Безбедносни извештај може бити технички тачан и још увек оставити лидерски тим несигуран шта да ради. Често се појављује јаз између доказа и одлуке: шта овај налаз значи за посао и шта би због тога требало да се промени?

Почните са активношћу која је важна

Размислите о апликацији која подржава поруџбине купаца. Слабост у тој апликацији има техничке карактеристике, али њен значај зависи и од тога за шта је предузеће користи, информација којима рукује и доступних алтернатива током прекида.

Корисна дискусија стога почиње активношћу. Која посвећеност купаца, оперативни процес или однос од поверења зависе од овог система? Ово успоставља контекст у којем се мора тумачити техничка оцена озбиљности.

Одвојите налаз од његове последице

Налаз описује посматрано стање. Последица описује шта тај услов може да дозволи под одређеним околностима. Збуњивање ово двоје чини извештај тешким за оспоравање, а одлуку тешком за поседовање.

Питајте за ланац резоновања. Какав приступ би противнику био потребан? Које додатне претпоставке су неопходне? Који су докази прикупљени, а који део сценарија остаје непроверен? Снажна процена чини ту границу видљивом.

Нека следећа одлука буде експлицитна

Дискусија о вођству постаје продуктивнија када је свако материјално питање повезано са одлуком. Та одлука може бити финансирање корекције, промена процеса, прихватање ограничене изложености или истраживање важне неизвесности.

Препорука треба да садржи зависности и власника. Технички тим може применити исправку док власник предузећа одлучује да ли је прекид прихватљив. Обе одговорности морају бити видљиве.

Дефинишите како ће изгледати побољшање

Затварање радње у трагачу је административни догађај. Осигурању је потребан доказ да се релевантна изложеност променила. У зависности од проблема, то може значити поновно тестирање, прегледани скуп дозвола, увежбани корак опоравка или уочену промену у начину на који се поступа са упозорењем.

Одлучите шта ће се проверити пре почетка рада. У супротном, организација може уложити значајан напор и још увек не може да објасни како се њена позиција побољшала.

Практичан дневни ред за следећу ревизију

За свако приоритетно питање ставите пет питања на сто: која је активност угрожена; који докази поткрепљују забринутост; која одлука је потребна; ко је власник акције; и шта ће показати побољшање.

Ово је веза коју Кабинет жели да успостави између увредљиве процене и стратешког савета. Техничка дубина је и даље неопходна. Његова вредност се повећава када људи одговорни за посао могу да га користе.

Користан извештај даје одбору одлуку да поседује, а техничком тиму акцију коју треба да провери.

Даље читање

NIST Cybersecurity Framework

Перспектива из Кабинета
The Cybersecurity Cabinet