PODROČJE: UPRAVLJANJE TVEGANJ – LEKCIJA 32/100
Informacijska tveganja je treba pojasniti v jeziku poslovanja.
V nasprotnem primeru ostanejo zgolj tehnična težava.
Ranljivost sama po sebi še ni nujno poslovno tveganje.
Manjkajoča varnostna kontrola sama po sebi še ni nujno poslovno tveganje.
Zastarel sistem sam po sebi še ni nujno poslovno tveganje.
Poslovno tveganje postane takrat, ko lahko pojasnimo, na kaj lahko vpliva.
- Ali lahko povzroči motnje v kritičnem poslovnem procesu?
- Ali lahko povzroči razkritje podatkov strank?
- Ali lahko povzroči regulativne posledice?
- Ali lahko ustavi prodajo, poslovanje ali izvajanje storitev?
- Ali lahko škoduje zaupanju?
- Ali lahko povzroči finančno izgubo?
- Ali lahko poveča odvisnost od ene osebe ali enega dobavitelja?
Prav na tej točki številni pogovori o tveganjih ne dosežejo svojega namena.
Tehnične ekipe opisujejo pomanjkljivost.
Poslovno vodstvo pa mora razumeti njene posledice.
Novi CISO se mora naučiti povezati oboje.
Namesto da rečemo:
»Imamo sisteme, ki niso več podprti.«
lahko povemo:
»Ti nepodprti sistemi podpirajo poslovni proces, ki si ne more privoščiti daljšega izpada. Če sistemi odpovejo ali so ogroženi, je lahko njihova obnova zahtevna, posledice pa lahko vplivajo na poslovanje, finance in regulativno skladnost.«
To je jezik poslovanja.
Ne zato, ker bi zanemarjal tehnologijo.
Ampak zato, ker pojasni, zakaj je tehnologija pomembna.
Dober CISO tveganj ne prevaja v poslovni jezik zato, da bi zvenela manj resno.
Prevaja jih zato, da jih organizacija lahko dejansko upravlja.