Platforma zarządzania aktywami informacyjnymi, ryzykiem cyfrowym i zgodnością

NGCiso Platform to enterprise platforma dla organizacji, które muszą widzieć swoje krytyczne aktywa informacyjne, rozumieć powiązane z nimi ryzyka oraz systemowo zarządzać spełnianiem wymogów cyberbezpieczeństwa.

Platforma łączy w jednym środowisku zarządzanie aktywami informacyjnymi, ryzykiem, zgodnością, dostępami, dostawcami, incydentami oraz dowodami spełnienia wymogów.

NGCiso Platform jest skierowana przede wszystkim do operatorów infrastruktury krytycznej, instytucji państwowych, dużych przedsiębiorstw oraz innych organizacji o podwyższonych wymaganiach w zakresie kontroli danych, audytu i cyberodporności.

1. Bezpieczeństwo zaczyna się od zrozumienia tego, co dokładnie należy chronić

W dużych organizacjach informacje o aktywach są zazwyczaj rozproszone pomiędzy systemami CMDB, ITAM, rejestrami w Excelu, systemami monitorowania oraz dokumentacją poszczególnych jednostek.

Takie systemy dobrze odpowiadają na pytania:

• jakie serwery i systemy istnieją;
• gdzie się znajdują;
• kto z nich korzysta;
• jakie mają parametry techniczne.

Jednak do zarządzania cyberbezpieczeństwem to nie wystarcza.

CISO oraz kierownictwo muszą wiedzieć:

• jakie aktywa są krytyczne dla biznesu;
• jakie procesy biznesowe od nich zależą;
• jakie zagrożenia i podatności są z nimi związane;
• jaki jest rzeczywisty poziom ryzyka;
• jakie wymogi norm i regulatorów mają zastosowanie;
• jakie środki ochrony zostały wdrożone;
• jakie luki pozostają;
• kto odpowiada za ich usunięcie.

NGCiso Platform tworzy ten kontekst bezpieczeństwa wokół aktywów informacyjnych organizacji.

2. Od rejestru aktywów do systemu zarządzania ryzykiem cyfrowym

NGCiso Platform tworzy spójny model, w którym aktyw informacyjny jest powiązany ze swoim właścicielem, krytycznością, procesami biznesowymi, dostępami, ryzykami, kontrolami bezpieczeństwa, wymogami norm, incydentami oraz dostawcami.

Pozwala to na przejście od pofragmentowanej ewidencji do kompleksowego zarządzania:

Aktyw → krytyczność → zagrożenie → ryzyko → kontrola → dowód → zgodność.

W rezultacie organizacja otrzymuje nie tylko wykaz sprzętu czy systemów informatycznych, ale operacyjny model zarządzania cyberbezpieczeństwem.

3. Centralny rejestr aktywów informacyjnych

Fundamentem NGCiso Platform jest centralny rejestr aktywów informacyjnych.

Mogą być w nim uwzględnione:

• systemy informatyczne;
• oprogramowanie;
• serwery i infrastruktura;
• bazy danych;
• zasoby informacyjne;
• komponenty sieciowe;
• sprzęt technologiczny i przemysłowy;
• systemy AI;
• inne obiekty krytyczne dla działalności organizacji.

Dla każdego aktywu tworzony jest cyfrowy paszport z kluczowymi właściwościami:

• właściciel;
• odpowiedzialna jednostka;
• lokalizacja;
• typ aktywu;
• krytyczność;
• kategoria informacji;
• zależności;
• powiązane ryzyka;
• kontrole bezpieczeństwa;
• historia zmian.

Klasyfikacja aktywów według zasad poufności, integralności i dostępności pozwala oceniać skutki ich naruszenia lub braku dostępności.

4. Zrozumienie zależności między IT a biznesem

Cyberryzyko nie istnieje w izolacji.

Awaria jednego serwera może zatrzymać system ERP. Awaria systemu ERP może wpłynąć na proces finansowy lub produkcyjny. Naruszenie jednego zasobu informacyjnego może stworzyć ryzyko dla całej organizacji.

NGCiso Platform pozwala budować powiązania pomiędzy:

procesami biznesowymi → systemami informatycznymi → danymi → infrastrukturą → aktywami technologicznymi.

