In befeiligingsrapport kin technysk akkuraat wêze en in liederskip noch net wis litte wat te dwaan. It gat ferskynt faaks tusken it bewiis en it beslút: wat betsjut dizze konstatearring foar it bedriuw, en wat moat dêrtroch feroarje?
Begjin mei de aktiviteit dy't wichtich is
Beskôgje in applikaasje dy't klantoarders stipet. In swakte yn dy applikaasje hat technyske skaaimerken, mar it belang dêrfan hinget ek ôf fan wêr't it bedriuw it foar brûkt, de ynformaasje dy't it behannelet en de alternativen dy't beskikber binne by in ûnderbrekking.
In nuttige diskusje begjint dêrom mei de aktiviteit. Hokker klantynset, operasjoneel proses of fertroude relaasje hinget ôf fan dit systeem? Dit bepaalt de kontekst wêryn in technyske earnstbeoardieling moat wurde ynterpretearre.
Skied in fynst út syn konsekwinsje
In fynst beskriuwt in waarnommen betingst. In konsekwinsje beskriuwt wat dy betingst ûnder bepaalde omstannichheden tastean koe. It betizing fan 'e twa makket in rapport lestich om út te daagjen en in beslút lestich te besit.
Freegje om de keatling fan redenearring. Hokker tagong soe in tsjinstanner nedich wêze? Hokker ekstra oannames binne nedich? Hokker bewiis waard sammele, en hokker diel fan it senario bliuwt net hifke? In sterke beoardieling makket dy grins sichtber.
Meitsje it folgjende beslút eksplisyt
In liederskipsdiskusje wurdt produktiver as elke materiële kwestje is hechte oan in beslút. Dat beslút kin wêze om in korreksje te finansieren, in proses te feroarjen, in beheinde eksposysje te akseptearjen of in wichtige ûnwissichheid te ûndersykjen.
De oanbefelling moat ôfhinklikens en in eigner befetsje. In technysk team kin de korreksje ymplementearje, wylst in bedriuwseigner beslút oft in ûnderbrekking akseptabel is. Beide ferantwurdlikheden moatte sichtber wêze.
Definiearje hoe ferbettering der útsjen sil
It sluten fan in aksje yn in tracker is in bestjoerlik barren. Assurance hat bewiis nedich dat de relevante eksposysje is feroare. Ofhinklik fan 'e kwestje kin dat in opnij test betsjutte, in beoardiele tastimmingset, in útoefene herstelstap of in waarnommen feroaring yn hoe't in warskôging wurdt ôfhannele.
Beslute wat sil wurde kontrolearre foardat it wurk begjint. Oars kin in organisaasje wichtige ynspanningen ynvestearje en noch net yn steat wêze om te ferklearjen hoe't har posysje ferbettere is.
In praktyske aginda foar de folgjende resinsje
Foar elke prioriteitskwestje, set fiif fragen op 'e tafel: hokker aktiviteit is yn gefaar; hokker bewiis stipet de soarch; hokker beslút is nedich; wa is eigner fan de aksje; en wat sil ferbettering sjen litte.
Dat is it ferbân dat it kabinet lizze wol tusken offensive beoardieling en strategysk advys. Technyske djipte bliuwt essinsjeel. De wearde nimt ta as de minsken dy't ferantwurdlik binne foar it bedriuw it kinne brûke.
In nuttich rapport jout it bestjoer in beslút om te besit en it technyske team in aksje om te ferifiearjen.
Fierder lêzen
NIST Cybersecurity FrameworkIn perspektyf út it kabinet
The Cybersecurity Cabinet