WINGMAN no Peak Defence
WINGMAN glabā prasības, aktīvus, riskus, kontroles, incidentus un auditus kā sasaistītus ierakstus. Visi lietojumi zemāk izmanto tos pašus ierakstus: MI ierosina, cilvēki izlemj.
Risku reģistrs, kontroļu matrica, aktīvu saraksts, auditu uzskaite. Katrs nedaudz kopē citus, un tie pamazām atšķiras.
Katrs ieraksts eksistē vienreiz. Kontrole ir sasaistīta ar riskiem, ko tā mazina, punktiem, ko tā izpilda, un pierādījumiem, kas to pierāda.
Datu modelis
Izvēlieties ieraksta veidu, lai redzētu, ko tas glabā un ar ko tas saistīts. Riski saistās ar riskiem un aktīvi ar aktīviem, veidojot risku hierarhijas un atkarību kartes.
Lietojumi
Katrs lietojums izmanto tos pašus ierakstus. Atveriet kādu, lai izietu to soli pa solim grafā.
Novērtēt katru ievainojamību pēc riska, ko tā palielina, un vispirms novērst to, kas svarīgākais.
Pārskatīt riskus ar visu kopš pēdējās reizes savākto kontekstu, plānot to apstrādi un uzturēt vairākus risku līmeņus saskaņotus.
Atrast jaunus riskus bez dublikātiem, sasaistīt tos ar visu attiecīgo un ļaut signāliem uzsākt identificēšanu vai atkārtotu pārskatīšanu.
Novērtēt, cik ilgi katrs pakalpojums var nedarboties un kāda atjaunošana tam nepieciešama, balstoties uz jau reģistrētajiem pakalpojumiem, riskiem un kontrolēm.
Atbalsts katrā incidenta posmā, no pirmā signāla līdz risku pārskatīšanai, ko tam vajadzētu izraisīt.
Novērtēt piegādātāja piemērotību pirms sadarbības sākšanas un turpināt to uzraudzīt arī pēc tam.
Novērtēt plānotu izmaiņu ietekmi, izlemt nepieciešamās kontroles pirms un pēc tām un rezultātā uzturēt vienotus ierakstus.
Veikt labajā praksē paredzētās pārskatīšanas (aktīvi, dokumenti, riski, incidenti, piekļuves) pēc kalendāra, nevis pēc atmiņas.
Vadīt drošības darbu ar plāniem un uzdevumiem, ar kopsavilkumiem, atgādinājumiem un eskalācijām, un jautāt "kas jāizdara" visam, ko modelis zina.
Ieviest jaunu regulējumu vai standartu, atkārtoti izmantojot un sasaistot esošo, un pārējo virzīt ar uzdevumiem un plāniem.
Sagatavot ISO 27001 vadības pārskatu un NIS2 vadības struktūras uzraudzību ar pilnīgiem ievaddatiem, reģistrētiem lēmumiem un plānotu turpmāko rīcību.
Uzturēt apstrādes ķēdes un to riskus aktuālus un atbalstīt novērtējumus par ietekmi uz datu aizsardzību.
Uzturēt MI lietojumu reģistru un sasaistīt katru lietojumu ar tā pienākumiem, riskiem un kontrolēm.
Nozares un regulējumi
Katra lapa aplūko vienu regulējumu: kurus reģistrus WINGMAN tam uztur, kā pārvaldības cikls darbojas uz grafa un kā lietojumi izskatās no šī skatpunkta.
Vadīt būtiska vai svarīga subjekta informācijas drošības funkciju no viena reģistra, kurā ir piegādātāji, aktīvi, riski, incidenti, ievainojamības, draudi un uzdevumi.
Vadīt operacionālo, finanšu, reputācijas un citu nefinanšu risku pārvaldību vienā modelī un notvert notikumus, kuriem tā būtu jāmaina.
Uzturēt visu informācijas drošības pārvaldības sistēmu vienā modelī, ar kontroļu īpašniekiem, regulārām pārskatīšanām, vadības pārskatu un pierādījumiem, kas aptver visu audita periodu.
