Connettere esigenze di protezione e rischi

Le esigenze di protezione descrivono l'impatto; il rischio descrive gli scenari

Le esigenze di protezione rispondono alla gravità del danno a una risorsa o a un processo target. L’analisi del rischio aggiunge minacce, vulnerabilità, probabilità e garanzie a tale visione.

Quando i due flussi di lavoro rimangono separati, compaiono delle lacune. Un asset target può avere elevate esigenze di protezione senza che venga data priorità ai rischi rilevanti. Al contrario, una decisione relativa al rischio può essere difficile da spiegare quando le sue esigenze di protezione non sono documentate chiaramente.

Un modello condiviso riduce le contraddizioni

I team dovrebbero collegare le decisioni sulle esigenze di protezione direttamente alle risorse, ai dati, ai processi e alle dipendenze target. L’analisi del rischio può quindi basarsi su tale struttura e spiegare le decisioni di salvaguardia.

Il modello condiviso è particolarmente utile nelle discussioni con i team aziendali: l’impatto su riservatezza, integrità e disponibilità è visibile prima che vengano discusse le salvaguardie individuali.

• Spiegare le esigenze di protezione per ciascuna risorsa target e obiettivo di sicurezza
• Rintracciare i rischi fino agli asset target interessati
• Collegare le decisioni di salvaguardia alle esigenze di protezione e al rischio residuo

Ciò che conta di più in un audit

I revisori cercano decisioni coerenti: perché un asset target è stato classificato come alto? Quali tutele seguono? Quali rischi restano aperti? Chi ha approvato la decisione?

Un buon ISMS può rispondere a queste domande senza un’indagine separata. Ciò richiede esigenze di protezione, analisi dei rischi, stato di salvaguardia e prove per condividere un contesto lavorativo.