Hinnangud ja tegevuskavad

Organisatsiooni küberturvalisuse küpsustaseme hinnang

Meie küpsustaseme või nõuetele vastavuse valmisoleku hinnang on teenus, mis aitab organisatsioonil aru saada, kui lähedal te täna olete konkreetsete nõuete täitmisele (nt ISO/IEC 27001, CIS18, DORA, NIS2), mis on puudu, ja mida teha, et jõuda vastavuseni mõistliku aja ja kuluga. See ei ole “sertifitseerimine” ega “audit” ise, vaid praktiline ettevalmistus ja teekaart, et auditiks/järelevalveks/klientide küsimusteks olla valmis.
‍
Peamised tulemused:

• Nõuete tõlgendus teie kontekstis: standardid ja regulatsioonid on üldised; readiness muudab need teie jaoks konkreetseteks (millised nõuded kehtivad, millises ulatuses, kellele).
• Gap-analüüs: võrreldakse teie tänast seisu nõuetega (poliitikad, protsessid, tehnilised kontrollid, rollid, lepingud, tõendmaterjal).
• Tõendite ja dokumentatsiooni kontroll: kas teil on olemas see, mida auditis või järelevalves päriselt küsitakse (nt riskihindamine, varade register, intsidentide käsitlus, logimine, kolmandate osapoolte juhtimine).
• Parendusplaan ja prioriteedid: mida teha kohe (kiired võidud), mida teha järgmises laines (protsessid, kontrollide küpsus), ja mis vajab investeeringut (nt seire, varundus, IAM).
• Auditivalmiduse test: simulatsioon stiilis “kui homme küsitakse, mida te näitate?”, et vähendada üllatusi.

IT-riskide tuvastamine, analüüsimine ja leevendamine äritegevuse toimepidevuse tagamiseks.

Meie sõltumatu IT-riskihindamise teenus keskendub ohtude, haavatavuste ja sõltuvuste hindamisele, mis võivad häirida või peatada teie ettevõtte äritegevuse, pakkudes rakendatavaid soovitusi vastupidavuse suurendamiseks. IT-riskihindamine viiakse läbi koostöös organisatsiooni meeskonnaga, kasutades Riigi Infosüsteemi Ameti poolt koostatud IT-riskianalüüsi metoodikat või organisatsiooni poolt valitud metoodikat.

Peamised tulemused:

• Kriitiliste tegevuste, süsteemide ja nendega seotud riskide põhjalik tuvastamine.
• Üksikasjalik ohtude ja haavatavuse analüüs, mis on kohandatud teie tegevuskonteksti.
• Riskide prioritiseerimine (mis vajab kohe tähelepanu, mis mitte)
• Tegevuskava äritegevuse järjepidevuse tagamiseks ennetavate ja leevendavate meetmete rakendamiseks.
• Tööriistad ja metoodikad pidevaks jälgimiseks ja perioodiliseks riskiülevaatamiseks.

Küberturvalisuse teekaart
‍
Küberturvalisuse teekaart on selge ja praktiline plaan, mis näitab ära teie organisatsiooni küberturbe tänase seisu, olulisemad lüngad ning tegevused, millega riske päriselt vähendada. Teekaardi koostamisel kaardistame riskipõhiselt IT-keskkonna (sh välisperimeeter ja avalikud teenused, tulemüürid, kaugligipääsud, tööjaamad ja serverid, WiFi ja haldusvõrgud, vajadusel turva- ja automaatikavõrgud, füüsiline turve ning riskianalüüs ja taasteplaanid). Tulemuseks on juhtkonnale arusaadav ülevaade ning tehniliselt piisavalt täpne sisend, et otsustada, mida teha kohe ja mida planeerida järgmiste sammudena.
Teekaardi esmase metoodika on välja töötanud Riigi Infosüsteemi Amet ja me oleme omaltpoolt aidanud seda täiendada koostöös TalTech-i ja PWC ekspertidega.
‍
Peamised tulemused

• Hetkeolukorra kaardistus: mis on hästi, mis vajab parandamist ja kus on suurim risk.
• Leidude ja nõrkuste prioriteedid: mis on “kõrge mõju / kiire võit” vs “mahukam arendus”.
• Soovitused ja tegevusplaan: konkreetsed sammud, mis tõstavad turbetaset.
• Hinnang keerukusele ja ajakulule: et oleks võimalik võtta hinnapakkumisi ja teha realistlikke otsuseid.  
• 1 aasta tegevuskava: järjestus ja ajaraam, kuidas soovitused ellu viia.

Pea meeles, et parim teekaart ei ole “pikk nimekiri turvameetmetest”, vaid juhtimisotsuste tööriist – seome iga suurema tegevuse konkreetse äririskiga (nt teenuse katkemine, andmekadu, mainekahju), et investeeringud oleksid lihtsad põhjendada ja kaitsta.