NIST CSF 2.0 Govern za MSP in ISO 27001

Sarah, novo imenovana direktorica za informacijsko varnost (CISO) v hitro rastočem FinTech MSP, je imela tablo polno okvirov in en nepremakljiv rok. NIST CSF 2.0. ISO 27001:2022. NIS2. DORA. GDPR. Tveganja dobaviteljev. Odgovornost upravnega odbora. Skrbni pregled velike poslovne stranke.

Sprožilec je bil znan: preglednica velike stranke iz sektorja finančnih storitev. Nabava je zahtevala dokazila o modelu upravljanja kibernetske varnosti, apetitu po tveganju, programu varnosti dobaviteljev, preslikavi zakonskih in regulativnih obveznosti, procesu eskalacije incidentov ter usklajenosti z ISO 27001:2022.

Generalna direktorica ni želela predavanja o skladnosti. Želela je preprost odgovor na težko vprašanje: »Kako upravnemu odboru, strankam in regulatorjem dokažemo, da obvladujemo kibernetsko tveganje?«

To je problem upravljanja, s katerim se srečujejo številna MSP. Vprašalnik stranke redko ostane zgolj vprašalnik stranke. Pogosto gre za pet pogovorov o skladnosti, strnjenih v eno zahtevo. NIST CSF 2.0, ISO/IEC 27001:2022, GDPR, NIS2, pričakovanja glede dobaviteljev, ki izhajajo iz DORA, odpornost v oblaku, nadzor upravnega odbora in pogodbene zaveze so pogosto skriti v isti zahtevi za dokazila.

Številna MSP se odzovejo z ločenimi artefakti: preglednico NIST, mapo za certifikacijo ISO, sledilnikom GDPR, registrom tveganj dobaviteljev in načrtom odzivanja na incidente, ki med seboj niso povezani. Šest mesecev pozneje nihče ne ve, kateri dokument je avtoritativen.

Pristop Clarysec je drugačen. Funkcijo NIST CSF 2.0 Govern uporabite kot izvršno upravljavsko plast, nato pa jo preslikajte v politike ISO 27001:2022, obravnavo tveganj, izjavo o uporabnosti, nadzor dobaviteljev, pregled vodstva in presojna dokazila. Rezultat ni dodatno delo na področju skladnosti. Je enoten operativni model, ki lahko presojevalcem, strankam, regulatorjem in vodstvu odgovori z istim naborom dokazil.

Zakaj je funkcija NIST CSF 2.0 Govern pomembna za MSP

NIST CSF 2.0 upravljanje povzdigne v samostojno funkcijo poleg Identify, Protect, Detect, Respond in Recover. Ta sprememba je pomembna, ker večina varnostnih odpovedi v MSP ne nastane zaradi odsotnosti še enega orodja. Nastane zaradi nejasne odgovornosti za upravljanje, šibkih odločitev o tveganjih, nedokumentiranih izjem, nedoslednega nadzora dobaviteljev in politik, ki so bile enkrat odobrene, nikoli pa operativno uvedene.

Funkcija NIST CSF 2.0 Govern spremeni vprašanje iz »katere kontrole imamo?« v »kdo je odgovoren, katere obveznosti veljajo, kako se tveganja prednostno obravnavajo in kako se pregleduje uspešnost?«

Za MSP rezultati Govern zagotavljajo praktičen mandat:

• razumeti in upravljati zakonske, regulativne, pogodbene, zasebnostne in civilnopravne obveznosti;
• določiti apetit po tveganju, toleranco do tveganja, točkovanje tveganj, prednostno razvrščanje in možnosti odziva na tveganja;
• opredeliti vloge, odgovornosti, pooblastila, eskalacijske poti in vire za kibernetsko varnost;
• vzpostaviti, komunicirati, uveljavljati, pregledovati in posodabljati politike kibernetske varnosti;
• pregledovati strategijo kibernetske varnosti, uspešnost in odgovornost vodstva;
• upravljati kibernetsko tveganje dobaviteljev in tretjih oseb od skrbnega pregleda do izstopa.

