Virtuális CISO · Jelentések
A jelentés, amit a vezetőség elolvas — ugyanabból az adatból, amiből dolgozunk
A szokásos biztonsági beszámoló az ülés előtti héten áll össze, egy olyan rendszerből, amit amelyet a jelentés szerzőjén kívül a résztvevők közül senki sem látott, és olyasvalaki írja, aki tudja, melyik számot érdemes kihagyni. Az Önöké onnan jön, ahol a munka ténylegesen történik: nehézebb megírni, és sokkal könnyebb elhinni.
A biztonsági pontszám annyit ér, amennyit a mögötte álló napló
Egyetlen tízes skálán mozgó érték az, ami egy vezetőségi ülést épségben túlél, tehát érdemes, hogy legyen. Önmagában viszont ez a legkönnyebben előállítható szám is — ezért nem hiszi el igazán egyetlen felső vezető sem.
Az Önöké alatt ott van az eseménynapló: minden változás, ami elmozdította a pontszámot, és az időpontja. Ettől lesz a „4,1-ről 7,2-re mentünk” állításból valami, amit bárki a teremben megnyithat és visszakövethet. Ugyanez a felület keretrendszerenként mutatja a megfelelőséget, nem egyetlen átlagban, és súlyosság szerint számolja a külső megállapításokat.
- Biztonsági pontszám 0-tól 10-ig, mellette a havi elmozdulás
- Eseménynapló minden változásról, ami mozdított rajta, és arról, mikor történt
- Megfelelőség keretrendszerenként, soha nem egyetlen átlagba olvasztva
- A külső megállapítások súlyosság szerint számolva, nem bekezdésben leírva
Aszerint pontozva, ami ténylegesen megtörténhet Önökkel
A területek és a kontrollok a mi szókincsünk, nem a vezetőségé. Egy igazgató nem hozzáférés-kezelésben gondolkodik, hanem következményekben — és abban, hogy ez bekerülne-e a sajtóba. Ezért ugyanaz a helyzetkép következmény szerint is kap pontszámot, ugyanazon a skálán.
- 01
Adatszivárgás
Ügyféladatok, szerződések, rajzok, bérlisták — az az anyag, aminek a kikerülése bejelentési kötelezettség és beszélgetés a legnagyobb ügyfelükkel, nem pedig informatikai incidens.
- 02
Weboldal meghamisítása
A legkisebb technikai esemény a legnagyobb közönséggel. Azért kap külön pontszámot, mert az ezt megelőző kontrollok gyakrabban vannak egy webes ügynökségnél, mint bárkinél a saját bérlistájukon.
- 03
Zsarolóvírus
Amiről minden vezetőség olvasott már. A teljes láncra pontozva: hogyan jut be, meddig jut el, és hogy a mentések valóban visszahoznák-e Önöket.
- 04
Csalás
Számlaátirányítás, vezetők megszemélyesítése, telefonon elfogadott fizetési módosítás. Jellemzően folyamat- és képzéskérdés, ezért szokott a többitől eltérő pontszámot kapni.
A célvonal a lényeg, nem az ábra alakja
Minden biztonsági terület az Önök szervezetére beállított célértékhez mérve kap pontszámot — méret, ágazat, kötelezettségek szerint —, nem pedig a maximumhoz. A mindenhol tízes se nem cél, se nem költségvetés, és az az ábra, amelyik ezt sugallja, a második negyedévtől figyelmen kívül marad.
A hasznos olvasat tehát a két vonal közötti távolság, a szűrő pedig, ami számít, a célérték alatti területeket mutatja. Az a rövid lista a napirend, és mindegyik eleméhez feladatok tartoznak az intézkedési tervben — ott válik a napirendből határidő. A többi annak bizonyítéka, hogy a már elvégzett munka tartja magát.
- Minden terület az Önök szervezetére szabott célértékhez mérve, nem a tízeshez
- Célérték alatti szűrő — az ábrának egyedül ez a része az, ami döntést igényel
- Ugyanazok a területek, amelyek szerint a feladatlista és a kockázati nyilvántartás rendezve van
- Olyan alakzat, amely negyedévről negyedévre változik — a trend valójában így néz ki
Egyetlen dokumentum, azoknak írva, akik egyik megbeszélésen sem voltak ott
A havi jelentés egyetlen dokumentum, nem exportált fájlok mappája, és abban a sorrendben halad, ahogy annak kell, aki nem volt jelen: mit akar védeni a cég, hol áll a helyzetkép, mit találtunk, mibe kerülne Önöknek, és mi következik.
Nemcsak ütemezve készül, hanem kérésre is, így ami bekerül egy vezetőségi anyagba, az az összeállítás napjának állapota, nem pedig az, ahol az utolsó ciklus véletlenül véget ért.
