Siduge kaitsevajadus ja risk

Kaitsevajadus kirjeldab mõju; risk kirjeldab stsenaariume

Kaitsevajadus vastab küsimusele, kui tõsine oleks kahju sihtvarale või protsessile. Riskianalüüs lisab sellele vaatele ohud, haavatavused, tõenäosused ja kaitsemeetmed.

Kui need kaks töösuunda jäävad lahku, tekivad lüngad. Sihtvaral võib olla kõrge kaitsevajadus, ilma et asjakohased riskid oleksid prioriseeritud. Vastupidi võib riskiotsust olla raske selgitada, kui selle kaitsevajadus ei ole selgelt dokumenteeritud.

Ühine mudel vähendab vastuolusid

Meeskonnad peaksid siduma kaitsevajaduse otsused otse sihtvarade, andmete, protsesside ja sõltuvustega. Riskianalüüs saab seejärel sellele struktuurile tugineda ja kaitsemeetmete otsuseid selgitada.

Ühine mudel on eriti kasulik aruteludes äriüksustega: mõju konfidentsiaalsusele, terviklikkusele ja käideldavusele on nähtav enne, kui üksikute kaitsemeetmete üle arutletakse.

• Selgitage kaitsevajadust iga sihtvara ja turvaeesmärgi kohta
• Jälgige riske tagasi mõjutatud sihtvaradeni
• Siduge kaitsemeetmete otsused kaitsevajaduse ja jääkriskiga

Mis on auditis kõige olulisem

Audiitorid otsivad järjepidevaid otsuseid: miks liigitati sihtvara kõrgeks? Millised kaitsemeetmed sellest tulenevad? Millised riskid jäävad lahtiseks? Kes otsuse heaks kiitis?

Hea ISMS suudab neile küsimustele vastata ilma eraldi uurimiseta. Selleks peavad kaitsevajadus, riskianalüüs, kaitsemeetmete olek ja tõendid jagama ühist töökonteksti.