Połącz potrzeby ochrony i ryzyko

Potrzeby ochrony opisują wpływ; ryzyko opisuje scenariusze

Potrzeby ochrony odpowiadają na pytanie, jak poważne byłyby szkody dla docelowego zasobu lub procesu. Analiza ryzyka dodaje do tego poglądu zagrożenia, słabe punkty, prawdopodobieństwa i zabezpieczenia.

Kiedy te dwa strumienie pracy pozostają rozdzielone, pojawiają się luki. Docelowy składnik aktywów może mieć wysokie potrzeby w zakresie ochrony, bez priorytetowego traktowania odpowiednich ryzyk. I odwrotnie, decyzja dotycząca ryzyka może być trudna do wyjaśnienia, jeśli potrzeby w zakresie ochrony nie są jasno udokumentowane.

Wspólny model redukuje sprzeczności

Zespoły powinny łączyć decyzje dotyczące potrzeb ochrony bezpośrednio z docelowymi zasobami, danymi, procesami i zależnościami. Analiza ryzyka może następnie opierać się na tej strukturze i wyjaśniać decyzje dotyczące zabezpieczeń.

Model współdzielony jest szczególnie przydatny w dyskusjach z zespołami biznesowymi: wpływ na poufność, integralność i dostępność jest widoczny przed dyskusją o poszczególnych zabezpieczeniach.

• Wyjaśnij potrzeby ochrony dla każdego docelowego zasobu i celu bezpieczeństwa
• Śledź ryzyko aż do dotkniętych aktywów docelowych
• Połącz decyzje dotyczące zabezpieczeń z potrzebami w zakresie ochrony i ryzykiem szczątkowym

Co liczy się najbardziej w audycie

Audytorzy szukają spójnych decyzji: dlaczego docelowy składnik aktywów został sklasyfikowany jako wysoki? Jakie zabezpieczenia są stosowane? Które ryzyka pozostają otwarte? Kto zatwierdził tę decyzję?

Dobry SZBI może odpowiedzieć na te pytania bez osobnego badania. Wymaga to potrzeb w zakresie ochrony, analizy ryzyka, statusu zabezpieczeń i dowodów w jednym kontekście roboczym.