У бизнеса может быть политика безопасности, недавний аудит и амбициозный план действий. Это полезные отправные точки. Инвестору по-прежнему необходимо понимать, что на самом деле доказывают доказательства, какие риски остаются и что, возможно, придется сделать следующему владельцу.
Определите решение, прежде чем запрашивать доказательства
У упражнения на усердие есть график и цель. Вопрос стоит ли продолжать, что исследовать дальше или что расставить по приоритетам после завершения? Ответ определяет, какая информация является существенной.
Начните с бизнес-деятельности и зависимостей, которые лежат в основе инвестиций. В узком обзоре должно быть указано, что он может установить за отведенное время, а что остается за пределами его досягаемости.
Изучите объем существующей гарантии
Существование отчета не объясняет его охвата. Какие системы исследовались? Какие версии и среды? Была ли работа документальным обзором или активной оценкой? Были ли важные выводы впоследствии подтверждены и исправлены?
Эти вопросы помогают определить, насколько доверять доказательствам может лицо, принимающее решения. Они также предотвращают интерпретацию одной тщательно ограниченной оценки как уверенности в отношении всей организации.
Взгляните на операционную собственность
Работа безопасности зависит от людей, разрешений и процессов. Спросите, кому принадлежат критически важные системы, кто может санкционировать изменения и что происходит, когда ключевое лицо или поставщик недоступны.
Проблему может быть технически легко устранить, но сложно с оперативной точки зрения, поскольку доступ, знания или полномочия сконцентрированы. Это влияет на практичность и последовательность исправлений после транзакции.
Сделайте неопределенность видимой
Доступ во время осмотра часто бывает ограничен. Некоторые вопросы останутся без ответа, а некоторые утверждения будут основываться на информации, предоставленной объектом. Эти ограничения относятся к материалу решения.
Четкая оценка отделяет проверенные наблюдения, заявления руководства и открытые вопросы. Дальнейшее тестирование или проверка специалистами могут быть направлены на те места, где вероятность изменения решения наиболее высока.
Интегрируйте полученные результаты
Трудолюбие наиболее полезно, когда его результаты сохраняются после сделки. Существенные риски должны быть преобразованы в названные действия, зависимости и реалистичную последовательность действий на период интеграции.
Кибер-выводы служат основой для более широкого процесса транзакций. Юридические, финансовые и договорные решения остаются за соответствующими консультантами. Роль Кабинета министров заключается в обеспечении четкой перспективы безопасности, которую могут использовать лица, принимающие решения.
Целью является более четкое инвестиционное решение и более обоснованный план дальнейших действий.
Взгляд Кабмина
The Cybersecurity Cabinet