安全報告可以喺技術上準確，但係仍然會令領導團隊唔知點做。 證據同決定之間經常出現差距：呢個發現對商家嚟講係咩意思，同埋因為佢而應該改變啲咩？
由重要嘅活動開始
考慮一個支援客戶訂單嘅應用程式。 嗰個應用程式嘅弱點有技術特性，但係佢嘅重要性亦都取決於商家用佢嚟做乜、佢處理嘅資訊同埋中斷期間可用嘅替代方案。
所以，有用嘅討論係由活動開始。 邊個客戶承諾、營運流程或者信任關係取決於呢個系統？ 噉樣就建立咗必須解釋技術嚴重性評級嘅背景。
將一個發現同佢嘅後果分開
發現描述咗一個觀察到嘅情況。 後果係描述嗰個條件喺特定情況下可以容許啲咩。 將兩者混淆，令到報告難以挑戰，決定亦難以擁有。
問下推理鏈。 對手需要咩存取權？ 邊啲額外嘅假設係必要嘅？ 收集咗啲咩證據，同埋個場景嘅邊一部分仲未被測試？ 強烈嘅評估會令到呢個界線可見。
明確作出下一個決定
當每個重要問題都附加喺一個決定上面嗰陣，領導討論就會變得更加有成效。 呢個決定可能係資助修正、改變流程、接受有限嘅曝光或者調查重要嘅唔確定性。
建議應該包括依賴項目同埋擁有者。 技術團隊可能會喺企業主決定係咪可以接受中斷嗰陣實施更正。 兩個責任都需要可見。
定義改善會係點樣
喺追蹤器入面關閉動作係一個管理事件。 保證需要證據證明相關嘅曝光有變化。 視乎問題而定，呢個可能包括重新測試、審查過嘅權限集、執行復原步驟，或者觀察到警示處理方式嘅變化。
喺工作開始之前決定會檢查啲咩。 如果唔係，一個組織可以投入大量嘅精力，但係仍然解釋唔到佢嘅地位係點樣改善咗。
下次審查嘅實際議程
對於每個優先問題，將五個問題放上檯面：咩活動有風險； 有咩證據支持呢個擔憂； 需要做啲咩決定； 邊個擁有個行動； 同埋啲咩會顯示出改善。
呢個就係內閣旨在喺進攻評估同戰略建議之間建立嘅連結。 技術深度仍然係必要嘅。 當負責商家嘅人可以用到佢嘅時候，佢嘅價值就會增加。
一份有用嘅報告可以畀董事會決定擁有，而技術團隊就可以採取行動去驗證。
內閣嘅一個角度
The Cybersecurity Cabinet