GAP analiza je strukturiran pregled razlike med tem, kako je kibernetska varnost urejena danes, in tem, kakšno stanje organizacija potrebuje glede na tveganja, zakonodajo, standarde, pogodbene zahteve ali pričakovanja vodstva. Ime izhaja iz angleške besede gap, torej vrzel. V praksi gre za zelo uporabno vprašanje: kaj že imamo, kaj manjka, kaj je najpomembnejše in kaj moramo narediti najprej?
Dobra GAP analiza ni akademski seznam vseh možnih kontrol. Namenjena je odločanju. Po njej mora vodstvo razumeti, kje so največja tveganja, IT ekipa mora vedeti, kateri ukrepi imajo prednost, odgovorni za skladnost pa morajo vedeti, katera dokazila manjkajo. Zato je koristna pred pripravo na NIS2, ZInfV-1, ISO 27001, DORA, notranjo presojo, zavarovalniški vprašalnik ali večji varnostni projekt.
Kaj GAP analiza v resnici odgovori?
Najbolj uporabna GAP analiza odgovori na pet konkretnih vprašanj:
- Kaj je v obsegu? Katere storitve, sistemi, lokacije, procesi, podatki in dobavitelji so vključeni?
- Kakšno je trenutno stanje? Katere politike, kontrole, postopki, orodja in dokazila že obstajajo?
- Kaj manjka? Kje so vrzeli glede na izbran okvir, na primer NIS2, ZInfV-1, ISO 27001 ali notranje zahteve?
- Kaj je pomembno najprej? Katere vrzeli imajo največji vpliv na tveganje, poslovanje ali skladnost?
- Kaj je naslednji korak? Kdo je lastnik ukrepa, kaj mora nastati, do kdaj in s katerim dokazilom?
Če analiza ne pripelje do prioritetnega načrta, je pogosto preveč splošna. Organizacija ne potrebuje samo ugotovitve, da nekaj ni popolno. Potrebuje vrstni red, utemeljitev in način, kako bo napredek dokazala.
Kdaj je GAP analiza smiselna?
GAP analiza je posebej koristna, ko organizacija čuti, da se zahteve kopičijo, nima pa jasne slike, kje začeti. Tipični primeri so priprava na NIS2 ali ZInfV-1, uvajanje ISO 27001, prevzem novega informacijskega sistema, zahteva večje stranke po varnostnih dokazilih, zavarovalniški vprašalnik, ponavljajoči se incidenti ali zamenjava vodstva oziroma IT partnerja.
Uporabna je tudi po incidentu. Takrat se pogosto pokaže, da nekateri postopki niso bili zapisani, da ni jasno, kdo odloča, da logi niso dovolj dolgo shranjeni ali da varnostne kopije niso bile redno testirane. GAP analiza po incidentu pomaga ločiti nujne popravke od dolgoročnih izboljšav.
Kaj pregledamo pri GAP analizi?
Obseg je odvisen od cilja, vendar se pri kibernetski varnosti običajno preverijo naslednja področja:
| Upravljanje | odgovornosti, varnostna politika, odločanje vodstva, poročanje, register tveganj |
| Sredstva in podatki | popis sistemov, kritične storitve, lastniki podatkov, klasifikacija informacij |
| Dostopi | uporabniški računi, MFA, privilegirani dostopi, pregledi pravic, odhodi zaposlenih |
| Tehnične kontrole | zaščita končnih naprav, ranljivosti, segmentacija, varnostne kopije, dnevniški zapisi |
| Incidenti | postopek prijave, eskalacija, komunikacija, evidence, vaje in poročilo po incidentu |
| Dobavitelji | pogodbe, varnostne zahteve, kritični zunanji ponudniki, nadzor in dokazila |
| Dokumentacija | politike, postopki, zapisniki, evidence testov, odobritve, izjeme in načrti izboljšav |
Pri manjših podjetjih je analiza lahko krajša in bolj praktična. Pri večjih ali reguliranih organizacijah je smiselno delo razdeliti po področjih, ker imajo različni lastniki različna dokazila: IT ima konfiguracije in dnevnike, vodstvo ima odločitve, pravna služba pogodbe, skrbniki procesov pa postopke in evidence izvajanja.
Kako poteka izvedba?
Najprej določimo cilj analize. Ni enako, ali organizacija želi hiter pregled stanja, pripravo na NIS2, oceno zrelosti pred ISO 27001 ali pregled po incidentu. Cilj določa vprašanja, dokumente in globino pregleda.
- Uvodni pogovor: določimo obseg, poslovne cilje, glavne sisteme, roke in razlog za analizo.
- Zbiranje informacij: pregledamo politike, postopke, sezname sistemov, evidence dostopov, varnostna poročila, pogodbe in pretekle incidente.
- Intervjuji: pogovorimo se z vodstvom, IT ekipo, odgovornimi za skladnost, lastniki procesov in po potrebi z zunanjimi ponudniki.
- Primerjava z okvirom: trenutno stanje primerjamo z izbranim referenčnim okvirom, na primer NIS2, ZInfV-1, ISO 27001, NIST CSF ali internimi zahtevami.
- Ocena vrzeli: vsako vrzel opišemo razumljivo: kaj manjka, zakaj je pomembno, kakšna je posledica in katero dokazilo bi moralo obstajati.
