Anàlisi de riscos

Nombre de treballadors

De 0-10 treballadors. De 10 a 50 treballadors. De 50 a 250 treballadors. Més de 250 treballadors.

Com estan establerts els rols de ciberseguretat dins la teva l’empresa? (Pots escollir més d’una resposta)

Estan definits els rols dels responsables de ciberseguretat, força treballadora i tercers. Es coordinen els rols de ciberseguretat amb els altres rols de l’empresa i els processos de governança aborden riscos de ciberseguretat. Els recursos TIC, temps i personal es prioritzen en funció de la classificació, criticitat i valor comercial. Es tenen dependències i funcions fonamentals pels Serveis crítics i disposen de resiliència. Es gestionen els requisits legals de ciberseguretat, privacitat i llibertats civils.

De qui depenen les decisions de ciberseguretat?

Disposem d’un responsable de ciberseguretat amb pes executiu per prendre les seves pròpies decisions. El responsable de ciberseguretat depèn directament de la direcció de l’empresa i altres departaments com per exemple finances, projectes, operació, etc. El responsable de ciberseguretat depèn dels responsables TIC. No disposem d’un responsable en ciberseguretat.

S’identifiquen i es comuniquen els punts clau de la ciberseguretat de l’empresa? (Pots escollir més d’una resposta)

El rol de l’empresa en la cadena de subministrament està clarament identificat i comunicat. Es comuniquen les prioritats i objectius de les activitats de l’organització. La infraestructura digital crítica està identificada i comunicada. Es comunica la política de seguretat cibernètica a les persones i entitats necessàries.

(I) De quines polítiques de seguretat disposa la teva empresa? (Pots escollir més d’una resposta)

Es compleixen les regulacions i les polítiques. Existeix una política d’eliminació de dades físiques i digitals. S’implementen cicles de desenvolupament. Es milloren els processos de protecció.

(II) De quines polítiques de seguretat disposa la teva empresa? (Pots escollir més d’una resposta)

La ciberseguretat és té en consideració en l'àmbit de recursos humans (per exemple, d'aprovisionament i selecció de personal). Existeix i es desenvolupa un pla de gestió de les vulnerabilitats. Es gestionen les relacions públiques. Es monitora l'activitat de proveïdors per detectar possibles esdeveniments de seguretat cibernètica.

Selecciona aquelles que siguin més representatives pel que fa a usuaris, personal i sensibilització de la teva empresa. (Pots escollir més d’una resposta)

Els usuaris estan formats i capacitats en temes de ciberseguretat i seguretat corporativa. Els usuaris privilegiats entenen el seu rol i responsabilitat. Els executius superiors entenen els reus rols i responsabilitats. El personal de seguretat física I cibernètica entenen els seus rols i capacitats. El coneixement i la conscienciació en ciberseguretat de l’organització és l’adequat.

Es realitza un manteniment periòdic?

No existeix un departament o personal professional específic (externalitzat o no) encarregat del manteniment. Existeix un departament o personal professional específic (externalitzat o no) encarregat del manteniment.

Com es realitza aquest manteniment?

El manteniment i reparació dels actius es realitzen amb eines provades i controlades. El manteniment remot dels actius, s’aprova i es registra de manera que eviti els accessos no autoritzats.

(I) Selecciona aquelles que siguin més representatives pel que fa a amenaces i riscos dins l’empresa. (Pots escollir més d’una resposta)

S’identifiquen i es documenten les vulnerabilitats dels actius. Es rep intel·ligència d’amenaces cibernètiques de Fons d’intercanvi d’informació. S’identifiquen i documenten les amenaces tant internes com externes. S’utilitzen les amenaces, les vulnerabilitats, els impactes i la probabilitat per determinar el risc.

