’n Kuberveerkragtigheidstrategie is die stel besluite oor waarheen beperkte geld en aandag gaan: wat jy die hardste sal verdedig, vir watter scenario's jy beplan, hoeveel ontwrigting jy bereid is om te aanvaar, en hoe moeite verdeel word tussen die stop van aanvalle en die oorlewing daarvan. ’n Raamwerk vertel jou wat die komponente is. ’n Strategie besluit watter van hulle jy eerste befonds, en hoekom, in taal wat ’n raad kan goedkeur.
- 'n Kort lys van wat werklik nie verlore kan gaan nie, eerder as 'n bewering dat alles krities is.
- Benoemde scenario's waarteen jy beplan, doelbewus gekies.
- 'n Ooreengekome toleransie vir ontwrigting, onderteken deur mense wat die gevolge besit.
- 'n Eksplisiete verdeling tussen voorkoming en herstel, in plaas van een by verstek.
- 'n Volgorde, want alles kan nie eerste wees nie.
- Maatstawwe wat vordering toon sonder dat 'n insident dit moet bewys.
Wat is 'n kuberveerkragtigheidstrategie?
'n Strategie is 'n stel keuses onder beperking. As begroting en aandag onbeperk was, sou daar geen strategie wees nie, slegs 'n lys van goeie praktyke om te implementeer. Die rede waarom strategie bestaan, is dat jy nie alles op een slag kan doen nie, so iemand moet besluit wat eerste kom en wat willens en wetens vir nou aanvaar word.
Dit is wat dit van die raamwerk onderskei. Die raamwerk vir kuberveerkragtigheid stel die funksies uiteen wat gedek moet word en watter bewyse elkeen lewer. Dit is struktureel en dit prioritiseer nie. 'n Strategie neem daardie struktuur en beantwoord die moeiliker vrae: gegewe wat ons vanjaar kan bekostig, watter gapings sluit ons, waarmee leef ons, en wat sal moet verander vir daardie antwoord om te verander.
Strategieë misluk op 'n herkenbare manier. Hulle herhaal goeie praktyk as ambisie, verbind hulle tot die verbetering van alles, en bied geen basis om nee te sê vir enigiets nie. 'n Dokument wat steeds korrek sou lees as dit in 'n ander organisasie se briefhoof geplak word, is nie 'n strategie nie.
Hierdie bladsy veronderstel die onderliggende konsep. Vir wat kuberveerkragtigheid is, hoe dit van kuberveiligheid verskil en waar die EU-wet op kuberveerkragtigheid van toepassing is, begin daar.
Watter besluite neem 'n kuberveerkragtigheidstrategie?
Ses, en hulle is makliker om in hierdie volgorde te maak, want elkeen beperk die volgende.
- Bates: wat die organisasie werklik sou benadeel as dit verlore, blootgestel of onbeskikbaar sou raak. As die lys verder as 'n handjievol dinge loop, het die prioritisering nog nie plaasgevind nie.
- Bedreigings: teen watter scenario's jy beplan. Losprysware, misbruik deur binnekringe, kompromieë tussen verskaffers en diefstal van geloofsbriewe tree verskillend op en lei nie almal tot dieselfde besteding nie.
- AptytHoeveel ontwrigting aanvaarbaar is, en waar die lyn lê waar dit nie aanvaarbaar is nie. Vae aptytverklarings is die mees algemene swakpunt.
- Balanseer: hoe moeite verdeel word tussen die voorkoming van voorvalle en die oorlewing daarvan. Indien dit onbeslis gelaat word, val dit sterk op voorkoming omdat voorkoming makliker is om te koop.
- Volgordedie volgorde van werk, gerangskik volgens risiko verminder per eenheid van moeite eerder as volgens watter span die hardste gevra het.
- meet: wat vir jou sê dit werk voordat 'n voorval dit doen. Dekking volgens funksie, tyd om op te spoor, tyd om te herstel, voltooide oefeninge.
