציות המניעה. ציון תיק לא יעלה על כך. הערכת בגרות המתמקדת ספציפית בסייבר כן תעשה זאת, משום שהיא בוחנת כל פונקציה בפני עצמה במקום למזג אותה למספר אחד.
התייחסו לדף זה ככלי מפורט ולציון החוסן כלוח המחוונים. הפעילו הערכה זו תחילה אם סייבר הוא המקום בו מתמקד הסיכון שלכם, ולאחר מכן הזינו את התוצאה כלפי מעלה לאחר שתהיה לכם אותה.
מהן דרגות הבגרות, ואיך יודעים איפה אתם נמצאים?
מסגרת אבטחת הסייבר של NIST מגדירה ארבע שכבות יישום המתארות כיצד ארגון מנהל סיכוני סייבר, החל מפרקטיקה אד-הוק ועד לתוכנית שמתאימה את עצמה באופן עצמאי. אלו הן סולם בגרות המבוסס על הפונקציות, ולא פונקציה חמישית או תחליף להן.
- חלקיקיימות נהלים אך מיושמים אד-הוק, בדרך כלל באופן תגובתי, ואינם מנוהלים כתוכנית כלל-ארגונית. סיכונים מטופלים כל מקרה לגופו ולא כנגד תיאבון סיכון מוצהר.
- מושכל סיכוןהנהלת החברה אישרה נוהלי ניהול סיכונים, אך הם אינם מבוססים כמדיניות כלל-ארגונית והיישום אינו עקבי בין הצוותים.
- חזורנהלים מאושרים רשמית, מבוטאים כמדיניות, ומיושמים באופן עקבי ברחבי הארגון. לצוות יש את הידע והכישורים ליישם אותם, והמדיניות נבדקת באופן קבוע.
- מסתגלהארגון מתאים את שיטות העבודה שלו על סמך לקחים שנלמדו ועל סמך מודיעין איומים, ומשפר באופן רציף באמצעות ניהול סיכונים אקטיבי במקום מחזור שנתי קבוע.
רוב הארגונים שמעולם לא ביצעו הערכה רשמית נמצאים במצב של הערכה חלקית או מבוססת סיכון מבלי להבין זאת, משום שבקרות מניעה יוצרות תחושה של בגרות שגילוי והתאוששות אינם תומכים בה. רמה נחשבת רק אם ניתן להצביע על ראיות לכך, שזה נושא הסעיף הבא.
| נִדבָּך | מה שאתה יכול להצביע עליו כראיה | היכן שרוב החברות הקטנות והקטנות יושבות בפועל |
|---|---|---|
| חלקי | שום דבר לא כתוב. מי שטיפל בתקרית האחרונה עשה זאת בדרכו שלו. | נפוץ לפני תחילת כל עבודה רשמית בנושא חוסן קיברנטי. |
| מושכל סיכון | קיימת מדיניות וההנהלה אישרה אותה, אך שני צוותים יכולים לתאר אותה בצורה שונה. | העמדה הנפוצה ביותר עבור ארגונים באמצע תוכנית אבטחה. |
| חזור | אותה מדיניות, מיושמת באותו אופן, על ידי מי שנמצא במשמרת, עם תאריך לסקירה ביומן. | אופייני לארגון המוסמך לתקן ISO 27001 ששומר על המערכת פעילה במקום לגנוז אותה. |
| מסתגל | יומן שינויים המציג את עדכון המדיניות לאחר אירוע אמיתי או פיסת מודיעין איומים ספציפית. | נדיר, ובדרך כלל מושג פונקציה אחר פונקציה ולא על פני כל המסגרת בבת אחת. |
קרא את העמודה האמצעית פשוטו כמשמעו. רמה אינה הערכה עצמית מול תיאור. זוהי טענה שחייבת לשרוד אם מישהו מבקש לראות את ההוכחה.
יש תמונה גדולה יותר מאחורי זה.
עמוד זה מכסה חלק אחד של חוסן עסקי. חוסן אמיתי - המסגרת של IO לחיבור אבטחה, פרטיות וממשל בינה מלאכותית - הוא המקום שבו התמונה המלאה מתחברת.
מה בעצם כדאי להעריך?
