Laporan keamanan bisa jadi akurat secara teknis dan masih membuat tim kepemimpinan tidak yakin apa yang harus dilakukan. Kesenjangan sering muncul antara bukti dan keputusan: apa arti temuan ini bagi bisnis, dan apa yang harus berubah karenanya?

Mulailah dengan aktivitas yang penting

Pertimbangkan aplikasi yang mendukung pesanan pelanggan. Kelemahan dalam aplikasi tersebut memiliki karakteristik teknis, namun pentingnya juga bergantung pada kegunaan bisnis tersebut, informasi yang ditanganinya, dan alternatif yang tersedia saat terjadi gangguan.

Oleh karena itu, diskusi yang bermanfaat dimulai dengan kegiatan tersebut. Komitmen pelanggan, proses operasional, atau hubungan tepercaya mana yang bergantung pada sistem ini? Hal ini menetapkan konteks di mana peringkat tingkat keparahan teknis harus ditafsirkan.

Pisahkan temuan dari konsekuensinya

Sebuah temuan menggambarkan kondisi yang diamati. Konsekuensi menggambarkan apa yang dapat dimungkinkan oleh kondisi tersebut dalam keadaan tertentu. Membingungkan keduanya membuat laporan sulit untuk ditentang dan keputusan sulit untuk diambil alih.

Tanyakan rantai penalarannya. Akses apa yang dibutuhkan musuh? Asumsi tambahan apa yang diperlukan? Bukti apa yang telah dikumpulkan, dan bagian skenario mana yang masih belum teruji? Penilaian yang kuat membuat batasan itu terlihat.

Buatlah keputusan berikutnya secara eksplisit

Diskusi kepemimpinan menjadi lebih produktif ketika setiap masalah penting dilampirkan pada suatu keputusan. Keputusan tersebut mungkin berupa pendanaan koreksi, perubahan proses, penerimaan eksposur terbatas, atau investigasi ketidakpastian penting.

Rekomendasi tersebut harus mencakup dependensi dan pemilik. Tim teknis dapat menerapkan koreksi sementara pemilik bisnis memutuskan apakah gangguan dapat diterima. Kedua tanggung jawab tersebut harus terlihat.

Tentukan seperti apa perbaikannya

Menutup suatu tindakan di pelacak adalah peristiwa administratif. Kepastian memerlukan bukti bahwa paparan yang relevan telah berubah. Tergantung pada masalahnya, hal ini bisa berarti pengujian ulang, peninjauan ulang izin, langkah pemulihan yang dilakukan, atau perubahan yang diamati dalam cara penanganan peringatan.

Putuskan apa yang akan diperiksa sebelum pekerjaan dimulai. Jika tidak, suatu organisasi dapat menginvestasikan upaya yang signifikan namun tetap tidak dapat menjelaskan bagaimana posisinya telah meningkat.

Agenda praktis untuk tinjauan berikutnya

Untuk setiap isu prioritas, ajukan lima pertanyaan: aktivitas apa yang berisiko; bukti apa yang mendukung kekhawatiran tersebut; keputusan apa yang diperlukan; siapa yang memiliki saham tersebut; dan apa yang akan menunjukkan perbaikan.

Ini adalah hubungan yang ingin dibangun oleh Kabinet antara penilaian ofensif dan nasihat strategis. Kedalaman teknis tetap penting. Nilainya meningkat ketika orang-orang yang bertanggung jawab atas bisnis tersebut dapat menggunakannya.

Laporan yang berguna memberikan dewan keputusan untuk dimiliki dan tim teknis tindakan untuk memverifikasi.

Bacaan lebih lanjut

NIST Cybersecurity Framework

Perspektif dari Kabinet
The Cybersecurity Cabinet