Öryggisskýrsla getur verið tæknilega nákvæm og skilið samt eftir forystuteymi óviss um hvað á að gera. Bilið birtist oft á milli sönnunargagna og ákvörðunar: hvað þýðir þessi niðurstaða fyrir fyrirtækið og hvað ætti að breytast vegna hennar?

Byrjaðu á starfseminni sem skiptir máli

Íhugaðu forrit sem styður pantanir viðskiptavina. Veikleiki í því forriti hefur tæknilega eiginleika, en mikilvægi hans fer einnig eftir því í hvað fyrirtækið notar það, upplýsingarnar sem það meðhöndlar og þeim valmöguleikum sem eru í boði meðan á truflun stendur.

Gagnlegar umræður hefjast því með starfseminni. Hvaða skuldbinding viðskiptavina, rekstrarferli eða traust samband er háð þessu kerfi? Þetta setur samhengið þar sem túlka verður tæknilega alvarleikaeinkunn.

Skildu niðurstöðu frá afleiðingum hennar

Niðurstaða lýsir ástandi sem sést. Afleiðing lýsir því hvað það ástand gæti leyft undir sérstökum kringumstæðum. Að rugla þessu tvennu saman gerir skýrslu erfitt að mótmæla og ákvörðun erfitt að eiga.

Biðjið um rökhugsunarkeðjuna. Hvaða aðgang myndi andstæðingur þurfa? Hvaða viðbótarforsendur eru nauðsynlegar? Hvaða sönnunargögnum var safnað og hvaða hluti atburðarásarinnar er enn óprófaður? Sterkt mat gerir þau mörk sýnileg.

Gerðu næstu ákvörðun skýrt

Leiðtogaumræða verður afkastameiri þegar hvert efnisatriði er fest við ákvörðun. Sú ákvörðun getur verið að fjármagna leiðréttingu, breyta ferli, samþykkja takmarkaða áhættu eða kanna mikilvæga óvissu.

Tilmælin ættu að innihalda ósjálfstæði og eiganda. Tækniteymi getur innleitt leiðréttinguna á meðan eigandi fyrirtækis ákveður hvort truflun sé ásættanleg. Báðar skyldurnar þurfa að vera sýnilegar.

Skilgreindu hvernig umbætur munu líta út

Að loka aðgerð í rekja spor einhvers er stjórnunarlegur atburður. Fullvissu þarfnast sannana um að viðkomandi áhættuskuldbinding hafi breyst. Það fer eftir vandamálinu, það gæti þýtt endurprófun, endurskoðað heimildasett, notað endurheimtarskref eða breytingar á því hvernig viðvörun er meðhöndluð.

Ákveðið hvað verður athugað áður en vinnan hefst. Annars getur stofnun lagt umtalsverða fyrirhöfn og enn ekki getað útskýrt hvernig staða hennar hefur batnað.

Hagnýt dagskrá fyrir næstu endurskoðun

Fyrir hvert forgangsmál skaltu setja fimm spurningar á borðið: hvaða starfsemi er í hættu; hvaða sönnunargögn styðja áhyggjurnar; hvaða ákvörðun er krafist; hver á aðgerðina; og hvað mun sýna fram á framfarir.

Þetta er tengslin sem ríkisstjórnin stefnir að að koma á milli móðgandi mats og stefnumótandi ráðgjafar. Tæknileg dýpt er enn nauðsynleg. Verðmæti þess eykst þegar fólk sem ber ábyrgð á fyrirtækinu getur notað það.

Gagnleg skýrsla gefur stjórninni ákvörðun um að eiga og tækniteyminu aðgerð til að sannreyna.

Frekari lestur

NIST Cybersecurity Framework

Sjónarhorn úr stjórnarráðinu
The Cybersecurity Cabinet