Testai / IT saugumas / Metodika
Kaip skaičiuojama
Savivertė remiasi ISO/IEC 27001:2022 (valdymo sistemos reikalavimai, 4-10 skyriai ir A priedas), ISO/IEC 27002:2022 (kontrolių turinys) ir ISO/IEC 33020:2019 (brandos vertinimo principas). Kontrolių pavadinimus ir tekstus vertėme patys; tai ne oficialus LST vertimas.
Trys ilgiai
„Patikra vadovui" turi 12 klausimų, „Patikra su IT žmogumi" 40 punktų, „Pasiruošimas ISO 27001 auditui" 119 (23 valdymo sistemos ir 96 kontrolių). Ilgiai įdėtiniai: trumpesnio klausimai yra ir ilgesniame, todėl tęsiant atsakymai perkeliami.
Kurie punktai jūsų įmonei kritiniai, priklauso nuo atsakymų apie įmonę: pavyzdžiui, jei ruošiatės ISO 27001 sertifikavimui, kritiniai tampa visi valdymo sistemos punktai.
Atsakymų skalė
„Patikroje su IT žmogumi" ir „Pasiruošime ISO 27001 auditui" kiekvienas punktas yra teiginys, kaip turėtų būti. Pasirenkate, kiek jis atitinka jūsų įmonę:
| Lygis | Pavadinimas | Reiškia |
|---|---|---|
| 0 | Nedaroma | To nedarome arba tik planuojame |
| 1 | Iš dalies | Daroma kartais, priklauso nuo žmogaus, arba tik daliai sistemų ar žmonių |
| 2 | Daroma nuosekliai | Daroma kiekvieną kartą ir visur, bet neaprašyta, įrašų nelieka |
| 3 | Aprašyta ir daroma | Yra patvirtinta taisyklė ar procedūra, ir pagal ją daroma |
| 4 | Yra įrodymai ir tikrinama | Lieka įrašai (žurnalai, aktai, sąrašai), kas nors periodiškai tikrina, ar daroma |
| 5 | Matuojama ir gerinama | Rezultatai matuojami, trūkumai taisomi, tvarka peržiūrima bent kartą per metus |
| - | Nežinau | Nežinau, kaip yra |
| - | Netaikoma | Tik kai kuriems punktams, su pagrindimu |
„Patikroje vadovui" kiekvienas klausimas turi 4 konkrečius atsakymus, kurie atitinka 0, 1, 3 arba 4 lygį. „Planuojame" balų neduoda: tai 0 lygis, o planas pažymimas atskirai.
Trys rodikliai
- Veikia: kiek procentų atsakytų punktų turi 2 ar aukštesnį lygį.
- Pasirengimas auditui: kiek procentų atsakytų punktų turi 4 ar aukštesnį lygį, t. y. turi įrodymus.
- Nežinoma: kiek procentų rodytų punktų atsakyta „Nežinau".
Kodėl „Nežinau" nėra 0. Jei „Nežinau" būtų skaičiuojamas kaip „nedaroma", rezultatas būtų blogesnis nei tikrovė, o jei praleidžiamas be pėdsako, geresnis. Todėl „Nežinau" nemažina pirmų dviejų rodiklių, bet rodomas atskirai, o kritiniai nežinomi punktai išvadose pateikiami prieš spragas su patarimu, kaip sužinoti.
Spragos ir jų eilė
Spraga yra punktas, kuris nedaromas arba daromas tik iš dalies (0 arba 1 lygis). Spragos rikiuojamos pagal svarbą: kritinio punkto svoris 5, kito 3, prioritetas = svoris x (3 - lygis).
Branda pagal sritis
Punktai suskirstyti į penkias sritis:
- ISVS valdymas: kaip valdomas pats saugumas: rizikos, politika, tikslai, vidaus auditas, vadovybės peržiūra.
- Organizacinės priemonės: taisyklės, atsakomybės, turtas, prieigos, tiekėjai, incidentai, tęstinumas, teisiniai reikalavimai.
- Žmonės: darbuotojų patikra, sutartys, mokymai, nuotolinis darbas, pranešimas apie įvykius.
- Fizinė sauga: patalpos, įėjimas, įranga, laikmenos, serverinė, utilizavimas.
- Technologinės priemonės: kompiuteriai, paskyros ir teisės, atnaujinimai, kopijos, žurnalai, tinklas, šifravimas, programų kūrimas.
Srities lygis nustatomas pagal ISO/IEC 33020 principą: tai didžiausias lygis k, kurį pasiekia daugiau nei pusė srities punktų, o kiekvieną žemesnį lygį pasiekia daugiau nei 85 proc. punktų. Jei srityje atsakyta mažiau nei 5 punktai arba „Nežinau" daugiau nei 30 proc., lygis neskaičiuojamas.
| Lygis | Pavadinimas | Reiškia |
|---|---|---|
| 0 | Nesistemingai | Šios srities praktikos daugiausia nedaromos arba daromos atsitiktinai. |
| 1 | Daroma | Dauguma dalykų daroma, bet dažnai priklauso nuo žmonių, o ne nuo tvarkos. |
| 2 | Valdoma | Daroma nuosekliai; trūksta aprašymo ir įtvirtinimo. |
| 3 | Aprašyta ir įtvirtinta | Yra taisyklės, ir pagal jas dirbama. |
| 4 | Matuojama | Veikimas tikrinamas, ir yra įrodymų. |
| 5 | Nuolat gerinama | Praktikos matuojamos ir nuolat gerinamos. |
Lygis rodo, kiek praktika įtvirtinta, ir nėra rizikos matas.
Kodėl nėra vieno bendro balo
Vienas skaičius „lygis 0-5" visai įmonei paslėptų tai, kas svarbiausia: kad viena kritinė spraga (pavyzdžiui, neišbandytos atsarginės kopijos) gali nulemti daugiau nei dešimt gerai veikiančių dalykų. Todėl rodome tris rodiklius, kritines spragas ir brandą pagal sritis atskirai.
Versija
Dabartinė versija 0.1-beta (2026-09-24). Pirmi užpildymai naudojami klausimams patikrinti; tada bus 1.0. Pakeitus klausimus ar formules versija keičiama, o skirtingų versijų rezultatai nelyginami.