(II) Selecciona aquelles que siguin més representatives pel que fa a amenaces i riscos dins l’empresa. (Pots escollir més d’una resposta)

S’identifiquen i prioritzen les respostes al risc. La tolerància de risc organitzacional es determina i expressa clarament. Els proveïdors i socis externs s’avaluen rutinàriament mitjançant auditories i proves per confirmar que compleixen amb les obligacions contractuals de ciberseguretat.

(III) Selecciona aquelles que siguin més representatives pel que fa a amenaces i riscos dins l’empresa. (Pots escollir més d’una resposta)

S’identifiquen els impactes i les probabilitats del negoci. Els actors de l’organització estableixen i gestionen processos de gestió de riscos. La tolerància del risc de l’organització es basa en el rol de la infraestructura i el sector. Els actors de l’organització estableixen, avaluen, gestiona i acorden processos de gestió de riscos de la cadena de subministrament cibernètica.

(IV) Selecciona aquelles que siguin més representatives pel que fa a amenaces i riscos dins l’empresa. (Pots escollir més d’una resposta)

S’avaluen i prioritzen els riscos dels proveïdors i socis externs. Els contractes amb proveïdors I socis externs s’utilitzen per implementar mesures de ciberseguretat en la cadena de subministrament. Les proves i planificació de resposta i recuperació es fa juntament amb proveïdors.

Com es gestionen les auditories dins l’empresa? (Pots escollir més d’una resposta)

Les auditories es documenten, s’implementen i revisen d’acord amb les polítiques. Es realitzen escanejos de vulnerabilitats. Es fa anàlisi forense. S’estableixen processos per rebre, analitzar i respondre a vulnerabilitats divulgades per fonts externes a l’organització.

Selecciona aquelles que siguin més representatives pel que fa a Infraestructures, xarxes, perímetres, permisos, accessos i credencials. (Pots escollir més d’una resposta)

Se separen entorns de producció i desenvolupament o proves. Les xarxes de comunicació i control estan protegides. Les dades en trànsit estan protegides.

Com es gestionen els accessos, identitats i credencials dins l’empresa? (Pots escollir més d’una resposta)

Les identitats i credencials s’emeten, administren, es verifiquen, revoquen i auditen per als dispositius usuaris i processos autoritzats. Es gestiona i protegeix l’accés físic als actius. Es gestiona l’accés remot. Es gestionen els permisos amb paradigma Zero trust o mínims permisos necessaris.

Selecciona aquelles respostes que representin els accessos, identitats i credencials. (Pots escollir més d’una resposta)

Se segmenta la xarxa. Tots els accessos dels usuaris tenen credencials pròpies i enregistrats els accessos. Els accessos crítics i accessos cap a dades importants com ara dades personals estan protegides per autenticació de doble factor. S’implementen mecanismes a prova de fallades, equilibri de càrrega “load balancing” per adquirir els requisits de resiliència en situacions adverses.

Com es gestionen els dispositius? (Pots escollir més d’una resposta)

Es controla els canvis de configuració. S’implementa el paradigma de menor funcionalitat al configurar els sistemes per tal de proporcionar només les capacitats essencials.

Com es gestiona el maquinari? (Pots escollir més d’una resposta)

S’utilitzen eines per comprovar la integritat del hardware. Els medis extraïbles estan protegits i el seu ús està restringit d’acord amb les polítiques?

Es fa una bona gestió dels actius digitals dins l’empresa? (Pots escollir més d’una resposta)

Les dades emmagatzemades estan protegides i xifrades. Els actius es gestionen formalment durant l’eliminació, transferència i disposició. Es disposa de capacitat adequada per assegurar la disponibilitat de les dades. Existeix prevenció de filtratge de dades (DPL). S’utilitzen eines de comprovació de la integritat de la informació.

L’empresa o organització disposa d’un inventari d’actius digitals?

No disposa de cap inventari digital. Disposa d'un inventari digital sense finalitzar. Disposa d'inventari de maquinari (hardware). Disposa d'un inventari complet de maquinari (hardware) i programari (software). No només disposa d'un inventari digital de maquinari (hardware) i programari (software), sinó que la comunicació organitzacional està mapejada i els sistemes d'informació externs estan catalogats.

