Bezpečnostná správa môže byť technicky presná a stále môže viesť tím v neistote, čo má robiť. Medzi dôkazmi a rozhodnutím sa často objavuje priepasť: čo toto zistenie znamená pre podnik a čo by sa vďaka nemu malo zmeniť?

Začnite s aktivitou, na ktorej záleží

Zvážte aplikáciu, ktorá podporuje objednávky zákazníkov. Slabá stránka v tejto aplikácii má technické vlastnosti, ale jej dôležitosť závisí aj od toho, na čo ju podnik používa, od informácií, s ktorými narába, a od alternatív dostupných počas prerušenia.

Užitočná diskusia sa preto začína aktivitou. Aký záväzok zákazníka, prevádzkový proces alebo dôveryhodný vzťah závisí od tohto systému? Toto stanovuje kontext, v ktorom sa musí hodnotenie technickej náročnosti interpretovať.

Oddeľte nález od jeho následkov

Nález popisuje pozorovaný stav. Dôsledok opisuje, čo by táto podmienka mohla umožniť za určitých okolností. Ak si tieto dve veci zamieňate, je ťažké spochybniť správu a ťažko vlastniť rozhodnutie.

Požiadajte o reťazec uvažovania. Aký prístup by potreboval protivník? Aké dodatočné predpoklady sú potrebné? Aké dôkazy boli zhromaždené a ktorá časť scenára zostáva nevyskúšaná? Silné hodnotenie robí túto hranicu viditeľnou.

Urobte ďalšie rozhodnutie jednoznačné

Vedúca diskusia sa stáva produktívnejšou, keď je každý podstatný problém spojený s rozhodnutím. Týmto rozhodnutím môže byť financovanie korekcie, zmena procesu, akceptovanie obmedzeného vystavenia alebo preskúmanie dôležitej neistoty.

Odporúčanie by malo zahŕňať závislosti a vlastníka. Technický tím môže vykonať opravu, kým vlastník firmy rozhodne, či je prerušenie prijateľné. Obe zodpovednosti musia byť viditeľné.

Definujte, ako bude vyzerať zlepšenie

Zatvorenie akcie v sledovači je administratívna udalosť. Uistenie si vyžaduje dôkaz, že príslušná expozícia sa zmenila. V závislosti od problému to môže znamenať opakovaný test, skontrolovaný súbor povolení, vykonaný krok obnovy alebo pozorovanú zmenu v spôsobe spracovania výstrahy.

Rozhodnite sa, čo sa bude kontrolovať pred začatím prác. V opačnom prípade môže organizácia investovať značné úsilie a stále nie je schopná vysvetliť, ako sa jej postavenie zlepšilo.

Praktický program pre ďalšiu recenziu

Pre každý prioritný problém položte na stôl päť otázok: aká činnosť je ohrozená; aké dôkazy podporujú obavy; aké rozhodnutie je potrebné; kto je vlastníkom akcie; a čo preukáže zlepšenie.

Toto je spojenie, ktoré sa kabinet snaží vytvoriť medzi ofenzívnym hodnotením a strategickým poradenstvom. Technická hĺbka zostáva nevyhnutná. Jeho hodnota sa zvyšuje, keď ho môžu používať ľudia zodpovední za podnikanie.

Užitočná správa dáva predstavenstvu rozhodnutie o vlastníctve a technickému tímu akciu na overenie.

Ďalšie čítanie

NIST Cybersecurity Framework

Pohľad z kabinetu
The Cybersecurity Cabinet