Sekureca raporto povas esti teknike preciza kaj ankoraŭ lasi gvidan teamon necerta kion fari. La interspaco ofte aperas inter la indico kaj la decido: kion signifas ĉi tiu trovo por la komerco, kaj kio devus ŝanĝiĝi pro ĝi?

Komencu kun la agado kiu gravas

Konsideru aplikaĵon, kiu subtenas mendojn de klientoj. Malforto en tiu aplikaĵo havas teknikajn trajtojn, sed ĝia graveco ankaŭ dependas de tio, por kio la komerco uzas ĝin, la informojn kiujn ĝi pritraktas kaj la alternativoj disponeblaj dum interrompo.

Utila diskuto do komenciĝas per la agado. Kiu klienta engaĝiĝo, funkcia procezo aŭ fidinda rilato dependas de ĉi tiu sistemo? Ĉi tio establas la kuntekston en kiu teknika severeca takso devas esti interpretita.

Apartigu trovon de ĝia sekvo

Trovo priskribas observitan kondiĉon. Konsekvenco priskribas kion tiu kondiĉo povus permesi sub apartaj cirkonstancoj. Konfuzi la du malfaciligas raporton defii kaj decidon malfacile posedi.

Petu la ĉenon de rezonado. Kian aliron bezonus kontraŭulo? Kiuj aldonaj supozoj estas necesaj? Kiu indico estis kolektita, kaj kiu parto de la scenaro restas neprovita? Forta takso igas tiun limon videbla.

Faru la sekvan decidon eksplicita

Gvidaddiskuto fariĝas pli produktiva kiam ĉiu materia afero estas alkroĉita al decido. Tiu decido povas esti financi korekton, ŝanĝi procezon, akcepti limigitan malkovron aŭ esplori gravan necertecon.

La rekomendo devus inkluzivi dependecojn kaj posedanton. Teknika teamo povas efektivigi la korekton dum komerca posedanto decidas ĉu interrompo estas akceptebla. Ambaŭ respondecoj devas esti videblaj.

Difinu kia plibonigo aspektos

Fermi agon en spurilo estas administra evento. Asekuro bezonas pruvon, ke la koncerna ekspozicio ŝanĝiĝis. Depende de la afero, tio povus signifi reteston, reviziitan permesan aron, ekzercitan reakiran paŝon aŭ observitan ŝanĝon pri kiel atentigo estas pritraktata.

Decidu, kio estos kontrolita antaŭ ol la laboro komenciĝos. Alie organizo povas investi gravan penon kaj ankoraŭ ne kapablas klarigi kiel ĝia pozicio pliboniĝis.

Praktika tagordo por la venonta revizio

Por ĉiu prioritata afero, metu kvin demandojn sur la tablon: kia aktiveco estas en risko; kiaj evidentecoj subtenas la zorgon; kia decido necesas; kiu posedas la agon; kaj kio pruvos plibonigon.

Ĉi tiu estas la ligo, kiun la Kabineto celas establi inter ofensiva takso kaj strategia konsilo. Teknika profundo restas esenca. Ĝia valoro pliiĝas kiam la homoj respondecaj pri la komerco povas uzi ĝin.

Utila raporto donas al la estraro decidon posedi kaj al la teknika teamo agon por kontroli.

Plia legado

NIST Cybersecurity Framework

Perspektivo de la Kabineto
The Cybersecurity Cabinet