Forbind beskyttelsesbehov og risiko

Beskyttelsesbehov beskriver konsekvens; risiko beskriver scenarier

Beskyttelsesbehovet besvarer, hvor alvorlig en skade på et målaktiv eller en proces ville være. Risikoanalysen føjer trusler, sårbarheder, sandsynligheder og sikringsforanstaltninger til det billede.

Når de to arbejdsspor forbliver adskilte, opstår der huller. Et målaktiv kan have et højt beskyttelsesbehov, uden at de relevante risici er prioriteret. Omvendt kan en risikobeslutning være svær at forklare, når beskyttelsesbehovet ikke er tydeligt dokumenteret.

En fælles model mindsker modsigelser

Teams bør knytte beslutninger om beskyttelsesbehov direkte til målaktiver, data, processer og afhængigheder. Risikoanalysen kan derefter bygge videre på den struktur og forklare beslutningerne om sikringsforanstaltninger.

Den fælles model er særlig nyttig i dialogen med forretningen: konsekvensen for fortrolighed, integritet og tilgængelighed er synlig, før de enkelte sikringsforanstaltninger bliver diskuteret.

• Begrund beskyttelsesbehovet for hvert målaktiv og hvert sikkerhedsmål
• Spor risici tilbage til de berørte målaktiver
• Knyt beslutninger om sikringsforanstaltninger til beskyttelsesbehov og restrisiko

Det vigtigste ved en audit

Auditorer leder efter konsistente beslutninger: Hvorfor blev et målaktiv klassificeret som højt? Hvilke sikringsforanstaltninger følger deraf? Hvilke risici står stadig åbne? Hvem godkendte beslutningen?

Et godt ISMS kan besvare de spørgsmål uden en særskilt undersøgelse. Det kræver, at beskyttelsesbehov, risikoanalyse, status for sikringsforanstaltninger og evidens deler én fælles arbejdskontekst.