Trije koraki, preden je karkoli podpisano

Zakaj je vrstni red pomemben

Skoraj vsak zapravljen varnostni proračun, ki smo ga pregledovali, je šel narobe na isti način: organizacija je najprej kupila drugi korak. Penetracijski test je bil naročen, da bi zadostil obveznosti, ki ji test ne zadosti, ali pa je bil nadzor nameščen po vsem okolju, katerega resnična izpostavljenost je bil en dobavitelj s stalno oddaljeno povezavo. Orodja so delovala točno tako, kot so bila prodana. Odgovarjala so na vprašanje, za katero ni nihče ugotovil, ali je pravo.

Svetovanje postavi vprašanje. Ocena nanj odgovori z dokazi in ne z mnenjem — kako daleč nekdo pride in ali je kaj to opazilo. Presoja zapre, kar je ocena našla, in pripravi dokument, ki ga bo regulator, zavarovalnica ali stranka sprejela. Vsak korak je vreden sam po sebi, vsak pa naslednjega poceni, saj je do takrat že nekdo zapisal, kaj v resnici šteje.

Kaj to ni

To ni lijak, ki se konča s pogodbo o vzdrževanju. Pri približno polovici organizacij, ki naredijo prvi korak, se izkaže, da niso zavezanci režima, ki jih je skrbel, ali da so večino potrebnega že kupile in polovico tega izklopile. To raje zapišemo, kot da okoli tega prodamo program — deloma zato, ker je res, deloma pa zato, ker se prav ti pozneje vrnejo z nečim resničnim.

Prav tako ni fiksnega zaporedja, v katero morate vstopiti na vrhu. Organizacija, ki svoje obveznosti že pozna in želi prehojeno napadalno pot, lahko začne pri oceni; tista, ki ima poročilo nekoga drugega in potrebuje zaprtje ugotovitev ter potrditev, lahko začne pri presoji. Vrstni red je priporočilo, izpeljano iz tega, kar gre običajno narobe, in ne pogodba.