Ziņošana par riskiem: dodiet vadībai lēmumu, kas jāpieņem

Vadībai jāsaprot, kas varētu notikt, kas ir mainījies un kāds lēmums ir nepieciešams. Sarkanu risku diagramma pati par sevi uz šiem jautājumiem neatbild. Tāpat neatbild garš reģistrs ar pievienotu īsāku kopsavilkumu vadībai.

Noderīgs ziņojums par riskiem pārvērš novērtēto risku biznesa izvēlē: finansēt apstrādi, mainīt atkarību, ierobežot darbību, izpētīt nenoteiktību vai pieņemt definētu risku noteiktam periodam. Tas arī skaidri parāda, kam ir pilnvaras lemt un kas notiek, ja lēmums tiek atlikts.

Ziņošanas disciplīna ir tikpat svarīga kā noformējums. Vadītājiem jāspēj izsekot ieteikumam līdz tā pieņēmumiem, pierādījumiem, īpašniekam un iepriekšējiem lēmumiem, nerekonstruējot stāstu no e-pastiem.

Sāciet ar sekām un izvēli

Uzrakstiet lēmuma pieprasījumu, pirms veidojat informācijas paneli. Ja nevarat formulēt, kas vadībai būtu jādara, noskaidrojiet, vai jautājums patiešām ir lēmums, eskalācija vai informācija uzraudzībai.

Lēmumam sagatavotā riska aprakstā jānorāda:

• Skartais pakalpojums vai mērķis: kas organizācijai jāaizsargā vai jānodrošina.
• Ticamais notikums un sekas: kā traucējumi, kompromitēšana vai kļūme varētu ietekmēt klientus, darbību, finanses vai pienākumus.
• Pašreizējie aizsardzības pasākumi: kas darbojas šodien un kādi pierādījumi pamato šo novērtējumu.
• Atlikušais risks: kas paliek pēc šo aizsardzības pasākumu ievērošanas.
• Pieejamās apstrādes: ticamas alternatīvas, ieskaitot to resursu vajadzības un ierobežojumus.
• Pieprasītais lēmums: atbildīgais lēmuma pieņēmējs, termiņš un ierosinātais pārskatīšanas punkts.
• Nenoteiktība: kas nav zināms un vai tas varētu mainīt ieteikumu.

„Atjaunošanas spēja ir nepietiekama” ir konstatējums. „Apstipriniet kapacitāti pārveidotam atjaunošanas ceļam, jo pārbaudītā atjaunošana pārsniedz mūsu klientu apkalpošanas mērķi” ir lēmuma pieprasījums.

Turiet tikai informatīvos punktus atsevišķi. Citādi vadība var pieņemt ziņojumu zināšanai, kamēr komanda pieņem, ka ir saņēmusi apstiprinājumu.

Veidojiet ziņojumu no ierobežota novērtējuma

Pirms galveno risku izvēles nosakiet ziņošanas robežu. Norādiet aptvertos pakalpojumus, struktūrvienības, sistēmas, ārējos pakalpojumu sniedzējus un periodu. Iekļaujiet novērtējuma datumu un identificējiet būtiskus izņēmumus. Ziņojumam par vienu produktu nevajadzētu radīt iespaidu, ka tas apraksta visu organizāciju.

Vāciet potenciālos riskus no pakalpojumu novērtējumiem, incidentiem, kontroļu testiem, atjaunošanas mācībām, piegādātāju pārskatiem, neatrisinātiem izņēmumiem un plānotām biznesa izmaiņām. Jautājiet pakalpojumu īpašniekiem, kas varētu traucēt viņiem sasniegt savus mērķus. Tehniskie konstatējumi kļūst noderīgāki, ja tie ir sasaistīti ar pakalpojumu, ko tie varētu ietekmēt.

Piemēram, nokavēta priviliģētās piekļuves pārskatīšana automātiski nav valdes jautājums. Tā kļūst būtiska vadībai, ja tā apdraud kritisku pakalpojumu, ir plaši izplatīta kontroles kļūme vai prasa pilnvaras vai resursus, kas pārsniedz darbības īpašnieka iespējas.

