Looge riskiregister, mis muudab otsuseid

Riskiregister õigustab oma olemasolu siis, kui see muudab prioriteete, ressursse või rakendust. See peaks aitama arendusjuhil otsustada, kas lükata väljalase edasi, piirata mõnda õigust, rahastada taastamisvõimekuse tööd või aktsepteerida riski kindlaks ajaks. Punaste, kollaste ja roheliste kirjete loendist ei piisa.

Alustage stsenaariumidest, mida ettevõte ära tunneb, mitte siltidest nagu „küberrisk“. Seejärel siduge iga stsenaarium mõjutatud teenuse, hindamise tõendite, kontrollimeetmete, käsitlustöö ja vastutava otsustajaga. Register muutub kasulikuks siis, kui keegi suudab seda ahelat järgida ja selgitada, miks järgmine samm on oluline.

Määratlege otsused enne registri kavandamist

Alustage ühest tootest, äriprotsessist või hallatud teenusest. Tuvastage selle kriitilised sõltuvused, oluline teave, välised teenusepakkujad ja tegevuslikud piirangud. Kitsas piir lihtsustab meetodi testimist enne selle laiendamist kogu organisatsioonile.

Küsige registri kasutajatelt, milliseid otsuseid nad peavad tegema. Platvormijuht võib olla sunnitud valima taastamisvõimekuse parandamise ja vananenud komponendi asendamise vahel. Klienditoe juht võib olla sunnitud heaks kiitma kitsama juurdepääsu, ilma et klienditeenindus häiruks. Tehnikajuht võib olla sunnitud otsustama, kas käivitamisega saab edasi minna, kuigi käsitlustöö on lõpetamata.

Määratlege hindamismeetod ja heakskiidureeglid enne hinnangute kogumist. Praktilise soovitusena dokumenteerige:

• hindamise ajahorisont, näiteks riskipositsioon järgmise kaheteistkümne kuu jooksul;
• tõenäosuse ja mõju määratlused, sealhulgas see, kuidas käsitletakse vastuolulisi mõjumõõtmeid;
• riskiisu ja tegevusliku taluvuse piirmäärad;
• kes võib käsitluse heaks kiita ja jääkriski aktsepteerida;
• ülevaatuste intervallid ja sündmused, mis nõuavad uut hindamist.

Riskiisu väljendab, milliseid riske ja millisel tasemel on organisatsioon valmis võtma või säilitama. Taluvus muudab selle seisukoha kasutatavateks piirideks, näiteks maksimaalseks aktsepteeritavaks katkestuseks või kliendiandmete kontrollimatu eksportimise piiranguteks.

ISO/IEC 27001-le vastava ISMS-i puhul käsitlevad riskihindamist ja -käsitlust punktid 6.1.2 ja 6.1.3. Punkt 8.2 nõuab hindamisi kavandatud ajavahemike järel ning siis, kui toimuvad või kavandatakse olulisi muudatusi. Standard ei näe ette ühtset universaalset iga-aastast ajakava ega hindamismaatriksit. Teie meetod peab toimima tegeliku ISMS-i ulatuse piires.

Andke igale kirjele tegutsemiseks piisav struktuur

Registrit võib alustada arvutustabelis. Selle kasulikkus sõltub seostest, omanikest ja hooldusest, mitte failivormingust. Rohkem seotud tööriistad muutuvad väärtuslikuks siis, kui käsitsi ühildamine muudab need seosed ebausaldusväärseks.

Kasutage püsivat identifikaatorit ja väikest väljade kogumit, mis vastab praktilistele küsimustele. Hoidke mahukad tehnilised tõendid lingitud kirjetes, selle asemel et kopeerida neid igasse ritta.

Eristage riski olekut ülesande olekust. „Käsitlus pooleli“ ei tähenda, et riskipositsioon on vähenenud. „Aktsepteeritud“ ei tähenda, et stsenaarium on kadunud. Sulgege kirje ainult sellistel juhtudel, kui mõjutatud tegevus lõpeb või stsenaarium enam ei kehti, ja säilitage põhjendus.