Zato je NIST CSF 2.0 Govern tako močna vstopna točka za ISO 27001:2022. NIST daje vodstvu jezik upravljanja. ISO 27001:2022 daje preverljiv sistem upravljanja.

Klavzule ISO 27001:2022 od 4 do 10 od organizacij zahtevajo razumevanje konteksta, opredelitev zainteresiranih strani, določitev obsega ISMS, dokazovanje voditeljstva, načrtovanje ocene in obravnave tveganj, podporo dokumentiranim informacijam, izvajanje kontrol, vrednotenje uspešnosti, izvedbo notranjih presoj in pregledov vodstva ter nenehno izboljševanje. Priloga A nato zagotavlja referenčni nabor kontrol, vključno s politikami, odgovornostmi vodstva, zakonskimi obveznostmi, zasebnostjo, odnosi z dobavitelji, storitvami v oblaku, upravljanjem incidentov in pripravljenostjo IKT za neprekinjeno poslovanje.

Clarysecova podjetniška Politika informacijske varnosti Politika informacijske varnosti določa:

Organizacija mora vzdrževati formalni model upravljanja za nadzor ISMS, usklajen s klavzulama ISO/IEC 27001 5.1 in 9.3.

Ta zahteva iz klavzule 5.1 Politike informacijske varnosti je praktični most med odgovornostjo NIST GV in pričakovanji ISO 27001:2022 glede voditeljstva. Upravljanje ni letna predstavitev. Je formalni model, ki povezuje odločitve, politike, vloge, tveganja, kontrole, dokazila in pregled.

Osrednja preslikava: NIST CSF 2.0 Govern v dokazila ISO 27001:2022

Najhitrejši način, da NIST CSF 2.0 postane uporaben, je pretvorba rezultatov Govern v lastništvo politik in presojna dokazila. Spodnja tabela prikazuje strukturo, ki jo Clarysec uporablja z MSP pri pripravi na certifikacijo ISO 27001:2022, skrbni pregled velikih poslovnih strank, pripravljenost na NIS2, zagotavljanje zaupanja naročnikov po DORA in odgovornost po GDPR.

Ta preslikava je namenoma najprej usmerjena v dokazila. Od MSP ne zahteva priprave 40 dokumentov. Zastavlja pet operativnih vprašanj:

1. Katera odločitev se sprejema?
2. Kdo je njen lastnik?
3. Katera politika jo ureja?
4. Katera klavzula ISO 27001:2022 ali kontrola iz Priloge A jo podpira?
5. Katero dokazilo potrjuje, da je bila izvedena?

Politika vlog in odgovornosti pri upravljanju za MSP Politika vlog in odgovornosti pri upravljanju za MSP to sledljivost izrecno določa:

Vse pomembne varnostne odločitve, izjeme in eskalacije morajo biti evidentirane in sledljive.

Ta navedek izhaja iz klavzule 5.5 Politike vlog in odgovornosti pri upravljanju za MSP. NIST GV.RR pretvori iz načela upravljanja v preverljivo operativno pravilo.

Začnite s profilom CSF Govern, ne s preglednico kontrol

Organizacijski profili NIST CSF 2.0 organizacijam pomagajo opisati trenutne in ciljne rezultate kibernetske varnosti. Za MSP je profil mesto, kjer upravljanje postane obvladljivo.

Praktična delavnica za profil Govern mora odgovoriti na pet vprašanj:

1. Kaj je v obsegu: celotno podjetje, platforma SaaS, reguliran produkt ali okolje stranke?
2. Katere obveznosti usmerjajo profil: pogodbe s strankami, GDPR, izpostavljenost NIS2, pričakovanja strank po DORA, certifikacija ISO 27001:2022 ali skrbni pregled vlagateljev?
3. Kaj trenutna dokazila dejansko dokazujejo, ne kaj ljudje menijo, da obstaja?
4. Katero ciljno stanje je realno v naslednjih 90 dneh in v naslednjih 12 mesecih?
5. Katera tveganja, politike, dobavitelji in vnosi v SoA se morajo spremeniti?

