ธุรกิจอาจมีนโยบายด้านความปลอดภัย การตรวจสอบล่าสุด และแผนงานที่ท้าทายความสามารถ สิ่งเหล่านี้เป็นจุดเริ่มต้นที่มีประโยชน์ นักลงทุนยังคงจำเป็นต้องเข้าใจว่าหลักฐานใดที่พิสูจน์ได้จริง ความเสี่ยงยังคงอยู่ และสิ่งที่เจ้าของรายต่อไปอาจต้องทำ
กำหนดคำวินิจฉัยก่อนขอหลักฐาน
การฝึกความขยันหมั่นเพียรมีตารางเวลาและจุดประสงค์ คำถามคือจะดำเนินการต่อไป จะต้องตรวจสอบอะไรเพิ่มเติม หรือต้องจัดลำดับความสำคัญหลังจากเสร็จสิ้นหรือไม่ คำตอบจะกำหนดว่าข้อมูลใดเป็นสาระสำคัญ
เริ่มต้นด้วยกิจกรรมทางธุรกิจและการพึ่งพาที่เป็นรากฐานของการลงทุน การทบทวนที่มีขอบเขตแคบควรบอกว่าสิ่งใดสามารถสร้างได้ในเวลาที่มีอยู่ และสิ่งที่เหลืออยู่นอกเหนือการเข้าถึง
ตรวจสอบขอบเขตของการประกันที่มีอยู่
การมีอยู่ของรายงานไม่ได้อธิบายความครอบคลุมของรายงาน มีการตรวจสอบระบบใดบ้าง? เวอร์ชันและสภาพแวดล้อมใด งานนี้เป็นการทบทวนสารคดีหรือการประเมินเชิงรุกหรือไม่? การค้นพบที่สำคัญได้รับการยืนยันในภายหลังว่าได้รับการแก้ไขหรือไม่
คำถามเหล่านี้ช่วยสร้างความมั่นใจให้กับผู้มีอำนาจตัดสินใจในหลักฐานได้มากน้อยเพียงใด นอกจากนี้ยังป้องกันการประเมินที่มีขอบเขตอย่างรอบคอบไม่ให้ตีความว่าเป็นการรับประกันเกี่ยวกับทั้งองค์กร
ดูความเป็นเจ้าของการดำเนินงาน
งานรักษาความปลอดภัยขึ้นอยู่กับบุคลากร สิทธิ์ และกระบวนการ สอบถามว่าใครเป็นเจ้าของระบบที่สำคัญ ใครสามารถอนุมัติการเปลี่ยนแปลงได้ และจะเกิดอะไรขึ้นเมื่อบุคคลสำคัญหรือซัพพลายเออร์ไม่พร้อมใช้งาน
ปัญหาอาจตรงไปตรงมาในทางเทคนิคในการแก้ไข แต่ดำเนินการได้ยาก เนื่องจากการเข้าถึง ความรู้ หรืออำนาจนั้นกระจุกตัวอยู่ ที่ส่งผลกระทบต่อการปฏิบัติจริงและลำดับของการแก้ไขหลังการทำธุรกรรม
ทำให้เห็นความไม่แน่นอน
การเข้าถึงระหว่างความขยันมักถูกจำกัด คำถามบางข้อจะยังคงไม่ได้รับคำตอบ และการยืนยันบางอย่างจะขึ้นอยู่กับข้อมูลที่เป้าหมายให้ไว้ ข้อจำกัดเหล่านั้นอยู่ในเอกสารประกอบการตัดสินใจ
การประเมินที่ชัดเจนจะแยกข้อสังเกตที่ได้รับการตรวจสอบ การรับรองจากฝ่ายบริหาร และคำถามปลายเปิดออกจากกัน การทดสอบเพิ่มเติมหรือการทบทวนโดยผู้เชี่ยวชาญสามารถกำหนดเป้าหมายได้ในบริเวณที่มีแนวโน้มที่จะเปลี่ยนแปลงการตัดสินใจมากที่สุด
นำสิ่งที่ค้นพบไปบูรณาการ
ความขยันหมั่นเพียรจะมีประโยชน์มากที่สุดเมื่อการค้นพบนี้รอดพ้นจากการทำธุรกรรม การเปิดเผยวัสดุควรแปลเป็นการดำเนินการที่ระบุชื่อ การขึ้นต่อกัน และลำดับที่สมจริงสำหรับระยะเวลาบูรณาการ
การค้นพบทางไซเบอร์แจ้งขั้นตอนการทำธุรกรรมที่กว้างขึ้น คำตัดสินทางกฎหมาย การเงิน และสัญญายังคงอยู่กับที่ปรึกษาที่เกี่ยวข้อง บทบาทของคณะรัฐมนตรีคือการจัดเตรียมมุมมองด้านความปลอดภัยที่ชัดเจนซึ่งผู้มีอำนาจตัดสินใจเหล่านั้นสามารถใช้ได้
วัตถุประสงค์คือการตัดสินใจลงทุนที่ชัดเจนยิ่งขึ้นและแผนการที่มีข้อมูลมากขึ้นสำหรับสิ่งที่จะเกิดขึ้นต่อไป
มุมมองจากคณะรัฐมนตรี
The Cybersecurity Cabinet