Samamoodi on haavatavus, ebaõnnestunud kontrollimeede ja risk omavahel seotud, kuid erinevad kirjed. Puuduv paik on nõrkus. Ebaõnnestunud juurutuskontroll on kontrollimeetme probleem. Risk kirjeldab, mis võib nende tingimuste tõttu juhtuda ja miks see on oluline. Siduge üksikasjalikud leiud selle stsenaariumiga, selle asemel et luua iga skanneri tulemuse kohta eraldi ettevõtteülene risk.

Avastage stsenaariume teenuse toimimise põhjal

Kasutage riskide tuvastamiseks arhitektuuri ja tegevuse tõendeid. Kaasake keskendunud arutellu arendus, turvalisus, teenuse omanikud, klienditugi ja asjaomased ärifunktsioonid. Ainult poliitikatest selgub harva, kus õigused on kavandatust laiemad, kus taastamine sõltub ühest inimesest või kus tarnijast on saanud kriitiline sõltuvus.

Kasulikud sisendid on andmevoodiagrammid, juurdepääsu ülevaatused, intsidendikirjed, taastetestid, tarnijate hindamised, haavatavusleiud, muudatusettepanekud ja lahendamata auditi tähelepanekud. Ohumodelleerimine aitab meeskondadel uurida usalduspiire ja usutavaid tõrketeid.

Kasulik stsenaarium järgib mustrit: sündmus mõjutab konkreetset teenust tuvastatava nõrkuse kaudu ja põhjustab kirjeldatud tagajärjed.

Näiteks: kompromiteeritud klienditoe konto võimaldab kliendiandmeid eksportida, sest õigused on liiga laiad, mis põhjustab volitamata avalikustamise ja reageerimistöö. See on rohkem tegutsemist võimaldav kui „konto kompromiteerimine“. See määratleb nii ründetee kui ka kontrollimeetmed, mis võiksid selle katkestada.

Vaadake konfidentsiaalsusest kaugemale. Kaasake katkestused, rikutud kirjed, ebaõnnestunud taastamine, tarnija tegevuse häired, administraatoriõiguste väärkasutus ja kättesaamatu ekspertiis. Tehisintellektiga funktsioonide puhul kaaluge, et valedele väljunditele tuginedes tegutsetakse, tundlik teave jõuab sobimatusse teenusesse või agent tegutseb väljaspool talle ette nähtud volitusi.

Eemaldage dubleerivad stsenaariumid hoolikalt. Kaks teenust võivad jagada identiteedipakkujat, kuid neil võivad olla erinevad tagajärjed ja käsitlusvõimalused. Vastupidi võivad mitu leidu kaasa aidata ühele ekspordistsenaariumile. Koondage siis, kui otsus ja omanik on ühised; eraldage siis, kui ärilised tagajärjed või käsitlusotsused erinevad.

Dokumenteerige avastamise lüngad tööna. Kui keegi ei tea, millised kliendid ekspordifunktsiooni kasutavad, peaks see ebakindlus tekitama uurimisülesande, mitte väljamõeldud mõjuhinnangu.

Hinnake riskipositsiooni ilma näilise täpsuseta

Looge ühine hindamiskeel

Tõenäosus ja mõju vajavad määratlusi, mida hindajad saavad järjepidevalt rakendada. Tõenäosuse puhul eristage ohutegevust tõenäosusest, et kogu stsenaarium õnnestub. Sagedased õngitsuskatsed ei tähenda automaatselt sagedast massilist avalikustamist: autentimine, õigused, seansside kontrollimeetmed ja ekspordipiirangud mõjutavad ründeteed.

Mõju peaks kajastama ärilist tulemust. Arvestage asjakohastel juhtudel teenuse katkestust, avalikustamist, terviklikkuse kadu, reageerimiskulusid, lepingulisi tagajärgi ja mõjutatud inimestele tekitatud kahju. Dokumenteerige koondamisreegel. Kui meetod kasutab kõige olulisemat mõjumõõdet, öelge seda; muidu võib keskmine peita tõsise konfidentsiaalsustagajärje väiksemate tegevuslike mõjude taha.

