Справаздача аб бяспецы можа быць тэхнічна дакладнай і па-ранейшаму пакідаць кіраўніцкую каманду неўпэўненай, што рабіць. Часта ўзнікае разрыў паміж доказамі і рашэннем: што гэтая выснова азначае для бізнесу і што з-за гэтага павінна змяніцца?

Пачніце з дзейнасці, якая мае значэнне

Разгледзім прыкладанне, якое падтрымлівае заказы кліентаў. Слабы бок гэтага прыкладання мае тэхнічныя характарыстыкі, але яго важнасць таксама залежыць ад таго, для чаго бізнес яго выкарыстоўвае, інфармацыі, якую ён апрацоўвае, і альтэрнатыў, даступных падчас перапынку.

Такім чынам, карыснае абмеркаванне пачынаецца з дзейнасці. Які абавязак кліента, аперацыйны працэс або даверныя адносіны залежаць ад гэтай сістэмы? Гэта вызначае кантэкст, у якім трэба інтэрпрэтаваць рэйтынг тэхнічнай сур'ёзнасці.

Аддзяліце знаходку ад яе следства

Знаходка апісвае назіраны стан. Следства апісвае, што гэта ўмова можа дазволіць пры пэўных абставінах. Калі блытаць гэтыя два, справаздачу цяжка аспрэчыць, а рашэнне цяжка прыняць.

Спытайце аб ланцужку разважанняў. Які доступ спатрэбіцца праціўніку? Якія дадатковыя здагадкі неабходныя? Якія доказы былі сабраны, а якая частка сцэнару засталася неправеранай? Моцная ацэнка робіць гэтую мяжу бачнай.

Зрабіце наступнае рашэнне выразным

Абмеркаванне кіраўніцтва становіцца больш прадуктыўным, калі кожнае істотнае пытанне далучаецца да рашэння. Такім рашэннем можа быць фінансаванне выпраўлення, змяненне працэсу, прыняцце абмежаванага ўздзеяння або даследаванне важнай нявызначанасці.

Рэкамендацыя павінна ўключаць у сябе залежнасці і ўладальніка. Тэхнічная група можа ўнесці карэкцыю, пакуль уладальнік бізнесу вырашае, ці з'яўляецца перапыненне прымальным. Абедзве абавязкі павінны быць бачныя.

Вызначце, як будзе выглядаць паляпшэнне

Закрыццё акцыі ў трэкеры з'яўляецца адміністрацыйнай падзеяй. Для гарантыі неабходныя доказы таго, што адпаведнае ўздзеянне змянілася. У залежнасці ад праблемы гэта можа азначаць паўторную праверку, праверку набору дазволаў, ажыццёўлены этап аднаўлення або назіраныя змены ў тым, як апрацоўваецца абвестка.

Перад пачаткам работ вырашыце, што будзе правярацца. У адваротным выпадку арганізацыя можа прыкласці значныя намаганні і па-ранейшаму не зможа растлумачыць, як палепшылася яе становішча.

Практычны парадак дня для наступнага агляду

Для кожнага прыярытэтнага пытання пастаўце на стол пяць пытанняў: якая дзейнасць падвяргаецца рызыцы; якія доказы пацвярджаюць заклапочанасць; якое рашэнне патрабуецца; каму належыць дзеянне; і што прадэманструе паляпшэнне.

Гэта сувязь, якую Кабінет міністраў імкнецца ўсталяваць паміж наступальнай ацэнкай і стратэгічнымі парадамі. Тэхнічная глыбіня застаецца важнай. Яго каштоўнасць павялічваецца, калі ім могуць карыстацца людзі, адказныя за бізнес.

Карысная справаздача дае праўленню рашэнне аб прыналежнасці, а тэхнічнай камандзе - дзеянне для праверкі.

Дадатковае чытанне

NIST Cybersecurity Framework

Перспектыва ад Кабміна
The Cybersecurity Cabinet