Yrityksellä voi olla turvallisuuspolitiikka, äskettäinen auditointi ja kunnianhimoinen tiekartta. Ne ovat hyödyllisiä lähtökohtia. Sijoittajan on silti ymmärrettävä, mitä todisteet tosiasiassa osoittavat, mitkä riskit jäävät jäljelle ja mitä seuraavan omistajan on ehkä tehtävä.
Määrittele päätös ennen todisteiden pyytämistä
Ahkeruusharjoituksella on aikataulu ja tarkoitus. Onko kysymys siitä, pitäisikö jatkaa, mitä tutkia tarkemmin vai mitä priorisoida valmistumisen jälkeen? Vastaus määrittää, mikä tieto on olennaista.
Aloita investoinnin taustalla olevista liiketoimista ja riippuvuuksista. Kapea-alaisessa katsauksessa tulee kertoa, mitä se voi saada selville käytettävissä olevan ajan kuluessa ja mikä jää sen ulottumattomiin.
Tarkista nykyisen vakuutuksen laajuus
Raportin olemassaolo ei selitä sen kattavuutta. Mitä järjestelmiä tutkittiin? Mitkä versiot ja ympäristöt? Oliko työ dokumentaarinen katsaus vai aktiivinen arviointi? Vahvistettiinko tärkeät havainnot myöhemmin korjatuiksi?
Nämä kysymykset auttavat selvittämään, kuinka paljon päätöksentekijä voi luottaa todisteisiin. Ne myös estävät yhden tarkasti rajatun arvion tulkinnan varmuudena koko organisaatiosta.
Katso operatiivista omistajuutta
Tietoturvatyö riippuu ihmisistä, luvista ja prosesseista. Kysy, kuka omistaa kriittiset järjestelmät, kuka voi valtuuttaa muutoksen ja mitä tapahtuu, kun avainhenkilö tai toimittaja ei ole tavoitettavissa.
Ongelma voi olla teknisesti yksinkertaista korjata, mutta toiminnallisesti vaikeaa, koska pääsy, tieto tai valtuudet ovat keskittyneet. Tämä vaikuttaa tapahtuman jälkeisen korjaamisen käytännöllisyyteen ja järjestykseen.
Tee epävarmuus näkyväksi
Ahkeruuden aikana pääsy on usein rajoitettua. Jotkut kysymykset jäävät vastaamatta, ja jotkut väitteet perustuvat kohteen antamiin tietoihin. Nämä rajoitukset kuuluvat päätösmateriaaliin.
Selkeä arviointi erottaa todetut havainnot, johdon esitykset ja avoimet kysymykset. Lisätestaukset tai asiantuntijatarkastukset voidaan sitten kohdistaa sinne, missä se todennäköisimmin muuttaa päätöstä.
Vie havainnot integraatioon
Huolellisuus on hyödyllisintä, kun sen löydökset selviävät liiketoimesta. Aineellisen altistumisen tulisi muuttua nimetyiksi toimiksi, riippuvuuksiksi ja realistiseksi järjestykseksi integraatiojaksolle.
Kyberlöydöt kertovat laajemmasta kaupankäyntiprosessista. Oikeudelliset, taloudelliset ja sopimusperusteiset tuomiot jäävät asianomaisille neuvonantajille. Hallituksen tehtävänä on tarjota selkeä turvallisuusnäkökulma, jota päättäjät voivat käyttää.
Tavoitteena on selkeämpi sijoituspäätös ja tietoisempi suunnitelma tulevaa varten.
Näkökulma kabinetista
The Cybersecurity Cabinet