Sakārtojiet saistītos scenārijus nelielā atpazīstamu biznesa tēmu kopā, piemēram, pakalpojumu nepārtrauktība, klientu datu aizsardzība, atkarība no piegādātājiem vai izmaiņu īstenošana. Uzturiet pamatā esošos scenārijus pieejamus, nevis aizstājiet tos ar neskaidrām kategorijām.

Pievērsiet uzmanību kopīgām atkarībām. Trīs pakalpojumi, kas paļaujas uz vienu identitātes pakalpojumu sniedzēju, var atspoguļot vienu koncentrētu risku, nevis trīs neatkarīgus riskus. Tāpat visa grupēšana zem „kiberdrošības” var noslēpt atšķirīgus lēmumus un īpašniekus. Darbības risku reģistram jāsaglabā šī detalizācija zem vadības skata.

Izmantojiet vienu ierakstu ar dažādiem skatiem

Darbības komandām, vadītājiem un auditoriem nepieciešami dažādi noformējumi, taču tiem nevajadzētu saņemt neatkarīgi uzturētas faktu versijas.

Kopīgajā ierakstā jābūt stabilam riska identifikatoram, pašreizējam novērtējumam, pamatojošajiem avotiem, apstrādes statusam un lēmumu vēsturei. Katrs skats izvēlas no šī ieraksta atbilstošo detalizāciju. Tas samazina iespēju, ka vadības slaidā risks ir parādīts kā pieņemts, kamēr darbības komanda to joprojām uzskata par apstiprinājumu gaidošu.

Auditam paredzētajiem materiāliem nepieciešams arī saglabāts ziņošanas perioda momentuzņēmums. Vēlākiem uzlabojumiem nevajadzētu pārrakstīt to, kas bija patiesība brīdī, kad tika pieņemts agrāks lēmums. Pierādījumiem jāparāda gan vēsturiskā situācija, gan turpmākās izmaiņas.

Atbilstoši ierobežojiet sensitīvus pamatojošos materiālus. Vadībai var būt jāzina, ka priviliģētā piekļuve nav pietiekami kontrolēta, nesaņemot plaši izplatītā valdes materiālu paketē ievainojamību izmantošanas detaļas, piekļuves datus vai personas informāciju.

Prioritizējiet pēc riska un lēmuma steidzamības

Riska vērtējumi palīdz organizēt darbu, taču tie nenosaka katru investīciju lēmumu. Paskaidrojiet ietekmes un iespējamības kritērijus, kas ir vērtējuma pamatā, novērtējuma horizontu un aizsardzības pasākumus, kas ņemti vērā atlikušā riska novērtējumā.

Nošķiriet raksturīgo risku no atlikušā riska. Pirmais aplūko scenāriju pirms attiecīgajiem aizsardzības pasākumiem; otrais atspoguļo faktiski darbojošos aizsardzības pasākumus. Neieskaitiet plānotu kontroli tā, it kā tā jau darbotos. Ja efektivitāte ir nenoteikta, norādiet šo nenoteiktību, nevis klusi pieņemiet panākumus.

Vadības prioritizācijā jāņem vērā vairāk nekā krāsa:

• Vai risks ir ārpus apstiprinātās tolerances vai pieņemšanas robežas?
• Vai tuvojas palaišana, līguma atjaunošana vai cits laikjutīgs lēmums?
• Vai viena kļūme varētu ietekmēt vairākus svarīgus pakalpojumus?
• Vai apstrādi bloķē finansējums, konkurējošas prioritātes vai trūkstošas pilnvaras?
• Vai jauni pierādījumi ir apšaubījuši iepriekšējo novērtējumu?

Mēreni novērtēts risks ar neatgriezenisku palaišanas lēmumu rīt var būt pelnījis uzmanību pirms augstāk novērtēta riska, kura apstrāde ir finansēta un virzās uz priekšu.

