דוח אבטחה יכול להיות מדויק מבחינה טכנית ועדיין להשאיר צוות מנהיגות לא בטוח מה לעשות. לא פעם מופיע הפער בין הראיות להחלטה: מה משמעות הממצא הזה עבור העסק, ומה צריך לשנות בגללו?
התחל עם הפעילות החשובה
שקול אפליקציה שתומכת בהזמנות של לקוחות. לחולשה באותה אפליקציה יש מאפיינים טכניים, אך חשיבותה תלויה גם במה העסק משתמש בה, במידע שהוא מטפל בו ובחלופות הזמינות בזמן הפרעה.
דיון שימושי מתחיל אפוא בפעילות. איזה מחויבות לקוח, תהליך תפעולי או מערכת יחסים מהימנה תלוי במערכת זו? זה קובע את ההקשר שבו יש לפרש דירוג חומרה טכני.
הפרד ממצא מהתוצאה שלו
ממצא מתאר מצב שנצפה. תוצאה מתארת מה מצב זה יכול לאפשר בנסיבות מסוימות. בלבול בין השניים מקשה על דיווח וקשה לבעלות על החלטה.
שאל את שרשרת ההיגיון. לאיזו גישה יריב יצטרך? אילו הנחות נוספות נחוצות? אילו ראיות נאספו, ואיזה חלק בתרחיש נותר ללא בדיקה? הערכה חזקה הופכת את הגבול הזה לגלוי.
הפוך את ההחלטה הבאה למפורשת
דיון מנהיגות הופך פרודוקטיבי יותר כאשר כל נושא מהותי מצורף להחלטה. החלטה זו עשויה להיות לממן תיקון, לשנות תהליך, לקבל חשיפה מוגבלת או לחקור אי ודאות חשובה.
ההמלצה צריכה לכלול תלות ובעלים. צוות טכני עשוי ליישם את התיקון בזמן שבעל עסק מחליט אם הפרעה מקובלת. שתי האחריות צריכות להיות גלויות.
הגדירו איך ייראה שיפור
סגירת פעולה במעקב היא אירוע אדמיניסטרטיבי. הבטחה זקוקה להוכחה לכך שהחשיפה הרלוונטית השתנתה. בהתאם לבעיה, זה יכול להיות בדיקה חוזרת, ערכת הרשאות שנבדקה, שלב התאוששות מופעל או שינוי שנצפה באופן הטיפול בהתראה.
החליטו מה ייבדק לפני תחילת העבודה. אחרת ארגון יכול להשקיע מאמץ משמעותי ועדיין לא יוכל להסביר כיצד השתפר מצבו.
סדר יום מעשי לסקירה הבאה
עבור כל נושא עדיפות, שים חמש שאלות על השולחן: איזו פעילות נמצאת בסיכון; אילו ראיות תומכות בחשש; איזו החלטה נדרשת; מי הבעלים של הפעולה; ומה יפגין שיפור.
זהו הקשר שהקבינט שואף ליצור בין הערכה התקפית לייעוץ אסטרטגי. עומק טכני נשאר חיוני. הערך שלו עולה כאשר האנשים האחראים על העסק יכולים להשתמש בו.
דוח שימושי נותן לדירקטוריון החלטה לבעלות ולצוות הטכני פעולה לאימות.
קריאה נוספת
NIST Cybersecurity Frameworkנקודת מבט מהקבינט
The Cybersecurity Cabinet