Povežite potrebe za zaštitom i rizik

Potrebe za zaštitom opisuju utjecaj; rizik opisuje scenarije

Potrebe za zaštitom odgovaraju na pitanje koliko bi ozbiljna bila šteta za ciljni objekt ili proces. Analiza rizika tom pogledu dodaje prijetnje, ranjivosti, vjerojatnosti i zaštitne mjere.

Kada te dvije radne cjeline ostanu odvojene, pojavljuju se praznine. Ciljni objekt može imati visoke potrebe za zaštitom, a da relevantni rizici nisu postavljeni kao prioritet. S druge strane, odluku o riziku može biti teško objasniti kada njezine potrebe za zaštitom nisu jasno dokumentirane.

Zajednički model smanjuje proturječja

Timovi bi trebali izravno povezati odluke o potrebama za zaštitom s ciljnim objektima, podacima, procesima i ovisnostima. Analiza rizika tada se može nadograditi na tu strukturu i objasniti odluke o zaštitnim mjerama.

Zajednički model posebno je koristan u razgovorima s poslovnim timovima: utjecaj na povjerljivost, cjelovitost i dostupnost vidljiv je prije nego što se raspravlja o pojedinačnim zaštitnim mjerama.

• Objasnite potrebe za zaštitom za svaki ciljni objekt i sigurnosni cilj
• Pratite rizike natrag do pogođenih ciljnih objekata
• Povežite odluke o zaštitnim mjerama s potrebama za zaštitom i preostalim rizikom

Što je najvažnije na reviziji

Revizori traže dosljedne odluke: zašto je ciljni objekt klasificiran kao visok? Koje zaštitne mjere iz toga slijede? Koji rizici ostaju otvoreni? Tko je odobrio odluku?

Dobar ISMS može odgovoriti na ta pitanja bez zasebne istrage. Za to je potrebno da potrebe za zaštitom, analiza rizika, status zaštitnih mjera i dokazi dijele jedan radni kontekst.