Izmantojiet finanšu aplēses tikai tad, ja pieņēmumi ir aizstāvami. Nošķiriet zināmas izmaksas, piemēram, līgumā noteiktās pakalpojuma kompensācijas, no nenoteiktām sekām, piemēram, klientu zaudēšanas. Diapazoni var būt godīgāki par vienu sagaidāmo zaudējumu skaitli. Neaprēķiniet ordinālu vērtējumu vidējo, lai iegūtu šķietami precīzu organizācijas kopējā riska mēru.

Skaidrojiet tendences, neradot mākslīgu uzlabojumu

Ziņojiet par būtiskām izmaiņām un to cēloņiem. Zemāks vērtējums var atspoguļot efektīvu apstrādi, taču tas var atspoguļot arī pārskatītu metodi, šaurāku tvērumu vai citu vērtētāju. Pieaugošs risku skaits var atspoguļot labāku atklāšanu, nevis drošības pasliktināšanos.

Katrai svarīgai izmaiņai norādiet, vai pārmaiņas izriet no riska iedarbības, kontroles efektivitātes, biznesa konteksta vai mērīšanas. Kur iespējams, salīdziniet līdzvērtīgus periodus. Ja bāzes līnija ir mainījusies, iezīmējiet pārrāvumu un paskaidrojiet tā ietekmi.

Kompakts tendenču panelis var apvienot trīs veidu informāciju:

Izmantojiet saucējus, kur tie ir svarīgi. „Četri pakalpojumi nesasniedza atjaunošanas mērķus” nozīmē ko citu, ja tika pārbaudīti četri vai četrdesmit pakalpojumi. Identificējiet nepārbaudītos pakalpojumus, nevis radiet iespaidu, ka tie ir izturējuši pārbaudi.

Parādiet pieņemtos riskus, kuriem tuvojas pārskatīšana, nokavētas apstrādes, īpašumtiesību trūkumus un nenoteiktību, kas prasa izpēti. Uzdevums, kas atzīmēts kā pabeigts, nav riska samazinājuma pierādījums, kamēr attiecīgais aizsardzības pasākums nav validēts. Mūsu ceļvedis par ISMS rādītājiem papildina šo ziņošanu ar programmas darbības rādītājiem.

Piedāvājiet iespējas, kuras vadība patiešām var izvēlēties

Ieteikumā jāiekļauj reālistiskas alternatīvas, nevis vienkārši „apstiprināt budžetu” vai „palikt riskā”. Paskaidrojiet, ko katra iespēja maina, ko tā atstāj neatrisinātu un kāda īstenošanas kapacitāte tai nepieciešama.

Apstrādes izvēles parasti ietver riska samazināšanu ar aizsardzības pasākumiem, darbības novēršanu, dažu seku dalīšanu ar līgumiskām vai apdrošināšanas vienošanām un atlikušā riska pieņemšanu. Finansiālo seku dalīšana nenovērš pakalpojuma traucējumus vai organizācijas piemērojamos pienākumus.

Investīciju priekšlikumā iekļaujiet vienreizējās un pastāvīgās izmaksas, iekšējo darbu, atkarības, ieviešanas laiku un pierādījumus, kas nepieciešami panākumu apliecināšanai. Skaidri identificējiet aizstāšanu: ja tai pašai inženieru komandai jāatliek cita iniciatīva, vadība izvēlas starp biznesa prioritātēm, nevis tikai apstiprina izdevumus.

Pagaidu pieņemšanai nepieciešams īpašnieks ar atbilstošām pilnvarām, dokumentēts pamatojums, pārskatīšanas datums un nosacījumi, kas ierosina agrāku pārskatīšanu. Pieņemšana dokumentē lēmumu; tā nenosaka, ka risks ir nekaitīgs, un neatceļ piemērojamās juridiskās prasības.

