Savienojiet aizsardzības vajadzības un risku

Aizsardzības vajadzības apraksta ietekmi; risks apraksta scenārijus

Aizsardzības vajadzības atbild uz jautājumu, cik smags būtu kaitējums mērķa aktīvam vai procesam. Riska analīze papildina šo skatījumu ar draudiem, ievainojamībām, iespējamībām un aizsardzības pasākumiem.

Ja abi darba virzieni paliek nošķirti, rodas nepilnības. Mērķa aktīvam var būt augstas aizsardzības vajadzības, lai gan attiecīgie riski nav prioritizēti. Savukārt riska lēmumu var būt grūti izskaidrot, ja tā aizsardzības vajadzības nav skaidri dokumentētas.

Kopīgs modelis samazina pretrunas

Komandām aizsardzības vajadzību lēmumi jāsasaista tieši ar mērķa aktīviem, datiem, procesiem un atkarībām. Riska analīze pēc tam var balstīties uz šo struktūru un izskaidrot aizsardzības pasākumu lēmumus.

Kopīgais modelis ir īpaši noderīgs diskusijās ar biznesa komandām: ietekme uz konfidencialitāti, integritāti un pieejamību ir redzama, pirms tiek apspriesti atsevišķi aizsardzības pasākumi.

• Izskaidrojiet aizsardzības vajadzības katram mērķa aktīvam un drošības mērķim
• Izsekojiet riskus līdz skartajiem mērķa aktīviem
• Savienojiet aizsardzības pasākumu lēmumus ar aizsardzības vajadzībām un atlikušo risku

Kas auditā ir vissvarīgākais

Auditori meklē konsekventus lēmumus: kāpēc mērķa aktīvs tika klasificēts kā augsts? Kādi aizsardzības pasākumi no tā izriet? Kuri riski paliek atvērti? Kas apstiprināja lēmumu?

Laba ISMS spēj atbildēt uz šiem jautājumiem bez atsevišķas izmeklēšanas. Tam nepieciešams, lai aizsardzības vajadzībām, riska analīzei, aizsardzības pasākumu statusam un pierādījumiem būtu viens kopīgs darba konteksts.