הערכת חוסן הסייבר כדבר אחד מניבה תשובה מעורפלת. הערכתו לפי פונקציות, מול ששת הפונקציות שנקבעו במסגרת חוסן הסייבר , מייצרת שכבה לכל פונקציה ומראה בדיוק היכן נמצא הפער במקום ממוצע שמסתיר אותו.
| אזור | אות שאתה עדיין במצב חלקי | אות שהגעת למצב Repeatable או מעליו |
|---|---|---|
| נראות וזיהוי | רישום קיים, אך איש אינו בודק אותו אלא אם כן משהו כבר השתבש. | התראות ממוינות לפי לוח זמנים מוגדר על ידי אדם ספציפי, בין אם קרה משהו ובין אם לא. |
| תגובה לאירוע | התוכנית היא מסמך שאף אחד לא קרא מאז שנכתב. | התוכנית מומשה בשנה האחרונה והתרגיל שינה בה משהו. |
| התאוששות | גיבויים קיימים. אף אחד לא תזמן שחזור. | שחזור תוזמן ביחס ליעד שחזור שהוצהר והגיע לרמה שלו. |
| צד שלישי ושרשרת אספקה | ספקים מתקבלים פעם אחת ולעולם אינם עוברים הערכה מחדש. | ספקים קריטיים מוערכים מחדש במחזור והגישה שלהם נבדקת מולה. |
| ממשל ודיווח | הדירקטוריון שומע על סיכוני סייבר רק לאחר תקרית. | הדירקטוריון מקבל דוח קבוע על כיסוי ופערים פתוחים, הנבדק מול התוכנית. |
חמישה תחומים, ודפוס ששווה לנקוב בו: כל אות חלקי בעמודה האמצעית מתאר משהו שקיים על הנייר. כל אות חוזר מתאר משהו שכבר מופעל או נבדק בפועל. זה כל ההבדל בין שני קצוות הסקאלה.
איך הופכים הערכה לפרופיל יעד?
הגישה של NIST לשימוש ברמות השונות היא לדרג את הפרופיל הנוכחי, לקבוע פרופיל יעד ולהתייחס למרחק בין השניים כאל תוכנית. יש לקבוע את היעד לפי סיכון, לא לפי אמביציה. כיוון ל"אדפטיבי" בכל מקום, כאשר החשיפה בפועל אינה מצדיקה את ההוצאות התקציביות, טוען עמוד אסטרטגיית חוסן הסייבר, צריך להתמקד במקום אחר. לארגון מוסדר המטפל במידע רגיש יש פרופיל יעד שונה מעסק קטן עם נכס פשוט, ואת שניהם ניתן למקם בצורה נכונה לחלוטין ברמות שונות.
בפועל, פירוש הדבר הוא לדרג את עמדתכם, פונקציה אחר פונקציה, בכנות ובניגוד לראיות ולא לכוונה; לבחור רמת יעד לכל פונקציה בהתבסס על מה שהפונקציה הזו מגנה בפועל; ולהתייחס לפער בין השניים כאל צבר ולא כאל התוכנית כולה. לקבלת מדריך מלא של שלבי ניתוח הפערים והיקף הפרויקטים של NIST, עיינו במדריך שלנו ל- NIST CSF 2.0.
התחל את תקופת הניסיון בחינם
רוצה לחקור?
הירשם לגרסת הניסיון החינמית שלך עוד היום וקבל יד על כל תכונות התאימות שיש ל-ISMS.online להציע
כיצד בגרות חוסן סייבר מתחברת ללולאת החוסן?
כמעט כל ראיה שרמת בגרות מבקשת מתבקשת גם ממשהו אחר. מדיניות שנבדקה, בעלים ששמו נקבע, שחזור שנבדק: אותן רשומות שמעבירות אותך ממודעות סיכון לניתנות לחזרה בקנה מידה קיברנטי הן הרשומות שביקורת אבטחת מידע רוצה לראות.
לולאת החוסן מפעילה אבטחת מידע תחת תקן ISO 27001 , פרטיות נתונים תחת תקן ISO 27701 וממשל בינה מלאכותית תחת תקן ISO 42001 כמערכת מחוברת אחת. הערכת בגרות המתמקדת בסייבר נמצאת בתוך המערכת המשותפת ולא לצידה. הראיות שנדרשת כ-Repeatable Tier הן אותן ראיות שמבקש מבקר ISO 27001, ואותן ראיות שמזינות את תחום האבטחה של ציון החוסן שלכם. הפעל את ההערכה פעם אחת והיא עונה על שתי השאלות.
למה לבחור ב-ISMS.online למדידת חוסן סייבר?