Lihtne järjestusskaalaga maatriks võib toetada esmast sorteerimist. Kahe kategooria numbri korrutamine annab aga indeksi, mitte mõõdetud tõenäosuse ega rahalise kahju. Ärge liitke neid hinnanguid teenuste lõikes ega nimetage tulemust ettevõtte koguriskipositsiooniks. Kasutage hinnangut koos põhjenduse, kiireloomulisuse, ebakindluse ja käsitluse sõltuvustega.

Kalibreerige hinnangud ühiselt. Laske omanikel hinnata mõnda esinduslikku stsenaariumi sõltumatult, võrrelge nende arutluskäiku ja lahendage erinevused määratluste alusel. See on kasulikum kui lubada igal osakonnal välja töötada oma tõlgendus sõnast „kõrge“.

Eristage algset riski, praegust jääkriski ja sihtjääkriski

Määratlege algse riski lähtetase selgesõnaliselt. See võib kirjeldada stsenaariumi ilma valitud turvameetmeteta, kuid peaks siiski märkima eeldatava teenusearhitektuuri ja äritegevuse. Muidu võivad hindajad ette kujutada omavahel sobimatuid versioone olukorrast „kontrollimeetmeid pole“.

Praegune jääkrisk kajastab kontrollimeetmeid, mis on rakendatud ja mida toetavad asjakohased tõhususe tõendid. Sihtjääkrisk on oodatav riskipositsioon pärast kavandatud käsitlust. Hoidke mõlemad nähtaval: kavandatud juurdepääsupiirang ei tohi tänast hinnangut alandada.

Iga kontrollimeede ei muuda mõlemat mõõdet. Tugevam autentimine võib vähendada tõenäosust. Kitsamad ekspordiõigused võivad piirata avalikustatava teabe mahtu. Testitud reageerimisprotseduurid võivad tagajärgi pärast avastamist ohjeldada. Kirjeldage mehhanismi, selle asemel et rakendada üldist protsendilist vähendust ainult seetõttu, et kontrollimeede on olemas.

Säilitage ebakindlus ja kasutage kvantitatiivset analüüsi valikuliselt

Dokumenteerige eeldused, tõendite kuupäevad, katvuse lüngad ja kindlustunde tase. „Varasemaid intsidente pole olnud“ on nõrk tõend, kui logimine ei suuda sündmust tuvastada. Madal kindlustunne peaks käivitama uurimise; see ei tohiks automaatselt tingida kõrgeimat hinnangut.

Kallite käsitlusotsuste puhul täiendage kvalitatiivset hindamist stsenaariumipõhise finantsanalüüsiga. Kasutage sündmuste sageduse ja tagajärgede jaoks vahemikke, tuvastage peamised kulutegurid ja testige, kuidas otsus erinevate eelduste korral muutub. Simulatsioon aitab neid vahemikke uurida, kuid ei saa parandada põhjendamata sisendeid.

Illustreeriva arvutusena oletame, et sündmuse sagedus on 0,05–0,2 korda aastas ja kahju 100 000–400 000 eurot sündmuse kohta. Otspunktide korrutamine annab ligikaudse aastase vahemiku 5000–80 000 eurot. See on arutelu sisend, mitte prognoos ega põhjendus haruldaste raskete tagajärgede eiramiseks. Selgitage, millised lisatõendid vahemikku kitsendaksid.

Siduge kontrollimeetmed tõrketeega

Kontrollimeetmete vastendamine peaks selgitama põhjuslikkust. Klienditoe konto stsenaariumi puhul tegeleb autentimine konto ülevõtmisega, autoriseerimine piirab juurdepääsetavaid kirjeid, ekspordipiirangud piiravad andmete väljavõtmist ja seire toetab avastamist. Poliitika, mis tunnistab juurdepääsuga seotud kohustusi, on asjakohane, kuid ei tõenda, et need tehnilised piirangud toimivad.

