Analiza luk (gap analysis) ISO 27001, DORA i NIS2. Darmowe narzędzie i jak z niego mądrze skorzystać.

No to oddajemy trzy darmowe narzędzia do analizy luk: ISO 27001, DORA i NIS2. Kwadrans pytań, wynik od ręki i raport z dziesięcioma lukami, od których warto zacząć.

No to konkret na start. Zanim kupisz pakiet dokumentacji, system GRC albo godziny konsultanta, musisz wiedzieć jedną rzecz: gdzie właściwie jesteś. Bez tego każda złotówka idzie trochę na ślepo. Dlatego uruchamiamy trzy darmowe narzędzia do analizy luk… ISO 27001, DORA i NIS2, wszystkie zebrane pod adresem /analiza-luk.

Czym jest analiza luk i dlaczego zaczynasz właśnie od niej

Analiza luk, po angielsku gap analysis, to porównanie stanu obecnego z tym, czego wymaga norma albo regulacja. Proste w założeniu: tu jesteśmy, tam mamy być, a pomiędzy jest lista rzeczy do zrobienia. Sztuka polega na tym, żeby ta lista była uczciwa i miała kolejność.

Najczęstszy błąd, jaki widzimy, to odwrócona kolejność. Firma kupuje komplet polityk albo licencję narzędzia, a dopiero po pół roku orientuje się, że największa dziura była zupełnie gdzie indziej. Na przykład w tym, że nikt nigdy nie zrobił porządnej analizy ryzyka, więc połowa dokumentów opiera się na powietrzu.

Gap analysis odpowiada na trzy pytania. Co już masz i działa. Czego brakuje całkowicie. Co jest na papierze, ale w praktyce nie żyje. Ta trzecia kategoria jest ponoć najliczniejsza… i najbardziej zdradliwa.

Jak działają nasze narzędzia

Każde z trzech narzędzi to zestaw pytań pogrupowanych w obszary. Na każde pytanie odpowiadasz na skali dojrzałości od 1 do 5, a jeśli wymaganie w ogóle Cię nie dotyczy, zaznaczasz “Nie dotyczy”. Całość zajmuje mniej więcej kwadrans.

Po ostatnim pytaniu od razu widzisz wynik ogólny i wykres z wynikami dla poszczególnych obszarów. Bez rejestracji, bez czekania na telefon od handlowca. Jeśli chcesz pójść dalej, klikasz „Pokaż pełny raport” i dostajesz go od razu na stronie: dziesięć priorytetowych luk wraz z rekomendacjami, co z nimi zrobić, plus wersja do druku albo PDF. Też za darmo. Mail jest opcjonalny i służy tylko do zapisu na nasz newsletter, osobną zgodą i potwierdzeniem linkiem (double opt-in). Nie wpływa na dostęp do raportu.

Pytania nie są równe. Część z nich dotyczy rzeczy, bez których system po prostu nie istnieje, więc mają najwyższą wagę (3) i mocniej wpływają na wynik oraz na kolejność w raporcie. O tym za chwilę.

Jak czytać skalę 1-5

Skala jest celowo prosta. 1, Brak: nic nie ma, nikt się tym nie zajmuje. 2, Zaplanowane: jest decyzja albo pozycja w planie, ale nic jeszcze nie działa. 3, W trakcie: coś się dzieje, są szkice, pilotaż, część zakresu. 4, Wdrożone: działa i jest udokumentowane, ludzie są przeszkoleni, choć brakuje jeszcze systematycznego pomiaru. 5, Zoptymalizowane: działa, jest mierzone i regularnie poprawiane na podstawie wyników.

Granica, która naprawdę ma znaczenie, leży między 3 a 4. “W trakcie” bywa stanem, w którym firmy tkwią latami. Polityka napisana, ale niezatwierdzona. Procedura zatwierdzona, ale nikt jej nie przećwiczył. Dopiero 4 oznacza, że jest co pokazać audytorowi albo nadzorcy.

Piątki nie są celem samym w sobie. Dla większości organizacji solidne 4 w obszarach o wadze 3 jest dużo cenniejsze niż piątki w obszarach pobocznych.

Jak zrobić to uczciwie

Narzędzie jest tak dobre, jak odpowiedzi, które do niego wpiszesz. Jeśli wypełni je jedna osoba z IT w piątek po południu, wynik będzie mówił więcej o jej humorze niż o organizacji.

Najlepiej usiąść w małym składzie: ktoś od bezpieczeństwa, ktoś z IT, ktoś z biznesu albo compliance, a przy pytaniach o nadzór także ktoś z zarządu. Kwadrans zamienia się wtedy w godzinę, ale to dobrze wydana godzina, bo przy okazji wychodzą rozbieżności w tym, jak różni ludzie widzą tę samą rzeczywistość.

Druga zasada: dowody, nie deklaracje. Przy każdym pytaniu zadaj sobie wprost pytanie, co pokazałbyś audytorowi. Jeśli odpowiedź brzmi “no, wszyscy wiedzą, że tak robimy”… to nie jest 4. To jest najwyżej 2 albo 3.

Trzecia: “Nie dotyczy” trzeba umieć uzasadnić. W ISO 27001 każde wyłączenie kontroli z Annex A ląduje w deklaracji stosowania (SoA) z uzasadnieniem. W DORA i NIS2 wyłączenia też muszą wynikać z zakresu działalności, a nie z wygody. Jeśli zaznaczasz “Nie dotyczy”, od razu zapisz sobie jednym zdaniem dlaczego.