(I) Quin protocol de còpies de seguretat i pla de continuïtat se segueix a la teva empresa? (Pots escollir més d’una resposta)

Es realitzen i es proven les còpies de seguretat de la informació. Es guarda una configuració bàsica dels sistemes amb una funcionalitat mínima. Existeixen plans de resposta a incidents, continuïtat de negoci i recuperació de desastres. Es proven els plans de resposta i recuperació. Els serveis crítics disposen d’un pla de continuïtat.

(II) Quin protocol de còpies de seguretat i pla de continuïtat se segueix a la teva empresa? (Pots escollir més d’una resposta)

El pla de recuperació s’executa durant o després d’un incident de ciberseguretat. Els plans de recuperació incorporen lliçons apreses. S’actualitzen les estratègies de recuperació. La reputació es repara després d’un incident. Les activitats de recuperació s comuniquen a les parts interessades internes i externes així com als equips executius i d’administració.

(I) Selecciona aquelles respostes que defineixin millor la gestió de monitoratge, anàlisi i resposta.

S’estableix i gestiona un base line o base de referència del funcionament TIC. S’estableixen nivells d’alerta d’incidents. Els rols i responsabilitats de detecció estan ben definits? Les activitats de detecció compleixen tots els requisits aplicables. Els processos de detecció es milloren contínuament? Existeix un pla de resposta que s’executa durant i després d’un incident?

(II) Selecciona aquelles respostes que defineixin millor la gestió de monitoratge, anàlisi i resposta.

El personal coneix els seus rols i l’ordre d’operacions quan es necessita una resposta a un incident? Els incidents s’informen d’acord amb els criteris establerts i es comparteix la informació d’acord amb el pla de resposta? La coordinació amb les parts interessades es realitza en consonància amb el pla de resposta? L’intercanvi voluntari d’informació es produeix amb les parts interessades externes per aconseguir una millor consciència situacional de la seguretat cibernètica? El pla de resposta millora contínuament amb lliçons apreses i actualitzant les estratègies periòdicament.

(III) Selecciona aquelles respostes que defineixin millor la gestió de monitoratge, anàlisi i resposta.

S’analitzen els esdeveniments detectats per comprendre els objectius i mètodes d’atac. Les dades dels esdeveniments es recopilen i es correlacionen de múltiples fonts i sensors. Es determina un impacte dels esdeveniments. Es monitora la xarxa per detectar possibles esdeveniments de seguretat cibernètica.

(IV) Selecciona aquelles respostes que defineixin millor la gestió de monitoratge, anàlisi i resposta.

Es monitora l'entorn físic per detectar possibles esdeveniments de seguretat cibernètica. Es monitora el personal per detectar possibles esdeveniments de seguretat cibernètica, connexions, dispositius i programari no autoritzat. Es proven els processos de detecció.

(V) Selecciona aquelles respostes que defineixin millor la gestió de monitoratge, anàlisi i resposta.

Es comunica la informació de la detecció d’esdeveniments. S’investiguen les notificacions dels sistemes de detecció. S’entén l’impacte de l’incident i es classifica segons el pla de resposta. Els incidents s’aïllen i es mitiguen. Les vulnerabilitats identificades recentment són mitigades o es documenten com riscos acceptats. Es detecta codi maliciós i aplicacions no desitjades.

Quin percentatge d’ingressos es destinen a recursos TIC?

Quin percentatge d’ingressos es destinen a recursos a la seguretat TIC?

Quina és la previsió per implementar canvis en la ciberseguretat a la teva empresa?

Per rebre l'informe complet del test, facilita'ns informació de contacte:

Nom

Cognoms

NIF Empresa

Facturació de l'empresa

Càrrec

Correu electrònic

Telèfon

Ajuda'ns a millorar, que t'ha semblat aquest qüestionari?

Sector