Varnostno poročilo je lahko tehnično natančno, vodstvena ekipa pa še vedno ne ve, kaj naj naredi. Pogosto se pojavi vrzel med dokazi in odločitvijo: kaj ta ugotovitev pomeni za podjetje in kaj bi se moralo zaradi nje spremeniti?

Začnite z dejavnostjo, ki je pomembna

Razmislite o aplikaciji, ki podpira naročila strank. Slabost te aplikacije ima tehnične značilnosti, vendar je njen pomen odvisen tudi od tega, za kaj jo podjetje uporablja, informacij, ki jih obravnava, in alternativ, ki so na voljo med prekinitvijo.

Koristna razprava se torej začne z aktivnostjo. Katera zaveza stranke, operativni proces ali zaupanja vreden odnos so odvisni od tega sistema? To določa kontekst, v katerem je treba razlagati oceno tehnične resnosti.

Ločite ugotovitev od njene posledice

Ugotovitev opisuje opazovano stanje. Posledica opisuje, kaj bi ta pogoj lahko omogočil v določenih okoliščinah. Zaradi zamenjave teh dveh je težko izpodbijati poročilo in težko sprejeti odločitev.

Vprašajte za verigo sklepanja. Kakšen dostop bi potreboval nasprotnik? Katere dodatne predpostavke so potrebne? Kateri dokazi so bili zbrani in kateri del scenarija ostaja nepreizkušen? Močna ocena naredi to mejo vidno.

Naslednja odločitev naj bo jasna

Vodstvena razprava postane bolj produktivna, ko je vsako pomembno vprašanje povezano z odločitvijo. Ta odločitev je lahko financiranje popravka, sprememba postopka, sprejetje omejene izpostavljenosti ali preiskava pomembne negotovosti.

Priporočilo mora vsebovati odvisnosti in lastnika. Tehnična ekipa lahko izvede popravek, medtem ko se lastnik podjetja odloči, ali je prekinitev sprejemljiva. Obe odgovornosti morata biti vidni.

Določite, kako bo videti izboljšanje

Zapiranje dejanja v sledilniku je upravni dogodek. Zagotovilo potrebuje dokaze, da se je relevantna izpostavljenost spremenila. Odvisno od težave lahko to pomeni ponovni preizkus, pregledan nabor dovoljenj, izveden obnovitveni korak ali opaženo spremembo v tem, kako se obravnava opozorilo.

Pred začetkom dela se odločite, kaj bo preverjeno. V nasprotnem primeru lahko organizacija vloži veliko truda in še vedno ne zna pojasniti, kako se je njen položaj izboljšal.

Praktična agenda za naslednji pregled

Za vsako prednostno temo postavite pet vprašanj: katera dejavnost je ogrožena; kateri dokazi podpirajo skrb; kakšna odločitev je potrebna; kdo je lastnik akcije; in kaj bo pokazalo izboljšanje.

To je povezava, ki jo želi kabinet vzpostaviti med ofenzivno oceno in strateškim nasvetom. Tehnična globina ostaja bistvena. Njegova vrednost se poveča, ko ga lahko uporabljajo ljudje, odgovorni za podjetje.

Koristno poročilo daje odboru odločitev o lastništvu, tehnični ekipi pa ukrep za preverjanje.

Nadaljnje branje

NIST Cybersecurity Framework

Pogled iz kabineta
The Cybersecurity Cabinet