Un informe de seguretat pot ser tècnicament precís i encara deixar un equip de lideratge sense saber què fer. Sovint apareix la bretxa entre l'evidència i la decisió: què significa aquesta troballa per a l'empresa i què hauria de canviar a causa d'això?
Comenceu amb l'activitat que importa
Penseu en una aplicació que admeti comandes de clients. Una debilitat d'aquesta aplicació té característiques tècniques, però la seva importància també depèn de per a què l'utilitza l'empresa, de la informació que gestiona i de les alternatives disponibles durant una interrupció.
Per tant, comença una discussió útil amb l'activitat. Quin compromís amb el client, procés operatiu o relació de confiança depèn d'aquest sistema? Això estableix el context en el qual s'ha d'interpretar una qualificació tècnica de gravetat.
Separa una troballa de la seva conseqüència
Una troballa descriu una condició observada. Una conseqüència descriu el que aquesta condició podria permetre en circumstàncies particulars. Confondre els dos fa que un informe sigui difícil de desafiar i una decisió difícil de posseir.
Demana la cadena de raonaments. Quin accés necessitaria un adversari? Quins supòsits addicionals són necessaris? Quines proves es van reunir i quina part de l'escenari no s'ha provat? Una avaluació forta fa que aquest límit sigui visible.
Feu la següent decisió explícita
Una discussió de lideratge es torna més productiva quan cada qüestió material s'adjunta a una decisió. Aquesta decisió pot ser finançar una correcció, canviar un procés, acceptar una exposició limitada o investigar una incertesa important.
La recomanació hauria d'incloure dependències i un propietari. Un equip tècnic pot implementar la correcció mentre el propietari de l'empresa decideix si una interrupció és acceptable. Les dues responsabilitats han de ser visibles.
Definiu com serà la millora
Tancar una acció en un rastrejador és un esdeveniment administratiu. L'assegurança necessita proves que l'exposició rellevant ha canviat. Depenent del problema, això podria significar una nova prova, un conjunt de permisos revisat, un pas de recuperació exercit o un canvi observat en la manera com es gestiona una alerta.
Decidiu què es comprovarà abans de començar el treball. En cas contrari, una organització pot invertir un esforç important i encara no pot explicar com ha millorat la seva posició.
Una agenda pràctica per a la propera revisió
Per a cada tema prioritari, poseu cinc preguntes sobre la taula: quina activitat està en risc; quines proves recolzen la preocupació; quina decisió es requereix; qui és el propietari de l'acció; i què demostrarà la millora.
Aquesta és la connexió que pretén establir el Consell de Ministres entre l'avaluació ofensiva i l'assessorament estratègic. La profunditat tècnica segueix sent essencial. El seu valor augmenta quan les persones responsables de l'empresa poden utilitzar-lo.
Un informe útil dóna a la junta la decisió de ser propietari i l'equip tècnic una acció per verificar.
Més lectura
NIST Cybersecurity FrameworkUna perspectiva des del gabinet
The Cybersecurity Cabinet