- Az Önök üzleti céljai, a saját szavaikkal — mert utána minden ezekhez mérve áll
- A biztonsági pontszám és az elmozdulás az előző jelentés óta
- A megállapítások, külsők és belsők, azzal együtt, hogy mit tárnak fel valójában
- A kockázati mátrix, eredendő és maradványértékkel, és a kiemelt kulcskockázatok
- A beszállítói kép — a kényelmetlen meglepetések többsége itt lakik
- A kezelési terv, és az a tíz feladat, ami a következő jelentésig a legfontosabb
Egy auditor, egy ügyfél és egy biztosító más-más dokumentumot vár
A vezetőségi jelentést kifelé küldeni mindkét irányban hiba: túl sokat mond a gyengeségeikről, és túl keveset arról, amiért az olvasó jött. Ezért ugyanaz az adat többféle formában jelenik meg.
- 01
Az auditornak
A megfelelőségi jelentés: egyetlen keretrendszer kontrolljai, az állapotuk és a mögöttük álló munka, abban a sorrendben, ahogy maga a keretrendszer íródott.
- 02
Az ügyfélnek
Beszállítói nézőpontú kép a saját helyzetükről — mit mérnek fel, milyen gyakran, és mit kezdenek azzal, amit találnak — azokhoz a kérdőívekhez, amelyek ma már minden meghosszabbítással megérkeznek.
- 03
A biztosítónak
A külső kitettség képe: amit egy támadó kívülről lát, mindenféle együttműködés nélkül, és ami az előző ránézés óta lezárult.
- 04
Az üzletmenet-folytonossághoz
Az üzleti hatáselemzés: mely folyamatok számítanak, melyik meddig állhat, és mik a függőségek alattuk.
Minden szám beolvasva érkezik, nem átgépelve
A jelentés abból a rendszerből készül, amelyikben a munka zajlik. Nincs köztük táblázat, tehát a vezetőségi anyagban lévő szám és a képernyőn látható ugyanaz a szám nem tud észrevétlenül szétcsúszni — ami a biztonsági riportálás szokásos bukása, és nagyjából az oka annak, hogy egy vezetőség a negyedik hónap körül már nem hisz a prezentációnak.
Nem is kell senkinek megvárnia a ciklust. A vezetőségük ugyanazokat a felületeket bármikor megnézheti, csak olvasási joggal, és a jelentés ettől olyasminek az összefoglalója lesz, amit már eddig is láthattak, nem pedig az egyetlen ablak, amit kapnak.
Gyakran ismételt kérdések
A biztonsági és IT-vezetőktől leggyakrabban kapott kérdések.
Nem találja, amit keres? Kérdezzen tőlünk közvetlenül
Havonta vezetői jelentést, a negyedéves áttekintéshez pedig bővebb anyagot — ezen túl bármelyik napon készülhet jelentés, amikor szükségük van rá, és a gyakorlatban ez többet számít, mint maga a ritmus. Az értelmezést a vezető vCISO írja. A számok automatikusan jönnek a rendszerből; az, hogy mit jelentenek, mit javaslunk, és milyen döntést kérünk Önöktől, nem — és a dokumentum értékének nagy része éppen ez.
A vezetői jelentést nem, és ezen vitáznánk is Önökkel. Az azoknak készül, akiknek joguk van pontosan tudni, hol gyengék — ez pedig rövid lista. Kifelé külön dokumentum megy, az olvasójához igazítva: megfelelőségi jelentés az auditornak, beszállítói összefoglaló egy ügyfélkérdőívhez, külső kitettségi kép a biztosítónak. Mindegyik azt viszi, amire az adott olvasónak szüksége van, és kihagyja azt, amihez semmi köze. A küldés az Önök döntése és aláírása, nem a miénk.
Nem, és aki ranglistát kínál Önöknek, az ranglistát ad el. A pontszám a méretükhöz, ágazatukhoz és kötelezettségeikhez választott sablon szerint számolódik, a szervezetükre beállított célértékekhez mérve — tehát két azonos számot mutató céget más-más dologhoz mértek, és az összevetés zaj. A saját eredményeit érdemes időben összehasonlítania: azonos hatókör, azonos sablon, hónapról hónapra. Az egyetlen réteg, amit mindenkinél ugyanúgy mérnek, a külső kitettség — amit egy támadó az internetről lát, mindenféle együttműködés nélkül —, és ezért szerepel külön.
Nyissa meg. Minden elmozdulás visszavezethető az adott időszakban lezárt feladatokra, és egy feladat csak ellenőrzés után lesz kész, tehát semmi nem mozdítja a számot attól, hogy valaki péntek délután kipipálta. Amit kívülről látni lehet, arra van egy második ellenőrzés is: az a lezárt feladat, amelyhez kapcsolódó megállapítás a következő vizsgálatban is megjelenik, újra kinyílik. Érdemes kimondani ugyanennek a kényelmetlen felét is: ha a szám két jelentés között csökken, azt is látni fogják, ugyanazzal a naplóval alatta.
Hol tart most, és mi következik
Beszállítói kockázat
Beszállítói felmérés válaszok és bizonyítékok alapján, nevesített szakértő által jóváhagyott minősítéssel.
Hogyan dolgozunk
A havi ritmus, hogy kivel tartja a kapcsolatot, és mit kérünk Öntől.
Készen áll a kezdésre?
Dolgozzon együtt a Spirity Enterprise-zal, hogy a szervezetéhez illő biztonsági és IT-megoldások valósuljanak meg.