Свържете нуждите от защита и риска

Нуждите от защита описват въздействието; рискът описва сценариите

Нуждите от защита отговарят на въпроса колко сериозна би била вредата за даден целеви актив или процес. Анализът на риска добавя към тази картина заплахите, уязвимостите, вероятностите и защитните мерки.

Когато двете направления на работа остават отделни, се появяват пропуски. Един целеви актив може да има високи нужди от защита, без съответните рискове да са приоритизирани. И обратно, едно решение за риска може да бъде трудно за обяснение, когато нуждите от защита не са ясно документирани.

Общият модел намалява противоречията

Екипите трябва да свързват решенията за нуждите от защита директно с целевите активи, данните, процесите и зависимостите. Тогава анализът на риска може да надгражда тази структура и да обяснява решенията за защитните мерки.

Общият модел е особено полезен в дискусиите с бизнес екипите: въздействието върху поверителността, целостта и наличността е видимо, преди да се обсъждат отделните защитни мерки.

• Обяснете нуждите от защита за всеки целеви актив и цел за сигурност
• Проследете рисковете обратно до засегнатите целеви активи
• Свържете решенията за защитните мерки с нуждите от защита и остатъчния риск

Какво е най-важно при одит

Одиторите търсят последователни решения: защо даден целеви актив е класифициран като с висока нужда от защита? Какви защитни мерки следват от това? Кои рискове остават открити? Кой е одобрил решението?

Добрата ISMS може да отговори на тези въпроси без отделно разследване. Това изисква нуждите от защита, анализът на риска, статусът на защитните мерки и доказателствата да споделят един работен контекст.