Säilitage mitu-mitmele-seosed: üks identiteedimeede võib toetada mitut riski ja üks risk võib sõltuda mitmest kontrollimeetmest. Kaasake ulatus ja sõltuvused. Autentimismeede, mis hõlmab töötajaid, kuid jätab välja tarnijate kontod, ei saa toetada mõlema kogumi kohta sama järeldust.

Hinnake kolme eraldi küsimust.

• Kavand: kas kontrollimeede katkestaks või ohjeldaks stsenaariumi, kui see toimiks ettenähtud viisil?
• Rakendus: kas see on juurutatud kõigis asjaomastes süsteemides, identiteetides ja töövoogudes?
• Toimimine: kas ajakohased tõendid näitavad, et see toimib jätkuvalt?

Juurdepääsupiirangute puhul võivad tõendid hõlmata rollide määratlusi, tegelikke omistusi, negatiivseid autoriseerimisteste ja lõpetatud eemaldamisi. Taastamise puhul tõendab varundamise konfiguratsioon vähem kui taastetest koos terviklikkuse kontrollide ja mõõdetud taastamistulemusega. Ekspordiseire puhul näidake, et sündmus salvestatakse, hoiatus jõuab reageerijani ja reageerija saab seda uurida.

Hoidke tõenditega koos nende päritolu: allikas, kogumise aeg, ulatus, ülevaataja ja piirangud. Tõendite vanust tuleb hinnata kontekstis. Konfiguratsiooni eksport võib pärast juurutust aeguda; harjutuse tulemus võib jääda kasulikuks seni, kuni arhitektuur või vastutusalad muutuvad.

Ärge alandage jääkriski otseses proportsioonis lõpetatud ülesannetega. Neljast piletist kolme lõpetamine ei tähenda 75% vähenemist. Puuduv pilet võib rakendada ainsa kontrollimeetme, mis avalikustamist piirab. Vaadake stsenaarium pärast kontrollitud muudatusi üle ja dokumenteerige seejärel, miks järeldus muutus.

Valige käsitlus ja tehke kompromiss selgeks

Tavapärased käsitlusvõimalused on riski vältimine, vähendamine, jagamine või ülekandmine ja aktsepteerimine. Neid võib kombineerida, kuid igaühel peab olema sõnastatud eesmärk.

Vältimine lõpetab või muudab riski tekitava tegevuse. See ei kõrvalda tingimata kõiki seotud riske. Funktsiooni eemaldamine võib tuua kaasa käsitsi tehtavad protsessid, mis vajavad omaette hindamist.

Vähendamisel tuleks arvestada nii ennetavate kontrollimeetmete kui ka tagajärgi piiravate meetmetega. Võrrelge arendustööd, tegevuslikku hõõrdumist, sõltuvusi, oodatavat kasu ja mõju avaldumise aega. Kohene piirang võib olla eelistatavam tugevamale arhitektuurimuudatusele, mida ei saa mitu kuud ellu viia; register peaks kajastama mõlemat etappi.

Lepinguline ülekandmine ja kindlustus ei kõrvalda kõiki tegevuslikke tagajärgi. Tarnija kahjuhüvitis ei taasta teie teenust ja kindlustus ei muuda avalikustamist olematuks. Isikuandmete töötlemise korral jäävad allhanke puhul alles ka GDPR-ist tulenevad rollipõhised kohustused; artiklid 28 ja 32 on endiselt asjakohased volitatud töötlejatega sõlmitud kokkulepete ja turvameetmete puhul.

Aktsepteerimine on teadlik otsus, mitte eelarve puudumine või tähtaja ületanud pilet. Dokumenteerige äriline põhjendus, ajakohased tõendid, säilitatav risk, heakskiitev isik, kestus ja tingimused, mis nõuavad ülevaatust. Kulu on asjakohane, kuid mitte ainus kriteerium: seadusest tulenevad kohustused, klientidele antud lubadused ja tagajärjed võivad muidu mugava valiku välistada.