Zenith Blueprint: revizorjev 30-koračni časovni načrt Zenith Blueprint to podpira v fazi temeljev ISMS in vodstva, v 6. koraku, »Dokumentirane informacije in gradnja knjižnice ISMS«. Priporoča zgodnjo pripravo SoA in uporabo SoA kot knjižnice kontrol:

✓ Dodatne kontrole: Ali obstajajo kontrole zunaj Priloge A, ki bi jih morda vključili? ISO 27001 omogoča dodajanje drugih kontrol v SoA. Morda želite na primer vključiti skladnost z NIST CSF ali posebne kontrole zasebnosti iz ISO 27701. Priloga A je praviloma celovita, vendar lahko dodate vse posebne kontrole, ki jih načrtujete.

✓ Uporabite preglednico (SoA Builder): Praktičen pristop je, da preglednico SoA pripravite zdaj. Pripravili smo predlogo SoA_Builder.xlsx, ki navaja vse kontrole Priloge A s stolpci za uporabnost, stanje implementacije in opombe.

Za MSP je to pomembno. NIST CSF 2.0 vam ni treba na silo umeščati v Prilogo A ISO, kot da sta enaka. Rezultate CSF Govern lahko vključite kot dodatne zahteve upravljanja v svojo knjižnico SoA, jih preslikate na klavzule ISO 27001:2022 in kontrole iz Priloge A ter jih uporabite za izboljšanje pregleda vodstva, upravljanja dobaviteljev, poročanja o tveganjih in spremljanja skladnosti.

Vzpostavite register dokazil Govern

Register dokazil Govern je praktično orodje, ki okvire pretvori v dokaz. Vsak rezultat NIST mora povezati z referenco ISO, lastnikom politike, dokazilom, pogostostjo pregleda, vrzeljo in ukrepom.

Clarysecova podjetniška Politika pravne in regulativne skladnosti Politika pravne in regulativne skladnosti določa zahtevo upravljanja:

Vse zakonske in regulativne obveznosti morajo biti preslikane na določene politike, kontrole in lastnike znotraj sistema upravljanja informacijske varnosti (ISMS).

To je klavzula 6.2.1 Politike pravne in regulativne skladnosti. Za MSP Politika pravne in regulativne skladnosti za MSP Politika pravne in regulativne skladnosti za MSP dodaja praktično zahtevo medsebojne preslikave:

Kadar se predpis uporablja na več področjih (npr. GDPR velja za hrambo, varnost in zasebnost), mora biti to jasno preslikano v evidenci skladnosti in gradivih za usposabljanje.

Ta navedek izhaja iz klavzule 5.2.2 Politike pravne in regulativne skladnosti za MSP. Ti klavzuli skupaj GV.OC-03 pretvorita v upravljan, pregledljiv in za presojo pripravljen proces.

Povežite točkovanje tveganj z obravnavo tveganj in SoA

NIST GV.RM zahteva cilje tveganj, apetit po tveganju, toleranco do tveganja, standardiziran izračun tveganja, možnosti odziva in komunikacijske poti. ISO 27001:2022 to operativno uresničuje z oceno tveganj, obravnavo tveganj, odobritvijo lastnika tveganja, sprejemom preostalega tveganja in izjavo o uporabnosti.

Politika obvladovanja tveganj za MSP Politika obvladovanja tveganj za MSP je namenoma konkretna:

Vsak vnos tveganja mora vključevati: opis, verjetnost, vpliv, oceno, lastnika in načrt obravnave tveganja.