Uzskatīt katru MI lietojumu par aktīvu ar saviem riskiem, kontrolēm un darba plānu un parādīt atbilstību ES MI aktam no tiem pašiem ierakstiem.
Iestrādāt CRA atbilstību tajā, kā produkti tiek izstrādāti un uzturēti, no risku novērtējuma un SBOM līdz ievainojamību apstrādei un ziņošanai.
Uzturēt apstrādes darbību reģistru, DPIA, apstrādātājus, datu subjektu pieprasījumus un pārkāpumus kā sasaistītus ierakstus, lai pārskatatbildību varētu pierādīt jebkurā brīdī.
Video
Īsi skaidrojumi par modeli un atsevišķiem lietojumiem.
Atskaņo no youtube-nocookie.com. YouTube neiestata sīkdatnes, līdz nospiežat atskaņot.
Pieredzes stāsti
Pieredzes stāsti tiek gatavoti. Pa to laiku video parāda lietojumus ar anonimizētiem datiem.
Datu modelis
Katra rinda lasāma no kreisās uz labo kā teikums. Saite tiek glabāta vienreiz un redzama no abiem galiem.
| No | Saite | Uz | Ko saite dod |
|---|---|---|---|
| Prasības | izpilda | Kontroles | Viena kontrole var segt punktus no vairākiem standartiem. |
| Prasības | sasaistīta ar | Prasības | NIS2 pants sasaistās ar jau segtiem ISO 27001 un DORA punktiem. |
| Prasības | skaidrota | Dokumenti | Politika nosaka |
| Kontroles | aprakstīta | Dokumenti | Uzrakstītais noteikums un prakse ir blakus. |
| Kontroles | mazina | Riski | Atlikušais risks seko kontroļu statusam. |
| Kontroles | aizsargā | Aktīvi | Redzams katra aktīva vai produkta pārklājums. |
| Kontroles | pierādīta ar | Pierādījumi | Derīguma termiņš parāda |
| Kontroles | uzlabo | Uzdevumi | Plānotām kontrolēm ir darbi |
| Uzdevumi | ietilpst | Plāni | Progress apkopojas programmās un kalendāros. |
| Riski | apkopojas | Riski | Procesu riski apkopojas uzņēmuma līmeņa riskos. |
| Riski | ietekmē | Aktīvi | Ietekme balstās uz to |
| Riski | saistīts ar | Piegādātāji | Trešo pušu riski norāda piegādātāju. |
| Aktīvi | atkarīgs no | Aktīvi | Atkarību kartes: kur atrodas katrs pakalpojums un datu kopa. |
| Piegādātāji | nodrošina | Aktīvi | Atkarība no trešajām pusēm ir daļa no ietekmes analīzes. |
| Piegādātāji | saistošs | Dokumenti | Līgumi |
| Draudi | izmanto | Ievainojamības | Scenāriji ir konkrēti |
| Draudi | ietekmē | Riski | Varbūtība seko draudu ainai. |
| Ievainojamības | atrasta | Aktīvi | Apdraudējums atrodas reālā sistēmā. |
| Ievainojamības | palielina | Riski | Atvērti vājumi paaugstina vērtējumu |
| Ievainojamības | novērsta ar | Uzdevumi | Novēršanai ir atbildīgais un termiņš. |
| Signāli | norāda | Riski | Agrīns brīdinājums starp plānotām pārskatīšanām. |
| Signāli | norāda | Draudi | Draudu jaunumi nonāk reģistrā. |
| Signāli | ziņo | Ievainojamības | Skeneru rezultāti un brīdinājumi atver ievainojamības. |
| Signāli | attiecas | Piegādātāji | Piegādātāju uzraudzība nodrošina agrīnu brīdinājumu. |
| Signāli | eskalējas | Incidenti | Izvērtēšanas lēmumi tiek reģistrēti. |
| Incidenti | īsteno | Riski | Pēcincidenta analīze atjauno vērtējumus un apstrādi. |
| Incidenti | skar | Aktīvi | Ietekme un ziņošanas apjoms ir skaidri uzreiz. |
| Incidenti | saistīts ar | Piegādātāji | Piegādātāja izraisīti incidenti tiek izsekoti līdz piegādātājam. |