Umożliwia to ocenę nie tylko incydentu technicznego, ale także jego potencjalnego wpływu na działalność przedsiębiorstwa.

Dla infrastruktury krytycznej taki model jest szczególnie ważny, ponieważ pozwala dostrzec punkty koncentracji ryzyka oraz krytyczne zależności.

5. Zarządzanie ryzykiem w oparciu o dane

NGCiso Platform pozwala prowadzić centralny rejestr cyberryzyk i łączyć każde ryzyko z konkretnymi aktywami, zagrożeniami, podatnościami i procesami biznesowymi.

Dla ryzyk można określić:

• źródło ryzyka;
• zagrożenie;
• podatność;
• prawdopodobieństwo;
• potencjalny wpływ;
• poziom ryzyka;
• osobę odpowiedzialną;
• działania zaradcze;
• termin realizacji;
• ryzyko rezydualne;
• datę przeglądu.

Organizacja zyskuje możliwość pracy z pełnym cyklem życia ryzyka:

identyfikacja → ocena → postępowanie → akceptacja → monitorowanie → przegląd.

Przekształca to zarządzanie ryzykiem z okresowego ćwiczenia w Excelu w stale kontrolowany proces.

6. Spójny obraz ryzyk dla CISO i kierownictwa

Platforma agreguje informacje o aktywach, ryzykach, niezgodnościach i incydentach w jednym modelu analitycznym.

Kierownictwo może widzieć:

• aktywa krytyczne;
• najbardziej znaczące ryzyka;
• zaległe zadania;
• niewdrożone kontrole;
• luki w zgodności;
• dynamikę stanu cyberbezpieczeństwa;
• najbardziej problematyczne jednostki lub obiekty.

Pozwala to na przejście od raportowania technicznego do zarządczego:

zamiast „ile podatności wykryto”, widać jakie aktywa biznesowe są najbardziej zagrożone i co należy zrobić, aby to ryzyko obniżyć.

7. Continuous Compliance zamiast przygotowań do audytu na ostatnią chwilę

NGCiso Platform pozwala zarządzać zgodnością jako procesem ciągłym.

Platforma może być wykorzystywana do pracy z wymogami:

• ISO/IEC 27001;
• ISO/IEC 27005;
• NIST Cybersecurity Framework 2.0;
• CIS Controls;
• NIS2;
• DORA;
• EU AI Act;
• ukraińskich dokumentów normatywnych w zakresie ochrony technicznej informacji;
• wymogów dla obiektów infrastruktury krytycznej.

Wymogi mogą być powiązane z konkretnymi kontrolami, osobami odpowiedzialnymi, aktywami i dowodami wykonania.

Dla każdego wymogu można sprawdzić status:

• spełniony;
• spełniony częściowo;
• niespełniony;
• nie dotyczy;
• jakie dowody potwierdzają wykonanie;
• jakie działania naprawcze (corrective actions) są wymagane.

8. Jedna kontrola – wiele wymogów

Różne normy i regulacje często zawierają podobne wymagania.

Na przykład kontrola dostępu, zarządzanie ryzykiem czy reagowanie na incydenty występują jednocześnie w kilku standardach.

NGCiso Platform umożliwia tworzenie cross-mappingu pomiędzy wymogami.

Zasada:

Assess once – satisfy many (Oceń raz – spełnij wiele).

Organizacja raz wdraża i dokumentuje kontrolę, po czym jej wykonanie może służyć jako dowód zgodności jednocześnie dla kilku wymogów regulacyjnych.

Ogranicza to powielanie pracy zespołów ds. compliance i upraszcza przygotowanie do audytów.

9. Evidence-based compliance (Zgodność oparta na dowodach)

Zgodności nie da się udowodnić jedynie polityką lub statusem „wykonano”.

Niezbędny jest dowód.

NGCiso Platform tworzy centralną bazę dowodów (evidence base), w której mogą być przechowywane:

• polityki;
• procedury;
• regulaminy;
• potwierdzenia techniczne;
• wyniki kontroli;
• dokumenty;
• protokoły;
• historia realizacji kontroli.

Każdy dowód może być powiązany z konkretnym wymogiem, kontrolą, aktywem lub ryzykiem.

Zapewnia to pełną identyfikowalność (traceability):

wymóg → kontrola → osoba odpowiedzialna → dowód.