To izhaja iz klavzule 5.1.2 Politike obvladovanja tveganj za MSP. Podjetniška Politika obvladovanja tveganj Politika obvladovanja tveganj dodatno utrjuje povezavo s SoA:

Izjava o uporabnosti (SoA) mora odražati vse odločitve o obravnavi tveganja in se mora posodobiti ob vsaki spremembi pokritosti kontrol.

To je klavzula 5.4 Politike obvladovanja tveganj.

Upoštevajte realno tveganje MSP: nepooblaščen dostop do produkcijskih podatkov strank zaradi nedoslednega uveljavljanja MFA v računih za upravljanje oblaka.

Močna preslikava Govern bi vključevala:

• NIST GV.RM za standardizirano dokumentiranje tveganj in prednostno razvrščanje.
• NIST GV.RR za lastništvo vlog in pooblastilo za uveljavljanje nadzora dostopa.
• NIST GV.PO za uveljavljanje in pregled politike.
• Klavzule ISO 27001:2022 6.1.2, 6.1.3, 8.2 in 8.3.
• Kontrole iz Priloge A za nadzor dostopa, upravljanje identitet, avtentikacijske informacije, beleženje, spremljanje, konfiguracijo in storitve v oblaku.
• Dokazila, kot so vnos v register tveganj, izvoz konfiguracije MFA, odobritev izjeme, pregled IAM v oblaku, odločitev pregleda vodstva in posodobljena opomba SoA.

Zenith Blueprint, faza obvladovanja tveganj, 13. korak, »Načrtovanje obravnave tveganj in izjava o uporabnosti«, pojasnjuje povezavo:

✓ Zagotovite uskladitev z registrom tveganj: vsaka omilitvena kontrola, ki ste jo zapisali v načrt obravnave tveganja, mora ustrezati kontroli iz Priloge A, označeni kot »uporabna«. Nasprotno pa morate za vsako kontrolo, označeno kot uporabno, imeti tveganje ali zahtevo, ki jo utemeljuje.

To je razlika med izjavo »uporabljamo MFA« in dokazom »imamo upravljan, na tveganjih temelječ in z ISO 27001:2022 usklajen razlog za MFA, z dokazili, lastnikom in pogostostjo pregleda«.

Upravljajte tveganje dobaviteljev brez preobsežnega programa

NIST GV.SC je eden najuporabnejših delov funkcije Govern za MSP, ker so sodobna MSP močno odvisna od dobaviteljev: ponudnikov storitev v oblaku, plačilnih procesorjev, kadrovskih platform, sistemov za pomoč uporabnikom, repozitorijev kode, orodij CI/CD, orodij za spremljanje in upravljanih varnostnih storitev.

ISO 27001:2022 Priloga A to podpira s kontrolami za dobavitelje in oblak, vključno s 5.19 Informacijska varnost v odnosih z dobavitelji, 5.20 Obravnavanje informacijske varnosti v sporazumih z dobavitelji, 5.21 Upravljanje informacijske varnosti v dobavni verigi IKT, 5.22 Spremljanje, pregled in upravljanje sprememb storitev dobaviteljev, 5.23 Informacijska varnost pri uporabi storitev v oblaku in 5.30 Pripravljenost IKT za neprekinjeno poslovanje.

Politika varnosti tretjih oseb in dobaviteljev za MSP Politika varnosti tretjih oseb in dobaviteljev za MSP jasno določa zahtevo glede dokazil:

Ti pregledi morajo biti dokumentirani in hranjeni z zapisom dobavitelja. Nadaljnji ukrepi morajo biti jasno sledeni.

To je klavzula 6.3.2 Politike varnosti tretjih oseb in dobaviteljev za MSP.

Vitki model dobaviteljev za MSP lahko uporablja tri ravni:

Ta preprost model podpira NIST GV.SC, kontrole dobaviteljev ISO 27001:2022, skrbni pregled strank in pogodbena pričakovanja finančnih strank, ki izhajajo iz DORA.