Andke igale käsitlustegevusele rakendamise omanik, ressursikohustus, sihtkuupäev, sõltuvus ja valmimise test. Riskiomanik vastutab endiselt üldise hindamise ja vastuse eest; ülesannete omanikud viivad ellu üksikud muudatused. Volitatud ülevaataja kiidab käsitlusotsuse ja mis tahes säilitatava riski heaks vastavalt organisatsiooni reeglitele.

Määratlege eskaleerimine enne, kui töö takerdub. Näiteks peaks peatset käivitamist mõjutav vahele jäänud verstapost käivitama otsuse käivitamise kohta, mitte lihtsalt tähtaja edasilükkamise. Dokumenteerige ka tagasi lükatud alternatiivid, eriti kui need selgitavad, miks valiti ajutine käsitlus.

Näide: klienditoe konto ekspordirisk

Järgmine näide on illustreeriv. Oletame, et tarkvarateenusel on kakskümmend klienditoe kasutajat, kliendiandmed on kättesaadavad klienditoe konsooli kaudu ning varasemast tegevusmudelist on päritud massekspordi funktsioon. Ühekordne sisselogimine on rakendatud, kuid massekspordi õigused on laialt jagatud. Olemasolevad logid salvestavad ekspordid, kuid ühtegi hoiatust ei ole testitud.

Stsenaarium on järgmine: ründaja kompromiteerib klienditoe seansi ja kasutab liigseid õigusi kliendiandmete eksportimiseks, põhjustades volitamata avalikustamise ja klientidele reageerimise töö.

Riski eest vastutab teenuse omanik. Identiteedijuht vastutab autentimismuudatuste, rakendusmeeskond autoriseerimise ja turvaoperatsioonide meeskond avastamise testimise eest.

Selle hüpoteetilise organisatsiooni viietasemelise meetodi järgi on algne hinnang tõenäosus 4 ja mõju 4. Praegune jääkriski hinnang on tõenäosus 3 ja mõju 4: olemasolev autentimine pakub teatavat kaitset, kuid laiad õigused jätavad alles märkimisväärse avalikustamistee. Kindlustunne on mõõdukas, sest seansikaitset ja maksimaalset ekspordimahtu pole veel testitud. Need numbrid on illustreerivad kategooriahinnangud, mitte tõenäosused.

Meeskond võrdleb kolme võimalust: eemaldada massekspordid, piirata neid heakskiidetud kasutajatega või säilitada olemasolev juurdepääs tugevama seirega. Klienditugi näitab, et piiratud ekspordiks on õigustatud vajadus. Omanik valib riski vähendamise piiratud juurdepääsu, allesjäävate privilegeeritud kasutajate tugevama autentimise ja testitud eksporditeavituste kaudu.

Oletame, et elluviimine nõuab nelja nädala jooksul kaksteist arenduspäeva. Need arvud on planeerimiseeldused, mitte turu võrdlusnäitajad. Register seob töö tarnekavaga ja dokumenteerib ajutised piirangud ajaks, mil rakendamine on veel pooleli.

Sihtjääkriski hinnang on tõenäosus 2 ja mõju 3, eeldusel et see kontrollitakse üle. See jääb sihiks seni, kuni testid läbitakse. Pärast juurutamist avastab ülevaataja, et vanem lõpp-punkt möödub uuest mahupiirangust. Seetõttu jääb mõjuhinnanguks 4 ja möödahiilimisest saab blokeeriv käsitlusülesanne.

Kui viga on parandatud ja uuesti testitud, hindab omanik kogu tee uuesti. Allesjääv risk saab selgesõnalise heakskiidu ja ülevaatuskuupäeva. Uus ekspordiintegratsioon, ebaõnnestunud juurdepääsu ülevaatus või juurdepääsetavate kirjete oluline kasv käivitavad varasema uue hindamise. Register on nüüd muutnud rakendust, järjestust ja heakskiitu – mitte ainult dokumenteerinud muret.