| Incidenti | ziņots | Dokumenti | Paziņojumi iestādēm, klientiem un piegādātājiem tiek saglabāti. |
| Incidenti | turpinās ar | Uzdevumi | Mācības pārvēršas darbā. |
| Auditi | lasa | Dokumenti | Dokumenti parāda kontroles |
| Auditi | tvērumā | Aktīvi | Viens audits var aptvert vairākus produktus |
| Auditi | novērtē | Piegādātāji | Piegādātāju novērtēšana izmanto audita metodi. |
| Auditi | pārbauda | Prasības | Audita tvērums ir izsekojams līdz punktiem. |
| Auditi | pārbauda | Kontroles | Deklarētais un darbībā esošais tiek pārbaudīts kopā. |
| Auditi | izvērtē | Pierādījumi | Auditori redz jau esošos pierādījumus. |
| Auditi | reģistrē | Konstatējumi | Katrs novērojums tiek reģistrēts vienreiz. |
| Konstatējumi | kļūst par | Secinājumi | Apstiprināts konstatējums ir rezultāts par punktu. |
| Secinājumi | vērtē | Prasības | Atbilstības statuss katram punktam un tvērumam |
| Konstatējumi | novērsts ar | Uzdevumi | Korektīvā darbība tiek izsekota līdz slēgšanai. |
| Pierādījumi | pamato | Konstatējumi | Katrs konstatējums norāda |
| Dokumenti | aptver | Aktīvi | Novērtējumi (DPIA, BIA, izmaiņas) reģistrē, ko tie aptver. |
| Dokumenti | rada | Uzdevumi | Lēmumi protokolos un novērtējumos kļūst par darbu. |
| Plāni | plāno | Auditi | Audita programma ir gada kalendārā. |
| Plāni | pārskata | Riski | Risku pārskatīšana ir plānota |
| Plāni | pārskata | Aktīvi | Aktīvu un piegādātāju pārskatīšana notiek laikā. |
| Plāni | pārskata | Dokumenti | Politikas tiek pārskatītas savā ciklā. |
| Personas | pilda | Lomas | Darbinieki mainās |
| Personas | izpilda | Uzdevumi | Darbs nonāk pie konkrēta cilvēka. |
| Lomas | pārvalda | Riski | Katram riskam ir atbildīgais. |
| Lomas | pārvalda | Kontroles | Katrai kontrolei ir izpildītājs. |
| Lomas | pārvalda | Aktīvi | Katram aktīvam ir biznesa un tehniskais īpašnieks. |
| Lomas | vada | Incidenti | Skaidrs incidentu vadītājs un reaģētāji. |
| Lomas | atbild par | Plāni | Katrai programmai ir viena atbildīgā loma. |
| Lomas | noteikta | Dokumenti | Pienākumi ir pierakstīti. |
GRC · Kiberdrošības pārvaldība
Atbilstības speciālists un drošības vadītājs uzdod tiem pašiem ierakstiem dažādus jautājumus. Nevienam nav vajadzīgs atsevišķs rīks.
| Tēma | GRC | Kiberdrošības pārvaldība |
|---|---|---|
| Saistības | Sasaistīt katru punktu ar kontrolēm un pierādījumiem. | Pārvērst regulējumu drošības bāzes prasībās. |
| Riski | Novērtēt, apstrādāt vai pieņemt, ar atbildīgu īpašnieku. | Sakārtot darbu pēc draudiem un ievainojamībām reālos aktīvos. |
| Pārliecība | Auditi, konstatējumi, secinājumi un pierādījumi katram punktam. | Nepārtraukti pārbaudīt |
| Atbildība | Lomas ar lēmumu tiesībām, līdz pat vadības struktūrai. | Īpašnieki, dežūras un eskalācija. |
| Izmaiņas | Politikas un reģistri tiek pārskatīti pēc grafika. | Signāli, incidenti un ievainojamības maina risku starp pārskatīšanām. |
| Ziņošana | Valde, regulators un klientu anketas. | Apdraudējums, incidenti un novēršanas statuss. |
Varam kopā iziet jebkuru no šiem lietojumiem ar jūsu prasībām, riskiem un kontrolēm.