10. Zarządzanie dostępem w kontekście aktywów

Uprawnienia dostępu są jednym z głównych źródeł ryzyka cyfrowego.

NGCiso Platform pozwala łączyć użytkowników i konta z aktywami informacyjnymi oraz analizować:

• kto ma dostęp;
• do jakiego aktywu;
• z jakimi uprawnieniami;
• na jakiej podstawie;
• czy dostęp pozostaje aktualny;
• czy istnieje konflikt uprawnień (SoD).

Integracja z katalogami korporacyjnymi umożliwia wykorzystanie danych z Active Directory lub LDAP bez konieczności tworzenia odizolowanych rejestrów równoległych.

11. Third-Party Risk Management (Zarządzanie ryzykiem stron trzecich)

Cyberodporność organizacji zależy nie tylko od systemów wewnętrznych.

Dostawcy oprogramowania, integratorzy, usługi chmurowe oraz firmy serwisowe również tworzą łańcuch ryzyka.

NGCiso Platform pozwala prowadzić rejestr dostawców i oceniać:

• krytyczność dostawcy;
• usługi i aktywa zależne od dostawcy;
• poziom dostępu;
• ryzyka;
• wyniki security assessment;
• realizację wymogów umownych;
• potencjalny wpływ incydentu po stronie zewnętrznej.

W ten sposób ryzyko stron trzecich staje się częścią ogólnego procesu zarządzania ryzykiem.

12. Zarządzanie incydentami cyberbezpieczeństwa

Platforma pozwala powiązać incydent z konkretnymi aktywami, procesami biznesowymi i ryzykami.

Dla incydentu można określić:

• klasyfikację;
• krytyczność;
• aktywa, które ucierpiały;
• osoby odpowiedzialne;
• chronologię;
• podjęte działania;
• czasy reakcji;
• raportowanie;
• wyciągnięte wnioski (lessons learned).

Incydent przestaje być odizolowanym zdarzeniem w SOC, a staje się źródłem informacji do przeglądu ryzyk i kontroli.

13. Platforma uzupełnia istniejącą infrastrukturę IT

NGCiso Platform nie wymaga obowiązkowego zastąpienia istniejącego systemu CMDB lub ITAM.

Platforma może wykorzystywać zgromadzone dane i wzbogacać je o kontekst bezpieczeństwa.

Przewidziano integrację z:

• CMDB;
• ITAM;
• Active Directory / LDAP;
• SIEM;
• systemami zarządzania zadaniami;
• innymi systemami korporacyjnymi poprzez API;
• plikami CSV i Excel jako wstępnym źródłem danych.

Pozwala to na wykorzystanie NGCiso Platform jako warstwy security & GRC (Security and GRC layer) nałożonej na istniejący ekosystem IT.

14. Trzy modele wdrożenia

Dla różnych kategorii organizacji NGCiso Platform oferuje kilka modeli wdrożenia (deployment).

SaaS

Odpowiedni dla organizacji, które mogą korzystać z modelu chmurowego i wymagają szybkiego startu.

On-Premises

Platforma jest wdrażana w infrastrukturze zamawiającego.

Organizacja zachowuje pełną kontrolę nad:

• danymi;
• infrastrukturą;
• dostępami;
• integracjami.

Air-Gapped

Dla infrastruktury krytycznej możliwe jest wdrożenie w środowisku odizolowanym, bez dostępu do Internetu.

Taki dostęp pozwala na korzystanie z platformy w organizacjach o podwyższonych rygorach dotyczących ochrony informacji i kontroli przepływu danych.

15. Nastawienie na infrastrukturę krytyczną

NGCiso Platform jest od początku projektowana z uwzględnieniem scenariuszy charakterystycznych dla dużych podmiotów i infrastruktury krytycznej.

Wśród nich znajdują się:

• duża liczba aktywów informacyjnych i technologicznych;
• posegmentowane sieci;
• środowiska on-premise;
• odizolowane segmenty;
• konieczność kontroli informacji wewnątrz perymetru;
• złożona struktura organizacyjna;
• wiele poziomów odpowiedzialności;
• audyt i kontrola regulacyjna;
• wymogi dotyczące pełnego logowania działań.