טענת בגרות טובה רק כמו הראיות שמאחוריה, והראיות נרקבות ברגע שהן מפסיקות להיות מתוחזקות. ISMS.online שומר על ההערכה עדכנית במקום להתייחס אליה כאל תרגיל חד פעמי.
- ציון לפי פונקציה, לא לפי ממוצעראה את הרמה עבור זיהוי, תגובה ושחזור בנפרד, כך שממוצע חזק לא יכול להסתיר פונקציה חלשה.
- ראיות מצורפות לכל טענהתרגילים, מבחני שחזור וסקירות מתועדים תוך כדי אירוע, ולא משוחזרים לצורך ביקורת.
- סט בקרה אחד, כל סטנדרטאותן ראיות תומכות ב-NIST CSF, ISO 27001 ובציון החוסן הרחב יותר מבלי לחזור על העבודה.
- פרופילים מכוונים עם בעליםכל פונקציה מקבלת שכבת יעד ובעלים בשם האחראי על סגירת הפער.
- רמות הספקים שנבדקו לצד שלךסיכון צד שלישי נמצא באותה מערכת ולא בגיליון אלקטרוני נפרד.
- נבנה עבור שווקים בבריטניה ושווקים מוסדריםמיועד לארגונים שצריכים להראות את טענת הבגרות שלהם בפני רואה חשבון או לקוח, ולא רק לטעון אותה.
ראו איך זה משתלב בפלטפורמת החוסן העסקי , או הזמינו הדגמה.
שאלות נפוצות
מהי הדרך המהירה ביותר לעלות רמה?
תקן את הפונקציה החלשה ביותר במקום ללטש את החזקה ביותר. רוב הארגונים כבר קרובים למצב של "חזרה על עצמה" מבחינת מניעה ומאחורי שנים מבחינת גילוי ושחזור, כך שמדיניות כתובה, בעלים ששמו נקוב ובדיקה אחת שבוצעה על הפונקציה החלשה ביותר מקדימה את הרמה מהר יותר מכל כמות של עבודה נוספת על בקרות שכבר עובדות. הראיות בטבלאות לעיל מראות את הדפוס: זה תמיד עניין של מה שנבדק, לא מה שנרכש.
לאיזה רמה צריכה עסק קטן לשאוף?
איזו מהן מתאימה לחשיפה בפועל, לא הגבוהה ביותר הזמינה. עסק קטן עם נכס פשוט וחשיפה רגולטורית נמוכה יכול להיות ממוקם בצורה נכונה ברמת סיכון מעודכנת עבור פונקציות מסוימות. כוונה לניהול מסתגל בכל מקום ללא קשר לסיכון מוציאה מאמץ שהיה מועיל יותר לסגירת פער אמיתי בגילוי או בהתאוששות.
האם הערכת בגרות זהה להערכת סיכונים?
לא, והשניים לרוב מבולבלים. הערכת סיכונים מזהה מה יכול להשתבש וכמה גרוע. הערכת בגרות שואלת עד כמה התגובה שלך לסיכון הזה מנוהלת בפועל, האם היא מתועדת, מיושמת באופן עקבי ומוכחת. רוב התוכניות זקוקות לשניהם: הערכת הסיכונים קובעת את פרופיל היעד, והערכת הבגרות מראה את הנוכחי.
באיזו תדירות כדאי להעריך מחדש את רמת הבגרות שלך?
לפחות פעם בשנה, ומיד לאחר כל אירוע שבחן את התגובה או ההתאוששות באמת. רמה שלא הוערכה מחדש לאחר אירוע אמיתי אינה עדכנית, ללא קשר לציון הסקירה הרשמית האחרונה. פונקציות מסוימות, במיוחד גילוי והתאוששות, שוות בדיקה לעתים קרובות יותר משום שהן אלו שסביר להניח שהן החליקו בשקט.
האם הסמכת ISO 27001 מבטיחה רמת בגרות גבוהה?
לא, למרות שזה מקל הרבה יותר על ההגעה וההוכחה לרמה גבוהה. הסמכה מאשרת שקיימת מערכת ניהול ועוברת ביקורת עצמאית, מה שתומך ב-Repearable. הגעה ל-Adaptive דורשת בנוסף ראיות לכך שהנהלים משתנים בתגובה ללקחים שנלמדו ולמודיעין איומים, וזה עניין של אופן ניהול המערכת ולא אם היא מוסמכת.