Co zrobić z wynikiem

Wynik ogólny jest miły dla oka, ale pracujesz na lukach. Zacznij od pytań o wadze 3, na których masz 1 albo 2. To są rzeczy fundamentalne, bez których reszta się sypie, i właśnie one zajmują czołówkę raportu.

W ISO 27001 to zwykle szacowanie ryzyka, deklaracja stosowania (SoA), audyt wewnętrzny i przegląd zarządzania. Bez analizy ryzyka nie ma uzasadnienia dla kontroli, bez SoA nie wiadomo, które zabezpieczenia stosujesz i dlaczego, a bez audytu i przeglądu nie ma dowodu, że system w ogóle się kręci.

W DORA na górze listy prawie zawsze lądują rejestr informacji o umowach z dostawcami ICT, proces klasyfikacji i zgłaszania poważnych incydentów oraz klauzule umowne z art. 30. Te trzy rzeczy nadzorca widzi najszybciej, bo albo masz rejestr gotowy do wysłania, albo nie masz.

W NIS2 i KSC kluczowe są zatwierdzenie środków zarządzania ryzykiem przez kierownictwo i szkolenia zarządu, proces zgłaszania incydentów oraz bezpieczeństwo łańcucha dostaw. Odpowiedzialność ląduje na zarządzie osobiście, więc jeśli zarząd nie zatwierdził niczego na piśmie, to jest luka numer jeden.

Typowe luki, które widzimy

Kilka wzorców powtarza się tak często, że można by je wydrukować z góry. Analiza ryzyka zrobiona raz, przy wdrożeniu, i od tamtej pory nieruszana. Rejestr aktywów w arkuszu, który pamięta czasy poprzedniego administratora… klasyczny skansen.

Incydenty obsługiwane sprawnie technicznie, ale bez procedury, bez progów klasyfikacji i bez zegara liczącego terminy zgłoszeń. Dostawcy ocenieni przy podpisaniu umowy i nigdy więcej. Szkolenia dla pracowników są, szkolenia dla zarządu jakoś nie.

I wreszcie testy ciągłości działania. Plan istnieje, tylko nikt go nigdy nie odpalił. Pierwszy prawdziwy test odbywa się zwykle w trakcie prawdziwej awarii, a wtedy jest już pozamiatane.

Analiza luk ISO 27001

Narzędzie ISO 27001 prowadzi przez rozdziały 4-10 normy, czyli kontekst, przywództwo, planowanie, wsparcie, działania operacyjne, ocenę efektów i doskonalenie, a potem przez obszary Annex A. Dostajesz obraz zarówno systemu zarządzania, jak i samych zabezpieczeń.

Jeśli dopiero zaczynasz, przeczytaj też nasz przewodnik ISO 27001 krok po kroku. A gdy już wiesz, czego brakuje w dokumentacji, gotowy komplet znajdziesz w pakiecie dokumentacji ISO 27001.

Analiza luk DORA

Narzędzie DORA obejmuje ład wewnętrzny, ramy zarządzania ryzykiem ICT, incydenty, testowanie odporności, ryzyko związane z zewnętrznymi dostawcami ICT i wymianę informacji. Jest też osobna sekcja dla dostawców usług ICT, którzy sami nie są podmiotami finansowymi objętymi DORA, ale ich klienci z sektora finansowego wymagają od nich zgodności.

Nie masz pewności, czy DORA Cię dotyczy? Sprawdź w kalkulatorze DORA. Dostawcy ICT znajdą więcej na stronie dla dostawców ICT, a cały proces opisaliśmy w artykule DORA krok po kroku. Dokumentację zamkniesz pakietem DORA.

Analiza luk NIS2 i KSC

Narzędzie NIS2 sprawdza obowiązki kierownictwa, dziesięć środków zarządzania ryzykiem z art. 21 i zgłaszanie incydentów. To dokładnie te obszary, o które pyta organ i które przekładają się na osobistą odpowiedzialność zarządu.

Zacznij od pytania, czy w ogóle jesteś w zakresie: kalkulator NIS2 i artykuł NIS2 i KSC 2.0, kogo dotyczy. Gdy zakres jest jasny, pakiet dokumentacji NIS2 / KSC skraca drogę od luk do gotowych procedur.

Kiedy zadzwonić do eksperta

Narzędzie daje mapę, ale nie przejdzie trasy za Ciebie. Jeśli raport pokazuje kilkanaście luk o wadze 3, jeśli nie wiesz, jak zbudować metodykę ryzyka, albo jeśli nadzorca już zapowiedział kontrolę, to jest moment, żeby ktoś z ogarem w temacie spojrzał na to z zewnątrz.

Ile to może kosztować w różnych wariantach, rozpisaliśmy w artykule ile kosztuje wdrożenie DORA i NIS2. A jeśli chcesz porozmawiać o konkretach, zajrzyj do usług doradczych. Przyjdź z raportem z analizy luk, oszczędzimy sobie nawzajem pierwszego spotkania :D

Kwadrans teraz, zamiast kilku miesięcy błądzenia później. Wybierz swoje narzędzie na /analiza-luk i zobacz, gdzie naprawdę jesteś.

Pisał ktoś z zespołu RealSec. Jak chcesz pogadać o tym konkretnie ; napisz do nas.

← Wszystkie notatki