Posebno pozornost si zasluži izstop dobavitelja. NIST GV.SC pričakuje upravljanje skozi celoten življenjski cikel dobavitelja, vključno s koncem razmerja. Dokazila morajo vključevati vračilo ali izbris podatkov, odstranitev dostopa, načrtovanje prehoda storitve, ohranjene pogodbene zapise in pregled preostalega tveganja.

Zenith Controls uporabljajte za medokvirno skladnost, ne kot ločen nabor kontrol

Clarysecov Zenith Controls: vodnik za medokvirno skladnost Zenith Controls je vodnik za medokvirno skladnost, namenjen preslikavi tem kontrol ISO/IEC 27002:2022 na več okvirov in presojnih pogledov. To niso ločene »kontrole Zenith«. Gre za kontrole ISO/IEC 27002:2022, analizirane znotraj Zenith Controls za uporabo pri medokvirni skladnosti.

Za NIST CSF 2.0 Govern so posebej pomembna tri področja kontrol ISO/IEC 27002:2022:

Zenith Blueprint, faza Controls in Action, 22. korak, »Organizacijski ukrepi«, podaja operativni model:

Formalizirajte upravljanje informacijske varnosti

Zagotovite, da so vaše politike informacijske varnosti (5.1) dokončane, odobrene in upravljane z različicami. Določite imenovane lastnike za vsako področje politike (npr. dostop, šifriranje, varnostno kopiranje) in dokumentirajte vloge in odgovornosti v celotnem ISMS (5.2). Preglejte ločevanje dolžnosti (5.3) na visoko tveganih področjih, kot so finance, sistemska administracija in nadzor sprememb. Pripravite preprost zemljevid upravljanja, ki prikazuje, kdo odobrava, kdo izvaja in kdo spremlja varnostno politiko.

Ta zemljevid upravljanja je eden najvrednejših artefaktov, ki jih MSP lahko pripravi. Odgovarja na NIST GV.RR, zahteve ISO 27001:2022 glede voditeljstva, pričakovanja NIS2 glede odgovornosti vodstva in vprašanja strank o tem, kdo je lastnik kibernetskega tveganja.

En model upravljanja za NIS2, DORA, GDPR, NIST in ISO

Funkcija Govern postane najbolj dragocena, ko se MSP srečuje s prekrivajočimi se zahtevami.

NIS2 od bistvenih in pomembnih subjektov v obsegu zahteva sprejetje ustreznih in sorazmernih ukrepov za obvladovanje tveganj kibernetske varnosti. Odgovornost nalaga tudi organom upravljanja, ki morajo odobriti ukrepe za obvladovanje tveganj kibernetske varnosti, nadzirati implementacijo in se udeleževati usposabljanja. NIST GV.RR podpira odgovornost vodstva. GV.RM podpira ukrepe na podlagi tveganj. GV.SC podpira varnost dobavne verige. GV.PO podpira politike. GV.OV podpira pregled uspešnosti.

Upravljanje incidentov po NIS2 uvaja tudi stopenjska pričakovanja poročanja, vključno z zgodnjim opozorilom v 24 urah, obvestilom o incidentu v 72 urah in končnim poročilom v enem mesecu za pomembne incidente. Ti roki morajo biti vključeni v postopke odzivanja na incidente, eskalacijske poti, komunikacijske načrte in poročanje vodstvu.

DORA se od 17. januarja 2025 uporablja za finančne subjekte v EU, vendar številna MSP njen vpliv občutijo prek pogodb s strankami. Finančne stranke lahko zahteve DORA prenesejo na ponudnike IKT, dobavitelje programske opreme, ponudnike upravljanih storitev in dobavitelje, odvisne od oblaka. DORA se osredotoča na obvladovanje IKT-tveganj, odgovornost organa upravljanja, poročanje o incidentih, testiranje odpornosti, tveganje tretjih oseb na področju IKT, pogodbene zahteve in nadzor.