Die besluit wat die meeste uitkomste verander, is die vierde. Organisasies wat dit nooit maak nie, ontdek tydens hul eerste ernstige voorval eksplisiet dat hulle opsporingsgereedskap gekoop het en nooit 'n reaksie geoefen het nie, of dat rugsteun bestaan het en niemand 'n hersteltyd bepaal het nie.
Hoe bepaal jy die balans tussen voorkoming en herstel?
Nie uit beginsel nie, maar deur te kyk na waar jy reeds is. Die meeste organisasies kom by hierdie vraag met 'n swaar voorkomingsvooroordeel, want voorkoming word verkoop as produkte met duidelike kenmerke terwyl herstelvermoë meestal repetisie, eienaarskap en dissipline is wat niemand bemark nie.
| Vraag | Hoe 'n swak antwoord klink | Hoe dit moet klink |
|---|---|---|
| Wat verdedig ons? | Alles is besigheidskrities. | Hierdie vier dienste, in hierdie volgorde, om hierdie redes. |
| Hoe lank kan ons nog onder wees? | So min as moontlik. | Vier uur vir betalings, twee dae vir rapportering. |
| Sou ons dit raaksien? | Ons het monitering in plek. | Ons het die laaste simulasie in 40 minute opgespoor. |
| Kon ons herstel? | Ons het rugsteun. | Ons het hierdie stelsel verlede kwartaal in 'n toets herstel en dit het nege uur geneem. |
| Wie besluit oor die dag? | Die voorvalspan sou byeenkom. | Benoemde persoon, benoemde adjunk, beide uitgeoefen. |
Om in die regterkolom af te werk, is 'n vinniger roete na 'n verdedigbare strategie as enige volwassenheidsmodel . Elke spesifieke antwoord is óf reeds waar, in welke geval dit bewys is, óf nog nie waar nie, in welke geval dit 'n prioriteit is. Daardie onderskeid is die hele strategie.
Daar is 'n groter prentjie hieragter.
Hierdie bladsy dek een deel van sakeveerkragtigheid. Ware Veerkragtigheid — IO se raamwerk vir die koppeling van sekuriteit, privaatheid en KI-bestuur — is waar die volle prentjie bymekaar kom.
Hoe bou jy die argument vir belegging op?
Kuberveerkragtigheid ding mee om geld teen dinge met sigbare opbrengste, en dit verloor wanneer dit in tegniese terme beredeneer word. Wat reis, is gevolge wat uitgedruk word in die taal wat die res van die besigheid gebruik.
- Lei met die diens, nie die bedreiging nie: wat kliënte nie kan doen nie, en vir hoe lank, eerder as die naam van die aanvalstegniek.
- Kwantifiseer die interval, nie die voorval nieDie koste om vir 'n dag nie te kan handel dryf nie, is debatteerbaar op 'n manier wat ramings van totale oortredingskoste nie is nie.
- Toon getoetste vermoë teenoor veronderstelde vermoëDie gaping tussen die twee is die duidelikste argument beskikbaar en dit benodig geen voorspelling nie.
- Bring die kompromie, nie net die vraag nieWat 'n kleiner begroting sou beteken in terme van aanvaarde risiko, gee die raad iets om te besluit eerder as om dit goed te keur.
- Gebruik kontrak- en tenderdrukWaar kliënte sertifisering of bewyse eis, word veerkragtigheid 'n inkomstevoorwaarde eerder as 'n kostesentrum.
- Rapporteer elke keer dieselfde maatreëls'n Konsekwente kort stel klop 'n omvattende dashboard wat niemand twee keer lees nie.
Sertifisering is buitengewoon nuttig hier omdat dit 'n interne eis in 'n ekstern geverifieerde een omskakel. 'n Raad wat 'n selfassessering afwys, sal oor die algemeen 'n geouditeerde bestuurstelsel aanvaar, en die bewyse wat daarvoor benodig word, oorvleuel grootliks met die bewyse wat 'n strategie in elk geval behoort te lewer.
