Diagnoza cyberbezpieczeństwa i odporności organizacji (analiza luk)

Zanim organizacja rozpocznie kosztowny projekt wdrożeniowy, warto ustalić, które wymagania już spełnia, gdzie występują luki i jakie ryzyka wymagają pilnych decyzji. Oferujemy diagnozę stanu bezpieczeństwa, procesów i przygotowania do właściwych norm lub regulacji.

Kryteria diagnozy ustalamy indywidualnie: ISO/IEC 27001:2022, TISAX®/VDA ISA (wersja odpowiednia dla planowanej oceny), KSC/NIS2, DORA, ISO 22301:2019 lub zobowiązania umowne. Nie zakładamy automatycznie stosowania wszystkich wymagań do każdej organizacji.

Usługa ma charakter diagnostyczny i doradczy. Nie jest audytem certyfikacyjnym, opinią prawną ani wiążącą oceną zgodności prawnej; w przypadku TISAX® nie stanowi oficjalnej oceny prowadzonej w ramach procesu TISAX®.

Metodyka:

Przed rozpoczęciem diagnozy określamy kryteria, źródła dowodów, jednostki organizacyjne objęte analizą i ograniczenia badania. Weryfikacja może obejmować wywiady, przegląd dokumentacji i wybranych dowodów oraz obserwację procesów. Zakres testów technicznych podlega odrębnemu uzgodnieniu.

Celem diagnozy jest dostarczenie kierownictwu wiarygodnego obrazu stanu zabezpieczeń, ryzyk i luk oraz uzgodnionego planu działań: co należy poprawić, z jakiego powodu, z jakim priorytetem i kto powinien odpowiadać za realizację.

Zakres oceny dobierany do profilu ryzyka i uzgodnionych kryteriów

1. Bezpieczeństwo informacji

  • polityki i zasady,
  • aktywa informacyjne,
  • role i odpowiedzialności,
  • kontrola dostępu,
  • dokumentacja.

2. Cyberbezpieczeństwo

  • zagrożenia i podatności,
  • środki bezpieczeństwa,
  • monitoring – w zależności od umowy: przegląd zarządzania uprawnieniami, wieloskładnikowego uwierzytelniania (MFA), aktualizacji i podatności, ochrony punktów końcowych, kopii zapasowych, rejestrowania zdarzeń, segmentacji sieci i procesów reagowania.

UWAGA ! Podane przykłady nie stanowią usługi wykonania testów penetracyjnych. Testy penetracyjne nie są częścią usługi

  • reagowanie na incydenty,
  • zabezpieczenia organizacyjne i techniczne.

3. Ciągłość działania

  • procesy krytyczne,
  • analiza wpływu na biznes,
  • ryzyka zakłóceń,
  • strategie ciągłości,
  • plany i testy.

4. Dostawcy i łańcuch dostaw

  • dostawcy krytyczni,
  • ocena ryzyka,
  • wymagania bezpieczeństwa,
  • monitoring,
  • poddostawcy.

5. Kryteria i wymagania odniesienia

  • ISO/IEC 27001:2022,
  • TISAX® / VDA ISA2027,
  • NIS2 / KSC,
  • DORA,
  • ISO 22301:2019,
  • wymagania klientów, właścicieli i grup kapitałowych.

OGRANICZENIE ZAKRESU: Nie wszystkie regulacje mają zastosowanie do każdego podmiotu. Kryteria odniesienia wybieramy na podstawie sektora, statusu organizacji i celu diagnozy.

Rezultat diagnozy

Organizacja otrzymuje:

Raport diagnostyczny 4QUALITY – mapa ryzyk i luk

obejmującą:

  • aktualny poziom przygotowania,
  • istniejące rozwiązania,
  • mocne strony,
  • zidentyfikowane luki,
  • najważniejsze ryzyka,
  • obszary wymagające dalszego działania – raport powinien wskazywać przynajmniej: kryterium, dowód lub brak dowodu, stwierdzenie, skutek biznesowy, ocenę istotności, właściciela działania i priorytet. Skale ocen muszą zostać zdefiniowane w metodyce projektu.
  • priorytety.

Na tej podstawie przygotowywana jest:

Plan działań doskonalących – priorytety i odpowiedzialność

obejmujący:

  • działania priorytetowe,
  • kolejność działań,
  • odpowiedzialności,
  • potrzeby kompetencyjne,
  • rekomendowane szkolenia i warsztaty,
  • obszary wymagające opracowania lub aktualizacji,
  • rekomendacje dotyczące dalszego wdrożenia – proponowany termin, zależności, szacowany nakład lub kategorię nakładu oraz sposób weryfikacji skuteczności

Dla kogo?

Cyber Security & Resilience Gap Check kierujemy do:

  • organizacji planujących wdrożenie ISO/IEC 27001:2022,
  • organizacji przygotowujących się do TISAX® / VDA ISA2027,
  • organizacji otrzymujących wymagania cyberbezpieczeństwa od klientów,
  • organizacji objętych KSC lub analizujących swój status podmiotu kluczowego albo ważnego,
  • podmiotów finansowych objętych DORA,
  • organizacji chcących uporządkować ciągłość działania,
  • organizacji chcących ocenić ryzyko dostawców,
  • organizacji chcących zwiększyć odporność cyfrową i operacyjną.

KOMU SZCZEGÓLNIE POMAGAMY: Przedsiębiorstwom produkcyjnym ze środowiskiem IT/OT; dostawcom dużych kontrahentów; podmiotom kluczowym i ważnym w rozumieniu KSC; organizacjom potrzebującym uporządkowania ciągłości działania; firmom przygotowującym się do oceny bezpieczeństwa przez klienta.

Rezultat usługi

  • raport z oceny luk i ryzyk + plan działań z priorytetami + omówienie wyników z kierownictwem.
  • Zakres i cena są ustalane indywidualnie po określeniu kryteriów oceny, liczby lokalizacji, procesów i systemów, dostępności dowodów oraz oczekiwanej szczegółowości. Przed rozpoczęciem prac uzgadniamy metody, produkty końcowe i harmonogram.