Risk Yaşam Döngüsü

Bir bilgi güvenliği riski, şeklini riski nasıl işlemeye karar verdiğinizin belirlediği bir akış yürür. Kontrol adımında seçilen işleme seçeneği; riskin önlem bekleyip beklemeyeceğini, doğrulanıp doğrulanmayacağını ve artık riskinin resmen kabul edilmesi gerekip gerekmediğini belirler.

Durumlar

Durum	Ne olur
Taslak	Risk yazılıyor: tanım, kapsam, sahipler, tehdit ve açıklık.
Ret detaylandırma	Reddedilen kaydın düzeltilmek üzere düştüğü yer. Bir taslağın düzenleyebildiği her şey yeniden düzenlenebilir.
Revizyon	Yeni turun başladığı yer. Bir kaydı buraya yalnızca revizyon açmak koyar.
Onay bekliyor	Kaydın doğru açılıp açılmadığını söyleyecek risk sahiplerinde. Bir skor onayı değildir — henüz skorlama yoktur.
Kontrol	İlk skorlamanın girildiği, işleme seçeneğinin seçildiği, Ek A kontrollerinin belirlendiği ve önlemlerin açıldığı yer.
Önlem bekliyor	Her önlem kapanana kadar park hâlinde. Kimse görev tutmaz ve hiçbir şey düzenlenemez.
Doğrulama	Artık skorlamanın girildiği ve önlemlerin yeterli olup olmadığına karar verildiği yer.
Kabul onayı	Artık riskin bir gerekçeyle resmen kabul edildiği yer.
Aktif	Zinciri için yürürlükteki risk.
Pasif	Devreden çıkarılmış ya da vazgeçilmiş bir hazırlık.
Eski revizyon	Sonraki bir turla değiştirilmiş. Okuyucunun "değiştirildi" ile "geri çekildi"yi ayırt edebilmesi için Pasif'ten ayrı tutulur.

İlk onay bir skor onayı değildir

Onay bekliyor tek bir soruyu sorar: bu kayıt doğru mu açıldı? Risk gerçek mi, kapsam doğru mu, sahipler doğru mu, tehdit-açıklık eşleştirmesi makul mü.

O noktada skorlama yoktur — yalnızca sahiplik alanları açıktır. Skorlama, birinin kaydın değerlendirmeye değer olduğunu kabul etmesinden sonra, kontrol adımında yapılır.

İşleme seçeneği akışı yönlendirir

Kontrol adımında dört işleme seçeneğinden birini seçersiniz ve o seçeneğin tek bir özelliği güzergâha karar verir:

Seçenek	Kontrol seçimi gerektirir	Güzergâh
Azalt	Evet	En az bir Ek A kontrolü adlandırır, önlemler açar, bekler, doğrulanır
Kabul et	Hayır	Önlemleri ve doğrulamayı atlar
Paylaş	Hayır	Önlemleri ve doğrulamayı atlar
Kaçın	Hayır	Önlemleri ve doğrulamayı atlar

Bkz. İşleme Seçenekleri.

Önlemsiz güzergâh bir değil, iki durum atlar

Önlem gerektirmeyen bir tedavinin doğrulanacak bir şeyi de yoktur. Hem bekleme hem de doğrulama adımı atlanır.

not

Bunu bilmeye değer; çünkü sezgi yanlıştır. Yalnızca beklemeyi atlamak, kabul edilmiş bir riski tüm sorusu kimsenin yapmadığı iş hakkında olan bir doğrulama adımında park ederdi — birinden, kasıtlı olarak alınmamış önlemlerin etkinliğini onaylamasını isteyerek.

O güzergâhta artık skorlama boş bırakılmak yerine ilk turdan kopyalanır. Kabul edilmiş bir riskin artık riski onun mevcut riskidir ve boş bırakmak o riskleri raporlarda ve Uygulanabilirlik Bildirgesi'nde skorlanmamış gösterirdi.

Kabul onayı koşulludur

Kabul onayı adımına yalnızca artık bant istediğinde ulaşılır — artık skorun düştüğü bant kabul onayı gerektirir taşıdığında. Gelen bantlarda bu, Yüksek ve Kritik'tir.

Artık skoru Düşük veya Orta'ya düşen bir risk doğrudan yürürlüğe girer.

not

Bayrak, hareket anındaki bant tanımından değil, riskin skorlandığında yazıldığı kayıttan okunur. Bir bandı sonradan düzenlemek, çoktan kapanmış bir kaydın güzergâhını değiştiremez.