Aprakstiet arī atlikšanas sekas. „Nekāda lēmuma” var nozīmēt turpināšanu ārpus tolerances, palaišanas aizkavēšanu vai pieaugošu atkarību no pagaidu aizsardzības pasākuma. Padariet šīs sekas redzamas, nevis ļaujiet klusēšanai kļūt par neformālu pieņemšanu.

Piemērs: lēmums par klientu pakalpojuma atjaunošanu

Šis scenārijs ir ilustratīvs. Tā skaitļi ir pieņēmumi, nevis tirgus etaloni vai Secani veiktspējas apgalvojumi.

Pieņemsim, ka abonēšanas uzņēmumam ir saskaņots četru stundu atjaunošanas mērķis tā klientu portālam. Nesenās mācībās pakalpojums tika atjaunots deviņās stundās. Rezerves kopijas bija izmantojamas, taču vides atjaunošana prasīja manuālu konfigurāciju un vienu speciālistu. Mācībās netika pārbaudīta pilnīga ārējā identitātes pakalpojuma kļūme.

Ziņojumā nevajadzētu vienkārši apzīmēt nepārtrauktības risku kā „augstu”. Tajā jāpaskaidro, ka līdzīga dīkstāve varētu liegt klientiem piekļūt portālam ilgāk par saskaņoto mērķi. Atkarībā no līguma noteikumiem sekas varētu ietvert pakalpojuma kompensācijas, atbalsta pieprasījumu pieaugumu un bažas par līgumu atjaunošanu. Precīza komerciālā ietekme paliek nenoteikta.

Ierosinātā izvēle

Vadība lūdz augstāko vadību rezervēt divas inženierijas nedēļas un ilustratīvus 18 000 € ieviešanas izdevumiem atkārtojamam atjaunošanas ceļam. Citādi šie resursi tiktu izmantoti produkta uzlabojumam. Infrastruktūras darbības izmaksas pirms apstiprināšanas būtu jāapstiprina atsevišķi.

Tās ir hipotēzes par apstrādes efektivitāti, nevis pierādīti rezultāti. Ziņojumā ieteikta pirmā iespēja ar nosacījumu, ka tiek apstiprinātas pastāvīgās izmaksas, un pagaidu operatoru apmācība ieviešanas laikā.

Pierādījumu un lēmumu taka

Pamatojošie materiāli ietver mācību laika grafiku, atjaunošanas žurnālus, atkarību karti, atjaunošanas mērķi un pakalpojuma īpašnieka novērtējumu. Riska ierakstā nepārbaudītais identitātes scenārijs identificēts atsevišķi, lai apstiprinājums neradītu iespaidu, ka visas atjaunošanas atkarības ir risinātas.

Pieprasītajā lēmumā nosaukts vadības sponsors, izdevumu pilnvaras, īstenošanas īpašnieks un ieviešanas termiņš. Tajā dokumentēts arī aizstātais produkta darbs. Validācijas kritērijs ir veiksmīgas atjaunošanas mācības četru stundu laikā dokumentētos apstākļos, ieskaitot izpildi, ko veic operators, kas nav sākotnējais speciālists.

Kamēr šīs mācības nav izdevušās, ziņojumā atlikušais risks paliek atvērts. Ja īstenošana kavējas pēc saskaņotā datuma vai citas mācības neizdodas, īpašnieks eskalē atkārtoti. Tas novērš, ka projekta pabeigšana tiek sajaukta ar pierādītu atjaunošanas spēju.

Padariet pārskatīšanu un eskalāciju par pārvaldības daļu

Praktisks ieteikums ir saskaņot regulāro ziņošanu ar lēmumu cikliem. Iknedēļas darbības pārskatos var novērst īstenošanas šķēršļus; ikmēneša vadības pārskatos var risināt starpfunkcionālas prioritātes; valdes ziņošana var sekot tās noteiktajam uzraudzības kalendāram. Tie ir ieteicamie ritmi, nevis universāli likumā noteikti intervāli.

