Μια αναφορά ασφαλείας μπορεί να είναι τεχνικά ακριβής και να αφήνει μια ηγετική ομάδα αβέβαιη τι να κάνει. Συχνά εμφανίζεται το χάσμα μεταξύ των αποδεικτικών στοιχείων και της απόφασης: τι σημαίνει αυτό το εύρημα για την επιχείρηση και τι πρέπει να αλλάξει εξαιτίας αυτού;

Ξεκινήστε με τη δραστηριότητα που έχει σημασία

Σκεφτείτε μια εφαρμογή που υποστηρίζει παραγγελίες πελατών. Μια αδυναμία σε αυτήν την εφαρμογή έχει τεχνικά χαρακτηριστικά, αλλά η σημασία της εξαρτάται επίσης από το τι τη χρησιμοποιεί η επιχείρηση, τις πληροφορίες που χειρίζεται και τις εναλλακτικές λύσεις που είναι διαθέσιμες κατά τη διάρκεια μιας διακοπής.

Επομένως, μια χρήσιμη συζήτηση ξεκινά με τη δραστηριότητα. Ποια δέσμευση πελάτη, λειτουργική διαδικασία ή σχέση εμπιστοσύνης εξαρτάται από αυτό το σύστημα; Αυτό καθορίζει το πλαίσιο στο οποίο πρέπει να ερμηνεύεται μια βαθμολογία τεχνικής σοβαρότητας.

Διαχωρίστε ένα εύρημα από τη συνέπειά του

Ένα εύρημα περιγράφει μια παρατηρούμενη κατάσταση. Μια συνέπεια περιγράφει τι θα μπορούσε να επιτρέψει αυτή η συνθήκη υπό συγκεκριμένες συνθήκες. Η σύγχυση των δύο καθιστά δύσκολη την αμφισβήτηση μιας αναφοράς και δύσκολη την κατοχή μιας απόφασης.

Ζητήστε την αλυσίδα του συλλογισμού. Τι πρόσβαση θα χρειαζόταν ένας αντίπαλος; Ποιες πρόσθετες υποθέσεις είναι απαραίτητες; Ποια στοιχεία συγκεντρώθηκαν και ποιο μέρος του σεναρίου παραμένει μη ελεγμένο; Μια ισχυρή αξιολόγηση κάνει αυτό το όριο ορατό.

Κάντε την επόμενη απόφαση σαφή

Μια συζήτηση για την ηγεσία γίνεται πιο παραγωγική όταν κάθε ουσιαστικό θέμα επισυνάπτεται σε μια απόφαση. Αυτή η απόφαση μπορεί να είναι η χρηματοδότηση μιας διόρθωσης, η αλλαγή μιας διαδικασίας, η αποδοχή μιας περιορισμένης έκθεσης ή η διερεύνηση μιας σημαντικής αβεβαιότητας.

Η σύσταση θα πρέπει να περιλαμβάνει εξαρτήσεις και έναν ιδιοκτήτη. Μια τεχνική ομάδα μπορεί να εφαρμόσει τη διόρθωση, ενώ ένας ιδιοκτήτης επιχείρησης αποφασίζει εάν μια διακοπή είναι αποδεκτή. Και οι δύο ευθύνες πρέπει να είναι ορατές.

Καθορίστε πώς θα είναι η βελτίωση

Το κλείσιμο μιας ενέργειας σε έναν ιχνηλάτη είναι ένα διοικητικό συμβάν. Η διασφάλιση χρειάζεται στοιχεία ότι η σχετική έκθεση έχει αλλάξει. Ανάλογα με το ζήτημα, αυτό θα μπορούσε να σημαίνει μια επανάληψη δοκιμής, ένα ελεγμένο σύνολο αδειών, ένα ασκούμενο βήμα ανάκτησης ή μια παρατηρούμενη αλλαγή στον τρόπο χειρισμού μιας ειδοποίησης.

Αποφασίστε τι θα ελεγχθεί πριν ξεκινήσει η εργασία. Διαφορετικά, ένας οργανισμός μπορεί να επενδύσει σημαντική προσπάθεια και εξακολουθεί να μην είναι σε θέση να εξηγήσει πώς βελτιώθηκε η θέση του.

Μια πρακτική ατζέντα για την επόμενη αναθεώρηση

Για κάθε θέμα προτεραιότητας, βάλτε πέντε ερωτήσεις στο τραπέζι: ποια δραστηριότητα κινδυνεύει. ποια στοιχεία υποστηρίζουν την ανησυχία ποια απόφαση απαιτείται. σε ποιον ανήκει η δράση? και τι θα δείξει βελτίωση.

Αυτή είναι η σύνδεση που στοχεύει να δημιουργήσει το Υπουργικό Συμβούλιο μεταξύ της επιθετικής αξιολόγησης και της στρατηγικής συμβουλής. Το τεχνικό βάθος παραμένει ουσιαστικό. Η αξία του αυξάνεται όταν μπορούν να το χρησιμοποιήσουν οι υπεύθυνοι για την επιχείρηση.

Μια χρήσιμη αναφορά δίνει στο διοικητικό συμβούλιο μια απόφαση να κατέχει και στην τεχνική ομάδα μια ενέργεια για επαλήθευση.

Περαιτέρω ανάγνωση

NIST Cybersecurity Framework

Μια προοπτική από το Υπουργικό Συμβούλιο
The Cybersecurity Cabinet