- Prioritizacija: vrzeli razvrstimo glede na tveganje, regulatorno pomembnost, strošek, zahtevnost in poslovni vpliv.
- Načrt ukrepov: pripravimo seznam korakov, lastnike, roke, pričakovana dokazila in priporočeni vrstni red izvedbe.
Primeri tipičnih vrzeli
V praksi se pogosto pokažejo vrzeli, ki niso nujno zapletene, so pa pomembne. Primer: podjetje ima varnostne kopije, vendar nikoli ni testiralo obnove. Ima MFA za elektronsko pošto, ne pa za skrbniške račune. Ima antivirus, nima pa jasnega postopka, kdo obravnava opozorila. Ima pogodbe z dobavitelji, vendar v njih ni varnostnih zahtev ali rokov za obveščanje o incidentih.
Drugi pogost primer je dokumentacija. Organizacija ima veliko stvari “v glavi” ali v različnih mapah, nima pa enotnega pregleda dokazil. Pri presoji ali incidentu to povzroči stres, ker je treba dokazila iskati pod pritiskom. GAP analiza zato ne preverja samo, ali ukrep obstaja, ampak tudi, ali ga je mogoče dokazati.
Kaj dobite na koncu?
Rezultat GAP analize mora biti uporaben dokument, ne samo dolg seznam ugotovitev. Tipičen rezultat vključuje povzetek za vodstvo, pregled trenutnega stanja, seznam vrzeli, oceno tveganja, prioritetni načrt ukrepov in predlog dokazil. Za vsako pomembno vrzel mora biti jasno, kaj je treba narediti, kdo naj bo lastnik in kako se bo preverilo, da je ukrep res izveden.
Dobro poročilo običajno loči tri ravni ukrepov: nujni ukrepi, ki zmanjšajo največje tveganje; srednjeročni ukrepi, ki uredijo procese in dokazila; ter dolgoročne izboljšave, ki dvignejo zrelost varnostnega programa. Tako vodstvo ne dobi samo opozorila, ampak odločljiv načrt.
GAP analiza in NIS2/ZInfV-1
Pri NIS2 in ZInfV-1 je GAP analiza koristna zato, ker pomaga preveriti, ali organizacija sploh razume svoj obseg, odgovornosti, kritične storitve, tveganja, dobavitelje, incidentne postopke in dokazila. Sama analiza ne pomeni, da je organizacija skladna. Je pa dober prvi korak, ker pokaže, katere zahteve so že pokrite in kje manjkajo ukrepi ali dokazi.
Končni status zavezanca, roki poročanja in obvezni ukrepi morajo biti preverjeni po veljavnih uradnih virih in po konkretnem položaju organizacije. Zato je pri regulativi pomembno, da poročilo jasno loči med ugotovitvami, priporočili in pravnimi vprašanji, ki zahtevajo dodatno potrditev.
GAP analiza ni isto kot notranja presoja
GAP analiza išče razlike med trenutnim in želenim stanjem. Notranja presoja pa praviloma preverja, ali organizacija izvaja pravila, ki jih je že sprejela, oziroma ali sistem upravljanja deluje skladno z izbranim standardom. Zato je GAP analiza pogosto smiselna pred notranjo presojo: najprej ugotovimo, kaj manjka, nato uvedemo ukrepe, šele potem preverjamo, ali se izvajajo.
Kaj pripraviti pred začetkom?
Za dober začetek pripravite seznam ključnih sistemov, obstoječe varnostne politike, seznam zunanjih ponudnikov, zadnja varnostna poročila, opis pomembnih poslovnih procesov, evidence incidentov in seznam oseb, ki lahko pojasnijo trenutno stanje. Če vsega tega še ni, to ni ovira. Tudi to je pomembna ugotovitev analize.
Povezane vsebine
Pogosta vprašanja
Koliko časa traja GAP analiza?
Za manjšo organizacijo lahko osnovni pregled traja nekaj dni, pri večji ali regulirani organizaciji pa več tednov. Trajanje je odvisno od obsega, dostopnosti dokumentacije, števila sistemov in števila ljudi, ki jih je treba vključiti.
Ali GAP analiza zagotovi skladnost?
Ne. GAP analiza pokaže vrzeli in priporočene ukrepe. Skladnost je odvisna od tega, ali organizacija ukrepe nato izvede, dokumentira, preverja in prilagaja veljavnim zahtevam.
Ali potrebujemo GAP analizo, če že imamo varnostna orodja?
Da, pogosto prav takrat. Orodja so samo del slike. GAP analiza preveri tudi odgovornosti, postopke, dokazila, dobavitelje, poročanje vodstvu in pripravljenost na incidente.
Kdo mora sodelovati?
Običajno sodelujejo vodstvo, IT, odgovorni za skladnost, lastniki ključnih procesov in po potrebi zunanji ponudniki. Če sodeluje samo IT, analiza pogosto spregleda poslovna tveganja in odločitve vodstva.
Uradni viri za preverjanje
Želite jasen pregled vrzeli in prioritet?
GAP analiza pokaže, kaj je že urejeno, katera dokazila manjkajo in kateri ukrepi imajo največji vpliv na skladnost ter tveganje.
Obrazec odpre kontaktno stran in izbere pravo temo povpraševanja.