Kabul onayı, başka hiçbir durumun açmadığı bir alanı açan tek durumdur: kabul gerekçesi. O cümle, iştahın üzerindeki bir artık riskin daha fazla işlenmek yerine onaylandığı durumda bir ISO 27001 denetçisinin istediği kanıttır.

Kontrol adımını kapatmak bir cevap gerektirir

Ya en az bir önlem vardır ya da önlem gerekmiyor anahtarı hiçbirine ihtiyaç olmadığını söyler. Asla ikisi de değil.

uyarı

Önlemsiz ve böyle bir beyan olmadan kapatılan bir risk önlem bekliyora geçerdi — ve o durumun, önlem açılabilecek bir ekranı yoktur; dolayısıyla kayıt orada kalıcı olarak park ederdi.

Kural hareket üzerinde uygulanır; dolayısıyla bunu sonradan keşfetmek yerine kontrol adımını tamamlama noktasında reddedilirsiniz.

Önlem gerekmiyor anahtarı, işleme seçeneğinin yanında duran, kontrol adımının kendi cevabıdır. İşleme seçeneğinden türetilmez; çünkü farklı soruları cevaplarlar: Ek A kontrolleri seçilmek zorunda mı, bir şey yapılacak mı ile aynı şey değildir.

Anahtar, kendisiyle birlikte karar verilen işleme seçeneğinin yanında revizyona devreder. Geride bırakılsa, önlem gerektirmeyen bir riskin her revizyonu gerektiriyormuş gibi okunur ve aynı beklemede park ederdi.

Önlemler yeterli olmadıysa

Hem doğrulama hem kabul onayı, kaydı gerekçeyi taşıyarak yeni önlemlerin gerçekten açılabildiği kontrol adımına geri gönderebilir.

Hiçbiri onu önlem bekliyora geri göndermez — oradan önlem açılamaz; dolayısıyla kayıt kimsenin oluşturamayacağı bir işi bekleyerek mahsur kalırdı.

Her adım yalnızca kendi alanlarını yazar

Bir adım ekranı yalnızca o adımın doldurduğu alanları gösterir. Önceki adımların alanları kilitli olarak gösterilmez; hiç gösterilmez ve kaydın tamamı bir Görüntüle düğmesi uzaklıktadır.

Adım	Yazdığı
Taslak, ret detaylandırma, revizyon girişi	Kaydın tamamı
Kontrol	İlk tur, işleme seçeneği, seçilen kontroller, notlar, dosyalar
Doğrulama	Artık tur, notlar, dosyalar
Kabul onayı, devreden çıkarma, akışın kendi hareketleri	Hiçbir şey

not

Bu ayrım kozmetik değildir. Kontrol adımı kaydın tamamını yazabilseydi, göstermediği alanlar boş gönderilip temizlenirdi — kontrol adımı hiç görüntülemediği sahipleri silerdi ve kabul onayı için görev üretilecek kimse kalmazdı.

Bir adımın doldurmayacağı alan devre dışı bir giriş kutusu olarak değil düz metin olarak gösterilir. Gri bir kutu, hiçbir şey yapmayan bir tıklamaya davet eder.

Ret gerekçesini taşır ve bunun için bir alan yoktur

Reddetmek bir gerekçe ister ve o gerekçe, formdaki bir alana değil kaydın geçmişine düşer.

Bir alan yalnızca son gerekçeyi tutardı ve ne yazarını ne tarihini kaydederdi. Geçmiş paneli her turu ikisiyle birlikte saklar.

Kaydet düğmesi yoktur

Düzenlenebilir her alan, kaydı bulunduğu durumdan çıkaran aksiyon tarafından saklanır. Üzerinde çalışılan bir kayıt birinin açık görevidir ve bir görevden çıkış yolu sırada ne olacağını söylemektir.

Önlemler tablo değil, kart olarak görünür

Kontrol adımı, riskin önlemlerini kart paneli olarak taşır; her kart tarihleri ve işin dökümünü gösterir — riski okuyanın en çok istediği yarısı.

Önlem, risk üzerinde bir modalda açılır ve panel riski yeniden okumak yerine yalnızca önlemlerden yenilenir. Riski yeniden okumak, değerlendiricinin yazdığı ve henüz kaydetmediği skorlamayı atardı.

Önlem gerekmiyor ayarlandığında panel gizlenir. Bkz. Risk Önlemleri.