GDPR dodaja odgovornost za obdelavo osebnih podatkov. MSP morajo razumeti, ali so upravljavci, obdelovalci ali oboje, katere osebne podatke obdelujejo, kateri sistemi in dobavitelji so vključeni, katere pravne podlage veljajo ter kateri scenariji incidentov bi lahko postali kršitve varnosti osebnih podatkov.

Zenith Blueprint, faza obvladovanja tveganj, 14. korak, priporoča navzkrižno sklicevanje zahtev DORA, NIS2 in GDPR v nabor kontrol ISO 27001:2022:

Za vsak predpis, če je uporaben, lahko ustvarite preprosto preslikovalno tabelo (lahko kot prilogo poročilu), ki navaja ključne varnostne zahteve predpisa in ustrezne kontrole/politike v vašem ISMS. To v ISO 27001 ni obvezno, vendar je koristna interna vaja, ki pomaga zagotoviti, da nič ni spregledano.

Praktičen zemljevid medokvirne skladnosti je lahko videti tako:

Vrednost je v učinkovitosti. Dobro voden ISMS po ISO 27001:2022, usmerjan s funkcijo NIST CSF 2.0 Govern, lahko hkrati ustvarja ponovno uporabna dokazila za več okvirov.

Pogled presojevalca: dokazovanje, da je upravljanje dejansko vzpostavljeno

Politika na polici ni upravljanje. Presojevalci in ocenjevalci iščejo zlato nit: politiko na visoki ravni, opredeljen proces, operativni zapis, pregled vodstva in ukrep za izboljšanje.

Različni pregledovalci bodo to nit preverjali različno.

Clarysecova podjetniška Politika vlog in odgovornosti pri upravljanju Politika vlog in odgovornosti pri upravljanju določa:

Upravljanje mora podpirati integracijo z drugimi področji (npr. tveganja, pravo, IT, HR), odločitve ISMS pa morajo biti sledljive do svojega vira (npr. revizijski zapisi, dnevniki pregledov, zapisniki sestankov).

To je klavzula 5.5 Politike vlog in odgovornosti pri upravljanju. Zajame bistvo medokvirne skladnosti: odločitve upravljanja morajo biti sledljive.

Politika spremljanja presoj in skladnosti za MSP Politika spremljanja presoj in skladnosti za MSP dodaja ključno disciplino dokazil:

Metapodatki (npr. kdo jih je zbral, kdaj in iz katerega sistema) morajo biti dokumentirani.

Ta navedek izhaja iz klavzule 6.2.3 Politike spremljanja presoj in skladnosti za MSP. Metapodatki dokazil so pogosto tisto, kar loči mapo posnetkov zaslona od dokazil presojne kakovosti.

Podjetniška Politika spremljanja presoj in skladnosti Politika spremljanja presoj in skladnosti dodaja zahtevo na ravni programa:

Organizacija mora vzdrževati strukturiran program spremljanja presoje in skladnosti, integriran v ISMS, ki zajema:

To je klavzula 5.1 Politike spremljanja presoj in skladnosti. Posledica za upravljanje je neposredna: presoja ni letna improvizacija. Je del delovanja ISMS.

Pogoste napake MSP pri preslikavi NIST Govern v ISO 27001:2022

Prva napaka je pretirano dokumentiranje brez lastništva. MSP napiše politike, vendar ne določi lastnikov za obravnavo tveganj, preglede dobaviteljev, odobritve izjem ali poročanje vodstvu.

Druga napaka je obravnavanje zakonskih obveznosti ločeno od ISMS. NIST GV.OC-03 zahteva, da so obveznosti razumljene in upravljane. ISO 27001:2022 zahteva, da se v ISMS upoštevajo relevantne zahteve zainteresiranih strani ter zakonske, regulativne in pogodbene obveznosti.

Tretja napaka je šibka utemeljitev SoA. SoA ni le seznam uporabnih kontrol. Je utemeljitvena datoteka, ki pojasnjuje, zakaj so kontrole vključene, izključene ali implementirane.

