Kibernetinio saugumo reikalavimų įgyvendinimas organizacijose dažnai apsiriboja formaliu atitikties užtikrinimu, neįvertinant realaus informacijos saugumo priemonių veiksmingumo. Nacionalinio kibernetinio saugumo centro (NKSC) praktika rodo, kad rizikų vertinimas neretai atliekamas paviršutiniškai, neintegruojant jo rezultatų į sprendimų priėmimą ir informacijos saugumo valdymo sistemos (ISVS) tobulinimą. Dėl to organizacijos ne visada laiku identifikuoja neatitiktis, prisiima perteklines rizikas ir praranda galimybę operatyviai reaguoti į kintančias kibernetines grėsmes.
Kodėl svarbu vertinti ISVS veiksmingumą?
Vien formaliai įdiegtos informacijos saugumo priemonės negarantuoja, kad organizacijos informacijos saugumo tikslai bus pasiekti. ISVS veiksmingumo ir atitikties vertinimas leidžia objektyviai įvertinti, ar taikomos priemonės veikia taip, kaip numatyta, ar jos realiai mažina rizikas ir padeda užtikrinti atitiktį teisės aktų bei kitų reikalavimų nuostatoms. Be patikimų rodiklių vadovybei trūksta pagrįstos informacijos strateginiams sprendimams priimti.
Matavimo sistemos principai
Remiantis ISO/IEC 27004:2016 standartu, ISVS veiksmingumo vertinimas turi būti grindžiamas skaidrumo, palyginamumo, atkartojamumo ir periodinės stebėsenos principais. Rodikliai turi būti aiškiai apibrėžti, o jų apskaičiavimo metodika – pastovi. Svarbu nustatyti pradinį atskaitos tašką (baseline), leidžiantį palyginti rezultatus skirtingais laikotarpiais ir identifikuoti teigiamas ar neigiamas tendencijas.
Siekiant užtikrinti duomenų patikimumą, rekomenduojama taikyti „keturių akių“ principą – matavimo rezultatus prieš teikiant vadovybei turi peržiūrėti bent du atsakingi asmenys. Tai padeda sumažinti klaidų tikimybę ir užtikrina objektyvų vertinimą.
Duomenų šaltiniai ir rodikliai
ISVS veiksmingumo vertinimui duomenys gali būti renkami iš įvairių šaltinių: incidentų valdymo procesų, pažeidžiamumų valdymo, auditų, rizikos vertinimo, darbuotojų mokymų, prieigos kontrolės ar veiklos tęstinumo testavimo rezultatų. Remiantis šiais duomenimis, nustatomi konkretūs rodikliai, kurie turi atitikti SMART principus – būti konkretūs, išmatuojami, pasiekiami, aktualūs ir apibrėžti laike.
Rodikliai gali būti skirstomi į:
- Veiklos rodiklius, parodančius, ar procesai vykdomi pagal planą;
- Veiksmingumo rodiklius, atspindinčius realų informacijos saugumo priemonių poveikį;
- Tikslų pasiekimo rodiklius, rodančius strateginių tikslų įgyvendinimą;
- Kritinius sėkmės veiksnius, nuo kurių priklauso bendras ISVS brandumas.
Nuolatinė stebėsena ir tobulinimas
ISVS veiksmingumo vertinimas yra nuolatinis procesas. Organizacijos privalo reguliariai atlikti atitikties stebėseną, dokumentuoti rezultatus, rengti neatitikčių šalinimo planus ir stebėti korekcinių veiksmų įgyvendinimą. Surinkti duomenys turi būti analizuojami ir naudojami ISVS tobulinimui, o pats matavimo procesas – periodiškai peržiūrimas ir atnaujinamas pagal pasikeitusius organizacijos poreikius, rizikas ar teisinius reikalavimus.
Apibendrinimas
Efektyvus kibernetinio saugumo reikalavimų veiksmingumo ir atitikties vertinimas leidžia organizacijoms pereiti nuo formalaus atitikimo prie realios, duomenimis grįstos informacijos saugumo brandos. Tik nuosekliai taikant aiškius rodiklius, sistemingai renkant ir analizuojant duomenis bei įtraukiant vadovybę į sprendimų priėmimą galima užtikrinti, kad ISVS ne tik egzistuotų, bet ir realiai stiprintų organizacijos atsparumą kibernetinėms grėsmėms.
Turite klausimų, ar norite sužinoti daugiau apie ISVS efektyvumo užtikrinimą? Susisiekime.