Wat moet 'n kuberveerkragtigheidstrategie vermy?
Die mislukkingspatrone is konsekwent genoeg om direk daarteen te kontroleer.
- 'n Gereedskaplys vermom as 'n strategieverkrygingsplanne beskryf wat jy sal koop, nie wat jy besluit het nie.
- Geen verklaarde eetlus nieSonder 'n lyn is elke risiko debatteerbaar en niks kan willens en wetens aanvaar word nie.
- Alles krities'n lys van kritieke bates van veertig items bied geen basis vir volgordebepaling nie.
- Slegs voorkoming'n implisiete aanname dat herstel sal werk, wat geld totdat dit getoets word.
- Bedreigingsgedrewe sonder scenario'sbedreigingsintelligensie wat beskryf wat aanvallers doen, sonder enige besluit oor waarvoor jy beplan.
- Maatreëls wat niemand kan produseer nie: statistieke gekies omdat hulle streng klink eerder as omdat die data bestaan.
- Een keer geskryf'n driejaarstrategie wat nooit hersien word nie, in 'n domein waar die boedel en die bedreigings albei kwartaalliks beweeg.
Begin maklik met 'n persoonlike produkdemonstrasie
Een van ons aanboordspesialiste sal jou deur ons platform lei om jou te help om met selfvertroue te begin.
Hoe verbind die strategie met die Veerkragtigheidslus?
’n Kuberveerkragtigheidstrategie wat slegs kuber in ag neem, sal binne ’n jaar herskryf word, want dieselfde bates wat dit beskerm, is ook onderhewig aan privaatheidsverpligtinge en, toenemend, aan KI-bestuursvereistes. Om jou sekuriteitsprioriteite in isolasie daarvan te bepaal, lei gewoonlik tot drie padkaarte wat om dieselfde mense meeding.
Die Veerkragtigheidslus bestuur inligtingsekuriteit onder ISO 27001 , dataprivaatheid onder ISO 27701 en KI-bestuur onder ISO 42001 as een gekoppelde stelsel. Volgordebepaling oor al drie gelyktydig is wat 'n kuberstrategie in 'n veerkragtigheidstrategie verander, en dit verander die rekenkunde: 'n beheer wat een keer geïmplementeer word, tel drie keer, so die goedkoopste volgende stap is dikwels die een wat meer as een verpligting dien. Die breër struktuur word uiteengesit in die besigheidsveerkragtigheidsraamwerk.
Hoe weet jy dat die strategie werk?
Voor 'n voorval is daar slegs twee dinge wat jou vertel: dekking en getoetste vermoë. Dekking is of elke funksie 'n eienaar en 'n huidige prentjie het. Getoetste vermoë is die verskil tussen wat jy aanneem werk en wat jy gedemonstreer het werk, en dit is die enigste maatstaf wat nie gemanipuleer kan word nie.
'n Kort, herhaalde stel metings klop 'n omvattende een. Tyd om op te spoor in die laaste oefening. Tyd om die mees kritieke diens te herstel, gemeet eerder as geteiken. Proporsie van kritieke dienste met 'n geoefende reaksie. Oefeninge voltooi teenoor beplande oefeninge. Elkeen is produseerbaar uit werk wat jy in elk geval behoort te doen, wat die toets van 'n redelike meting is. Die benadering word uiteengesit in hoe om veerkragtigheid te bewys , en die Veerkragtigheidstelling gee jou 'n basislyn om van te beweeg.
Waarom ISMS.online kies vir 'n kuberveerkragtigheidstrategie?
'n Strategie is net so goed soos die bewyse dat dit uitgevoer word. ISMS.online verbind die besluite met die werk.
- Prioriteite gekoppel aan beheermaatreëls en risiko'sWat jy besluit het om te verdedig, hou verband met die kontroles wat dit beskerm en die risiko's daarteen.
