सुरक्षा अहवाल तांत्रिकदृष्ट्या अचूक असू शकतो आणि तरीही नेतृत्व संघाला काय करावे याबद्दल खात्री नसते. पुरावे आणि निर्णय यांच्यात अनेकदा अंतर दिसून येते: व्यवसायासाठी या शोधाचा अर्थ काय आहे आणि यामुळे काय बदलले पाहिजे?
महत्त्वाच्या क्रियाकलापापासून सुरुवात करा
ग्राहकांच्या ऑर्डरचे समर्थन करणाऱ्या अनुप्रयोगाचा विचार करा. त्या ऍप्लिकेशनमधील कमकुवतपणामध्ये तांत्रिक वैशिष्ट्ये आहेत, परंतु त्याचे महत्त्व व्यवसाय कशासाठी वापरते, ती हाताळत असलेली माहिती आणि व्यत्ययादरम्यान उपलब्ध पर्यायांवर देखील अवलंबून असते.
त्यामुळे एक उपयुक्त चर्चा क्रियाकलापाने सुरू होते. या प्रणालीवर कोणती ग्राहक बांधिलकी, ऑपरेशनल प्रक्रिया किंवा विश्वासार्ह संबंध अवलंबून आहेत? हे संदर्भ स्थापित करते ज्यामध्ये तांत्रिक तीव्रता रेटिंगचा अर्थ लावणे आवश्यक आहे.
त्याच्या परिणामापासून निष्कर्ष वेगळे करा
एक शोध निरीक्षण केलेल्या स्थितीचे वर्णन करतो. विशिष्ट परिस्थितीत ती स्थिती काय परवानगी देऊ शकते याचे परिणाम वर्णन करतो. या दोघांना गोंधळात टाकल्याने अहवालाला आव्हान देणे कठीण होते आणि निर्णय घेणे कठीण होते.
तर्काची साखळी विचारा. शत्रूला कोणता प्रवेश आवश्यक असेल? कोणती अतिरिक्त गृहीतके आवश्यक आहेत? कोणते पुरावे गोळा केले गेले आणि परिस्थितीचा कोणता भाग तपासला गेला नाही? एक मजबूत मूल्यमापन ही सीमा दृश्यमान करते.
पुढील निर्णय स्पष्टपणे घ्या
जेव्हा प्रत्येक सामग्रीचा मुद्दा निर्णयाशी जोडला जातो तेव्हा नेतृत्व चर्चा अधिक फलदायी बनते. तो निर्णय सुधारणेसाठी निधी देणे, प्रक्रिया बदलणे, बाउंडेड एक्सपोजर स्वीकारणे किंवा महत्त्वाच्या अनिश्चिततेची चौकशी करणे असू शकते.
शिफारशीमध्ये अवलंबित्व आणि मालक यांचा समावेश असावा. एक तांत्रिक कार्यसंघ दुरूस्तीची अंमलबजावणी करू शकते जेव्हा एखादा व्यवसाय मालक व्यत्यय स्वीकार्य आहे की नाही हे ठरवतो. दोन्ही जबाबदाऱ्या दिसायला हव्यात.
सुधारणा कशी दिसेल ते परिभाषित करा
ट्रॅकरमधील क्रिया बंद करणे ही एक प्रशासकीय घटना आहे. संबंधित एक्सपोजर बदलले आहे याचा पुरावा आश्वासनासाठी आवश्यक आहे. समस्येच्या आधारावर, याचा अर्थ असा असू शकतो की पुन्हा चाचणी, पुनरावलोकन केलेली परवानगी संच, एक व्यायाम केलेली पुनर्प्राप्ती पायरी किंवा सूचना कशी हाताळली जाते त्यामध्ये पाहिलेले बदल.
काम सुरू होण्यापूर्वी काय तपासले जाईल ते ठरवा. अन्यथा एखादी संस्था लक्षणीय प्रयत्न गुंतवू शकते आणि तरीही तिची स्थिती कशी सुधारली आहे हे स्पष्ट करण्यात अक्षम आहे.
पुढील पुनरावलोकनासाठी एक व्यावहारिक अजेंडा
प्रत्येक प्राधान्य मुद्द्यासाठी, टेबलवर पाच प्रश्न ठेवा: कोणत्या क्रियाकलापांना धोका आहे; कोणता पुरावा चिंतेचे समर्थन करतो; कोणता निर्णय आवश्यक आहे; कारवाईचे मालक कोण आहेत; आणि काय सुधारणा दर्शवेल.
आक्षेपार्ह मूल्यांकन आणि धोरणात्मक सल्ला यांच्यात हे कनेक्शन स्थापित करण्याचे कॅबिनेटचे उद्दिष्ट आहे. तांत्रिक खोली आवश्यक आहे. जेव्हा व्यवसायासाठी जबाबदार लोक ते वापरू शकतात तेव्हा त्याचे मूल्य वाढते.
एक उपयुक्त अहवाल बोर्डाला मालकीचा निर्णय देतो आणि तांत्रिक संघाला पडताळणी करण्याची कृती देतो.
पुढील वाचन
NIST Cybersecurity Frameworkमंत्रिमंडळाकडून एक दृष्टीकोन
The Cybersecurity Cabinet