Laporan keselamatan boleh tepat secara teknikal dan masih menyebabkan pasukan kepimpinan tidak pasti apa yang perlu dilakukan. Jurang sering muncul antara bukti dan keputusan: apakah maksud penemuan ini untuk perniagaan, dan apakah yang perlu diubah kerananya?

Mulakan dengan aktiviti yang penting

Pertimbangkan aplikasi yang menyokong pesanan pelanggan. Kelemahan dalam aplikasi itu mempunyai ciri teknikal, tetapi kepentingannya juga bergantung pada kegunaan perniagaan itu, maklumat yang dikendalikannya dan alternatif yang tersedia semasa gangguan.

Oleh itu, perbincangan yang berguna bermula dengan aktiviti. Komitmen pelanggan, proses operasi atau hubungan yang dipercayai bergantung pada sistem ini? Ini menetapkan konteks di mana penilaian keterukan teknikal mesti ditafsirkan.

Asingkan sesuatu penemuan daripada akibatnya

Penemuan menggambarkan keadaan yang diperhatikan. Akibat menerangkan keadaan yang boleh dibenarkan dalam keadaan tertentu. Mengelirukan kedua-duanya menjadikan laporan sukar untuk dicabar dan keputusan sukar untuk dimiliki.

Minta rantai penaakulan. Apakah akses yang diperlukan oleh musuh? Andaian tambahan manakah yang diperlukan? Apakah bukti yang dikumpul, dan bahagian senario yang manakah masih belum diuji? Penilaian yang kukuh menjadikan sempadan itu kelihatan.

Buat keputusan seterusnya dengan jelas

Perbincangan kepimpinan menjadi lebih produktif apabila setiap isu material dilampirkan pada keputusan. Keputusan itu mungkin untuk membiayai pembetulan, mengubah proses, menerima pendedahan terhad atau menyiasat ketidakpastian penting.

Pengesyoran harus termasuk tanggungan dan pemilik. Pasukan teknikal boleh melaksanakan pembetulan sementara pemilik perniagaan memutuskan sama ada gangguan boleh diterima. Kedua-dua tanggungjawab itu perlu dilihat.

Tentukan rupa penambahbaikan

Menutup tindakan dalam penjejak ialah acara pentadbiran. Jaminan memerlukan bukti bahawa pendedahan yang berkaitan telah berubah. Bergantung pada isu, ini boleh bermakna ujian semula, set kebenaran yang disemak, langkah pemulihan yang dilaksanakan atau perubahan yang diperhatikan dalam cara makluman dikendalikan.

Tentukan perkara yang akan disemak sebelum kerja bermula. Jika tidak, organisasi boleh melaburkan usaha yang besar dan masih tidak dapat menjelaskan bagaimana kedudukannya telah bertambah baik.

Agenda praktikal untuk semakan seterusnya

Untuk setiap isu keutamaan, letakkan lima soalan di atas meja: apakah aktiviti yang berisiko; apakah bukti yang menyokong kebimbangan itu; keputusan apa yang diperlukan; siapa yang memiliki tindakan itu; dan apa yang akan menunjukkan peningkatan.

Inilah perkaitan yang bertujuan Kabinet untuk mewujudkan antara penilaian yang menyinggung perasaan dan nasihat strategik. Kedalaman teknikal kekal penting. Nilainya meningkat apabila orang yang bertanggungjawab untuk perniagaan boleh menggunakannya.

Laporan berguna memberikan lembaga keputusan untuk memiliki dan pasukan teknikal tindakan untuk mengesahkan.

Bacaan lanjut

NIST Cybersecurity Framework

Perspektif dari Kabinet
The Cybersecurity Cabinet