Negaidiet nākamo plānoto materiālu paketi, ja būtiskas izmaiņas prasa rīcību. Nosakiet eskalācijas ierosinātājus tādiem notikumiem kā kritisku kontroļu kļūmes, tolerance pārsniedzošs risks, nokavēti apstrādes atskaites punkti vai piegādātāja izmaiņas, kas ietekmē vairākus pakalpojumus.

Ziņošana atbalsta arī pārvaldības sistēmas pārvaldību. ISO/IEC 27001 prasa riska novērtēšanas un apstrādes procesus un vadības pārskatu tvērumā iekļautajā ISMS. Vadības informācijas panelis ir ievaddati šim darbam, nevis tā atsevišķo ierakstu un pārskatīšanas darbību aizstājējs.

Organizācijām, uz kurām attiecas NIS2 transponējošie nacionālie tiesību akti, 20. pants reglamentē vadības struktūras apstiprinājumu un uzraudzību pār kiberdrošības riska pārvaldības pasākumiem. Piemērojamībai un ieviešanai nepieciešams jurisdikcijai specifisks novērtējums. Regulārs ziņojums par riskiem neaizstāj ziņošanu par incidentiem vai citus piemērojamos pienākumus.

Pēc katras sanāksmes dokumentējiet faktisko lēmumu: apstiprināts, noraidīts, atlikts vai pieņemts ar nosacījumiem. Fiksējiet pamatojumu, piešķirtās darbības, pārskatīšanas datumu un jebkādus atšķirīgus viedokļus vai neatrisinātus pieņēmumus, kas būtiski iznākumam.

Pārbaudiet materiālu paketi, pirms tā pamet komandu

Lūdziet riska īpašniekam un ziņojuma pārskatītājam pārliecināties, ka:

• Tvērums, ziņošanas datums un pierādījumu iesniegšanas termiņš ir skaidri norādīti.
• Katrā lēmuma pieprasījumā identificēts pilnvarots lēmuma pieņēmējs un termiņš.
• Vērtējumos izmantota saskaņotā metode, un metodes izmaiņas ir atklātas.
• Plānotie aizsardzības pasākumi netiek pasniegti kā darbojošās kontroles.
• Apstrādes statuss saskan ar pamatā esošajiem darba ierakstiem.
• Būtiska nenoteiktība un nepārbaudītas atkarības paliek redzamas.
• Pieņemšanas apstiprinājumi ir aktuāli, un tuvojošās pārskatīšanas ir izceltas.
• Pamatojošie pierādījumi ir pieejami pilnvarotiem lasītājiem.

Biežas ziņošanas kļūmes ir neizskaidrotas siltuma kartes, nekonsekventas kategorijas, nepamatota finanšu precizitāte un zaļš statuss, kas balstīts tikai uz pabeigtiem uzdevumiem. Vēl viena ir neatrisināta resursu konflikta noslēpšana zem nomierinoša kopējā kopsavilkuma. Nosauciet konfliktu, lai vadība to varētu atrisināt.

Sagatavojiet nākamo ziņojumu ap trim būtiskiem lēmumiem

Secani komandas var modelēt skartos pakalpojumus un atkarības, savienot pierādījumus ar kontrolēm un lēmumiem, piešķirt īpašniekus un pārvērst pierādījumu trūkumus uzdevumos. Saites uz avotiem, komentāri, apstiprinājumi un laika zīmogi saglabā argumentāciju ap būtiskiem lēmumiem. Jebkuram MI atbalstītam kopsavilkumam jāpaliek melnrakstam, līdz cilvēks pārbauda tā avotus un apstiprina rezultātu.

Nākamajai vadības sanāksmei izvēlieties trīs būtiskas izvēles no kopīgā novērtējuma ieraksta. Katrai piešķiriet sekas, iespējas, ieteikumu, atbildīgo īpašnieku, termiņu un pamatojošos pierādījumus. Nākamajā sanāksmē ziņojiet, kas tika nolemts, kas tika īstenots un vai validācija rāda, ka risks patiešām ir mainījies.