Bir işletmenin güvenlik politikaları, güncel bir denetimi ve iddialı bir yol haritası olabilir. Bunlar yararlı başlangıç noktalarıdır. Bir yatırımcının hâlâ kanıtların gerçekte neyi ortaya koyduğunu, hangi risklerin devam ettiğini ve bir sonraki sahibin ne yapması gerekebileceğini anlaması gerekiyor.
Kanıt talep etmeden önce kararı tanımlayın
Bir gayret egzersizinin bir zaman çizelgesi ve bir amacı vardır. Soru, devam edilip edilmeyeceği, neyin daha fazla araştırılacağı veya tamamlandıktan sonra neye öncelik verileceği mi? Cevap hangi bilginin önemli olduğunu belirler.
Yatırımı destekleyen iş faaliyetleri ve bağımlılıklarla başlayın. Dar kapsamlı bir inceleme, mevcut zaman içerisinde neleri tespit edebileceğini ve nelerin ulaşamayacağı yerde kaldığını belirtmelidir.
Mevcut güvencenin kapsamını inceleyin
Bir raporun varlığı, kapsamını açıklamaz. Hangi sistemler incelendi? Hangi sürümler ve ortamlar? Çalışma bir belgesel incelemesi miydi yoksa aktif bir değerlendirme miydi? Önemli bulguların düzeltildiği sonradan doğrulandı mı?
Bu sorular karar vericinin kanıtlara ne kadar güvenebileceğini belirlemeye yardımcı olur. Ayrıca, dikkatlice sınırlandırılmış bir değerlendirmenin tüm organizasyona ilişkin güvence olarak yorumlanmasını da önlerler.
Operasyonel sahipliğe bakın
Güvenlik çalışması kişilere, izinlere ve süreçlere bağlıdır. Kritik sistemlerin kime ait olduğunu, değişime kimin yetki verebileceğini ve önemli bir kişi veya tedarikçi müsait olmadığında ne olacağını sorun.
Bir sorunun düzeltilmesi teknik olarak basit olabilir ancak erişim, bilgi veya yetki yoğunlaşmış olduğundan operasyonel açıdan zor olabilir. Bu, bir işlemden sonra iyileştirmenin pratikliğini ve sırasını etkiler.
Belirsizliği görünür kılın
İnceleme sırasında erişim genellikle sınırlıdır. Bazı sorular cevapsız kalacak ve bazı iddialar hedefin sağladığı bilgilere dayanacaktır. Bu sınırlamalar karar materyaline aittir.
Net bir değerlendirme, doğrulanmış gözlemleri, yönetim beyanlarını ve açık soruları birbirinden ayırır. Daha sonra kararın değiştirilmesinin en muhtemel olduğu yere daha fazla test veya uzman incelemesi hedeflenebilir.
Bulguları entegrasyona taşıyın
Çalışkanlık en çok, bulguları işlemden sağ çıktığı zaman faydalıdır. Önemli riskler, entegrasyon dönemi için adlandırılmış eylemlere, bağımlılıklara ve gerçekçi bir sıraya dönüşmelidir.
Siber bulgular daha geniş işlem sürecine bilgi veriyor. Hukuki, mali ve sözleşmeye ilişkin kararlar ilgili danışmanlara aittir. Kabinenin rolü karar vericilerin kullanabileceği net bir güvenlik perspektifi sağlamaktır.
Amaç, daha net bir yatırım kararı ve bundan sonra ne olacağına dair daha bilinçli bir plandır.
Kabineden bir bakış
The Cybersecurity Cabinet