Četrta napaka so manjkajoča dokazila o življenjskem ciklu dobaviteljev. Upravljanje dobaviteljev vključuje uvajanje, pogodbe, spremljanje, incidente, spremembe in izstop.

Peta napaka je neuspešno posodabljanje ciljnega profila. Profil CSF se mora spremeniti, ko podjetje vstopi na novo geografsko območje, podpiše pomembno stranko, uvede kritičnega dobavitelja, zažene reguliran produkt, spremeni arhitekturo oblaka ali utrpi incident.

30-dnevni časovni načrt NIST CSF 2.0 Govern za MSP

Če mora MSP hitro napredovati, začnite z osredotočenim 30-dnevnim izvedbenim načrtom.

Ta načrt ustvari dovolj dokazil upravljanja za odgovore na resna vprašanja strank in presoj, hkrati pa gradi temelje za certifikacijo ISO 27001:2022, pripravljenost na NIS2, zagotavljanje zaupanja naročnikov po DORA in odgovornost po GDPR.

Praktični rezultat: ena zgodba upravljanja, več uporab skladnosti

Ko se Sarah vrne k upravnemu odboru, nima več petih nepovezanih delovnih tokov skladnosti. Ima eno zgodbo upravljanja.

Rezultati NIST CSF 2.0 Govern so preslikani na politike ISO 27001:2022, lastnike, tveganja, kontrole in dokazila. Obseg ISMS vključuje odvisnosti od strank, dobaviteljev, oblaka, zakonodaje, predpisov, zasebnosti in pogodb. Register tveganj usmerja odločitve o obravnavi in uporabnost SoA. Politike so odobrene, upravljane z različicami, imajo lastnike, so komunicirane in pregledane. Tveganja dobaviteljev so razvrščena po ravneh, pogodbeno urejena, spremljana in sledena. Obveznosti obdelave po GDPR, pričakovanja odgovornosti po NIS2 in zahteve strank po DORA, prenesene navzdol, so navzkrižno sklicane, kjer je to uporabno. Presojna dokazila vključujejo metapodatke, zapise odločitev in rezultate pregledov vodstva.

Tako je videti upravljanje, ko deluje operativno.

Naslednji korak: zgradite paket dokazil Govern za MSP s Clarysec

Če se pripravljate na ISO 27001:2022, odgovarjate na skrbni pregled velike poslovne stranke, preslikavate rezultate NIST CSF 2.0 Govern ali poskušate uskladiti NIS2, DORA in GDPR brez gradnje ločenih programov, začnite z upravljavsko plastjo.

Clarysec vam lahko pomaga zgraditi:

• trenutni in ciljni profil NIST CSF 2.0 Govern;
• preslikavo politik ISO 27001:2022 in SoA;
• evidenco medokvirnih obveznosti z uporabo Zenith Controls Zenith Controls;
• 30-koračni časovni načrt implementacije ISMS z uporabo Zenith Blueprint Zenith Blueprint;
• dokazila politik, pripravljena za MSP, z uporabo zbirke politik Clarysec, vključno z Politiko vlog in odgovornosti pri upravljanju za MSP Politika vlog in odgovornosti pri upravljanju za MSP, Politiko obvladovanja tveganj za MSP Politika obvladovanja tveganj za MSP, Politiko pravne in regulativne skladnosti za MSP Politika pravne in regulativne skladnosti za MSP, Politiko varnosti tretjih oseb in dobaviteljev za MSP Politika varnosti tretjih oseb in dobaviteljev za MSP in Politiko spremljanja presoj in skladnosti za MSP Politika spremljanja presoj in skladnosti za MSP.

Najhitrejša pot ni še ena preglednica. Je upravljan, na tveganjih temelječ in za dokazovanje pripravljen ISMS, ki vašemu MSP omogoča samozavesten odgovor na eno vprašanje:

Ali lahko dokažete, da je kibernetska varnost upravljana, ima opredeljeno lastništvo, se pregleduje in nenehno izboljšuje?

S Clarysec odgovor postane da.