PODROČJE: UPRAVLJANJE TVEGANJ – LEKCIJA 34/100
Praktičen register tveganj ni pokopališče ugotovitev.
Toda v številnih organizacijah postane prav to.
Stare revizijske ugotovitve.
Neodpravljene ranljivosti.
Splošno opredeljena tveganja.
Manjkajoči lastniki.
Brez rokov.
Brez odločitev.
Brez posodobitev.
Brez povezave z vplivom na poslovanje.
To ni upravljanje tveganj.
To je zgolj shranjevanje informacij.
Uporaben register tveganj mora organizaciji pomagati pri sprejemanju odločitev.
Za vsako tveganje bi moral CISO razumeti:
- Kaj je tveganje?
- Na katero informacijsko sredstvo, proces ali storitev vpliva?
- Kaj se lahko realno zgodi?
- Kakšen je vpliv na poslovanje?
- Katere varnostne kontrole že obstajajo?
- Kaj manjka?
- Kdo je lastnik tveganja?
- Kakšen je načrt obravnave tveganja?
- Kakšen je rok za izvedbo?
- Kakšno je preostalo tveganje?
- Kakšna odločitev je potrebna?
Novi CISO ne bi smel poskušati ustvariti čim bolj zapletenega registra tveganj.
Cilj ni popolna preglednica.
Cilj je ustvariti orodje, ki podpira pogovore, določanje prioritet in jasno odgovornost.
Če registra tveganj nihče ne uporablja pri sprejemanju odločitev, ni pomembno, kako zrelo ali dovršeno je videti.
Preprost register, ki vodi do konkretnih ukrepov, je boljši od zapletenega registra, ki mu nihče ne zaupa.
Register tveganj ne bi smel zgolj beležiti težav.
Pomagati bi moral pri njihovem upravljanju.