'n Sekuriteitsverslag kan tegnies akkuraat wees en 'n leierspan steeds onseker laat wat om te doen. Die gaping verskyn dikwels tussen die bewyse en die besluit: wat beteken hierdie bevinding vir die onderneming, en wat moet as gevolg daarvan verander?
Begin met die aktiwiteit wat saak maak
Oorweeg 'n toepassing wat klantbestellings ondersteun. ’n Swakheid in daardie toepassing het tegniese kenmerke, maar die belangrikheid daarvan hang ook af van waarvoor die onderneming dit gebruik, die inligting wat hy hanteer en die alternatiewe wat tydens ’n onderbreking beskikbaar is.
'n Nuttige bespreking begin dus met die aktiwiteit. Watter kliëntverbintenis, operasionele proses of vertroude verhouding hang van hierdie stelsel af? Dit bepaal die konteks waarin 'n tegniese ernsgradering geïnterpreteer moet word.
Skei 'n bevinding van die gevolg daarvan
'n Bevinding beskryf 'n waargenome toestand. 'n Gevolg beskryf wat daardie toestand onder bepaalde omstandighede kan toelaat. Deur die twee te verwar, maak dit 'n verslag moeilik om te betwis en 'n besluit moeilik om te besit.
Vra vir die ketting van redenasie. Watter toegang sal 'n teenstander nodig hê? Watter bykomende aannames is nodig? Watter bewyse is ingesamel, en watter deel van die scenario bly ongetoets? ’n Sterk assessering maak daardie grens sigbaar.
Maak die volgende besluit eksplisiet
'n Leierskapbespreking word meer produktief wanneer elke wesenlike kwessie aan 'n besluit geheg word. Daardie besluit kan wees om 'n regstelling te finansier, 'n proses te verander, 'n beperkte blootstelling te aanvaar of 'n belangrike onsekerheid te ondersoek.
Die aanbeveling moet afhanklikes en 'n eienaar insluit. 'n Tegniese span kan die regstelling implementeer terwyl 'n besigheidseienaar besluit of 'n onderbreking aanvaarbaar is. Albei verantwoordelikhede moet sigbaar wees.
Definieer hoe verbetering sal lyk
Om 'n aksie in 'n spoorsnyer te sluit, is 'n administratiewe gebeurtenis. Die versekering benodig bewyse dat die betrokke blootstelling verander het. Afhangende van die kwessie, kan dit 'n hertoets, 'n hersiene toestemmingstel, 'n uitgeoefende herstelstap of 'n waargenome verandering in hoe 'n waarskuwing hanteer word, beteken.
Besluit wat gekontroleer sal word voordat die werk begin. Andersins kan 'n organisasie aansienlike moeite doen en steeds nie in staat wees om te verduidelik hoe sy posisie verbeter het nie.
'n Praktiese agenda vir die volgende hersiening
Vir elke prioriteitskwessie, plaas vyf vrae op die tafel: watter aktiwiteit is in gevaar; watter bewyse die kommer ondersteun; watter besluit vereis word; wie die aksie besit; en wat verbetering sal aantoon.
Dit is die verband wat die Kabinet beoog om te vestig tussen aanstootlike assessering en strategiese advies. Tegniese diepte bly noodsaaklik. Die waarde daarvan neem toe wanneer die mense wat verantwoordelik is vir die besigheid dit kan gebruik.
'n Nuttige verslag gee die direksie 'n besluit om te besit en die tegniese span 'n aksie om te verifieer.
Verdere leeswerk
NIST Cybersecurity Framework'n Perspektief vanuit die Kabinet
The Cybersecurity Cabinet