Dla takich organizacji kluczowe jest nie tylko posiadanie systemu ewidencji, ale także zapewnienie dowodowości, identyfikowalności i rozliczalności procesów cyberbezpieczeństwa.

16. Sztuczna inteligencja (AI) w kontrolowanym środowisku

NGCiso Platform przewiduje wykorzystanie funkcji opartych na AI do pracy z danymi na platformie.

AI może pomagać:

• analizować informacje o aktywach;
• wykrywać luki;
• analizować dokumenty;
• pracować z ryzykami;
• przygotowywać raporty;
• znajdować powiązane obiekty;
• wspierać procesy compliance.

W środowiskach on-premise oraz air-gapped można zastosować lokalną infrastrukturę AI, eliminując potrzebę przekazywania danych korporacyjnych do zewnętrznych serwisów AI.

Działania AI mogą przy tym zostać włączone do ogólnego mechanizmu logowania i kontroli.

17. Spójny model zamiast zestawu odizolowanych systemów

Główna wartość NGCiso Platform nie tkwi w pojedynczych funkcjach.

Rejestr aktywów można prowadzić w jednym systemie.

Ryzyka – w drugim.

Compliance – w trzecim.

Incydenty – w czwartym.

Dokumenty – w piątym.

Jednak wtedy organizacja traci powiązania między nimi.

NGCiso Platform tworzy jednolity model:

Aktyw (Asset)
↓
Krytyczność biznesowa (Business Criticality)
↓
Ryzyko (Risk)
↓
Kontrola (Control)
↓
Zgodność (Compliance)
↓
Dowód (Evidence)
↓
Incydent (Incident)

To właśnie ta spójność pozwala przekształcić zestaw procesów security w zintegrowany system zarządzania cyberodpornością.

18. Co zyskuje CISO

Dla CISO NGCiso Platform tworzy jednolity, operacyjny obraz bezpieczeństwa.

Na jednym poziomie zarządzania dostępne stają się:

• rejestr aktywów krytycznych;
• rejestr ryzyk (risk register);
• status zgodności (compliance status);
• działania naprawcze (corrective actions);
• ryzyka dostępowe (access risks);
• ryzyka stron trzecich (third-party risks);
• incydenty;
• baza dowodowa (evidence base);
• raportowanie zarządcze (executive reporting).

Pozwala to Dyrektorowi ds. Bezpieczeństwa (CISO) zarządzać cyberbezpieczeństwem nie poprzez zestaw tabel i prezentacji, lecz w oparciu o żywy system stale aktualizowanych danych.

19. Co zyskuje CIO i kierownictwo IT

NGCiso Platform nie zastępuje systemów ITSM ani CMDB.

Uzupełnia ona techniczny obraz infrastruktury IT o informacje dotyczące:

• krytyczności;
• zależności biznesowych;
• ryzyk;
• kontroli bezpieczeństwa (security controls);
• wymogów regulacyjnych.

W rezultacie CIO oraz CISO mogą pracować na tym samym modelu aktywów, widząc go z perspektywy własnych celów zarządczych.

20. Co zyskują zespoły Risk i Compliance

Zespołom ds. ryzyka i zgodności platforma zapewnia:

• centralny rejestr wymogów;
• cross-mapping standardów i ram postępowania;
• rejestr ryzyk (risk register);
• plany działań naprawczych (corrective action plans);
• kontrolę terminów;
• zarządzanie dowodami (evidence management);
• ścieżkę audytu (audit trail);
• raportowanie statusów.

Pozwala to na przejście od akcyjnego przygotowywania się do kontroli do modelu continuous compliance (ciągłej zgodności).

21. Co zyskuje najwyższe kierownictwo

Dla prezesa (CEO), zarządu i organów nadzorczych kluczowy jest nie tyle techniczny stan systemów, ile poziom ryzyka biznesowego.

NGCiso Platform pozwala przekształcić dane techniczne w przejrzysty obraz zarządczy:

• gdzie znajdują się najbardziej znaczące ryzyka;
• jakie aktywa krytyczne są niedostatecznie chronione;
• jakie luki w zgodności (regulatory gaps) występują;
• jakie zadania są przeterminowane;
• jak zmienia się poziom ryzyka;
• gdzie niezbędna jest decyzja menedżerska.

22. Typowy scenariusz wdrożenia

NGCiso Platform może być wdrażana etapami.

