Findings & bewijs
Eén gegoverneerde waarheid voor securityproblemen, en het bewijs erachter.
Verschillende bronnen melden problemen op verschillende manieren. Houdt elke bron een eigen lijst bij, dan zit een operator vier registers met de hand te verzoenen en krijgt een auditor het netste te zien. OTReady geeft ze in plaats daarvan één canoniek Finding-model.
- Eén Finding-identiteit, ongeacht wat hem opriep
- Een detectie is pas een Finding als hij expliciet in governance komt
- Behandeling is een vastgelegde beslissing, geen impliciete volgende stap
Canonieke identiteit
Meerdere bronnen, één model.
Een assessmentgap, een risicoconclusie, een assurance-conditie en een gepromoveerde operational alert zijn vier manieren om dezelfde soort probleem op te merken. Ze komen samen in één Finding-model met één identiteit, één herkomstregistratie en één levenscyclus.
Het alternatief, een findingslijst per framework, levert silo's op die het oneens zijn, en maakt van "hoeveel openstaande problemen hebben we" een vraag met meerdere verdedigbare antwoorden.
- Assessmentgaps, uit IEC 62443-3-3 en NIS2
- Risicoconclusies uit het gedetailleerde assessment
- Assurance-condities
- Operationele observaties, zodra expliciet gepromoveerd
Een detectie is geen Finding, en een herhaling is geen nieuwe.
Wat de assessments op dit moment detecteren staat op het rapport en op de remediatieborden. Een Finding bestaat omdat iemand hem gegoverneerd heeft. Dezelfde conditie die opnieuw optreedt levert geen tweede Finding op, en een gesloten Finding gaat niet stilzwijgend weer open, want beide zouden een register waar mensen op steunen veranderen in een stroom die niemand kan tellen.
Behandeling
Vier beslissingen, en maar één maakt werk aan.
Zodra een Finding gegoverneerd is, moet iemand zeggen wat ermee gaat gebeuren. Die beslissing wordt vastgelegd, niet afgeleid.
- Remediëren
- Risico accepteren
- Niet van toepassing
- Uitstellen
Alleen Remediëren maakt remediatiewerk aan. Een risico accepteren, iets buiten scope verklaren of uitstellen zijn allemaal legitieme uitkomsten, en elk blijft zichtbaar als een beslissing die iemand nam, in plaats van als een item dat stil van een lijst verdween.
Toewijzing
Een Finding benoemt waar hij over gaat.
Toewijzing gebruikt de canonieke architectuur, dus een Finding wijst naar een object in plaats van naar een zin die er een beschrijft.
- Site
- Waar het probleem zit, als de hele locatie het onderwerp is.
- Zone / Subzone
- De securityscope waar de Finding over gaat.
- Conduit
- De securityrelatie: het canonieke subject wanneer een Finding gaat over hoe twee scopes verbonden zijn.
- Communication Channel
- Aanvullende toewijzing waar het probleem over een specifieke communicatie binnen een Conduit gaat, en niet over de relatie zelf.
- Asset
- Waar het onderwerp een inventarisobject is, en een asset werkelijk bekend is.
- Herkomst
- Wat hem opriep, en wanneer hij in governance kwam: meegedragen met de Finding in plaats van later gereconstrueerd.
Bewijs
Eén artefact, meerdere contexten.
Een document is één ding waar het ook gebruikt wordt. Een beleidsstuk dat een NIS2-control ondersteunt én een remediatietaak verifieert, is geen twee uploads; het is één canoniek bewijsartefact met twee contextuele links.
Wat dat document BETEKENT wordt per context apart beantwoord, want dat zijn verschillende oordelen door verschillende mensen tegen verschillende criteria. Er is bewust geen globale "approved"-vlag op een artefact: een bestand dat als toereikend geverifieerd is voor een remediatietaak zou anders gaan lezen als onafhankelijk geborgd voor een control waartegen het nooit beoordeeld is.
- Eén artefact, één identiteit, één set bytes
- Contextuele links naar assessments, Findings, eisen en remediatiewerk
- Reviewuitkomsten horen bij de context, niet bij het bestand
Waar bewijs gebruikt wordt
Bewijs is contextueel, geen bijlagenbak.
Hetzelfde artefact kan een assessmentconclusie ondersteunen, een Finding, een specifieke eis, een risicobeslissing, de verificatie van remediatiewerk of een uitgegeven rapport. Elk van die links legt een eigen reviewstaat vast.
Dat is wat een bewijsregister het lezen waard maakt. Een map met bestanden bewijst dat iemand dingen geüpload heeft; een set contextuele links bewijst waarvoor elk stuk is aangeboden en wat daar over geconcludeerd is.
Verwante capabilities
Remediatie
Wat er gebeurt nadat een Finding voor remediatie is aangemerkt.
Assurance
Hoe Findings de afgeleide lezing van een project voeden.
Rapporten
Waar Findings en bewijs in een uitgegeven record terechtkomen.
Zie één register in plaats van vier.
Neem de lijsten mee die u vandaag met de hand verzoent en zie wat één canoniek model ermee doet.