Looge seiretsükkel, mis tekitab otsuseid

Kavandatud ülevaatused on endiselt kasulikud, kuid ülevaatuste vahel toimuvad muudatused peavad jõudma omanikuni. Siduge tegevuslikud signaalid stsenaariumidega, mida need mõjutavad. Asjakohased ajendid on ebaõnnestunud juurdepääsu eemaldamised, uued tarnijad, arhitektuurimuudatused, intsidendid, kontrollimeetmete testide ebaõnnestumised ja uus ohuteave.

Iga ajendi puhul määratlege selle allikas, mõjutatud ulatus, suunamine, eeldatav reageerimisaeg ja ülevaataja. Praktilise soovitusena eristage kiireloomulist riski, mis nõuab kohest tegevuslikku sekkumist, tavapärasest tõendite värskendamisest. Ärge oodake aktiivse intsidendi ohjeldamiseks riskikoosolekut.

Seire sagedus peaks kajastama seda, kui kiiresti kontrollimeede muutub ja kui suured oleksid tõrke tagajärjed. Automatiseeritud konfiguratsioonikontrollid võivad toimuda sageli; taasteharjutus või tarnija ülevaatus vajab teistsugust rütmi. „Pidev“ peaks kirjeldama jätkuvat tegevusprotsessi, mitte vihjama, et iga kontrollimeedet testitakse igal sekundil.

Looge tõrkekäsitlus ka seire enda jaoks. Lahtiühendatud allikas või aegunud inventar peaks ilmnema teadmata katvusena, mitte läbitud kontrollimeetmena. Eemaldage korduvad hoiatused ja rühmitage ühised tõrked, et omanikud saaksid tegutsemist võimaldava konteksti, mitte kümneid identseid teavitusi.

Kui signaal saabub, dokumenteerige, mis muutus, milliseid stsenaariume kaaluti, mis oli kohene tegevus ja kas uus hindamine muutis käsitlusotsust. Ebaõnnestunud juurdepääsu ülevaatus võib nõuda uurimist, ilma et iga seotud hinnang automaatselt muutuks. Vastupidi võib kinnitatud liigne juurdepääs tundlikele kirjetele muuta olemasoleva jääkriski hinnangu kohe kehtetuks.

Kontrollimeetmete pidev seire on kõige väärtuslikum siis, kui selle tulemused jõuavad nii kontrollimeetmete käitajateni kui ka omanikeni, kes vastutavad seotud riski eest.

Kasutage tehisintellekti hinnangute ettevalmistamiseks, mitte nende heakskiitmiseks

Tehisintellekt aitab koostada stsenaariumide mustandeid, ühildada tõendeid, teha muudatustest kokkuvõtteid, tuvastada võimalikke kontrollimeetmete vastendusi ja pakkuda välja prioriteete. Selle väljund peaks jääma ülevaadatavaks mustandiks.

Alustage kitsast töövoost, mille tulemusi saab kontrollida. Nõudke viiteid allikatele ning eristage väljavõetud fakte tuletatud järeldustest. Kontrollige puuduvat katvust, vastuolulisi kirjeid, aegunud dokumente ja põhjendamata eeldusi. Viimistletud kokkuvõte ei tõenda, et aluseks olevad allikad on omavahel kooskõlas.

Haavatavuste prioriseerimisel kasutage välissignaalide kõrval ärikonteksti. Raskusaste kirjeldab võimalikke tehnilisi tagajärgi; ärakasutamise tõenäosus ja kinnitatud ärakasutamine näitavad ohutegevuse eri aspekte. Kumbki ei ütle teile, kas mõjutatud komponent on juurutatud, kättesaadav, privilegeeritud või kriitilise teenuse osa. Tehisintellekt võib korrelatsiooni toetada, kuid inventari ja riskipositsiooni kontrollid jäävad hädavajalikuks.

