Sigurnosno izvješće može biti tehnički točno, ai dalje ostaviti vodstvo tima nesigurnim što učiniti. Često se pojavljuje jaz između dokaza i odluke: što to otkriće znači za poslovanje i što bi se zbog toga trebalo promijeniti?

Započnite s aktivnošću koja je važna

Razmotrite aplikaciju koja podržava narudžbe kupaca. Slabost te aplikacije ima tehničke karakteristike, ali njezina važnost također ovisi o tome za što je tvrtka koristi, informacijama koje obrađuju i alternativama dostupnim tijekom prekida.

Korisna rasprava stoga počinje aktivnošću. Koja predanost kupca, operativni proces ili odnos povjerenja ovisi o ovom sustavu? Ovo uspostavlja kontekst u kojem se mora tumačiti ocjena tehničke ozbiljnosti.

Odvojite nalaz od njegove posljedice

Nalaz opisuje promatrano stanje. Posljedica opisuje što bi to stanje moglo dopustiti pod određenim okolnostima. Brkajući ovo dvoje, teško je osporiti izvješće i donijeti odluku.

Zatražite lanac rezoniranja. Kakav pristup treba protivniku? Koje su dodatne pretpostavke potrebne? Koji su dokazi prikupljeni, a koji dio scenarija ostaje neprovjeren? Jaka procjena čini tu granicu vidljivom.

Neka sljedeća odluka bude jasna

Rasprava o vodstvu postaje produktivnija kada se svako materijalno pitanje priloži odluci. Ta odluka može biti financiranje ispravka, promjena procesa, prihvaćanje ograničene izloženosti ili istraživanje važne neizvjesnosti.

Preporuka bi trebala uključivati ovisnosti i vlasnika. Tehnički tim može provesti ispravak dok vlasnik tvrtke odlučuje je li prekid prihvatljiv. Obje odgovornosti moraju biti vidljive.

Definirajte kako će izgledati poboljšanje

Zatvaranje radnje u trackeru je administrativni događaj. Za jamstvo su potrebni dokazi da se relevantna izloženost promijenila. Ovisno o problemu, to bi moglo značiti ponovno testiranje, pregledani skup dopuštenja, izvršeni korak oporavka ili uočenu promjenu u načinu na koji se postupa s upozorenjem.

Odlučite što će se provjeriti prije početka radova. U suprotnom organizacija može uložiti znatan trud, a opet ne moći objasniti kako se njezin položaj poboljšao.

Praktični plan za sljedeći pregled

Za svako prioritetno pitanje stavite pet pitanja na stol: koja je aktivnost rizična; koji dokazi podupiru zabrinutost; kakva je odluka potrebna; tko je vlasnik radnje; i što će pokazati poboljšanje.

Ovo je veza koju Kabinet želi uspostaviti između ofenzivne procjene i strateških savjeta. Tehnička dubina ostaje bitna. Njegova vrijednost se povećava kada ga ljudi odgovorni za poslovanje mogu koristiti.

Korisno izvješće daje odboru odluku o posjedovanju, a tehničkom timu akciju koju treba provjeriti.

Dodatno čitanje

NIST Cybersecurity Framework

Pogled iz kabineta
The Cybersecurity Cabinet