يمكن أن يكون التقرير الأمني دقيقًا من الناحية الفنية ويظل يترك فريق القيادة غير متأكد مما يجب فعله. غالبًا ما تظهر الفجوة بين الأدلة والقرار: ماذا تعني هذه النتيجة بالنسبة للشركة، وما الذي يجب أن يتغير بسببها؟
ابدأ بالنشاط المهم
فكر في تطبيق يدعم طلبات العملاء. إن نقطة الضعف في هذا التطبيق لها خصائص تقنية، ولكن أهميتها تعتمد أيضًا على الغرض الذي تستخدمه الشركة من أجله، والمعلومات التي تتعامل معها والبدائل المتاحة أثناء الانقطاع.
لذلك تبدأ المناقشة المفيدة بالنشاط. ما هو التزام العملاء أو العملية التشغيلية أو العلاقة الموثوقة التي تعتمد على هذا النظام؟ وهذا يحدد السياق الذي يجب أن يتم فيه تفسير تصنيف الخطورة الفنية.
فصل النتيجة عن نتيجتها
النتيجة تصف حالة ملحوظة. تصف النتيجة ما يمكن أن يسمح به هذا الشرط في ظل ظروف معينة. الخلط بين الاثنين يجعل من الصعب الطعن في التقرير ويجعل من الصعب امتلاك القرار.
اسأل عن سلسلة المنطق. ما هو الوصول الذي يحتاجه الخصم؟ ما هي الافتراضات الإضافية الضرورية؟ ما هي الأدلة التي تم جمعها، وأي جزء من السيناريو لم يتم اختباره؟ إن التقييم القوي يجعل تلك الحدود مرئية.
اجعل القرار التالي واضحًا
تصبح مناقشة القيادة أكثر إنتاجية عندما يتم ربط كل قضية مادية بقرار ما. قد يكون هذا القرار هو تمويل التصحيح، أو تغيير العملية، أو قبول التعرض المحدود، أو التحقيق في حالة عدم يقين مهمة.
يجب أن تتضمن التوصية التبعيات والمالك. قد يقوم فريق فني بتنفيذ التصحيح بينما يقرر صاحب العمل ما إذا كان الانقطاع مقبولاً أم لا. كلا المسؤوليتين يجب أن تكونا مرئية.
تحديد الشكل الذي سيبدو عليه التحسن
يعد إغلاق الإجراء في المتعقب حدثًا إداريًا. يحتاج التأكيد إلى دليل على أن التعرض ذي الصلة قد تغير. اعتمادًا على المشكلة، قد يعني ذلك إعادة اختبار، أو مجموعة أذونات تمت مراجعتها، أو خطوة استرداد تم ممارستها، أو تغيير ملحوظ في كيفية التعامل مع التنبيه.
قرر ما سيتم فحصه قبل بدء العمل. وبخلاف ذلك، يمكن للمنظمة أن تستثمر جهدًا كبيرًا وتظل غير قادرة على شرح كيفية تحسن وضعها.
جدول أعمال عملي للمراجعة القادمة
بالنسبة لكل قضية ذات أولوية، ضع خمسة أسئلة على الطاولة: ما هو النشاط المعرض للخطر؟ ما هي الأدلة التي تدعم هذا القلق؟ ما هو القرار المطلوب؟ من يملك الفعل؛ وما الذي سيظهر التحسن.
هذه هي العلاقة التي يهدف مجلس الوزراء إلى إقامتها بين التقييم الهجومي والمشورة الاستراتيجية. يبقى العمق الفني ضروريا. وتزداد قيمتها عندما يتمكن الأشخاص المسؤولون عن الشركة من استخدامها.
التقرير المفيد يمنح مجلس الإدارة قرارًا بالملكية ويعطي الفريق الفني إجراءً للتحقق.
مزيد من القراءة
NIST Cybersecurity Frameworkوجهة نظر من مجلس الوزراء
The Cybersecurity Cabinet