Tarnijateave nõuab sarnast distsipliini: eristage fakte teie lepingulise teenusepakkuja ja teenuse kohta spekulatsioonidest seotud ettevõtte kohta. Käitumisanalüütika nõuab samuti ettevaatust, sest ebatavaline tegevus ei ole automaatselt pahatahtlik ning töötajate jälgimine võib tõstatada privaatsus- ja tööõiguslikke küsimusi.

Juhtige ka tehisintellekti töövoogu ennast. Rakendage vähimate õiguste põhimõtet, piirake tundlikke sisendeid, säilitage ülevaadatav väljundite ajalugu ja määratlege, millal mudeli või viiba muudatus nõuab uut testimist. Ajaloolised intsidendiandmed võivad sisaldada pimealasid: halvasti jälgitavad teenused võivad paista turvalisemad lihtsalt seetõttu, et sündmusi registreeriti vähem.

Prognoosivad väljundid peaksid olema hüpoteesid, millel on omanikud ja valideerimisülesanded. Genereeritud hinnang peaks jääma ettepanekuks seni, kuni seda on kokkulepitud meetodi alusel kontrollitud. Vastutav omanik kiidab hindamise ja käsitluse heaks.

Tehisintellekti kasutamine riskitöös ei muuda süsteemi tehisintellekti määruse alusel automaatselt suure riskiga süsteemiks. Liigitus sõltub kasutusjuhust ja rollist; artikli 9 riskijuhtimisnõuded puudutavad suure riskiga süsteeme. Kohaldatavuse ja ajastuse kohta vaadake komisjoni ajakohast ülevaadet. NIST AI RMF pakub vabatahtlikke juhtimissuuniseid, mitte vastavuse garantiid.

Kajastage otsuste jälge ja testige, kas register toimib

Arendus vajab mõjutatud süsteeme, blokeerivaid sõltuvusi, kontrollikriteeriume ja eelseisvaid otsuseid. Juhtkond vajab olulisi riske, käsitlusvõimalusi, ressursitaotlusi ja muudatusi alates eelmisest ülevaatusest. Mõlemad vaated peaksid tulenema samast aluseks olevast hindamisest.

Säilitage hindamiste ajalugu, selle asemel et seda üle kirjutada. Säilitage eelmine järeldus, uued tõendid, muutunud eeldused, ülevaataja, heakskiit ja kuupäev. Hoidke aktsepteeritud riskid nähtaval, sealhulgas lähenevad aegumiskuupäevad ja tingimused, mis enam ei kehti.

Kasulikud tegevusmõõdikud on otsust ootavate riskide vanus, tähtaja ületanud käsitlusverstapostid, aeg olulisest muudatusest uue hindamiseni ja nende oluliste stsenaariumide osakaal, mida toetavad ajakohased kontrollimeetmete tõendid. Võrrelge mõõdikuid oma lähtetasemega. Kirjete või genereeritud soovituste arv kirjeldab peamiselt tegevust, mitte paremaid otsuseid. ISMS-i mõõdikud peaksid aitama esile tuua takerdunud vastutuse ja põhjendamata järeldused.

Secani seob riskid, nõuded, kontrollimeetmed ja tõendid ISMS-i tööruumis. Kitsa esimese ulatuse puhul modelleerige toetavad süsteemid ja teenusepakkujad, siduge olemasolevad tõendid kontrollimeetmete või otsustega, mida need toetavad, ning muutke lüngad omanikuga ülesanneteks. Vaadake tehisintellekti abil tehtud soovitused allikate põhjal üle ning säilitage inimeste heakskiidud, kommentaarid ja ajatemplid. Dokumentatsioon kirjeldab seda tõenditele keskenduvat töövoogu.

Alustage viiest olulisest stsenaariumist. Kinnitage igaühe puhul omanik, praeguse hinnangu põhjendus, käsitlusotsus, kontrollitõendid ja järgmise ülevaatuse ajend. Seejärel viige üks neist päris planeerimiskoosolekule ja küsige, mis peaks muutuma. Kui vastus on õiguste piir, tarnejärjekord, rahastatud ülesanne või selgesõnaline aktsepteerimisotsus, teeb register kasulikku tööd.