- Een beheerstel, elke raamwerkvolgorde werk volgens hoeveel verpligtinge elke beheermaatreël voldoen oor ISO 27001, ISO 27701, ISO 42001 en ISO 22301.
- Getoets teen veronderstelde, sigbare: oefenrekords en -bevindinge word by die kontroles gehou, dus is die gaping 'n getal eerder as 'n gevoel.
- Raadsverslagdoening vanaf regstreekse data: rapporteer dieselfde metings elke siklus sonder om hulle met die hand aanmekaar te sit.
- Risiko-aptyt aangeteken en toegepasDie lyn wat jy ooreengekom het, word gehou teen die risiko's wat jy aanvaar, nie geliasseer en vergeet nie.
- Help jou om sertifisering te behaalverander interne eise in 'n onafhanklik geouditeerde posisie wat rade en kliënte aanvaar.
- Gebou vir Britse en gereguleerde markteontwerp vir organisasies wat veerkragtigheid moet bewys om kontrakte te wen en te behou.
Kyk hoe dit bymekaar pas op die sakeveerkragtigheidsplatform , of bespreek 'n demonstrasie.
Vrae & Antwoorde
Wat is die verskil tussen 'n kuberveerkragtigheidstrategie en 'n raamwerk?
'n Raamwerk is struktureel. Dit stel die funksies uiteen wat gedek moet word en watter bewyse elkeen lewer, en dit is van toepassing op enige organisasie. 'n Strategie is 'n stel keuses spesifiek vir joune: watter gapings jy vanjaar sluit gegewe 'n beperkte begroting, wat jy willens en wetens aanvaar, en wat jy die hardste verdedig. Die raamwerk sê vir jou hoe goed lyk. Die strategie besluit wat jy daaraan doen en in watter volgorde.
Hoe lank moet 'n kuberveerkragtigheidstrategie wees?
Kort genoeg dat die leierskapspan dit gelees het. Die besluite wat saak maak, watter bates, watter scenario's, watter aptyt, watter balans, watter volgorde en watter maatreëls, pas gemaklik in 'n handjievol bladsye. Lengte dui gewoonlik daarop dat goeie praktyk herformuleer is eerder as keuses gemaak is, en 'n strategie waarvan niemand die prioriteite kan onthou nie, werk nie.
Hoeveel van die begroting moet aan herstel eerder as voorkoming gaan?
Daar is geen korrekte verhouding nie, en enige syfer wat as universeel aangehaal word, moet met agterdog bejeën word. Die nuttige benadering is om na jou eie posisie te kyk: as jy jou voorkomende beheermaatreëls in detail kan beskryf, maar nie kan sê hoe lank 'n herstel van jou mees kritieke stelsel neem nie, word die wanbalans gediagnoseer en die volgende inkrement behoort aan herstel. Maak die verdeling eksplisiet, want as dit onbeslis gelaat word, gaan dit standaard na voorkoming.
Wie besit die kuberveerkragtigheidstrategie?
Dit word geskryf deur wie ook al sekuriteit lei en is in besit van die raad, want die besluite daarin gaan oor aanvaarde risiko en dit kan nie aan 'n tegniese funksie gedelegeer word nie. Die onderskeid maak in die praktyk saak: 'n strategie wat slegs deur die sekuriteitspan besit word, kan deur enige begrotingsronde oorheers word, terwyl een waarin die raad die risiko-afwegings aanvaar het, geneig is om dit te oorleef.
Hoe gereeld moet die strategie hersien word?
Jaarliks as 'n volledige oorsig, met die volgorde wat hersien word wanneer iets wesenliks verander: 'n beduidende voorval enige plek in u sektor, 'n groot stelsel- of verskafferverandering, 'n nuwe verpligting, of 'n oefening wat 'n aanname ongeldig maak. Die besluite self is redelik stabiel. Wat beweeg, is die volgorde, want die risiko wat deur elke oorblywende stuk werk verminder word, verander soos die boedel verander.
