A védelmi igény és a kockázat összekapcsolása
Derya AltinayCEO
8 Min. olvasás
A védelmi igény a hatást írja le, a kockázat a forgatókönyveket
A védelmi igény arra ad választ, milyen súlyos lenne egy célobjektumot vagy folyamatot ért kár. A kockázatelemzés ezt a képet fenyegetésekkel, sebezhetőségekkel, valószínűségekkel és védelmi intézkedésekkel egészíti ki.
Ha a két munkafolyam elkülönül, hiányosságok keletkeznek. Egy célobjektumnak lehet magas a védelmi igénye anélkül, hogy a releváns kockázatokat rangsorolták volna. Fordítva: egy kockázati döntést nehéz megindokolni, ha a hozzá tartozó védelmi igény nincs egyértelműen dokumentálva.
A közös modell csökkenti az ellentmondásokat
A csapatoknak a védelmi igényre vonatkozó döntéseket közvetlenül a célobjektumokhoz, adatokhoz, folyamatokhoz és függőségekhez kell kapcsolniuk. A kockázatelemzés ezután erre a struktúrára építhet, és megindokolhatja a védelmi intézkedésekről szóló döntéseket.
A közös modell különösen az üzleti területekkel folytatott egyeztetéseken hasznos: a bizalmasságra, sértetlenségre és rendelkezésre állásra gyakorolt hatás már azelőtt látható, hogy az egyes védelmi intézkedésekről vita kezdődne.
- Indokolja meg a védelmi igényt minden célobjektumra és biztonsági célra
- Vezesse vissza a kockázatokat az érintett célobjektumokra
- Kapcsolja a védelmi intézkedésekről szóló döntéseket a védelmi igényhez és a maradványkockázathoz
Mi számít leginkább az auditon
Az auditorok következetes döntéseket keresnek: miért sorolták egy célobjektum védelmi igényét magasba? Milyen védelmi intézkedések következnek ebből? Mely kockázatok maradnak nyitva? Ki hagyta jóvá a döntést?
Egy jó IBIR külön vizsgálat nélkül is meg tudja válaszolni ezeket a kérdéseket. Ehhez az kell, hogy a védelmi igény, a kockázatelemzés, a védelmi intézkedések állapota és a bizonyítékok egyetlen közös munkakörnyezetben legyenek.
Építsen auditálható megfelelőségi munkafolyamatokat
A Secani egyetlen közös munkaterületen köti össze a hatóköröket, a bizonyítékokat, a feladatokat és az MI-ügynököket.
Kapcsolódó cikkek
Összes cikkKockázatelemzés
GRC-hiányosságok: a megállapítás mögötti következmény rangsorolása
Különböztesse meg a hiányzó bizonyítékot, a hiányos megvalósítást és a nem hatékony kontrollokat, majd rangsorolja a megállapításokat kitettség és kötelezettség szerint.
Kockázatelemzés
Építsen olyan kockázati nyilvántartást, amely döntéseket változtat meg
Kapcsolja a kockázati forgatókönyveket eszközökhöz, kontrollokhoz, kockázatkezeléshez, monitorozáshoz és felülvizsgált MI-támogatáshoz, ahelyett hogy statikus listát vezetne.
Kockázatelemzés
Kockázati jelentéstétel: adjon a vezetésnek meghozandó döntést
Igazítson egyetlen alátámasztott kockázati rekordot az üzemeltetés, a felsővezetés és az auditorok igényeihez anélkül, hogy elvesznének a feltevések, a felelősségek és a bizonyítékok.