مستوى النضج

التعريف والمعايير

إيضاح

0

غير موجود

• لا توجد وثائق.

• لا يوجد وعي أو اهتمام ببعض ضوابط الأمن السيبراني.

• ضوابط الأمن السيبراني ليست مطبقة. قد لا يكون هناك وعي بمجال الخطر المحدد أو لا توجد خطط حالية لتنفيذ ضوابط الأمن السيبراني هذه.

1

مخصصة

• ضوابط الأمن السيبراني غير محددة أو محددة تحديدا جزئيًا.

• يتم تنفيذ ضوابط الأمن السيبراني بطريقة غير متسقة.

• ضوابط الأمن السيبراني غير محددة تحديدًا كاملا.

• يختلف تصميم وتنفيذ ضابط الأمن السيبراني حسب القسم أو المالك.

• قد يقتصر تصميم ضابط الأمن السيبراني على التخفيف الجزئي من المخاطر المحددة وقد يكون التنفيذ غير متسق.

2

متكررة، ولكن غير رسمية

• يعتمد تنفيذ ضابط الأمن السيبراني على ممارسة غير رسمية وغير مكتوبة، وإن كانت موحدة.

   

• توجد ضوابط متكررة للأمن السيبراني مطبقة. ومع ذلك، لم يتم تحديد أو اعتماد أهداف الرقابة وتصميمها بشكل رسمي.

• هناك اعتبار محدود للمراجعة المُنظمة أو اختبار بعض الضوابط.

3

منظم وذو طابع رسمي

• يتم تحديد ضوابط الأمن السيبراني واعتمادها وتنفيذها بطريقة منظمة ورسمية.

• يمكن إثبات تنفيذ ضوابط الأمن السيبراني.

• يتم وضع سياسات ومعايير وإجراءات الأمن السيبراني.

• تتم مراقبة الامتثال لوثائق الأمن السيبراني، أي السياسات والمعايير والإجراءات، ويفضل استخدام أداة الحوكمة والمخاطر والامتثال.

• يتم تحديد مؤشرات الأداء الرئيسية ومراقبتها والإبلاغ عنها لتقييم التنفيذ.

4

مُدار وقابل للقياس

• يتم تقييم فعالية ضوابط الأمن السيبراني بشكل دوري وتحسينها عند الضرورة.

• يتم توثيق هذا القياس الدوري والتقييمات وفرص التحسين.

• يتم قياس فعالية ضوابط الأمن السيبراني وتقييمها بشكل دوري.

• يتم استخدام مؤشرات المخاطر الرئيسية والإبلاغ عن الاتجاهات لتحديد مدى فعالية ضوابط الأمن السيبراني.

• يتم استخدام نتائج القياس والتقييم لتحديد فرص تحسين ضوابط الأمن السيبراني.

5

متكيّف

• تخضع ضوابط الأمن السيبراني لخطة التحسين المستمر.

• يركز برنامج الأمن السيبراني المتبع في المؤسسة بأكملها على الامتثال المستمر وفعالية ضوابط الأمن السيبراني وتحسينها

• يتم دمج ضوابط الأمن السيبراني مع إطار وممارسات إدارة المخاطر في المؤسسة.

• يتم تقييم أداء ضوابط الأمن السيبراني باستخدام بيانات النظراء والقطاعات.