Prepojte potrebu ochrany a riziko

Potreba ochrany opisuje dopad; riziko opisuje scenáre

Potreba ochrany odpovedá na otázku, aká závažná by bola škoda na cieľovom aktíve alebo procese. Analýza rizík k tomuto pohľadu pridáva hrozby, zraniteľnosti, pravdepodobnosti a ochranné opatrenia.

Keď tieto dve oblasti práce zostanú oddelené, vznikajú medzery. Cieľové aktívum môže mať vysokú potrebu ochrany bez toho, aby boli relevantné riziká prioritizované. Naopak, rozhodnutie o riziku môže byť ťažké vysvetliť, ak jeho potreba ochrany nie je jasne zdokumentovaná.

Spoločný model znižuje rozpory

Tímy by mali rozhodnutia o potrebe ochrany priamo prepojiť s cieľovými aktívami, údajmi, procesmi a závislosťami. Analýza rizík potom môže na tejto štruktúre stavať a vysvetľovať rozhodnutia o ochranných opatreniach.

Spoločný model je obzvlášť užitočný v diskusiách s obchodnými tímami: dopad na dôvernosť, integritu a dostupnosť je viditeľný skôr, než sa začne diskutovať o jednotlivých ochranných opatreniach.

• Vysvetlite potrebu ochrany pre každé cieľové aktívum a bezpečnostný cieľ
• Sledujte riziká späť k dotknutým cieľovým aktívam
• Prepojte rozhodnutia o ochranných opatreniach s potrebou ochrany a zostatkovým rizikom

Na čom pri audite záleží najviac

Audítori hľadajú konzistentné rozhodnutia: prečo bolo cieľové aktívum klasifikované ako vysoké? Ktoré ochranné opatrenia z toho vyplývajú? Ktoré riziká zostávajú otvorené? Kto rozhodnutie schválil?

Dobrý ISMS dokáže na tieto otázky odpovedať bez samostatného vyšetrovania. Vyžaduje si to, aby potreba ochrany, analýza rizík, stav ochranných opatrení a dôkazy zdieľali jeden pracovný kontext.