Un raport sü la sicureza pœu vèss tecnicament precis e lassà ancamò un team de direziun minga sicür de chel che g’ha de fär. La distanza cumpariss despess intra i prœuf e la decisiun: cosa significa chesta conclusiun per l’azienda e cosa dovaria cambiar per chest mutif?
Cumencià cun l’atività che cunta
Pensa a un’aplicaziun che suporta i urden di client. Una deboleza en chela aplicaziun g’ha di carateristich tecnich, ma la sò impurtanza dipend anca de perché l’azienda la dupera, di informaziun che gestiss e di alternatif dispunibel durant un’interruziun.
Una discussiun ütil donca cumencia cun l’atività. Che impegn del client, prucess operatif o relaziun de fiducia dipend de chestu sistèm? Chestu stabiliss el cuntest indué g’ha de vèss interpretà una valutaziun de gravità tecnich.
Separar una descuverta de la sò conseguenza
Un risultà descrif una condiziun osservada. Una conseguenza descrif chel che chela cundiziun podaria cunsentir en di circustanz particular. Confùnder i dü rend un raport dificil de sfidar e una decisiun dificil de avegh.
Dumanda la cadena de ragiunament. Che acess g’havaria bisugn un avversario? Che ipotès giontif sun necesari? Che prœuf sun stà cattà sü e che part del scenario l’è minga verificada? Una valutaziun fort rend visibil chel cunfin.
Rend ciara la decisiun sucesiva
Una discusiun de cumand diventa püsee produtif quand che ogni questiun material l’è tacada a una decisiun. Qella decision qì la pœ vesser finanziar una correzion, cambiar un process, acetar un'esposizion limitada o indagar su un'incerteza importanta.
La raccomandaziun duvaria avegh di dipendenz e un proprietari. Un team tecnich pœu implementar la curreziun menter el titular del azienda decide se un’interruziun l’è acetabil. Tüt i dü i respunsabilità g’han de vèss visibil.
Definir cuma sarà el migliorament
Sarar un’aziun en un tracker l’è un event aministratif. L’assicuranza la g’ha de besogn de prœve qe l’esposizion pertinenta ‘l é cambiada. A segond del prublema, chestu podaria significar un test ancamò, un insema de permess revist, un passagg de recüper esercitaa o un cambiament osservà in de la manera de gestir un avvertiment.
Decidi chel che sarà cuntrulà prima che cumincia el lavurà. Altriment un organizaziun pœu investir di sforzi impurtant e vèss ancamò minga capas de spiegar cuma sò posiziun l’è mejorada.
Un agenda prategh per la prossima revisiun
Per ogni questiun de priorità, mett ciinch dumandi sül tavul: qual atività l’è a ris’c; che prœuf suportan la preocupaziun; che decisiun l’è necesaria; chi l’è proprietari del aziun; e chel che dimustrarà un mejiorament.
Chesta l’è la cunnesiun che el Gabinett vœur stabilir intra la valutaziun ofensiva e el cunsigli strategich. La prufundità tecnich resta fundamental. El sò valur aumenta quand i persun responsabil del azienda pœden duperal.
Un raport ütil dà al cunsigli una decisiun de proprietà e al team tecnich un’aziun de verificar.
Ulterior letura
NIST Cybersecurity FrameworkUna prospettiva del gabinett
The Cybersecurity Cabinet