Etap 1. Aktywa (Assets)

Import lub integracja istniejącego rejestru aktywów.

Określenie właścicieli (ownership) oraz klasyfikacja krytyczności.

Etap 2. Ryzyko (Risk)

Identyfikacja ryzyk dla aktywów krytycznych.

Opracowanie rejestru ryzyk oraz planów postępowania z ryzykiem.

Etap 3. Zgodność (Compliance)

Podłączenie wymaganych standardów i ram regulacyjnych.

Analiza luk (gap assessment) oraz plan działań naprawczych (corrective action plan).

Etap 4. Dowody (Evidence)

Zbudowanie bazy dowodowej i powiązanie jej z kontrolami.

Etap 5. Continuous Monitoring (Ciągły monitoring)

Stale monitorowanie stanu ryzyk, zgodności i realizacji działań zaradczych.

Takie podejście pozwala zacząć od najbardziej zrozumiałego dla organizacji elementu – aktywów informacyjnych – i stopniowo rozbudowywać system.

23. Praktyczne scenariusze użycia

NGCiso Platform może być stosowana do:

Rejestru aktywów informacyjnych

Tworzenia jednolitej, aktualnej bazy krytycznych aktywów informacyjnych i technologicznych.

Przygotowania do ISO 27001

Analizy luk, kontroli działań, zarządzania dowodami oraz przygotowania do audytu.

Zarządzania ryzykiem

Tworzenia rejestru ryzyk oraz ciągłego nadzoru nad planami postępowania z ryzykiem.

Zarządzania infrastrukturą krytyczną

Ewidencji aktywów krytycznych, ich zależności, ryzyk oraz środków kontroli.

Third-Party Risk Management

Oceny dostawców oraz zależności od podmiotów zewnętrznych.

Cyber Incident Management

Łączenia incydentów z aktywami, ryzykami oraz działaniami naprawczymi.

AI Governance

Ewidencji systemów sztucznej inteligencji oraz zarządzania wymogami i ryzykami z nimi powiązanymi.

24. Kluczowe zasady NGCiso Platform

Asset-centric (Zorientowanie na aktywa)

Bezpieczeństwo jest budowane wokół rzeczywistych aktywów informacyjnych.

Risk-based (Oparcie na ryzyku)

Priorytety wyznacza poziom ryzyka, a nie sama liczba zdarzeń technicznych.

Evidence-based (Oparcie na dowodach)

Spełnienie wymogów musi być potwierdzone jednoznacznymi dowodami.

Integrated (Integracja)

Aktywa, ryzyka, zgodność i incydenty funkcjonują w ramach jednego spójnego modelu.

On-Premise Ready

Platforma może działać w pełni wewnątrz własnej infrastruktury organizacji.

Critical Infrastructure Ready

Architektura i model działania są przystosowane do organizacji o najwyższych wymaganiach cyberodporności.

25. Pozycjonowanie rynkowe

NGCiso Platform wypełnia przestrzeń pomiędzy tradycyjnymi rozwiązaniami ITAM/CMDB a dużymi platformami klasy enterprise GRC.

CMDB odpowiada na pytanie:

„Co posiadamy?”

NGCiso Platform dodaje kolejny poziom:

„Co z tego jest krytyczne, jakie ryzyka są z tym związane, na ile jesteśmy chronieni i czy spełniamy wyznaczone wymogi?”

W ten sposób NGCiso Platform pełni rolę:

Security, Risk & Compliance Layer (Warstwy bezpieczeństwa, ryzyka i zgodności) dla korporacyjnej infrastruktury IT oraz OT.

26. Główna propozycja wartości

NGCiso Platform pomaga organizacji przejść:

od rozproszonych rejestrów – do jednolitego obrazu aktywów;

od subiektywnej oceny – do systemowego risk managementu;

od akcyjnych przygotowań do audytu – do continuous compliance;

od wskaźników technicznych – do zarządzania ryzykiem biznesowym;

od odizolowanych procesów security – do spójnego systemu zarządzania cyberodpornością.

NGCiso Platform

Know your assets.
Understand your risks.
Prove your compliance.

Platforma zarządzania aktywami informacyjnymi, ryzykiem cyfrowym i zgodnością dla organizacji infrastruktury krytycznej.