Conecte las necesidades de protección y el riesgo

Las necesidades de protección describen el impacto; El riesgo describe escenarios.

Las necesidades de protección responden a la gravedad del daño que sufriría un activo o proceso objetivo. El análisis de riesgos añade amenazas, vulnerabilidades, probabilidades y salvaguardas a esa visión.

Cuando los dos flujos de trabajo permanecen separados, aparecen brechas. Un activo objetivo puede tener altas necesidades de protección sin que se prioricen los riesgos relevantes. Por el contrario, una decisión sobre riesgos puede resultar difícil de explicar cuando sus necesidades de protección no están documentadas claramente.

Un modelo compartido reduce las contradicciones

Los equipos deben conectar las decisiones sobre las necesidades de protección directamente con los activos, datos, procesos y dependencias de destino. Luego, el análisis de riesgos puede basarse en esa estructura y explicar las decisiones de salvaguardia.

El modelo compartido es especialmente útil en discusiones con equipos de negocios: el impacto en la confidencialidad, la integridad y la disponibilidad es visible antes de que se debatan las salvaguardas individuales.

• Explicar las necesidades de protección para cada activo objetivo y objetivo de seguridad.
• Rastree los riesgos hasta los activos objetivo afectados
• Conecte las decisiones de salvaguardia con las necesidades de protección y el riesgo residual

Lo que más importa en una auditoría

Los auditores buscan decisiones consistentes: ¿por qué un activo objetivo fue clasificado como alto? ¿Qué salvaguardias siguen? ¿Qué riesgos siguen abiertos? ¿Quién aprobó la decisión?

Un buen SGSI puede responder esas preguntas sin una investigación separada. Eso requiere necesidades de protección, análisis de riesgos, estado de salvaguarda y evidencia para compartir un contexto de trabajo.